Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, Kişisel Verileri Koruma Kurumu'nun 24 Kasım 2025'te yayımladığı ve 6698 sayılı Kanun'un üretken yapay zekâ sistemlerine nasıl uygulanacağını 15 soruda anlatan yol gösterici belgedir. İşletme için özü şudur: bir aracı kullanmak ile modeli geliştirmek ayrı veri işleme faaliyetleridir. Her birinin amacı, hukuki sebebi, aktarım güvencesi ve güvenlik tedbiri ayrı ayrı belirlenmelidir.
Öne çıkanlar
- Rehber 24 Kasım 2025'te duyuruldu (KVKK Yayın No 113). 15 sorudan 6–13 arasındaki sekizi Kanun'un bu sistemlere nasıl uygulanacağını anlatır (KVKK, 24 Kasım 2025 (yeni sekmede açılır)).
- Kurum, 5 Mart 2026'da "İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı" belgesini yayımladı. Belge, çalışanların izinsiz araç kullanımını "Gölge YZ" olarak adlandırıyor ve yasak yerine kurumsal politika öneriyor (KVKK, 5 Mart 2026 (yeni sekmede açılır)).
- Aracın kullanımı için alınan açık rıza, modelin geliştirilmesini kapsamaz. Rehber bunu açıkça yazar.
- Kişisel veri yurt dışındaki bir sağlayıcıya gidiyorsa Kanun'un 9. maddesi uygulanır. Standart sözleşme, imzadan itibaren beş iş günü içinde Kurum'a bildirilir (6698 sayılı Kanun, md. 9/5 (yeni sekmede açılır)).
- Rehber, istem enjeksiyonu (prompt injection) gibi yapay zekâya özgü saldırılara karşı teknik kontrol ve "kırmızı takım" (red teaming) testi öneriyor.
Rehber neyi değiştiriyor, neyi değiştirmiyor?
Rehber, kendi başına yeni bir yükümlülük koyan bir düzenleme değildir; mevcut Kanun'un yapay zekâya nasıl uygulanacağını anlatır. Kurum, amacını veri sorumlularına yol göstermek olarak tanımlıyor. Bağlayıcı kurallar 6698 sayılı Kanun'da ve ikincil düzenlemelerdedir.
Rehberin temel tespiti, Kanun'un teknolojiden bağımsız olduğudur. Kanun'da yapay zekâya özel bir işleme şartı yoktur; mevcut şartlar bu sistemlere de uygulanır. Kişisel veri işleniyorsa, aracın sohbet botu, görsel üretici ya da kod asistanı olması sonucu değiştirmez. Yazılım projelerinde Kanun'un genel gereksinimlerini KVKK uyumlu yazılım rehberimizde ayrıca topladık.
Belge üç bölümden oluşur:
- 1–5. sorular: Üretken yapay zekânın ne olduğu, yaşam döngüsü, kullanım alanları ve riskleri.
- 6–13. sorular: Kanun'un uygulanması. İşletmeyi ilgilendiren kısım budur.
- 14–15. sorular: Bireylere ve çocukların ebeveynlerine öneriler.
Not
Buradaki değerlendirme rehberin teknik ve operasyonel bir okumasıdır, hukuki görüş değildir. Kendi durumunuz için hukuk danışmanınızın değerlendirmesini alın.
Sekiz soru, işletmede sekiz iş
Rehberin 6–13. soruları, işletmede somut birer işe karşılık gelir. Aşağıdaki tabloda her sorunun özünü ve işletmede kimin neyi yapması gerektiğini eşleştirdik.
