Kliniklerde KVKK Uyumlu Yapay Zekâ Kullanımı: Güvenli Uygulama Rehberi

Kliniklerde KVKK Uyumlu Yapay Zekâ Kullanımı, hasta verilerini sınırsız biçimde bir yapay zekâ aracına aktarmak anlamına gelmez. Güvenli yaklaşım; açık amaç, uygun hukuki şart, veri minimizasyonu, sağlayıcı denetimi, teknik güvenlik ve insan kontrolünü aynı iş akışında birleştirir. Klinikler içerik, randevu ve operasyon süreçlerinde yapay zekâdan yararlanabilir; klinik kararları etkileyen kullanımlarda ise risk seviyesi belirgin biçimde yükselir.

Bu rehber, 20.10.2026 itibarıyla kliniklerin yapay zekâ kullanımını KVKK ve uluslararası iyi uygulamalar çerçevesinde planlamasına yardımcı olur. Kişisel Verileri Koruma Kurumu’nun 24.11.2025 tarihli üretken yapay zekâ rehberi, bu sistemlerdeki kişisel veri işleme faaliyetlerinin 6698 sayılı Kanun kapsamında değerlendirilmesi gerektiğini vurgular. KVKK’nın üretken yapay zekâ rehberini temel kaynak olarak inceleyebilirsiniz.

Önemli Noktalar

• Sağlık, biyometrik ve genetik veriler özel nitelikli kişisel veri olabilir.
• Veri göndermeden önce amaç, gereklilik, hukuki şart ve aktarım riski değerlendirilmelidir.
• Genel içerik ve randevu metinlerinde gerçek hasta verisi kullanılmamalıdır.
• Tanı, tedavi, triyaj ve hasta yönlendirmesinde son sorumluluk yetkili sağlık profesyonelinde kalmalıdır.
• Sağlayıcının saklama, model eğitimi, erişim, silme ve yurt dışı aktarım politikaları incelenmelidir.
• Yapay zekâ çıktıları, kullanıcı erişimleri ve olaylar riskle orantılı şekilde kaydedilmelidir.

Kliniklerde KVKK Uyumlu Yapay Zekâ Kullanımı nedir?

Bu kavram; üretken yapay zekâ, sohbet robotu, karar destek sistemi, randevu otomasyonu veya analiz aracının kişisel verileri hukuka uygun, ölçülü, güvenli ve denetlenebilir biçimde işlemesini ifade eder. Uyum yalnızca yazılım lisansı satın almakla sağlanmaz. Veri akışı, kullanıcı rolleri, tedarikçi sözleşmesi, çalışan eğitimi, çıktı onayı ve olay müdahalesi birlikte tasarlanmalıdır.

Kişisel Verileri Koruma Kurumu, sağlık verilerinin özel nitelikli kişisel veri olduğunu ve bu verilerin işlenmesinde özel koruma yükümlülükleri bulunduğunu belirtir. Özel nitelikli veriler için yeterli önlemler kararını ayrıca incelemek gerekir.

Hangi veriler yapay zekâ kullanımında risklidir?

Ad, soyad, telefon, e-posta, adres, randevu geçmişi, başvuru nedeni, danışan notları, tanı, tedavi, reçete, laboratuvar sonucu, tıbbi görüntü, ses kaydı, kamera görüntüsü, biyometrik veri, genetik veri ve kimliği belirlenebilir vaka hikâyeleri riskli veri örnekleridir. Hasta mesajları, çağrı kayıtları ve ekran görüntüleri de içeriklerine göre kişisel veri içerebilir.

Bir blog yazısı, reklam taslağı veya genel randevu hatırlatması oluşturmak için gerçek hastanın adına, raporuna ya da telefonuna çoğunlukla ihtiyaç yoktur. “Hasta A” gibi takma adlar her zaman anonimlik garantisi vermez; yeniden tanımlama ihtimali değerlendirilmelidir. Daha güvenli seçenekler kişisel veri içermeyen örnekler, toplulaştırılmış istatistikler ve kontrollü sentetik verilerdir.

Hukuki ve yönetişim ilkeleri nasıl uygulanır?

KVKK’nın üretken yapay zekâ rehberi; tasarımdan itibaren mahremiyet, yaşam döngüsü boyunca risk değerlendirmesi, veri işleme şartlarının belirlenmesi ve şeffaflık üzerinde durur. Klinik, aracı satın alma, yapılandırma, veri aktarımı, çıktı kullanımı, güncelleme ve hizmetin sonlandırılması aşamalarında değerlendirmelidir.

Hangi kullanım alanları daha düşük risklidir?

