Google, İflas Eden Havayolunun Kurumsal Verisini 10 Milyon Dolara Aldı

Şirketiniz kapanırsa yirmi yıllık e-posta arşiviniz kimin olur?

Bu soru bu hafta teorik olmaktan çıktı. İflas eden ABD havayolu Spirit Airlines'ın kurumsal veri seti, iflas masasında düzenlenen açık artırmada 10 milyon dolarlık teklifle Google'a kaldı. Gelen haberlere göre Google, yapay zeka eğitim verisi şirketi Mercor'un teklifini geçti. Satışın onaylanması için 19 Ağustos'ta ABD İflas Mahkemesi'nde Yargıç Sean Lane önünde duruşma görülecek.

Pakette tam olarak ne var?

Satılan şey bir müşteri listesi değil, bir şirketin kendi kendine ürettiği yirmi yıllık iç kayıt yığını. Mahkeme dosyalarına yansıyan içerik şöyle: 100 milyondan fazla e-posta, yüz milyonlarca Microsoft Teams sohbeti ve iş birliği kaydı, 30 milyon satırın üzerinde kod, yaklaşık 7,5 milyar yolcu işlem kaydı ve 7 milyardan fazla rakip uçuş fiyatı verisi. Buna gelir tabloları, uçak operasyon kayıtları, çalışan verimlilik ölçümleri, denetim ve dolandırıcılık incelemeleri, pazarlama kampanyaları, insan kaynakları ve proje yönetimi belgeleri ekleniyor.

Google'ın açıklaması sade: veri, "ürünlerimizi ve yapay zeka modellerimizi geliştirmekte faydalı olacak".

Kişisel veri gerçekten dışarıda mı?

Anlaşmada yolcu profilleri ve sadakat programı verisi açıkça kapsam dışı tutuldu; Spirit'in 97,5 milyon yolcusuna, 52,4 milyon sadakat üyesine ve 740 bin ortak marka kart sahibine ait kayıtlar satılan pakette yok. Ayrıca Google'a teslimden önce üçüncü bir taraf, veriyi kişisel veri içeren alanlardan arındıracak.

Buradaki incelik şu: "kişisel veri temizlendi" ifadesi, kurumsal yazışmalar söz konusu olduğunda göründüğü kadar kesin değil. Bir e-posta arşivinde kişisel veri yalnızca "ad soyad" alanında durmaz; imza bloklarında, ekli tablolarda, bir müşteri şikâyetinin gövdesinde, bir performans değerlendirmesinde de bulunur. Yüz milyonlarca mesajda bunu tarayan tarafın ne kadar iyi çalıştığını dışarıdan doğrulamanın bir yolu yok. Ayrıca çalışanların kendileri bu satışa taraf değil; kendi yazdıkları mesajların bir yapay zeka eğitim setine dönüşmesine ilişkin bir seçim hakları olmadı.

Sahadan bir uyarı

Bu haberin Türkiye'deki karşılığı, alışılmış "Google yine veri topladı" tepkisinden daha somut. Kullandığınız yazılım tedarikçisi kapanırsa, verinizin hukuki kaderi çoğu sözleşmede yazmıyor. Yıllardır incelediğimiz SaaS sözleşmelerinde veri sahipliği maddesi genelde var, ama devir, birleşme ve iflas halinde ne olacağı büyük çoğunlukla boş.

Pratik olarak şunları sözleşmeye yazdırabilirsiniz: sağlayıcı iflas ederse verinin belirlenmiş sürede iade edilmesi ve imhası; verinin üçüncü taraflara devrinin yazılı izne bağlanması; verinin model eğitiminde kullanılmasının açıkça yasaklanması ya da izne bağlanması; sözleşme bittikten sonra saklanacak yedeklerin süresi. KVKK açısından da veri sorumlusunun değişmesi kendiliğinden meşru bir aktarım yaratmıyor; aydınlatma ve hukuki sebep sorusu masada kalıyor.

Kendi tarafınızda da aynı soruyu sormakta fayda var: bugün kapansanız, sunucularınızdaki yazışma arşivi ve müşteri kayıtları kimin eline geçerdi ve bu, verdiğiniz aydınlatma metniyle uyumlu olurdu muydu?

Kaynaklar: 9to5Google, Quartz, Bloomberg Law