Giden aramalı bir voicebot projesinde teknik kurulum genellikle iki haftada tamamlanır. Projeyi asıl geciktiren soru şudur: bu numarayı arayabiliyor muyuz ve bu görüşmede ne söyleyebiliyoruz?
Bu soruyu birbirine karıştırılan iki ayrı mevzuat belirler. Birincisi 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve buna bağlı yönetmelik, yani "bu aramayı yapabilir miyim" sorusu. İkincisi 6698 sayılı Kişisel Verilerin Korunması Kanunu, yani "bu veriyi işleyebilir miyim" sorusu. Bir aramanın birinciye uygun olması, ikinciye uygun olduğu anlamına gelmez.
Otomatik arama, mevzuatta zaten tanımlı bir kanal
Ticaret Bakanlığı'nın İleti Yönetim Sistemi tanımı açık: telefon, çağrı merkezi, otomatik arama makinesi, akıllı ses kaydedici sistem, elektronik posta ve kısa mesaj gibi araçlarla ticari amaçla gönderilen iletiler ticari elektronik iletidir (ticaret.gov.tr).
Yani bir voicebot'un yaptığı giden arama, mevzuat açısından yeni bir kategori değil. Otomatik arama zaten kapsam içinde ve ticari amaçlı olduğu anda İYS üzerinden onay kaydı aranıyor, alıcının ret hakkı da aynı sistem üzerinden işliyor (iys.org.tr).
Bu nedenle "yapay zeka arıyor, kayıtlı bir kampanya mesajı değil" argümanının hukuki bir karşılığı yok.
Belirleyici olan teknoloji değil, görüşmenin içeriği
Aramanın ticari elektronik ileti sayılıp sayılmadığını, arayanın kim olduğu değil, görüşmede ne söylendiği belirler. Yönetmelik, devam eden abonelik, üyelik veya ortaklık durumu ile tahsilat, borç hatırlatma, bilgi güncelleme, satın alma ve teslimat gibi durumlara ilişkin bildirimleri önceden onay şartından muaf tutuyor. Ancak bu bildirimlerin herhangi bir mal veya hizmetin tanıtımını içermemesi gerekiyor. Ayrıca tacir ve esnaf niteliğindeki alıcılar için önceden onay aranmıyor, buna karşılık ret hakkını kullandıklarında arama yapılamıyor.
Bunun voicebot tarafındaki pratik sonucu şu: senaryo tasarımı doğrudan hukuki sonuç doğurur.
Randevu hatırlatma araması muafiyet kapsamındadır. Aynı görüşmenin sonunda asistan "Bu arada bu ay özel bir kampanyamız var" derse, arama artık ticari elektronik iletidir ve onay olmadan yapılmış sayılır. Klasik IVR'da bu risk düşüktü, çünkü sistem yalnızca yazılı anonsu okurdu. Serbest konuşabilen bir asistanda ise sınırın senaryo katmanında donanımsal olarak çizilmesi gerekir.
Uygulamada bunu üç kuralla kuruyoruz:
- Ticari içerik ve işlem bildirimi akışları aynı kampanyada birleştirilmez
- Asistanın kampanya, indirim, ürün önerisi türü ifadeler üretmesi model seviyesinde değil, akış seviyesinde engellenir
- Kayıtlar üzerinde düzenli örneklem alınarak senaryo dışına çıkma denetlenir
Üçüncü madde denetim için önemli. Bir aramanın muafiyet kapsamında kaldığını iddia edeceksiniz; bunu kanıtlayacak kayıt ve kontrol izi olmadan iddia zayıf kalır.
Ret hakkı, voicebot'ta bir niyet olarak modellenmelidir
En sık atlanan konu bu. Alıcının reddetme hakkı yalnızca SMS'in altındaki bağlantıdan ibaret değil. Görüşme sırasında kişi "beni bir daha aramayın" derse, bu talebin kayda alınması ve İYS tarafında karşılığının işlenmesi gerekir.
