Yapay Zekâ Kullanırken KVKK Uyumu Nasıl Sağlanır?

Bir çalışanınız müşteri şikâyetini ChatGPT'ye yapıştırıyor. Bir diğeri İK görüşme notlarını Gemini'ye özetletiyor. Bu işlemlerin KVKK kapsamında ne anlama geldiğini biliyor musunuz?

KVKK, 24 Kasım 2025 tarihinde "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi"ni yayımladı. KVKK'nın üretken yapay zekâ özelinde yayımladığı ilk kapsamlı rehber olan bu belge, şirketlerin yapay zeka KVKK uyumu konusundaki sorularına somut yanıtlar sunuyor. Aşağıda veri sorumluluğundan yurt dışı aktarıma, açık rızadan teknik tedbirlere kadar kurumların bilmesi gerekenleri ele alıyoruz.

Yapay Zekâ Kullanımında Kişisel Veri Nasıl İşlenir?

Üretken yapay zekâ sistemleri kişisel veriyle üç farklı aşamada temas kurar: modelin eğitilmesi, kullanıcının sistemi aktif olarak kullanması ve sistemin çıktı üretmesi. KVKK'nın Üretken Yapay Zekâ Rehberi'ne göre bu işleme faaliyetleri doğrudan ya da dolaylı biçimde gerçekleşebilir.

KVKK'nın 8 Kasım 2024 tarihli Sohbet Robotları Bilgi Notu, ChatGPT gibi araçların hangi verileri işleyebildiğini gözler önüne seriyor. Liste düşündüğünüzden uzun: hesap bilgileri, yüklenen dosyalar, mesaj içerikleri, IP adresi, cihaz bilgileri, çerezler, metin, ses ve konuşma verileri.

Kurumsal bağlamda tablo daha da ağırlaşıyor. Bir hukuk bürosunun sözleşme taslağını yapay zekâya yüklemesi, bir İK uzmanının mülakat notlarını özetletmesi ya da bir satış temsilcisinin müşteri e-postasını analiz ettirmesi — bunların tamamı kişisel veri işleme faaliyetidir. ChatGPT KVKK ilişkisi tam da bu noktada devreye girer; konuyu derinlemesine ele aldığımız iş yerinde ChatGPT kullanımının KVKK'ya aykırı olup olmadığı yazımıza da göz atabilirsiniz. Sektörde gözlemlediğimiz kadarıyla çalışanlar bu araçları kullanırken hangi verileri işlediklerinin çoğunlukla farkında değil; farkındalık eğitimi olmadan bu boşluk kapanmıyor.

Veri Sorumlusu Kim? Şirketin Rolü ve Yükümlülükleri

Yapay zekâ aracını kullanan şirket mi sorumlu, yoksa aracı geliştiren platform mu? KVKK'nın Üretken Yapay Zekâ Rehberi bu soruyu net biçimde yanıtlıyor: veri sorumlusu ile veri işleyen rolleri, işleme faaliyetinin bağlamına, kapsamına ve tarafların fiili karar alma yetkisine göre belirlenir. Aracı kullanan şirket çoğunlukla veri sorumlusu konumundadır; platformu sağlayan taraf ise veri işleyen sayılır.

Sorumluluk şirkette. Tüm hukuki yükümlülükler de onunla birlikte geliyor. 6698 sayılı Kanun'un 4. maddesi, kişisel verilerin belirli ve meşru amaçlarla, bu amaçla sınırlı ve ölçülü biçimde işlenmesini zorunlu kılar. Veri minimizasyonu ilkesi burada doğrudan devreye girer: yapay zekâya yalnızca amacın gerektirdiği kadar veri girilmeli, fazlası paylaşılmamalıdır.

KVKK Madde 6 kapsamındaki özel nitelikli kişisel veriler — sağlık bilgisi, biyometrik veri, sendika üyeliği — yapay zekâ araçlarına hiçbir koşulda girilmemeli ya da en azından çok daha sıkı güvencelerle korunmalıdır. Özel nitelikli veriler söz konusu olduğunda kısmi tedbirler yeterli değildir; bu kategoride tam uyum zorunludur. Veri işleyen konumundaki yapay zekâ sağlayıcısıyla yazılı bir veri işleme sözleşmesi (DPA) imzalanması da KVKK Madde 12 kapsamındaki denetim yükümlülüğünün yerine getirilmesi açısından kritik bir adımdır.

