Kişisel Verileri Koruma Kurumu, 12 Mart 2026’da “Etken Yapay Zekâ (Agentic AI)” rehberini yayımladı. Kurum, kavram için bilinçli bir tercüme tercihi de yaptı: “ajan” veya “eylemci” yerine Etken YZ, bileşenler için de YZ Aracısı. Rehber bağlayıcı değil; ama Kurul’un bu sistemlere hangi gözle bakacağını gösteren ilk resmî metin; başka bir deyişle bir sonraki denetimin soru kâğıdı. Kırk bir sayfayı baştan sona okuduk; aşağıda Kurum’un ne dediğini ve ajan tabanlı sistem kuran ya da kullanan bir ekip için pratikte ne anlama geldiğini anlatıyoruz.
Kurum’un derdi ne? Klasik yapay zekâdan farkı
Rehberin çıkış noktası şu: üretken yapay zekâ içerik üretir, etken yapay zekâ iş yapar. Hedefi siz verirsiniz; sistem adımları kendisi planlar, araçları kendisi çağırır, koşullar değişince rotayı kendisi günceller. Kurum’un veri koruma kaygısı da tam bu otonomiden doğuyor: klasik bir uygulamada hangi verinin hangi amaçla işlendiğini baştan bilirsiniz; çok adımlı bir ajan akışında ise işleme faaliyeti göreve göre genişler, başlangıçta öngörülmeyen veri kümeleri sürece dâhil olur ve mevcut veri başka görevlerde yeniden kullanılır. Rehberin en önemli metodolojik cümlesi de burada: değerlendirme, tek tek işleme faaliyetleri üzerinden değil, sistemin bütüncül işleyişi üzerinden yapılmalıdır. Tek başına masum görünen analizler birleştiğinde kapsamlı bir profile dönüşebilir.
Rehberin saydığı riskler, KVKK diliyle
| Rehberdeki risk | KVKK’daki karşılığı | Pratikte nerede patlar |
|---|---|---|
| İşleme kapsamının görev ilerledikçe genişlemesi | Amaçla sınırlılık + veri minimizasyonu (m.4) | Ajanın “yardımcı olmak için” CRM’deki her alanı okuması |
| Yeni veri kullanımlarının başlangıçtaki hukuki sebeple bağının kopması | Hukuki sebep (m.5) sürekliliği | Destek için toplanan verinin satış skorlamasına akması |
| Farklı kaynaklardan birleştirilerek kapsamlı profil çıkarılması | Otomatik sonuca itiraz (m.11) + ölçülülük | Takvim + e-posta + döküm verisinin tek kişilik dosyaya dönüşmesi |
| Çok aracılı yapıda kara kutunun derinleşmesi | Aydınlatma yükümlülüğü (m.10) + hesap verebilirlik | “Bu karar neden verildi?” sorusuna kimsenin cevap verememesi |
| Halüsinasyonun çok adımlı akışta yayılması | Doğruluk ilkesi (m.4/1-d) | İlk adımdaki uydurma bilginin beşinci adımda işleme dönüşmesi |
| Girdi manipülasyonu ve genişleyen saldırı yüzeyi | Veri güvenliği (m.12) | Prompt injection ile ajanın yetkisini aşan veri sızdırması |
Sorumluluk kimde? Rehberin en göze batmayan ama en sert kısmı
Kurum, veri işleme faaliyetlerinin geliştirici, kullanan ve diğer aktörler arasında dağıldığını, ihlal hâlinde sorumluluğun paylaştırılmasının güçleştiğini açıkça söylüyor; öte yandan bu güçlüğü kimseye mazeret olarak da vermiyor. Türk uygulamasındaki karşılığı bildik: ajan sisteminizin arkasındaki model sağlayıcı ne yaparsa yapsın, müşterinize ve çalışanınıza karşı veri sorumlusu sizsiniz. Rehberin beklediği ev ödevi de buna göre: aktörler arası rol dağılımını (sorumlu / işleyen) sözleşmeyle netleştirin, işleme envanterinize ajan akışlarını işleyin ve insan gözetimini sonradan eklenen bir onay butonu olarak değil, tasarım aşamasından itibaren kurun.
