🟢 Kısaca: Yapay Zeka ve KVKK Nerede Kesişiyor?
- ✔ KVKK m.11/1-g, ilgili kişiye kişisel verilerinin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkı tanır.
- ✔ CV eleme, kredi skorlama, fiyatlandırma algoritması ve performans değerlendirme gibi araçlarda insan müdahalesi olmadan verilen kararlar bu maddenin kapsamına girebilir.
- ✔ Sürece anlamlı bir insan müdahalesi (kararı değiştirebilecek gerçek bir inceleme) eklenirse, işlem "münhasıran otomatik" sayılmaktan çıkabilir; ancak bu, aydınlatma ve veri güvenliği yükümlülüklerini ortadan kaldırmaz.
- ✔ KVKK Kurulu, 2024-2026 arasında yapay zekâya özel üç ayrı rehber/tavsiye metni yayımladı: Yapay Zekâ Alanında Tavsiyeler (2024), Üretken Yapay Zeka Rehberi - 15 Soruda (2025) ve İş Yerlerinde Üretken Yapay Zekâ Kullanımı (2026).
- ✔ Türkiye'de henüz yürürlükte, bağımsız bir "Yapay Zeka Kanunu" yok; boşluğu şimdilik KVKK ve genel mevzuat dolduruyor, TBMM'de konuya ilişkin çalışmalar sürüyor.
- ✔ Üçüncü taraf bir YZ aracı (CV tarama yazılımı, skorlama motoru vb.) kullanılıyorsa, tedarikçiyle veri işleyen sıfatını netleştiren bir sözleşme kurulması gerekir.
📑 İçindekiler
1. Bu Konu Şirketler İçin Neden Kritik?
Yapay zeka araçları artık sadece büyük teknoloji şirketlerinin değil, orta ölçekli birçok şirketin gündelik operasyonunun parçası. İK departmanı CV'leri otomatik eleme yazılımıyla filtreliyor, finans ekibi kredi ya da tahsilat riskini skorlama modeliyle değerlendiriyor, pazarlama ekibi müşteri segmentasyonunu algoritmik olarak kuruyor, satış ekibi ise dinamik fiyatlandırma modelleriyle çalışıyor. Bu araçların ortak noktası şu: hepsi kişisel veri işliyor ve hepsi, en azından kısmen, insan müdahalesi olmadan bir sonuç üretiyor.
KVKK açısından mesele, yapay zekânın kendisi değil; yapay zekânın kişisel veriyi nasıl işlediği ve ürettiği sonucun kişi üzerinde ne tür bir etki doğurduğu. Bir işe alım sürecinde otomatik olarak elenen bir aday, bir kredi başvurusunda otomatik olarak reddedilen bir müşteri ya da bir performans sisteminde düşük puanla etiketlenen bir çalışan, bu kararın nasıl verildiğini öğrenme ve gerekirse itiraz etme hakkına sahip. Bu hak soyut bir ilke değil, kanunun açık bir maddesine dayanıyor.
Konuyu daha da güncel kılan nokta, KVKK Kurulu'nun son iki yılda konuya özel art arda üç ayrı rehber yayımlamış olması. Bu, Kurulun yapay zeka destekli veri işlemeyi artık aktif bir denetim ve yönlendirme alanı olarak gördüğünün açık bir göstergesi.
2. KVKK Madde 11/1-g: Otomatik Karara İtiraz Hakkı
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 11. maddesi, ilgili kişilere veri sorumlusuna başvurarak kullanabileceği bir dizi hak tanır. Bu hakların sonuncusu olan (g) bendi, doğrudan yapay zeka destekli karar sistemlerini hedef alır. Madde metni şöyle:
"İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme"
6698 Sayılı Kişisel Verilerin Korunması Kanunu, Madde 11/1-g
Bu hükmün işlemesi için iki koşulun birlikte gerçekleşmesi gerekir:
- Münhasıran otomatik işleme: Karar, insan müdahalesi olmadan, tamamen algoritmanın/sistemin ürettiği çıktıya dayanarak alınmış olmalı.
- Kişi aleyhine sonuç: Bu kararın, ilgili kişi üzerinde olumsuz, önemli bir etkisi (işe alınmama, kredi reddi, düşük performans notu, fiyat dezavantajı gibi) olmalı.
