Sağlıkta Yapay Zekâ: Kalite Yönetiminde Veri Güvenliği ve İnsan Kontrolü

Sağlıkta yapay zekâ, kalite yönetimi açısından kullanılacak verinin, üretilecek çıktının ve kontrol sorumluluğunun birlikte değerlendirilmesini gerektirir. Bir uygulamanın akıcı bir metin oluşturması, bu metnin doğru mevzuata dayandığını veya kurumda uygulanmaya hazır olduğunu göstermez. Kalite birimi için önemli olan, hangi işin destekleneceğini ve sonucun kim tarafından nasıl doğrulanacağını belirlemektir.

Bu rehber, 14 Ekim 2026 tarihinde incelenen Kişisel Verileri Koruma Kurumunun üretken yapay zekâ rehberi, güncel 6698 sayılı Kanun ve TÜSKA SAS kaynaklarına dayanır. Klinik tanı veya tedavi önerisi vermez. Kalite dokümanları, eğitim içerikleri ve kurum içi kayıt süreçlerinde insan kontrolüyle yürütülebilecek uygulama örneklerini ele alır. Örnek kullanım politikası ve kontrol listesi, bütün kuruluşlar için mevzuatla belirlenmiş tek bir zorunlu form değildir.

Sağlıkta yapay zekâ ile üretken yapay zekâ aynı şey mi?

Sağlıkta yapay zekâ geniş bir uygulama alanıdır; üretken yapay zekâ ise metin ve benzeri içerikler üretebilen sistemleri kapsar. Kurum içindeki bir eğitim taslağını düzenlemek ile hasta için klinik karar üretmek aynı kullanım değildir. Kullanım amacının ayrılması, hem hangi uzmanlığın gerekli olduğunu hem de çıktının nasıl kontrol edileceğini belirlemeye yardımcı olur.

Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, sistemlerin yaşam döngüsü, kişisel veri işleme, hukuki sebep, şeffaflık ve güvenlik konularını ele alır. Bu rehber bir sağlık yazılımı için ruhsat veya klinik uygunluk belgesi değildir. Kuruluşun kullanacağı uygulamanın amacı ve tabi olduğu koşullar ayrıca değerlendirilmelidir.

Kalite yönetiminde hangi işler desteklenebilir?

Kuruluş, kişisel veri içermeyen ve yetkili kişilerce kontrol edilecek işler için kullanım örnekleri geliştirebilir. Onaylı bir prosedürün daha anlaşılır bir eğitim taslağına dönüştürülmesi, bir toplantı gündeminin düzenlenmesi veya bir kontrol listesinin ilk taslağının hazırlanması bunlara örnek olabilir. Bunlar teknik olarak mümkün olabilecek çalışma biçimleridir; her uygulamanın bu işleri aynı doğrulukta yapacağı iddia edilmez.

Önemli ayrım, taslak üretimi ile kurumsal onay arasındadır. Bir uygulamanın hazırladığı metin, yalnız oluşturulduğu için kurumun yürürlükteki dokümanı haline gelmez. İlgili hizmet birimi içeriği, kalite süreci doküman düzenini ve gerektiğinde ilgili uzmanlık alanı mevzuat dayanağını kontrol edebilir. Kullanım ihtiyacı açık değilse yalnız yeni teknoloji olduğu için bir süreç başlatılması gerekli değildir.

Hasta bilgisi bir yapay zekâ uygulamasına yüklenebilir mi?

6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında sağlık verileri özel nitelikli kişisel veriler arasındadır. İşleme şartları, veri güvenliği ve gerektiğinde aktarım koşulları birlikte değerlendirilmelidir. Hastanın bir tıbbi işleme rıza göstermesi, verilerinin farklı bir yapay zekâ uygulamasına her amaçla aktarılması için otomatik izin olarak yorumlanmamalıdır.

Her kullanım için mutlaka aynı tür açık rıza gerektiği de varsayılmamalıdır. Kanundaki güncel işleme şartları, işlemenin amacı, tarafların rolleri ve aktarımın yapısı esas alınmalıdır. Kurum, bilgi güvenliği ve ilgili hukuk süreçleriyle kullanım senaryosunu değerlendirmeden çalışanların kendi hesapları üzerinden gerçek hasta kayıtlarını dış uygulamalara taşımasına dayanan bir işleyiş kurmamalıdır. Genel bir kullanım rehberi, somut veri aktarımının hukuka uygunluğunu tek başına belirlemez.

İsimleri silmek anonimleştirme için yeterli mi?

KVKK rehberi, anonimlik değerlendirmesinde başka verilerle eşleştirilerek de bir gerçek kişiyle ilişkilendirilememe koşulunu açıklar. Bu nedenle bir belgeden yalnız ad ve soyadın silinmesi, kalan bilgilerin gerçekten anonim olduğunu kanıtlamaz. Tarih, nadir bir olay, birim bilgisi veya başka ayrıntılar belirlenebilirliği etkileyebilir. Veri grubu somut olarak değerlendirilmelidir.

