Klinikte WhatsApp yapay zekâ asistanı ve KVKK: aydınlatma, açık rıza, yurt dışı aktarım

Bir klinik WhatsApp'a yapay zekâ asistanı bağladığında ilk sorular genelde teknik olur: hangi saatleri önersin, kime devretsin. KVKK sorusu sonra gelir, çoğu zaman ilk hasta yazdıktan sonra. Oysa hastanın "dişim ağrıyor" diye yazdığı ilk cümle, kanunun en sıkı koruduğu veri türüne giriyor.

Bu yazı randevu akışını değil, onun altındaki veri tarafını anlatıyor. Aydınlatmayı ilk mesaja nasıl koyacağınızı, açık rızanın ne zaman gerektiğini, asistanın neyi sormaması gerektiğini ve sağlayıcınız yurt dışındaysa ne yapılacağını resmî kaynaklarıyla topladık. Randevu akışının kendisi klinik randevu otomasyonu yazımızda.

Önce roller: veri sorumlusu kim

Hasta kliniğe yazdığında verinin neden ve nasıl işleneceğine klinik karar verir. Bu yüzden veri sorumlusu kliniktir. Asistanı sağlayan şirket kliniğin talimatıyla çalışıyorsa genellikle veri işleyen olur.

KVKK'nın Kasım 2025'te yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi bu ayrımın sözleşmedeki kelimelere göre değil, tarafların veri üzerindeki fiili kontrolüne göre yapılacağını söylüyor. Sağlayıcı hasta mesajlarını kendi amacı için, örneğin kendi modelini eğitmek için kullanıyorsa tablo değişir. Bu yüzden sözleşmede verinin yalnız sizin talimatınızla işleneceği açıkça yazmalı. Meta'nın WhatsApp Business Platform şartları da WhatsApp verisinin başka yapay zekâ modellerini eğitmek için kullanılmasını yasaklıyor.

İlk mesajda aydınlatma, açık rızadan ayrı

6698 sayılı Kanun'un 10. maddesi, veri elde edilirken kişiye beş şeyin söylenmesini istiyor: veri sorumlusunun kimliği, verinin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi, kişinin 11. maddedeki hakları. WhatsApp'ta veri hastanın ilk mesajıyla gelmeye başlıyor. Aydınlatma da ilk cevapta yer almalı.

Kişisel Verileri Koruma Kurulu, 24 Mart 2026'da Resmî Gazete'de yayımlanan 2026/347 sayılı ilke kararında en sık gördüğü hatayı yazdı: aydınlatma metniyle açık rıza metninin iç içe sunulması. Karardan klinik için çıkan kurallar:

• Aydınlatma hastanın onayına bağlı değildir. Hastadan "okudum ve kabul ediyorum" ya da "onaylıyorum" istenmez. Gerekirse "okudum ve anladım" gibi bir bilgi beyanı alınır.
• İşleme açık rızaya dayanıyorsa iki metin ayrı başlıklarla ve ayrı beyanlarla sunulur.
• İşleme açık rıza dışında bir şarta dayanıyorsa yalnız aydınlatma yapılır, ayrıca açık rıza metni sunulmaz.
• Dil sade olmalı. 11. maddeyi baştan sona kopyalamak yerine "Kanun'un 11. maddesindeki haklarınız" demek yeter.

WhatsApp'ta iyi bir ilk cevap şöyle olabilir:

Merhaba, ben Örnek Kliniği'nin yapay zekâ asistanıyım. Randevu ve genel sorularınızda yardımcı oluyorum, gerektiğinde sizi ekibimize bağlıyorum. Kişisel verilerinizin nasıl işlendiğini buradan okuyabilirsiniz: [aydınlatma metni bağlantısı]. Size nasıl yardımcı olabilirim?

İlk cümleye dikkat edin. KVKK'nın yapay zekâ rehberi, sohbet botuyla konuşan kişinin bir yapay zekâ sistemiyle konuştuğunu açıkça bilmesinin önemli olduğunu, sistemin bunu belirten bir bilgilendirme içermesi gerektiğini yazıyor.

Sağlık verisi için hukuki sebep

Kanun'un 6. maddesi sağlık verisini özel nitelikli kişisel veri sayıyor. 2024 değişikliğinden sonra işleme şartları tek listede. Klinik için öne çıkan iki şart var:

• (a) bendi: hastanın açık rızası.
• (e) bendi: sır saklama yükümlülüğü altındaki kişiler ya da yetkili kurum ve kuruluşlarca, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi gibi amaçlarla gerekli olması.

Kurum'un Şubat 2025 tarihli Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehberi iki noktayı netleştiriyor. "Yetkili kurum ve kuruluşlar" ifadesi yalnız kamuyu değil, sağlık hizmeti veren özel kişileri ve şirketleri de kapsıyor. Açık rıza dışında bir şart varken ayrıca açık rızaya başvurulmamalı, çünkü bu dürüstlük kuralına aykırı olabilir.