Düşük riskli uygulamalarda kişisel veri içermeyen veya uygun şekilde anonimleştirilmiş girdiler kullanılmalıdır. Genel sağlık içeriği için başlık üretmek, kişisel veri içermeyen randevu mesajı hazırlamak, anonim geri bildirimleri sınıflandırmak, görev listesi oluşturmak ve sık sorulan sorular taslağı hazırlamak bu gruba örnek olabilir.

Ancak düşük risk, risksiz anlamına gelmez. Yapay zekânın hazırladığı sağlık iddiaları, ilaç bilgileri, tedavi sonuçları, başarı oranları ve risk açıklamaları yayımlanmadan önce yetkili uzman tarafından doğrulanmalıdır. İçerik kaynakları, gözden geçiren kişi ve güncelleme tarihi görünür biçimde belirtilmelidir.

Daha yüksek riskli senaryolar hangileridir?

• Gerçek hasta raporunu açık veya kişisel bir araca yüklemek.
• Ad ve telefon bilgileri içeren hasta mesajlarını özetletmek.
• Tıbbi görüntüden tanı veya tedavi önerisi beklemek.
• Yapay zekâ puanına göre hastayı reddetmek veya önceliklendirmek.
• Doğrulanmamış sağlık iddiasını reklam ya da web içeriğinde yayımlamak.

Teknik güvenlik önlemleri nelerdir?

Kurumsal hesaplar kullanın: Merkezi yönetilen hesap, çok faktörlü kimlik doğrulama ve rol tabanlı erişim uygulayın. Veriyi sınıflandırın: Genel, kişisel, özel nitelikli ve yüksek riskli veri kategorilerini yazılı hâle getirin. Girdiyi filtreleyin: Ad, dosya numarası, iletişim bilgisi, yüz görüntüsü ve rapor alanlarını maskeleyin.

Sağlayıcıyı inceleyin: Verinin nerede işlendiğini, ne kadar saklandığını, model eğitiminde kullanılıp kullanılmadığını, alt işleyenleri ve silme prosedürünü kontrol edin. Kayıt tutun: Kullanıcı, araç, amaç, veri türü, onay, çıktı ve olay kayıtlarını riskle orantılı saklayın. Olay planlayın: Yanlış çıktı, yetkisiz erişim, veri sızıntısı ve hatalı otomasyon için durdurma, bildirim ve düzeltme adımlarını belirleyin.

İnsan denetimi neden zorunludur?

Yapay zekâ çıktısı olasılıksal bir öneridir; klinik gerçek, hukuki karar veya uzman görüşü olarak kabul edilmemelidir. Tanı, tedavi, triyaj, risk değerlendirmesi ve kişiye özel sağlık iletişiminde yetkili profesyonel son değerlendirmeyi yapmalıdır. İnsan denetimi yalnızca ekrana bakmak değil; görev, yetki, itiraz, düzeltme ve geri alma mekanizması bulunan belgelenebilir bir kontrol noktasıdır.

Dünya Sağlık Örgütü sağlıkta yapay zekâ için insan özerkliği, güvenlik, şeffaflık, açıklanabilirlik, sorumluluk, kapsayıcılık ve eşitlik ilkelerini öne çıkarır. WHO’ya göre insanlar sağlık sistemleri ve klinik kararlar üzerindeki kontrolünü korumalı; mahremiyet ve gizlilik uygun veri koruma çerçeveleriyle güvence altına alınmalıdır.

Randevu otomasyonu nasıl güvenli tasarlanır?

Randevu süreçleri, kliniklerde yapay zekâ için görece kontrollü bir başlangıç alanı olabilir. Sistem hizmet türünü, uygun zamanı ve iletişim tercihini yönetebilir; ancak tanı, tedavi veya acil durum değerlendirmesi yapmamalıdır. Klinikler için yapay zekâ randevu sistemi rehberinde takvim sorgulama, onay, iptal, erteleme ve insan desteğine aktarım adımları açıklanmaktadır.

Randevu hatırlatmalarında gereksiz sağlık bilgisi paylaşılmamalıdır. Operasyonel bildirim ile pazarlama iletişimi ayrılmalı; kanal tercihi, ret durumu, silme talebi ve işlem kayıtları izlenmelidir. No-show, iptal ve yeniden planlama akışları için randevuya gelmeyen müşterileri azaltma otomasyonu rehberine göz atabilirsiniz.

Global hizmet veren klinikler AB Yapay Zekâ Tüzüğü’nü nasıl değerlendirmeli?

