Чат-боты, системы распознавания изображений и голоса, генеративные ИИ-инструменты, а также автоматизированные системы скоринга и профилирования быстро внедряются в повседневные бизнес-процессы. Большинство таких систем на этапах обучения и работы обрабатывает персональные данные клиентов, сотрудников или третьих лиц. Использование ИИ-инструментов не отменяет обязательств по Закону №6698 о защите персональных данных («KVKK»); напротив, по мере роста объёма и сложности обработки данных значимость этих обязательств только возрастает.
Общие принципы, закреплённые в статье 4 KVKK — законность и добросовестность, точность, ограничение конкретными и законными целями, соразмерность и хранение в течение ограниченного срока — в равной степени применимы и к проектам в области искусственного интеллекта. Принцип соразмерности особенно часто вступает в противоречие со стремлением ИИ-систем собирать как можно больше данных для повышения качества работы: объём обрабатываемых данных должен оставаться ограниченным тем, что необходимо для цели. Использование персональных данных для обучения или работы модели ИИ должно основываться на одном из условий обработки, перечисленных в статьях 5 и 6 KVKK, а оператор данных обязан информировать субъектов данных об этой деятельности в соответствии со статьёй 10. Если сервис искусственного интеллекта работает на сервере или через поставщика, находящегося за границей, необходимо отдельно оценивать применимость норм KVKK о трансграничной передаче данных.
Право, закреплённое в Общем регламенте по защите данных ЕС (GDPR), не подвергаться решению, основанному исключительно на автоматизированной обработке, не имеет прямого аналога в KVKK; это требует дополнительной осторожности в процессах автоматизированного принятия решений, таких как кредитный скоринг, предварительный отбор при найме или оценка рисков. Рекомендательные документы, опубликованные Управлением по защите персональных данных в области искусственного интеллекта, также предлагают уделять приоритетное внимание минимизации данных, прозрачности и человеческому контролю. Компаниям, использующим ИИ-инструменты, следует подготовить реестр, показывающий, какие персональные данные обрабатываются и с какой целью, обновить уведомления о конфиденциальности и соглашения об обработке данных с учётом использования ИИ, а также чётко урегулировать в договорах с поставщиками обязательства по передаче данных и безопасности.