Otomatik Karar Verme ve İtiraz Hakkı: KVKK Perspektifi

Otomatik karar verme, bir kişiyle ilgili sonucun (kredi onayı, işe alım elemesi, sigorta fiyatı, dolandırıcılık işareti) insanın anlamlı bir katkısı olmadan, yalnızca otomatik sistemler tarafından üretilmesidir. Bu kararlar hızlı ve ölçeklenebilir olabilir; ama kişi aleyhine sonuç doğurduklarında, KVKK perspektifinden özel bir hassasiyet ve buna bağlı bir itiraz hakkı gündeme gelir.

Bu rehber, kurumsal yapay zeka sistemleri kuran ekipler için pratik bir çerçeve sunar: tamamen otomatik karar kavramı nedir, hangi kararlar bu kapsama girer, insan müdahalesinin niteliği ne olmalıdır, bilgilendirme yükümlülüğü ve karar açıklama neyi gerektirir, işleyen bir itiraz mekanizması nasıl tasarlanır, kayıt ve kanıt nasıl tutulur, sektörel görünüm nasıldır ve sonunda uçtan uca bir kontrol listesi ile pratik bir yol haritası. Önemli bir not: bu içerik bilgilendirme amaçlıdır ve hukuki tavsiye değildir; her uygulama kurumunuzun hukuk ve uyum birimiyle birlikte tasarlanmalıdır.

Tanım

Otomatik karar verme (münhasıran otomatik karar)

Bir kişiyle ilgili sonucun, insanın anlamlı bir katkısı olmadan yalnızca otomatik sistemler tarafından üretildiği işleme biçimi. KVKK açısından asıl hassasiyet, kişi aleyhine hukuki sonuç veya benzer ölçüde önemli etki doğuran münhasıran otomatik kararlardadır; 6698 sayılı Kanun, ilgili kişiye verilerin münhasıran otomatik sistemlerle analizi sonucu aleyhine sonuç doğmasına itiraz etme hakkı tanır. Bu tür kararlarda bilgilendirme yükümlülüğü, anlamlı insan müdahalesi, karar açıklama ve işleyen bir itiraz mekanizması gerekir.

Ayrıca: münhasıran otomatik karar, otomatik karar alma, automated decision-making, profillemeye dayalı karar

Otomatik karar verme, en yalın tanımıyla, bir kişiyle ilgili bir sonucun otomatik sistemler tarafından üretilmesidir. Ama kavramın hukuki ve etik ağırlığı, "münhasıran" (yani tamamen) otomatik olduğunda ve kişi aleyhine önemli bir etki doğurduğunda ortaya çıkar. Bir öneri motorunun size film önermesi ile bir skor modelinin kredi başvurunuzu reddetmesi teknik olarak benzer görünür; ama ikincisi hayatınızı doğrudan etkilediği için farklı bir korumayı hak eder.

"Münhasıran otomatik" ifadesindeki kritik kelime "münhasıran"dır. Bir karar sürecinde bir insanın adının geçmesi, o kararı otomatik olmaktan çıkarmaya yetmez. Belirleyici olan, o insanın kararı gerçekten değerlendirip değiştirebilecek yetkiye, bilgiye ve zamana sahip olup olmadığıdır. Sistemin ürettiği sonucu yalnızca mühürleyen, incelemeden onaylayan bir "insan" varsa, karar pratikte hâlâ tamamen otomatiktir. Bu ayrımı bu yazının ilerleyen bölümlerinde, insan müdahalesinin niteliği başlığı altında derinleştireceğiz.

İkinci kritik ölçüt, kararın etkisidir. Otomatik karar verme kavramının hassasiyeti, her otomatik işlemde değil, kişi hakkında "hukuki sonuç doğuran" veya "benzer ölçüde önemli etki" yaratan kararlarda yoğunlaşır. Bir kredinin reddedilmesi, bir iş başvurusunun otomatik elenmesi, bir sigorta priminin belirlenmesi, bir hesabın dolandırıcılık şüphesiyle kilitlenmesi — bunlar kişinin ekonomik durumunu, fırsatlarını veya haklarını doğrudan etkiler. Buna karşın bir e-ticaret sitesinin ürün sıralamasını kişiselleştirmesi çoğu zaman aynı ağırlıkta değildir. Bu içeriğin odağı, ağır etki doğuran kararlar ve bunlara bağlı itiraz hakkıdır.

KVKK açısından temel bağlantı şudur: 6698 sayılı Kişisel Verilerin Korunması Kanunu, ilgili kişiye tanıdığı haklar arasında, işlenen kişisel verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi sonucunda kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkını sayar. Yani otomatik karar verme, Türk hukukunda soyut bir kavram değildir; ilgili kişiye tanınmış somut bir itiraz hakkıyla doğrudan bağlıdır. KVKK'nın genel çerçevesini KVKK nedir yazısında, kişisel verinin tanımını kişisel veri nedir yazısında ele alıyoruz.

Bu üç ölçütü — münhasıranlık, önemli etki ve kişisel veriye dayanma — birlikte değerlendirmek, kurumun kendi sistemini doğru sınıflandırmasını sağlar. Otomatik karar verme kavramını "her yazılım kararı" kadar geniş ya da "sadece yapay zeka modelleri" kadar dar tanımlamak, iki yönde de hataya yol açar: birincisi gereksiz yükümlülük yaratır, ikincisi gerçek riski gözden kaçırır. Doğru yaklaşım, teknolojiye değil, kararın kişi üzerindeki somut etkisine odaklanmaktır. Bir kural motoru da, karmaşık bir öğrenme modeli de, kişi aleyhine önemli bir sonuç üretiyor ve süreçte anlamlı bir insan yoksa, aynı hassasiyeti hak eder. Bu içerik hukuki tavsiye değildir; sınıflandırma kurumunuzun hukuk birimiyle yapılmalıdır.

Otomatik karar verme çoğu zaman tek başına gelmez; arkasında bir profilleme adımı vardır. Profilleme, bir kişinin verilerini kullanarak onun ekonomik durumunu, güvenilirliğini, davranışını, tercihlerini veya performansını değerlendiren ve öngören otomatik işlemedir. Örneğin bir müşterinin ödeme geçmişine, gelirine ve davranış verilerine bakarak onu "düşük riskli" veya "yüksek riskli" olarak etiketlemek profillemedir. Otomatik karar verme ise bu etikete dayanarak bir sonuç üretir: krediyi onayla, reddet veya faizi farklılaştır.

Bu ayrımı görmek önemlidir çünkü profilleme, kendi başına bir karar üretmese bile kişisel veri işlemedir ve KVKK'nın genel ilkelerine tabidir. Profilleme KVKK açısından; hukuka uygunluk, amaçla sınırlılık, veri minimizasyonu ve doğruluk gibi temel ilkelerle değerlendirilir. Veri minimizasyonu ilkesini veri minimizasyonu yazısında ayrıntılandırıyoruz. Yani "biz sadece skor üretiyoruz, karar vermiyoruz" savunması, profilleme aşamasındaki yükümlülükleri ortadan kaldırmaz.

Profillemenin bir başka riski, önyargıdır (bias). Bir profilleme modeli, geçmiş verideki ayrımcı örüntüleri öğrenip sürdürebilir; örneğin belirli bir bölgede yaşayanları sistematik olarak dezavantajlı konuma itebilir. Bu, hem etik hem de hukuki bir sorundur ve otomatik karar verme sisteminin adilliğini doğrudan etkiler. Yapay zekâda önyargının nasıl oluştuğunu ve nasıl azaltıldığını yapay zekâda önyargı nedir yazısında ele alıyoruz. Profilleme KVKK kapsamında değerlendirilirken, modelin ürettiği ayrımcı etkiler de gözetilmelidir.

Uygulamada zincir genellikle şöyle işler: veri toplanır, bir model profilleme yapar, profile göre otomatik karar verilir ve sonuç kişiye uygulanır. Bu zincirin her halkası ayrı bir uyum noktasıdır. Profilleme KVKK açısından girdilerin meşruluğunu, otomatik karar verme ise sonucun kişi üzerindeki etkisini ve itiraz hakkını gündeme getirir. İkisini birlikte tasarlamak, sonradan yama yapmaktan çok daha sağlıklıdır. KVKK'yı yapay zeka projelerine uyarlamanın pratiğini AI projelerinde KVKK pratiği yazısında bulabilirsiniz.

"Bizim sistemimiz otomatik karar verme kapsamında mı?" sorusu, çoğu kurumun ilk ve en pratik sorusudur. Kesin sınır her zaman net olmasa da, üç ölçüt birlikte değerlendirildiğinde çoğu durum berraklaşır: kararın münhasıran otomatik olup olmadığı, kişi üzerinde önemli bir etki doğurup doğurmadığı ve kişisel veriye dayanıp dayanmadığı.

Yüksek hassasiyetli, tipik olarak kapsama giren kararlara örnekler: bir kredi veya kredi kartı başvurusunun skor modeliyle otomatik reddi; bir iş başvurusunun bir eleme algoritmasıyla insan görmeden otomatik elenmesi; bir sigorta priminin veya poliçe kabulünün otomatik belirlenmesi; bir kullanıcının otomatik olarak "dolandırıcı" işaretlenip hesabının kilitlenmesi; bir sosyal yardım veya hizmet talebinin otomatik reddi. Bu kararların ortak paydası, kişinin ekonomik durumunu, fırsatlarını veya temel haklarını doğrudan etkilemesidir.