AB’deki kişilere hizmet veren veya onları etkileyen klinikler, KVKK yanında ilgili ülke mevzuatını ve AB Yapay Zekâ Tüzüğü’nü de incelemelidir. Tüzük, sağlık, güvenlik veya temel haklar üzerinde önemli zarar riski bulunan kullanım alanlarını yüksek riskli değerlendirebilir. Acil sağlık hizmetlerinde hasta triyajı gibi kullanımlar özellikle dikkat gerektirir.

Yüksek riskli sistemlerde risk yönetimi, veri kalitesi, teknik dokümantasyon, kayıt tutma, şeffaflık, insan gözetimi, doğruluk, dayanıklılık ve siber güvenlik kontrolleri öne çıkar. Her sohbet robotu otomatik olarak yüksek riskli değildir; sınıflandırma sistemin amacına, etkisine, profil oluşturup oluşturmadığına ve karar üzerindeki etkisine göre yapılmalıdır.

Uygulama süreci nasıl tasarlanır?

1. Envanter çıkarın: Kullanılan araçları, veri türlerini, kullanıcıları ve entegrasyonları listeleyin.
2. Senaryoları sınıflandırın: İçerik, randevu, müşteri hizmetleri, analiz ve klinik karar süreçlerini ayırın.
3. Risk analizi yapın: Amaç, veri kategorisi, erişim, saklama, aktarım ve olası etkiyi belgeleyin.
4. Güvenli varsayılanlar kurun: Maskeleme, sınırlı erişim, kapalı paylaşım ve insan onayını varsayılan yapın.
5. Pilot başlatın: Önce kişisel veri içermeyen ve sınırlı kapsamlı bir süreç seçin.
6. Çıktıyı doğrulayın: Doğruluk, önyargı, güvenlik, tıbbi uygunluk ve kullanıcı deneyimini ölçün.
7. İzleyin: Sağlayıcı politikası, mevzuat, güvenlik açığı ve performansı periyodik olarak gözden geçirin.

Kontrol listesi

• Kullanım amacı ve sorumlu kişi belirlendi mi?
• Veri kategorileri, erişim rolleri ve saklama süreleri kaydedildi mi?
• Sağlık verisi gereksiz biçimde yapay zekâya aktarılıyor mu?
• Maskeleme veya anonimleştirme uygulanıyor mu?
• Sağlayıcının veri saklama ve model eğitimi politikası incelendi mi?
• Yurt dışına aktarım ihtimali değerlendirildi mi?
• Çalışanlara yazılı yapay zekâ politikası ve eğitim verildi mi?
• Kritik çıktılar yetkili kişi tarafından onaylanıyor mu?
• Yanlış çıktı, veri ihlali ve itiraz için müdahale prosedürü var mı?
• İçerik kaynakları ve güncelleme tarihleri takip ediliyor mu?

SEO, AEO, GEO ve AIO içerikleri nasıl hazırlanır?

Arama görünürlüğü ile hasta mahremiyeti birbirinin alternatifi değildir. Klinik içerikleri gerçek hasta verileri yerine doğrulanabilir kaynaklar, uzman incelemesi, açık kapsam, güncelleme tarihi ve doğrudan soru-cevap yapısıyla güçlendirilmelidir. Kişisel veri paylaşmak, yapay zekâ sistemlerinde görünürlüğü artırmak için gerekli değildir.

Başlıkları gerçek kullanıcı sorularına göre düzenleyin; 40–80 kelimelik bağımsız cevap blokları, tanımlar, karar tabloları ve numaralı süreçler kullanın. Sağlık iddialarını uzman kontrolünden geçirin, kaynakları bağlantılandırın ve metnin hangi tarihte güncellendiğini belirtin. Böylece içerik hem kullanıcılar hem de cevap motorları için daha anlaşılır olur.

Sonuç

Kliniklerde KVKK Uyumlu Yapay Zekâ Kullanımı, teknoloji seçmekten çok veri akışını ve sorumlulukları doğru tasarlama işidir. En güvenli başlangıç; kişisel veri içermeyen kullanım alanlarını seçmek, sağlayıcı politikalarını incelemek, kurumsal erişim kontrolleri kurmak, kritik çıktıları uzman onayından geçirmek ve olay müdahale planı oluşturmaktır.

Bu içerik genel bilgilendirme amacı taşır; tek başına hukuki, tıbbi veya bilgi güvenliği danışmanlığı yerine geçmez. Gerçek uygulama öncesinde kliniğin veri akışı, hizmet sağlayıcıları, kullanıcı rolleri, uluslararası faaliyetleri ve risk profili hukuk, bilgi güvenliği ve sağlık uzmanları tarafından ayrıca değerlendirilmelidir.

Bilgi tarihi: 20.10.2026