Yapay Zekâya Veri Girmek Yurt Dışına Aktarım Sayılır mı?

Evet, sayılır. ChatGPT, Gemini ve benzeri bulut tabanlı araçların sunucuları büyük çoğunlukla Türkiye dışında konuşlandırılmaktadır. Bu araçlara kişisel veri girmek, KVKK Madde 9 kapsamında yurt dışına veri aktarımı niteliği taşır.

7499 sayılı Kanun'la 1 Haziran 2024'te yürürlüğe giren değişiklikler bu konuyu daha da netleştirdi. Açık rıza artık yurt dışı aktarımda istisnai bir mekanizma konumuna geriledi. Temel yöntemler şunlar: yeterlilik kararı bulunan ülkelere aktarım, standart sözleşmeler ve bağlayıcı şirket kuralları. Standart sözleşmeler, KVKK'nın belirlediği şablonlar aracılığıyla yapay zekâ hizmet sağlayıcısıyla imzalanır; bu şablonlar Kurum'un resmi sitesinde yayımlanmaktadır.

SaaS araçları kullanan işletmeler, sağlık, İK ve hukuk ofisleri bu riski özellikle ciddiye almalı. Yapay zekâ aracının hangi ülkede veri işlediğini, hangi güvence mekanizmasının uygulandığını ve bu bilgilerin aydınlatma metnine yansıtılıp yansıtılmadığını kontrol etmek şart. Pratikte gördüğümüz şu ki bu adım çoğu kurumda henüz sistematik bir sürece bağlanmış değil; fark edildiğinde ise uyum boşluğu zaten bir risk haline gelmiş olabiliyor.

Açık Rıza ve Aydınlatma Yükümlülüğü: Yapay Zekâ Kullanımında Ne Değişiyor?

Her Yapay Zekâ Kullanımında Açık Rıza Gerekir mi?

Hayır, her durumda açık rıza şart değildir. KVKK'nın Açık Rıza Rehberi'ne göre açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızayı ifade eder. Ama bu, veri işlemenin tek hukuki dayanağı anlamına gelmiyor.

KVKK Madde 5, sözleşmenin ifası, hukuki yükümlülüğün yerine getirilmesi ve meşru menfaat (ilgili kişinin temel hak ve özgürlükleriyle dengelenmesi kaydıyla) gibi alternatif hukuki sebepleri düzenler. Yapay zekâ kullanımında önce bu sebepler masaya yatırılmalı; açık rıza yalnızca başka bir hukuki dayanak yoksa gündeme gelmelidir. "Tüm yapay zekâ kullanımları için genel onay alındı" şeklindeki battaniye rıza beyanları ise hukuken geçersiz sayılır.

Aydınlatma Metni Yapay Zekâ Kullanımını Kapsamalı mı?

Kişisel Verileri Koruma Kurulu'nun 18 Şubat 2026 tarihli ilke kararı (2026/347) bu soruyu yanıtlıyor: aydınlatma metni ile açık rıza metni artık Kurul'un ilke kararı uyarınca ayrı belgeler olarak düzenlenmek zorunda. Aynı onay akışında birleştirmek ya da "okudum, kabul ediyorum" ifadesiyle her ikisini tek kutucuğa sığdırmak artık uygun değil.

Pratik adım şu: aydınlatma metninize yapay zekâ aracına aktarılan veri türlerini, aktarım amacını ve alıcı konumundaki yapay zekâ hizmet sağlayıcısını açıkça ekleyin. Örneğin "Müşteri hizmetleri süreçlerinin iyileştirilmesi amacıyla ilgili yapay zekâ hizmet sağlayıcısı platformuna aktarılmaktadır" gibi bir ifade, aydınlatma yükümlülüğünü karşılar.

