KVKK ve Yapay Zeka: Güncel Tartışma Başlıkları

KVKK yapay zeka gündemi son iki yılda kurumsal masalarda en çok konuşulan uyum başlıklarından biri haline geldi. Bunun nedeni basittir: yapay zeka sistemleri, işe alım elemesinden müşteri destek asistanına, kredi skorlamasından pazarlama hedeflemesine kadar her yerde kişisel veri işliyor; ve bu veri işlendiği anda KVKK (Kişisel Verilerin Korunması Kanunu) devreye giriyor. Buna rağmen kurumların büyük kısmı "yapay zeka için ayrı bir kanun çıkacak mı, beklesek mi" sorusuyla vakit kaybediyor. Bu rehberin çıkış noktası tam da bu yanlış anlamayı düzeltmek: KVKK yapay zeka için yeni bir kural beklemez; mevcut ilkelerini yapay zekaya uygulamayı bekler.

Bu yazı bir hukuki mütalaa değildir; bilgilendirme amaçlı, kavramsal bir çerçevedir ve her kurumun kendi hukuk ve uyum birimiyle birlikte değerlendirmesi gereken konuları somutlaştırmak için yazılmıştır. Amacımız, KVKK yapay zeka tartışmasının dağınık başlıklarını — açık rıza tartışması, meşru menfaat, otomatik karar, model eğitiminde veri kullanımı ve yurtdışı veri aktarımı — tek bir haritada toplamak, her birinde "mevcut duruş nedir, pratik yaklaşım ne olabilir" sorusuna yapılandırılmış bir cevap vermektir.

Neden bu kadar önemli? Çünkü yapay zeka, kişisel veriyi geçmişte hiç olmadığı kadar geniş ölçekte ve derinlikte işliyor. Bir kurum, on yıl önce bir müşteri kaydını yalnızca saklarken, bugün aynı kaydı bir modele veriyor, ondan çıkarım yaptırıyor, kararı otomatikleştiriyor ve çoğu zaman bunu yurtdışındaki bir bulut servisinde yapıyor. Her yeni yetenek, yeni bir KVKK yapay zeka sorusu doğuruyor. Bu yüzden konuyu "bir seferlik uyum" değil, teknolojiyle birlikte evrilen sürekli bir sorumluluk olarak ele almak gerekiyor. Türkiye'nin yüksek yapay zeka benimseme oranı bu tabloyu daha da acil kılıyor: araçlar hızla yayılırken, uyum çoğu zaman geriden geliyor ve bu boşluk gerçek bir risk üretiyor.

Tanım

KVKK ve Yapay Zeka

Kişisel Verilerin Korunması Kanunu (KVKK) ile yapay zeka arasındaki ilişki; KVKK yapay zekayı adıyla düzenleyen özel bir hüküm içermese de, kişisel veri işleyen her yapay zeka sistemi tümüyle KVKK kapsamındadır. Güncel tartışma, mevcut ilkelerin — hukuka uygun işleme şartı (açık rıza tartışması ve meşru menfaat), amaçla sınırlılık, veri minimizasyonu, şeffaflık, otomatik kararlara itiraz hakkı ve yurtdışı veri aktarımı — yapay zekaya nasıl uygulanacağı üzerinedir.

Ayrıca: KVKK yapay zeka, yapay zeka veri koruması, kişisel veri ve yapay zeka, AI uyum, veri gizliliği ve yapay zeka

KVKK yapay zeka ilişkisini anlamanın en kısa yolu şudur: KVKK, yapay zekayı adıyla düzenleyen tek bir madde bile içermez. Kanun metninde "yapay zeka şu koşullarda kullanılabilir" diyen özel bir hüküm aramak boşunadır; çünkü KVKK teknoloji-tarafsız (technology-neutral) bir kanundur. Onu ilgilendiren şey teknolojinin adı değil, o teknolojinin kişisel veri işleyip işlemediğidir. Bir yapay zeka sistemi kişisel veri işlediği anda — ki müşteri, çalışan veya vatandaş verisiyle çalışan hemen her kurumsal yapay zeka bunu yapar — KVKK'nın tüm yükümlülükleri, sanki bir insan bu işlemi yapıyormuş gibi geçerli olur.

Bu bakış, tartışmayı hemen sadeleştirir. "Yeni bir kanun mu geliyor" sorusu yerine "mevcut ilkeleri nasıl uygularım" sorusu gelir. KVKK'nın temel ilkeleri nettir: her kişisel veri işleme faaliyeti hukuka uygun bir işleme şartına dayanmalı; belirli, açık ve meşru bir amaçla yapılmalı (amaçla sınırlılık); amaç için gerektiği kadar veriyle sınırlı kalmalı (veri minimizasyonu); ilgili kişi bilgilendirilmeli (şeffaflık ve aydınlatma yükümlülüğü); veri güvenli tutulmalı ve ilgili kişinin hakları korunmalıdır. Bu ilkeler yapay zekaya birebir uygulanır; değişen tek şey, yapay zekanın bu ilkeleri uygulamayı zorlaştıran özellikleridir.

İşte KVKK yapay zeka tartışmasının gerçek zemini budur: kanun net, ama uygulama zor. Çünkü yapay zeka, klasik veri işlemenin dört varsayımını sarsar. Birincisi amaç belirsizliği: klasik işlemede amaç en baştan bellidir; yapay zekada model, eğitim sırasında öngörülmeyen kalıplar öğrenebilir ve veri sonradan yeni amaçlarla kullanılabilir. İkincisi ölçek: yapay zeka, milyonlarca kaydı işler; bu, veri minimizasyonu ilkesiyle gerilim yaratır. Üçüncüsü opaklık: derin öğrenme modelleri "neden bu kararı verdi" sorusuna kolay cevap vermez; bu, şeffaflık ve otomatik karar hakkıyla çatışır. Dördüncüsü kalıcılık: veri bir modele "gömüldüğünde", onu geri çekmek klasik bir veritabanından silmek kadar kolay değildir; bu, açık rıza tartışmasının merkezindeki sorundur. Kişisel verinin ne olduğunu ve hangi verinin kapsama girdiğini daha ayrıntılı görmek isterseniz, bir AI risk değerlendirme dokümanı nasıl hazırlanır yazımız iyi bir tamamlayıcıdır.

KVKK yapay zeka tartışması dağınık göründüğü için kafa karıştırıcıdır; oysa aslında birkaç ana eksen etrafında döner. Bu eksenleri bir arada görmek, "hangi başlık gerçekten önemli" sorusuna berrak bir cevap verir ve kurumun enerjisini doğru yere yönlendirir. Aşağıdaki tablo, güncel tartışmanın ana başlıklarını, her birinde bugünkü yaygın duruşu ve kurumların benimseyebileceği pratik yaklaşımı bir arada gösterir. Bu, yapay zeka motorlarının ve arama sonuçlarının da doğrudan alıntılayabileceği bir özet çerçevedir.

KVKK yapay zeka tartışmasının ana eksenleri: başlık, mevcut duruş ve pratik yaklaşım

Tartışma başlığı	Mevcut duruş	Pratik yaklaşım
İşleme şartı seçimi	Açık rıza tartışması: rıza her senaryoya uymuyor, ama alternatif de otomatik değil	Faaliyetin niteliğine göre meşru menfaat veya rızayı yazılı gerekçeyle seç
Otomatik kararlar	Tamamen otomatik, yüksek etkili kararlar hassas alan	İnsan gözetimi, itiraz kanalı ve gerekçe verebilme ekle
Model eğitiminde veri	Kişisel veriyle eğitim otomatik yasak değil ama tartışmalı	Anonimleştir/takma adlaştır, işleme şartı ve amaç uyumunu belgele
Yurtdışı veri aktarımı	Bulut LLM kullanımı çoğu zaman aktarım sayılır	Aktarım mekanizmasını belgele; maskele veya on-premise değerlendir
Şeffaflık / aydınlatma	Model opaklığı aydınlatmayı zorlaştırıyor	Aydınlatma metnini yapay zeka işlemesini kapsayacak şekilde güncelle
Veri minimizasyonu	'Ne kadar çok veri o kadar iyi' refleksiyle çatışıyor	Amaç için gereken minimuma indir; gereksiz alanları ayıkla

Bu tablonun kritik mesajı şudur: KVKK yapay zeka tartışmasının hiçbir ekseninde "yapay zeka yasaktır" ya da "yapay zeka serbesttir" gibi keskin bir cevap yoktur. Her başlık, bir denge ve gerekçelendirme meselesidir. Kurumlar sıklıkla iki uç tuzağa düşer: ya "nasılsa kimse denetlemez" diyerek hiçbir şey yapmaz, ya da "risk çok, hiç yapmayalım" diyerek yapay zekadan tümüyle kaçar. Doğru yol ikisinin ortasındadır: riski tanımla, gerekçeyi belgele, önlemi tasarıma koy ve devam et.

Bir sonraki bölümlerde bu eksenlerin her birini tek tek açıyoruz. Önce en belirleyici olanla — işleme şartı seçimiyle — başlıyoruz; çünkü diğer tüm tartışmaların altında bu soru yatar: "bu kişisel veriyi hangi hukuki temele dayanarak işliyorum?"