Sınır durumları da vardır ve bunlar dikkatli değerlendirme gerektirir. Bir öneri sistemi, bir reklam hedeflemesi veya bir içerik sıralaması genellikle "önemli etki" eşiğinin altında kalır; ancak bazı hâllerde (örneğin fiyat farklılaştırması ekonomik dezavantaj yaratıyorsa) bu sınır bulanıklaşabilir. Benzer şekilde, bir insanın "son sözü söylediği" ama gerçekte sistemin çıktısını sorgulamadan onayladığı süreçler, biçimsel olarak "insanlı" görünse de içerik olarak otomatik karar verme sayılabilir. Sınır durumların değerlendirmesi, kurumunuzun hukuk birimiyle yapılmalıdır; bu içerik hukuki tavsiye değildir.

Yaygın karar türleri ve otomatik karar verme kapsamına girme olasılığı

Karar örneği	Tipik etki düzeyi	Kapsam olasılığı
Kredi/kredi kartı otomatik reddi	Yüksek (ekonomik)	Yüksek
İş başvurusu otomatik elemesi	Yüksek (fırsat)	Yüksek
Sigorta primi/kabul kararı	Yüksek (ekonomik)	Yüksek
Dolandırıcılık işareti + hesap kilidi	Yüksek (erişim)	Yüksek
Dinamik fiyat farklılaştırması	Orta-değişken	Duruma bağlı
Ürün/içerik önerisi	Düşük	Genellikle düşük

Bu tablodaki "olasılık" ifadesi kasıtlıdır: kapsam, mekanik bir kontrol listesiyle değil, kararın somut etkisiyle belirlenir. Aynı teknoloji, bir bağlamda düşük etkili, başka bir bağlamda yüksek etkili olabilir. Bu yüzden doğru soru "hangi teknolojiyi kullanıyoruz" değil, "bu karar kişinin hayatını ne kadar etkiliyor ve süreçte anlamlı bir insan var mı" sorusudur.

Otomatik karar verme tartışmasında en çok kafa karıştıran nokta, tek bir "otomatik/manuel" ikiliğinin olmamasıdır. Gerçekte bir otomatiklik yelpazesi vardır ve gereken önlemler bu yelpazedeki konuma göre değişir. Aşağıdaki yapılandırılmış çerçeve, karar tipini otomatiklik seviyesiyle çaprazlayarak hangi önlemin gerektiğini özetler. Bu çerçeve genel bir yol göstericidir; hukuki tavsiye değildir.

Karar tipi × otomatiklik seviyesi × gereken temel önlem

Otomatiklik seviyesi	Ne anlama gelir	Yüksek etkili kararda gereken temel önlem
Karar desteği (insan karar verir)	Sistem öneri sunar, kararı insan verir	Şeffaflık + önerinin gerekçesini gösterme
İnsan gözetimli otomasyon	Sistem karar üretir, insan gözden geçirir	Anlamlı insan müdahalesi + değiştirme yetkisi
Yüksek hacimli 'onaylı' otomasyon	İnsan var ama toplu/sembolik onaylıyor	Sembolik onayı gerçek incelemeye dönüştürme
Münhasıran otomatik	Süreçte anlamlı insan yok	Bilgilendirme + karar açıklama + itiraz mekanizması

Bu çerçevenin verdiği en önemli mesaj şudur: bir sistemi "insanlı" ilan etmek, otomatiklik seviyesini gerçekten düşürmez. Üçüncü satırdaki "yüksek hacimli onaylı otomasyon", pratikte en riskli bölgedir; çünkü kurumlar burada kendilerini "insanlı" sanır, oysa insan müdahalesi sembolik olduğu için karar hâlâ münhasıran otomatiktir. Gereken önlem, insanı süreçten çıkarmak değil, o insanın müdahalesini anlamlı hâle getirmektir.

Dördüncü satır, bilinçli olarak münhasıran otomatik çalışan sistemler içindir. Bazı senaryolarda (örneğin saniyeler içinde karar gereken dolandırıcılık tespiti) insanı ana akışa koymak pratik değildir; bu durumda önlem, kararı sonradan denetlenebilir kılmak, kişiye bilgilendirme ve karar açıklama sunmak ve işleyen bir itiraz mekanizması kurmaktır. Yani münhasıran otomatik çalışmak yasak değildir; korumasız çalışmak sorundur. Bu ayrımı EU AI Act'in risk temelli yaklaşımıyla birlikte düşünmek faydalıdır; EU AI Act yüksek riskli sistem yazısı bu perspektifi derinleştirir.

Otomatik karar verme uyumunun kalbinde tek bir soru vardır: insan müdahalesi anlamlı mı, yoksa sembolik mi? Çünkü bir kararın "münhasıran otomatik" olup olmadığını belirleyen tam olarak budur. Süreçte bir insanın bulunması, kararı otomatik olmaktan çıkarmaz; o insanın gerçekten karar verebilecek konumda olması çıkarır.

Sembolik (rubber-stamp) insan müdahalesi, uygulamada en sık rastlanan tuzaktır. Bir yetkilinin ekranında günde binlerce karar akıyorsa ve bu kişi her birini incelemeden "onayla" tuşuna basıyorsa, biçimsel olarak süreçte bir insan vardır ama bu insan hiçbir şeyi değiştirmemektedir. Aynı şekilde, sistemin çıktısını sorgulamaya ne yetkisi ne bilgisi ne de zamanı olan bir çalışanın onayı da semboliktir. Bu tür süreçler, kâğıt üzerinde "insan denetimli" görünse de içerik olarak otomatik karar vermenin ta kendisidir.

Anlamlı insan müdahalesi için birkaç koşul birlikte sağlanmalıdır. Birincisi yetki: gözden geçiren kişi, sistemin kararını değiştirebilecek gerçek bir yetkiye sahip olmalıdır; "değiştiremezsin, sadece not düşebilirsin" denen bir rol anlamlı değildir. İkincisi yetkinlik: kişi, kararın hangi kriterlere dayandığını anlayacak bilgiye sahip olmalıdır; anlamadığı bir skoru onaylayan kişi denetleyemez. Üçüncüsü erişim: karara dayanak olan verilere ve gerekçeye erişebilmelidir. Dördüncüsü zaman: incelemeyi gerçekten yapabilecek makul bir süreye sahip olmalıdır. İnsan ve yapay zekânın verimli iş birliğini insan-AI iş birliği yazısında ele alıyoruz.

Anlamlı insan müdahalesini kurumsal ajan ve otomasyon sistemlerinde tasarlamak ayrı bir mühendislik disiplinidir; insan onayı, guardrail ve kontrol katmanlarının nasıl kurulacağını kurumsal agent sistemlerinde insan onayı ve kontrol katmanı tasarımı yazısında derinlemesine işliyoruz. Koruyucu katmanların genel mantığı için sorumlu yapay zeka nedir yazısı da iyi bir çerçeve sunar.

"Sürece bir insan onayı ekledik, artık otomatik karar verme kapsamında değiliz" cümlesi, kurumların en sık düştüğü yanılgıdır. İnsan onayı, ancak anlamlı olduğunda kararı otomatik olmaktan çıkarır; sembolik onay, hukuki ve etik açıdan hiçbir şeyi değiştirmez. Bu bölüm, "insan onayı yeterli mi" sorusuna dürüst bir cevap arar.

Cevabın kısası şudur: bağlıdır. Onayın niteliği belirleyicidir. Bir yetkilinin, sistemin gerekçesini görerek, verilere bakarak ve gerektiğinde farklı karar verebilecek yetkiyle her dosyayı değerlendirmesi anlamlı onaydır ve kararı gerçekten insanlı hâle getirir. Buna karşın, hacim baskısı altında toplu onay, çıktıyı sorgulamadan mühürleme veya "sistem zaten doğru karar verir" varsayımıyla otomatik tıklama, sembolik onaydır ve kararı münhasıran otomatik bırakır.

Gri bölgeyi netleştiren birkaç pratik sinyal vardır. Onay başına ayrılan sürenin gerçekçi bir inceleme için çok kısa olması, onaylayan kişinin karar mantığını açıklayamaması, red/değiştirme oranının fiilen sıfıra yakın olması ve onayın performans metriklerinde "hız" ile ödüllendirilmesi — bunların hepsi sembolik onaya işaret eder. Tersine, düzenli olarak sistem kararının değiştirildiği, onaylayanın gerekçe yazdığı ve zor vakaların üst mercie taşındığı bir süreç, anlamlı müdahalenin işaretidir.

Sembolik onay ile anlamlı insan müdahalesinin ayırt edici işaretleri

Boyut	Sembolik (rubber-stamp) onay	Anlamlı insan müdahalesi
Yetki	Değiştiremez, sadece onaylar	Kararı değiştirebilir
Bilgi	Karar mantığını bilmez	Kriterleri anlar ve açıklayabilir
Zaman	Karar başına saniyeler	Gerçek inceleme için makul süre
Değişiklik oranı	Neredeyse sıfır	Anlamlı bir oranda müdahale
Kayıt	Sadece 'onaylandı' logu	Gerekçe ve değerlendirme kaydı

Buradaki sonuç nettir: insan onayı bir çözüm değil, bir tasarım sorumluluğudur. Onayı anlamlı kılmak, iş yükü, teşvik yapısı ve arayüz tasarımıyla ilgilidir. Eğer bir yetkilinin gerçekten inceleyemeyeceği kadar çok karar akıyorsa, çözüm daha fazla sembolik onay değil, ya insan kapasitesini artırmak ya da sistemi bilinçli olarak münhasıran otomatik kabul edip ona göre koruma (bilgilendirme, karar açıklama, itiraz) kurmaktır.

