Metin özetlemek, e-posta taslağı hazırlamak ya da bir raporu toparlamak için üretken yapay zekâ araçlarını kullanmak birçok şirkette gündelik bir alışkanlığa dönüştü. Yöneticilerin aklındaki soru ise basit: Bir çalışan müşteri ya da aday bilgisini bu araçlara yazdığında ne oluyor?
Türkiye'de bu soruya bakılacak ilk belge, Kişisel Verileri Koruma Kurumu'nun Kasım 2025'te yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda). Rehber, üretken yapay zekâ sistemlerindeki kişisel veri işleme faaliyetlerinde veri sorumlularına yol göstermeyi amaçlıyor. Bu yazıda rehberin şirket içi kullanımla ilgili bölümlerini özetliyor ve bunlardan bir politika iskeleti çıkarıyoruz. Yazı, rehberin söylediklerini aktarır; hukuki danışmanlık yerine geçmez.
Kanun teknolojiden bağımsız işliyor
Rehberin çıkış noktası açık: 6698 sayılı Kanun teknolojiden bağımsız bir çerçeve sunuyor ve kişisel veri işlenen her durumda geçerli. Üretken yapay zekâ sistemleri de bu kapsamda. Kanun'daki işleme şartlarında yapay zekâya açık bir atıf yok; rehbere göre bu, bu araçlarla veri işlenemeyeceği anlamına gelmiyor, mevcut şartlardan birine dayanılması gerektiği anlamına geliyor.
Rehberin örnekleri farkı netleştiriyor. Yalnız indirim afişi gibi genel temalar giren ve kişisel veri içermeyen çıktı alan bir tasarım ajansı için kural olarak kişisel veri işleme faaliyetinden söz edilemiyor. Buna karşılık geçmiş eğitimlerin katılımcı adlarını, görüntülerini ve ses kayıtlarını içeren materyalleri analiz eden bir araç Kanun kapsamında değerlendiriliyor. Rehber bir noktanın altını ayrıca çiziyor: Girdi kişisel veri içermese bile model çıktısı gerçek bir kişiye ait bilgiler üretebiliyor ve bu da veri işleme sayılabiliyor.
Anonim veri ise Kanun'un kapsamı dışında. Ancak rehbere göre verinin gerçekten anonim olduğu teknik yöntemler ve nesnel ölçütlerle ortaya konulmalı; anonimleştirme tamamlanana kadar veri kişisel veri niteliğini koruyor.
Veri sorumlusu kim?
Rehberin işe alım örneği şirketler için doğrudan yol gösterici. Bir insan kaynakları birimi, adayların özgeçmiş ve başvuru formlarını özetleyip puanlayan bir dil modeli kullanıyor. Hangi verinin yükleneceğine ve çıktının nasıl değerlendirileceğine şirket karar verdiği için, hazır bir modeli kendi işine entegre eden şirket bu işleme bakımından veri sorumlusu olarak değerlendirilebiliyor.
Rehber iki uyarı daha yapıyor. Birincisi, rolleri sözleşmedeki ifadeler değil, tarafların fiili kontrolü belirliyor. İkincisi, "kapalı erişimli" modellerde araç kullanan kurum, işleme faaliyetlerine dair tüm bilgilere her zaman erişemeyebiliyor; rollerin belirlenmesinde bu bilgi erişimi de dikkate alınıyor.
Her işleme için ayrı hukuki sebep
Rehbere göre bir dil modelinin çalıştırılması sırasında birden fazla işleme faaliyeti bulunabiliyor: kullanıcı girdisinin modeli çalıştırmak için işlenmesi, aynı verinin modeli geliştirmek için kullanılması, çıktıların kişiselleştirme ya da geliştirme için kullanılması. Her biri için ayrı işleme şartı belirlenmesi gerekebiliyor.
Rehberden öne çıkan diğer noktalar şöyle:
- Kanun'daki işleme şartları arasında hiyerarşi yok. Açık rıza dışındaki bir şart varsa ayrıca açık rıza alınması, rehbere göre aldatıcı ve hakkın kötüye kullanımı niteliğinde olabilir.
- Yapay zekânın kullanımı için alınan açık rıza, modelin geliştirilmesini kapsamıyor.
- Meşru menfaat her işlemeyi kapsayan bir genel şart değil; denge testi gerektiriyor.
- İnternette erişilebilir olmak, verinin her amaçla kullanılabileceği anlamına gelmiyor. Rehberin ifadesiyle: "herkes tarafından serbestçe erişilebilen veri, herkes tarafından serbestçe işlenmeye açık veri anlamına gelmemektedir".
- Sağlık ve biyometrik veri gibi özel nitelikli veriler için sözleşme ve meşru menfaat şartları öngörülmemiş; bu verilerde ek önlemler gerekiyor.
Yurt dışındaki sağlayıcılar
Yaygın araçların önemli bir kısmının sağlayıcısı yurt dışında. Rehbere göre Türkiye'deki bir veri sorumlusu yurt dışında yerleşik bir sağlayıcının üretken yapay zekâ sistemini kullanıyor ve bu yolla kişisel veri yurt dışına aktarılıyorsa, aktarımın Kanun'un 9'uncu maddesine ve 10 Temmuz 2024'te Resmî Gazete'de yayımlanan yurt dışına aktarım yönetmeliğine uygun yapılması gerekiyor. Rehber, Kurum'un ayrı "Kişisel Verilerin Yurt Dışına Aktarılması Rehberi"ne de atıf yapıyor.
