İtalya'nın Replika kararı: veri koruma kurumu ne buldu?

İtalya’nın kişisel verileri koruma kurumu Garante, yapay zeka arkadaş uygulaması Replika hakkında 2023 ile 2025 arasında birkaç önemli karar verdi. Bu sayfa, kurumun kendi karar metinlerinde ve basın duyurularında yazanları Türkçe okur için özetler. Uygulamanın genel bilgileri Replika profilimizde yer alıyor.

Soruşturma nasıl başladı?

2025 kararına göre Garante incelemeyi kendiliğinden, basın haberleri ve Replika üzerinde yaptığı ön incelemeler üzerine başlattı³. Kurumun anlatımıyla Replika, yazılı ve sesli arayüzü olan ve kullanıcının sırdaş, terapist, romantik partner ya da akıl hocası rolü verebileceği bir “sanal arkadaş” oluşturmasına izin veren bir sohbet botudur⁴. Ayrıca sürekli kullanıcılarla etkileşimden beslenen büyük bir dil modeline dayanır³.

Zaman çizelgesi

• 2 Şubat 2023, geçici kısıtlama: Garante, Replika’yı geliştiren ABD merkezli Luka Inc.‘in İtalya’daki kullanıcıların verilerini işlemesini geçici olarak durdurdu. Kurum gerekçe olarak yaş doğrulaması olmamasını ve uygulamanın küçükler ile duygusal açıdan kırılgan kişiler için risk taşımasını gösterdi¹. Şirketten 20 gün içinde aldığı önlemleri bildirmesi istendi; aksi hâlde 20 milyon euroya ya da yıllık küresel cirosunun yüzde 4’üne kadar ceza uygulanabileceği belirtildi¹.
• 22 Haziran 2023, koşullu askıya alma: Şirket; güncel bir gizlilik bildirimi, kayıt sayfalarına yaş kapısı, erişimi reddedilen kişinin başka bir doğum tarihiyle yeniden denemesini engelleyen bir bekleme süresi ve kullanıcı haklarının kolayca kullanılması gibi önlemleri üstlendi. Garante bu koşullarla kısıtlamayı askıya aldı². İlk dört önlemin 28 Temmuz 2023’e kadar tamamlanması; 18 yaş altının erişimini engelleyecek bir süreç planı ile uygunsuz içeriği bildirme özelliği planının da hizmet yeniden açılmadan 15 gün önce sunulması istendi².
• 10 Nisan 2025, ihlal kararı: Garante, şirketin Şubat 2023 itibarıyla veri işlemenin hukuki dayanağını belirlemediğini, gizlilik politikasının yetersiz olduğunu ve yaş doğrulaması yapmadığını tespit etti. Şirkete 30 gün içinde gizlilik politikasını ve yaş doğrulama sistemini düzeltme emri verdi³. Şirketin 60 gün içinde aldığı önlemleri kuruma bildirmesi de istendi³. Kararın yayımlanan metninden bazı bölümler çıkarılmış; ceza tutarı bu metinde geçmiyor, kurumun 19 Mayıs 2025 duyurusunda yer alıyor⁴.
• 19 Mayıs 2025, ceza duyurusu: Garante’nin basın duyurusuna göre şirkete 5 milyon euro idari para cezası verildi. Kurum ayrıca Replika’nın altındaki üretken yapay zeka modelinin geliştirilmesi ve eğitilmesi sırasında verilerin nasıl işlendiğine dair ayrı bir soruşturma başlattı⁴.

Şirket ne savundu?

Karar metnine göre Luka, AB’de Hollanda’da tek bir işyeri olduğunu ileri sürdü. Garante bunu kanıtlanmış saymadı: Şirketin o tarihteki ve sonraki gizlilik politikalarında ve kullanım şartlarında böyle bir işyerinden söz edilmiyordu. Bu yüzden kurum, kendi ülkesindeki veri işleme için yetkili olduğuna karar verdi³. Şirket yazışmalarında ayrıca Replika’nın App Store’da 17 yaş ve üstü olarak listelendiğini, reddedilen kullanıcılar için 24 saatlik bir bekleme süresi uyguladığını ve 18 yaşından küçük olduğunu söyleyen kullanıcılardan yaşlarını yeniden doğrulamalarını istediğini bildirdi³. Soruşturma açıldıktan sonra ise hukuki dayanak, şeffaflık ve yaş doğrulamasıyla ilgili suçlamalara karşı yazılı savunma ya da belge sunmadı³.

Kurum neyi eksik buldu?

