Yapay zekâ sistemleri, özellikle üretken modeller, metin, görüntü ve ses üretirken çoğu zaman kişisel veri işler. Kullanıcının yazdığı girdi, yüklenen belge, ses kaydı, müşteri yazışması veya çalışan değerlendirmesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 3 üncü maddesi anlamında, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin bilgi içeriyorsa Kanun uygulanır. Modelin “öğrenmesi”, anonim istatistik üretmesi veya çıktının yeni bir metin olması, bu niteliği kendiliğinden ortadan kaldırmaz.
11 Kasım 2026 itibarıyla Türkiye’de yapay zekâya özgü, bütün alanları kapsayan ve yürürlükte olan ayrı bir kanun bulunmamaktadır. Bu alandaki kişisel veri işleme faaliyetleri, yürürlükteki KVKK, ilgili yönetmelikler ve Kurul kararları ile —somut olaya göre— ceza, fikri hak ve bilişim mevzuatı çerçevesinde değerlendirilir. Kişisel Verileri Koruma Kurumu, sohbet robotlarına ilişkin bilgi notu ve 24 Kasım 2025 tarihli “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)” ile bu çerçeveyi açıklayan tavsiyeler yayımlamıştır. Rehberler yol göstericidir; Kanun hükümlerinin yerini tutmaz.
Kalemci Hukuk Bürosu, İzmir’de kişisel verilerin korunması ve bilişim hukuku alanındaki işleri yürütmektedir. Aşağıdaki açıklamalar genel niteliktedir.
Kanun’un uygulandığı an
Kanun, tamamen veya kısmen otomatik olan ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla kişisel veri işlenmesini kapsar. Bir sohbet robotuna müşteri şikâyetinin yapıştırılması, insan kaynakları yazışmasının özgeçmişle birlikte bir modele yüklenmesi, çağrı kaydının transkripsiyonu veya kamera görüntüsünün yüz tanıma amacıyla işlenmesi, bu kapsamda değerlendirilir.
İki ayrım pratikte sık karışır. Birincisi, kişisel veri ile anonim veridir. Anonim hâle getirme, ilgili kişinin kimliğinin, makul yöntemlerle de olsa, tespit edilemeyecek biçimde dönüştürülmesidir. Takma adlı (pseudonim) veri, kişisel veri olmaya devam eder. Model çıktısında isim geçmemesi, girdideki kişisel verinin işlenmediği anlamına gelmez. İkincisi, veri sorumlusu ile veri işleyen ayrımıdır. Sistemi kendi amaçları için kuran, amaç ve vasıtaları belirleyen taraf kural olarak veri sorumlusudur. Hazır bir modeli, sağlayıcının belirlediği şartlarda, kendi adına işleme yapan bir tedarikçi ise veri işleyen sıfatını taşıyabilir. Aynı ilişkide her iki sıfat da, farklı işleme faaliyetleri yönünden, yan yana durabilir. Sıfatın sözleşmede nasıl yazıldığı değil, fiilen kimin amaç ve vasıtaları belirlediği esas alınır.
Özel nitelikli kişisel veriler, 6 ncı maddenin birinci fıkrasında sayılır: sağlık, cinsel hayat, biyometrik ve genetik veriler, ceza mahkûmiyeti, sendika, din, siyasi düşünce ve benzeri kategoriler. Bu verilerin bir modele girdirilmesi, 6 ncı maddedeki daha sıkı şartları ve Kurulca belirlenen yeterli önlemleri gerektirir. Açık rıza, her somut işlem için geçerli, tek ve yeterli sebep olmayabilir; rızanın özgür, belirli ve aydınlatmaya dayalı olması şarttır.
Hukuki sebep, amaç ve ölçülülük
KVKK’nın 4 üncü maddesindeki ilkeler, yapay zekâ uygulamalarında özellikle görünür hâle gelir. Veriler hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel olmalı; belirli, açık ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü işlenmeli; gerekli süre kadar saklanmalıdır.