KVKK Kurulu'nun ve doktrindeki yaygın yorumun ortak noktası şu: "münhasıran otomatik" ifadesi, sürece hiçbir insan müdahalesi olmaması anlamına gelmiyor; kararı gerçek anlamda değiştirebilecek, anlamlı bir insan değerlendirmesi olup olmadığı belirleyici. Bir çalışanın, algoritmanın ürettiği listeyi sadece şeklen onaylayıp imzalaması, bu maddenin kapsamı dışına çıkmak için yeterli kabul edilmiyor.
⚠️ Karıştırmayın: "Otomatik İşleme" ile "Münhasıran Otomatik Karar"
- Otomatik İşleme (genel anlamda): Bir yazılımın veriyi toplaması, sınıflandırması veya bir öneri/puan üretmesi. Bu aşamada henüz kişi aleyhine bağlayıcı bir karar yok; sistem sadece bir girdi/öneri üretiyor.
- Münhasıran Otomatik Karar (KVKK m.11/1-g kapsamı): Bu öneri veya puanın, gerçek bir insan incelemesinden geçmeden doğrudan kişi aleyhine sonuç doğuracak şekilde uygulanması. Örneğin skorlama motorunun düşük puan verdiği bir başvurunun, hiçbir insan görmeden otomatik olarak reddedilmesi.
Aradaki fark önemli çünkü uyum stratejisini belirliyor. Şirketin yapması gereken, yapay zekayı tamamen devre dışı bırakmak değil; algoritmanın çıktısı ile nihai kararın arasına, kararı gerçekten değiştirebilecek bir insan değerlendirme adımı yerleştirmek.
3. KVKK Kurulu'nun Güncel Yapay Zeka Rehberleri
KVKK Kurulu, kanundaki genel hükmü somutlaştırmak amacıyla son iki yılda konuya özel üç ayrı doküman yayımladı. Şirketlerin uyum çalışmasını bu üç metne dayandırması, hem denetim risklerini azaltır hem de politika oluştururken referans alınabilecek somut bir çerçeve sağlar:
📋 Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler (17.07.2024)
Geliştirici/tasarımcı, üretici, hizmet sağlayıcı ve karar vericiler/denetçiler olmak üzere dört paydaş grubuna yönelik ilkesel tavsiyeler içerir: mümkün olduğunda anonimleştirme tercih edilmesi, etkilenen kişilerin katılımıyla yapılan risk değerlendirmesi, sistemin tüm yaşam döngüsünde hesap verebilirlik, otomatik kararlardan önce anlamlı insan gözetimi ve algoritmik önyargı/ayrımcılık riskinin önceden tespit edilip azaltılması.
💬 Üretken Yapay Zeka ve Kişisel Verilerin Korunması Rehberi - 15 Soruda (24.11.2025)
ChatGPT, Copilot gibi kamuya açık üretken yapay zeka araçlarının bireysel kullanımına odaklanır. Aydınlatma yükümlülüğü, veri güvenliği ilkeleri ve kullanıcıların günlük hayatta hangi verileri bu araçlara girmemesi gerektiğine dair pratik uyarılar içerir.
🏢 İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı (05.03.2026)
En güncel ve şirketler için en doğrudan uygulanabilir rehber. Çalışanların kurumsal onay olmadan, bireysel tercihle kullandığı üretken yapay zeka araçlarının kurumsal düzeyde izlenmesinin güçleştiğine dikkat çeker ve şirketlere farkındalık oluşturma, riskleri önceden tanımlama ve sorumlu kullanım politikası oluşturma çağrısı yapar.
4. Türkiye'de Ayrı Bir Yapay Zeka Kanunu Var mı?
Avrupa Birliği, 2024 yılında kabul edilen ve kademeli olarak yürürlüğe giren Yapay Zeka Yasası (AI Act) ile işe alım, kredi skorlama gibi "yüksek riskli" yapay zeka uygulamalarına özel, doğrudan bağlayıcı ek yükümlülükler getirdi. Türkiye'de ise bugün itibarıyla yürürlükte, bağımsız bir "Yapay Zeka Kanunu" bulunmuyor; bu boşluğu şimdilik KVKK ve ilgili genel mevzuat (Türk Ticaret Kanunu, Tüketicinin Korunması Hakkında Kanun gibi) dolduruyor.
Konu tamamen gündem dışı da değil. TBMM Yapay Zeka Araştırma Komisyonu, Mart 2026'da yayımladığı raporda bir Türkiye Yapay Zeka Kurumu kurulmasını ve Avrupa Konseyi Yapay Zeka Çerçeve Sözleşmesi'nin onaylanmasını önerdi. Bununla birlikte, farklı milletvekilleri tarafından TBMM'ye sunulmuş birden fazla kanun teklifi de henüz yasalaşmadı. Ayrıca kamuoyuna duyurulan Türkiye Yapay Zeka Eylem Planı'nda (2026-2030), vatandaşın haklarını koruyan bir düzenleyici ortam kurulması bir öncelik alanı olarak yer alıyor.
