Kurumsal Yapay Zekâ Kullanımında Kişisel Verilerin Korunması: Veri Sorumlusunun Yükümlülükleri ve Sorumluluğu
6698 sayılı Kanun ve Kişisel Verileri Koruma Kurumu’nun 2025–2026 belgeleri ışığında bir değerlendirme
Üretken yapay zekâ araçları kurumlarda çoğu zaman resmi bir proje veya yönetim kararı olmaksızın kullanılmaya başlanmaktadır. Bir çalışan müşteri yazışmasını özetletmek için genel bir sohbet aracına aktarır, bir diğeri sözleşme taslağını incelenmek üzere bir uygulamaya yükler, bir başkası fatura ve sipariş kayıtlarını kontrol ettirir.
Bu işlemlerin her biri, aktarılan bilgi kişisel veri içerdiği ölçüde 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında bir veri işleme faaliyeti niteliği taşır. Kurumların büyük bölümü ise bu faaliyetlerin ne ölçüde yaygınlaştığının ve hangi hukuki sonuçları doğurduğunun farkında değildir.
Bu yazıda, kurumsal yapay zekâ kullanımının KVKK bakımından doğurduğu yükümlülükleri, uygulamada en sık gözden kaçan hukuki meseleleri ve veri sorumlusunun karşı karşıya kalabileceği yaptırımları değerlendiriyorum.
1. Yasal çerçeve: Özel düzenleme yok, ama boşluk da yok
Türk hukukunda yapay zekâyı doğrudan düzenleyen bir kanun bulunmamaktadır. Ancak bu durum bir hukuki boşluk anlamına gelmez. 6698 sayılı Kanun teknolojiden bağımsız bir yapıya sahiptir ve kişisel verinin hangi araçla işlendiğinden bağımsız olarak uygulanır.
Bu nedenle Kanun’un 4. maddesinde düzenlenen genel ilkeler (hukuka ve dürüstlük kurallarına uygunluk, doğruluk, belirli ve meşru amaç, amaca bağlılık ve ölçülülük, sınırlı saklama), 5. ve 6. maddelerdeki işleme şartları, 10. maddedeki aydınlatma yükümlülüğü ve 12. maddedeki veri güvenliği yükümlülükleri, yapay zekâ sistemlerinin tasarımından kullanımına kadar tüm yaşam döngüsü boyunca geçerlidir.
Kişisel Verileri Koruma Kurumu da bu ilkelerin yapay zekâya nasıl uygulanacağını son dönemde yayımladığı üç belgeyle somutlaştırmıştır:
Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (Kasım 2025). Rehber, Kanun’un yaşam döngüsünün her aşamasında uygulandığını, girdide kişisel veri bulunmasa dahi çıktıda gerçek bir kişiye ilişkin bilgi üretilebileceğini ve veri sorumlusu ile veri işleyen rollerinin sözleşme ifadelerine göre değil, fiili kontrol ve karar yetkisine göre belirleneceğini ortaya koymaktadır.
İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı (Şubat 2026). Belge, kurumun bilgisi ve onayı dışında gerçekleşen kullanımı “gölge yapay zekâ” olarak tanımlamakta ve kurumlardan yasaklayıcı değil, yönlendirici bir politika çerçevesi oluşturmalarını beklemektedir.
Etken Yapay Zekâ (Şubat 2026). Kendi başına planlama yapan ve eylemde bulunan sistemler bakımından anlamlı insan gözetimi, rollerin netleştirilmesi ve risk temelli yaklaşım vurgulanmaktadır.
Bu belgeler bağlayıcı düzenleyici işlem niteliğinde değildir. Ancak Kurul’un denetim ve şikayet incelemelerinde “gerekli teknik ve idari tedbirler” kavramını nasıl yorumlayacağını göstermeleri bakımından veri sorumluları için yol gösterici niteliktedir.