| Soru | Rehberin vurgusu | İşletmede yapılacak iş |
|---|---|---|
| 6. Kişisel veri işleniyor mu? | Model kişisel veriyi hedeflemese bile girdide, eğitimde ya da çıktıda kişisel veri varsa Kanun uygulanır. Anonim veri kapsam dışıdır, ama anonimlik teknik olarak gösterilmelidir. | Hangi araca hangi verinin girdiğini envantere yazın. |
| 7. Veri sorumlusu kim? | Sözleşmedeki etiket değil, fiili kontrol belirleyicidir. Kapalı modellerde yerleştiricinin erişebildiği bilgi önemlidir. | Sağlayıcıyla rol dağılımını yazılı hâle getirin. |
| 8. Genel ilkeler | "Sistemlerimizde kullanmak" gibi muğlak amaçlar yeterli değildir. Veri "ileride lazım olur" diye saklanamaz. | Her kullanım için tek cümlelik amaç ve saklama süresi belirleyin. |
| 9. Hukuki sebep | Kullanmak, geliştirmek ve çıktıyı işlemek ayrı faaliyetlerdir; her biri için şart ayrı belirlenir. | Kullanım ve eğitim için ayrı hukuki sebep yazın. |
| 10. Yurt dışına aktarım | Yurt dışındaki sağlayıcı kullanılıyorsa Kanun'un 9. maddesi ve 2024 Yönetmeliği uygulanır. | Aktarım yolunu seçin, standart sözleşmeyi bildirin. |
| 11. Şeffaflık | Kullanım ve geliştirme için ayrı aydınlatma yapılır. Kullanıcı bir yapay zekâyla konuştuğunu bilmelidir. | Arayüze açık bir bilgilendirme ekleyin. |
| 12. İlgili kişi hakları | Otomatik karara itiraz hakkı dâhil tüm haklar geçerlidir. Kayıt ve veri eşleştirme başvuruları kolaylaştırır. | Bir başvuru geldiğinde veriyi bulacak kayıt düzenini kurun. |
| 13. Güvenlik | Klasik tedbirlere ek olarak yapay zekâya özgü saldırılara karşı kontrol ve test gerekir. | Güvenlik kontrol listesini uygulayın (aşağıda). |
Veri sorumlusu ile veri işleyen ayrımının sözleşmeye nasıl yansıyacağını veri işleyen sözleşmesi yazısında anlatıyoruz. Rehberin 13. sorusundaki güvenlik tedbirlerini aşağıda ayrıca sıraladık.
Kullanmak ile geliştirmek neden ayrı ele alınıyor?
Rehberin en pratik mesajı budur: aynı araç içinde birden fazla veri işleme faaliyeti vardır. Rehber, bir dil modeli için şu dört işlemi ayrı faaliyet olarak sayar:
- Kullanıcının girdiği verinin modeli çalıştırmak için işlenmesi.
- Aynı verinin modeli geliştirmek için kullanılması.
- Modelin çıktısının etkileşimi kişiselleştirmek için kullanılması.
- Çıktının modeli geliştirmek için kullanılması.
Her biri için Kanun'un 5. maddesindeki şartlardan biri ayrıca aranır. Rehber birkaç önemli sınır çiziyor:
- Sözleşmenin ifası: Bir sohbet botunun kullanıcının sorusunu işlemesi hizmetin gereğidir; bu şarta dayanabilir. Aynı verinin modeli geliştirmek için kullanılması ise hizmet için zorunlu değildir. Bu şarta dayanamaz.
- Açık rıza: Şartlar arasında hiyerarşi yoktur. Başka bir şart varken ayrıca açık rıza istemek, rehberin ifadesiyle ilgili kişiyi yanıltır. Rızaya dayanılıyorsa kişiye kullanılan sistemin türü, verinin kullanım mı geliştirme mi için işleneceği ve çıktının üçüncü kişilerce görülme ihtimali anlatılmalıdır.
- Alenileştirilmiş veri: Herkesin erişebildiği veri, herkesin serbestçe işleyebileceği veri değildir. Sosyal medyadan toplanan içerikle model eğitmek bu şarta dayandırılamaz.
- Meşru menfaat: Her şeyi kapsayan bir "torba şart" değildir. Rehber, etkisi yüksek sistemlerde veri koruma etki değerlendirmesi yapılmasını faydalı buluyor.
Sağlık, biyometrik veri gibi özel nitelikli verilerde tablo daha dardır. Kanun'un 6. maddesinde sözleşmenin ifası ve meşru menfaat şartları yoktur. Bu verileri bir yapay zekâ aracına vermeden önce hukuki değerlendirme yapılmalıdır.
Çalışanlar herkese açık araçları kullanıyorsa: Gölge YZ
Gölge YZ (Shadow AI), çalışanların yapay zekâ araçlarını kurumun bilgisi, onayı ya da kontrolü dışında kullanmasıdır. Kurum'un Mart 2026 belgesi, bunun artık teorik bir risk olmadığını ve günlük iş akışının parçası hâline geldiğini yazıyor.