Bir voicebot bu cümleyi ancak bunun için eğitildiyse yakalar. Kullanıcılar ret talebini nadiren düz biçimde söyler. Gerçek kayıtlarda karşılaştığımız ifadeler arasında "bir daha aramayın", "beni listeden çıkarın", "bu numaraya mesaj da atmayın", "izin vermemiştim ben size" gibi varyasyonlar var. Bunların tek bir niyet altında toplanması, akışın anında kesilmesi ve talebin sisteme yazılması gerekir.
Bu akış kurulmadığında ortaya şu tablo çıkar: kişi telefonda açıkça reddetmiştir, sistem bunu bir konu dışı ifade sayıp senaryoya devam etmiştir ve iki hafta sonra aynı numara tekrar aranmıştır. Şikayet başvurusunda savunulabilecek bir durum değildir.
KVKK tarafı: aramayı yapabilmek yeterli değil
İYS onayı, kişisel verinin işlenmesi için hukuki sebep sağlamaz. Bunlar farklı rejimler.
Giden aramalı bir asistan kurulumunda KVKK açısından cevaplanması gereken sorular şunlar:
- Arama listesi hangi hukuki sebeple işleniyor (açık rıza mı, sözleşmenin ifası mı, meşru menfaat mi)
- Aydınlatma yükümlülüğü ne zaman ve nasıl yerine getiriliyor
- Ses kaydı alınıyor mu, alınıyorsa saklama süresi ve imha politikası ne
- Transkript ve analiz çıktıları ayrı bir veri kategorisi olarak mı tutuluyor
- Model ve altyapı sağlayıcısı veri işleyen sıfatıyla mı çalışıyor, sözleşmesi var mı
Aydınlatma konusunda Kurum'un yaklaşımı esnek: yükümlülük sözlü olarak, ses kaydı veya çağrı merkezi gibi kanallar üzerinden de yerine getirilebiliyor. Ancak "yerine getirilebiliyor" ile "getiriliyor" arasında fark var; görüşmenin başındaki bilgilendirme metninin senaryoda tanımlı ve kayıtlı olması gerekir.
Ses kaydı ile ses izi aynı şey değil
Bu ayrım ciddi sonuçlar doğuruyor. Bir görüşmenin ses kaydını almak, kaydı kişisel veri yapar. Ancak kişiyi sesinden tanımak için ses izi (voiceprint) çıkarır ve kimlik doğrulamada kullanırsanız, işlediğiniz veri biyometrik veri kategorisine girer. Biyometrik veriler KVKK'nın 6. maddesi kapsamında özel nitelikli kişisel veridir ve çok daha ağır işleme şartlarına tabidir.
"Müşteri sesinden tanınsın, güvenlik sorusu sormayalım" fikri operasyonel olarak cazip görünür. Hukuki maliyeti hesaplanmadan devreye alındığında, projenin en riskli bileşeni haline gelir.
Yurt dışı işleme sessiz bir karardır
Ses verisinin nerede işlendiği, çoğu projede teknik ekibin farkında bile olmadan belirlenir. Bulut tabanlı bir konuşma tanıma servisi kullanıldığında veri yurt dışına aktarılmış olabilir.
6698 sayılı Kanun'un 9. maddesi 7499 sayılı Kanun ile değiştirildi ve bu değişiklikler 1 Haziran 2024'te yürürlüğe girdi. Yeterlilik kararı bulunmayan ülkelere aktarımda standart sözleşme ve bağlayıcı şirket kuralları gibi uygun güvence yöntemleri öngörülüyor; standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerekiyor (kvkk.gov.tr).
Bu yüzden altyapı modeli seçimi, bir performans tercihi değil bir uyum kararıdır. Konuyu ayrıntılı ele aldığımız veri yerleşimi yazımızda karar ağacını adım adım anlattık.
