Yapay zeka ve KVKK ilişkisi şudur: bir yapay zeka sistemi eğitimde, istemde ya da çıktıda kimliği belirli veya belirlenebilir bir kişiye ait veri işliyorsa 6698 sayılı Kanun tümüyle uygulanır. Bu nedenle her yapay zeka projesinde hukuki sebep, aydınlatma, veri minimizasyonu, yurt dışı aktarım, güvenlik ve otomatik kararlara itiraz hakkı proje başında ele alınmalıdır.
Yapay zeka projeleri KVKK'yı neden sonradan hatırlıyor?
Yapay zeka projeleri genellikle teknik bir denemeyle başlar. Bir ekip müşteri e-postalarını bir dil modeline özetletir, bir başka ekip çağrı kayıtlarını metne çevirir, satış ekibi teklif arşivini bir sohbet asistanına bağlar. Deneme işe yarayınca kapsam büyür; KVKK sorusu ise çoğu zaman canlıya geçişten hemen önce, bazen de hiç sorulmaz.
Oysa bu projelerin neredeyse hepsi kişisel veri işler. E-postadaki ad ve telefon, ses kaydındaki müşteri, özgeçmişteki aday ve teklifteki yetkili kişi, Kanun açısından kişisel veridir. Sorun yapay zekanın kendisinde değil, verinin nereye gittiğinin, ne kadar tutulduğunun ve kimin gördüğünün tasarlanmamasındadır. Bu soruların yanıtı, KVKK uyum sürecinin ilk adımı olan kişisel veri envanterinden gelir.
Çalışanların kendi hesaplarıyla kullandığı sohbet araçlarında durum daha da belirsizdir. Bu "gölge yapay zeka" riskini ve kullanım politikasını ChatGPT'ye şirket verisi girmek güvenli mi yazımızda ayrıntılı ele aldık; bu yazı ise kurumun kendi yapay zeka projelerine odaklanıyor.
Kurum ne diyor? KVKK'nın yapay zeka rehberi ve duyurusu
Kişisel Verileri Koruma Kurumu bu alanda iki önemli metin yayımladı. İlki, 24 Kasım 2025'te yayımlanan Üretken Yapay Zeka ve Kişisel Verilerin Korunması Rehberi (15 Soruda); rehber, üretken yapay zeka sistemlerinin yaşam döngüsü boyunca yapılan veri işleme faaliyetlerini 6698 sayılı Kanun çerçevesinde değerlendiriyor.
İkincisi, 5 Mart 2026 tarihli İş Yerlerinde Üretken Yapay Zeka Araçlarının Kullanımı duyurusu. Kurum, bu araçların çoğu zaman tanımlı bir kurumsal strateji ya da politika olmadan, çalışanların bireysel tercihleriyle kullanıldığını ve bunun kurumsal düzeyde izleme ve yönetimi zorlaştırabildiğini vurguluyor.
Kanun'un kendisi de yapay zeka projeleri için doğrudan sonuç doğuran hükümler içerir:
- Genel ilkeler (madde 4): Veri hukuka ve dürüstlük kurallarına uygun olarak, belirli, açık ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmeli; doğru ve gerektiğinde güncel tutulmalı, yalnızca gerekli süre kadar saklanmalıdır. Bir dil modelinin kişi hakkında uydurduğu bilgi doğruluk ilkesini, süresiz tutulan istem kayıtları ise saklama ilkesini doğrudan ilgilendirir.
- Hukuki sebep (madde 5 ve 6): Her işleme için bir sebep gerekir; sağlık ve biyometrik veri gibi özel nitelikli veriler çok daha sıkı şartlara bağlıdır.
- Aydınlatma (madde 10): Kişilere verinin hangi amaçla ve kimlere aktarılarak işlendiği anlatılmalıdır; yapay zeka hizmet sağlayıcısı da bu alıcılardan biridir.
- Otomatik kararlar (madde 11): Kişi, işlenen verilerinin münhasıran otomatik sistemlerle analiz edilmesi sonucunda aleyhine bir sonuç çıkmasına itiraz edebilir.
