Çağrı Merkezi Ses Kaydı KVKK Uyumu ve Yapay Zekâ

Çağrı merkezinde yapay zekâ hangi kişisel verileri işler?

Tipik bir kurulumda karşılama asistanı arayanı yönlendirir, canlı asistan temsilciye öneri verir, görüşme sonunda otomatik özet çıkarılır ve kalite ekibi kayıtları toplu analiz eder. Her adım ayrı bir veri akışı ve çoğu zaman ayrı bir sağlayıcı demektir.

Kişisel Verileri Koruma Kurumu'nun Kasım 2025 tarihli Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, müşteri şikâyetlerini özetleyen bir modelin metinleri bağlamından kopuk özetlemesini ve kişisel verileri eksik ya da hatalı yansıtmasını doğruluk ilkesine aykırılık örneği olarak verir. Özet, müşteri hakkında karar verilen bir kayda dönüşüyorsa düzenli doğruluk denetimi gerekir.

Çağrı merkezi ses kaydı KVKK açısından nasıl aydınlatılır?

KVKK m.10, bilgilendirmenin veri elde edilirken yapılmasını ister. Aydınlatma Tebliği'nin 5. maddesi çağrı merkezini aydınlatmanın yapılabileceği ortamlar arasında açıkça sayar. Kurum'un Aydınlatma Yükümlülüğünün Yerine Getirilmesi Rehberi, operatörle görüşmeden önce bir ses dosyası dinletilmesini örnek yöntem olarak gösterir.

Aynı rehber, bir çağrı merkezi aydınlatma metnini uygun olmayan örnek olarak da inceler. Metinde veri sorumlusunun kimliği yoktur, işlenen veriler genellenmiştir, verilerin hangi amaçla aktarılacağı yazılmamıştır ve hukuki sebep eksiktir. Kendi anonsunuzu bu dört eksiğe karşı kontrol edin.

Pratik bir düzen iki katmanlıdır:

1. Kısa anons: Kaydın yapıldığını, yapay zekâ ile yazıya döküleceğini ya da analiz edileceğini ve amacını söyler.
2. Tam metin: Web adresi, kısa mesajla gönderilen bağlantı ya da tuşlama ile dinlenebilen ayrıntılı aydınlatmadır.

Örnek anons: "Bu görüşme talebinizi yanıtlamak ve hizmet kalitesini ölçmek amacıyla kaydedilecek, yapay zekâ destekli sistemlerle yazıya dökülüp özetlenecektir. Ayrıntılı aydınlatma metnine internet sitemizden ulaşabilirsiniz."

"Görüşmeler kalite amacıyla kaydedilir" cümlesi, transkriptin bir sağlayıcıda yapay zekâ ile analiz edilmesini kapsamayabilir. Tebliğ, işleme amacı değiştiğinde veri işlenmeden önce yeni amaç için ayrıca aydınlatma yapılmasını ister. Bölüm yapısı için yapay zekâ aydınlatma metni şablonu yazısını kullanabilirsiniz.

Kayıtları model eğitiminde kullanmak için ne gerekir?

Rehber, bir uygulamanın çalıştırılması ile modelin geliştirilmesini ayrı işleme faaliyetleri olarak görür. Müşterinin talebini yanıtlamak için yapılan işleme sözleşmenin ifasına dayanabilir. Aynı kayıtları bir modeli eğitmek için kullanmak ise hizmetin sunulması için zorunlu olmadığından kural olarak bu şarta dayanamaz ve ayrı bir hukuki sebep ister.

Rehberdeki bir örnek doğrudan bu senaryoya uyar. Destek yazışmalarıyla eğitilen model devreye alındıktan sonra kayıtların "ileride yeni sürümler geliştirilebileceği" gerekçesiyle belirsiz süre saklanması, saklama ilkesine aykırılık oluşturabilir. Eğitim veri kümesine giden kayıtları maskeleyin, süresini yazın ve hangi model sürümünde kullanıldığını kaydedin. Ayrıntılı kontrol listesi için eğitim verisinde kişisel veri yazısına bakın.

Ses ile kimlik doğrulama kullanılıyorsa ne değişir?

Görüşmeyi kaydetmek ile arayanın sesinden kimliğini doğrulamak farklı işlemelerdir. KVKK m.6 biyometrik verileri özel nitelikli kişisel veri sayar. Ses izini kişiyi tanımak ya da kimliğini teyit etmek için kullanan bir sistem bu kapsamda değerlendirilebilir. Böyle bir sistem kuruyorsanız hukuki sebebi m.6'nın üçüncü fıkrasına göre ayrıca belirleyin. Özel nitelikli veride sözleşme ve meşru menfaat şartları yoktur ve Kurul'un belirlediği yeterli önlemlerin alınması şarttır.