5 inci maddedeki hukuki sebeplerden hangisine dayanılacağı, sistemin ne için kullanıldığına göre değişir. Bir sözleşmenin ifası, bir hukuki yükümlülüğün yerine getirilmesi veya meşru menfaat, bazı destekleyici kullanımlar için gündeme gelebilir. Meşru menfaat, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla ve zorunluluk ölçüsüyle sınırlıdır (m.5/2-f). Çalışan veya müşteri verilerinin, sağlayıcının sonraki modellerini eğitmesi için genel bir “geliştirme” havuzuna aktarılması, bu ölçüyü aşma riski taşır. Böyle bir aktarım varsa, hukuki sebep, aydınlatma ve yurt dışı aktarım kuralları ayrı ayrı kurulmalıdır.
Aydınlatma yükümlülüğü 10 uncu maddede düzenlenir. İlgili kişiye, veri sorumlusunun kimliği, işleme amacı, aktarım alıcıları, toplama yöntemi ve hukuki sebep ile 11 inci maddedeki haklar bildirilmelidir. “Sistemde yapay zekâ kullanıyoruz” cümlesi, tek başına bu içeriği karşılamaz. Hangi verinin, hangi modelde, hangi tedarikçi nezdinde ve hangi amaçla işlendiği, ilgili kişinin anlayabileceği biçimde açıklanmalıdır. Girdi olarak yazılan metinlerin model eğitiminde kullanılıp kullanılmadığı da bu kapsamda netleştirilmelidir.
Saklama ve imha, 7 nci madde ile saklama ve imha mevzuatına tabidir. Bir sohbet kaydının “sistemin iyileştirilmesi” gerekçesiyle süresiz tutulması, 4 üncü maddedeki süre ilkesine aykırı düşebilir. Sağlayıcı nezdinde tutulan kopyaların da aynı süre ve imha rejimine bağlanması gerekir.
Otomatik analiz ve ilgili kişinin hakları
Kanun’un 11 inci maddesinin (g) bendi, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkı tanır. Bu hak, kredi, işe alım, performans, fiyatlandırma veya risk skoru gibi, kişi aleyhine sonuç doğuran otomatik değerlendirmelerde önem taşır. Hüküm, Avrupa Birliği Genel Veri Koruma Tüzüğü’nün 22 nci maddesindeki “münhasıran otomatik karara tâbi olmama” hakkının birebir karşılığı değildir; KVKK, bu bakımdan itiraz hakkını düzenler. Uygulamada, ciddi sonuç doğuran kararlarda anlamlı bir insan müdahalesinin olup olmadığı, ilgili kişiye sonucun mantığının açıklanıp açıklanamadığı ve itiraz yolunun fiilen işleyip işlemediği ayrı ayrı bakılır.
İlgili kişi ayrıca, verilerinin işlenip işlenmediğini öğrenme, eksik veya yanlış işlenen verilerin düzeltilmesini isteme, 7 nci madde çerçevesinde silme veya yok etmeyi talep etme ve kanuna aykırı işlemeden doğan zararın giderilmesini isteme haklarına sahiptir. Bir modele bir kez girdirilen verinin, model parametreleri içinden teknik olarak “silinip silinemeyeceği”, silme talebinin nasıl yerine getirileceği sorusunu pratikte zorlaştırır. Bu teknik güçlük, talebi yok sayma gerekçesi olmaz; veri sorumlusu, mümkün olan silme, erişim kesme veya yeniden eğitim gibi tedbirleri, somut sistem mimarisine göre değerlendirmek zorundadır.
Tedarikçi, yurt dışı aktarım ve güvenlik
Hazır bir üretken modelin kullanılması, çoğu kez verinin üçüncü kişiye aktarılması ve çoğu uygulamada yurt dışına çıkması anlamına gelir. Yurt içi aktarım, 8 inci maddedeki şartlara; yurt dışı aktarım, 7499 sayılı Kanun ile yenilenen 9 uncu maddeye tabidir. Yeterlilik kararı, standart sözleşme, bağlayıcı şirket kuralları veya Kanunda sayılan diğer uygun güvenceler ile, sınırlı arızi istisnalar bu çerçevenin parçasıdır. Standart sözleşme kullanılıyorsa, imzadan itibaren beş iş günü içinde Kuruma bildirim yapılır (m.9/5).