Aynı tavrı Avrupa Veri Koruma Kurulu blockchain rehberinde de aldı: merkeziyetsizlik, hesap verecek kimsenin bulunmaması anlamına gelmez; bunu EDPB’nin nihai blockchain rehberini değerlendirdiğimiz yazıda ele aldık.
AB ile hizalama: iki rejim, tek mimari
Rehber, AI Act’in kavramlarını kullanmıyor ama aynı yöne bakıyor: insan merkezli yaklaşım, açıklanabilirlik, yaşam döngüsü boyunca risk yönetimi. AB’ye dönük ürün kuran bir ekip için varılan nokta: insan gözetimi ve DPIA altyapısını AI Act için zaten kuruyorsanız, KVKK rehberinin beklentileri büyük ölçüde aynı mimariden karşılanır. Ayrıntılı karşılaştırma için Yapay Zeka Uyum Merkezi‘ne bakabilirsiniz.
Rehber bağlayıcı değilse neden umursayalım?
Çünkü Kurul kararları rehberlerin izinden gider. Biyometri rehberinin ardından gelen mesai kararları bunun kanıtı. Rehber bugün beklenti, yarın denetim kriteridir; aradaki fark yalnızca zamandır.
Şirket içinde Copilot/ajan kullanıyoruz ama geliştirmiyoruz, kapsamda mıyız?
Evet. Rehber yalnızca geliştirenlere değil, kullananlara da sesleniyor. Çalışan verisine dokunan her ajan akışı için envanter kaydı, aydınlatma güncellemesi ve erişim sınırı üçlüsü sizde de gerekiyor.
Nereden başlamalı?
Tek soruyla: “Ajanlarımız hangi kişisel veriye, hangi görev için, kimin kararıyla dokunuyor?” Bu sorunun cevabı bir sayfaya sığmıyorsa, rehberin işaret ettiği bütün riskler sizde zaten canlı demektir. O sayfayı Kurul yazısından önce yazmak, sonrasında yazmaktan her zaman ucuzdur.
Kaynak: KVKK Etken Yapay Zekâ Rehberi (tam metin) · İlgili: profilleme · şirkette üretken yapay zekâ ve KVKK.
Kaynak. 6698 sayılı Kişisel Verilerin Korunması Kanunu. Kanun bağlantıları mevzuat.gov.tr üzerindeki güncel resmî metinlere gider.
Yazar
Daha fazla Vircon İçgörüleri
AB Yapay Zekâ Tüzüğü Türk Hukukunda: Sağlayıcı ve Deployer İçin Terim ve Yükümlülük Karşılıkları Tablosu
11 Ekim 2026İşyerinde Yapay Zekâ: Kullanım Politikası, İzlemenin Sınırı ve Otomasyon Kaynaklı Yeniden Yapılanma
6 Ekim 2026Yapay Zekâ Kararı Yönetim Kurulunun İşi: TTK'da Özen Borcu, Devir ve Belge Düzeni
3 Ekim 2026Omnibus Sonrası Yapay Zekâ Okuryazarlığı Yükümlülüğü: Türk Şirketi Ne Belgelemeli?
25 Eylül 2026DORA, Bulut Yoğunlaşması ve Kuantum Sonrası Şifreleme: Türk Fintech'ler İçin Operasyonel Dayanıklılık Haritası (2026)
24 Ekim 2026Stablecoin, Tokenize Mevduat ve Toptan Dijital Para: Türk Şirketleri İçin Hukuki Durum (Ekim 2026)
21 Ekim 2026İlgili Hizmet Alanlarımız
Gizlilik ve Siber Güvenlik
KVKK ve GDPR uyumu, veri ihlali yönetimi, siber güvenlik.
Hizmet sayfası →ICO'lar & Kripto Para Birimleri Blockchain
Kripto varlık regülasyonu, token arzı, exchange ve custody lisansı.
Hizmet sayfası →İş Hukuku
İş sözleşmeleri, ESOP, fesih, rekabet yasağı, çalışma izni.
Hizmet sayfası →