Çıktıların doğruluğu ve otomatik kararlar
Rehber, üretken yapay zekâ çıktılarının yanlış, tutarsız, ön yargılı ya da yanıltıcı olabileceğini hatırlatıyor ve "halüsinasyon" riskine dikkat çekiyor. Kişisel veri içeren çıktıların düzenli izlenmesini ve gerektiğinde insan gözetimiyle desteklenmesini öneriyor. Müşteri şikâyetlerini özetleyen bir modelin kişisel verileri eksik ya da hatalı yansıtması, rehbere göre doğruluk ilkesine aykırılık oluşturabiliyor.
İşe alım, kredi ve sigorta gibi alanlarda yapay zekâ karar süreçlerine dahil olduğunda, Kanun'un 11'inci maddesindeki, yalnız otomatik sistemlerle yapılan analiz sonucunda kişinin aleyhine çıkan sonuca itiraz hakkı önem kazanıyor. Rehber, riskler yeterince öngörülemiyor ya da yönetilemiyorsa bu sistemlerin devreye alınmasında ihtiyatlı olunmasını öneriyor.
Güvenlik tedbirleri ve çalışan farkındalığı
Kanun'un 12'nci maddesi kapsamında rehber, örnek mahiyetinde teknik ve idari tedbirler sıralıyor. Şirket içi kullanım için öne çıkanlar:
- Veri koruma etki değerlendirmesi yapılması (iyi uygulama olarak),
- İstem enjeksiyonu ve jailbreak gibi bilinen zafiyetlere karşı teknik kontroller,
- Çok faktörlü kimlik doğrulama,
- İşlem kayıtları ve sistem günlüklerinin güvenli ve denetlenebilir biçimde saklanması,
- Çalışanlara yönelik bilinçlendirme ve eğitim süreçleri.
Rehberin bireylere yönelik bölümü de çalışan talimatına doğrudan çevrilebilir. Ad-soyad, adres, telefon ve kimlik bilgisi gibi tanımlayıcı verilerin ve üçüncü kişilere ait bilgilerin paylaşılmaması, anonimleştirilmiş ve genelleştirilmiş ifadelerin tercih edilmesi, gizlilik ayarlarının gözden geçirilmesi öneriliyor. Sağlık, finans ve hukuki süreçlere ilişkin bilgilerin paylaşılmasından kaçınılması gerektiği de ayrıca vurgulanıyor.
Şirket içi politika için bir iskelet
Aşağıdaki başlıklar rehberdeki bulgulardan türetilmiş bir çerçevedir; her kurumun kendi veri envanterine ve hukuk biriminin değerlendirmesine göre uyarlanması gerekir.
- Kapsam ve onaylı araçlar. Hangi araçların, hangi hesap türüyle ve hangi işler için kullanılabileceğini yazın.
- Veri sınıfları. Araçlara girilebilecek ve girilemeyecek bilgileri açıkça ayırın; özel nitelikli veriler, müşteri ve aday bilgileri, tanımlayıcılar için net bir "girilmez" listesi oluşturun.
- Amaç ve hukuki sebep kaydı. Kişisel veri işlenen her kullanım senaryosu için amacı ve dayanılan işleme şartını ayrı ayrı belgeleyin.
- Yurt dışı aktarım değerlendirmesi. Sağlayıcının konumunu ve aktarımın hangi mekanizmaya dayandığını tedarik aşamasında inceleyin.
- Çıktı kontrolü. Kişisel veri içeren ya da bir kişi hakkında sonuç doğuran çıktılar için insan onayını zorunlu kılın.
- Otomatik kararlar. İşe alım gibi alanlarda yapay zekâyı yalnız karar destek aracı olarak konumlandırın ve itiraz yolunu tanımlayın.
- Güvenlik ve kayıt. Çok faktörlü kimlik doğrulama, erişim yetkileri ve kullanım kayıtlarını politikaya bağlayın.
- Eğitim ve gözden geçirme. Çalışan eğitimini düzenli hâle getirin; politikayı araçlar ve riskler değiştikçe güncelleyin.
Sonuç
KVKK rehberi, üretken yapay zekâyı yasaklayan değil, mevcut kanun ilkelerinin bu araçlara nasıl uygulanacağını gösteren bir belge. Şirketler için asıl iş, bu ilkeleri çalışanın her gün verdiği küçük kararlara çevirmek: Araca neyin yazılacağı, çıktının nasıl kontrol edileceği ve verinin nereye gittiği.
Orient Global'in bakışıyla pratik başlangıç noktası, önce şirkette hangi araçların fiilen kullanıldığını ve bu araçlara hangi veri türlerinin girdiğini görmek. Bu envanter çıkmadan yazılan bir politika kâğıt üzerinde kalabilir; envanter ise hem hukuk biriminin değerlendirmesine hem de çalışan eğitimine somut bir zemin sağlar.
Bu yazı KVKK rehberinin içeriğini bilgilendirme amacıyla özetler ve hukuki danışmanlık yerine geçmez. Somut durumlar için hukuk danışmanınıza başvurun.
#interimmanagement #forwarddeployedengineering