KVKK ve Yapay Zeka: Şirketler Ne Yapmalı?

Yapay zeka, şirketlerin günlük operasyonlarından insan kaynaklarına, müşteri hizmetlerinden pazarlamaya kadar çok sayıda iş sürecinde kullanılmakta. Özellikle üretken yapay zeka araçlarının kolay erişilebilir hale gelmesi, çalışanların herhangi bir teknik altyapı yatırımı olmadan metin oluşturmasına, belge analiz etmesine, veri sınıflandırmasına ve farklı iş süreçlerini hızlandırmasına imkan sağlıyor. Ancak bu kolaylık, şirketler açısından yeni bir sorumluluğu da beraberinde getiriyor: KVKK ve yapay zeka kullanımının birlikte yönetilmesi.

Bir çalışanın müşteri listesini, özgeçmişleri, çalışan bilgilerini, sözleşmeleri veya e-posta içeriklerini bir yapay zeka aracına aktarması, kullanılan sisteme ve işleme faaliyetinin niteliğine bağlı olarak kişisel verilerin işlenmesi ve hatta yurt dışına aktarılması bakımından sonuç doğurabilir. Kişisel Verileri Koruma Kurumu (KVKK), 2025 yılında yayımladığı “Üretken Yapay Zeka ve Kişisel Verilerin Korunması Rehberi” ve 2026 yılında yayımladığı “İş Yerlerinde Üretken Yapay Zeka Araçlarının Kullanımı” dokümanlarıyla bu alandaki risklere ilişkin kapsamlı bir çerçeve ortaya koydu.

Yapay Zeka Kullanımı KVKK Açısından Neden Önemli?

Yapay zeka sistemlerinin kişisel verilerle ilişkisi, yalnızca sisteme veri yüklenmesiyle sınırlı değil. Bir yapay zeka sisteminin geliştirilmesi, eğitilmesi, test edilmesi ve kullanılması sırasında farklı aşamalarda kişisel veriler işlenebilir.

KVKK’nın üretken yapay zeka rehberi de yapay zeka sistemlerinin yaşam döngüsü boyunca gerçekleştirilen kişisel veri işleme faaliyetlerinin Kanun kapsamında değerlendirilmesi gerektiğine dikkat çekiyor.

Örneğin bir insan kaynakları çalışanının yüzlerce özgeçmişi bir yapay zeka aracında analiz ettirmesi, müşteri hizmetleri ekibinin müşteri şikâyetlerini bir modele özetletmesi veya hukuk departmanının içinde kişisel bilgiler bulunan bir sözleşmeyi yapay zeka aracına yüklemesi farklı veri işleme faaliyetleri oluşturabilir.

Yapay Zeka Veri Gizliliği Açısından Hangi Riskleri Barındırıyor?

Kişisel Verilerin Kontrolsüz Paylaşılması

Üretken yapay zeka araçlarında kullanıcı girdileri önemli bir veri kaynağıdır. Çalışanlar, işlerini kolaylaştırmak amacıyla farkında olmadan kişisel veri içeren içerikleri sisteme aktarabilir.

Ad, soyad, telefon numarası, e-posta adresi veya müşteri bilgileri gibi verilerin yanı sıra çalışanların performans bilgileri, sağlık bilgileri veya finansal bilgiler gibi daha hassas veriler de yapay zeka kullanımının konusu olabilir.

Verilerin Nerede İşlendiğinin Bilinmemesi

Bir yapay zeka hizmetinin kullanılması sırasında şirketin verileri hangi ülkede, hangi altyapıda veya hangi hizmet sağlayıcı tarafından işlendiğini bilmesi önem taşıyabilir.

Özellikle yabancı hizmet sağlayıcıların kullanıldığı durumlarda şirketlerin yalnızca hizmet sözleşmesine değil, veri işleme şartlarına ve kişisel verilerin yurt dışına aktarılıp aktarılmadığına da bakması gerekir.

