ИИ и KVKK в Турции: 10 проверок по руководству регулятора перед работой с данными компании

Менеджер по продажам, готовясь к завтрашней встрече, вставляет в чат-бот список клиентов и прошлогодние коммерческие предложения и получает аккуратную сводку. Специалист по персоналу тем же способом получает выжимку из резюме кандидатов. Бухгалтерия загружает таблицу, чтобы её «просто отформатировали». Никто не действует со злым умыслом, и никто не знает, запрещено это или нет. А у руководства компании в связи с ИИ и KVKK — турецким законом о защите персональных данных — два вопроса: как упорядочить использование этих инструментов и куда уходят данные?

Генеративный ИИ — это системы искусственного интеллекта, которые создают новый контент на основе ввода пользователя: текст, изображения, звук или программный код. С точки зрения KVKK вопрос в том, как по турецкому Закону № 6698 обращаться с персональными данными, обрабатываемыми в таких системах. В статье — десять проверок на основе руководства Ведомства и правила внутреннего использования.

Подпадает ли ИИ под KVKK? Что говорит руководство KVKK о генеративном ИИ?

24 ноября 2025 года турецкое Ведомство по защите персональных данных опубликовало руководство «Генеративный искусственный интеллект и защита персональных данных (в 15 вопросах)». Его главная мысль: персональные данные, обрабатываемые в системах ИИ, тоже должны обрабатываться согласно общим принципам статьи 4 Закона (законность и добросовестность, точность, конкретная и законная цель, соразмерность, ограниченность сроком). Обязанность оператора данных принимать технические и организационные меры по статье 12 в полной мере действует и при использовании ИИ.

Руководство подчёркивает, что роли определяются скорее фактическим контролем, чем договором. Например, если компания встраивает готовую модель в свой процесс найма и сама решает, какие данные загружать, с какой целью их анализировать и как использовать результат, её можно рассматривать как оператора данных. Кроме того, в марте 2026 года Ведомство опубликовало общий аналитический документ «Агентный ИИ (Agentic AI)», поставив вопрос об отдельном рассмотрении более автономных систем ИИ с точки зрения персональных данных.

Чек-лист по KVKK для генеративного ИИ: 10 вопросов

Три момента при применении проверок

• Разделение уведомлений: Руководство считает важным отдельно и явно уведомлять об обработке ради использования интерфейса ИИ и об обработке ради развития системы. Не прочитав условия использования данных у своего поставщика, такое разделение не сделать.
• Передача за рубеж: Если вы пользуетесь ИИ-сервисом поставщика, находящегося за рубежом, Руководство указывает, что это нужно оценить по статье 9 Закона и соответствующему регламенту. Выясните из договора и документов, в какой стране поставщик обрабатывает данные.
• Оценка рисков: Руководство упоминает оценку воздействия на защиту данных как пример хорошей практики для систем ИИ. Обязательной она не названа; но письменная оценка рисков перед запуском нового сценария, пусть даже небольшая, превращает десять проверок в документ.

Какое использование требует меньше внимания, а какое — больше?

Внутреннее правило использования ИИ: шесть пунктов для сотрудников

1. Не вводите в неутверждённые инструменты данные, позволяющие установить личность: имя и фамилию, адрес, телефон, идентификационные и банковские данные.
2. Не загружайте в эти инструменты сведения о третьих лицах — клиентах, сотрудниках или кандидатах — без их ведома.
3. Не пишите в инструмент о чувствительных темах: здоровье, финансовое положение, судебные процессы.
4. По возможности описывайте ситуацию общими словами вместо имён, дат и мест.
5. Узнайте у ИТ-отдела и юристов, какие инструменты утверждены и куда уходят данные.
6. Проверяйте результат ИИ, прежде чем использовать его как своё решение; о подозрении на утечку данных сообщайте сразу.

Копирование в универсальные чат-боты: где это работает, а где нет?

Вставить текст в универсальный чат-бот быстро, не нужны ни установка, ни интеграция; для черновиков, сводок и генерации идей без персональных данных этого часто достаточно. С данными компании этот подход даёт сбой в трёх местах: данные уходят поставщику вне контроля компании, и неизвестно, куда именно; не возникает корпоративного журнала о том, кто что спрашивал; сотрудник каждый раз вручную выбирает и вставляет данные, поэтому риск ошибки и утечки постоянно возникает заново.

Как Корпоративный ИИ (Fero) соотносится с этими проверками?

Решение YazSis Корпоративный ИИ — Fero — спроектировано так, чтобы вместо вставки данных сотрудником выстроить контролируемый доступ к разрешённым рабочим данным. В Fero ИИ не пишет SQL; к данным обращаются только через 17 заданных бизнес-инструментов с доступом только на чтение, произвольные запросы не выполняются. KPI, проценты и отклонения вычисляются на бэкенде, и модель не может назвать число, которого нет в результате инструмента. Приложение подключается к базе данных через учётную запись только с правом чтения, поэтому данные изменить нельзя; экраны собираются из 13 утверждённых компонентов. Эта схема напрямую отвечает на проверку 8 (тип прав) из списка выше.

Честно назовём и ограничения. Сегодня готовый источник данных — MySQL; другие источники рассматриваются в рамках проекта. Кроме того, мы не говорим, что «данные не покидают компанию»: в зависимости от того, как работает модель ИИ, вопросы и сводки результатов инструментов могут уходить во внешний ИИ-сервис; какие сведения могут уходить и какой поставщик будет использоваться, нужно согласовать в ходе проекта. Поэтому на проверки 5, 6 и 9 нужно письменно ответить до старта проекта. Общая рамка нашего подхода к работе ИИ с данными и процессами компании описана на странице искусственный интеллект: ограничить данные и права доступа, связать использование с реальной бизнес-задачей, встроить результат в рабочий процесс, следить за качеством и контролем со стороны человека.

Если вы хотите оценить использование ИИ с данными вашей компании в режиме «только чтение» и на основе инструментов, на странице Корпоративный ИИ можно узнать, как работает Fero, и запросить живую демонстрацию.