Bir otomatik karar verme sisteminde, kişinin haklarını kullanabilmesinin ilk koşulu, kendisi hakkında böyle bir karar verildiğini bilmesidir. Bilgilendirme yükümlülüğü tam olarak budur: kişiye, verilerinin münhasıran otomatik yollarla işlendiğini ve bunun sonuçlarını açık, anlaşılır bir dille anlatmak. Kişi kararın otomatik olduğunu bilmiyorsa, itiraz hakkını da kullanamaz; bu yüzden şeffaflık, itiraz hakkının ön koşuludur.

Etkili bir bilgilendirme birkaç unsuru içerir. Birincisi, otomatik karar verme yapıldığının açıkça belirtilmesi — gizlenmiş, teknik jargona gömülmüş bir ifade değil, kişinin fark edebileceği net bir bildirim. İkincisi, kullanılan mantığın ana hatları: hangi tür verilerin ve hangi ana kriterlerin kararı etkilediği. Amaç modelin tüm matematiğini ifşa etmek değil, kişinin süreci kavramasını sağlamaktır. Üçüncüsü, kişinin haklarının ve bunları nasıl kullanacağının anlatılması: itiraz nasıl yapılır, kime başvurulur, ne kadar sürede yanıt beklenir.

Bilgilendirmenin zamanlaması da önemlidir. İdeal olan, kararın öncesinde veya kararla eş zamanlı olarak kişiyi bilgilendirmektir; kişi bir kredinin neden reddedildiğini haftalar sonra öğrenirse, itiraz hakkı pratikte zayıflar. Şeffaflığı bir aydınlatma metnine sıkıştırıp unutmak yerine, karar anında ve kişinin karşılaştığı arayüzde görünür kılmak, hem uyumu hem de kullanıcı güvenini güçlendirir. Rıza ve aydınlatma süreçlerinin yönetimini rıza yönetimi yazısında ele alıyoruz.

Şeffaflık, KVKK'nın yanı sıra daha geniş bir yönetişim çerçevesinin de parçasıdır. Yapay zeka yönetişimini kurumsal düzeyde nasıl kuracağınızı AI governance nedir ve yönetim sistemi standardını ISO 42001 nedir yazılarında bulabilirsiniz. Avrupa'ya hizmet veren kurumlar için EU AI Act'in şeffaflık yükümlülükleri de devreye girer; genel çerçeve için EU AI Act nedir yazısına bakabilirsiniz.

Şeffaflığın bir adım ötesi, tekil karar düzeyinde açıklama yapabilmektir. Bilgilendirme yükümlülüğü "sistemimiz otomatik karar verir ve genel olarak şu mantıkla çalışır" der; karar açıklama ise "sizin başvurunuz şu nedenlerle reddedildi" diyebilmektir. Bu, açıklanabilir yapay zekânın (explainable AI) otomatik karar verme bağlamındaki karşılığıdır ve itiraz hakkının fiilen işleyebilmesi için pratik bir gerekliliktir.

Karar açıklama neden bu kadar önemlidir? Çünkü kişi, kararın neden çıktığını bilmeden anlamlı bir itiraz kuramaz. "Reddedildiniz" ile "gelir/borç oranınız eşiğin üzerinde olduğu için reddedildiniz" arasındaki fark, kişinin ne yapabileceğini bilmesidir. İyi bir karar açıklama, kişiye hem sonucun gerekçesini hem de "ne farklı olsaydı sonuç değişirdi" bilgisini verir. Bu, hem adalet duygusunu hem de sürecin denetlenebilirliğini güçlendirir.

Peki model bir "kara kutu" ise ne olur? Modern makine öğrenmesi modelleri karmaşıktır ve karar mantığı doğrudan okunamaz. Ancak açıklanabilirlik teknikleri, girdi-çıktı ilişkisini yaklaşık olarak açıklamayı mümkün kılar: karara en çok etki eden faktörleri belirlemek, belirli bir başvuru için hangi değişkenlerin sonucu ittiği/çektiğini göstermek ve bunu anlaşılır bir dile çevirmek. Açıklanabilir yapay zekânın yöntemlerini açıklanabilir yapay zeka nedir yazısında derinlemesine ele alıyoruz. Yani "modelimiz kara kutu, açıklayamayız" savunması, karar açıklama yükümlülüğünü ortadan kaldırmaz; yalnızca doğru tekniklerin seçilmesini gerektirir.

Zayıf karar açıklama ile güçlü karar açıklama farkı

Boyut	Zayıf açıklama	Güçlü karar açıklama
İçerik	'Talebiniz reddedildi'	En etkili 2-3 gerekçe açık dille
Eyleme dönüklük	Kişi ne yapacağını bilmez	Neyin değişmesi gerektiği bellidir
Dil	Teknik/skora atıf	İnsan diliyle, jargonsuz
İtirazı destekleme	İtiraz için zemin yok	İtiraz için somut dayanak
Denetlenebilirlik	Sonradan izlenemez	Kayıtla doğrulanabilir

Karar açıklama, aynı zamanda kurum içi denetim için de değerlidir. Kararlarını açıklayabilen bir sistem, önyargı ve hata denetimine açıktır; açıklayamayan bir sistem, sorunları görünmez kılar. Bu yüzden karar açıklama yeteneği, yalnızca kişiye karşı bir yükümlülük değil, kurumun kendi riskini yönetme aracıdır. Açıklanabilirlik ile önyargı denetimi birlikte kurulduğunda, otomatik karar verme sistemi hem kişiye hem kuruma karşı savunulabilir hâle gelir.

İtiraz hakkı, KVKK'nın ilgili kişiye tanıdığı temel korumadır; ama bu hak, ancak arkasında işleyen bir mekanizma varsa gerçek olur. İtiraz hakkını "aydınlatma metnine bir cümle yazmak" olarak görmek, en yaygın hatadır. İyi tasarlanmış bir itiraz mekanizması, kişinin kararı gerçekten sorgulayabildiği, insan tarafından yeniden değerlendirildiği ve sonucun gerekçeli bildirildiği uçtan uca bir süreçtir.

İşleyen bir itiraz mekanizması dört temel unsura dayanır. Birincisi erişilebilirlik: kişinin nasıl itiraz edeceğini kolayca bulabilmesi ve düşük sürtünmeyle başvurabilmesi (form, e-posta, hesap içi buton). Gizlenmiş veya bürokratik bir kanal, hakkı fiilen ortadan kaldırır. İkincisi, kişinin görüşünü ifade etme ve ek bilgi/belge sunma imkânı: itiraz tek yönlü bir ret değil, kişinin kendi lehine kanıt sunabildiği bir diyalog olmalıdır. Üçüncüsü, anlamlı insan müdahalesi: itirazı, kararı gerçekten değiştirebilecek yetkiye sahip bir insanın yeniden değerlendirmesi. Dördüncüsü, gerekçeli bildirim: itiraz sonucunun, kişiye neden kabul/ret edildiği açıklanarak bildirilmesi.

Nasıl Yapılır

Bir itiraz mekanizmasının işleyişi

Otomatik bir kararın kişiye bildirilmesinden itirazın sonuçlandırılıp kayıt altına alınmasına kadar izlenmesi gereken temel adımlar.

1. 1

   Kararı ve itiraz yolunu bildir

   Otomatik karar verildiğini, ana gerekçesini ve kişinin nasıl itiraz edebileceğini açık dille bildirin (bilgilendirme yükümlülüğü + karar açıklama).

2. 2

   İtirazı düşük sürtünmeyle al

   Kolay erişilebilir bir kanal sunun; kişinin görüşünü ve ek belgelerini sunmasına izin verin.

3. 3

   Yetkili insana yönlendir

   İtirazı, kararı değiştirebilecek yetki ve bilgiye sahip bir kişiye iletin; otomatik sistem kendi kararını tek başına gözden geçirmesin.

4. 4

   Gerçek bir yeniden değerlendirme yap

   Kişinin sunduğu bilgiyi ve karar dayanaklarını inceleyerek sonucu onaylayın veya değiştirin.

5. 5

   Sonucu gerekçeli bildir ve kaydet

   Kararı gerekçesiyle kişiye bildirin; tüm süreci (girdi, gerekçe, inceleme, sonuç) denetim iziyle saklayın.

İtiraz mekanizmasının sık ihmal edilen bir yönü, bağımsızlıktır: itirazı, ilk kararı veren aynı otomatik akışın veya aynı sembolik onaycının değil, gerçekten bağımsız ve yetkili bir merciin değerlendirmesi gerekir. Aksi hâlde itiraz, kararı yalnızca tekrar eden bir döngüye dönüşür. İyi bir tasarım, itiraz vakalarını normal akıştan ayırır ve bunlara daha fazla insan dikkati ayırır.

Bir başka önemli tasarım kararı, makul süredir. İtiraz sonucu belirsiz veya çok uzun bir sürede geliyorsa, hak fiilen zayıflar. Süreç, kişiye tahmini bir yanıt süresi vermeli ve buna uymalıdır. İtiraz mekanizması tasarımını kurumsal KVKK pratiğiyle birleştirmek için KVKK uyumlu yapay zeka nedir ve etken (agentic) yapay zeka bağlamındaki DPIA yaklaşımı için KVKK ve etken yapay zeka rehberi yazıları pratik zemin sunar.

