Singapur’un yeni yapay zekâ-gizlilik rehberi: Verileriniz model eğitimi için kullanıldığında ne olacak?

Singapur Kişisel Verileri Koruma Komisyonu (PDPC), 20 Temmuz 2026’da mevcut Kişisel Verileri Koruma Yasası’nın (PDPA) kuruluşların üretken yapay zekâ sistemlerinde kişisel veri kullanmasına nasıl uygulanacağını açıklayan bir danışma rehberi yayımladı. Pratikte temel kural şu: Bir kuruluş model geliştirme, eğitim veya ince ayar sürecinde kişisel veri kullanmak için rızaya ihtiyaç duyuyorsa, bildiriminde üretken yapay zekânın kullanıldığını açıkça belirtmeli.

Temel kural: Yapay zekâ eğitimi gizlenmemeli

Kişisel verilerin “ürün geliştirme” amacıyla kullanılabileceğini söyleyen genel bir gizlilik bildirimi, büyük ölçekli üretken yapay zekâ modeli eğitimi veya ince ayarı için anlamlı rıza almaya tek başına yetmiyor. Bildirimde üretken yapay zekâya ilişkin amaç açıkça tanımlanmalı; hangi veri kategorilerinin kullanılacağı ve verilerin nasıl işleneceği anlatılmalı.

Bu konu özellikle bankacılık, sigortacılık, alışveriş veya sosyal ağ hizmeti gibi olağan bir amaçla toplanan verilerin sonradan yeni bir yapay zekâ geliştirme amacıyla kullanılmasında önem taşıyor. Kullanım, tüketicilerin makul olarak bekleyebileceği amaçların dışına çıkıyorsa şirketler önceki geniş kapsamlı bildirimin bu yeni işleme faaliyetini otomatik olarak kapsadığını varsaymamalı.

PDPC rehberinin yeni ve bağımsız bir yasa olmadığını da vurgulamak gerekir. Metin, mevcut PDPA yükümlülüklerinin nasıl yorumlanıp uygulanacağına ilişkin danışma niteliğinde bir çerçeve sunuyor.

Dört yaygın senaryoda kural nasıl uygulanıyor?

Bankalar: Finansal ve müşteri hizmetleri verileriyle yapay zekâ asistanı geliştirmek

Bir banka müşteri verilerini yapay zekâ asistanı geliştirmek veya iyileştirmek için kullanıyor ve hukuki dayanak olarak rızaya güveniyorsa, müşterilerine yapay zekâya özel bir bildirim sunmalı. Bu bildirim, model geliştirme amacını bankacılık hizmetinin normal şekilde sunulmasından ayırmalı.

Banka, PDPA kapsamındaki bir rıza istisnasına —örneğin işletme geliştirme istisnasına— dayanabilir. Ancak bunun için yasal şartların ve istisnanın kapsamının karşılanması gerekir. Geçerli bir istisna uygulanıyorsa rıza alınması ve buna bağlı rıza temelli itiraz seçeneği zorunlu olmayabilir.

Sigortacılar: Sağlık ve hasar dosyası bilgilerini kullanmak

Bir sigortacı, sağlık veya hasar verilerini üretken yapay zekâ modeli geliştirmek için kullanacaksa aynı temel bildirim sorusuyla karşılaşır: Rıza gerekiyorsa, bildirim yapay zekâ kullanımını özel olarak açıklamalıdır. Hizmetlerin iyileştirilebileceğine ilişkin eski ve genel bir ifade, model eğitimi için otomatik olarak yeterli kabul edilmemeli.

Sigortacının ya geçerli bir PDPA istisnasının uygulandığını ortaya koyması ya da yapay zekâya özel bir bildirim üzerinden geçerli rıza alması gerekir. Mevcut kaynaklar, tüm sağlık veya hasar verilerinin kendiliğinden istisna kapsamında olduğunu söyleyen genel bir kural ortaya koymuyor.

E-ticaret platformları: Alışveriş verilerinden ticari yapay zekâ ürünleri üretmek

Satın alma geçmişini veya gezinme hareketlerini, alışveriş deneyiminden ayrı yeni bir ticari üretken yapay zekâ ürünü geliştirmek için kullanmak, verilerin asıl amacının ötesine taşındığı en açık örneklerden biri. Rıza gerekiyorsa platform, genel bir “ürün geliştirme” maddesine dayanmak yerine yapay zekâ amacını doğrudan açıklamalı.

İşletme geliştirme istisnası bazı durumlarda gündeme gelebilir; ancak bu istisna her yeni ticari kullanım için genel bir izin anlamına gelmiyor. Kuruluşun yasal şartları karşılaması ve istisnanın sınırları içinde kalması gerekiyor.

Sosyal medya platformları: İçerik üretim araçlarını geliştirmek

Bir sosyal medya platformu profilleri, fotoğrafları, videoları, gönderileri veya kullanıcı etkileşimlerini üretken yapay zekâ destekli içerik üretim araçlarını iyileştirmek için kullanıyor ve rızaya dayanıyorsa yapay zekâya özel bildirim yapmak zorunda.