KVKK'da hiçbir kişisel veri, havada asılı bir şekilde işlenemez; her işleme faaliyeti bir hukuki işleme şartına (hukuka uygunluk sebebine) dayanmak zorundadır. Bu, KVKK yapay zeka uyumunun birinci ve en temel sorusudur: "bu yapay zeka sistemi kişisel veriyi hangi şarta dayanarak işliyor?" Bu soruya net bir cevap veremeyen bir yapay zeka projesi, ne kadar teknik olarak parlak olursa olsun, hukuki zeminden yoksundur.

KVKK, işleme şartlarını bir liste halinde sayar. Bunların başlıcaları şunlardır: ilgili kişinin açık rızasının bulunması; kanunlarda açıkça öngörülmesi; bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması; veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi; ilgili kişinin kendisi tarafından alenileştirilmiş olması; bir hakkın tesisi, kullanılması veya korunması için zorunlu olması; ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için zorunlu olması. Yapay zeka bağlamında pratikte en çok tartışılan iki tanesi öne çıkar: açık rıza ve meşru menfaat.

Buradaki en yaygın kurumsal hata, işleme şartını "en kolay görüneni" olarak seçmektir. Birçok kurum refleks olarak "rıza alalım, garanti olsun" der; oysa yapay zekada rıza çoğu zaman en kırılgan temeldir. Bir diğer kurum "meşru menfaate dayanırız, iş biter" der; oysa meşru menfaat, ciddi bir denge testi yapmayı gerektirir. Doğru yaklaşım, şartı kolaylık üzerinden değil, faaliyetin gerçek niteliği üzerinden seçmektir. Aşağıdaki iki bölümde bu iki şartı — açık rıza tartışması ve meşru menfaat — ayrı ayrı derinleştiriyoruz. Regüle sektörlerde bu seçimin nasıl bir onay sürecine dönüştüğünü ise regüle sektörde AI onay süreçleri saha notumuzda ele alıyoruz.

Açık rıza tartışması, KVKK yapay zeka gündeminin belki de en yanlış anlaşılan başlığıdır. Yaygın kanı şudur: "kişisel veri işleyeceksem rıza alırım, en garantili yol budur." Bu sezgi, klasik senaryolarda kısmen doğru olsa da yapay zekada çoğu zaman yanıltıcıdır. Nedenini anlamak için KVKK'nın açık rıza tanımına bakmak gerekir: açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanıdır. Bu üç niteliğin — belirlilik, bilgilendirme, özgürlük — her biri yapay zekada ayrı bir sorun çıkarır.

Birincisi belirlilik sorunu. Açık rıza "belirli bir konuya ilişkin" olmalıdır; yani kişi neye rıza verdiğini net bilmelidir. Oysa yapay zeka projelerinde amaçlar çoğu zaman geniş ve öngörülemezdir: bugün müşteri desteği için toplanan veri, yarın bir modelin eğitiminde, öbür gün bir öneri sisteminde kullanılabilir. "Verilerinizi yapay zeka amaçlarıyla işleyeceğiz" gibi muğlak bir rıza, belirlilik ilkesini karşılamaz; battaniye (blanket) rıza geçerli kabul edilmez. Her amaç için ayrı ve net rıza almak ise pratikte çoğu zaman uygulanamaz hale gelir.

İkincisi bilgilendirme sorunu. Rızanın geçerli olması için kişinin ne olacağını anlaması gerekir. Ama derin öğrenme modellerinin nasıl karar verdiğini çoğu zaman geliştiricileri bile tam açıklayamazken, sıradan bir kullanıcıya "bu modelin verinizle tam olarak ne yapacağını" anlaşılır biçimde anlatmak zordur. Bu, bilgilendirmeye dayalı rızayı kırılgan kılar. Üçüncüsü ve en can alıcısı özgürlük ve geri çekilebilirlik sorunudur: KVKK'da açık rıza her zaman geri çekilebilir. Peki bir kişi, verisiyle bir model zaten eğitildikten sonra rızasını geri çekerse ne olur? Modeli baştan eğitmek çoğu zaman pratik değildir; verinin modelden "çıkarılması" teknik olarak son derece zordur. İşte açık rıza tartışmasının düğümlendiği nokta tam da budur: rıza, kalıcı biçimde veri gömen bir teknolojiyle yapısal olarak uyumsuzdur.

Açık rıza tartışması: rızanın hangi niteliği yapay zekada neden zorlanır

Rızanın niteliği	Klasik işlemede	Yapay zekada zorluk
Belirlilik	Amaç baştan net	Amaçlar geniş, değişken, öngörülemez
Bilgilendirme	İşleme anlaşılır anlatılabilir	Model opaklığı anlatımı zorlaştırır
Özgürlük	Hizmet şartına bağlanmamalı	Hizmete zorunlu rıza baskısı riski
Geri çekilebilirlik	Veri silinerek uygulanır	Eğitilmiş modelden çıkarma çok zor

Bu, "açık rıza yapay zekada asla kullanılmaz" demek değildir. Tam tersine, bazı senaryolarda açık rıza kaçınılmazdır: özel nitelikli (hassas) kişisel veriler — sağlık, biyometrik, din, siyasi görüş gibi — söz konusuysa, veya belirli pazarlama ve profilleme faaliyetlerinde açık rıza sıklıkla tek geçerli yoldur. Buradaki mesaj, rızayı bir "refleks" olmaktan çıkarıp bilinçli bir seçim yapmaktır. Açık rıza tartışması, "rıza mı almalıyım" değil, "bu faaliyette rıza gerçekten geçerli ve sürdürülebilir bir temel mi, yoksa daha sağlam bir şart mı var" sorusuyla çözülür. Ve çoğu kurumsal yapay zeka senaryosunda o daha sağlam şart meşru menfaattir.

Açık rıza tartışmasının kilidini çoğu zaman meşru menfaat açar; ama meşru menfaat bir "sihirli anahtar" veya "kolay çıkış" değildir. KVKK'da meşru menfaat, "ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması" şeklinde tanımlanır. Bu tanımdaki her kelime bir koşuldur ve meşru menfaate dayanmak isteyen kurum, bu koşulları yazılı olarak gerekçelendirmek zorundadır. Bu gerekçelendirmeye pratikte üç aşamalı denge testi (meşru menfaat değerlendirmesi) denir.

Birinci aşama menfaatin meşruluğudur. Kurumun peşinde olduğu menfaat gerçek, güncel ve hukuka uygun olmalıdır. "Dolandırıcılığı tespit etmek", "hizmet kalitesini artırmak", "ağ güvenliğini sağlamak" gibi menfaatler tipik olarak meşru kabul edilir; belirsiz veya spekülatif menfaatler ise zayıftır. İkinci aşama gerekliliktir (zorunluluk): işlemenin bu menfaate ulaşmak için gerçekten gerekli olması, yani aynı sonuca daha az veriyle veya kişisel veri işlemeden ulaşılamıyor olması gerekir. Eğer amaç anonim veriyle de gerçekleşebiliyorsa, kişisel veri işlemek "zorunlu" değildir ve meşru menfaat testi burada düşer. Üçüncü aşama dengelemedir: kurumun menfaati ile ilgili kişinin hak ve özgürlükleri tartılır. Kişinin makul beklentisi nedir? İşleme onun için sürpriz mi, yoksa öngörülebilir mi? Etkisi ne kadar ağır? Çocuk gibi kırılgan bir grup söz konusu mu? Bu dengede kişinin hakları ağır basıyorsa, meşru menfaat kullanılamaz.

Yapay zekada meşru menfaatin en güçlü olduğu senaryolar, işlemenin kişi için öngörülebilir ve etkisinin ölçülü olduğu durumlardır: örneğin bir e-ticaret sitesinin, kullanıcının açık rızası olmadan da, dolandırıcılık tespiti için işlem verisini bir modelle analiz etmesi çoğu zaman meşru menfaat kapsamında değerlendirilir; çünkü kullanıcı bunu makul olarak bekler ve fayda ona da yansır. Buna karşılık, aynı verinin kullanıcının hiç beklemediği bir üçüncü tarafa pazarlaması meşru menfaatle savunulamaz. Meşru menfaat, "her şeyi yapabilirim" değil, "öngörülebilir ve dengeli olanı yapabilirim" demektir. Ve bu değerlendirmenin somut bir belgeye dönüşmesi, bir AI risk değerlendirme dokümanı hazırlarken en kritik bölümlerden biridir.

KVKK yapay zeka tartışmasının en somut ve en yüksek etkili başlıklarından biri otomatik karar meselesidir. KVKK, ilgili kişiye, "münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme" hakkını tanır. Bu ifadenin iki kritik kelimesi vardır: "münhasıran otomatik" ve "aleyhine sonuç". Yani bir kararın bu hakkı tetiklemesi için hem tamamen otomatik olması (insan devrede olmadan) hem de kişi üzerinde olumsuz veya önemli bir etki doğurması gerekir.