Bir otomatik karar verme sistemini doğru tasarlamak yetmez; bunu ispatlayabilmek de gerekir. Uyumun altın kuralı şudur: kaydedilmeyen şey, olmamış sayılır. Bir denetim veya ilgili kişi başvurusu geldiğinde, "biz insan müdahalesi yaptık" veya "kişiyi bilgilendirdik" demek yeterli değildir; bunu gösteren kayıtlar bulunmalıdır. Bu yüzden kayıt ve kanıt, otomatik karar verme uyumunun ayrılmaz parçasıdır.

İyi bir denetim izi, tekil bir kararın tüm yaşam döngüsünü yeniden kurmayı mümkün kılmalıdır. Pratikte saklanması değerli olan unsurlar: kararın hangi girdi verilerine dayandığı, hangi model veya kural setinin (ve hangi sürümünün) kullanıldığı, üretilen sonuç ve skor, varsa insan gözden geçirmesinin kim tarafından ve ne zaman yapıldığı, itiraz olduysa itirazın içeriği ve sonucu, ve kişiye yapılan bilgilendirme/bildirim. Bu kayıtlar, hem iç denetim hem de dış hesap verebilirlik için temel oluşturur. Denetim izinin genel mantığını audit trail (denetim izi) yazısında ele alıyoruz.

Model sürümünün kaydı özellikle önemlidir. Otomatik karar verme sistemleri zamanla güncellenir; altı ay önce verilen bir karara itiraz geldiğinde, o kararı üreten modelin o günkü sürümünü bilmek gerekir. Sürüm ve girdi kaydı olmadan, geçmiş bir kararı yeniden değerlendirmek imkânsızlaşır. Bu yüzden denetim izi, yalnızca "ne oldu" değil, "hangi koşullarda oldu" bilgisini de taşımalıdır.

Kayıt ve kanıt disiplini, aynı zamanda kurumun kendini savunma kapasitesidir. İyi belgelenmiş bir süreç, hem düzenleyici karşısında hesap verebilirliği sağlar hem de kurum içi hataların erken yakalanmasına yardım eder. Yapay zeka projelerinde risk değerlendirmesini belgeleme pratiğini AI projelerinde KVKK pratiği yazısında bulabilirsiniz. Bu içerik hukuki tavsiye değildir; kayıt ve saklama politikanız hukuk biriminizle belirlenmelidir.

Otomatik karar verme sistemini doğru yönetmek için, bir kararın perde arkasında nasıl oluştuğunu görmek gerekir. Tek bir otomatik karar, aslında birbirine bağlı bir dizi adımın sonucudur ve her adım hem bir kalite hem de bir uyum noktasıdır. Bu anatomi, "kara kutu" korkusunu somut kontrol noktalarına dönüştürür.

Zincir tipik olarak beş halkadan oluşur. Birincisi veri toplama: kişiyle ilgili hangi verilerin toplandığı ve bunların meşru bir sebebe dayanıp dayanmadığı. Bu halkada veri minimizasyonu ve doğruluk ilkeleri devreye girer; eksik veya hatalı girdi, sonraki her adımı zehirler. İkincisi öznitelik üretimi (feature): ham verinin karar için anlamlı sinyallere dönüştürülmesi — örneğin ödeme geçmişinden bir "gecikme oranı" türetmek. Bu adımda gizli önyargılar sızabilir; masum görünen bir öznitelik, dolaylı olarak korumalı bir özelliği (ör. yaşanılan bölge üzerinden köken) temsil edebilir.

Üçüncü halka model veya kural setidir: özniteliklere bir skor veya sınıf atayan mekanizma. Bu bir makine öğrenmesi modeli de olabilir, elle yazılmış bir kural motoru da. Dördüncü halka eşiktir (threshold): skorun bir sonuca çevrildiği karar sınırı — örneğin "skoru 0,7'nin altındaysa reddet". Eşik, çoğu zaman gözden kaçan ama sonucu doğrudan belirleyen bir tasarım kararıdır; eşiği değiştirmek, hiçbir modeli değiştirmeden kimin kabul/ret edildiğini değiştirir. Beşinci halka sonucun uygulanması ve kişiye bildirilmesidir.

Bu anatomi, karar açıklama yükümlülüğünü de somutlaştırır: kişiye "reddedildiniz" demek yerine, hangi özniteliğin (gecikme oranı) hangi eşiği (kabul sınırı) nasıl aştığını anlaşılır dille anlatmak mümkün olur. Modelin iç matematiğinin nasıl okunacağını açıklanabilir yapay zeka nedir yazısında, koruyucu kontrol katmanlarını ise guardrail nedir yazısında ele alıyoruz.

Otomatik karar verme kavramını en net kavratan şey, aynı senaryonun iki farklı kurgusunu yan yana görmektir. Bir kredi başvurusunu ele alalım ve iki kurumun bunu nasıl işlediğini karşılaştıralım. İki kurumun da aynı skor modelini kullandığını, ama süreçlerinin farklı olduğunu varsayalım.

Birinci kurumda süreç şöyle işler: başvuru gelir, model bir skor üretir, skor eşiğin altındaysa sistem başvuruyu otomatik reddeder ve kişiye standart bir "başvurunuz olumsuz sonuçlanmıştır" mesajı gider. Hiçbir yetkili dosyayı görmez; kişi neden reddedildiğini bilmez ve nasıl itiraz edeceğine dair bir yol sunulmaz. Bu, tam anlamıyla münhasıran otomatik karardır ve korumasızdır: bilgilendirme yok, karar açıklama yok, işleyen bir itiraz mekanizması yok.

İkinci kurumda ise aynı model kullanılır ama süreç farklıdır. Eşiğin belirgin biçimde altındaki başvurular otomatik reddedilebilir; ancak sınıra yakın olan, itiraz eden veya belirli bir eşiğin altındaki tüm başvurular, dosyayı değiştirme yetkisine sahip bir uzmana yönlendirilir. Kişiye reddin ana gerekçesi (örneğin gelir-borç oranı) açık dille bildirilir, ek belge sunma ve itiraz etme yolu gösterilir ve itiraz gerçek bir insan tarafından yeniden değerlendirilir. Bu ikinci kurgu, anlamlı insan müdahalesi, şeffaflık ve işleyen bir itiraz hakkı içerir.

Aynı kredi kararının münhasıran otomatik ve insan destekli kurgusu

Boyut	Münhasıran otomatik (korumasız)	İnsan destekli (korumalı)
Bilgilendirme	Standart olumsuz mesaj	Ana gerekçe açık dille
İnsan müdahalesi	Yok	Yetkili uzman yeniden değerlendirir
İtiraz	Yol gösterilmez	Erişilebilir ve gerçek
Kayıt	Yalnızca sonuç	Girdi, gerekçe, itiraz izi
Kişinin konumu	Edilgen	Süreçte söz sahibi

Bu karşılaştırmanın verdiği ders şudur: teknoloji aynı olsa da, sürecin tasarımı kararın hukuki ve etik niteliğini kökten değiştirir. Aynı model, bir kurumda korumasız bir otomatik karar verme, diğerinde ise haklara saygılı bir sistem üretir. Fark modelde değil, insan müdahalesinin niteliği, şeffaflık ve itiraz mekanizması tasarımındadır. Bu içerik hukuki tavsiye değildir.

Otomatik karar verme tartışması çoğu zaman "insan müdahalesi" ve "itiraz hakkı"na odaklanır; ama daha temelde bir soru vardır: kişisel veriyi işlemenin meşru zemini nedir? KVKK, kişisel veri işlemenin belirli hukuki sebeplere dayanmasını gerektirir. Yani bir otomatik karar sistemi kurmadan önce, "bu verileri hangi hukuki sebebe dayanarak işliyoruz" sorusu yanıtlanmalıdır. Bu bölüm genel ilkeleri anlatır; somut hukuki sebep tayini hukuk uzmanıyla yapılmalıdır ve bu içerik hukuki tavsiye değildir.

Kişisel veri işleme, kural olarak ya kişinin açık rızasına ya da kanunda öngörülen diğer işleme şartlarına dayanır. Diğer şartlara örnek olarak bir sözleşmenin kurulması veya ifası için gereklilik, bir hukuki yükümlülüğün yerine getirilmesi veya veri sorumlusunun meşru menfaati gösterilebilir. Otomatik karar verme bağlamında hangi zemine dayanıldığı önemlidir; çünkü zemin, kişiye tanınan hakları ve kurumun yükümlülüklerini şekillendirir. Örneğin işleme açık rızaya dayanıyorsa, rızanın geri alınabilir olması ve rıza olmadan hizmetin dayatılmaması gibi ilkeler devreye girer. Rıza süreçlerinin yönetimini rıza yönetimi yazısında ele alıyoruz.

Özel nitelikli (hassas) kişisel veriler — sağlık, biyometrik, din, siyasi görüş gibi — söz konusu olduğunda koruma daha da güçlenir ve genellikle daha sıkı şartlar gerekir. Bir otomatik karar bu tür verilere dayanıyorsa (örneğin sağlık verisiyle sigorta fiyatlaması), hassasiyet katlanır ve ek önlemler gündeme gelir. Bu yüzden otomatik karar verme sisteminin girdileri, yalnızca teknik değil hukuki bir gözle de taranmalıdır: hangi veriler işleniyor, hangi zemine dayanıyor ve içlerinde özel nitelikli veri var mı?