Verilerin Yapay Zeka Sistemlerinin Geliştirilmesinde Kullanılması

Bazı yapay zeka hizmetlerinde kullanıcıların sağladığı içeriklerin hizmetin geliştirilmesi veya modelin iyileştirilmesi süreçleriyle ilişkisi bulunabilir. Bu nedenle şirketlerin kullandıkları hizmetin veri politikalarını ve sözleşme koşullarını incelemesi önemlidir.

Burada tek bir genel kural üzerinden hareket etmek yerine kullanılan hizmetin teknik yapısının ayrıca değerlendirilmesi gerekir.

Şirketler Öncelikle Yapay Zeka Envanteri Çıkarmalı

KVKK uyumu açısından atılabilecek en önemli adımlardan biri, şirket içerisinde kullanılan yapay zeka araçlarının belirlenmesidir.

Birçok kurumda yapay zeka kullanımı yalnızca BT departmanının kontrol ettiği sistemlerden oluşmuyor. Pazarlama çalışanları içerik üretim araçları, yazılım ekipleri kod asistanları, insan kaynakları çalışanları aday analiz araçları, satış ekipleri ise müşteri iletişimi için farklı yapay zeka hizmetleri kullanabiliyor.

Bu nedenle şirketler şu soruların yanıtını aramalı:

• Hangi yapay zeka araçları kullanılıyor?

• Bu araçları hangi departmanlar kullanıyor?

• Hangi amaçlarla kullanılıyor?

• Sisteme hangi veri türleri aktarılıyor?

• Kişisel veri aktarılıyor mu?

• Özel nitelikli kişisel veri işleniyor mu?

• Veriler üçüncü taraflara aktarılıyor mu?

• Veriler yurt dışında işleniyor mu?

• Hizmet sağlayıcının veri işleme şartları neler?

• Yapay zeka tarafından oluşturulan sonuçları kim kontrol ediyor?

Çalışanların Kontrolsüz Yapay Zeka Kullanımı Nasıl Önlenebilir?

Gölge Yapay Zeka Riski

KVKK’nın 2026 tarihli “İş Yerlerinde Üretken Yapay Zeka Araçlarının Kullanımı” dokümanında özellikle çalışanların üçüncü taraf ve kamuya açık üretken yapay zeka araçlarını kurumsal politika dışında kullanması üzerinde duruluyor. Kurum, bu tür kontrol dışı kullanımı “gölge yapay zeka” başlığı altında değerlendirerek ortaya çıkabilecek risklere dikkat çekiyor.

Gölge yapay zeka, şirketin resmi olarak onaylamadığı veya yönetmediği yapay zeka araçlarının çalışanlar tarafından iş amacıyla kullanılması olarak düşünülebilir.

Örneğin bir çalışanın müşteri şikâyetlerini kişisel bir yapay zeka hesabına yükleyerek özetletmesi şirketin veri işleme süreçlerinin dışında gerçekleşebilir. Bu durumda şirket, hangi verinin nereye gönderildiğini veya hizmet sağlayıcının veriyi nasıl işlediğini sonradan tespit etmekte zorlanabilir.

Yapay Zeka Kullanım Politikası Hazırlanmalı

Şirketlerin çalışanlara yönelik açık ve anlaşılır bir yapay zeka kullanım politikası oluşturması bu nedenle önem taşıyor. Amaç yapay zekayı tamamen yasaklamak değil, kullanımını kontrol edilebilir bir kurumsal çerçeveye taşımaktır.

Politikada en azından şu konular ele alınabilir:

• Hangi yapay zeka araçlarının kullanılabileceği,

• Hangi araçların kullanılamayacağı,

• Kişisel verilerin hangi koşullarda işlenebileceği,

• Özel nitelikli kişisel veriler konusunda uygulanacak kurallar,

• Gizli şirket bilgilerinin paylaşımı,

• Müşteri bilgilerinin kullanımı,

• Yapay zeka çıktılarının insan tarafından kontrol edilmesi,

• Veri güvenliği ihlallerinde izlenecek prosedür,

• Onaylı yapay zeka hizmetlerinin listesi.