Bunun pratikte ne anlama geldiğini örneklerle görmek en açıklayıcı yoldur. Bir kredi başvurusunun, hiçbir insan gözden geçirmeden, yalnızca bir skorlama modeliyle reddedilmesi; bir iş başvurusunun, bir yapay zeka elemesiyle otomatik olarak elenmesi; bir sigorta priminin, kişiye özel otomatik bir modelle belirlenmesi — bunların hepsi hem tamamen otomatik hem de kişi üzerinde önemli etki doğuran otomatik karar örnekleridir. Buna karşılık, bir modelin bir e-posta klasörünü "önemli" diye etiketlemesi veya bir ürün önerisi göstermesi, tipik olarak "önemli etki" eşiğini geçmez. Ayrımın kalbi etkidir: karar kişinin hayatını, hukuki durumunu veya önemli çıkarlarını ne kadar etkiliyor?

Peki KVKK bu tür otomatik kararları yasaklıyor mu? Hayır; mutlak bir yasak yoktur. Ama yüksek etkili tamamen otomatik kararlar bir dizi ek yükümlülük getirir ve tasarımda özel dikkat gerektirir. Bunların en önemlisi anlamlı insan gözetimidir (human oversight): kararın nihai noktasında bir insanın anlamlı biçimde devrede olması — göstermelik bir "onay" değil, kararı gerçekten değerlendirebilecek ve değiştirebilecek bir insan. İkincisi itiraz kanalıdır: kişiye, otomatik karar hakkında bilgi verme ve ona itiraz edebilme imkânı sunma. Üçüncüsü açıklanabilirliktir (explainability): kararın hangi temel faktörlere dayandığını, kişiye anlaşılır biçimde açıklayabilme yeteneği. Bir yapay zeka sisteminin tam otomatik mi yoksa insan destekli mi çalıştığı ayrımını daha derinlemesine görmek için AI ajanı ile chatbot arasındaki fark yazımız, otonomi seviyelerini netleştirmede yardımcı olur.

Otomatik karar senaryoları: etki düzeyi ve gereken önlem

Senaryo	Etki düzeyi	Gereken önlem
Kredi/limit reddi	Yüksek (hukuki/finansal)	İnsan gözetimi + itiraz + gerekçe
İşe alım elemesi	Yüksek (fırsat kaybı)	İnsan değerlendirmesi + şeffaflık
Sigorta fiyatlaması	Yüksek (maddi etki)	Denge testi + itiraz kanalı
İçerik/ürün önerisi	Düşük	Şeffaflık yeterli olabilir
Spam/öncelik etiketi	Düşük	Genel bilgilendirme

Tasarım ilkesi buradan çıkar ve çok nettir: yüksek etkili bir kararı bir "kara kutu" modele tamamen bırakmayın. Otomatik karar, verimlilik için mükemmel bir araçtır; ama sonuç kişinin hayatını önemli ölçüde etkiliyorsa, döngüye anlamlı bir insan ve bir itiraz kapısı koymak hem hukuki bir gereklilik hem de etik bir sorumluluktur. Pratikte bunu "insan döngüde" (human-in-the-loop) veya en azından "insan döngü üzerinde" (human-on-the-loop) mimarisiyle çözersiniz; kritik kararlarda öneri modelden, nihai onay insandan gelir.

KVKK yapay zeka tartışmasının belki de en çok kafa karıştıran başlığı, model eğitiminde kişisel veri kullanımıdır. Buradaki en yaygın iki uç yanlış vardır: bir grup "model eğitmek için istediğim veriyi kullanırım, sonuçta öğrenme bu" der; diğer grup "kişisel veriyle model eğitmek yasak" diye düşünür. İkisi de yanlıştır. Doğru cevap arada ve nüanslıdır: model eğitiminde kişisel veri kullanmak otomatik olarak yasak değildir, ama otomatik olarak serbest de değildir; bir dizi koşula bağlıdır.

Birinci koşul, her işleme gibi, geçerli bir işleme şartıdır. Modeli eğitmek için kullanacağınız kişisel veri, ya açık rızaya ya meşru menfaate ya da başka bir şarta dayanmalıdır. İkinci koşul amaç uyumudur (purpose compatibility): veri başlangıçta bir amaçla toplandıysa (örneğin sipariş teslimatı için), onu bambaşka bir amaçla (bir öneri modeli eğitmek) kullanmak, ancak bu ikinci amacın ilk amaçla "bağdaşır" olması hâlinde mümkündür. İki amaç birbirinden çok uzaksa, yeni bir işleme şartı veya yeni bir aydınlatma gerekebilir. Üçüncü koşul veri minimizasyonudur: eğitim için gerçekten gereken alanları kullanmak, kişiyi tanımlayan gereksiz alanları (ad, kimlik no, iletişim) ayıklamak.

İşte burada en güçlü teknik-hukuki araç devreye girer: anonimleştirme ve takma adlaştırma. Eğer eğitim verisini, kişiyi artık tanımlanamayacak biçimde anonimleştirebiliyorsanız, o veri KVKK kapsamından çıkar ve tartışmanın büyük kısmı ortadan kalkar. Anonimleştirme tam sağlanamıyorsa, takma adlaştırma (pseudonymization) — kimlik bilgilerini bir anahtarla değiştirmek — riski önemli ölçüde azaltır, ama veriyi tümüyle kapsam dışına çıkarmaz. En sağlam yaklaşım hiyerarşiktir: önce "bu veriyi hiç kişisel tutmadan eğitebilir miyim" diye sor; olmuyorsa takma adlaştır; o da olmuyorsa geçerli bir şarta dayan ve minimuma indir.

Pratik bir çerçeve şudur: bir belgeyi veya veri kümesini eğitime sokmadan önce üç soruyu yanıtlayın. "Bu veriyi bu amaçla işlemek için hangi işleme şartına dayanıyorum?" "İlgili kişiyi bu işleme hakkında bilgilendirdim mi (aydınlatma)?" "Bu veriyi anonimleştirebilir veya minimize edebilir miyim?" Bu üç sorunun cevabı yazılı olarak kayıt altına alındığında, model eğitiminde veri kullanımı savunulabilir bir zemine oturur. Bu disiplini kurmadan büyük bir kişisel veri kümesiyle model eğitmek, KVKK yapay zeka riskini en yükselttiğiniz noktadır.

KVKK yapay zeka tartışmasının en pratik ve en sık tetiklenen başlığı yurtdışı veri aktarımıdır; çünkü bugün kullanılan güçlü yapay zeka modellerinin çoğu, yurtdışındaki sağlayıcıların bulut altyapılarında çalışır. Bir çalışan, kişisel veri içeren bir metni yurtdışındaki bir dil modeline istem (prompt) olarak gönderdiğinde, çoğu zaman farkında olmadan bir yurtdışı veri aktarımı gerçekleştirir. Ve KVKK'da yurtdışına kişisel veri aktarımı, özel kurallara ve aktarım mekanizmalarına tabidir. Bu, KVKK yapay zeka uyumunda en sık gözden kaçan ve en kolay ihlale açık alandır.

Veri aktarımının kapsamını doğru anlamak gerekir. Aktarım yalnızca bir dosyayı yurtdışına göndermek değildir; verinin yurtdışındaki bir sunucuda işlenmesi, orada saklanması veya oradaki bir hizmete iletilmesi de aktarımdır. Dolayısıyla bir SaaS yapay zeka aracı kullanmak, verileri yurtdışındaki bir vektör veritabanında tutmak veya yurtdışı bir API'ye istem göndermek — hepsi veri aktarımı kapsamındadır. Bu veri aktarımının hukuka uygun olması için KVKK'nın öngördüğü bir aktarım mekanizmasına dayanması gerekir.

KVKK'nın aktarım rejimi zamanla güncellenmiştir ve güncel çerçevede başlıca mekanizmalar şunlardır: ilgili kişinin açık rızası; yeterli korumaya sahip ülkelere aktarımda yeterlilik temelli aktarım; yeterli koruma yoksa uygun güvencelerin (taahhütname, bağlayıcı şirket kuralları gibi) sağlanması; ve belirli istisnai hallerde aktarım. Bu mekanizmaların hangisinin uygulanacağı, aktarılan verinin niteliğine, alıcı ülkeye ve işleme amacına göre değişir. Mekanizma çerçevesi değişebildiği için, güncel durumu her zaman hukuk ve uyum birimiyle teyit etmek gerekir; bu yazı genel bir çerçeve sunar, güncel mevzuatın yerini tutmaz.

