Şirket içi yapay zekâ asistanında kişisel veri: KVKK ne diyor?
Şirket içi bir yapay zekâ asistanı kişisel veri işliyorsa 6698 sayılı Kanun’un bütün temel yükümlülükleri geçerlidir. Kişisel Verileri Koruma Kurumu’nun Kasım 2025’te yayımladığı üretken yapay zekâ rehberi bunu açıkça söylüyor. Asistanı kuran şirket çoğu durumda veri sorumlusudur. Her işleme bir hukuki sebebe dayanmalı, çalışanlar ve diğer ilgili kişiler aydınlatılmalı, yurt dışındaki bir model sağlayıcıya giden veri Kanun’un 9. maddesine uymalıdır.
Bu yazıda Kurum’un iki rehberine dayanarak bir şirket asistanını kurarken verilen teknik kararların KVKK’daki karşılığını anlatıyoruz. Hukuki görüş vermiyoruz. Bizim bakışımız, hukuki değerlendirmenin uzmanına bırakılması ve teknik tarafın ona göre kurulması yönünde. Asistanın teknik yapısını RAG nedir yazımızda, veri gizliliğinin tasarım tarafını halüsinasyon, veri gizliliği ve insan onayı yazımızda ele aldık.
Kurum’un üretken yapay zekâ rehberi nedir?
Kişisel Verileri Koruma Kurumu, Kasım 2025’te Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda) adlı bir rehber yayımladı (Yayın No: 113). Rehber, üretken yapay zekâ sistemlerinin yaşam döngüsü boyunca kişisel verilerin 6698 sayılı Kanun çerçevesinde nasıl ele alınacağını on beş soru üzerinden anlatıyor.
Şirket içi bir asistan kuran biri için en ilgili sorular şunlar: veri sorumlusu ve veri işleyenin belirlenmesi (7. soru), genel ilkeler (8), hukuki sebep (9), yurt dışına aktarım (10), şeffaflık (11), ilgili kişi hakları (12) ve veri güvenliği (13).
Yurt dışına aktarım konusunda Kurum’un ayrıca, Ocak 2025 tarihli Kişisel Verilerin Yurt Dışına Aktarılması Rehberi var. Üretken yapay zekâ rehberi de bu rehbere yönlendiriyor.
Asistanı kuran şirket veri sorumlusu mu?
Çoğu durumda evet. Kanun’un 3. maddesine göre veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen kişidir.
Rehber, rollerin belirlenmesinde tarafların veri işleme üzerindeki fiili kontrolünün esas alındığını, sözleşmedeki ifadelerin tek başına belirleyici olmadığını vurguluyor. Hazır bir modeli kendi işine entegre eden ve hangi verinin yükleneceğine, hangi amaçla işleneceğine karar veren şirketin veri sorumlusu olarak değerlendirilebileceğini bir insan kaynakları örneğiyle anlatıyor.
Rehberin dikkat çektiği bir nokta daha var. “Kapalı erişimli” modellerde, modeli kullanan kuruluş veri işlemeyle ilgili bütün bilgilere erişemeyebilir. Bu yüzden rollerin belirlenmesinde, kullanıcı kuruluşun hangi bilgilere erişebildiği ve sağlayıcının ne düzeyde kontrol sunduğu da dikkate alınmalı.
Pratik karşılığı: model sağlayıcısıyla yapılan sözleşmenin, sağlayıcının veriyi hangi amaçla işlediğini, saklayıp saklamadığını ve eğitimde kullanıp kullanmadığını açıkça göstermesi gerekir.
Hangi genel ilkeler asistanı doğrudan etkiler?
Kanun’un 4. maddesindeki ilkelerin hepsi geçerlidir. Asistan tasarımında en çok iki tanesi karşımıza çıkıyor:
- İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma. Rehber, üretken yapay zekâ bağlamında veri minimizasyonunu “kullanılan kişisel verilerin yalnızca gerekli olanla sınırlı tutulması” olarak tarif ediyor. Bir talebi sınıflandırmak için müşterinin kimlik numarası modele gitmemeli.
- Gerekli süre kadar saklama. Rehber, saklanması için geçerli bir sebep kalmayan verinin silinmesi, yok edilmesi ya da anonim hâle getirilmesi gerektiğini hatırlatıyor. Asistanın sohbet kayıtları da bu kurala tabidir.
Rehber ayrıca “doğru ve gerektiğinde güncel olma” ilkesinin üretken yapay zekâda özel dikkat istediğini belirtiyor. Asistan bir kişi hakkında bir sonuç üretiyorsa bu sonucun doğruluğu veri sorumlusunun özen yükümlülüğüne girer.
Hangi hukuki sebebe dayanılır?
Her işleme, Kanun’un 5. maddesindeki şartlardan en az birine, özel nitelikli kişisel verilerde ise 6. maddedeki şartlardan birine dayanmalıdır. Rehber burada üç önemli noktanın altını çiziyor:
- Şartlar arasında hiyerarşi yok. Açık rıza maddede ilk sırada yer alsa da öncelikli değildir. Önce diğer şartlardan birinin karşılanıp karşılanmadığına bakılır.