Belge altı risk alanı sayıyor: denetlenebilirlik, karar kalitesi, ticari sırlar, kurumsal itibar, siber güvenlik ve kişisel veriler. Örneğin toplantı notları, müşteri bilgileri ya da kaynak kod harici bir araca yapıştırıldığında, bu bilgiler bazı durumlarda model geliştirmede kullanılabilir veya yetkisiz kişilere açılabilir.
Kurum'un önerisi yasak değil, yönlendirmedir. Belgeye göre tamamen yasaklamak gerçekçi sonuç vermez; kontrol dışı kullanımı artırabilir. Önerilen çerçeve şunları içerir:
- Yazılı politika: Hangi araç, hangi iş için, hangi tür bilgiyle kullanılabilir; çıktı nasıl kullanılır?
- Onaylı araçlar: Çalışanların yalnızca kurumun belirlediği araçlara erişmesi; erişimin görev ve role göre verilmesi.
- Teknik sınırlar: Harici platformlara ağ düzeyinde sınırlama, yalnızca kurumsal cihazdan erişim.
- Veri alışkanlığı: Kişi adı, tarih, konum gibi ayırt edici ayrıntılar yerine genelleştirilmiş ifadeler.
- İnsan denetimi: Çıktıya karar dayanağı olarak değil, destekleyici bilgi olarak yaklaşmak. Belge buna "otomasyon ön yargısı" (automation bias) riski diyor.
- Eğitim ve geri bildirim: Politikanın duyurulması ve çalışanların sorunları bildirebileceği bir kanal.
Belgeye göre bazı kurumlar, kişisel veri ve ticari sır içermemek kaydıyla fikir geliştirme ve metin düzeltme gibi kullanımlara izin veriyor. Müşteri dosyaları, insan kaynakları verileri ve iç yazışmalar ise bazı politikalarda uygun bulunmayan kullanımlar olarak geçiyor. Kendi politikanızı yazmak için yapay zekâ kullanım politikası şablonumuza bakabilirsiniz.
Sağlayıcı yurt dışındaysa aktarımı nasıl kurmalı?
Kişisel verinin yurt dışındaki bir yapay zekâ sağlayıcısına gitmesi bir aktarımdır. Rehber, bu durumda Kanun'un 9. maddesine ve 10 Temmuz 2024 tarihli Yönetmelik'e uyulmasını istiyor. Sıra şöyledir:
- Yeterlilik kararı var mı? Kurul'un ilan ettiği bir yeterlilik kararı varsa aktarım bu karara dayanabilir. Kurum'un yurt dışına aktarım sayfası 13 Ekim 2026'da yeterlilik kararı verilmiş bir ülke göstermiyordu.
- Uygun güvence: Karar yoksa Kanun'daki güvencelerden biri gerekir. Şirket grubu dışındaki bir hizmet sağlayıcıyla Kurul izni gerektirmeyen güvence, Kurul'un ilan ettiği standart sözleşmedir. Yazılı taahhütname ise Kurul'un iznine bağlıdır (Kanun md. 9/4).
- Doğru sözleşme tipi: Kurul dört tip standart sözleşme kabul etti. Sağlayıcı veriyi sizin adınıza işliyorsa, veri sorumlusundan veri işleyene aktarım için hazırlanan tip uygundur (KVKK Yurt Dışına Aktarım Rehberi, Ocak 2025 (yeni sekmede açılır)).
- Beş iş günü: Standart sözleşme, imzaların tamamlanmasından itibaren beş iş günü içinde Kurum'a bildirilir. Bildirim fiziki olarak, KEP ile ya da Kurum'un Standart Sözleşme Bildirim Modülü üzerinden yapılabilir (KVKK, 25 Ekim 2024 (yeni sekmede açılır)). Sözleşmede kimin bildireceği yazılmamışsa veriyi aktaran taraf bildirir (Yönetmelik, md. 14/5 (yeni sekmede açılır)).
- Yaptırım: Bildirimi yapmamak idari para cezası gerektirir. Bu ceza veri sorumlusuna olduğu kadar veri işleyene de uygulanabilir (Kanun md. 18/1-d ve 18/2).
Arızi aktarım, yani tek seferlik ya da süreklilik taşımayan aktarım, düzenli kullanılan bir yapay zekâ servisi için çözüm değildir. Ayrıntılı adımları KVKK'da yurt dışına aktarım yazısında ele alıyoruz.