Otomatik karar verme sistemlerinin en sinsi riski, hızlı ve tutarlı görünürken sistematik olarak adaletsiz olabilmeleridir. Bir insan önyargısı vaka vaka değişir; ama bir modelin önyargısı, tüm kararlara ölçekli biçimde yansır. Bu yüzden otomatik kararda adalet, iyi niyet meselesi değil, ölçülmesi ve denetlenmesi gereken bir mühendislik sorumluluğudur.

Önyargı çoğu zaman modelin "kötü niyetinden" değil, öğrendiği veriden gelir. Model, geçmiş kararlardaki insan önyargılarını veya toplumsal eşitsizlikleri veriden öğrenip sürdürür. Örneğin geçmişte belirli bir gruba sistematik olarak daha az kredi verilmişse, model bu örüntüyü "doğru" sanıp tekrarlar. Daha da inceltilmiş bir risk, dolaylı ayrımcılıktır: model korumalı bir özelliği (cinsiyet, köken) doğrudan kullanmasa bile, onunla ilişkili bir vekil değişkeni (posta kodu, isim) üzerinden aynı ayrımcı etkiyi üretebilir. Yapay zekâda önyargının kaynaklarını yapay zekâda önyargı nedir yazısında derinlemesine ele alıyoruz.

Önyargı denetimi, otomatik karar verme sisteminin düzenli bir sağlık kontrolüdür. Pratikte bu; sonuçların farklı gruplar arasında nasıl dağıldığını ölçmek, benzer profildeki kişilerin benzer sonuç alıp almadığını sınamak ve zamanla oluşan sapmaları izlemek anlamına gelir. Denetim, bir kez yapılıp bırakılmaz; model ve veri değiştikçe tekrarlanır. Adaleti sistematik biçimde ele almak, sorumlu yapay zekânın çekirdeğindedir; bu çerçeveyi sorumlu yapay zeka nedir ve yapay zeka etik ve sorumlu AI yazılarında bulabilirsiniz.

Adalet ile karar açıklama birbirini besler: açıklanabilir bir sistem, ayrımcı örüntüleri görünür kılar ve düzeltilebilir hâle getirir; kara kutu bir sistem ise ayrımcılığı gizler. Bu yüzden önyargı denetimi ve açıklanabilirlik, otomatik karar verme uyumunun iki tamamlayıcı ayağıdır. Bu içerik hukuki tavsiye değildir; ayrımcılık değerlendirmesi hukuk ve etik uzmanlarıyla yapılmalıdır.

İtiraz hakkı, otomatik karar verme bağlamında en görünür haktır; ama tek başına durmaz. KVKK, ilgili kişiye bir haklar demeti tanır ve bunlar otomatik karar sürecinde birbirini tamamlar. Bu hakları birlikte düşünmek, sistemi yalnızca "itiraz kanalı" olarak değil, bütüncül bir hak-saygılı mimari olarak tasarlamayı sağlar.

Kişinin en temel hakları arasında; kendisiyle ilgili veri işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, verilerin hangi amaçla işlendiğini ve amaca uygun kullanılıp kullanılmadığını öğrenme, eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme ve şartlar oluştuğunda verilerin silinmesini talep etme yer alır. Otomatik karar verme bağlamında bu haklar özellikle anlam kazanır: örneğin bir karar yanlış veya eski bir veriye dayanıyorsa, kişi düzeltme hakkını kullanarak kararın temelini değiştirebilir. Kişisel verinin ne olduğunu kişisel veri nedir, anonimleştirme yöntemlerini veri anonimleştirme nedir yazısında ele alıyoruz.

Bu hakların otomatik kararla ilişkisi şöyle kurulur: düzeltme hakkı, hatalı girdiye dayanan bir kararı düzeltmenin yolunu açar; bilgi talep etme hakkı, kişinin kararın mantığını anlamasını (karar açıklama) besler; itiraz hakkı ise sonucun kendisini sorgulama imkânı verir. Yani bu haklar bir zincir oluşturur: kişi önce öğrenir, sonra gerekiyorsa düzeltir, en sonunda itiraz eder. İyi tasarlanmış bir sistem, bu üç aşamayı da kolaylaştırır.

Veri sahibi hakları ve otomatik kararla ilişkisi

Hak	Ne sağlar	Otomatik kararla ilişkisi
Bilgi talep etme	İşlemeyi öğrenme	Karar açıklamanın zemini
Düzeltme	Yanlış veriyi düzeltme	Kararın temelini değiştirir
Silme (şartlarda)	Veriyi kaldırma	Gelecekteki kararı etkiler
İtiraz	Sonuca karşı çıkma	Otomatik karara doğrudan itiraz

Bu bütüncül bakış, otomatik karar verme uyumunu tek bir düğmeden çıkarıp bir haklar mimarisine dönüştürür. Hakları birbirinden kopuk değil, birbirini besleyen bir sistem olarak tasarlayan kurumlar, hem uyumda hem kullanıcı güveninde öne geçer. Bu içerik hukuki tavsiye değildir.

Yüksek etkili bir otomatik karar verme sistemi kurmadan önce, doğru soru "bu işleme kişiler için ne kadar riskli" sorusudur. Veri koruma etki değerlendirmesi (DPIA — Data Protection Impact Assessment), tam olarak bu riski sistematik biçimde değerlendiren bir belgeleme ve analiz sürecidir. Otomatik kararlar, özellikle profillemeye dayalı ve kişi üzerinde önemli etki doğuranlar, DPIA'nın tipik konusudur.

DPIA'nın amacı, riski proje başlamadan görünür kılmak ve azaltıcı önlemleri baştan tasarlamaktır. İyi bir DPIA birkaç soruyu yanıtlar: hangi kişisel veriler, hangi amaçla ve hangi hukuki zemine dayanarak işleniyor; işleme kişiler için hangi riskleri (ayrımcılık, mahremiyet ihlali, hatalı karar) taşıyor; bu riskleri azaltmak için hangi önlemler (anlamlı insan müdahalesi, karar açıklama, itiraz mekanizması, veri minimizasyonu) alınıyor; ve kalan risk kabul edilebilir mi. Bu analiz, otomatik karar verme sistemini "kurduktan sonra sorunları görmek" yerine "kurmadan önce tasarlamak" imkânı verir.

DPIA'yı bir bürokratik form değil, bir tasarım aracı olarak kullanmak en sağlıklısıdır. Süreç, mühendisleri, hukuk birimini ve iş sahiplerini aynı masaya oturtur ve riskleri ortak bir dile taşır. Etken (agentic) yapay zeka sistemleri için bir DPIA şablonu ve pratik yaklaşımı KVKK ve etken yapay zeka rehberi yazısında paylaşıyoruz. Riskleri belgeleme disiplinini ise AI projelerinde KVKK pratiği yazısında ele alıyoruz.

DPIA'nın tam olarak ne zaman zorunlu olduğu ve nasıl belgeleneceği hukuki bir değerlendirme gerektirir; bu içerik hukuki tavsiye değildir. Ancak genel ilke açıktır: bir otomatik karar sistemi kişiler üzerinde ne kadar önemli etki doğuruyorsa, önceden yapılan risk değerlendirmesi o kadar kritiktir. DPIA'yı atlamak, riski görmezden gelmek anlamına gelmez; yalnızca onu üretim ortamına ve gerçek kişilere ertelemek anlamına gelir.

Otomatik karar verme sistemleri herkese aynı ölçüde uygulanmaz; bazı gruplar için ek bir hassasiyet gerekir. Çocuklar, yaşlılar, dijital okuryazarlığı sınırlı kişiler veya belirli açılardan dezavantajlı gruplar, hem otomatik kararların etkisine daha açık hem de haklarını kullanmakta daha zorlanan kesimlerdir. Bu grupları göz önünde tutmak, hem etik hem de uyum açısından önemlidir.

Çocuklar özel bir dikkat gerektirir. Bir çocuğun verisine dayanan veya bir çocuğu etkileyen otomatik karar verme, yetişkinlere kıyasla daha güçlü koruma ister; çünkü çocuklar hem risklerin daha az farkındadır hem de haklarını bağımsız kullanmakta sınırlıdır. Benzer şekilde, bir itiraz mekanizmasının "kolay erişilebilir" olması, dijital okuryazarlığı düşük bir kullanıcı için bambaşka bir şey ifade eder: karmaşık bir form veya teknik bir dil, bu kişi için hakkı fiilen ortadan kaldırabilir.

Bu yüzden kırılgan gruplar için tasarım, "ortalama kullanıcı"yı değil, en zorlanacak kullanıcıyı merkeze almalıdır. Bilgilendirme dili sadeleştirilmeli, itiraz yolu alternatif kanallarla (örneğin telefon veya yüz yüze destek) güçlendirilmeli ve karar açıklama herkesin anlayacağı bir dile indirgenmelidir. Erişilebilirlik, yalnızca teknik bir özellik değil, hakkın gerçekten kullanılabilmesinin ön koşuludur.

Kırılgan gruplar için ek hassasiyet, hukuki bir değerlendirmeyi de gerektirir ve bu içerik hukuki tavsiye değildir. Ancak tasarım ilkesi nettir: koruma, herkes için eşit görünen ama fiilen bazı grupları dışarıda bırakan bir mekanizma değil, en çok korumaya ihtiyaç duyanı gözeten bir tasarımdır.