- Veri güvenliği (madde 12): Yetkisiz erişimi ve hukuka aykırı işlemeyi önleyecek teknik ve idari tedbirler alınmalıdır.
Yurt dışına aktarım: bulut yapay zekanın en sık atlanan başlığı
Yaygın yapay zeka hizmetlerinin büyük kısmı yurt dışındaki sunuculardan çalışır. Bu nedenle bir istemde kişisel veri gönderildiğinde çoğu zaman yurt dışına aktarım da gerçekleşir. Kanun'un 9. maddesi, 7499 sayılı Kanun'la değiştirildi ve yeni hükümler 1 Haziran 2024'te yürürlüğe girdi. Yeni düzende önce yeterlilik kararına bakılıyor; karar yoksa standart sözleşme gibi uygun güvencelerden biri, ikisi de yoksa ancak arızi aktarımlar için sayılan sınırlı istisnalar devreye giriyor. Katmanları ve standart sözleşmeyi KVKK'da yurt dışına veri aktarımı yazımızda ayrıntılı anlattık.
Uygulamada sık başvurulan güvencelerden biri standart sözleşmedir. Kurum'un Standart Sözleşme Bildirim Modülü duyurusuna göre standart sözleşmelerin imzaların tamamlanmasından itibaren beş iş günü içinde Kurum'a bildirilmesi gerekiyor. Yapay zeka sağlayıcısı seçerken verinin nerede işlendiği, modelin eğitiminde kullanılıp kullanılmadığı ve ne kadar tutulduğu sözleşmede açıkça yazmalıdır.
Hareketsiz kalmanın maliyeti
Yapay zeka kullanımı, yönetimin fark ettiğinden hızlı yayılıyor. Verizon 2026 Data Breach Investigations Report verisine göre çalışanların %45'i kurumsal cihazlarında düzenli yapay zeka kullanıcısı (önceki yıl %15) ve kullanıcıların %67'si bu servislere kurumsal olmayan hesaplarla erişiyor. Türkiye'de ise TÜİK Yapay Zeka İstatistikleri 2025 verisine göre 10 ve üzeri çalışanı olan girişimlerde yapay zeka kullanım oranı 2021'de %2,7 iken 2025'te %7,5'e çıktı.
Kontrolsüz yayılmanın bir güvenlik bedeli de var:
IBM'in 2025 raporuna göre kuruluşların %13'ü yapay zeka modeli veya uygulamasında ihlal yaşadı; bunların %97'sinde uygun yapay zeka erişim kontrolleri yoktu. (IBM Cost of a Data Breach Report 2025)
Aynı raporda ihlal yaşayan kuruluşların %63'ünün yapay zeka yönetişim politikası yoktu ya da hâlâ hazırlanıyordu. Kişisel veri içeren bir yapay zeka olayı yaşandığında ise 72 saat içinde veri ihlali bildirimi yükümlülüğü devreye girer; hangi verinin hangi sisteme gittiğini bilmeyen bir kurum bu süreyi yönetemez.
Yapay zeka ve KVKK uyumu için 8 adımlık çerçeve
Aşağıdaki adımlar; sohbet asistanı, belge analizi, ses analitiği ya da tahmin modeli fark etmeksizin her yapay zeka projesine uygulanabilir:
- Kullanım senaryosunu ve veriyi tanımlayın. Sistemin hangi soruya cevap vereceğini, hangi veri kaynaklarını okuyacağını ve hangi kişisel veri kategorilerinin içeri gireceğini yazın. Özel nitelikli veri varsa bunu ayrıca işaretleyin.
- Hukuki sebebi belirleyin. Her senaryo için Kanun'un 5. ya da 6. maddesindeki dayanağı eşleştirin. Açık rızayı ancak başka bir sebep yoksa ve kişi gerçekten reddedebiliyorsa kullanın; iki kavramın farkını açık rıza ile aydınlatma metni farkı yazımızda anlattık.
