Beslenmede Yapay Zekâ Kullanırken Hangi Veriler Güvende Olmalı?

Beslenme verisi neden sıradan bir sohbet ayrıntısı değildir?

Bir beslenme planını kişiselleştirmek için yazılan bilgiler çoğu zaman kişinin sağlık durumunun ayrıntılı bir portresini oluşturur. Diyabet tanısı, kullanılan insülin, böbrek fonksiyonları, gebelik, gıda alerjisi veya yeme bozukluğu öyküsü açıkça sağlık verisidir. Yeme günlüğü, sık kusma, istemsiz kilo kaybı ya da belirli bir tıbbi ürün kullanımı gibi bilgiler de tanı adı yazılmasa bile sağlık durumuna ilişkin güçlü çıkarımlar üretebilir.

Türkiye’de sağlık, genetik ve biyometrik veriler 6698 sayılı Kanun kapsamında özel nitelikli kişisel veriler arasında yer alır. GDPR da sağlık verilerine özel koruma tanır. Bu, verinin hiç kullanılamayacağı değil; amaç, hukuki dayanak, güvenlik önlemi ve erişim sınırlarının daha dikkatli belirlenmesi gerektiği anlamına gelir.

Temel ilke: Amaca uygun en az veri

Bir aracın yanıt üretmesi için ihtiyaç duyduğu bilgi, göreve göre değişir. Dört pratik kahvaltı fikri için kişinin adı, doğum tarihi, laboratuvar raporu veya reçetesi gerekmez. Böbrek hastalığında potasyum kısıtlaması gibi klinik bir karar ise ayrıntılı değerlendirme gerektirir; ancak bu durum hassas verileri genel amaçlı bir araca aktarmayı değil, sağlık profesyoneliyle güvenli bir kanalda çalışmayı gerektirir.

Veri minimizasyonu, önce hedefi daraltıp yalnızca bu hedef için gerekli girdileri kullanmaktır. ‘Bana kişisel diyet yaz’ yerine ‘alerjen içermeyen beş genel öğün fikri üret’ daha az veriyle yanıtlanabilir. Eğitim ve fikir üretme amacıyla gerçek kayıt yerine sentetik bir örnek kullanmak da riski azaltabilir; fakat sentetik örnek klinik değerlendirmeye eşdeğer değildir.

İsmi silmek neden tek başına yeterli olmayabilir?

Kimliksizleştirme yalnızca ad-soyadı kaldırmak değildir. Yaş, cinsiyet, nadir tanı, yaşanılan ilçe, çalışılan kurum ve belirli tarihler birlikte verildiğinde kişi yeniden tanınabilir. Serbest metinler ve ekran görüntüleri de beklenmedik tanımlayıcılar barındırabilir. Doğrudan kimlik bilgileri kaldırılmalı, tarih ve yaş gibi ayrıntılar genellenmeli, nadir özellikler azaltılmalı ve metin baştan sona gözden geçirilmelidir.

EDPB’nin yapay zekâ modellerine ilişkin görüşü, anonimliğin varsayılamayacağını ve somut koşullarda değerlendirilmesi gerektiğini vurgular. Rumuz kullanmak riski azaltabilir; veriyi otomatik olarak anonim hâle getirmez.

Gündelik kullanımda daha güvenli bir kontrol listesi

Bir bilgiyi daha önce paylaştıysanız ilgili hizmetin sohbet silme, veri dışa aktarma ve gizlilik başvurusu seçeneklerini inceleyin. Kurumsal veya başka bir kişiye ait veri söz konusuysa kurumunuzun yetkili birimine gecikmeden bildirim yapmanız gerekebilir.

Diyetisyenler, araştırmacılar ve sağlık kurumları için eşik daha yüksektir

Sağlık profesyonelinin yükümlülüğü bireysel kullanıcının dikkatli olmasından ibaret değildir. Aracın kurumsal olarak onaylanması; veri sorumlusu ve veri işleyen rollerinin, erişim yetkilerinin, saklama süresinin, aktarımın, olay bildirim sürecinin ve insan denetiminin açıkça tanımlanması gerekir. NIST ve WHO çerçeveleri de mahremiyet, güvenlik, şeffaflık ve hesap verebilirliğin yapay zekâ yaşam döngüsü boyunca yönetilmesini önerir.

Gerçek hasta ya da araştırma katılımcısı verisi genel amaçlı kişisel hesaplara veya onaysız sistemlere aktarılmamalıdır. Açık rıza bazı işlemler için hukuki dayanak olabilir; ancak gereksiz veri toplamayı, yetersiz güvenliği veya mesleki sorumluluğun devrini otomatik olarak meşru hâle getirmez. Kurum politikası, etik kurul koşulları, sözleşmeler ve mevzuat birlikte değerlendirilmelidir.