Şeffaflık ve başvurular için ne kurulmalı?
Kanun'un 10. maddesindeki aydınlatma yükümlülüğü yapay zekâ sistemlerinde de aynen geçerlidir. Rehber iki şeyi öne çıkarıyor. Birincisi, aracı kullanmak için yapılan işleme ile modeli geliştirmek için yapılan işleme ayrı ayrı anlatılmalıdır. İkincisi, kullanıcı doğrudan bir sohbet botuyla konuşuyorsa bunu açıkça bilmelidir.
İlgili kişi hakları (Kanun md. 11) yapay zekâ sistemlerinde de uygulanır. Rehber, verinin katmanlı işlenmesinin hakları kullanmayı zorlaştırdığını kabul ediyor, ama hakların bu yüzden ortadan kalkmadığını vurguluyor. Özellikle işe alım, kredi ve sigorta gibi alanlarda yalnızca otomatik sistemle verilen ve kişinin aleyhine olan sonuçlara itiraz hakkı önem kazanır.
Pratikte bu, sistemin şu soruları yanıtlayabilmesi demektir: Bu kişinin verisi hangi istemlerde, hangi çıktılarda, hangi eğitim kümesinde var? Rehber bunun için işleme kayıtlarını ve veri eşleştirme (data mapping) gibi yöntemleri öneriyor. Tasarımdan itibaren mahremiyet (privacy by design) ve varsayılan olarak mahremiyet (privacy by default) yaklaşımları da buraya bağlanıyor.
Rehberin önerdiği güvenlik tedbirleri
Kanun'un 12. maddesi, veri sorumlusunu uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri almakla yükümlü kılar. Rehber, yapay zekâ sistemleri için örnek tedbirleri şöyle sıralıyor:
- Veri koruma etki değerlendirmesi: yaşam döngüsünün her aşamasındaki riskleri baştan tanımlamak.
- Mahremiyet artırıcı teknolojiler (privacy-enhancing technologies): tasarımın erken aşamasında.
- Yapay zekâya özgü saldırılara karşı kontroller: modeli ters çevirme (model inversion), istem enjeksiyonu, jailbreak girişimleri ve üyelik çıkarımı (membership inference).
- Kırmızı takım testleri: farklı geçmişlerden katılımcılarla.
- Güvenilir kaynaktan veri kümesi ve düzenli doğrulama.
- Yama yönetimi, çok faktörlü kimlik doğrulama.
- İşlem kayıtlarının ve sistem günlüklerinin güvenli ve denetlenebilir biçimde saklanması.
- Çalışanlara yapay zekâya özgü riskler üzerine eğitim.
Başlamadan önce 10 maddelik kontrol listesi
Rehberi ve Mart 2026 belgesini birlikte okuyarak çıkardığımız sıra şudur:
- Şirkette hangi yapay zekâ araçlarının kullanıldığını listeleyin; resmî olmayanlar dâhil.
- Her araç için hangi veri türlerinin girdiğini yazın: müşteri, çalışan, aday, tedarikçi.
- Her kullanım için belirli bir amaç ve saklama süresi tanımlayın.
- Kullanım ve model geliştirme için hukuki sebebi ayrı ayrı belirleyin.
- Sağlayıcının rolünü (veri sorumlusu ya da veri işleyen) yazılı hâle getirin.
- Veri yurt dışına gidiyorsa aktarım yolunu seçin; standart sözleşmeyi beş iş günü içinde bildirin.
- Aydınlatma metnini güncelleyin; sohbet arayüzüne yapay zekâ bilgilendirmesi ekleyin.
- İlgili kişi başvurularında veriyi bulabileceğiniz kayıt düzenini kurun.
- İstem enjeksiyonu ve veri sızıntısına karşı test yapın; erişimi çok faktörlü doğrulamayla koruyun.
- Çalışanlar için yazılı bir kullanım politikası ve kısa bir eğitim hazırlayın.