Ses tabanlı doğrulamanın bir güvenlik boyutu da vardır. Ses klonlama araçları yaygınlaştıkça yalnızca sese dayanan doğrulama zayıflar. Ek bir faktör ve ses kullanmak istemeyen müşteriler için alternatif bir yol sunun. Saldırı senaryoları için ses klonlama savunma protokolü yazısına bakabilirsiniz.

Transkript ve özetler ne kadar saklanmalı?

KVKK m.4, verilerin ilgili mevzuatta öngörülen ya da işlendikleri amaç için gerekli süre kadar muhafaza edilmesini ister. İşleme sebebi ortadan kalktığında veriler m.7 uyarınca silinir, yok edilir ya da anonim hale getirilir. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, saklama ve imha politikası hazırlamakla yükümlü veri sorumluları için periyodik imha aralığının altı ayı geçemeyeceğini düzenler. İlgili kişinin silme talebi ise şartlar oluşmuşsa en geç 30 gün içinde sonuçlandırılır.

Uygulamada şu ayrımları yapın:

• Ses kaydı, transkript, özet ve skor için ayrı süre belirleyin. Özet çıkarıldıktan sonra ham sese ihtiyaç kalmıyorsa sesi daha kısa tutun.
• Sağlayıcıdaki kopyaları, hata ayıklama kayıtlarını ve yedekleri silme kapsamına alın.
• Silme işinin gerçekten çalıştığını düzenli test edin.

Ses tanıma sağlayıcısıyla hangi maddeler sözleşmeye girmeli?

Konuşmayı metne çeviren ya da analiz eden sağlayıcı çoğu durumda veri işleyendir. KVKK m.12, veri başka biri tarafından işlendiğinde güvenlik tedbirleri bakımından veri sorumlusunu o kişiyle müştereken sorumlu tutar.

Sözleşmede şu başlıkları arayın:

• Ses ve metnin saklama süresi ve silme yöntemi
• Verinin sağlayıcının kendi modellerini eğitmek için kullanılmaması
• Alt işleyicilerin listesi ve değişiklik bildirimi
• İşleme bölgesi ve yurt dışı aktarım dayanağı
• Veri ihlalinde gecikmesiz bildirim

Son madde Kurul'un 24.01.2019 tarihli ve 2019/10 sayılı kararına dayanır. Karar, Kanun'daki "en kısa sürede" ifadesini 72 saat olarak yorumlar: veri sorumlusu ihlali öğrendiği andan itibaren en geç 72 saat içinde Kurul'a bildirir. Veri işleyen ise ihlali gecikmeksizin veri sorumlusuna bildirmekle yükümlüdür. Sağlayıcı sunucuları yurt dışındaysa aktarım KVKK m.9'a göre değerlendirilir. Telekom operatörlerinin abone asistanlarına özgü noktalar için telekom sektöründe yapay zekâ güvenliği yazısına bakabilirsiniz.

Otomatik yönlendirme ve temsilci skorlaması hangi sınırları gerektirir?

Müşteri tarafında, yapay zekâ bir talebi otomatik reddediyor ya da önceliğini düşürüyorsa KVKK m.11/1-g gündeme gelebilir. Bu hak, münhasıran otomatik analizden doğan aleyhe sonuca itiraz etmeyi sağlar. Müşteri her aşamada bir insana aktarılabilmeli ve itiraz yolu ona anlatılmalıdır. Süreç tasarımı için KVKK otomatik karar itirazı yazısına bakın.

Ses tanıma doğruluğu da herkes için aynı değildir. Rehber, bir otomatik konuşma tanıma sisteminde eğitim verisinde yeterince temsil edilmeyen aksanlar için belirgin biçimde daha yüksek hata oranı görülmesini hukuka ve dürüstlük kurallarına uygunluk ilkesine aykırılık örneği olarak verir. Transkript hatası, yanlış etiket ve yanlış öncelik anlamına gelebilir.

Temsilci tarafında otomatik kalite ve duygu skorları çalışan verisi işler. Kurul'un 16.09.2026 tarihli ve 2026/2035 sayılı ilke kararı, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetimini düzenler. Karar; genel nitelikli bir bildirimin aydınlatma için yeterli olmadığını, iş ilişkisindeki güç dengesi nedeniyle çalışanın açık rızasının kural olarak öncelikli dayanak sayılamayacağını ve denetimin kademeli, ölçülü ve erişimi kayıtlı yürütülmesi gerektiğini vurgular. Karar e-posta başta olmak üzere iletişim kanallarına ilişkindir. Temsilci skorlamasına nasıl uygulanacağını hukuk danışmanınızla değerlendirin, ancak aynı ölçülülük çizgisini izlemek güvenli bir başlangıçtır.