12 nci madde, hukuka aykırı işlemeyi ve erişimi önlemek ile verilerin muhafazası için uygun teknik ve idari tedbirleri zorunlu kılar. Üretken modeller yönünden bu tedbirler; girdi süzme, özel nitelikli verinin modele girmesinin kısıtlanması, erişim yetkisi, kayıt tutulması, kurumsal hesap kullanımı, eğitimsiz kişisel hesaplara kurum verisi yapıştırılmasının yasaklanması ve tedarikçi denetimini kapsar. Veri işleyenle yapılan sözleşmede, verinin model eğitiminde kullanılmayacağı, alt işleyenler, silme ve ihlal bildirimi açıkça yer almazsa, 12 nci maddenin ikinci fıkrasındaki müşterek sorumluluk riski artar.
Kurum’un sohbet robotları ve üretken yapay zekâ rehberleri, kullanıcılar yönünden de kişisel veri paylaşımında tedbiri hatırlatır. Çocukların bu sistemleri kullanması hâlinde ebeveynlerin alabileceği önlemler, anılan rehberde ayrıca ele alınmıştır. Bu tavsiyeler, veri sorumlusunun aydınlatma ve güvenlik yükümlülüğünü ortadan kaldırmaz.
Avrupa Birliği Tüzüğü ile ilişki
(AB) 2024/1689 sayılı Yapay Zekâ Tüzüğü, risk temelli bir ürün ve kullanım rejimidir; kişisel veri koruma tüzüğünün yerine geçmez. Birlik pazarına sunulan veya Birlik içindeki kullanıcılar üzerinde etkisi olan sistemler yönünden, Tüzük’teki yer bakımından uygulanma şartları gerçekleşirse Türk şirketleri de bu metinle karşılaşabilir. Tüzük hükümleri kademeli olarak yürürlüğe girer. KVKK yükümlülüğü, Tüzük kapsamı dışında kalındığında da devam eder. Birlik’teki ilgili kişilere yönelik hizmet sunan sistemlerde, ayrıca Genel Veri Koruma Tüzüğü’nün yer bakımından uygulanması da ayrı bir sorudur.
Türkiye’de ileride kabul edilecek bir yapay zekâ kanunu, bu alandaki çerçeveyi değiştirebilir. Bugünkü işleme faaliyetleri, yürürlükteki KVKK metnine göre kurulmalıdır.
Sıkça sorulan sorular
Şirket içinde sohbet robotu kullanmak başlı başına yasak mıdır? Hayır. Ancak kişisel veri işleniyorsa KVKK’daki hukuki sebep, aydınlatma, aktarım, saklama ve güvenlik kuralları uygulanır. Özellikle özel nitelikli verilerin ve çalışan verilerinin modele girdirilmesi ayrıca değerlendirilir.
Türkiye’de yapay zekâ kanunu var mıdır? 11 Kasım 2026 itibarıyla bu alanda yürürlükte, kapsamlı ve konuya özgü bir kanun tespit edilmemiştir. Yürürlükteki çerçeve esas olarak KVKK ve ilgili mevzuattır. Tasarı veya teklifler, kabul ve yürürlük tarihine kadar bağlayıcı olmaz.
Girdideki kişisel veri, model eğitiminde kullanılabilir mi? Kullanılacaksa bunun hukuki sebebi, aydınlatmada açıklanması, mümkünse ayrı rıza veya başka bir uygun sebep ve, veri yurt dışına çıkıyorsa, 9 uncu maddedeki güvenceler gerekir. “Sağlayıcının genel koşullarında yazıyor” cümlesi, tek başına yeterlilik sağlamaz.
Otomatik skor veya işe alım kararına itiraz edilebilir mi? KVKK m.11/1-g, münhasıran otomatik analiz sonucu kişi aleyhine doğan sonuca itiraz hakkını tanır. Başvuru usulü 13 ve 14 üncü maddelere tabidir.
Kurum rehberleri Kanun yerine geçer mi? Geçmez. Rehber ve tavsiyeler yol göstericidir. Yükümlülüğün asıl dayanağı Kanun, yönetmelikler ve Kurul kararlarıdır.