• Gizlilik politikası: İncelenen, 5 Temmuz 2022 tarihli sürümdü. Politika yalnız İngilizceydi ve kolay erişilebilir değildi³. Sohbet için veri işleme ile dil modelini geliştirmek için veri işlemeyi birbirinden ayırmıyordu; hukuki dayanakları da işlem işlem değil, genel ve örtük biçimde anıyordu³. Şirket politikayı 23 Şubat 2024’te yeniden güncelledi; kurum, hukuki dayanakların artık işlem işlem belirtildiğini ve bazı yanlışların düzeltildiğini kaydetti³. Ama karar tarihinde politika hâlâ yalnız İngilizceydi, veri saklama sürelerini açıkça belirtmiyordu ve verilerin ABD’ye aktarılması konusunda yanlış bir izlenim yaratabiliyordu³.
• Yaş doğrulaması: Kurumun teknik incelemesine göre kullanıcı, profilini oluşturduktan sonra doğum tarihini hiçbir doğrulama olmadan değiştirebiliyordu. Gizli tarama kipinde kayıt olunduğunda bekleme süresi de çalışmıyordu. Şirketin sözünü ettiği dil analizi de sistematik değildi: Yaş onayı yalnız kullanıcı 18 yaşından küçük olduğunu çok açık biçimde söylediğinde isteniyordu³.
• Olumlu bulgu: Karar, uygunsuz konuşmaları işaretleme özelliğini olumlu karşıladı ama bu özelliğin etkisinin ölçülemediğini de not etti³.
• İhlal edilen maddeler: Garante, AB Genel Veri Koruma Tüzüğü’nün hukuka uygunluk ve şeffaflık ilkesi ile veri en aza indirme ilkesi (madde 5/1-a ve c), hukuki dayanak (madde 6), bilgilendirme (madde 12 ve 13), veri sorumlusunun sorumluluğu (madde 24) ve tasarımdan itibaren veri koruma (madde 25/1) hükümlerinin ihlal edildiğine karar verdi³.
• Bulunmayan ihlal: Kurum, hizmet küçüklere sunulmadığı için küçüklerin rızasına ilişkin hükümlerin ihlal edildiği sonucuna varacak yeterli gerekçe görmedi³.

Yeni soruşturma neyi soruyor?

19 Mayıs 2025 duyurusuna göre Garante, Luka’dan Replika’nın altındaki dil modelinin geliştirme ve eğitim aşamalarında yaptığı risk değerlendirmelerini, verileri korumak için aldığı önlemleri, işlenen kişisel veri türlerini ve anonimleştirme ya da takma adlandırma gibi yöntemler kullanılıp kullanılmadığını açıklamasını istedi⁴. Bu soruşturmanın sonucu duyuruda yer almıyor.

Sınırlılıklar

Kararın yayımlanan metninde bazı bölümler çıkarılmıştır. Mayıs 2025 duyurusundaki nota göre o tarihte karara karşı itiraz davası sürüyordu; bu yüzden cezalandırma kararının ek yaptırım olarak yayımlanması uygulanmadı⁴. Kararlar İtalya’daki veri işlemeyle ilgilidir ve belirli tarihlerdeki durumu anlatır; uygulamanın bugünkü ayarları farklı olabilir. Şirketin savunmaları kararda aktarıldığı kadarıyla yazıldı; şirketin kendi açıklamalarını ayrıca incelemedik.

Başka araştırmalarla bağlantısı

Replika, Mozilla’nın 2024’te gizlilik uygulamalarını incelediği romantik yapay zeka uygulamaları arasında da vardı; bulgular Mozilla incelemesi özetimizde yer alıyor. AB’de Ağustos 2026’dan beri geçerli olan ve sohbet botlarına yapay zeka olduklarını bildirme zorunluluğu getiren kural ise AB Yapay Zeka Yasası özetimizde anlatılıyor.

Okur için ne anlama geliyor?

Bu kararlar, yapay zeka arkadaş uygulamalarında iki konunun ne kadar önemli olduğunu gösteriyor: yaş doğrulaması ve anlaşılır bir gizlilik politikası. Türkiye’de de 6698 sayılı Kişisel Verilerin Korunması Kanunu, verileri toplayan tarafa verilerin hangi amaçla işleneceğini, kimlere aktarılabileceğini ve toplama yönteminin hukuki sebebini kişiye bildirme yükümlülüğü getirir⁵. Aynı kanun kişiye, verilerinin işlenip işlenmediğini öğrenme ve şartları oluştuğunda silinmesini isteme hakkı tanır⁵. Bir uygulamayı seçmeden önce gizlilik politikasını anlayacağınız bir dilde okuyabildiğinizi, verilerin nerede saklandığını ve hesabınızı nasıl sileceğinizi kontrol edin. Kontrol listesi yapay zeka sevgili güvenli mi rehberimizde, dünyadaki diğer düzenlemeler yasalar rehberimizde yer alıyor.