Yurtdışı veri aktarımı riskini azaltma yaklaşımları

Yaklaşım	Nasıl çalışır	Dikkat edilmesi gereken
İstemi maskeleme	Kişisel veriyi istemden ayıkla/anonimleştir	Maskeleme eksikse veri yine sızar
Sözleşmesel güvence	Taahhütname / veri işleme sözleşmesi	İçeriği KVKK'ya uygun olmalı
Veri ikametgahı bölgesi	Verinin belirli bir bölgede kalması	Sağlayıcının gerçekten sağladığını doğrula
On-premise / kurum içi	Modeli kendi altyapında çalıştır	Operasyon ve donanım yükü artar
Açık rızaya dayanma	İlgili kişiden aktarıma özel rıza	Rıza geri çekilebilir, kırılgan

Bu tablonun en stratejik satırı on-premise seçeneğidir. Kişisel verinin hassasiyeti yüksekse veya aktarım riski yönetilemiyorsa, modeli yurtdışına veri göndermeden kurum içinde çalıştırmak, yurtdışı veri aktarımı tartışmasını büyük ölçüde ortadan kaldırır. Bu yaklaşımın teknik ve operasyonel boyutunu, kurulumdan operasyona kadar on-premise ve egemen AI altyapısı yazımızda ayrıntılı ele alıyoruz. Elbette on-premise'in kendi maliyeti ve operasyon yükü vardır; ama regüle sektörlerde ve yüksek hassasiyetli verilerde, veri ikametgahı sağladığı için giderek daha çok tercih edilen bir yol haline gelmiştir. Veri aktarımı kararı, teknik mimari kararıyla iç içedir; birini diğerinden ayrı düşünmek hataya davetiye çıkarır.

KVKK'nın en temel ilkelerinden biri şeffaflıktır: ilgili kişi, verisinin kim tarafından, hangi amaçla, hangi hukuki sebeple işlendiğini ve haklarının neler olduğunu bilmelidir. Bu, aydınlatma yükümlülüğü olarak somutlaşır. KVKK yapay zeka bağlamında şeffaflık, iki nedenle özellikle zordur. Birincisi, yapay zeka işlemesi çoğu zaman "görünmezdir": kullanıcı, bir sohbet asistanıyla konuşurken verisinin bir modele gittiğini, saklandığını veya analiz edildiğini fark etmeyebilir. İkincisi, model opaklığı: sistemin verisiyle "tam olarak ne yaptığını" anlaşılır biçimde anlatmak, derin öğrenme söz konusu olduğunda teknik olarak güçtür.

Pratik çözüm, aydınlatma metinlerini yapay zeka gerçeğini kapsayacak biçimde güncellemektir. Birçok kurumun aydınlatma metni, yapay zeka çağından önce yazılmıştır ve "verileriniz hizmet sunumu için işlenir" gibi genel ifadeler içerir; oysa artık bu metnin, "verilerinizin bir yapay zeka sistemi tarafından şu amaçla analiz edileceğini/işleneceğini" açıkça belirtmesi beklenir. Şeffaflık, kişiye teknik bir ders vermek değildir; ona anlamlı, anlaşılır ve dürüst bir resim sunmaktır: ne işleniyor, neden işleniyor, ne kadar saklanıyor, kiminle paylaşılıyor ve kişinin hangi hakları var.

Şeffaflığın otomatik kararla kesiştiği nokta özellikle önemlidir. Kişi, hakkında bir otomatik karar verildiğinde, bunun otomatik olduğunu bilme ve mantığı hakkında anlamlı bilgi alma hakkına sahiptir. Bu, modelin tüm matematiğini açıklamak anlamına gelmez; ama "kararın hangi ana faktörlere dayandığını" anlaşılır biçimde söyleyebilmek gerekir. Örneğin bir kredi reddinde, "geliriniz, mevcut borç yükünüz ve ödeme geçmişiniz değerlendirildi" düzeyinde bir açıklama, hem şeffaflık hem de açıklanabilirlik yükümlülüğünü karşılamaya yaklaşır. Bu tür bir açıklanabilirliği baştan tasarlamak, sistemi kurduktan sonra eklemeye çalışmaktan çok daha kolaydır.

KVKK'nın iki temel ilkesi — veri minimizasyonu ve amaçla sınırlılık — yapay zekanın doğasıyla doğrudan gerilim içindedir ve bu gerilim, KVKK yapay zeka tartışmasının sessiz ama belirleyici bir eksenidir. Yapay zeka kültüründe yaygın bir refleks vardır: "ne kadar çok veri, o kadar iyi model." Bu refleks, "amaç için gereken minimum veriyle sınırlı kal" diyen veri minimizasyonu ilkesiyle doğrudan çatışır. Kurumlar sıklıkla "ileride lazım olur" diyerek gereğinden fazla veri toplar ve saklar; oysa KVKK, toplanan her verinin belirli bir amaca hizmet etmesini ve o amaç için gerekli olmasını ister.

Amaçla sınırlılık ilkesi ise verinin, toplandığı amaç dışında kullanılmamasını gerektirir. Yapay zekada bu ilke özellikle zorlanır; çünkü bir kez toplanan zengin bir veri kümesi, kurum için sürekli yeni "fırsatlar" doğuruyormuş gibi görünür: "madem bu veri elimizde, bir de şu modeli eğitelim." İşte bu "fonksiyon sürünmesi" (function creep) — verinin, orijinal amacından yavaşça uzaklaşarak yeni amaçlara kayması — KVKK ihlallerinin en sinsi kaynağıdır. Amaçla sınırlılık, tam da bu kaymayı frenlemek için vardır.

Peki bu ilkeler yapay zekayı imkânsız mı kılar? Hayır; onu daha disiplinli kılar. Veri minimizasyonunu uygulamanın pratik yolları vardır: eğitim ve çıkarım için gerçekten gereken alanları belirlemek; kişiyi tanımlayan ama modele katkısı olmayan alanları (ad, kimlik no, tam adres) ayıklamak; mümkün olduğunda toplu (aggregate) veya anonim veriyle çalışmak; ve saklama süreleri tanımlayıp süresi dolan veriyi silmek. Amaçla sınırlılığı korumanın yolu ise her yeni yapay zeka kullanımını, verinin orijinal amacıyla karşılaştırmaktır: "bu yeni kullanım, verinin toplandığı amaçla bağdaşır mı, yoksa yeni bir şart mı gerekiyor?" Bu soruyu her seferinde sormak, fonksiyon sürünmesini engeller.

İlginç olan şudur: veri minimizasyonu yalnızca bir hukuki yükümlülük değil, aynı zamanda iyi bir mühendislik pratiğidir. Daha az ve daha temiz veriyle çalışan bir model, çoğu zaman daha az gürültü, daha düşük maliyet ve daha kolay yönetilebilir bir sistem demektir. "Her veriyi topla" refleksi, hem hukuki risk hem de teknik borç üretir. KVKK'nın minimizasyon ilkesi, aslında kurumları daha sağlıklı bir veri disiplinine iter; bu yüzden onu bir engel değil, bir tasarım prensibi olarak benimsemek gerekir.

KVKK yapay zeka tartışmasında özel bir dikkat gerektiren alan, özel nitelikli (hassas) kişisel verilerdir. KVKK, bazı veri kategorilerini — sağlık, cinsel hayat, biyometrik ve genetik veriler, din, mezhep ve felsefi inanç, ırk ve etnik köken, siyasi görüş, kılık kıyafet, dernek-vakıf-sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleri — daha yüksek bir koruma rejimine tabi tutar. Bu verilerin işlenmesi, sıradan kişisel veriye göre çok daha dar koşullara bağlıdır ve yapay zeka söz konusu olduğunda risk katlanarak artar.

Yapay zeka, hassas veriyi iki yoldan işleyebilir; ve ikincisi çok daha sinsidir. Birincisi doğrudan işlemedir: bir sağlık yapay zekası hastalık verisiyle çalışır, bir biyometrik doğrulama sistemi yüz veya parmak izi işler. Bu durumda özel nitelikli verinin işlendiği açıktır ve KVKK'nın sıkı koşulları (kural olarak açık rıza veya kanunun öngördüğü sınırlı istisnalar) doğrudan devreye girer. İkincisi ise çıkarım yoluyla işlemedir: bir model, hassas olmayan verilerden hassas sonuçlar çıkarabilir. Örneğin alışveriş kalıplarından sağlık durumu, gezinme geçmişinden siyasi eğilim, ses tonundan duygusal durum çıkarımı yapılabilir. Bu "çıkarımsal hassas veri" sorunu, yapay zekanın en tartışmalı KVKK boyutlarından biridir; çünkü kurum, hassas veri "toplamadığını" düşünürken model onu üretebilir.

Pratik yaklaşım nettir: hassas veriyle çalışan veya hassas çıkarım yapan bir yapay zeka sistemi, en yüksek özenle tasarlanmalıdır. Bu, kural olarak açık rızaya dayanmayı (meşru menfaat çoğu hassas veri senaryosunda yeterli bir temel değildir), veri minimizasyonunu en katı biçimde uygulamayı, güçlü erişim kontrolü ve şifreleme kullanmayı ve mümkünse hassas çıkarımı baştan tasarımla engellemeyi gerektirir. Bir sistem, hassas sonuç üretmemesi gerekiyorsa, bu kısıtlama modele ve çıktı denetimine gömülmelidir. Hassas veri, KVKK yapay zeka riskinin en yükseldiği alandır; burada "acaba olur mu" değil, "en güvenli yol ne" diye sorulmalıdır.

KVKK, ilgili kişiye (verisi işlenen kişiye) bir dizi hak tanır ve bu haklar yapay zeka karşısında da geçerlidir; ama uygulanmaları klasik sistemlere göre çok daha zordur. Bu hakların başlıcaları şunlardır: kişinin verisinin işlenip işlenmediğini öğrenme, işleme amacını ve verinin kimlere aktarıldığını öğrenme, eksik veya yanlış işlenen verinin düzeltilmesini isteme, verinin silinmesini veya yok edilmesini isteme, otomatik kararlara itiraz etme ve zararın giderilmesini talep etme. KVKK yapay zeka uyumu, bu hakların "kağıt üzerinde" değil, "gerçekten kullanılabilir" olmasını gerektirir.