Avrupa'daki kişileri arıyorsanız ek bir başlık var
Yurt dışında müşterisi olan kurumlar için AB Yapay Zeka Tüzüğü'nün 50. maddesi devrede. Bu madde, insanlarla doğrudan etkileşen yapay zeka sistemlerinin, kişinin bir yapay zeka ile muhatap olduğunu bilmesini sağlayacak şekilde tasarlanmasını zorunlu kılıyor ve bildirimin en geç ilk etkileşim anında yapılması gerekiyor. Madde 2 Ağustos 2026'da uygulanmaya başladı (artificialintelligenceact.eu, Avrupa Komisyonu SSS).
Türkiye'de böyle bir zorunluluk henüz yok. Buna rağmen kayıtları incelediğimizde, görüşmenin başında asistan olduğunu söyleyen akışlarda tamamlanma oranının düşmediğini, aksine itiraz ve "kiminle konuşuyorum" türü kesintilerin azaldığını görüyoruz. Şeffaflığı uyum yükümlülüğü olarak değil, akış tasarımı olarak ele almak daha verimli.
Hatırlatma aramaları neyi değiştiriyor
Otomatik hatırlatmanın randevuya katılım üzerindeki etkisi, sağlık alanında en çok çalışılmış konulardan biri. Cochrane'in mobil mesaj hatırlatmalarını inceleyen sistematik derlemesi, hatırlatmaların randevuya katılımı artırdığı yönünde kanıt sunuyor (Gurol-Urganci ve ark., Cochrane 2013).
Buradaki kritik nokta, bu bulgunun mesaj hatırlatmalarına dair olması. Sesli hatırlatma benzer bir mantıkla çalışsa da etkinin büyüklüğü sektöre, hedef kitleye ve hatırlatmanın zamanlamasına göre değişir. Kendi verinizle ölçmeden bir oran taahhüt etmek doğru olmaz. Bizim önerimiz, hatırlatma akışını canlıya alırken kontrol grubu bırakmak ve ilk üç ayda gerçek etkiyi kendi operasyonunuzda ölçmek.
Canlıya çıkmadan önce kontrol listesi
- Arama listesinin kaynağı ve hukuki sebebi yazılı olarak belirlendi mi
- Görüşme ticari mi, işlem bildirimi mi, ayrım senaryoda net mi
- Ticari akışlarda İYS onay kontrolü arama anında yapılıyor mu
- Ret niyeti tanımlı mı, algılandığında akış kesiliyor ve kayıt açılıyor mu
- Aydınlatma metni senaryonun içinde mi ve kayıtla ispatlanabiliyor mu
- Ses kaydı saklama süresi ve imha akışı tanımlı mı
- Ses izi çıkarılıyorsa özel nitelikli veri rejimi değerlendirildi mi
- Veri hangi ülkede işleniyor, aktarım varsa güvence yöntemi ve bildirimi tamam mı
Bu sekiz maddenin cevabı hazır olduğunda giden arama projesi teknik bir projeye dönüşür. Cevaplar hazır değilse teknik kurulum ne kadar iyi olursa olsun proje canlıya çıkmakta zorlanır.
Anket, hatırlatma ve deneyim ölçümleme akışlarının nasıl kurulduğunu görmek için Anket ve Müşteri Deneyim Ölçümleme sayfalarına bakabilirsiniz.
Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş yerine geçmez. Uygulama öncesinde kendi hukuk ekibinizle değerlendirme yapmanızı öneririz.
Kaynaklar
- T.C. Ticaret Bakanlığı, İleti Yönetim Sistemi (İYS). ticaret.gov.tr
- İleti Yönetim Sistemi A.Ş. iys.org.tr
- Kişisel Verileri Koruma Kurumu, Yurt Dışına Aktarım. kvkk.gov.tr
- EU AI Act, Article 50: Transparency Obligations. artificialintelligenceact.eu
- Gurol-Urganci, I. ve ark. (2013). Mobile phone messaging reminders for attendance at healthcare appointments. Cochrane Database of Systematic Reviews. cochranelibrary.com