Kalite çalışmasında çoğu zaman gerçek hasta öyküsü yerine kişisel veri içermeyen bir örnek senaryo kullanılabilir. Kurum, amacı karşılayan en az veriyle çalışmayı değerlendirebilir. Anonimleştirme yapıldığı ileri sürülüyorsa bu işlemin etkili olduğunun uygun yöntemlerle gösterilmesi gerekir. Anonimleştirme sürecine kadar yapılan işlemler de kişisel veri işleme bakımından ayrıca dikkate alınmalıdır.

Yapay zekâ çıktısında yanlış mevzuat veya kaynak nasıl fark edilir?

Üretken sistemler makul görünen fakat yanlış bilgiler üretebilir. Bir madde numarasının, ölçüt kodunun veya resmî belge adının metinde yer alması, o kaynağın gerçekten mevcut olduğunu göstermez. Kalite dokümanında kullanılan hukuki dayanak, resmî kaynağa gidilerek ve hükmün bağlamı okunarak doğrulanmalıdır. Yalnız ikinci bir yapay zekâ yanıtıyla kontrol yapmak bağımsız kaynak doğrulaması değildir.

Uygulama önerisi olarak her önemli iddia için kaynak, ilgili bölüm, kontrol tarihi ve doğrulayan süreç kaydedilebilir. Bir yönetmelik hükmünün hastanelere mi, ayaktan kuruluşlara mı veya başka bir hizmet türüne mi uygulandığı ayrıca incelenmelidir. Metnin tarihinin güncel görünmesi, kullanılan hükmün güncel olduğu anlamına gelmez. Belirsiz bilgi onaylı dokümana taşınmadan önce açıklığa kavuşturulmalıdır.

SAS açısından doküman onayı ve güncellik nasıl korunur?

SAS Hastane v4 ve SAS Ayaktan Sağlık Hizmetleri v2 doküman yönetimi bölümlerinde kuralların belirlenmesi, dağıtım, güncellik, arşivleme ve dış kaynakların takibi ele alınır. İncelenen iki sette DY.1.3 güncelliği, DY.1.5 dış kaynaklı dokümanların takibini düzenler. Kuruluş kendi programındaki seti esas almalıdır.

Bu ölçütler yapay zekâ kullanımı için özel bir izin veya otomatik uygunluk belgesi değildir. Yapay zekâyla hazırlanan bir taslak da kurumun doküman kontrol sürecinden geçmelidir. Onaydan sonra yapılan içerik değişikliği, güncel sürümün dağıtılması ve önceki sürümün arşivlenmesi kuruluşun belirlenmiş kurallarıyla yürütülebilir. Kaynağı doğrulanmamış yeni cümleler, mevcut onaylı belgeye sessizce eklenmemelidir.

Örnek yapay zekâ kullanım politikası hangi alanları içerebilir?

Kurumun örnek politika çalışması kullanım amacını, izin verilen veri türlerini, çıktı kontrolünü ve sorumlulukları gösterebilir. Teknik aracın adı yerine iş ihtiyacı tanımlandığında politika daha kolay değerlendirilebilir. Hangi işin yalnız taslak aşamasında destekleneceği, hangi içeriklerin ayrıca uzman kontrolüne ihtiyaç duyduğu ve hata halinde nasıl bildirim yapılacağı açıkça belirtilebilir.

Bu alanlar öneridir; belirli bir resmî formun zorunlu başlıkları olarak sunulmaz. Kuruluş, uygulamanın teknik özelliklerini ve sözleşme koşullarını ayrıca değerlendirmelidir. Verinin tutulması, başka amaçla kullanılması veya farklı ülkeye aktarılması gibi konular yalnız pazarlama açıklamasına bakılarak varsayılmamalıdır. Kullanımın koşulları değiştiğinde değerlendirme de yeniden gözden geçirilebilir.

Kontrol edilen bir taslak için hangi kanıtlar saklanabilir?

Kurumsal uygulamada taslağın hangi amaçla oluşturulduğu, hangi kaynaklarla kontrol edildiği ve hangi değişikliklerden sonra onaylandığı izlenebilir. Bunun için gereksiz kişisel veri içeren bütün komut geçmişini sınırsız süre saklamak gerekmez. Kanıt ihtiyacı, veri güvenliği ve saklama amacı birlikte değerlendirilmelidir. Kayıt düzeninin kendisi de ölçülü olmalıdır.

Çıktıda yanlış bir hüküm tespit edilirse yalnız ilgili cümleyi silmekle yetinmeyen bir inceleme yapılabilir. Aynı çalışma yönteminde benzer yanlışların oluşup oluşmadığı ve kontrol adımının yeterli olup olmadığı değerlendirilebilir. Yapılacak iyileştirme, kurumun DİF süreçleriyle ilişkilendirilebilir. Böylece teknoloji kullanımı kalite kontrolünün dışına çıkan ayrı bir alan haline gelmez.

Kalite süreçlerinde yapay zekâ kullanımınızı birlikte planlayalım

Gelin, kurumunuzun hangi kalite işlerinde destek ihtiyacı olduğunu, hangi verilerle çalışıldığını ve çıktının nasıl onaylandığını birlikte değerlendirelim. Veri sınırlarını, resmî kaynak kontrolünü ve sorumluluk akışını netleştirelim. İnsan kontrolüyle doğrulanan taslakların kurumun mevcut SAS ve doküman yönetimi düzeni içinde kullanılabileceği bir çalışma planı oluşturabiliriz.