Birçok kurum, otomatik karar verme sistemini sıfırdan kendisi kurmaz; hazır bir skorlama servisi, bir bulut tabanlı model veya bir tedarikçi çözümü kullanır. Bu durumda sık sorulan soru şudur: karar bir üçüncü tarafın sistemiyle veriliyorsa, sorumluluk kimde? Yanıt uyum açısından kritiktir ve çoğu zaman yanlış anlaşılır.

Genel ilke şudur: veriyi kendi amaçları için işleten kurum (veri sorumlusu), otomatik kararın sonuçlarından sorumluluğunu bir tedarikçiye devrederek kurtulamaz. Tedarikçi bir işleyen (veri işleyen) rolündeyse, kurum yine de kişiye karşı asli sorumluluğu taşır: bilgilendirme, karar açıklama ve itiraz mekanizması kurma yükümlülüğü kurumundur. "Modeli biz yapmadık, tedarikçiden aldık" savunması, kişiye karşı sorumluluğu ortadan kaldırmaz. Bu yüzden tedarikçi seçimi ve sözleşmesi, bir uyum kararıdır.

Pratikte bu, tedarikçiyle yapılan sözleşmede birkaç noktanın netleşmesini gerektirir: tedarikçi verileri yalnızca tanımlı amaç için mi işliyor; modelin kararlarını açıklayacak bilgiyi (karar açıklama için) sağlıyor mu; bir itiraz geldiğinde yeniden değerlendirme için gerekli erişimi veriyor mu; ve denetim izini destekliyor mu. Bir kara kutu tedarikçi çözümü, kuruma "açıklayamıyoruz, tedarikçi vermiyor" gibi savunulamaz bir konum bırakır. Yapay zeka yönetişimini tedarikçi ilişkilerini de kapsayacak biçimde kurmak için AI governance nedir ve KVKK ve yapay zeka tartışmaları yazıları bağlam sağlar.

Sonuç olarak, üçüncü taraf bir sistem kullanmak uyum sorumluluğunu azaltmaz, yalnızca onu sözleşme ve tedarikçi yönetimi katmanına taşır. Otomatik karar verme sistemini dışarıdan alan bir kurum, tedarikçinin şeffaflık, açıklanabilirlik ve itiraz desteğini baştan şart koşmalıdır. Bu değerlendirme hukuki bir boyut taşır ve bu içerik hukuki tavsiye değildir; tedarikçi sözleşmeleri hukuk biriminizle gözden geçirilmelidir.

Otomatik karar verme en yoğun olarak üç alanda hayata dokunur: finansal hizmetler, sigorta ve insan kaynakları. Bu üç alanda kararlar hem ölçeklidir hem de kişi üzerinde ağır etki doğurur; bu yüzden itiraz hakkı ve anlamlı insan müdahalesi burada özellikle kritiktir. Aşağıdaki görünüm genel bir çerçevedir; sektörel düzenlemeler ek yükümlülükler getirir ve hukuki tavsiye yerine geçmez.

Bankacılık ve finansta, kredi skorlama ve otomatik başvuru değerlendirmesi klasik örneklerdir. Bir kredi başvurusunun münhasıran bir skor modeliyle reddi, kişinin ekonomik hayatını doğrudan etkiler; bu yüzden bilgilendirme, karar açıklama ve itiraz mekanizması burada olmazsa olmazdır. Türkiye'de bankacılık, ayrıca sektörel düzenleyici çerçevelerle (ör. düzenleyici otoritenin gözetimi) iç içedir; yapay zekânın bu bağlamdaki kullanımını Türkiye bankacılığında yapay zeka yazısında ele alıyoruz.

Sigortada, prim belirleme, risk sınıflandırması ve hasar değerlendirmesi giderek daha fazla otomatikleşiyor. Bir kişinin priminin otomatik olarak yükseltilmesi veya poliçesinin reddi, itiraz hakkının doğduğu tipik durumlardır; ayrıca profilleme kaynaklı ayrımcılık riski burada özellikle dikkat ister. Sigortada yapay zekânın kullanımını ve sınırlarını sigortacılıkta yapay zeka yazısında inceliyoruz. İnsan kaynaklarında ise otomatik aday elemesi ve performans değerlendirmesi hassas alanlardır; çalışan verisinin işlenmesinin KVKK boyutunu İK çalışan verisi ve KVKK yazısında ele alıyoruz.

Sektörel otomatik karar örnekleri ve öne çıkan hassasiyet

Sektör	Tipik otomatik karar	Öne çıkan hassasiyet
Bankacılık/finans	Kredi skorlama, başvuru reddi	Karar açıklama + itiraz + ayrımcılık
Sigorta	Prim/risk sınıflandırması	Profilleme kaynaklı ayrımcılık riski
İnsan kaynakları	Aday elemesi, performans skoru	Çalışan verisi + anlamlı insan müdahalesi
Kamu/hizmet	Yardım/hizmet talebi değerlendirmesi	Şeffaflık + erişilebilir itiraz

Sektörler arasındaki ortak çizgi şudur: karar ne kadar ağır etkiliyse, koruma o kadar güçlü olmalıdır. Sektörel düzenlemeler KVKK'nın üzerine ek katmanlar ekler; bu yüzden her sektör, kendi düzenleyici çerçevesini KVKK'nın otomatik karar verme ilkeleriyle birlikte okumalıdır. Türkiye'deki genel yapay zeka düzenleme manzarasını Türkiye yapay zeka regülasyonu yazısında bulabilirsiniz.

Avrupa'ya ürün veya hizmet sunan Türk kurumları için, otomatik karar verme yalnızca KVKK ile sınırlı değildir; GDPR ve EU AI Act de devreye girer. Bu üç çerçeve aynı amaca — kişiyi münhasıran otomatik kararlara karşı korumak — hizmet eder, ama düzenleme biçimleri ve kapsamları farklıdır. Bu karşılaştırma bilgilendirme amaçlıdır; her çerçevenin somut uygulaması hukuk uzmanıyla değerlendirilmelidir.

KVKK (6698 sayılı Kanun) açısından temel dayanak, ilgili kişiye tanınan itiraz hakkıdır: kişisel verilerin münhasıran otomatik sistemlerle analiz edilmesi sonucu kişinin aleyhine bir sonuç doğmasına itiraz etme hakkı. Bu, otomatik karar verme korumasının Türk hukukundaki temel ayağıdır. GDPR ise 22. maddesiyle daha ayrıntılı bir mimari kurar: hukuki sonuç doğuran veya benzer ölçüde önemli etkisi olan münhasıran otomatik kararlar kural olarak sınırlanır, belirli istisnalar tanımlanır ve kişiye insan müdahalesi talep etme, görüşünü açıklama ve karara itiraz etme hakları verilir. GDPR'nin genel çerçevesini GDPR nedir yazısında ele alıyoruz.

EU AI Act ise farklı bir açıdan yaklaşır: sistemleri risk seviyelerine göre sınıflandırır ve yüksek riskli kabul edilen alanlarda (örneğin kredi değerlendirmesi, işe alım) şeffaflık, insan gözetimi, kayıt tutma ve dokümantasyon gibi yükümlülükler getirir. Yani GDPR/KVKK kişinin hakkına odaklanırken, EU AI Act sistemin kendisine yükümlülük getirir; ikisi birbirini tamamlar. EU AI Act'in yüksek riskli sistem yaklaşımını EU AI Act yüksek riskli sistem yazısında, üç çerçevenin uyumunu ise KVKK uyumlu yapay zeka kontrol listesi yazısında inceleyebilirsiniz.

Otomatik kararlarda KVKK, GDPR ve EU AI Act'in odak farkı

Çerçeve	Temel odak	Otomatik kararda öne çıkan
KVKK (6698)	İlgili kişinin hakları	Münhasıran otomatik analize itiraz hakkı
GDPR (md. 22)	Kişinin hakları + istisnalar	İnsan müdahalesi, görüş, itiraz
EU AI Act	Sistemin risk temelli yükümlülüğü	Şeffaflık, insan gözetimi, kayıt

Pratik sonuç şudur: Avrupa'ya hizmet veren bir Türk kurumu, otomatik karar verme sistemini tasarlarken bu üç çerçeveyi birlikte gözetmelidir. İyi haber, hepsinin ortak bir çekirdek gerektirmesidir: şeffaflık, anlamlı insan müdahalesi, karar açıklama, işleyen itiraz ve kayıt. Bu çekirdeği bir kez sağlam kurmak, üç çerçevenin de temel beklentilerini büyük ölçüde karşılar. Bu içerik hukuki tavsiye değildir.

Otomatik karar verme uyumu genellikle hukuki bir yük olarak görülür; oysa iyi tasarlandığında bir güven aracına dönüşür. Kullanıcı deneyimi (UX) perspektifinden bakıldığında, aynı olumsuz karar bile — bir kredi reddi, bir başvuru elemesi — kişiye nasıl iletildiğine bağlı olarak ya öfke ya da anlayışla karşılanır. Şeffaflık, insan müdahalesi ve karar açıklama, yalnızca uyum unsurları değil, aynı zamanda güven mühendisliğinin parçalarıdır.

Araştırmalar ve saha deneyimi, insanların olumsuz sonuçları, süreci adil bulduklarında çok daha iyi kabul ettiğini gösterir. Bir kullanıcı, kararının nasıl verildiğini anlıyorsa, itiraz edebileceğini biliyorsa ve gerektiğinde bir insana ulaşabiliyorsa, sonuç olumsuz olsa bile kuruma güveni artar. Buna karşın, "başvurunuz reddedildi" deyip kapıyı kapatan bir sistem, kişiyi hem mağdur hem çaresiz bırakır ve markaya zarar verir. Yani otomatik karar verme deneyimi, doğrudan itibar yönetimidir.

