AI Müşteri Desteği Güvenliği ve KVKK Kontrol Listesi

AI müşteri desteği artık yalnızca hızlı yanıt üretme meselesi değildir. Web widget, WhatsApp, Instagram, e-posta ve telefon kanallarında müşterinin adı, telefonu, sipariş bilgisi, randevu talebi, ses kaydı veya şikayet detayı işlenir. Bu yüzden iyi bir AI destek sistemi önce güvenlik ve veri koruma tasarımıyla başlar.

Bu rehber hukuki danışmanlık değildir; teknik ve operasyonel bir kontrol listesidir. Türkiye'de çalışan işletmeler için KVKK'nın aydınlatma yükümlülüğü, ilgili kişi hakları ve veri güvenliği yükümlülükleri; ürün tasarımında görünür, ölçülebilir ve denetlenebilir hale getirilmelidir.

AI destek sisteminde hangi veriler işlenir?

Bir müşteri destek konuşması basit görünse bile birçok veri katmanını taşır. Kimlik ve iletişim bilgisi, konuşma içeriği, cihaz/IP bilgisi, sipariş veya randevu detayları, operatör notları, ticket geçmişi ve sesli çağrı kayıtları aynı akışta birleşebilir.

Bu verilerin tamamını aynı hassasiyetle ele almak doğru değildir. Örneğin teslimat adresi ile sağlık şikayeti aynı risk seviyesinde değildir. Bu yüzden kanal bazında veri haritası çıkarılmalı; hangi veri neden alınır, ne kadar saklanır, kim erişebilir ve hangi sistemlere aktarılır soruları önceden cevaplanmalıdır.

KVKK için ilk kontrol: aydınlatma ve amaç sınırlaması

KVKK madde 10, veri sorumlusunun aydınlatma yükümlülüğünü düzenler. Pratik karşılığı şudur: müşteri konuşmaya başlamadan önce verisinin hangi amaçla işlendiğini, kimin tarafından işlendiğini, kimlere aktarılabileceğini ve haklarını anlayabilmelidir.

AI destek akışında bu bilgi widget açılışında, form gönderiminde, çağrı başlangıcında veya WhatsApp opt-in sürecinde açık biçimde verilmelidir. Amaç sınırlaması da aynı derecede önemlidir. Randevu almak için verilen telefon numarası, ayrı onay olmadan pazarlama listesine taşınmamalıdır.

Veri minimizasyonu: AI'a gereksiz bilgi sormayın

Güvenli AI sistemlerinde en iyi veri, hiç toplanmayan gereksiz veridir. AI müşteri destek botu sadece talebi çözmek için gereken bilgiyi istemelidir. Sipariş takibi için kimlik numarası, basit randevu için sağlık geçmişi veya fiyat bilgisi için detaylı adres istemek risk üretir.

Pratik kural şudur: her form alanı ve her AI sorusu için "bu bilgi olmadan talebi çözemiyor muyuz?" sorusu sorulmalıdır. Cevap hayırsa o alan kaldırılmalı ya da daha geç aşamaya taşınmalıdır.

Erişim yetkileri ve tenant izolasyonu

Multi-tenant SaaS ürünlerinde en kritik sınır tenant izolasyonudur. Bir işletmenin konuşması, başka bir işletmenin operatörü veya yöneticisi tarafından görülemez olmalıdır. Bu sınır yalnızca arayüzde değil, API guard'larında ve veritabanı sorgularında da korunmalıdır.

Rol bazlı erişim de aynı katmanın parçasıdır. Operatör yalnızca kendi iş akışındaki konuşmayı görmeli, finans veya super admin yetkileri ayrı tutulmalı, hassas ayarlar sadece yetkili kullanıcılarla sınırlanmalıdır. Her kritik erişim loglanabilir ve sonradan denetlenebilir olmalıdır.

Kayıt, saklama süresi ve silme politikası

AI sistemlerinde konuşma geçmişi model kalitesi, ekip takibi ve müşteri deneyimi için yararlıdır; ancak sonsuza kadar saklanması doğru değildir. Her veri kategorisi için saklama süresi belirlenmeli, süre dolduğunda silme veya anonimleştirme süreci çalışmalıdır.