Şirketler İçin Yapay Zekâ KVKK Uyum Kontrol Listesi

Nereden başlayacağınızı bilmiyorsanız doğru yerdesiniz. KVKK Madde 12 ve NIST AI RMF'nin örtüşen gereklilikleri, şirketlere şu adımları işaret ediyor:

• Yapay zekâ kullanım politikası hazırlayın. Hangi araçların, hangi amaçlarla, kimler tarafından kullanılabileceğini yazılı olarak belirleyin.
• Çalışanlara eğitim verin. Kişisel veri içeren promptların neden riskli olduğunu ve nasıl davranılması gerektiğini aktarın.
• Kişisel veri içeren promptları yasaklayın. Müşteri adı, TC kimlik numarası, sağlık bilgisi gibi verilerin yapay zekâya girilmesini politika düzeyinde engelleyin.
• Kurumsal hesapları tercih edin. Kişisel hesaplar yerine kurumsal lisanslar kullanın; bu hesaplar genellikle veri işleme sözleşmesi içerir.
• Log kayıtlarını tutun. Yapay zekâ araçlarına yapılan erişimleri kayıt altına alın.
• Yetki sınırlaması uygulayın. Her çalışanın her yapay zekâ aracına erişmesi gerekmez; rol bazlı yetkilendirme yapın.
• Veri setlerini anonimleştirin. Yapay zekâya analiz için veri aktarılacaksa önce anonimleştirme veya takma adlandırma uygulayın.
• Yüksek riskli projelerde DPIA yapın. Büyük ölçekli veri işleme, otomatik karar alma veya özel nitelikli veri içeren uygulamalarda mahremiyet etki değerlendirmesi (DPIA) yapılması KVKK'nın 2021 tarihli Yapay Zekâ Tavsiyeleri'nde güçlü biçimde tavsiye edilmektedir; bu adımı atlamak ciddi uyum riski doğurur.

GDPR ve KVKK: Uluslararası Şirketler İçin Yapay Zekâ Uyum Perspektifi

Peki ya hem AB hem Türkiye pazarında faaliyet gösteriyorsanız? Avrupa Veri Koruma Kurulu (EDPB), 17 Aralık 2024'te kabul ettiği Opinion 28/2024'te şunu ortaya koydu: kişisel verilerle eğitilmiş bir yapay zekâ modeli her durumda anonim sayılamaz. Anonimlik, modelden kişisel verilerin çıkarılabilirlik olasılığına göre vaka bazında değerlendirilmelidir.

ICO'nun yapay zekâ ve veri koruma rehberi de KVKK ile büyük ölçüde örtüşen ilkeleri benimsiyor: veri minimizasyonu, şeffaflık, hesap verebilirlik ve güvenlik. GDPR yapay zeka uyumu açısından bu ilkeler, KVKK'nın temel gereklilikleriyle paralel bir çerçeve çiziyor. Privacy by design — veri korumayı sistemin tasarım aşamasından itibaren entegre etmek — her iki sistemde de geçerli ortak zemin.

Hem KVKK hem GDPR kapsamında faaliyet gösteren şirketler için pratik sonuç şu: tek bir güçlü uyum altyapısı her iki yükümlülüğü de karşılayabilir. Uluslararası şirketler için bu, ciddi bir verimlilik avantajı.

Sonuç

Yapay zekâ araçlarını iş süreçlerine entegre eden şirketler için yapay zeka KVKK uyumu, denetim ve ceza riskini doğrudan etkileyen operasyonel bir öncelik haline geldi. KVKK'nın 2024-2025 döneminde yayımladığı rehberler — Üretken Yapay Zekâ Rehberi, Sohbet Robotları Bilgi Notu ve Kişisel Veri Güvenliği Rehberi — bu yolda şirketlere somut bir yol haritası sunuyor. Bu üç adım birbirini tamamlıyor: veri sorumluluğunu netleştirmek, aydınlatma metnini güncellemek ve teknik-idari tedbirleri uygulamak. Birlikte ele alındığında hem yasal uyumu hem de kurumsal güvenilirliği koruyan bir altyapı kuruyorlar.

Yukarıdaki kontrol listesini kendi kurumunuzun yapısına uyarlayarak başlayabilirsiniz. Yurt dışı aktarım veya özel nitelikli veri gibi karmaşık senaryolarda bir hukuk ya da uyum danışmanıyla çalışmanızı öneririz.

Yapay zekâ kullanım politikanızı KVKK'ya uygun hale getirmek için uzmanlarımızla iletişime geçin veya ücretsiz uyum değerlendirmemizden yararlanın.