Zorluk şudur: bir yapay zeka sistemi, veriyi klasik bir veritabanı gibi düzenli satırlarda tutmaz. Silme hakkını ele alalım. Bir kişi verisinin silinmesini istediğinde, bunu bir kayıttan silmek kolaydır; ama o veri bir modeli eğitmek için kullanıldıysa, veriyi modelden "geri almak" son derece zordur. Bu, silme hakkının yapay zekada nasıl anlamlı biçimde uygulanacağı sorusunu doğurur ve tasarımı baştan etkiler: eğitim verisiyle modelin ilişkisini izlenebilir kılmak, hassas verileri anonimleştirmek ve gerektiğinde yeniden eğitim planlamak, bu hakkı uygulanabilir tutmanın parçalarıdır.

Düzeltme hakkı da ilginç bir sorun çıkarır. Bir yapay zeka sistemi, bir kişi hakkında yanlış bir çıkarım üretirse (örneğin yanlış bir risk skoru), kişi bunun düzeltilmesini isteyebilir; ama modelin nasıl karar verdiği opaksa, "neyin düzeltileceği" bile belirsiz olabilir. İşte bu yüzden açıklanabilirlik yalnızca bir şeffaflık meselesi değil, aynı zamanda ilgili kişi haklarının kullanılabilmesinin de ön koşuludur. Pratik bir kurum, bu hakları karşılamak için baştan bir mekanizma kurar: bir başvuru kanalı, başvuruyu değerlendirecek bir süreç, veriyi bulup düzeltebilecek veya silebilecek bir teknik altyapı ve tüm bunların denetim kaydı. Haklar, sistem kurulduktan sonra eklenen bir "form" değil, tasarımın parçası olmalıdır.

KVKK, veri sorumlusuna kişisel veriyi güvende tutma yükümlülüğü yükler; ve yapay zeka, bu yükümlülüğe yeni ve alışılmadık tehdit yüzeyleri ekler. KVKK yapay zeka uyumunun teknik tarafı büyük ölçüde bu güvenlik boyutunda düğümlenir; çünkü en iyi hukuki tasarım bile, veri sızarsa çöker. Yapay zekaya özgü güvenlik riskleri, klasik veri güvenliğinin ötesine geçer ve özel önlem gerektirir.

Birinci risk, daha önce değindiğimiz eğitim verisi sızıntısıdır: kişisel veriyle eğitilmiş bir model, o veriyi doğru istemle çıktı olarak üretebilir. İkinci risk, istem (prompt) yoluyla veri sızıntısıdır: çalışanlar, kişisel veri içeren metinleri dış bir yapay zeka aracına yapıştırdığında, o veri kurum dışına çıkar. Bu, çoğu kurumun farkında bile olmadığı yaygın bir sızıntı kanalıdır. Üçüncü risk, prompt injection'dır: kötü niyetli bir girdi, modeli talimatlarının dışına çıkmaya, gizli bilgiyi ifşa etmeye veya yetkisiz bir işlem yapmaya kandırabilir. Bir yapay zeka asistanı, erişim kontrolü zayıfsa, bir kullanıcının görmemesi gereken veriyi "ikna edilerek" ifşa edebilir.

Bu risklere karşı önlemler katmanlıdır. Erişim kontrolü en temel katmandır: model, yalnızca kullanıcının yetkili olduğu veriye erişebilmelidir; yetki, getirme (retrieval) katmanında filtrelenmelidir, üretme adımına bırakılmamalıdır. İkinci katman girdi/çıktı denetimidir: sisteme giren istemlerde ve çıkan yanıtlarda kişisel veriyi tespit edip maskeleyen kontroller. Üçüncü katman şifreleme ve saklamadır: verinin aktarımda ve saklamada şifrelenmesi, saklama sürelerinin uygulanması. Dördüncü katman denetim kaydıdır: kim, ne zaman, hangi veriye eriştiğinin kaydı — hem güvenlik hem hesap verebilirlik için. Bu güvenlik katmanlarını kurum içinde tutmanın en radikal yolu, veriyi hiç dışarı çıkarmayan bir on-premise altyapı kurmaktır; regüle sektörlerde bu tercih giderek yaygınlaşıyor. Güvenlik, KVKK yapay zeka uyumunun hukuk kadar teknik olan yüzüdür ve ikisi ayrılamaz.

KVKK yapay zeka tartışması her sektörde aynı ağırlıkta yaşanmaz; verinin hassasiyeti ve kararın etkisi arttıkça, uyum yükü de artar. Sektörel bir bakış, kurumların kendi bağlamlarında nereye odaklanmaları gerektiğini netleştirir. Aşağıda, en yüksek hassasiyetli birkaç sektörün KVKK yapay zeka açısından öne çıkan özellikleri özetlenmiştir.

Bankacılık ve finansta tartışma en çok otomatik karar ve profilleme etrafında yoğunlaşır. Kredi skorlama, limit belirleme, dolandırıcılık tespiti ve müşteri segmentasyonu — hepsi yüksek etkili otomatik kararlar üretebilir ve KVKK'nın itiraz hakkı hükümlerini doğrudan tetikler. Ayrıca finans sektörü, KVKK'nın yanında sektörel düzenlemelerin de kapsamındadır; bu da çok katmanlı bir uyum gerektirir. Bu sektörde insan gözetimi, açıklanabilirlik ve model yönetişimi vazgeçilmezdir. Regüle sektörde bir yapay zeka projesinin onay katmanlarından nasıl geçtiğini regüle sektörde AI onay süreçleri saha notumuzda somut biçimde anlatıyoruz.

Sağlıkta ise tartışmanın merkezinde özel nitelikli veri vardır. Sağlık verisi, KVKK'nın en yüksek koruma rejimine tabidir; bir tıbbi teşhis modeli, bir hasta takip asistanı veya bir görüntü analiz sistemi, kural olarak açık rıza ve çok sıkı güvenlik önlemleriyle çalışmalıdır. Sigortada tartışma, risk fiyatlaması ve profilleme etrafında döner; kişiye özel prim belirleyen otomatik bir model, hem otomatik karar hem hassas çıkarım risklerini bir arada taşır. Kamuda ise şeffaflık ve hesap verebilirlik öne çıkar; vatandaş hakkında karar veren bir kamu yapay zekası, en yüksek düzeyde açıklanabilir ve itiraz edilebilir olmalıdır. Her sektörün ortak dersi şudur: veri ne kadar hassas ve karar ne kadar etkiliyse, KVKK yapay zeka uyumu o kadar erken ve o kadar derin düşünülmelidir. Sektörünüze özel bir dosya için kurumsal yapay zeka danışmanlığı doğru başlangıç noktasıdır.

KVKK yapay zeka tartışmasını yalnız KVKK üzerinden düşünmek, çoğu Türk kurumu için eksik bir resim verir; çünkü Türkiye'deki birçok kurum aynı anda başka düzenlemelerin de kapsamındadır. En önemli iki kesişim GDPR (Avrupa Genel Veri Koruma Tüzüğü) ve EU AI Act (Avrupa Yapay Zeka Yasası) ile olur. Avrupa'ya ürün veya hizmet sunan, Avrupalı müşterilerin verisini işleyen ya da Avrupa'daki bir grup şirketinin parçası olan Türk kurumları, KVKK'nın yanı sıra bu düzenlemelere de tabi olabilir.

KVKK ile GDPR büyük ölçüde benzer bir felsefeyi paylaşır: her ikisi de aynı temel ilkelere (işleme şartı, amaçla sınırlılık, veri minimizasyonu, şeffaflık, ilgili kişi hakları) dayanır. Bu benzerlik bir avantajdır: KVKK'ya uygun tasarlanmış bir yapay zeka sistemi, GDPR uyumuna da önemli ölçüde yaklaşmış olur. Ancak farklar da vardır; örneğin meşru menfaatin uygulanış nüansları, otomatik karar hükümlerinin kapsamı ve yurtdışı aktarım mekanizmaları iki rejimde farklılıklar gösterebilir. Bu yüzden "KVKK'ya uyduk, GDPR da tamamdır" varsayımı tehlikelidir; iki rejim ayrı ayrı değerlendirilmelidir.

EU AI Act ise farklı bir katman ekler; çünkü o bir veri koruma kanunu değil, doğrudan bir yapay zeka düzenlemesidir. AI Act, yapay zeka sistemlerini risk seviyelerine göre sınıflandırır (kabul edilemez, yüksek, sınırlı, minimal risk) ve özellikle yüksek riskli sistemlere — işe alım, kredi değerlendirme, kritik altyapı gibi — şeffaflık, insan gözetimi, veri yönetişimi ve dokümantasyon gibi somut yükümlülükler getirir. Bir Türk kurumu, Avrupa pazarına yönelik yüksek riskli bir yapay zeka sistemi sunuyorsa, hem KVKK hem AI Act kapsamına girebilir. İki düzenlemenin birlikte nasıl ele alınacağını ve bu tartışmanın kurumsal karar süreçlerine etkisini yapay zeka balonu tartışması yazımızdaki gerçekçi değerlendirme çerçevesiyle birlikte okumak, konuyu daha geniş bir perspektife oturtur.

