Her yapay zeka ekibi eninde sonunda şu üç cümleden birini söyler: “anonimleştirdik”, “zaten kamuya açıktı”, “model veriyi değil örüntüyü tutar”. Üçü de taşıyabileceğinden fazla hukuki yük taşıyor. İşte KVKK ve GDPR altında eğitim verisi uyumunun haritası. Modellerin kendisinin kapsama geri girdiği yerler.
Anonimleştirme yüksek bir çıta. KVKK’nınki de öyle
İki rejimde de veri; ancak makul olarak kullanılabilecek hiçbir yöntemle (sizin veya bir başkasının kullanabileceği) kimliği belirlenebilir bir kişiyle ilişkilendirilemez hale geldiğinde anonimdir. KVKK m. 3, anonimleştirmeyi verinin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemez hale getirilmesi olarak tanımlar. ID’yi hashlemek, isim kolonunu silmek veya e-postayı tokenlaştırmak takma adlandırmadır (pseudonymization): veri kişisel veri olarak kalır, tüm yükümlülükler sürer. Zengin davranışsal veya serbest metin verisinde gerçek anonimleştirme teknik olarak zordur ve belgelenmelidir (k-anonimlik/toplulaştırma tercihleri, yeniden kimliklendirme testi, yardımcı veri büyüdükçe periyodik gözden geçirme).
“Kamuya açıktı” hukuki sebep değildir
KVKK m. 5/2(d), ilgili kişinin kendisi tarafından alenileştirilen verinin işlenmesine izin verir; ama yalnızca alenileştirme amacına uygun olarak. Kurul bunu dar okur: CV’sini kamuya açan geliştirici, bununla bir İK skorlama modelini beslemeye rıza göstermiş olmaz. GDPR’da kamuya açık veri istisnası hiç yoktur; açık profilleri kazımak yine hukuki sebep, şeffaflık ve (AB telifinde) TDM opt-out’larına saygı gerektirir. Türk hukukunda web scraping’in haksız fiil, sözleşme ve ceza katmanlarını yakında ayrı bir yazıda ele alıyoruz.
Özel nitelikli veri, veri setini usulca zehirler
Destek taleplerindeki sağlık terimleri, görüntü setlerindeki yüzler, ses kayıtları (kimliklendirmede kullanıldığında KVKK’da biyometri), metinden çıkarılabilen sendika üyeliği; özel nitelikli veri, hukuki sebep çıtasını sert biçimde yükseltir ve Türkiye’de Kurul’un güçlendirilmiş tedbirlerini tetikler. Veri temizleme hatları, özel nitelikli veri tespitini sonradan akla gelen değil birinci sınıf adım saymalıdır.
Model hukuki bir bitiş noktası değildir
Büyük modeller eğitim kayıtlarını ezberleyip geri kusabilir; çıkarım saldırıları belgelidir. Sonuçlar: (1) kişisel veri gömülü eğitilmiş model bizatihi işleme teşkil edebilir; silme talepleri ince ayarlı artefaktlara uzanabilir; (2) (GPAI için) eğitim içeriği özetiniz ile KVKK işleme envanteriniz aynı hikâyeyi anlatmalıdır; (3) “machine unlearning” henüz güvenilir bir uyum cevabı değil; eğitimden önce veri seti yönetişimi öyledir.
Çalışan checklist
- Veri seti başına kaynak sicili: menşe, lisans/kullanım koşulları, hukuki sebep, özel nitelik taraması, opt-out kontrolü;
- Hatlarda varsayılan takma adlandırma; anonimleştirme iddiasını yalnızca belgeli testle ileri sürün;
- Aydınlatma ve (kazımaya dayalı ürünlerde) veri almadan önce KVKK m. 10 stratejisi; sonra değil;
- Veri satıcılarından sözleşmesel taahhütler; menşe artık bir due diligence sorusu (bkz. yatırımcıların sorduğu on soru);
- Sınır ötesi: Türkiye kaynaklı kişisel veriyle yurt dışında eğitim bir aktarımdır; 2024 KVKK aktarım araçlarını kullanın (standart sözleşmeler, BCR).
Araçlarınızı Yapay Zeka Uyum Merkezi’nde kapsam taramasından geçirin.
Bu yazı yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. Somut durumunuz için bize ulaşın.
Yazar
Bu konu masanızdaysa
Kurucu Akademisi'nde şablonlar ve kontrol listeleri ücretsiz; spesifik bir durum için 30 dakikalık ön görüşme planlayabilirsiniz.
Kurucu AkademisiGörüşme planlayınDaha fazla Vircon İçgörüleri
KVKK Zaten Yapay Zekânızı Denetliyor: Otomatik Kararlar, Biyometri, Eğitim Verisi
8 Temmuz 2026Yatırım Turunun Kapanışı: İmzadan Paranın Hesaba Geçmesine Adım Adım
1 Eylül 2026Aile Üyesi Çalışan: İş Sözleşmesi, Emsal Ücret ve Örtülü Kazanç Riski
31 Ağustos 2026Kuşak Devrinde İki Ayrı Karar: Yönetimi Devretmek, Mülkiyeti Devretmek
30 Ağustos 2026Aile Anayasasından Esas Sözleşmeye: Hangi Taahhüt Hangi Belgeye Yazılır?
29 Ağustos 2026Aile Şirketi Girişim Yatırımı Yaparken: Yapı, Çıkar Çatışması ve Sonraki Turu Bozan Haklar
28 Ağustos 2026İlgili Hizmet Alanlarımız
Gizlilik ve Siber Güvenlik
KVKK ve GDPR uyumu, veri ihlali yönetimi, siber güvenlik.
Hizmet sayfası →ICO'lar & Kripto Para Birimleri Blockchain
Kripto varlık regülasyonu, token arzı, exchange ve custody lisansı.
Hizmet sayfası →ABD Şirket Kuruluşları ve Flip-Up
Delaware C-Corp, flip-up, SAFE/convertible note, 83(b) seçimi.
Hizmet sayfası →