KVKK + EU AI Act Regulation: Turkish LLM Engineer's Legal Guide — Building Compliance Pipeline

Bu Derste Neler Var? (11 Bölüm)#

1. KVKK genel çerçeve — 6698 sayılı kanun
2. KVKK ve LLM — hangi maddeler relevant
3. VERBİS kaydı — adım adım
4. Veri envanteri ve işleme — LLM bağlamı
5. AB AI Act tanıtım — 4 risk kategorisi
6. AI Act risk kategorileri detay
7. Türk şirketin AB ikilemi
8. Compliance pipeline implementation
9. Gerçek dava + ceza örnekleri
10. Türk LLM mühendisi için 10 must-know madde
11. Egzersizler

1-4. KVKK Detaylı#

1.1 KVKK genel çerçeve#

2.1 KVKK ve LLM — Relevant Maddeler#

• Kişisel veri: belirli/belirlenebilir gerçek kişiye ait her bilgi
• LLM bağlamı: kullanıcı sohbet logları, ad, e-posta, IP, lokasyon — hepsi kişisel veri

• Hukuka uygunluk + dürüstlük
• Doğruluk + güncellik
• Belirli, açık ve meşru amaçlar için işleme
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü
• Veri minimizasyonu — LLM için kritik

• Açık rıza veya
• Kanunlarda öngörülmesi
• Meşru menfaat (LLM ürünleri için sık kullanılır)

• Sağlık, cinsel hayat, din, siyasi görüş — extra korumalı
• LLM bunları işlerse: açık rıza şart

• Bilgi alma
• Düzeltme
• Silme/anonimleştirme
• İşlemeye itiraz
• LLM context: kullanıcı 'sohbet geçmişimi sil' diyebilir, retain hakkın yok

• Yeterli güvenlik tedbirleri (encryption, access control)
• Veri ihlali bildirim: 72 saat içinde KVK Kurulu'na

• Veri sorumlusu siciline kayıt zorunlu (çoğu LLM ürünü için)

3.1 VERBİS Kaydı Adım Adım#

1. KEP (Kayıtlı Elektronik Posta) adresi alın
2. e-Devlet ile veri sorumlusu kaydı başlat
3. Şirket bilgileri
4. Veri sorumlusu temsilcisi atama
5. Veri kategorileri tanımlama (LLM için: ad, sohbet logları, vs.)
6. İşleme amaçları
7. Aktarım bilgileri (yurt dışı sunucu kullanıyorsanız önemli)
8. Saklama süreleri
9. Kabul + kayıt tamamlama

4.1 Veri Envanteri + İşleme#

Kategori | Veri tipi | Amaç | Hukuki sebep | Saklama süresi | Aktarım
---|---|---|---|---|---
Kullanıcı kayıt | Ad, e-posta, telefon | Hesap | Açık rıza | Hesap aktifken | AWS Frankfurt (AB-Türkiye DPA)
Sohbet logları | LLM input/output | Servis sağlama | Meşru menfaat | 30 gün | Aynı sunucu, encrypted
Ödeme | Kredi kartı | Faturalandırma | Sözleşme | 10 yıl (vergi) | Stripe (PCI-DSS)
IP + log | Teknik | Güvenlik | Meşru menfaat | 6 ay | Aynı sunucu

5-8. AB AI Act Detaylı + Türk Şirket İkilemi#

5.1 AB AI Act tanıtım#

• Sosyal puanlama (Çin tarzı)
• Subliminal manipülasyon
• Çocukları sömüren AI
• Workplace duygu tanıma (sınırlamalı)
• Real-time biometric in public (police sınırlı izinli)

• Kritik altyapı (enerji, transport)
• Eğitim (okul-üniversite admission, sınav puanlama)
• İstihdam (CV taraması, performance management)
• Temel hizmetler (sağlık, banka kredisi)
• Yargı sistemi
• Sınır kontrolü
• LLM ürünleri sıklıkla buraya düşüyor (CV tarama, kredi değerlendirme, vs.)

• Chatbot (kullanıcıya 'AI ile konuşuyorsun' bildirimi)
• Deepfake (etiketleme)
• Emotion recognition (bilgilendirme)

• Spam filter, basit oneri sistemleri
• Çoğu basit LLM uygulaması

6.1 Yüksek-Risk LLM için Yükümlülükler#

• Risk management system (sistematik dökümantasyon)
• Data governance (training data dokumentasyonu, bias analizi)
• Technical documentation (model card, evaluation results)
• Record-keeping (log retention 10 yıl)
• Transparency (user'a AI olduğunu açıkça söyle)
• Human oversight (insan denetimi mümkün olmalı)
• Accuracy, robustness, cybersecurity

• Independent audit veya self-assessment (kritik high-risk için audit zorunlu)
• CE marking (Avrupa)

7.1 Türk Şirket AB İkilemi#

• KVKK (Türkiye operasyonu)
• AI Act (AB kullanıcısı varsa)

1. AB-Türkiye veri akışı için Data Processing Addendum (DPA) sözleşmesi (örn. AWS Frankfurt kullan)
2. AB AI Act risk değerlendirme (genelde 'sınırlı risk', chatbot bilgilendirme)
3. Eğer high-risk: technical documentation + conformity assessment
4. AB temsilci (representative) atama (zorunlu AB'de operasyonu olmasa bile)

8.1 Compliance Pipeline Implementation#

import logging
from datetime import datetime
import hashlib

def log_llm_request(user_id, input_text, output_text, model_name):
    log_entry = {
        'timestamp': datetime.utcnow().isoformat(),
        'user_id_hash': hashlib.sha256(user_id.encode()).hexdigest(),  # anonymize
        'input_hash': hashlib.sha256(input_text.encode()).hexdigest(),  # don't store raw text
        'input_length': len(input_text),
        'output_length': len(output_text),
        'model': model_name,
        'pii_detected': has_pii(input_text),  # KVKK flag
    }
    # SQLite veya PostgreSQL
    db.execute('INSERT INTO audit_log ...', log_entry)

• Sohbet logları: 30 gün
• Audit log: 6 ay (KVKK denetim için)
• High-risk AI: 10 yıl (AB AI Act)

@app.delete('/user/data')
def delete_user_data(user_id):
    # KVKK madde 11 — kullanıcı silme hakkı
    db.execute('DELETE FROM sohbetler WHERE user_id = ?', user_id)
    db.execute('DELETE FROM kullanicilar WHERE id = ?', user_id)
    # Audit log: silindiğini logla
    return {'status': 'deleted'}

• 24 saat içinde tespit
• 72 saat içinde KVK Kurulu bildirim
• Etkilenen kullanıcılara bilgi
• Forensic analiz

9.1 Gerçek Cezalar ve Davalar#

• SAP Türkiye (2024): 2.5M TL — uygunsuz veri aktarımı
• Trendyol (2023): 1.6M TL — yetersiz güvenlik
• Yemeksepeti (2023): 500K TL — veri ihlali yönetimi
• Sahibinden.com (2022): 700K TL — açık rıza eksikliği

• ChatGPT'nin İtalya kısa banı (Mart 2023): GDPR ihlali
• Henüz büyük AI Act cezası yok (yeni yürürlükte)
• Tahmini ilk büyük dava: 2026 sonu - 2027

Sonraki Ders: Capstone Compliance Stack#