Yapay Zeka Kullanımında Veri Minimizasyonu Neden Önemli?

KVKK bakımından temel veri koruma ilkelerinden biri, kişisel verilerin belirli, açık ve meşru amaçlarla işlenmesi ve işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasıdır. Bu yaklaşım yapay zeka kullanımında da önem taşıyor.

Örneğin bir yapay zeka aracından bir müşteri e-postasının dilbilgisi açısından düzeltilmesi isteniyorsa, e-postanın tamamında bulunan tüm kişisel bilgilerin sisteme aktarılması her zaman gerekli olmayabilir.

Şirketler mümkün olduğu ölçüde yalnızca ihtiyaç duyulan veriyi kullanmalı, gereksiz kişisel bilgileri yapay zeka sistemine göndermemeli ve uygun teknik yöntemlerle veriyi maskeleyebilmelidir.

Anonimleştirme Ve Maskeleme Değerlendirilebilir

Yapay zeka aracına aktarılacak veriler üzerinde anonimleştirme, maskeleme veya benzeri veri minimizasyon yöntemlerinin uygulanması bazı senaryolarda riski azaltabilir.

Örneğin gerçek müşteri isimleri yerine “Müşteri A” gibi tanımlayıcıların kullanılması, analiz için gerekli olmayan telefon numarası veya adres bilgilerinin kaldırılması ve yalnızca ihtiyaç duyulan metnin sisteme aktarılması değerlendirilebilir.

Ancak verinin anonimleştirilmiş kabul edilip edilmeyeceği teknik ve hukuki koşullara bağlı olduğundan, yalnızca isimlerin silinmesi otomatik olarak verinin anonim hale geldiği anlamına gelmez.

Özel Nitelikli Kişisel Verilerde Daha Fazla Dikkat Gerekiyor

Sağlık bilgileri, biyometrik veriler, genetik veriler, sendika üyeliği ve benzeri özel nitelikli kişisel veriler açısından KVKK daha özel bir koruma rejimi öngörüyor.

Bu tür verilerin yapay zeka sistemlerine aktarılması, sıradan bir metin veya veri analizi işleminden daha yüksek risk oluşturabilir.

İnsan kaynakları, sağlık, finans, güvenlik ve benzeri alanlarda faaliyet gösteren şirketlerin yapay zeka kullanım senaryolarını bu nedenle daha ayrıntılı değerlendirmesi gerekiyor.

Örneğin çalışanların sağlık raporlarının bir üretken yapay zeka aracına yüklenmesi ile kamuya açık bir metnin dilbilgisi açısından düzeltilmesi aynı risk seviyesinde değerlendirilemez.

Yapay Zeka Ve Yurt Dışına Veri Aktarımı

Yapay Zeka Hizmetlerinde Yurt Dışı Aktarım Kontrolü

Kurumsal yapay zeka kullanımında gözden kaçırılabilecek konulardan biri de kişisel verilerin yurt dışına aktarılmasıdır.

6698 sayılı Kanun’un 9. maddesinde 2024 yılında yapılan değişikliklerle kişisel verilerin yurt dışına aktarılması konusunda yeni bir sistem oluşturuldu. Değişiklikler 1 Haziran 2024 itibarıyla yürürlüğe girerken, eski sistemin belirli hükümleri için geçiş süreci 1 Eylül 2024’e kadar devam etti.

Yeni sistem kapsamında yeterlilik kararı bulunması veya uygun güvencelerin sağlanması gibi farklı aktarım mekanizmaları bulunuyor.

Standart Sözleşmelerin Rolü

Yurt dışına veri aktarımında standart sözleşmeler de uygun güvence yöntemlerinden biri olarak düzenlenmiş durumda.