Kamuya açık kişisel veriler, PDPA’daki kamuya açık veri istisnası kapsamında rıza alınmadan toplanabilir veya kullanılabilir. Ancak bir içeriğin gerçekten kamuya açık olması kritik önem taşıyor. Herkese açık şekilde görülebilen bir gönderi, yalnızca seçili kullanıcılarla paylaşılan veya erişim kontrolleriyle korunan içerikle aynı değerlendirilmiyor.

Bildirim veya opt-out hangi durumlarda gerekmeyebilir?

Veriler gerçekten anonimleştirilmişse

Veriler, belirli kişilerin artık tespit edilemeyeceği şekilde gerçekten anonimleştirilmişse kişisel veri niteliğini kaybeder. Bu durumda PDPA’nın kişisel verilere ilişkin bildirim ve rıza yükümlülükleri uygulanmaz. Takma ad kullanılması veya verilerin maskelenmesi ise otomatik olarak anonimleştirme anlamına gelmez; belirleyici soru, kişilerin hâlâ tespit edilip edilemeyeceğidir.

Geçerli bir PDPA istisnası uygulanıyorsa

Kuruluş, kamuya açık veri istisnası veya şartları karşılandığında işletme geliştirme istisnası gibi yasal bir istisnaya usulüne uygun şekilde dayanabiliyorsa rıza alması gerekmeyebilir. Yapay zekâya özel bildirim zorunluluğu, rızanın gerekli olduğu durumlara bağlıdır; bu düzenleme her yasal yapay zekâ eğitimi kullanımına karşı evrensel bir itiraz hakkı oluşturmuyor.

Kullanılan rıza yöntemi opt-out gerektirmiyorsa

PDPC’nin genel rehberinde opt-out yaklaşımı; bildirim yapılmasını, kişiye makul bir süre tanınmasını ve reddetmesi için makul bir yöntem sunulmasını gerektiren bir süreç olarak açıklanıyor. Bu, yapay zekâyla bağlantılı her veri işleme faaliyetinde mutlaka opt-out seçeneği bulunacağı anlamına gelmiyor. Özellikle kuruluş rıza istisnasına dayanıyorsa, rızaya dayalı bir opt-out mekanizması zorunlu olmayabilir.

Bununla birlikte tüketiciler, rıza vermiş veya PDPA kapsamında rıza vermiş sayılmışsa, uygulanabilir yasal çerçeveye tabi olmak üzere rızalarını geri çekme hakkına sahip olabilir.

Şirketler yapay zekâ eğitimi rızasını hizmet şartı yapabilir mi?

Genel kural, kuruluşların yapay zekâ eğitimi için rıza vermeyen tüketicinin hizmete erişimini, bu eğitim talep edilen ürün veya hizmeti sunmak için makul ölçüde gerekli değilse engellememesi yönünde. Buna göre genel amaçlı bir yapay zekâ asistanı veya hizmetle ilgisiz ticari bir model geliştirmek için alınan rıza, normal bir banka hesabına, alışveriş hizmetine ya da sosyal medya platformuna erişimin şartı hâline getirilmemeli.

Buradaki kilit istisna “gereklilik”. Veri toplama, kullanma veya açıklama faaliyeti tüketicinin talep ettiği hizmet ya da işlem için makul ölçüde gerekli olduğu takdirde rıza hizmetin koşulu olabilir. Bu eşiğin aşılıp aşılmadığı; hizmetin niteliğine, kullanılan verilere ve somut koşullara göre değişir. Rehber, her kuruluş veya yapay zekâ sistemi için tek tip bir yanıt vermiyor.

Tüketiciler bildirimlerde nelere bakmalı?

Bir yapay zekâ bildiriminde en az şu dört unsur aranmalı:

• kişisel verilerin üretken yapay zekâ modelini geliştirmek, eğitmek veya iyileştirmek için kullanılacağının açıkça belirtilmesi;
• kullanılacak veri kategorileri;
• verilerin hangi amaçla ve hangi yöntemle kullanılacağı;
• rızanın reddedilip reddedilemeyeceği veya geri çekilip çekilemeyeceği ve bunun nasıl yapılacağı.

Kuruluşlar ise önce verilerin hâlâ kişisel veri niteliğinde olup olmadığını, bir PDPA istisnasının uygulanıp uygulanamayacağını ve yapay zekâ kullanımının talep edilen hizmet için makul ölçüde gerekli olup olmadığını değerlendirmeli. Ancak bundan sonra yapay zekâya özel bir rıza bildiriminin ve opt-out mekanizmasının gerekip gerekmediğine karar verilebilir.

Singapur’un Temmuz 2026 çerçevesinin ana sınırı burada ortaya çıkıyor: Rızaya dayalı yapay zekâ eğitimi için daha fazla şeffaflık getiriliyor, ancak verilerin hukuka uygun her kullanımına karşı otomatik bir itiraz hakkı tanınmıyor.