Sesli çağrılarda durum daha hassastır. Aramanın başında AI kullanımı ve kayıt hakkında bilgilendirme yapılmalı, kayıtların kimler tarafından dinlenebileceği ve ne kadar saklanacağı net olmalıdır. Özellikle sağlık, eğitim ve finans gibi alanlarda daha sıkı kurallar gerekir.

Güvenlik headerları, rate limit ve abuse koruması

Public web yüzeyi için HTTPS, HSTS, Content-Security-Policy, X-Frame-Options, Referrer-Policy ve nosniff gibi headerlar temel savunma hattıdır. Bunlar tek başına yeterli değildir; login, callback, form ve API endpoint'lerinde rate limit ve kötüye kullanım kontrolleri de gerekir.

Örneğin "sizi arayalım" formu gerçek bir telefon araması başlatıyorsa, spam riski teknik olarak yönetilmelidir. Origin/referrer kontrolü, tek kullanımlık token, proof-of-work, honeypot alanı, IP/telefon bazlı limit ve kısa süreli telefon kilidi birlikte çalışmalıdır.

Sorumlu bildirim ve security.txt

Güvenlik açıklarının doğru kanala bildirilmesi için standart bir yol sunmak güven sinyalidir. RFC 9116, sitelerin security.txt dosyasıyla güvenlik araştırmacılarına raporlama kanalı ve politika bilgisi sunmasını tanımlar.

Bu dosya genellikle /.well-known/security.txt altında yayınlanır. İçinde e-posta, canonical adres, policy sayfası ve tercih edilen diller yer alabilir. Ancak security.txt yalnız başına güvenlik programı değildir; gerçek değer, gelen bildirimi triage eden, doğrulayan ve düzeltme sürecine alan operasyondadır.

AI yanıt güvenliği: halüsinasyon ve yetki sınırları

AI müşteri destek sistemi bilgi bankası dışına taşarsa yanlış fiyat, yanlış teslimat vaadi veya yetkisiz hukuki/medikal yorum üretebilir. Bu yüzden sistem prompt'u, bilgi bankası kapsamı, devir kuralları ve güven skoru birlikte tasarlanmalıdır.

AI emin olmadığı durumda "bilmiyorum" diyebilmeli ve insan operatöre devretmelidir. Özellikle sağlık tavsiyesi, yatırım yorumu, hukuki değerlendirme, kredi/ödeme garantisi ve resmi kurum işlemleri gibi başlıklar otomatik yanıt sınırının dışında tutulmalıdır.

Operasyonel kontrol listesi

1. Tüm kanallar için veri envanteri çıkarın: web, WhatsApp, Instagram, e-posta, telefon ve ticket.
2. Widget, form ve çağrı başlangıcında aydınlatma metni veya yönlendirmesi gösterin.
3. Gereksiz kişisel veri isteyen form alanlarını ve AI sorularını kaldırın.
4. Tenant izolasyonu, rol bazlı erişim ve audit log kontrollerini test edin.
5. Public endpoint'ler için rate limit, token, honeypot ve origin kontrollerini doğrulayın.
6. Konuşma, ticket ve ses kayıtları için saklama/silme süresi belirleyin.
7. AI'nın cevap vermeyeceği hassas konuları devir kuralına bağlayın.
8. security.txt ve güvenlik politika sayfasını public olarak yayınlayın.

Sonuç

AI müşteri desteği güvenliği, sonradan eklenen bir eklenti değil ürünün çalışma biçimidir. Doğru kurulumda KVKK uyumu, erişim yetkileri, veri minimizasyonu, rate limit, güvenli callback akışı, security.txt ve insan operatöre devir tek bir güven zinciri oluşturur.

Yanıtly bu zinciri tek panelde yönetilebilir hale getirmeyi hedefler: AI chatbot, sesli çağrı asistanı, canlı destek, ticket, WhatsApp ve web widget akışları güvenlik, KVKK ve insan devri ilkeleriyle birlikte tasarlanır.