2. Uygulamada kritik hukuki meseleler
Yurt dışına aktarım
Yaygın olarak kullanılan üretken yapay zekâ araçlarının büyük bölümü yurt dışında mukim sağlayıcılar tarafından sunulmakta ve veriler yurt dışındaki sunucularda işlenmektedir. Bu araçlara kişisel veri aktarılması, 7499 sayılı Kanun ile değişik 9. madde kapsamında yurt dışına aktarım teşkil edebilir.
Değişiklik sonrası sistemde aktarım; öncelikle yeterlilik kararına, yeterlilik kararı bulunmaması hâlinde standart sözleşme veya bağlayıcı şirket kuralları gibi uygun güvencelere, bunların da bulunmaması hâlinde ise yalnızca arizi nitelikteki istisnai hallere dayanabilir. Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurum’a bildirilmesi gerekir. Bireysel hesaplarla kullanılan araçlarda bu güvencelerin hiçbiri mevcut değildir.
Hukuki sebep
Rehber, her işleme faaliyeti için Kanun’daki işleme şartlarından birinin ayrıca belirlenmesi gerektiğini vurgulamaktadır. Başka bir işleme şartının mevcut olduğu durumlarda açık rızaya başvurulmamalıdır. Kamuya açık verilerin yapay zekâ modellerinde kullanımı ise kendiliğinden hukuka uygun hâle gelmez; ilgili kişinin alenileştirme amacı aşıldığında meşru menfaat değerlendirmesinin yapılması ve belgelenmesi gerekir.
Amaç belirliliği bakımından da “yapay zekâ sistemlerimizde kullanmak” gibi genel ifadeler yeterli değildir. Model geliştirme ile o modele dayalı hizmet sunumu, ayrı amaçlar olarak değerlendirilmelidir.
Aydınlatma yükümlülüğü
Müşteri, çalışan veya çalışan adayı verilerinin yapay zekâ araçlarıyla işlendiği durumlarda mevcut aydınlatma metinleri bu faaliyeti kapsayacak şekilde güncellenmelidir. Rehber ayrıca, ilgili kişinin bir yapay zekâ sistemiyle etkileşimde olduğunu bilmesi gerektiğini ve bilgilendirmenin sade, anlaşılır ve erişilebilir olması gerektiğini belirtmektedir.
Otomatik kararlar ve insan denetimi
Kanun’un 11. maddesinin birinci fıkrasının (g) bendi, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin aleyhine bir sonucun ortaya çıkmasına itiraz hakkı tanımaktadır. İşe alımda aday değerlendirmesi, kredi veya risk puanlaması ve performans değerlendirmesi gibi alanlarda yapay zekâ çıktılarının doğrudan karara dönüştürülmesi, bu hak bakımından önemli bir risk oluşturur. Yapay zekâ öneri üretmeli, kararı insan vermelidir.
3. Sorumluluk ve yaptırımlar
Uygulamada sık karşılaşılan bir yanılgı, çalışanın kendi isteğiyle gerçekleştirdiği veri aktarımının çalışanın kişisel sorumluluğunda kalacağı düşüncesidir. Oysa Kurum karşısında sorumluluk, veri sorumlusu sıfatıyla kuruma aittir.
Kanun’un 12. maddesi veri sorumlusuna, kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek için uygun güvenlik düzeyini sağlamaya yönelik gerekli her türlü teknik ve idari tedbiri alma yükümlülüğü yüklemektedir. Kurum’un Şubat 2026 tarihli belgesi dikkate alındığında, yazılı bir yapay zekâ kullanım politikasının, veri sınıflandırmasının, onaylı araç listesinin ve çalışan eğitim kayıtlarının bulunmaması, bu tedbirlerin alınmadığı şeklinde değerlendirilebilecektir.
2026 yılı için yeniden değerleme oranıyla güncellenen idari para cezaları şu şekildedir: Veri güvenliğine ilişkin yükümlülüklere aykırılık için 256.357 TL ile 17.092.242 TL; Kurul kararlarının yerine getirilmemesi için 427.263 TL ile 17.092.242 TL; Veri Sorumluları Sicili’ne kayıt ve bildirim yükümlülüğüne aykırılık için 341.809 TL ile 17.092.242 TL; aydınlatma yükümlülüğüne aykırılık için 85.437 TL ile 1.709.200 TL; standart sözleşmenin Kurum’a bildirilmemesi için ise 90.308 TL ile 1.806.177 TL.