- Gereksiz açık rıza alınmaz. İşleme başka bir şarta dayanabiliyorsa ayrıca açık rıza istemek, rehberin ifadesiyle aldatıcı ve hakkın kötüye kullanımı niteliğinde olur.
- Kullanım için alınan rıza geliştirmeyi kapsamaz. Bir yapay zekâ sistemini kullanmak için alınan açık rıza, verinin o sistemin geliştirilmesinde kullanılmasını kapsamaz.
Asistan özel nitelikli veriye dokunuyorsa (sağlık, sendika üyeliği, ceza mahkûmiyeti gibi), bu belgeleri asistanın kapsamına almadan önce ayrı bir değerlendirme gerekir. Teknik tarafta bunun karşılığı, bu belge gruplarını aramaya hiç sokmamak ya da yalnızca yetkili rollere açmaktır.
Çalışanlar ve diğer kişiler nasıl aydınlatılır?
Kanun’un 10. maddesi, veri elde edilirken ilgili kişiye veri sorumlusunun kimliğini, işleme amacını, verinin kimlere aktarılabileceğini, toplama yöntemini ve hukuki sebebini, 11. maddedeki haklarını bildirmeyi zorunlu kılar. Rehber, bunun 10.03.2018 tarihli ve 30356 sayılı Resmî Gazete’de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’e uygun yapılması gerektiğini hatırlatıyor.
Rehberin üretken yapay zekâya özgü önerileri şunlar:
- Sistemi kullanmak için yapılan işleme ile sistemin geliştirilmesi için yapılan işleme hakkında ayrı ve açık aydınlatma yapılması.
- İşleme amacı değişirse yeniden aydınlatma yapılması.
- Sohbet botu gibi doğrudan etkileşim kuran sistemlerde, kullanıcının bir üretken yapay zekâ sistemiyle konuştuğunu açıkça bilmesi.
- Aydınlatma metninin sistem arayüzünde kolay erişilebilir olması.
Şirket içi asistanda iki grup vardır: asistanı kullanan çalışanlar ve asistanın aradığı belgelerde adı geçen kişiler (müşteriler, tedarikçiler, adaylar). İkisi için de aydınlatmanın yapılıp yapılmadığı ayrı ayrı kontrol edilmelidir. Web sitesindeki aydınlatma metninin nasıl kurulduğunu KVKK’ya uygun web sitesi yazımızda anlattık.
Model sağlayıcısı yurt dışındaysa ne olur?
Yurt dışındaki bir sağlayıcının modeline kişisel veri göndermek, Kanun’un 9. maddesi kapsamında bir yurt dışına aktarımdır. Üretken yapay zekâ rehberi, Türkiye’deki veri sorumlularının yurt dışındaki hizmet sağlayıcılar aracılığıyla bu sistemleri kullanmasının 9. maddeye ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik’e uygun olması gerektiğini açıkça yazıyor. Yönetmelik 10.07.2024 tarihli ve 32598 sayılı Resmî Gazete’de yayımlandı.
- madde, 12.03.2024 tarihli ve 32487 sayılı Resmî Gazete’de yayımlanan 7499 sayılı Kanun’un 34. maddesiyle yeniden düzenlendi. Yeni hâli 1.6.2024’te yürürlüğe girdi. Aktarım üç kademede değerlendiriliyor:
| Kademe | Koşul | Asistan projesinde anlamı |
|---|---|---|
| 1. Yeterlilik kararı | 5. ya da 6. maddedeki bir şart ve aktarılacak ülke, sektör ya da kuruluş için Kurul’un yeterlilik kararı | Sağlayıcının ülkesi için karar olup olmadığına Kurum’un sitesinden bakılır |
| 2. Uygun güvence | Karar yoksa: bir işleme şartı, ilgili kişinin o ülkede de hakkını arayabilmesi ve 9(4)‘teki güvencelerden biri | Özel şirketler için öne çıkan seçenekler standart sözleşme ve bağlayıcı şirket kurallarıdır |
| 3. Arızi aktarım | Karar ve güvence yoksa: yalnızca arızi olmak kaydıyla 9(6)‘daki hâllerden biri | Sürekli çalışan bir asistan için uygun bir dayanak değildir |
- maddenin 4. fıkrasındaki uygun güvenceler şunlardır: kamu kuruluşları arasındaki anlaşmalar, Kurul’un onayladığı bağlayıcı şirket kuralları, Kurul’un ilan ettiği standart sözleşme ve Kurul’un izin verdiği yazılı taahhütname. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kurum’a bildirilir.
Yurt dışına aktarım rehberi, yurt dışında bulunan bir bulutta depolamanın ve yurt dışından uzaktan erişimin de, rehberde sayılan ölçütler karşılandığında aktarım sayılacağını belirtiyor. Bu yüzden yalnızca model çağrısına değil, kayıtların ve vektör veritabanının nerede durduğuna da bakmak gerekir.
Çalışanların hakları asistanda nasıl kullanılır?