Bizim deneyimimiz
Yapay zekâ ajanı ve dil modeli projelerimizde veri akışlarının KVKK gözüyle incelenmesi ve bir kullanım yönergesi, teslim listesinin parçasıdır. Model seçimini yalnızca kaliteyle değil, verinin nerede işlendiğiyle birlikte tartışırız. Ticari bir model servisi kullanıldığında istemler sağlayıcının sunucularında işlenir. Açık ağırlıklı bir modeli kendi sunucunuzda ya da seçtiğiniz bölgedeki bir bulutta çalıştırmak veri üzerindeki kontrolü artırır, ama işletme yükünü de size bırakır.
Rehberdeki "kullanım ile geliştirme ayrı faaliyettir" ayrımı, sağlayıcı seçiminde sorduğumuz ilk sorulardan birine denk gelir: gönderilen veri modelin eğitiminde kullanılıyor mu? Bu, sağlayıcının sözleşme koşullarına bağlıdır ve her proje için ayrıca kontrol edilir. Yapay zekâ ajanlarının genel çalışma biçimini yapay zekâ ajanı nedir yazısında anlattık. Çalışanların yapay zekâ kullanımı için bir çerçeve arıyorsanız teknoloji ve yapay zekâ danışmanlığı kapsamında bunu birlikte hazırlayabiliriz.
Sık sorulan sorular
Çalışanların bir sohbet aracına müşteri bilgisi yazması KVKK'ya aykırı mı?
Müşteri bilgisini bir araca yazmak bir veri işleme faaliyetidir. Bu yüzden hukuki sebep, aydınlatma ve araç yurt dışındaysa aktarım kuralları uygulanır. Kurum'un Mart 2026 belgesi, müşteri dosyalarının ve insan kaynakları verilerinin harici araçlarla paylaşılmasının bazı kurumların politikalarında uygun bulunmadığını aktarıyor. Somut durum için hukuki değerlendirme gerekir.
Yapay zekâ kullanımını tamamen yasaklamak en güvenli yol değil mi?
Kurum bu görüşte değil. Mart 2026 belgesine göre yasaklayıcı yaklaşımlar gerçekçi sonuç vermez ve çalışanları araçları kontrol dışında kullanmaya itebilir. Önerilen yol; onaylı araçlar, yazılı politika ve eğitimle kullanımı yönlendirmektir.
Özgeçmişleri yapay zekâ ile ön elemeden geçirebilir miyiz?
Rehber bu örneği doğrudan ele alıyor: aracı işine entegre eden şirket veri sorumlusu olabilir ve yalnızca amaç için gerekli veriyi işlemelidir. Yalnızca otomatik sistemle verilen olumsuz sonuçlara adayın itiraz hakkı vardır. Rehber bu alanda ihtiyatlı olmayı öneriyor; insan değerlendirmesini sürecin içinde tutmak riski azaltır.
Rehber bağlayıcı mı?
Rehber, Kurum'un yol gösterici değerlendirmesidir. Bağlayıcı olan 6698 sayılı Kanun ve ikincil düzenlemelerdir. Ancak rehber, Kurum'un bu kuralları yapay zekâ sistemlerinde nasıl okuduğunu gösterdiği için uyum çalışmasında dikkate alınmalıdır.
Kaynaklar
- Kişisel Verileri Koruma Kurumu, "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)" duyurusu, 24 Kasım 2025. kvkk.gov.tr (yeni sekmede açılır)
- Kişisel Verileri Koruma Kurumu, "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)", Yayın No 113, Kasım 2025. PDF (yeni sekmede açılır)
- Kişisel Verileri Koruma Kurumu, "İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı", 5 Mart 2026. kvkk.gov.tr (yeni sekmede açılır)
- 6698 sayılı Kişisel Verilerin Korunması Kanunu, Resmî Gazete 7 Nisan 2016; 7499 sayılı Kanun'la değişik güncel metin. mevzuat.gov.tr (yeni sekmede açılır)
- Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, Resmî Gazete 10 Temmuz 2024, sayı 32598. resmigazete.gov.tr (yeni sekmede açılır)
- Kişisel Verileri Koruma Kurumu, "Kişisel Verilerin Yurt Dışına Aktarılması Rehberi", KVKK Yayınları No 48, Ocak 2025. PDF (yeni sekmede açılır)
- Kişisel Verileri Koruma Kurumu, "Standart Sözleşme Bildirim Modülü Hakkında Kamuoyu Duyurusu", 25 Ekim 2024. kvkk.gov.tr (yeni sekmede açılır)