Bir yapay zeka sistemi kişisel veri koruma açısından hata yaptığında, "kim sorumlu" sorusu çoğu kurumun geç kaldığı bir tartışmadır. KVKK'da sorumluluğun temel adresi veri sorumlusudur (data controller): kişisel verinin işlenme amaçlarını ve vasıtalarını belirleyen taraf. Bir kurum, bir yapay zeka aracını kendi amaçları için kullanıyorsa, o işlemenin veri sorumlusu tipik olarak kurumun kendisidir — aracı bir başkası geliştirmiş olsa bile. Yani "modeli biz yazmadık, sağlayıcı yazdı" savunması, çoğu senaryoda kurumu sorumluluktan kurtarmaz; çünkü veriyi o amaçla işlemeye karar veren kurumdur.

Bu ayrımın pratik sonucu büyüktür. Veri sorumlusu, işlemenin hukuka uygunluğundan, aydınlatmadan, güvenlikten, ilgili kişi haklarının karşılanmasından ve tüm bunların belgelenmesinden sorumludur. Yapay zeka aracını sağlayan taraf ise çoğu zaman veri işleyen (data processor) konumundadır: veriyi, sorumlunun talimatıyla işleyen taraf. İkisi arasındaki ilişki, KVKK açısından yazılı bir çerçeveye — bir veri işleme sözleşmesine — oturtulmalıdır. Bu sözleşme olmadan, sorumluluk sınırları belirsiz kalır ve bir ihlal anında taraflar birbirini işaret eder.

Yaptırım tarafında, KVKK ihlalleri idari para cezalarından, ilgili kişilerin tazminat taleplerine ve itibar kaybına kadar uzanan sonuçlar doğurabilir; ayrıca bir işlemenin durdurulması, kurumun bütün bir yapay zeka projesini askıya alabilir. Ancak buradaki asıl mesaj ceza miktarı değil, sorumluluğun kaçınılmazlığıdır: yapay zeka, sorumluluğu "otomatikleştirip yok etmez"; onu yalnızca daha karmaşık hale getirir. Kurum, kararı bir modele devretse bile, o kararın hukuka uygunluğundan sorumlu kalır. Bu yüzden KVKK yapay zeka uyumu, teknik ekibe bırakılabilecek bir konu değil, yönetim kurulu düzeyinde sahiplenilmesi gereken bir kurumsal sorumluluktur.

Bugün kurumların çoğu yapay zeka yeteneğini sıfırdan geliştirmez; hazır bir yapay zeka servisini, bir SaaS aracını veya bir API'yi kullanır. Bu, KVKK yapay zeka uyumuna kritik bir boyut ekler: tedarikçi yönetimi. Çünkü bir üçüncü tarafın aracını kullandığınızda, kişisel verinizi o tarafa emanet etmiş olursunuz; ve KVKK açısından bu emanetin koşulları net biçimde tanımlanmalıdır. "Popüler bir araç, herkes kullanıyor" gerekçesi, uyum açısından hiçbir güvence sağlamaz.

Tedarikçi değerlendirmesinde birkaç soru belirleyicidir. Birincisi, veri nereye gidiyor: aracın altyapısı nerede, veri yurtdışına aktarılıyor mu, veri ikametgahı seçeneği var mı? İkincisi, sağlayıcı veriyle ne yapıyor: verinizi kendi modellerini eğitmek için kullanıyor mu, yoksa yalnızca size hizmet için mi işliyor? Bu ayrım kritiktir; bazı servisler, girdilerinizi ürün geliştirme için kullanabilir ve bu, farkında olmadan bir veri aktarımı ve amaç dışı kullanım yaratır. Üçüncüsü, sözleşmesel güvenceler: bir veri işleme sözleşmesi var mı, güvenlik taahhütleri neler, bir ihlal durumunda bildirim yükümlülüğü nasıl işliyor?

Pratik yaklaşım, tedarikçiyi bir uzantı gibi değerlendirmektir: onların uyumsuzluğu, sizin uyumsuzluğunuz olur. Bu yüzden yapay zeka tedarikçileri seçilirken, fiyat ve yetenek kadar veri koruma duruşu da bir seçim kriteri olmalıdır. Hassas veri söz konusuysa veya tedarikçinin veri uygulamaları belirsizse, en güvenli yol veriyi hiç dışarı çıkarmamak — yani veri ikametgahı sunan bir çözüm veya kurum içi barındırma tercih etmektir. Tedarikçi yönetimi, KVKK yapay zeka uyumunun en sık ihmal edilen ama en kolay ihlale açık halkalarından biridir; bir zincirin gücü en zayıf halkası kadardır ve bu zincirde tedarikçi çoğu zaman o zayıf halkadır.

KVKK yapay zeka tartışmasını anlamak bir şeydir; kurumu gerçekten uyumlu hale getirmek başka bir şeydir. İyi haber, bunun bir gizem olmadığıdır; izlenebilir bir yol haritası vardır. Kötü haber, bunun teknik değil, yönetişimsel bir iş olduğudur: en gelişmiş yapay zeka ekibi bile, hukuk ve uyum birimiyle birlikte çalışmadan bu haritayı yürüyemez. Aşağıdaki adımlar, bir yapay zeka projesini KVKK zemininde sağlam kurmak için pratik bir sıralamadır.

Nasıl Yapılır

KVKK-uyumlu yapay zeka için kurumsal hazırlık adımları

Bir yapay zeka sistemini KVKK ilkelerine uygun biçimde tasarlamak için adım adım yönetişim yol haritası. Bu bir hukuki tavsiye değildir.

1. 1

   Veri envanterini çıkar

   Yapay zeka sisteminin hangi kişisel veriyi, hangi kaynaktan ve hangi amaçla işlediğini haritala; işleme faaliyeti kaydını oluştur.

2. 2

   İşleme şartını gerekçelendir

   Her işleme için açık rıza mı meşru menfaat mi olduğuna karar ver; meşru menfaatte üç aşamalı denge testini yazılı yap.

3. 3

   Aydınlatma metinlerini güncelle

   Aydınlatma metnini, verinin bir yapay zeka sistemi tarafından işlendiğini açıkça kapsayacak biçimde yenile.

4. 4

   Yüksek riskli işleme için etki değerlendirmesi yap

   Otomatik karar, hassas veri veya geniş ölçekli işleme varsa risklerini ve azaltıcı önlemlerini belgele.

5. 5

   Otomatik kararlara insan gözetimi ekle

   Yüksek etkili kararlarda anlamlı insan denetimi, itiraz kanalı ve açıklanabilirlik tasarla.

6. 6

   Yurtdışı veri aktarımını belgele

   Bulut yapay zeka servisleri için aktarım mekanizmasını netleştir; maskeleme veya on-premise seçeneğini değerlendir.

7. 7

   Erişim kontrolü ve denetim kaydı kur

   Kimin hangi veriye eriştiğini kontrol et ve kaydet; veri güvenliği önlemlerini uygula.

8. 8

   VERBİS ve saklama/silme politikasını gözden geçir

   Kayıt yükümlülüğünü, saklama sürelerini ve süresi dolan verinin silinmesini düzenli olarak denetle.

Bu adımların sırası tesadüfi değildir. Envanter olmadan işleme şartı seçilemez; şart belirlenmeden aydınlatma metni yazılamaz; etki değerlendirmesi yapılmadan yüksek riskli bir sistem güvenle devreye alınamaz. Bu yüzden yol haritasını bir "kontrol listesi" olarak değil, bir sıralı süreç olarak ele almak gerekir. Ve en önemlisi: bu adımların hiçbiri "sistem kurulduktan sonra" eklenmez; hepsi tasarımın parçası olarak, en baştan planlanır. KVKK'nın "tasarımda ve varsayılan olarak veri koruması" (data protection by design and by default) yaklaşımı tam olarak budur.

Bir kurumun bu yol haritasını tek başına yürümesi zordur; çünkü hukuk, uyum, veri mühendisliği ve iş birimlerinin koordinasyonunu gerektirir. Sektörünüze ve veri hassasiyetinize özel bir KVKK yapay zeka uyum çerçevesi tasarlamak için kurumsal yapay zeka danışmanlığı ile başlayabilir; bu tartışmayı bir sektörel dosya derinliğinde ele alarak kurumunuza özel bir yol haritası çıkarabilirsiniz. Ekiplerinizin bu kararları doğru vermesi için gereken temel kavramları ise öğrenme merkezinde derinleştirebilirsiniz.

KVKK yapay zeka tartışmasının birçok düğümü, aslında tek bir teknik hamleyle gevşer: veriyi kişisel olmaktan çıkarmak. Çünkü KVKK yalnızca kişisel veriyi düzenler; bir veri, artık bir gerçek kişiyle ilişkilendirilemeyecek hale geldiğinde — yani gerçekten anonimleştirildiğinde — kanunun kapsamından çıkar ve tartışmanın büyük kısmı ortadan kalkar. Bu yüzden anonimleştirme, yapay zekada uyumun en güçlü ama en yanlış anlaşılan araçlarından biridir.