Devreye almadan önce hangi kontroller tamamlanmalı?

Aşağıdaki liste, yeni bir yapay zekâ bileşenini çağrı merkezine eklemeden önce hukuk, güvenlik ve operasyon ekiplerinin birlikte yanıtlaması gereken soruları toplar:

• Anons ve tam aydınlatma metni yapay zekâ ile yazıya dökmeyi, özetlemeyi ve varsa model eğitimini ayrı ayrı anlatıyor mu?
• Her işleme adımı için hukuki sebep yazılı mı?
• Ses ile kimlik doğrulama varsa özel nitelikli veri değerlendirmesi yapıldı mı?
• Ses, transkript, özet ve skor için saklama süreleri tanımlı ve silme işi test edildi mi?
• Sağlayıcı sözleşmesi eğitim yasağı, alt işleyici listesi, işleme bölgesi ve ihlal bildirimini içeriyor mu?
• Müşteri her aşamada insana aktarılabiliyor ve otomatik sonuçlar için itiraz yolu tanımlı mı?
• Temsilcilere hangi skorların hangi amaçla üretildiği somut biçimde bildirildi mi?

Yanıtı "hayır" olan her madde, canlıya çıkmadan kapatılması gereken bir açıktır.

Sık Sorulan Sorular

Çağrı merkezinde yapay zekâ kullanımı için arayan kişi bilgilendirilmeli mi?

Evet. Ses kaydı ve transkript kişisel veridir ve KVKK m.10 bilgilendirmenin veri elde edilirken yapılmasını ister. Aydınlatma Tebliği çağrı merkezini aydınlatma ortamları arasında sayar. KVKK'nın rehberi, operatörle görüşmeden önce bir ses dosyası dinletilmesini örnek yöntem olarak gösterir. Kısa anonsta ayrıntılı metne nasıl ulaşılacağı da söylenmelidir.

Transkript ve otomatik özetler de kişisel veri sayılır mı?

Sayılır. Transkript, kişiyi belirlenebilir kılan ad, numara, adres ve talep içeriğini taşır. Özet, niyet etiketi ve duygu skoru gibi türetilmiş kayıtlar da aynı kişiyle ilişkilendirildiği sürece kişisel veridir. Bu kayıtlar veri envanterine girmeli, saklama süresine bağlanmalı ve silme taleplerinde ses kaydıyla birlikte ele alınmalıdır.

Ses kayıtları ne kadar süre saklanmalı?

Kanun sabit bir süre vermez. Kayıtlar ilgili mevzuatta öngörülen ya da işlendikleri amaç için gerekli süre kadar tutulur. Saklama ve imha politikası hazırlamakla yükümlü kurumlarda periyodik imha aralığı altı ayı geçemez. Şikâyet çözümü, kalite ölçümü ve uyuşmazlık delili gibi amaçlar için ayrı süre ve gerekçe yazın.

Müşteri yapay zekâ yerine bir insanla konuşmak isterse ne yapılmalı?

Her aşamada çalışan basit bir aktarım yolu sunun ve konuşma özetini temsilciye iletin. Yapay zekâ bir talebi otomatik olarak reddediyor ya da önceliğini düşürüyorsa, münhasıran otomatik analizden doğan aleyhe sonuca itiraz hakkı gündeme gelebilir. Bu durumda itiraz yolu müşteriye anlatılmalı ve başvuruyu yetkili bir kişi incelemelidir.

Kaynaklar

• KVKK: Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ
• KVKK: Aydınlatma Yükümlülüğünün Yerine Getirilmesi Rehberi
• KVKK: Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, Kasım 2025
• KVKK: Veri İhlali Bildirimi ve 2019/10 sayılı Kurul Kararı
• Resmî Gazete: Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik
• KVKK: İletişim Kanallarının Denetlenmesine İlişkin 2026/2035 sayılı İlke Kararı

İlgili Yazılar

• KVKK Uyumlu PII Maskeleme LLM Trafiğinde Veri Koruma
• Telekom Sektöründe Yapay Zekâ Güvenliği Abone Asistanları, Ağ Operasyonu ve BTK Çerçevesi · 2026
• Yapay Zekâ Aydınlatma Metni: KVKK Uyumlu Şablon
• Ses Klonlama Dolandırıcılığına Karşı Türkçe Doğrulama Protokolü 8 vishing senaryosu, 6 adımlı runbook ve indirilebilir şablon