Türkiye’nin çerçeve yapay zeka kanunu komisyonda beklerken ve gündemi AB Yapay Zeka Tüzüğü’nün takvimi işgal ederken, Türkiye’de bugün fiilen yapay zeka dosyaları karara bağlayan bir düzenleyici var: Kişisel Verileri Koruma Kurumu. Ürününüz profilliyor, skorluyor, sıralıyor, doğruluyor veya üretiyorsa — fiili yapay zeka düzenleyiciniz KVKK. Üç cephe kritik.
1. Otomatik kararlar
KVKK m. 11, ilgili kişiye, verilerinin münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhine çıkan sonuca itiraz hakkı veriyor. GDPR m. 22’den daha dar — genel bir yasak değil, itiraz hakkı — ama standart startup araç setine doğrudan dokunuyor: CV eleme ve aday sıralama, kredi ve fraud skorlama, dinamik fiyatlama, içerik moderasyonu, hesap askıya alma motorları.
Pratik sonuçlar: aleyhe otomatik sonuçlar için insan incelemesi yolu kurun, aydınlatma metninizde otomatik analizi açıkça söyleyin ve sonucun nasıl üretildiğini — en azından sistem düzeyinde — açıklayabilir olun. “Model öyle karar verdi”, bir düzenleyicinin kabul edeceği cevap değil.
2. Biyometri
Kurulun mesai takibinde biyometrik veriye ilişkin 2026/921 ilke kararı, Türkiye’de yapay zeka denetiminin nasıl işleyeceğinin şablonu: biyometrik veri özel nitelikli veridir, açık rıza orantısız bir sistemi kurtarmaz ve daha az müdahaleci bir alternatif (kart, kod) varken biyometrik yol gereklilik testini geçemez. Bu kararı bir kez okuyun; yüz tanıma, ses kimliği ve yol haritanızdaki her “yüzünüzle doğrulayın” özelliğine Kurulun nasıl yaklaşacağını anlarsınız.
3. Eğitim verisi ve yapay zeka üretimi içerik
Model eğitimi veriyle döner; bu veri kimliği belirlenebilir kişilere ilişkinse tüm KVKK ilkeleri uygulanır: hukuki sebep, amaçla sınırlılık, veri minimizasyonu, saklama süreleri. Türk kullanıcı verisini hukuki sebep olmadan eğitim için kazımak, geleceğin yapay zeka kanunu sorunu değil, bugünün KVKK sorunudur. Çıktı tarafında da Ankara hareketli: Kasım 2025 tarihli, yapay zeka üretimi içeriğe ilişkin TCK değişiklik taslağı ve Kurumun yapay zeka çalışmaları, sentetik içerik sorularının çerçeve kanundan önce mevcut kurumlar eliyle cevaplanacağını gösteriyor.
Altı adımda KVKK-yapay zeka kontrolü
- Üründe kullanıcıyı etkileyen tüm tam otomatik kararları haritalayın; aleyhe sonuçlar için insan incelemesi ekleyin.
- Aydınlatma metinlerinde otomatik analiz ve profillemeyi açıkça, Türkçe olarak adlandırın.
- Her biyometrik özelliğe 2026/921 orantılılık testini uygulayın — önce gereklilik, sonra rıza.
- Kişisel veri içeren her eğitim seti için hukuki sebebi belgeleyin; mümkün olduğunca minimize edin ve kimliksizleştirin (bkz. anonimleştirme).
- Yapay zeka işleme amaçlarınızın VERBİS kaydınıza yansıyıp yansımadığını kontrol edin.
- KVKK ilke kararlarını AB rehberlerini izler gibi izleyin — Türkiye’de mevzuattan hızlı gelirler.
KVKK’nın yapay zekaya dokunan kararlarını yayımlandıkça takip ediyoruz — KVKK Takip sayfamıza ve KVKK + GDPR uyum pratiğimize göz atın.
Dört KVKK kancası, ürününüze eşlenmiş
| KVKK kancası | AI ürününü nerede ısırır | Üretilecek ilk belge |
|---|---|---|
| m.11 — otomatik sonuca itiraz | İnsan incelemesi olmayan skorlama, sıralama ve ret akışları | İnsan inceleme dalı + belgelenmiş itiraz kanalı |
| Biyometrik veri (özel nitelikli) | Yüz/ses ile giriş, mesai takibi, görüntüden yaş tahmini | Zorunluluk analizi — Kurul “zorunluluğu” dar okur |
| Eğitim verisinin hukuki sebebi | Müşteri veya kazınmış veriyle eğitilen modeller | Veri kümesi başına sebep memosu + envantere saklama bağı |
| Yurt dışı aktarım | Yabancı model API’lerine akan prompt ve telemetri | Standart sözleşme seti + beş iş günü bildirim makbuzu |
Müşteri verisinde AI kullanmak için rıza gerekir mi?
Varsayılan olarak hayır — rıza sebeplerden biridir ve sistematik işleme için çoğu zaman en zayıfıdır. Ürün akışlarının çoğunu sözleşme zorunluluğu ve meşru menfaat taşır; pazarlığa kapalı olan dürüst aydınlatma ve özel nitelikli veride özgül kanuni dayanaktır.
Chatbot dökümü kişisel veri midir?
Neredeyse her zaman — kullanıcı serbest metne isim, sipariş, şikâyet yazar. Dökümleri tasarım gereği kişisel veri sayın: saklama sınırı, tedarikçi çağrısından önce redaksiyon ve işleme envanterine dahil etme.
Bu haftanın ödevi
En yüksek hacimli AI özelliğinizi seçin ve yukarıdaki “ilk belge” sütununu onun için üretin — dört belge, hiçbiri bir sayfayı geçmesin. O dosya; müşteri anketine, Kurul yazısına ve diligence talebine aynı anda verilmiş cevabınızdır.
Bu yazı yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. Temmuz 2026 itibarıyla geçerli durumu yansıtır.
