Her yapay zeka ekibi er ya da geç şu üç cümleden birini kurar: “anonimleştirdik”, “zaten kamuya açıktı”, “model veriyi değil örüntüyü tutar”. Üçü de hukuken taşıyabileceğinden fazlasını iddia ediyor. Aşağıda KVKK ve GDPR açısından eğitim verisi uyumunun çerçevesini ve modellerin kendisinin nerede yeniden kapsama girdiğini ele alıyoruz.
Anonimleştirmenin çıtası yüksek, KVKK’da da öyle
Her iki rejimde de veri, ancak makul olarak kullanılabilecek hiçbir yöntemle (sizin ya da bir başkasının kullanabileceği) kimliği belirlenebilir bir kişiyle ilişkilendirilemiyorsa anonimdir. KVKK m. 3, anonimleştirmeyi verinin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemez hale getirilmesi olarak tanımlar. ID’yi hash’lemek, isim sütununu silmek ya da e-posta adreslerini token’a çevirmek takma adlandırmadır (pseudonymization): veri kişisel veri olmaya devam eder ve tüm yükümlülükler sürer. Zengin davranışsal veride veya serbest metinde gerçek anonimleştirme teknik olarak zordur ve belgelenmesi gerekir (k-anonimlik/toplulaştırma tercihleri, yeniden kimliklendirme testi, yardımcı veriler arttıkça düzenli gözden geçirme).
“Kamuya açıktı” bir hukuki sebep değildir
KVKK m. 5/2(d), ilgili kişinin kendisi tarafından alenileştirilmiş verilerin işlenmesine izin verir; ancak yalnızca alenileştirme amacıyla sınırlı olarak. Kurul bu hükmü dar yorumluyor: özgeçmişini herkese açık paylaşan bir yazılımcı, bu verinin bir İK puanlama modelini eğitmekte kullanılmasına rıza vermiş sayılmaz. GDPR’da ise kamuya açık veri için bir istisna hiç yoktur; herkese açık profilleri kazımak için de hukuki sebep, şeffaflık ve (AB telif hukukunda) TDM opt-out’larına uyum gerekir. Türk hukukunda web scraping’in haksız fiil, sözleşme ve ceza hukuku boyutlarını ayrı bir yazıda ele aldık.
Özel nitelikli veri, veri setini fark ettirmeden sorunlu hale getirir
Destek taleplerindeki sağlık terimleri, görüntü setlerindeki yüzler, ses kayıtları (kimlik tespiti için kullanıldığında KVKK’da biyometrik veri), metinden çıkarılabilen sendika üyeliği: özel nitelikli veri, hukuki sebep çıtasını ciddi biçimde yükseltir ve Türkiye’de Kurul’un öngördüğü ek tedbirleri devreye sokar. Veri temizleme süreçlerinde özel nitelikli verinin tespiti, sona bırakılan bir kontrol değil, temel adımlardan biri olmalıdır.
Model, hukuki açıdan sürecin sonu değildir
Büyük modeller eğitim kayıtlarını ezberleyip aynen geri üretebilir; veri çıkarma saldırıları belgelenmiştir. Bunun sonuçları şunlar: (1) içinde kişisel veri barındıran eğitilmiş bir model başlı başına veri işleme sayılabilir ve silme talepleri ince ayar yapılmış modellere kadar uzanabilir; (2) (GPAI için) eğitim içeriği özetiniz ile KVKK işleme envanteriniz birbiriyle tutarlı olmalıdır; (3) “machine unlearning” henüz güvenilir bir uyum çözümü değil; güvenilir olan, eğitimden önce veri setinin iyi yönetilmesidir.
Uygulamaya dönük kontrol listesi
- Her veri seti için kaynak kaydı: kaynağı, lisans/kullanım koşulları, hukuki sebep, özel nitelikli veri taraması, opt-out kontrolü;
- Veri işleme süreçlerinde varsayılan olarak takma adlandırma; anonimleştirme iddiasında yalnızca belgelenmiş bir teste dayanarak bulunun;
- Aydınlatma ve (kazımaya dayalı ürünlerde) KVKK m. 10 stratejisi, veri toplanmadan önce hazırlanmalı, sonra değil;
- Veri satıcılarından sözleşmesel taahhüt alın; verinin kaynağı artık bir due diligence sorusu (bkz. yatırımcıların sorduğu on soru);
- Yurt dışı boyutu: Türkiye’den elde edilen kişisel veriyle yurt dışında model eğitmek bir aktarımdır; 2024 KVKK aktarım araçlarını kullanın (standart sözleşmeler, BCR).
Kullandığınız araçların kapsam değerlendirmesini Yapay Zeka Uyum Merkezi’nde yapabilirsiniz.
Kaynak. 6698 sayılı Kişisel Verilerin Korunması Kanunu; (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü (GDPR). Kanun bağlantıları mevzuat.gov.tr üzerindeki güncel resmî metinlere gider.
Bu yazı yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. Somut durumunuz için bize ulaşın.
Yazar
Daha fazla Vircon İçgörüleri
İklim Fintech'i: SKDM (CBAM), Türkiye ETS, Karbon Kredisi ve ESG Verisi
22 Ekim 2026Oyun Stüdyosu için KVKK: Telemetri, Cihaz Kimlikleri, Reklam SDK'ları ve Her Oturumda Yurt Dışına Çıkan Veri
22 Ekim 2026KVKK Saklama ve İmha Politikası: Silme Yönetmeliği Tablo Tablo Ne İstiyor?
12 Ekim 2026Model Bir İnsan Hakkında Karar Verdiğinde: İşe Alım, Performans ve KVKK 11. Madde
7 Ekim 2026Şirket Verisini Modele Vermek: KVKK Dayanağı, Yurt Dışı Aktarım ve Az Önce Yüklediğiniz Ticari Sır
5 Ekim 2026KVKK'da Veri İşleyen Sözleşmesi (DPA): GDPR m.28'den Farkı ve Eklere Neler Yazılmalı
2 Ekim 2026İlgili Hizmet Alanlarımız
Gizlilik ve Siber Güvenlik
KVKK ve GDPR uyumu, veri ihlali yönetimi, siber güvenlik.
Hizmet sayfası →ICO'lar & Kripto Para Birimleri Blockchain
Kripto varlık regülasyonu, token arzı, exchange ve custody lisansı.
Hizmet sayfası →Fikri Mülkiyet
Marka, patent, telif ve ticari sır danışmanlığı.
Hizmet sayfası →