Şirketler için pratik sonuç şu: bağlayıcı, sektöre özel bir yapay zeka kanunu beklemek yerine, bugün yürürlükte olan KVKK'ya ve KVKK Kurulu'nun güncel rehberlerine göre uyum sağlamak gerekiyor. Yeni bir kanun çıktığında bu uyum çalışması, sıfırdan başlanacak bir yük değil, üzerine eklenecek bir temel olacak.
5. Hangi Yapay Zeka Kullanım Alanları KVKK Riski Taşır?
Her yapay zeka kullanımı aynı düzeyde risk taşımıyor. Kişi üzerinde hukuki veya önemli bir etki doğuran, insan müdahalesinin zayıf kaldığı süreçler önceliklidir:
| Kullanım Alanı | Otomatik Karar Riski | İşlenen Kişisel Veri |
|---|---|---|
| İşe alımda CV/aday eleme | Yüksek | Özgeçmiş, eğitim, deneyim, bazen fotoğraf |
| Kredi/tahsilat skorlaması | Yüksek | Finansal geçmiş, ödeme davranışı |
| Performans değerlendirme | Orta-Yüksek | Çalışan verimlilik/davranış verisi |
| Dinamik fiyatlandırma | Orta | Satın alma geçmişi, konum, cihaz verisi |
| Müşteri segmentasyonu/pazarlama | Düşük-Orta | Demografik ve davranışsal veri |
💡 Uzman Notu
Uygulamada en sık gözden kaçan nokta, şirketlerin yapay zekayı sadece bir "verimlilik aracı" olarak görüp onu bir veri işleme faaliyeti olarak ayrıca değerlendirmeyi atlaması. Oysa bir CV tarama yazılımı devreye alındığı andan itibaren, o yazılım için de aydınlatma metninin güncellenmesi, gerekiyorsa VERBİS kaydının veri işleme amaçları listesine eklenmesi ve tedarikçinin veri işleyen sıfatının sözleşmeyle netleştirilmesi gerekir. Genel bir KVKK uyum çalışması yapılmış olması, yapay zeka araçlarının doğurduğu bu ek yükümlülükleri otomatik olarak kapsamaz; süreç, her yeni otomasyon aracı devreye girdiğinde ayrıca gözden geçirilmelidir.
6. Şirketler İçin Pratik Uyum Adımları
📢 Aydınlatma Yükümlülüğü
Adaylara, müşterilere veya çalışanlara, kararlarının yapay zeka destekli bir sistem tarafından işlendiği açıkça bildirilmeli. Aydınlatma metninde, hangi verilerin hangi amaçla otomatik sisteme girdi olarak verildiği anlaşılır dille açıklanmalı.
✍️ Açık Rıza Gerekiyor mu?
Otomatik karar sürecinin kendisi için ayrı bir açık rıza şartı yok; asıl kural aydınlatma ve itiraz hakkının sağlanması. Ancak işlenen veri özel nitelikli kişisel veri (sağlık, etnik köken gibi) içeriyorsa veya işlemenin hukuki dayanağı sözleşme/kanuni yükümlülük dışında bir sebebe dayanıyorsa açık rıza gerekliliği ayrıca değerlendirilmeli.
🙋 İnsan Müdahalesi/İtiraz Mekanizması
Algoritmanın ürettiği sonucu gözden geçirebilecek, gerekçe isteyebilecek ve kararı değiştirebilecek yetkiye sahip bir insan onayı süreci kurulmalı. İlgili kişinin itirazını iletebileceği net bir başvuru kanalı tanımlanmalı.
📉 Veri Minimizasyonu
Yapay zeka sistemine, kararın amacıyla doğrudan ilgisi olmayan veriler (ör. adayın yaşı, medeni durumu gibi ayrımcılık riski taşıyan alanlar) girdi olarak verilmemeli; modelin hangi değişkenlere dayandığı belgelenmeli.
