AI Sağlayıcısıyla Veri İşleme Sözleşmesi Neden Şart?

Diş klinikleri, hasta randevularından tedavi planlamasına kadar pek çok süreçte Dental AI çözümlerine yöneliyor. Yapay zeka asistanları, hastaların verilerini işleyerek hizmet kalitesini artırırken, beraberinde KVKK (Kişisel Verilerin Korunması Kanunu) kapsamında ciddi yükümlülükler getiriyor. Bu noktada, AI sağlayıcısıyla imzalanacak bir Veri İşleme Sözleşmesi (DPA), sadece yasal bir zorunluluk değil, aynı zamanda kliniklerin finansal ve itibari risklerini yönetmeleri için hayati bir araçtır.

Veri İşleme Sözleşmesi Nedir?

DPA (Data Processing Agreement), veri sorumlusu (klinik) ile veri işleyen (AI sağlayıcısı) arasında yapılan, kişisel verilerin nasıl işleneceğini, saklanacağını ve korunacağını belirleyen bir sözleşmedir. KVKK Madde 12'ye göre, veri sorumlusu, veri işleyenin gerekli güvenlik önlemlerini almasını sağlamakla yükümlüdür. DPA olmadan bu yükümlülük yerine getirilmiş sayılmaz.

DPA Olmadan Çalışmanın Riskleri: Örnek Senaryo

Bir diş kliniğinin Dental AI asistanı kullandığını düşünelim. AI, hasta adı, telefon, tedavi geçmişi gibi verileri işliyor. DPA olmaması durumunda olası riskleri varsayımsal bir senaryoyla inceleyelim:

Kurgusal örnek: AI sağlayıcısının sunucusunda bir güvenlik açığı oluşur ve 500 hastanın verisi sızdırılır. KVKK, ihlalin tespit edilmesinin ardından kliniğe 1.000.000 TL idari para cezası uygular. Ayrıca, hastaların açtığı tazminat davaları ve itibar kaybından doğan müşteri kaybı, toplam maliyeti 2.000.000 TL'ye çıkarır. Oysa kliniğin yıllık AI hizmet bedeli 120.000 TL'dir. DPA imzalanmış olsaydı, sağlayıcının sözleşmedeki sorumluluk maddeleri sayesinde klinik, cezanın bir kısmını sağlayıcıya yansıtabilecek veya en azından uyum sürecini belgeleyerek cezai indirim alabilecekti.

Bu senaryo, DPA'nın yokluğunda tek bir ihlalin klinik için yıllık AI maliyetinin katbekat üzerinde bir zarara yol açabileceğini gösteriyor. DPA'nın maliyeti ise genellikle sadece hukuki danışmanlık ücretinden ibarettir (örneğin 5.000-10.000 TL tek seferlik).

Sözleşmede Aranması Gereken Maddeler

Bir DPA'da mutlaka bulunması gereken başlıca maddeler şunlardır:

• İşleme amaçları ve kapsamı: Hangi verilerin hangi amaçla işleneceği netçe belirtilmeli.
• Veri saklama süresi: Verilerin ne kadar süreyle saklanacağı ve süre sonunda imha yöntemi.
• Güvenlik önlemleri: Şifreleme, erişim kontrolleri, düzenli güvenlik testleri gibi teknik ve idari tedbirler.
• Alt işleyenler (sub-processors): Sağlayıcının başka bir firmayı alt işleyen olarak kullanması durumunda klinikten izin alınması şartı.
• Veri ihlali bildirimi: Herhangi bir ihlal durumunda klinik en geç 72 saat içinde haberdar edilmeli.
• Sorumluluk ve tazminat: Veri ihlalinden kimin ne ölçüde sorumlu olduğu ve tazminat yükümlülükleri.
• Denetim hakkı: Klinik, sağlayıcının uyumunu denetleme yetkisine sahip olmalı.

Ayrıca, sözleşmenin feshi halinde verilerin iade edilmesi veya güvenli şekilde silinmesine dair hükümler de eklenmelidir.

Sonuç

Dental AI kullanımı, diş kliniklerine verimlilik ve hasta memnuniyeti açısından büyük avantajlar sağlar. Ancak bu avantajlar, KVKK uyumu olmadan hızla maliyetli bir riske dönüşebilir. Bir Veri İşleme Sözleşmesi, kliniklerin hem yasal yükümlülüklerini yerine getirmesine hem de olası ihlallerin finansal etkisini sınırlamasına yardımcı olur. Yukarıdaki örnek senaryo, DPA'nın aslında bir maliyet değil, bir yatırım olduğunu açıkça göstermektedir.