Sohbet robotları, görüntü ve ses tanıma sistemleri, üretken yapay zeka araçları ve otomatik skorlama ya da profilleme uygulamaları, işletmelerin gündelik iş süreçlerine hızla dahil oluyor. Bu sistemlerin büyük bölümü, eğitim ve çalışma aşamalarında müşterilere, çalışanlara veya üçüncü kişilere ait kişisel verileri işliyor. Yapay zeka araçlarının kullanılması, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamındaki yükümlülükleri ortadan kaldırmıyor; veri işleme hacmi ve karmaşıklığı arttıkça bu yükümlülüklerin önemi de artıyor.
KVKK'nın 4. maddesindeki genel ilkeler — hukuka ve dürüstlük kuralına uygunluk, doğruluk, belirli ve meşru amaçlarla sınırlılık, ölçülülük ve sınırlı süreyle saklama — yapay zeka projelerinde de aynen geçerlidir. Ölçülülük ilkesi, yapay zeka sistemlerinin daha iyi performans için mümkün olduğunca fazla veri toplama eğilimiyle çoğu zaman gerilim yaratır; işlenen verinin amaçla sınırlı ve gerekli ölçüde olması gerekir. Kişisel verilerin bir yapay zeka modelinin eğitiminde veya işletiminde kullanılması, KVKK'nın 5. ve 6. maddelerinde sayılan işleme şartlarından birine dayanmalı; veri sorumlusu ilgili kişileri 10. madde kapsamında bu işleme faaliyeti hakkında aydınlatmalıdır. Yapay zeka hizmetinin yurt dışında konumlanmış bir sunucu veya sağlayıcı üzerinden yürütülmesi hâlinde, KVKK'nın yurt dışına veri aktarımına ilişkin hükümlerinin de ayrıca değerlendirilmesi gerekir.
Avrupa Birliği'nin Genel Veri Koruma Tüzüğü'nde (GDPR) yer alan, kişinin yalnızca otomatik işlemeye dayalı bir karara tabi tutulmama hakkının KVKK'da doğrudan bir karşılığı bulunmuyor; bu durum kredi skorlama, işe alım ön elemesi veya risk değerlendirmesi gibi otomatik karar süreçlerinde ayrıca dikkat gerektiriyor. Kişisel Verileri Koruma Kurumu'nun yapay zeka alanında yayımladığı tavsiye niteliğindeki rehber dokümanlar da veri minimizasyonu, şeffaflık ve insan denetimi ilkelerinin öne çıkarılmasını öneriyor. Yapay zeka araçları kullanan işletmelerin, hangi kişisel verilerin hangi amaçla işlendiğini gösteren bir envanter çıkarması, aydınlatma metinlerini ve veri işleme sözleşmelerini yapay zeka kullanımını da kapsayacak şekilde güncellemesi ve tedarikçilerle yapılan sözleşmelerde veri aktarımı ile güvenlik yükümlülüklerini açıkça düzenlemesi önem taşır.