Gayrimenkul sektörü, yapay zekâ (YZ) destekli müşteri eşleştirme, otomatik ilan analizleri ve B2B SaaS platformları ile dijital bir dönüşüm yaşamaktadır. Mülkiyet ve teknolojinin kesiştiği PropTech (Property Technology) sektörü, sunduğu operasyonel kolaylıkların yanında 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında kritik hukuki sorumlulukları da beraberinde getirmektedir. Bu makalede, emlak yazılımları geliştiren startuplar ve bu sistemleri kullanan gayrimenkul şirketlerinin dikkat etmesi gereken temel yasal sınırları ele alacağız.

1. Konum ve Kullanıcı Tercih Verilerinin Hukuki Niteliği

Yapay zekâ algoritmalarının emlak eşleştirmesi yapabilmesi için kullanıcıların bütçe, konum, aile yapısı, iş yeri adresi ve günlük rutinlerine dair verileri işlemesi gerekir.

- Kişisel Veri Niteliği: Tek başına bir konum koordinatı veya genel bir tercih doğrudan bir kişiyi işaret etmeyebilir. Ancak yapay zekanın bu verileri birleştirerek belirli bir gerçek kişiyi tanımlanabilir kılması, bu verileri KVKK m. 3/1-d uyarınca "kişisel veri" statüsüne sokar.

- Doğruluk ve Güncellik: KVKK’nın 4. maddesindeki temel ilkeler gereğince, YZ algoritmalarının işlediği bu verilerin doğru ve gerektiğinde güncel olması hukuki bir zorunluluktur. Algoritmanın hatalı analitiği nedeniyle veri sahibinin mağdur edilmesi, veri sorumlusunun sorumluluğunu doğurur.

2. "Veri Sorumlusu" ve "Veri İşleyen" Ayrımı ve Sorumluluk Sınırları

PropTech ekosisteminde tarafların sıfatlarının doğru tayin edilmesi, olası bir veri ihlalinde yasal muhatabın belirlenmesi açısından hayati önem taşır.

- Gayrimenkul Şirketi (Veri Sorumlusu): Müşteri ile doğrudan temas kuran, verilerin toplanma amacını ve vasıtalarını belirleyen emlak acentesi veya gayrimenkul şirketi Veri Sorumlusudur. Müşteriden aydınlatma ve açık rıza metinlerinin alınması birincil olarak bu tarafa aittir.

- Yazılım Firması / Startup (Veri İşleyen): Gayrimenkul şirketine bu SaaS altyapısını sağlayan, verileri kendi sunucularında veya bulutta YZ algoritmalarıyla analiz eden teknoloji startupları ise genel kural olarak Veri İşleyen sıfatındadır.

- Risk Paylaşımı: Yazılım firmasının verileri tamamen kendi YZ modelini eğitmek veya başka ticari amaçlarla anonimleştirmeden kullanması durumunda, startup da o veri işleme faaliyeti için bağımsız bir Veri Sorumlusu haline gelebilir. Bu nedenle taraflar arasındaki hizmet sözleşmelerinde KVKK taahhütnamelerinin ve sorumluluk sınırlarının net olarak çizilmesi gerekir.

3. KVKK Madde 12 Kapsamında Alınması Gereken Tedbirler

KVKK’nın 12. maddesi, veri güvenliğinin sağlanması amacıyla hem veri sorumlusuna hem de veri işleyene müşterek teknik ve idari tedbirleri alma yükümlülüğü yükler. PropTech girişimlerinin alması gereken bazı kritik önlemler şunlardır:

- Teknik Tedbirler: Bulut veri tabanlarında uçtan uca şifreleme (encryption), YZ modellerine beslenen verilerde maskeleme ve anonimleştirme tekniklerinin kullanılması, sistem sızma testlerinin (penetrasyon) düzenli yapılması ve erişim loglarının değiştirilemez şekilde tutulması.

- İdari Tedbirler: Gayrimenkul danışmanları ile yazılımcılar arasında gizlilik sözleşmelerinin (NDA) imzalanması, veri minimizasyonu ilkesine uyularak "ihtiyaç duyulmayan hiçbir verinin algoritmaya dahil edilmemesi" politikasının benimsenmesi ve güncel veri imha politikalarının oluşturulması.

Sonuç
Yapay zekâ teknolojilerini iş modellerine entegre eden PropTech startupları ve gayrimenkul şirketleri, sadece teknolojik performansa değil, eş zamanlı olarak "hukuki uyumluluk tasarımına" (Privacy by Design) da odaklanmalıdır. Veri koruma mevzuatına uygun bir altyapı inşa etmek, şirketleri ağır idari para cezalarından koruyacağı gibi dijitalleşen emlak piyasasında en büyük güven unsuru ve prestij kaynağı olacaktır.