🤝 Tedarikçiyle Veri İşleyen Sözleşmesi
Üçüncü taraf bir yapay zeka aracı (CV tarama platformu, skorlama motoru, üretken YZ tabanlı müşteri hizmetleri yazılımı) kullanılıyorsa, o tedarikçi KVKK anlamında veri işleyen sıfatını taşır. Şirket ile tedarikçi arasında verinin nerede işlendiği, ne kadar süre saklandığı, yurt dışına aktarım yapılıp yapılmadığı ve güvenlik tedbirlerini netleştiren yazılı bir sözleşme kurulmalı. Bu konu, yapay zekaya geçiş sürecinin genel çerçevesini ele alan KOBİ'ler İçin Yapay Zeka Danışmanlığı yazımızda değinilen tedarikçi seçim sürecinin, KVKK boyutuyla tamamlayıcısı niteliğinde.
7. Kimler İçin Öncelikli?
🚀 Bu Uyumu Öncelikli Ele Alması Gerekenler
- ✔ İşe alım sürecinde CV eleme veya aday puanlama yazılımı kullanan şirketler
- ✔ Kredi, tahsilat veya risk skorlaması yapan finans ve fintek şirketleri
- ✔ Çalışan performansını otomatik metriklerle değerlendiren İK sistemleri
- ✔ Üretken yapay zeka araçlarını (ChatGPT, Copilot gibi) kurumsal veri ile kullanan ekipler
- ✔ Compliance/uyum yöneticileri ve KVKK sorumluları
⏸️ Önceliği Görece Düşük Olan Durumlar
- ✔ Tüm kararların halihazırda insan tarafından verildiği, yazılımın yalnızca raporlama/görselleştirme amaçlı kullanıldığı şirketler
- ✔ Kişisel veri içermeyen, tamamen anonim/toplu veriyle çalışan analiz araçları
- ✔ Yapay zekayı henüz hiçbir müşteri/çalışan/aday kararında kullanmayan, sadece iç doküman özetleme gibi düşük riskli işlerde kullanan şirketler
8. Adım Adım Uyum Süreci
1. Envanter Çıkarma
Şirkette hangi süreçlerde hangi yapay zeka araçlarının kullanıldığının ve hangi verinin işlendiğinin tespiti
2. Risk Değerlendirmesi
Her aracın münhasıran otomatik karar üretip üretmediğinin, insan müdahalesi düzeyinin belirlenmesi
3. Aydınlatma ve Sözleşmeler
Aydınlatma metinlerinin güncellenmesi, tedarikçilerle veri işleyen sözleşmelerinin kurulması
4. İtiraz Mekanizması
İlgili kişinin itirazını iletebileceği kanalın ve insan onay adımının tanımlanması
5. Periyodik Gözden Geçirme
Yeni araç eklendiğinde veya mevzuat güncellendiğinde sürecin yeniden değerlendirilmesi
9. Dikkat Edilmesi Gereken Noktalar
- "Sistem sadece öneri veriyor, kararı biz veriyoruz" savunması, insan müdahalesi gerçek ve belgelenmiş değilse yeterli görülmeyebilir; onay adımının şeklen değil fiilen işlediği gösterilmeli.
- Üçüncü taraf bir yapay zeka aracının verileri yurt dışındaki sunucularda işlemesi, ayrı bir yurt dışına veri aktarımı değerlendirmesini gerektirir; bu konu sözleşme aşamasında netleştirilmeli.
- Algoritmanın hangi değişkenlere göre karar verdiği belgelenmezse, hem itiraz sürecinde hem olası bir KVKK Kurulu incelemesinde şirketin kararını savunması zorlaşır.
- KVKK Kurulu'nun rehberleri bağlayıcı bir yönetmelik değil, tavsiye niteliğinde metinlerdir; ancak Kurul'un denetim ve karar pratiğine yön verdiği için göz ardı edilmemesi gerekir.
- Yapay zeka mevzuatı hızla değişen bir alan; bugün uygulanan uyum çerçevesi, yeni bir kanun veya KVKK Kurulu kararı çıktığında güncellenmeye açık tutulmalı.
10. Resmî Kaynaklar
- 6698 Sayılı Kişisel Verilerin Korunması Kanunu (Madde 11) - mevzuat.gov.tr
- İlgili Kişinin Hakları - Kişisel Verileri Koruma Kurumu
- Yapay Zekâ Alanındaki Gelişmeler ve KVKK Kapsamında Alınması Gereken Tedbirlere İlişkin Tavsiyeler (2024) - KVKK
- Üretken Yapay Zeka ve Kişisel Verilerin Korunması Rehberi (15 Soruda) - KVKK
- İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı (2026) - KVKK
11. Sık Sorulan Sorular
Yapay zeka ile CV eleme yapmak KVKK'ya aykırı mı?