Güven inşa eden bir deneyim birkaç ilkeye dayanır. Birincisi, kararın anında ve açık dille bildirilmesi; kişiyi belirsizlikte bırakmamak. İkincisi, "neden" sorusuna anlaşılır bir yanıt (karar açıklama); soyut bir red yerine somut bir gerekçe. Üçüncüsü, "şimdi ne yapabilirim" sorusuna net bir yol; itiraz kanalı ve gerekiyorsa bir insana erişim. Dördüncüsü, sürecin kişiyi edilgen bir nesne değil, söz sahibi bir özne olarak konumlandırması. İnsan ve yapay zekânın birlikte çalıştığı deneyimleri insan-AI iş birliği yazısında ele alıyoruz.

Bir itiraz mekanizması kurmak, işin yalnızca yarısıdır; asıl zorluk, bir itiraz geldiğinde bunun operasyonel olarak nasıl işlediğidir. Kâğıt üzerinde mükemmel görünen bir itiraz hakkı, arkasında net bir akış ve sorumlu bir ekip yoksa, pratikte tıkanır. Bu yüzden otomatik karar verme sisteminin operasyonel tasarımı, hukuki tasarımı kadar önemlidir.

İşleyen bir operasyonel akış birkaç soruyu baştan yanıtlar. İtiraz geldiğinde kim haberdar olur ve hangi sürede yanıt vermekle yükümlüdür? İtirazı değerlendirecek kişi, kararı gerçekten değiştirebilecek yetkiye sahip mi ve karara dayanak verilere erişebiliyor mu? İtiraz sürecinde kişiden ek belge isteniyorsa bu nasıl toplanıyor? Ve sonuç, kişiye hangi kanaldan ve ne kadar sürede, hangi gerekçeyle bildiriliyor? Bu soruların yanıtsız kaldığı her nokta, itiraz hakkının fiilen zayıfladığı bir kırılma noktasıdır.

Ekip sorumlulukları da netleşmelidir. Tipik olarak birkaç rol öne çıkar: itirazı ilk karşılayan operasyon ekibi; kararı yeniden değerlendiren yetkili uzman; gerektiğinde devreye giren hukuk/uyum birimi; ve tüm sürecin kaydını tutan sistem. "Herkesin işi, kimsenin işi" tuzağı burada özellikle tehlikelidir; itiraz değerlendirmesinin sahibi açıkça atanmazsa, itirazlar bir masadan diğerine savrulur ve süreç uzar. Anlamlı insan müdahalesinin operasyonel tasarımını kurumsal agent sistemlerinde insan onayı ve kontrol katmanı tasarımı yazısında derinleştiriyoruz.

Operasyonel akışın sık ihmal edilen bir yönü, öğrenme döngüsüdür. İtirazlar yalnızca tek tek çözülmesi gereken vakalar değil, sistemin nerede yanıldığını gösteren değerli sinyallerdir. Belirli bir karar tipinde itirazlar yoğunlaşıyorsa, bu muhtemelen modelde, bir öznitelikte veya bir eşikte sistematik bir sorun olduğuna işaret eder. İtirazları analiz edip sisteme geri beslemek, otomatik karar verme kalitesini zamanla artırır. Bu içerik hukuki tavsiye değildir; operasyonel akışınız hukuk biriminizle uyumlu tasarlanmalıdır.

Bir otomatik karar verme sistemini doğru kurmak, işin başlangıcıdır; onu zaman içinde uyumlu tutmak ise ayrı bir disiplindir. Uyum, üretime alınan gün donan bir durum değil, sürekli izlenmesi ve bakımı yapılması gereken yaşayan bir süreçtir. Modeller güncellenir, veriler değişir, kullanıcı davranışı evrilir ve düzenlemeler dönüşür; bu yüzden "bir kez kurduk, bitti" yaklaşımı, sessiz bir uyumsuzluğun kapısını aralar.

Sürekli uyumun temeli izlemedir. İzlenmesi değerli olan birkaç gösterge vardır: kararların farklı gruplar arasındaki dağılımı (önyargı sapması var mı), itiraz oranı ve itirazların sonucu (sistem sistematik olarak yanılıyor mu), insan müdahalesinin etkinliği (gözden geçirenler gerçekten kararları değiştiriyor mu, yoksa oran sıfıra mı yaklaşıyor) ve karar kalitesinin zamanla değişimi. Bu göstergeler, otomatik karar verme sisteminin sağlığını gösteren bir panoya dönüştürülebilir ve bozulmalar büyümeden yakalanabilir.

İkinci temel, düzenli gözden geçirmedir. Model her güncellendiğinde, önyargı ve karar kalitesi yeniden ölçülmeli; bir düzenleme değiştiğinde, sistemin uyumu tekrar değerlendirilmelidir. Bu, bir regresyon testi mantığıyla çalışır: her değişiklikten sonra, korumaların (bilgilendirme, insan müdahalesi, itiraz mekanizması, karar açıklama) hâlâ yerinde ve etkili olduğu doğrulanır. Yapay zeka yönetim sistemini standart bir çerçeveye oturtmak için ISO 42001 nedir ve genel yönetişim için AI governance nedir yazıları yol gösterir.

Sürekli uyumun sahiplenilmesi de kritiktir. İzleme ve gözden geçirme sorumluluğu kimseye açıkça verilmezse, sistem sessizce bozulur ve kimse fark etmez. Bu yüzden otomatik karar verme sisteminin bir "uyum sahibi" olmalı ve bu kişi/ekip, göstergeleri düzenli izlemek, sapmaları raporlamak ve iyileştirmeleri tetiklemekle yükümlü olmalıdır. Uyumu bir proje değil, bir süreç olarak gören kurumlar, hem riski yönetir hem de kullanıcı güvenini korur. Bu içerik hukuki tavsiye değildir.

Otomatik karar verme uyumunu teoride anlamak kolaydır; zor olan, uygulamada tuzaklara düşmemektir. Deneyimli bir gözle bakıldığında, kurumlar benzer hatalarla sendeler. En yaygınlarını ve panzehirlerini şöyle sıralayabiliriz:

• Sembolik onayı gerçek müdahale sanmak: Sürece bir "onayla" tuşu eklemek, kararı otomatik olmaktan çıkarmaz. Panzehir: onaylayanın yetki, bilgi ve zamanını gerçek kılmak; değiştirme oranını izlemek.
• İtiraz hakkını bir cümleye indirgemek: Aydınlatma metnine "itiraz edebilirsiniz" yazıp işleyen bir mekanizma kurmamak. Panzehir: erişilebilir kanal, makul süre ve bağımsız insan değerlendirmesi.
• Kara kutuya sığınmak: "Modelimiz açıklanamaz" demek, karar açıklama yükümlülüğünü kaldırmaz. Panzehir: açıklanabilirlik teknikleriyle en etkili gerekçeleri sunmak.
• Bilgilendirmeyi gizlemek: Otomatik karar verildiğini jargona gömmek veya karardan çok sonra bildirmek. Panzehir: karar anında, açık dille, görünür bildirim.
• Kayıt tutmamak: Uyumu ispatlayacak denetim izi olmadan çalışmak. Panzehir: girdi, model sürümü, insan incelemesi ve itiraz sonucunu saklamak.
• Profillemeyi masum sanmak: "Sadece skor üretiyoruz" savunması, profilleme aşamasındaki yükümlülükleri ortadan kaldırmaz. Panzehir: profilleme KVKK ilkeleriyle değerlendirilmeli ve önyargı denetlenmelidir.
• Ayrımcılığı görmezden gelmek: Modelin geçmiş veriden öğrendiği önyargıyı denetlememek. Panzehir: düzenli adalet/önyargı ölçümü.

Bu hatalardan kaçınmanın en pratik yolu, sistemi kişinin gözünden test etmektir: gerçek bir kullanıcı, otomatik karar verildiğini fark edebiliyor mu, nedenini anlayabiliyor mu, kolayca itiraz edebiliyor mu ve makul sürede insan tarafından değerlendirilen bir yanıt alabiliyor mu? Bu dört soruya "evet" diyebilen bir sistem, çoğu tuzaktan kurtulmuş demektir. Bu hataların büyük kısmının erken aşamada, henüz sistem tasarlanırken önlenebildiğini unutmayın; üretime alındıktan sonra düzeltmek hem daha pahalı hem de gerçek kişileri riske atan bir yoldur. Yapay zeka etik yönetişimini kurumsal düzeyde ele almak için yapay zeka etik kurulu yazısı iyi bir başlangıçtır.

Aşağıdaki kontrol listesi, bir otomatik karar verme sistemini fikir aşamasından üretime taşırken temel adımları sırayla işaretlemenizi sağlar. Bu liste genel bir yol göstericidir ve hukuki tavsiye değildir; kurumunuzun hukuk/uyum birimiyle uyarlanmalıdır.

Nasıl Yapılır

Otomatik karar verme uyum kontrol listesi

Bir otomatik karar sistemini şeffaflık, insan müdahalesi ve itiraz hakkıyla uyumlu biçimde kurmak için adım adım kontrol listesi.

1. 1

   Kararı sınıflandır

   Kararın münhasıran otomatik olup olmadığını ve kişi üzerindeki etki düzeyini belirleyin; yüksek etkili kararları ayrı yönetin.