Klinik için anlamı şu: randevu ve tedavi için gereken veride hangi şarta dayandığınıza önceden karar verin ve aydınlatma metnine onu yazın. Tanıtım mesajı, memnuniyet anketi ya da sosyal medyada paylaşım gibi tedavi için gerekmeyen işler bu şartın dışında kalır ve ayrı değerlendirme ister.

Asistan neyi sorar, neyi sormaz

Veri az olduğunda risk de azalır. Randevu için gereken bilgi kısa. Asistanın kurallarını yazarken şu tabloyu kullanın:

WhatsApp İşletme Mesajlaşma Politikası ayrıca, yerel kurallar sağlık bilgisinin yüksek güvenlik şartlarını karşılamayan sistemlere gönderilmesini yasaklıyorsa WhatsApp'ın tele-tıp ya da sağlık bilgisi alışverişi için kullanılmamasını istiyor. Hasta yine de ayrıntı yazarsa asistan bunu yorumlamamalı, konuşmayı hekime ya da ekibe devretmeli.

Yeterli önlemler: ekibin yapacakları

Kanun, özel nitelikli veride Kurul'un belirlediği yeterli önlemlerin alınmasını şart koşuyor. Önlemler Kurul'un 31.01.2018 tarihli ve 2018/10 sayılı kararında. Yapay zekâ rehberi aynı önlemlerin yapay zekâ sistemlerinde de dikkate alınması gerektiğini söylüyor. Asistan paneline uygulanmış hâli:

• Konuşmaları kimin okuyabileceğini kişi kişi tanımlayın, yetkileri belli aralıklarla gözden geçirin.
• İşten ayrılan ya da görevi değişen kişinin erişimini hemen kapatın.
• Panele uzaktan girişte en az iki aşamalı doğrulama kullanın.
• Verinin şifreli saklandığını ve yapılan işlemlerin kayıt altına alındığını sağlayıcıdan yazılı alın.
• Sohbetlere erişen herkesle gizlilik sözleşmesi yapın, KVKK eğitimini düzenli verin.
• Özel nitelikli veri için ayrı, yazılı bir politika ve prosedür tutun.

Sağlayıcı yurt dışındaysa: 9. madde

Yapay zekâ asistanlarının çoğu yurt dışındaki sunucularla ya da yurt dışında kurulu şirketlerle çalışıyor. KVKK'nın yapay zekâ rehberi, Türkiye'deki bir veri sorumlusu yurt dışındaki bir sağlayıcı üzerinden yapay zekâ kullanıyorsa bu aktarımın Kanun'un 9. maddesine ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'e uygun olması gerektiğini açıkça yazıyor. 9. maddeye göre sıra şöyle:

1. Gidilen ülke için Kurul'un yeterlilik kararı varsa aktarım bu kararla yapılır.
2. Yoksa uygun güvencelerden biri gerekir. Küçük bir klinik için en pratiği Kurul'un ilan ettiği standart sözleşme. Kurul dört tip standart sözleşme yayımladı. Klinikten asistan sağlayıcısına aktarımda uygun olan genellikle "Veri Sorumlusundan Veri İşleyene" olan Standart Sözleşme 2.
3. Standart sözleşme imzalandıktan sonra beş iş günü içinde Kurum'a bildirilir. Kanun'un 18. maddesi bu bildirimi yapmamayı ayrı bir idari para cezasına bağlıyor.
4. Bunların hiçbiri sağlanamıyorsa aktarım yalnız arızi, yani tekrar etmeyen durumlarda yapılabilir, örneğin riskleri anlatılarak alınmış açık rızayla. Her gün çalışan bir asistan arızi sayılmaz. Buna dayanmayın.

Sağlayıcıya sorulacak yedi soru

1. Hasta mesajları hangi ülkede saklanıyor ve işleniyor?
2. Alt işleyenleriniz kimler ve hangi ülkelerdeler?
3. Mesajlar sizin ya da başka birinin yapay zekâ modelini eğitmek için kullanılıyor mu?
4. Veri işleme sözleşmesi ve gerekiyorsa Kurul'un standart sözleşmesini imzalıyor musunuz?
5. Sözleşme bitince veriler ne kadar sürede siliniyor?
6. Bir veri ihlalinde bize ne kadar sürede haber veriyorsunuz?
7. Asistan bilmediği ya da tıbbi bir soruda konuşmayı nasıl insana devrediyor?

Bu soruları bize de sorun. Bulsu Labs AI Resepsiyonist yalnız kliniğin verdiği bilgiden cevap veriyor, bilmediği ve tıbbi soruları ekibe devrediyor. Bulsu Labs Karadağ'da kurulu bir şirket. Yani Türkiye'deki bir klinik için 9. madde bizimle çalışırken de gündemde. Veri işleme sözleşmemiz sitede duruyor. Diş kliniğine özgü akış için diş kliniği randevu sistemi, WhatsApp'ın yapay zekâ kuralları için WhatsApp yapay zekâ asistanı 2026 yazılarımıza bakabilirsiniz.