Yanlış anlaşılma şurada başlar: birçok kurum, ad ve kimlik numarasını silmeyi "anonimleştirme" sanır. Oysa bu çoğu zaman yalnızca takma adlaştırmadır (pseudonymization) ve gerçek anonimleştirme değildir. Takma adlaştırmada kişi doğrudan tanımlanamaz, ama uygun ek bilgiyle yeniden tanımlanabilir; bu yüzden takma adlaştırılmış veri hâlâ kişisel veridir ve KVKK kapsamındadır. Gerçek anonimleştirme ise geri döndürülemez olmalıdır: verinin, makul hiçbir yöntemle tekrar bir kişiye bağlanamaması gerekir. Yapay zekada bu özellikle zordur; çünkü zengin bir veri kümesinde, görünüşte anonim kayıtlar bile başka verilerle çaprazlanarak yeniden tanımlanabilir (yeniden tanımlama riski). Bu yüzden "anonimleştirdik" demek, teknik bir doğrulama gerektirir; bir varsayım değildir.

Üçüncü bir yol giderek öne çıkıyor: sentetik veri. Sentetik veri, gerçek verinin istatistiksel özelliklerini taşıyan ama gerçek kişilere ait olmayan, yapay olarak üretilmiş veridir. İyi üretilmiş sentetik veri, bir modeli eğitmek için gerçek kişisel veriye olan ihtiyacı azaltabilir ve böylece KVKK yapay zeka riskini düşürebilir. Ancak sentetik veri de sihirli bir çözüm değildir: kötü üretilirse gerçek kayıtları "sızdırabilir" veya orijinal veri kümesindeki yanlılıkları taşıyabilir. Pratik ilke şudur: veriyi kişisel olmaktan çıkarabileceğiniz her senaryoda bunu değerlendirin — önce gerçek anonimleştirme, mümkün değilse sentetik veri, o da yetmezse takma adlaştırma ve sıkı işleme şartı. Bu hiyerarşi, hem uyum yükünü azaltır hem de veri sızıntısı riskini düşürür. Teknik ve hukuki ekiplerin bu kararı birlikte vermesi gerekir; çünkü "yeterince anonim mi" sorusu hem istatistiksel hem hukuki bir yargıdır.

KVKK yapay zeka tartışmasını teoride anlamak kolaydır; zor olan, pratikte tekrar tekrar yapılan hatalardan kaçınmaktır. Deneyimli bir gözle bakıldığında, uyumsuzluğa düşen kurumlar benzer tuzaklara takılır. En yaygınlarını bir arada görmek, kendi kurumunuzda bir "erken uyarı listesi" oluşturmanıza yardımcı olur.

• Her şeyi rızaya bağlamak: "Rıza alırız, garanti olsun" refleksi, açık rıza tartışmasının inceliklerini görmezden gelir. Rıza kırılgandır; geri çekilebilir ve battaniye rıza geçersizdir. Yanlış şarta dayanmak, tüm işlemeyi hukuksuz kılabilir.
• İşleme şartını belgelememek: Meşru menfaate dayanıp denge testini yazılı yapmamak, bir denetimde savunmasız kalmak demektir. Gerekçe belgelenmezse, hesap verebilirlik ilkesi ihlal edilir.
• Aydınlatma metnini güncellememek: Yapay zeka çağından önce yazılmış, "hizmet için işlenir" diyen genel bir metin, yapay zeka işlemesini kapsamaz. Şeffaflık eksik kalır.
• Yurtdışı aktarımı fark etmemek: Kişisel veri içeren istemleri yurtdışı bir modele göndermek, çoğu zaman fark edilmeyen bir veri aktarımıdır ve mekanizmasız yapıldığında ihlaldir.
• Otomatik kararı denetimsiz bırakmak: Yüksek etkili bir kararı tamamen otomatik bir modele bırakıp insan gözetimi ve itiraz kanalı koymamak, hem hukuki hem etik bir risktir.
• Veri minimizasyonunu atlamak: "Ne kadar çok veri o kadar iyi" refleksiyle gereksiz kişisel veri toplamak, hem riski hem teknik borcu artırır.
• Model eğitimini düşünmeden yapmak: Kişisel veriyle, işleme şartı ve amaç uyumu değerlendirilmeden model eğitmek, ezberleme ve sızıntı riskini de beraberinde getirir.
• Uyumu tek seferlik sanmak: KVKK uyumu bir "proje" değil, süreklilik gerektiren bir programdır; mevzuat ve kurul kararları değişir, sistem güncellenir, veri büyür.

Buraya kadarki tartışmayı pratik bir karar aracına dönüştürelim. Bir yapay zeka projesine başlarken, aşağıdaki soruları sırayla sormak, KVKK yapay zeka riskini erken görmenizi ve doğru tasarım kararlarını baştan almanızı sağlar. Bu çerçeve, teknik ekiplerin ve hukuk biriminin ortak bir dil konuşmasına yardımcı olur.

KVKK yapay zeka karar çerçevesi: soru, neden önemli ve pratik cevap yönü

Sorulacak soru	Neden önemli	Pratik cevap yönü
Bu sistem kişisel veri işliyor mu?	İşlemiyorsa KVKK kapsamı büyük ölçüde daralır	Mümkünse anonim/toplu veriyle çalış
Hangi işleme şartına dayanıyorum?	Şartsız işleme hukuka aykırıdır	Niteliğe göre rıza veya meşru menfaat, belgele
Karar tamamen otomatik ve yüksek etkili mi?	İtiraz hakkı ve insan gözetimi gerekebilir	İnsanı döngüye koy, itiraz kanalı aç
Veri yurtdışına aktarılıyor mu?	Aktarım mekanizması gerekir	Maskele, sözleşme yap veya on-premise değerlendir
İlgili kişiyi bilgilendirdim mi?	Şeffaflık ihlali ağır risktir	Aydınlatma metnini yapay zekayı kapsayacak şekilde güncelle
Bunu belgeledim mi?	Hesap verebilirlik yazılı kanıt ister	Envanter, denge testi ve etki değerlendirmesini kaydet

Bu çerçevenin gücü basitliğindedir: altı soru, bir yapay zeka projesinin KVKK açısından sağlıklı olup olmadığını hızlıca taramanızı sağlar. Eğer bu soruların hepsine net ve belgelenmiş cevaplar verebiliyorsanız, sağlam bir zemindesiniz demektir; herhangi birine "bilmiyorum" diyorsanız, orada bir risk var demektir ve o risk, sistem büyümeden ele alınmalıdır. Bu tür bir taramayı her yeni yapay zeka kullanımında tekrarlamak, KVKK yapay zeka uyumunu bir kerelik bir olay olmaktan çıkarıp sürekli bir refleks haline getirir.

Son bir vurgu: bu çerçeve bir başlangıç noktasıdır, nihai bir hukuki değerlendirme değil. Her sorunun cevabı, somut olayın ayrıntılarına, güncel mevzuata ve Kişisel Verileri Koruma Kurulu'nun kararlarına göre değişir. Bu yüzden çerçeveyi, hukuk biriminizle yapacağınız değerlendirmenin gündemini oluşturan bir araç olarak kullanın; onun yerine geçen bir cevap anahtarı olarak değil. Kişisel Verileri Koruma Kurumu'nun güncel rehberlerine resmi KVKK web sitesi üzerinden ulaşabilirsiniz.

KVKK yapay zeka tartışması durağan değildir; hem teknoloji hem de düzenleme hızla evrilir. Bugün geçerli olan bir yorum, yarın bir kurul kararıyla netleşebilir veya bir mevzuat değişikliğiyle güncellenebilir. Bu yüzden kurumların en sağlam stratejisi, belirli bir yoruma "kilitlenmek" değil, ilkelere dayalı, esnek ve iyi belgelenmiş bir yönetişim kurmaktır. İlkelere dayalı bir sistem, ayrıntı değişse bile ayakta kalır; kırılgan bir "şu an böyle" yorumuna dayanan sistem ise her güncellemede sarsılır.

Öngörülebilir birkaç yön vardır. Birincisi, yapay zekaya özgü rehberliğin artması: veri koruma otoriteleri, dünya genelinde yapay zeka konusunda giderek daha spesifik rehberler yayımlıyor; benzer bir netleşmenin zamanla derinleşmesi beklenir. İkincisi, otomatik karar ve profilleme konusundaki hassasiyetin artması: yüksek etkili otomatik kararlar, hem düzenleyiciler hem kamuoyu nezdinde giderek daha çok dikkat çekiyor. Üçüncüsü, veri egemenliği ve yerelleştirme baskısının güçlenmesi: yurtdışı veri aktarımının karmaşıklığı, on-premise ve bölgesel barındırma çözümlerini daha cazip kılıyor. Bu eğilimlerin teknik altyapı tarafındaki yansımalarını on-premise ve egemen AI altyapısı yazımızda ele alıyoruz.