Kullanmanın kendisi aykırı değil; aykırılık riski, adayın aydınlatılmaması, itiraz mekanizması kurulmaması veya kararın hiçbir insan incelemesinden geçmeden otomatik olarak verilmesinden doğuyor. Aday, elendiğinde bu kararın yapay zeka destekli olduğunu bilmeli ve itiraz edebilmelidir.
KVKK m.11/1-g kapsamına girmemesi için ne yapmalıyım?
Algoritmanın ürettiği sonuç ile nihai karar arasına, kararı gerçekten değiştirebilecek yetkiye ve zamana sahip bir insan değerlendirmesi eklemek gerekir. Bu adım belgelenmeli; sadece şeklen "onaylandı" kutucuğu işaretlemek yeterli görülmeyebilir.
Yapay zeka aracı kullanmak için mutlaka açık rıza almam gerekir mi?
Her durumda değil. Asıl zorunluluk aydınlatma ve itiraz hakkının sağlanmasıdır. Açık rıza, işlenen veri özel nitelikli ise veya işlemenin dayandığı hukuki sebep (sözleşme, kanuni yükümlülük, meşru menfaat gibi) yeterli değilse ayrıca gerekebilir; bu değerlendirme veri türüne ve işleme amacına göre yapılmalı.
Türkiye'de yapay zekaya özel bağlayıcı bir kanun var mı?
Bugün itibarıyla yürürlükte, bağımsız bir Yapay Zeka Kanunu bulunmuyor. TBMM'de konuya ilişkin kanun teklifleri ve komisyon raporları mevcut, ancak yürürlükteki temel çerçeve hâlâ KVKK ve KVKK Kurulu'nun yayımladığı rehberler.
ChatGPT gibi üretken yapay zeka araçlarını iş yerinde kullanmak sorun mu?
Aracın kendisi değil, ona girilen veri sorun oluşturabilir. Müşteri bilgisi, çalışan verisi veya ticari sır niteliğinde içerik, kamuya açık üretken yapay zeka araçlarına girildiğinde, o verinin nerede saklandığı ve model eğitimi için kullanılıp kullanılmadığı belirsizleşir. KVKK Kurulu, bu konuda 2025 ve 2026'da ayrı ayrı rehber yayımlayarak kurumsal kullanım politikası oluşturulmasını tavsiye etti.
Üçüncü taraf bir yapay zeka tedarikçisiyle çalışırken hangi sözleşme gerekli?
Tedarikçi KVKK anlamında veri işleyen sıfatını taşıdığı için, verinin hangi amaçla işlendiğini, ne kadar saklandığını, yurt dışına aktarım olup olmadığını ve güvenlik tedbirlerini düzenleyen yazılı bir veri işleyen sözleşmesi kurulmalı. Bu sözleşme, hizmet sözleşmesinin ayrı bir eki olarak da düzenlenebilir.
🤝 Yapay Zeka Araçlarınızın KVKK Uygunluğunu Birlikte Değerlendirelim
İşe alım, kredi/risk skorlama, performans değerlendirme veya müşteri segmentasyonu süreçlerinizde kullandığınız (veya kullanmayı planladığınız) yapay zeka araçlarının aydınlatma, itiraz mekanizması ve tedarikçi sözleşmesi boyutuyla KVKK'ya uygunluğunu birlikte gözden geçirelim. KVKK ve yapay zeka danışmanlığı hizmetimiz kapsamında şirketinizin mevcut süreçlerini değerlendirmemiz için bizimle iletişime geçin.
12. Sonuç
Yapay zeka araçları, doğru kurgulandığında şirketlere gerçek bir verimlilik avantajı sağlıyor. Ancak bu araçlar kişisel veri işlediği ve kişi üzerinde önemli sonuçlar doğurduğu sürece, KVKK'nın 11/1-g maddesi ve KVKK Kurulu'nun güncel rehberleri devre dışı kalmıyor. Türkiye'de henüz ayrı bir yapay zeka kanunu olmaması, şirketleri bu konudan muaf tutmuyor; tam tersine, mevcut KVKK çerçevesinin yapay zeka özelinde nasıl yorumlanacağını KVKK Kurulu'nun kendi rehberleri belirliyor.
Koray Akdağ / Sistem Global Danışmanlık olarak, KVKK uyum danışmanlığı ve yapay zeka süreç otomasyonu hizmetlerimizi bir arada sunuyor; şirketinizin hem otomasyondan verim almasını hem de bu süreçte kişisel veri işleme yükümlülüklerini eksiksiz karşılamasını birlikte sağlıyoruz.