KVKK, standart sözleşmelerin imzalanmasından itibaren beş iş günü içerisinde Kuruma bildirilmesi gerektiğini belirtiyor. Bu bildirimin yapılabilmesi için Kurum tarafından çevrim içi bir modül de oluşturuldu.

Yapay Zeka Çıktıları İnsan Tarafından Kontrol Edilmeli

Yapay zeka tarafından oluşturulan bir sonucun doğru görünmesi, onun mutlaka doğru olduğu anlamına gelmiyor.

Bu durum kişisel veriler bakımından da önem taşıyor. Bir yapay zeka sistemi kişileri sınıflandırıyor, adayları değerlendiriyor, müşteri profilleri oluşturuyor veya başka bir şekilde bireyler hakkında sonuç üretiyorsa şirketlerin insan denetimini göz ardı etmemesi gerekiyor.

KVKK’nın yapay zeka rehberi, yapay zeka sistemlerinin şeffaf, denetlenebilir, güvenli ve insan merkezli bir yaklaşımla ele alınmasının önemini vurguluyor.

Bu nedenle özellikle insanları doğrudan etkileyen karar süreçlerinde yapay zeka çıktılarının otomatik olarak nihai karar kabul edilmesi yerine uygun insan denetimi mekanizmalarının oluşturulması önem taşıyor.

Yapay Zeka Kullanımı İçin Kurumsal Yönetişim Nasıl Kurulmalı?

Yapay zeka yalnızca BT departmanının sorumluluğuna bırakılabilecek bir konu olmaktan çıkıyor. Kurumsal bir yapay zeka yönetişim modelinde hukuk, bilgi güvenliği, KVKK uyum ekipleri, insan kaynakları, BT ve iş birimlerinin birlikte çalışması gerekebilir.

Hukuk Ve Uyum Ekiplerinin Rolü

Hukuk ve uyum ekipleri kullanılan yapay zeka sistemlerinin kişisel veri işleme faaliyetleri açısından değerlendirilmesine katkı sağlayabilir.

Özellikle yeni bir yapay zeka hizmeti satın alınmadan önce hizmet sözleşmesi, veri işleme koşulları, veri saklama politikası, yurt dışı aktarım mekanizması ve ilgili diğer şartların incelenmesi yararlı olacaktır.

Bilgi Güvenliği Ekiplerinin Rolü

Bilgi güvenliği ekipleri ise teknik kontroller, erişim yetkileri, veri kaybı önleme mekanizmaları, loglama ve benzeri güvenlik süreçlerini değerlendirebilir.

Bu iki alanın birlikte ele alınması, yalnızca KVKK uyumuna değil, şirketin genel bilgi güvenliğine de katkı sağlayabilir.

Etken Yapay Zeka Yeni Riskler Getiriyor

Yapay zeka konusunda yalnızca klasik sohbet robotlarına odaklanmak da yeterli olmayabilir.

KVKK, Mart 2026’da “Etken Yapay Zeka (Agentic AI)” başlıklı ayrı bir doküman yayımladı. Kurum, bu sistemlerin artan otonomi düzeyinin ve veri işleme kapasitesinin kişisel verilerin korunması bakımından yeni değerlendirme alanları ortaya çıkardığına dikkat çekiyor.

Etken yapay zeka sistemleri, yalnızca kullanıcıdan gelen tek bir komuta cevap vermek yerine belirli hedeflere ulaşmak için birden fazla adımı yürütebilen, çevresel koşullara göre hareket edebilen ve belirli ölçülerde otonom eylem başlatabilen sistemleri ifade ediyor.

Bu gelişme şirketler açısından yeni bir soruyu gündeme getiriyor: Yapay zeka yalnızca veri analiz eden bir araç olmaktan çıkıp farklı sistemlerle etkileşime girdiğinde, hangi verilere erişebilecek ve hangi işlemleri gerçekleştirebilecek?

Bu nedenle gelecekte KVKK ve yapay zeka uyumunun yalnızca prompt ve veri paylaşımı üzerinden değil, yapay zeka aracılarının sahip olduğu erişim yetkileri ve gerçekleştirdiği işlemler üzerinden de değerlendirilmesi gerekebilir.