- Veriyi azaltın, mümkünse anonimleştirin. Model eğitimi ve test için kimlik bilgisi gerekmiyorsa maskeleyin ya da anonim hâle getirin. Özetleme ve sınıflandırmada da modele yalnızca gereken alanları gönderin.
- Barındırma ve aktarım kararını verin. Verinin yurt içinde mi, yurt dışında mı işleneceğini, sağlayıcının veriyi eğitimde kullanıp kullanmadığını belirleyin. Yurt dışı varsa 9. maddedeki güvenceyi seçin; standart sözleşme kullanacaksanız Kurum'a bildirimi de takvime alın.
- Erişimi mevcut yetkilere bağlayın. Kurumsal asistan, kullanıcının zaten göremediği belgeyi ona göstermemelidir. Tek oturum açma (SSO) ve rol bazlı yetkiyle yapay zeka erişimini kişi ve departman düzeyinde yönetin. Kurumsal verinin herkese açık araçlara kopyalanmasını ise DLP ile veri sızıntısı önleme kurallarıyla sınırlayabilirsiniz.
- Aydınlatma metinlerini güncelleyin. Müşteri, çalışan ve aday aydınlatma metinlerine yapay zeka ile yapılan işlemeyi, aktarım alıcılarını ve otomatik değerlendirme varsa bunu ekleyin.
- İnsan denetimi ve itiraz yolunu kurun. Kişi aleyhine sonuç doğurabilecek kararlarda (işe alım elemesi, kredi ya da fiyat kararı gibi) son sözü insana bırakın. Hatalı çıktıyı azaltmak için yapay zeka halüsinasyonunu azaltma yöntemlerini uygulayın.
- Saklama, kayıt ve denetimi planlayın. İstem, cevap ve kayıt loglarının ne kadar tutulacağını saklama ve imha politikasına yazın. Kimin hangi veriyle ne sorduğunu denetim izi olarak tutun ve yılda en az bir kez gözden geçirin.
Hangi mimarinin hangi riski taşıdığını aşağıdaki tablo özetliyor:
| Yaklaşım | Verinin gittiği yer | KVKK açısından ana dikkat noktası |
|---|---|---|
| Çalışanın kişisel hesabıyla genel sohbet aracı | Çoğunlukla yurt dışı, kurum kontrolü dışında | Aktarım, politika ve denetim eksikliği |
| Kurumsal sözleşmeli bulut yapay zeka hizmeti | Sağlayıcının sözleşmedeki bölgesi | Standart sözleşme, eğitimde kullanım yasağı, saklama süresi |
| Kurum verisine bağlı kurumsal asistan (RAG) | Kurumun belirlediği altyapı | Belge yetkilerinin korunması, log saklama |
| Firmaya özel eğitilmiş, kurum içinde çalışan model | Kurumun kendi sunucusu | Eğitim verisinin azaltılması ve anonimleştirilmesi |
Kurumsal asistan mimarisinin nasıl çalıştığını RAG nedir yazımızda, kendi modelinizi eğitmenin ne zaman mantıklı olduğunu ise firmaya özel yapay zeka modeli rehberinde anlattık.
Özel senaryolar: ses, görüntü ve müşteri iletişimi
Bazı yapay zeka uygulamaları daha hassas veri işler. Çağrı merkezi kayıtlarını metne çeviren ve analiz eden sistemlerde ses kaydının kendisi ve konuşmadaki bilgiler kişisel veridir; bunun nasıl yönetileceğini çağrı merkezi ses analitiği yazımızda ele aldık. Görüntü analitiğinde ise kamera kaydına yüz tanıma eklenmesi biyometrik veri işlemeye dönüşür; temel kuralları kamera kaydı ve KVKK rehberinde bulabilirsiniz.
