Yapay Zeka ve KVKK: Veri Koruma Perspektifi

Mevzuat ve süre kontrolü: 19 Ekim 2026.

Özet

Yapay zekâ aracına kişisel veri yüklenmesi, çıktının kullanılması ve kararın kişi hakkında uygulanması ayrı veri işleme aşamalarıdır. Sistemin teknik adı, KVKK’daki hukuki sebep, aydınlatma ve güvenlik yükümlülüklerini ortadan kaldırmaz.

1. Veri ve amaç bazında hukuki sebep

KVKK m.4’te belirli/meşru amaç, ölçülülük ve gerekli süre ilkeleri; m.5 ve m.6’da genel ve özel nitelikli verilerin işleme şartları düzenlenir. Her modele yükleme için tek genel rıza metni veya “veriler internetteydi” açıklaması yeterli kabul edilemez.

Takma adlandırma ile kişiyi tekrar belirlenemez hâle getiren anonimleştirme aynı değildir. Veri setinin kişiyle ilişkilendirilme ihtimali, girdiler ve model çıktıları somut olarak incelenmelidir.

2. Aydınlatma ve otomatik sonuç

M.10 uyarınca işleme amacı, veri sorumlusu, aktarım, toplama yöntemi ve hukuki sebep ile m.11 hakları açıklanmalıdır. M.11/1-g, verilerin münhasıran otomatik sistemlerle analiziyle kişinin aleyhine sonuç çıkmasına itiraz hakkını düzenler. Bu, her otomatik analiz için koşulsuz yasak veya bütün sonuçlar için tek usul anlamına gelmez.

3. Yurt dışı aktarım ve sağlayıcı rolü

Güncel m.9’da yeterlilik kararı, uygun güvence ve arızi hâller ayrı koşullara tabidir. Hizmet sağlayıcının yeri, erişim, alt işleyen ve saklama akışı belirlenmeden yalnız ürün adına bakılarak aktarımın varlığı veya hukuka uygunluğu söylenemez.

Standart sözleşmeyle uygun güvence sağlanıyorsa imzadan itibaren beş iş gününde Kuruma bildirim gerekir. Hizmet sözleşmesi tek başına kanuni aktarım mekanizması yerine geçmez.

4. Güvenlik, ihlal ve başvuru

M.12’nin teknik ve idari tedbirleri girdi, erişim ve çıktı riskleriyle birlikte uygulanmalıdır. Veri ihlalinde m.12/5’in en kısa sürede bildirim yükümlülüğü, Kurulun 2019/10 kararıyla Kurula bildirim yönünden öğrenmeden itibaren en geç 72 saat olarak açıklanmıştır. “Kanunda doğrudan 72 saat yazıyor” ifadesi doğru değildir. İlgili kişiye bildirim ayrıdır.

Veri sorumlusuna başvuruda m.13’ün en geç 30 günlük cevap süresi; Kurula şikâyette m.14’ün cevap öğreniminden 30 ve başvurudan her hâlde 60 günlük takvimi izlenir. Hizmet sağlayıcının teknik kabul mesajı hukuki yükümlülüklerin tamamlandığını göstermez.

İlgili yazılar

KVKK Açık Rıza: Şartlar ve Örnekler · KVKK Aydınlatma Metni Hazırlarken Dikkat Edilmesi Gerekenler

Güncellik kontrolünde kullanılan resmî kaynaklar

• KVKK — resmî karar ve rehber

• 6698 sayılı Kanun — güncel metin