Şirketler İçin Uygulanabilir KVKK Ve Yapay Zeka Kontrol Listesi

Şirketler yapay zeka kullanımını değerlendirirken aşağıdaki temel adımları kontrol listesi olarak kullanabilir:

1. Kurum içinde kullanılan yapay zeka araçlarını belirleyin.

2. Her aracın hangi departman tarafından kullanıldığını tespit edin.

3. Yapay zeka sistemlerine aktarılan veri türlerini sınıflandırın.

4. Kişisel ve özel nitelikli kişisel veri kullanımını ayrıca değerlendirin.

5. Hizmet sağlayıcının veri işleme koşullarını inceleyin.

6. Verilerin yurt dışına aktarılıp aktarılmadığını kontrol edin.

7. Gerekli yurt dışı aktarım mekanizmasını belirleyin.

8. Çalışanlar için açık bir yapay zeka kullanım politikası oluşturun.

9. Onaylı yapay zeka araçlarını belirleyin.

10. Hassas verilerin kontrolsüz şekilde sisteme aktarılmasını teknik ve idari önlemlerle engelleyin.

11. Yapay zeka çıktıları için insan denetimi sağlayın.

12. Yapay zeka kullanımını düzenli olarak gözden geçirin.

13. Yeni yapay zeka teknolojilerinin oluşturabileceği riskleri ayrıca değerlendirin.

14. Çalışanlara düzenli veri gizliliği ve yapay zeka farkındalık eğitimleri verin.

Sık Sorulan Sorular

Şirketler ChatGPT Gibi Yapay Zeka Araçlarını Kullanabilir Mi?

KVKK açısından temel mesele yapay zeka aracının kullanılması değil, bu kullanım sırasında gerçekleştirilen kişisel veri işleme faaliyetleridir. Şirketler kullandıkları sistemin özelliklerini, işleme amacını, veri türünü, hukuki dayanağı, güvenlik önlemlerini ve gerekiyorsa yurt dışına aktarım boyutunu değerlendirmelidir.

Çalışanların Yapay Zeka Kullanması Yasaklanmalı Mı?

Genel bir yasak yerine kontrollü ve kuralları belirlenmiş kullanım politikası oluşturulması daha işlevsel olabilir. KVKK’nın iş yerlerinde üretken yapay zeka kullanımına ilişkin dokümanı da kurumsal düzeyde farkındalık ve bilinçli kullanımı teşvik etmeyi amaçlıyor.

Müşteri Verileri Yapay Zekaya Yüklenebilir Mi?

Müşteri verilerinin yapay zeka sistemine aktarılması otomatik olarak serbest veya yasak kabul edilemez. Veri işleme amacı, hukuki sebep, veri minimizasyonu, güvenlik, hizmet sağlayıcının koşulları ve gerekiyorsa yurt dışına aktarım hükümleri birlikte değerlendirilmelidir.

Yapay Zeka Kullanımında KVKK Sorumluluğu Kime Ait?

Somut olayda şirketin ve diğer aktörlerin rollerine göre değerlendirme yapılması gerekir. Şirketler, kendi gerçekleştirdikleri kişisel veri işleme faaliyetleri bakımından KVKK kapsamındaki sorumluluklarını yapay zeka hizmeti kullanıyor olmaları nedeniyle ortadan kaldıramaz.

Yapay Zeka Şirket İçin KVKK Riskini Tamamen Ortadan Kaldırabilir Mi?

Hayır. Bir yapay zeka aracının teknik olarak güvenli olması, şirketin KVKK kapsamındaki tüm yükümlülüklerini yerine getirdiği anlamına gelmez. Hukuki dayanak, amaç, ölçülülük, şeffaflık, veri güvenliği ve gerekiyorsa yurt dışı aktarım gibi konular ayrıca değerlendirilmelidir.