Müşteriyle konuşan sohbet robotlarında kişinin bir yapay zeka ile konuştuğunu bilmesi ve gerektiğinde insana aktarılabilmesi, aydınlatma ve itiraz hakkının pratik karşılığıdır. Tasarım ayrıntıları için müşteri hizmetleri chatbot yazımıza göz atabilirsiniz. Kendi ürünümüz SmartOperator yapay zeka müşteri temsilcisinde bu başlıklar ürün ayarıdır: KVKK aydınlatma metninin bağlantısı sohbet penceresinde görünür, form alanlarına girilen değerler ve ödeme sayfası okunmaz, konuşmaların saklama süresini 7 günden 10 yıla kadar firma belirler ve süresi dolan konuşmalar kendiliğinden silinir. Cevabın karşılığını bulamadığında SmartOperator tahmin yürütmez, konuşmayı ekibinize devreder.
Kişisel veri içeren görüntü, ses ya da belgelerin model eğitimi için işaretlenmesi de bir işleme faaliyetidir. Maskeleme, dış kaynak ve yurt dışı aktarım boyutunu veri etiketleme nedir yazımızda ele aldık.
Digital Bridge'de yapay zeka projelerini KVKK ile birlikte nasıl kuruyoruz?
Yapay zeka projelerinde hukuki değerlendirmeyi sona bırakmıyor, mimarinin bir parçası olarak ele alıyoruz:
- Keşif ve ihtiyaç analizi. Kullanım senaryosunu, veri kaynaklarını ve kişisel veri kategorilerini sizinle çıkarıyor; KVKK uyum danışmanlığı kapsamında hukuki sebep, aydınlatma ve aktarım değerlendirmesini proje başında yapıyoruz.
- Mimari kararı. Verinin kurum dışına çıkmaması gerekiyorsa açık kaynak dil modelleriyle tamamen kurum sunucusunda çalışan bir kurumsal LLM asistanı kuruyoruz; asistan, soruyu soranın yalnızca görmeye yetkili olduğu belgelerden yanıt veriyor.
- Veri hazırlığı ve model eğitimi. Firmaya özel yapay zeka eğitimi projelerinde veriyi önce denetleyip temizliyoruz; kimlik bilgisinin gerekmediği alanları bu aşamada maskelemeyi ya da çıkarmayı planlıyor, modeli bulutta, kendi sunucunuzda ya da sahadaki bir cihazda çalışacak şekilde teslim ediyoruz.
- Pilot. Tek bir departmanda, sınırlı veriyle ve insan denetimi açık şekilde pilot yürütüyor; hatalı çıktıları ve erişim loglarını birlikte inceliyoruz.
- Entegrasyon. Yapay zeka entegrasyonu ile modeli ERP, CRM ya da belge sisteminize bağlarken aktarımı yalnızca gereken alanlarla sınırlayacak şekilde tasarlıyoruz.
Günlük e-posta ve belge işlerinde ise kontrollü yapay zeka kullanımı için kendi ürün ailemiz Smart360 bir seçenek. SmartFiles'ta yapay zeka, okuma ve yazma gibi ayrı bir yetkidir ve kişi ya da departman bazında verilir; yönetici yapay zekayı tamamen kapatabilir. SmartMail'de yapay zeka sohbeti ve yeniden yorumlama posta kutusu bazında ayrı izinlerdir; her kurumun verisi ayrı veritabanında tutulur.
Sonraki adım
İlk adım, şirketinizde bugün kullanılan yapay zeka araçlarının ve bunlara giden verinin listesini çıkarmaktır. Bu liste hem gölge kullanımları hem de uyum açıklarını görünür kılar. Listeyle iletişim sayfamızdan bize ulaşın; öncelikli senaryoyu birlikte seçip hukuki ve teknik değerlendirmeyi yapalım. Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş yerine geçmez; somut durumunuzu hukuk danışmanınızla birlikte değerlendirmenizi öneririz. KVKK ve güvenlik üzerine diğer rehberlerimiz için Siber Güvenlik ve KVKK sayfamıza, temel güvenlik önlemleri için KOBİ siber güvenlik kontrol listesine göz atabilirsiniz.