Kanun’un 11. maddesindeki haklar asistan için de geçerlidir. Rehber, üretken yapay zekânın yapısının bu hakların kullanımında pratik zorluklar doğurabileceğini, ama bunun hakları uygulanamaz kılmadığını belirtiyor.
Şirket içi asistanda en çok dikkat isteyen hak, 11. maddenin 1. fıkrasının (g) bendindeki haktır: verilerin münhasıran otomatik sistemlerle analiz edilmesi sonucu kişinin aleyhine bir sonuç çıkmasına itiraz. Rehber işe alımı, kredi değerlendirmesini ve sigortacılığı örnek veriyor. Asistan aday başvurularını puanlıyor ya da çalışanlar hakkında değerlendirme üretiyorsa, kararı bir insanın vermesi ve itirazın gerçekten incelenebilmesi gerekir. Bunun teknik karşılığı, her önerinin gerekçesi ve dayandığı belgeyle birlikte kaydedilmesidir.
Veri güvenliği için ne gerekir?
Kanun’un 12. maddesi, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, muhafazasını sağlamak için gerekli her türlü teknik ve idari tedbiri almayı zorunlu kılar. Rehber, bu tedbirlerin yanında çalışanlara üretken yapay zekâ kullanımının güvenlik riskleri konusunda eğitim verilmesini öneriyor.
Asistan projesinde bunun karşılığı:
- Yetki kontrolünün arama aşamasında uygulanması: kullanıcının erişemediği belge modele hiç ulaşmaz.
- Asistanın okuduğu dış içerikteki gizli talimatlara karşı sınır konması.
- Sohbet kayıtlarının erişiminin ve saklama süresinin ayrıca belirlenmesi.
- Çalışanların genel sohbet araçlarına hangi veriyi yapıştırabileceğine dair yazılı bir şirket kuralı.
Kurmadan önce: teknik karar ve KVKK eşleşmesi
Bu tabloyu kurulumdan önce hukuk danışmanınızla birlikte doldurmanızı öneririz. Her satır, bir teknik kararı ilgili maddeye bağlar.
| Teknik karar | İlgili madde | Rehberdeki soru |
|---|---|---|
| Model sağlayıcısı ve sözleşmesi | md. 3 (roller) | 7 |
| Modele hangi alanlar gidecek, hangisi maskelenecek | md. 4 | 8 |
| Sohbet kayıtları ne kadar tutulacak | md. 4 | 8 |
| Her veri grubu için işleme şartı | md. 5, md. 6 | 9 |
| Sağlayıcının ve kayıtların ülkesi | md. 9 ve Yönetmelik | 10 |
| Kullanıcı arayüzündeki bilgilendirme | md. 10 ve Tebliğ | 11 |
| İnsan kararı ve itiraz yolu | md. 11 | 12 |
| Yetki kontrolü, kayıt, eğitim | md. 12 | 13 |
Boş kalan bir satır, kurulumdan önce kapatılması gereken bir sorudur.
Sık sorulan sorular
Kurum’un üretken yapay zekâ rehberi bağlayıcı mı?
Rehber, Kurum’un yol gösterici bir yayınıdır. Bağlayıcı olan, rehberin dayandığı 6698 sayılı Kanun ve ilgili ikincil düzenlemelerdir. Rehber, Kurum’un bu hükümleri üretken yapay zekâya nasıl uyguladığını gösterdiği için proje tasarımında önemli bir kaynaktır.
Çalışanlarımızdan açık rıza almamız gerekir mi?
Rehbere göre önce işlemenin açık rıza dışındaki bir şarta dayanıp dayanmadığına bakılır. Başka bir şart varsa ayrıca açık rıza istenmez. Hangi şartın uygulanacağı her veri grubu için ayrı değerlendirilmeli; bu değerlendirmeyi hukuk danışmanınızla yapmanızı öneriyoruz.
Yurt dışındaki bir modele veri göndermek yasak mı?
Yasak değil, ama Kanun’un 9. maddesine ve Yönetmelik’e uygun yapılması gerekir. Yeterlilik kararı yoksa özel şirketler için öne çıkan güvence standart sözleşmedir; sözleşme imzadan itibaren beş iş günü içinde Kurum’a bildirilir. Kişisel veriyi maskeleyerek ya da modele hiç göndermeyerek aktarımın kapsamını küçültmek de mümkündür.
Asistanın sohbet kayıtları da kişisel veri mi?
Kayıtlarda bir kişiyi belirleyen ya da belirlenebilir kılan bilgi varsa evet. Bu yüzden kayıtların kimin tarafından görüleceği, ne kadar tutulacağı ve süre dolunca nasıl silineceği ayrıca belirlenmelidir.
Bu yazı hukuki görüş yerine geçer mi?
Hayır. Bu yazı, Kurum’un yayımladığı rehberlerin bir asistan projesindeki teknik kararlarla nasıl eşleştiğini gösterir. Kendi durumunuz için bir hukuk danışmanının değerlendirmesi gerekir.
Kişisel veriyle çalışan bir şirket asistanını baştan doğru kurmayı konuşmak isterseniz yapay zekâ sistem mimarisi sayfamıza bakabilir ya da bize yazabilirsiniz.