KVKK Denetiminde Klinik AI Kullanımını Nasıl Belgeler?

Kliniklerde yapay zeka (AI) kullanımı yaygınlaştıkça, Kişisel Verilerin Korunması Kanunu (KVKK) kapsamındaki yükümlülükler de artıyor. Özellikle hasta randevu hatırlatmaları, sık sorulan soruların yanıtlanması gibi işlemleri otomatikleştiren AI asistanlar, kişisel sağlık verilerini işlediği için denetimlerde sıkı bir incelemeye tabi tutuluyor. Peki bir denetim sırasında hangi belgeleri ibraz etmeniz gerekiyor? İşte adım adım hazırlanmanız gereken kayıt türleri.

1. Aydınlatma Metinleri

KVKK’nın 10. maddesi uyarınca, veri sorumlusu (klinik) kişisel verileri işlemeden önce ilgili kişiyi (hasta) aydınlatmak zorundadır. AI asistanınızın hangi verileri, hangi amaçla, ne kadar süreyle işlediğini açıkça belirten bir aydınlatma metni hazırlayın. Bu metinde, CRM Automation süreçlerinde verilerin nasıl kullanıldığına (örneğin, randevu hatırlatması için iletişim bilgilerinin otomatik işlenmesi) da yer verin. Aydınlatma metnini web sitenizde, klinik içi tabelalarda ve AI asistanın ilk karşılama mesajında (WhatsApp/telefon) sunun.

2. Açık Rıza Kayıtları ve Onay Süreçleri

Sağlık verileri hassas veri sınıfına girdiği için, işlenmeden önce hastanın açık rızası alınmalıdır. Bu rızanın alındığına dair kayıtları (tarih, saat, onay metni, hastanın kimlik bilgisi) düzenli olarak tutun. AI asistanınız üzerinden alınan rızaları, mesajlaşma platformundaki loglar veya CRM üzerinde saklanan onay kayıtlarıyla belgeleyin. Denetimde, her bir hasta için rızanın geçerli olduğunu gösterebilmelisiniz.

3. Veri İşleme Faaliyet Envanteri

KVKK’nın öngördüğü veri işleme faaliyet envanteri, AI asistanınızın işlediği tüm veri kategorilerini, işleme amaçlarını, veri kaynaklarını ve aktarım durumlarını listeleyen bir belgedir. Bu envanterde, AI tarafından otomatik olarak işlenen her bir veri türü (ad, soyad, telefon, mesaj içerikleri, randevu zamanı vb.) için ayrı satırlar oluşturun. Ayrıca, CRM Automation modülü ile entegrasyonunuz varsa, bu sistemler arası veri akışını da envantere ekleyin.

4. CRM Automation ile Veri Yönetim Kayıtları

AI asistanınız bir CRM sistemiyle entegre çalışıyorsa (örneğin, hasta bilgileri otomatik güncelleniyor, randevu geçmişi kaydediliyor), bu etkileşime dair logları düzenli olarak saklayın. Denetimde, aşağıdaki belgeleri hazır bulundurun:

• CRM’den AI’ya ve AI’dan CRM’e iletilen veri akış şeması
• Her bir veri transferinin zaman damgası ve içeriğini gösteren log kayıtları
• Veri minimizasyonu ilkesine uyulduğunu (sadece gerekli verilerin işlendiği) kanıtlayan raporlar

CRM Automation süreciniz, kişisel verilerin silinmesi veya düzeltilmesi taleplerine yanıt vermeyi de içermelidir. Bu taleplerin nasıl karşılandığını gösteren kayıtlar da denetim için kritiktir.

5. Sözleşmeler ve Taahhüt Belgeleri

AI hizmetini bir yazılım sağlayıcısından alıyorsanız, veri işleme sözleşmesi (data processing agreement) imzalamış olmanız gerekir. Bu sözleşmede; veri güvenliği önlemleri, veri aktarımı koşulları, yüklenicinin KVKK’ya uyacağına dair taahhütleri ve denetim hakkı gibi maddeler yer alır. Sözleşmenin güncel bir kopyasını denetim dosyasında saklayın. Ayrıca, AI asistanı kullanımına dair klinik içi yetkilendirme belgeleri (hangi personelin AI üzerinde hangi işlemleri yapabileceği) de istenebilir.

6. Periyodik Denetim Raporları

KVKK uyumunun sürekli olduğunu göstermek için klinik içi periyodik denetim raporları hazırlayın. Örneğin, her üç ayda bir AI asistanın veri işleme faaliyetlerini inceleyen bir rapor oluşturun. Bu raporlarda; tespit edilen uyumsuzluklar, alınan düzeltici önlemler, veri güvenliği ihlali olup olmadığı gibi bilgiler yer almalıdır. AI asistanın otomatik işlemlerinin doğruluğunu ve sadece yetkili kişilerin veriye eriştiğini kanıtlayan erişim logları da rapora eklenebilir.

Sonuç olarak, KVKK denetimine hazırlık, AI kullanımını belgelemekle başlar. Yukarıdaki belge türlerini eksiksiz ve güncel tutarak, denetim sürecini sorunsuz atlatabilirsiniz. Unutmayın: Uyumluluk bir defalık bir iş değil, sürekli bir süreçtir. Düzenli aralıklarla belgelerinizi gözden geçirin ve güncelleyin.