2. 2

   Profilleme ve girdileri denetle

   Profilleme adımını KVKK ilkeleriyle (amaç, minimizasyon, doğruluk) değerlendirin ve önyargı riskini ölçün.

3. 3

   Anlamlı insan müdahalesi kur

   Gözden geçirene gerçek yetki, bilgi ve zaman verin; sembolik onayı değiştirme kapasitesine dönüştürün.

4. 4

   Bilgilendirme ve karar açıklama sun

   Otomatik karar verildiğini, ana mantığı ve tekil gerekçeyi açık dille, karar anında bildirin.

5. 5

   İtiraz mekanizmasını tasarla

   Erişilebilir kanal, görüş sunma imkânı, bağımsız insan değerlendirmesi ve makul süre kurun.

6. 6

   Kayıt ve denetim izini oluştur

   Girdi, model sürümü, insan incelemesi ve itiraz sonucunu amaçla sınırlı biçimde saklayın.

7. 7

   Düzenli olarak denetle ve ölç

   Önyargı, karar kalitesi, itiraz oranı ve müdahale etkinliğini periyodik ölçüp iyileştirin.

Bu kontrol listesini bir kez uygulayıp unutmak değil, yaşayan bir süreç olarak sürdürmek gerekir. Modeller güncellenir, kararlar evrilir, düzenlemeler değişir; bu yüzden uyum, tek seferlik bir proje değil, sürekli bir disiplindir. Kurumsal KVKK uyumunu bütüncül kurmak için KVKK uyumlu yapay zeka nedir ve genel yönetişim için AI governance nedir yazıları temel oluşturur.

Kontrol listesini kurumunuza özel bir uyum ve süreç tasarımına dönüştürmek istiyorsanız, bir başlangıç noktası olarak yapay zeka danışmanlığı hizmetiyle sektörel bir dosya çıkarabilir, ekiplerinizin yetkinliği için kurumsal eğitim seçeneklerini değerlendirebilir ve tüm kavramları öğrenme merkezi üzerinden derinleştirebilirsiniz.

Tamamen otomatik karar nedir?

Tamamen (münhasıran) otomatik karar, bir kişiyle ilgili sonucun insanın anlamlı bir katkısı olmadan yalnızca otomatik sistemler tarafından üretildiği karardır. Ayırt edici ölçüt, süreçte bir insanın olup olmaması değil, o insanın kararı gerçekten inceleyip değiştirebilecek yetki, bilgi ve zamana sahip olup olmadığıdır. Sadece sistemin çıktısını mühürleyen sembolik bir onay, kararı otomatik olmaktan çıkarmaz. Otomatik karar verme kavramının hassasiyeti özellikle kişi aleyhine hukuki sonuç veya benzer ölçüde önemli etki doğuran kararlarda ortaya çıkar. Bu açıklama hukuki tavsiye değildir.

İtiraz hakkı nasıl sağlanır?

İtiraz hakkı, kâğıt üzerinde bir cümleyle değil, işleyen bir mekanizmayla sağlanır. Dört unsur gerekir: kişiye otomatik karar verildiğinin ve nasıl itiraz edebileceğinin açıkça bildirilmesi; kolay erişilebilir bir itiraz kanalı ve makul yanıt süresi; itirazın, kararı gerçekten değiştirebilecek yetkiye sahip bir insan tarafından gözden geçirilmesi; ve sonucun gerekçeli olarak bildirilmesiyle sürecin kayıt altına alınması. İyi tasarlanmış bir itiraz mekanizması kişiye ek bilgi/belge sunma imkânı da verir. İtiraz hakkı, KVKK'nın ilgili kişiye tanıdığı haklardan doğar.

İnsan onayı yeterli mi?

Her insan onayı yeterli değildir; belirleyici olan onayın anlamlı olup olmadığıdır. Bir yetkilinin yüzlerce kararı tek tek incelemeden toplu onaylaması veya yalnızca "onayla" kutusuna tıklaması, kararı otomatik olmaktan çıkarmaz; bu sembolik onaydır. Anlamlı insan müdahalesi için gözden geçiren kişinin kararı değiştirme yetkisi, kararı anlayacak uzmanlığı, verilere erişimi ve inceleme için gerçek bir zamanı olmalıdır. Yani soru "bir insan tıkladı mı" değil, "bir insan gerçekten değerlendirip sonucu değiştirebilir miydi" sorusudur. Bu yanıt hukuki tavsiye değildir.

Profilleme ile otomatik karar verme arasındaki fark nedir?

Profilleme, bir kişinin verilerini kullanarak performansını, ekonomik durumunu, tercihlerini veya güvenilirliğini değerlendiren/öngören otomatik işlemedir; örneğin bir müşteriyi "yüksek riskli" segmentine yerleştirmek profillemedir. Otomatik karar verme ise bu değerlendirmeye dayanarak bir sonuç üretmektir. İkisi çoğu zaman birlikte çalışır: önce profilleme yapılır, sonra otomatik karar verilir. Profilleme KVKK açısından tek başına da kişisel veri işlemedir ve genel ilkelere tabidir; profillemeye dayalı ve kişi aleyhine sonuç doğuran münhasıran otomatik kararlar ise itiraz hakkının doğduğu asıl alandır.

Karar açıklama (açıklanabilirlik) zorunlu mu ve nasıl yapılır?

Bir otomatik karar verme sisteminde kişiye kararın mantığını anlaşılır biçimde aktarabilmek, hem şeffaflık hem de itiraz hakkının işlemesi için pratik bir gerekliliktir; bu karar açıklama yeteneğidir. Amaç modelin tüm matematiğini ifşa etmek değil, "neden bu sonuç çıktı ve ne yapsam farklı olurdu" sorusuna anlamlı yanıt verebilmektir. Uygulamada bu; ana kriterlerin ve genel mantığın açık dille anlatılması, en etkili faktörlerin gösterilmesi ve sürecin belgelenmesiyle yapılır. Kara kutu bir model bile olsa, açıklanabilirlik yöntemleriyle anlaşılır bir karar açıklama sunulabilir. Bu açıklama hukuki tavsiye değildir.

KVKK ile GDPR otomatik kararlarda nasıl ayrışır?

Her ikisi de kişiyi münhasıran otomatik kararlara karşı korur, ancak düzenleme biçimleri farklıdır. GDPR'nin 22. maddesi, hukuki sonuç doğuran veya benzer ölçüde önemli etkisi olan münhasıran otomatik kararlara açık ve ayrıntılı bir çerçeve getirir: kural olarak sınırlama, belirli istisnalar, insan müdahalesi talep etme, görüş açıklama ve itiraz hakları. 6698 sayılı KVKK ise ilgili kişiye, verilerin münhasıran otomatik sistemlerle analizi sonucu aleyhine sonuç doğmasına itiraz etme hakkını tanır; GDPR'deki kadar ayrıntılı bir istisna mimarisi metinde aynı genişlikte yer almaz. Avrupa'ya hizmet veren Türk kurumları çoğu zaman iki çerçeveyi birlikte gözetir. Bu karşılaştırma hukuki tavsiye değildir.

Kısaca özetlersek: otomatik karar verme, bir kişiyle ilgili sonucun münhasıran otomatik sistemlerle üretilmesidir ve asıl hassasiyet, kişi aleyhine önemli etki doğuran kararlarda ortaya çıkar. 6698 sayılı KVKK, ilgili kişiye bu tür kararlara itiraz etme hakkı tanır; bu itiraz hakkı, ancak arkasında işleyen bir mekanizma, anlamlı insan müdahalesi, şeffaf bilgilendirme ve gerçek bir karar açıklama varsa anlam kazanır. Profilleme KVKK ilkeleriyle değerlendirilmeli, kararlar kayıt ve kanıtla belgelenmeli ve tüm süreç düzenli olarak denetlenmelidir.

En önemli mesaj şudur: koruma, kâğıt üzerinde değil, kişinin hakkını fiilen kullanabilmesinde ölçülür. İyi tasarlanmış bir otomatik karar verme sistemi; kişiye kararı bildirir, nedenini açıklar, kolay bir itiraz yolu sunar, itirazı yetkili bir insanın gerçekten değerlendirmesini sağlar ve tüm bunları kayıt altına alır.

Uygulamada bu, otomatik karar verme sistemini bir "verimlilik projesi" değil, bir "haklar mimarisi" olarak görmeyi gerektirir. Hız ve ölçek, ancak şeffaflık, anlamlı insan müdahalesi, karar açıklama ve işleyen bir itiraz mekanizmasıyla dengelendiğinde sürdürülebilir olur. Bu dengeyi baştan kuran kurumlar, hem düzenleyici karşısında hesap verebilir hem de kullanıcı gözünde güvenilir olur; sonradan yama yapmaya çalışanlar ise hem uyum hem itibar riskiyle karşılaşır. Otomatik karar verme, doğru tasarlandığında bir risk kaynağı değil, güven inşa eden bir kurumsal yetkinliğe dönüşür. Bu içerik bilgilendirme amaçlıdır ve hukuki tavsiye değildir. Kurumunuza özel bir uyum ve süreç tasarımı için başlangıç noktası olarak yapay zeka danışmanlığı ile sektörel bir dosya oluşturabilir, ekipleriniz için kurumsal eğitim seçeneklerini değerlendirebilir ve temel kavramları KVKK nedir, açıklanabilir yapay zeka nedir ve öğrenme merkezi üzerinden derinleştirebilirsiniz.