İdari yaptırımların yanında, kişisel verilerin hukuka aykırı olarak kaydedilmesi, başkasına verilmesi veya ele geçirilmesi Türk Ceza Kanunu’nun 135 ila 140. maddeleri kapsamında cezai sorumluluk doğurabilir. Zarara uğrayan ilgili kişilerin tazminat talepleri ile ticari sır niteliğindeki bilgilerin ifşasından kaynaklanan hukuki sorumluluk da ayrıca gündeme gelebilir.
Yaptırımın ötesinde, bir veri ihlalinin müşteri ve iş ortakları nezdinde yol açacağı itibar kaybı, çoğu zaman para cezasından daha ağır sonuçlar doğurmaktadır.
4. Uyum için yol haritası
Kurum’un yaklaşımı açıktır: Yapay zekâ kullanımının yasaklanması beklenmemektedir. Nitekim Kurum, yasaklayıcı yaklaşımların kontrolsüz kullanımı artırabileceğine dikkat çekmektedir. Beklenen, kullanımın denetlenebilir ve belgelenmiş bir çerçevede yürütülmesidir. Bu çerçeve uygulamada altı aşamada kurulabilir:
- Envanter: Kurumda hangi yapay zekâ araçlarının, hangi birimlerce, hangi veri türleriyle ve kurumsal mi bireysel hesapla mı kullanıldığının tespit edilmesi.
- Veri sınıflandırması: Kamuya açık veri, kurumsal veri, kişisel veri ve özel nitelikli kişisel veri ayrımı yapılarak hangi verinin hangi araca aktarılabileceğinin belirlenmesi.
- Yurt dışı aktarım dayanağı: Sağlayıcı sözleşmelerinin 9. madde bakımından incelenmesi; gerekiyorsa maskeleme veya yurt içinde barındırma gibi alternatiflerin değerlendirilmesi.
- Teknik ve idari tedbirler: Rol bazlı erişim, denetim izi, saklama ve imha süreleri ile verilerin model eğitiminde kullanılmayacağına ilişkin sözleşmesel güvencelerin sağlanması.
- Aydınlatma ve VERBİS: Aydınlatma metinlerinin ve Veri Sorumluları Sicili kayıtlarının yapay zekâ ile gerçekleştirilen işlemeleri kapsayacak şekilde güncellenmesi.
- Çalışan politikası ve eğitim: Onaylı araçları, hiçbir koşulda girilmeyecek veri türlerini ve çıktıların insan denetiminden geçirilmesi kuralını içeren yazılı bir politikanın oluşturulması ve çalışanlara eğitim verilmesi.
Sonuç
Yapay zekâ, kurumlar için önemli bir verimlilik aracıdır ve bu aracın kullanımı artık bir tercih olmaktan çıkmıştır. Ancak hukuki çerçevesi çizilmeden yaygınlaşan kullanım, veri sorumlusunu farkında olmadan ciddi idari, cezai ve hukuki risklerle karşı karşıya bırakmaktadır.
Bu nedenle hukuki değerlendirmenin, yapay zekâ araçları kurumsal süreçlere entegre edilmeden ve kullanım yaygınlaşmadan önce yapılması, sonradan ortaya çıkabilecek ihlal ve yaptırım risklerini önemli ölçüde azaltacaktır. Her kurumun veri yapısı, kullandığı araçlar ve faaliyet alanı farklı olduğundan, bu değerlendirmenin kuruma özgü olarak yapılması gerekmektedir.
Bu yazı genel bilgilendirme amacı taşımakta olup hukuki görüş niteliğinde değildir.
Av. Gül Öztürk
Kaynaklar : Üretken Yapay Zekâ Rehberi, İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı, Etken Yapay Zekâ, 2026 idari para cezası tablosu