Bu belirsizlik, hareketsizlik için bir bahane değildir. Aksine: ilkeler bugün de nettir ve iyi tasarlanmış bir sistem, gelecekteki netleşmelere de büyük ölçüde hazırdır. Şeffaflık, meşru bir işleme şartı, veri minimizasyonu, insan gözetimi ve dokümantasyon — bunlar hangi yönde evrilirse evrilsin değerini koruyacak temellerdir. KVKK yapay zeka uyumunu, "netleşmeyi bekleyelim" diye erteleyen değil, "ilkelere göre sağlam kuralım, ayrıntıya göre uyarlayalım" diyen kurumlar, hem bugün daha güvenli hem yarın daha hazırlıklı olur.

Bir diğer yön, uyumun rekabetçi bir farklılaştırıcıya dönüşmesidir. Bugün veri korumasını bir yük olarak gören kurumlar, yarın onu bir güven işareti olarak kullanan rakipleriyle karşılaşacak. Verisinin nasıl kullanıldığını net biçimde anlatan, otomatik kararlarına anlamlı bir itiraz kapısı bırakan ve hassas veriyi en yüksek özenle koruyan bir kurum, yalnızca yasaya uymakla kalmaz; müşterisinin gözünde güvenilir bir marka inşa eder. KVKK yapay zeka uyumu, giderek bir "zorunluluk" olmaktan çıkıp bir "ayrışma noktası" haline geliyor; ve bu dönüşümü erken görenler, hem uyum hem itibar açısından öne geçiyor.

KVKK yapay zekaya ne diyor?

KVKK, yapay zekayı adıyla anan özel bir madde içermez; yani "yapay zeka şöyle olmalı" diyen ayrı bir hüküm yoktur. Ancak KVKK yapay zeka ilişkisi şu şekilde kurulur: bir yapay zeka sistemi kişisel veri işlediği anda, o işleme faaliyeti tümüyle KVKK kapsamına girer. Bu da hukuka uygun bir işleme şartına dayanma, amaçla sınırlılık, veri minimizasyonu, şeffaflık (aydınlatma), veri güvenliği ve ilgili kişinin haklarına saygı yükümlülüklerinin yapay zekaya da aynen uygulanması demektir. Kısacası KVKK yapay zekaya "sana özel yeni kural yok, ama kişisel veri işliyorsan mevcut tüm kurallar seni bağlar" der. Bu bir hukuki tavsiye değildir; somut durumda kurumunuzun hukuk birimiyle değerlendirilmelidir.

Model eğitiminde kişisel veri kullanılır mı?

Kullanılabilir, ama otomatik olarak serbest değildir. Model eğitiminde kişisel veri kullanımı, geçerli bir işleme şartına (çoğu zaman meşru menfaat veya belirli hallerde açık rıza), toplama amacıyla eğitim amacının uyumlu olmasına (amaç uyumu) ve veri minimizasyonuna bağlıdır. En sağlam yaklaşım, eğitimde mümkün olduğunca anonimleştirilmiş veya takma adlaştırılmış veri kullanmak; kişisel veri şartsa gerekliliğini belgelemek, saklama süresi ve silme politikası tanımlamaktır. Ayrıca modelin eğitim verisini "ezberleyip" sonradan sızdırma riski (memorizasyon) teknik bir önlem konusudur. Bir belgeyi eğitime sokmadan önce "bu veriyi bu amaçla işlemek için hangi şarta dayanıyorum ve ilgili kişiyi bu konuda bilgilendirdim mi" sorusu yanıtlanmalıdır.

Yapay zekada hangi işleme şartı seçilmeli: açık rıza mı, meşru menfaat mi?

Tek bir doğru cevap yoktur; senaryoya bağlıdır. Açık rıza tartışması şu noktada düğümlenir: KVKK'da açık rıza özgür, belirli bir konuya ilişkin ve bilgilendirmeye dayalı olmalıdır; oysa yapay zeka projelerinde amaçlar çoğu zaman geniş, değişken ve öngörülemezdir, rıza her an geri çekilebilir ve bu da eğitilmiş bir modelde uygulanması zor sonuçlar doğurur. Bu yüzden birçok kurumsal senaryoda meşru menfaat daha sürdürülebilir bir temeldir; ancak meşru menfaat de bedava değildir: üç aşamalı denge testini yazılı yapmayı gerektirir. Özel nitelikli (hassas) kişisel veri veya pazarlama gibi belirli hallerde ise açık rıza kaçınılmaz olabilir. Doğru yol, şartı "kolaylık" değil, faaliyetin gerçek niteliği üzerinden seçmek ve gerekçeyi belgelemektir.

KVKK yapay zekada tamamen otomatik kararları yasaklıyor mu?

KVKK, kişinin kendisi hakkında tamamen otomatik sistemlerle verilen ve onu etkileyen kararlara itiraz edebilmesini korur; yani tamamen otomatik karar mutlak yasak değildir, ama hukuki sonuç doğuran veya kişiyi önemli ölçüde etkileyen otomatik kararlar özel dikkat gerektirir. Pratikte bu, kredi reddi, işe alım elemesi, sigorta fiyatlaması gibi yüksek etkili kararlarda insan gözetimini, kişiye durumu açıklama ve itiraz edebilme kanalını ve kararın gerekçesini verebilme (açıklanabilirlik) yeteneğini zorunlu kılar. Tasarım ilkesi nettir: yüksek etkili bir kararı "kutu" bir modele tamamen bırakmayın; anlamlı bir insan denetimi ve itiraz mekanizması bırakın.

Yurtdışındaki bir yapay zeka servisini (bulut LLM) kullanmak KVKK'ya uygun mu?

Kullanılabilir, ancak bu bir yurtdışı veri aktarımıdır ve KVKK'nın aktarım rejimine tabidir. Kişisel veri içeren istemlerin (prompt) yurtdışındaki bir modele gönderilmesi, veri aktarımı sayılır ve uygun bir aktarım mekanizmasına (güncel çerçevede açık rıza, taahhütname, bağlayıcı şirket kuralları veya yeterlilik temelli mekanizmalar) dayanmalıdır. Riski azaltmanın pratik yolları arasında istemlerden kişisel veriyi ayıklamak/maskelemek, sözleşmesel güvenceler almak, veri işleme sözleşmesi imzalamak ve mümkün olduğunda veri ikametgahı sunan bir bölge ya da on-premise / kurum içi barındırma tercih etmek vardır. Aktarım mekanizması çerçevesi zamanla güncellendiği için güncel durumu hukuk birimiyle teyit etmek şarttır.

KVKK yapay zeka uyumu için kurum nereden başlamalı?

Teknolojiden değil, envanterden başlanır. İlk adım, yapay zeka sisteminin hangi kişisel veriyi, hangi amaçla, hangi kaynaktan işlediğini haritalamaktır (veri envanteri ve işleme faaliyeti kaydı). Ardından her işleme için bir işleme şartı gerekçelendirilir (açık rıza tartışması mı meşru menfaat mi), aydınlatma metinleri güncellenir, VERBİS kaydı gözden geçirilir, yüksek riskli işlemeler için bir etki değerlendirmesi yapılır, otomatik kararlar için insan gözetimi ve itiraz kanalı kurulur, yurtdışı veri aktarımı mekanizması belgelenir ve erişim kontrolü ile denetim kaydı tasarlanır. Bu bir teknik proje değil, hukuk-uyum-teknoloji üçgeninde yürütülen bir yönetişim programıdır. Metin hukuki tavsiye değildir.

Özetle KVKK yapay zeka ilişkisinin cevabı şudur: KVKK, yapay zekayı adıyla düzenleyen yeni bir kural içermez; ama kişisel veri işleyen her yapay zeka sistemi, mevcut tüm KVKK ilkelerine tabidir. Bu yüzden güncel tartışma, "yeni bir kanun mu gelecek" değil, "mevcut ilkeleri yapay zekaya nasıl uygularız" sorusudur. Tartışmanın ana eksenleri nettir: işleme şartı seçimi (açık rıza tartışması ile meşru menfaat dengesi), otomatik kararlara itiraz hakkı, model eğitiminde veri kullanımı ve yurtdışı veri aktarımı mekanizmaları.

En önemli mesaj şudur: KVKK yapay zeka uyumu bir teknik değil, bir yönetişim işidir ve bir kerelik bir proje değil, süreklilik gerektiren bir disiplindir. Doğru işleme şartını gerekçeli seçmek, otomatik kararlara insan gözetimi koymak, model eğitiminde veriyi minimize edip anonimleştirmek, yurtdışı veri aktarımını belgelemek ve her adımı yazılı kayda geçirmek — bunlar bir araya geldiğinde, kurum hem hukuki hem etik olarak sağlam bir zemine oturur. Ve unutmayın: bu metin hukuki tavsiye değildir; her yapay zeka projesi, güncel mevzuat ve kurul kararları temelinde kurumunuzun hukuk ve uyum birimiyle değerlendirilmelidir. Kurumunuza özel bir KVKK yapay zeka uyum yol haritası tasarlamak için kurumsal yapay zeka danışmanlığı ile başlayabilir, temel kavramları öğrenme merkezinde derinleştirebilirsiniz.