KVKK Kapsamında
Yapay Zekâ Sistemleri

Yapay Zekâ ve Kişisel Veri: Neden Aynı Masada?

Bir işe alım yazılımının başvuruları önceden eleyip sıralaması, bir bankanın kredi başvurusunu algoritmayla puanlaması, bir e-ticaret sitesinin kullanıcı davranışını profilleyerek fiyat ve reklam göstermesi... Bu uygulamaların ortak noktası, hepsinin kişisel veri işleyen yapay zekâ sistemleri olmasıdır. Yapay zekâ; kimliği belirli veya belirlenebilir kişilere ait verileri topladığı, analiz ettiği ve bu verilere dayanarak sonuç ürettiği anda, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) kapsamına girer.

Yapay zekânın sunduğu verimlilik gerçek olmakla birlikte, kişisel veri işlemesi de aynı ölçüde gerçektir. Bu yazıda; bir yapay zekâ sistemini geliştiren, satın alan veya kullanan kurumların KVKK karşısındaki temel yükümlülüklerini, özellikle otomatik karar alma ve profilleme pratiklerini, Kişisel Verileri Koruma Kurumu'nun (Kurum) 2025 tarihli güncel tavsiyeleri ışığında ele alıyoruz.

Hukuki Çerçeve: Yapay Zekâ İçin Ayrı Bir Kanun Yok — Ama İlkeler Var

Türk hukukunda yapay zekâya özgü ayrı bir kanun bulunmamaktadır; yapay zekâ ile yapılan kişisel veri işlemeleri doğrudan KVKK'nın genel rejimine tabidir. Bu rejimin çekirdeği şu maddelerdir:

• Genel ilkeler (KVKK m.4): Her veri işleme faaliyeti gibi yapay zekâ de "hukuka ve dürüstlük kurallarına uygunluk", "belirli, açık ve meşru amaç", "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" (veri minimizasyonu) ve "gerekli süre kadar saklama" ilkelerine uymak zorundadır. Bir modeli daha isabetli kılacak diye gereğinden fazla veri toplamak, doğrudan m.4'e aykırıdır.
• İşleme şartı (KVKK m.5): Kişisel veriler kural olarak açık rıza olmaksızın işlenemez; açık rıza yoksa m.5/2'deki hukuki sebeplerden biri (kanunda öngörülme, sözleşmenin ifası, meşru menfaat vb.) bulunmalıdır. Yapay zekâ modelinin eğitimi de dâhil her aşama için geçerli bir hukuki sebep gösterilmelidir.
• Özel nitelikli veri (KVKK m.6): Sağlık, biyometrik, genetik, ceza mahkûmiyeti gibi özel nitelikli verilerin işlenmesi kural olarak yasaktır; ancak m.6/3'teki (2/3/2024 tarihli 7499 sayılı Kanunla yeniden düzenlenen) sınırlı hâllerde mümkündür. Yüz tanıma veya sağlık verisiyle çalışan yapay zekâ sistemlerinde bu sıkı rejim geçerlidir.
• Otomatik karara itiraz (KVKK m.11/1-g): İlgili kişi, "işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme" hakkına sahiptir. Bu, yapay zekâ hukukunun kilit hükmüdür: tamamen makineye bırakılmış ve kişiyi olumsuz etkileyen bir karara karşı bireyin doğrudan bir itiraz hakkı vardır.
• Veri güvenliği (KVKK m.12): Veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ile muhafazayı sağlamak için gerekli teknik ve idari tedbirleri almakla yükümlüdür.

Kurum'un Yapay Zekâ Tavsiyeleri (2025): Somut Ölçüt Nedir?

Kişisel Verileri Koruma Kurumu, Nisan 2025'te "Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler" (KVKK Yayınları No: 76) belgesini yayımlamış; ayrıca "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)" hazırlamıştır. Bu tavsiyeler, geliştiriciler/üreticiler/servis sağlayıcılar ile karar alıcılar için pratik çerçeveyi çizer. Öne çıkan başlıklar:

• Tasarımdan itibaren veri koruma: Kurum, "ilk aşamadan itibaren mevzuata uyum" sağlanmasını ve tüm sistemlerin "tasarımdan itibaren veri koruma ilkesine göre" geliştirilmesini; her projeye özel bir veri koruma uyum programı oluşturulmasını tavsiye etmektedir.
• Mahremiyet (etki) değerlendirmesi: Kişisel veri işleme temelli yapay zekâ çalışmalarında "yüksek risk öngörülüyorsa mahremiyet etki değerlendirmesi uygulanmalı ve veri işleme faaliyetinin hukuka uygunluğuna bu çerçevede karar verilmelidir".
• Veri minimizasyonu ve anonimleştirme: "Aynı sonuca kişisel veri işlenmeksizin ulaşılabiliyorsa, verilerin anonim hâle getirilerek işlenmesi yöntemleri tercih edilmelidir"; kullanılan verinin miktarı ve içeriği değerlendirilerek asgari veri kullanımına gidilmeli, modelin doğruluğu sürekli izlenmelidir.
• Ayrımcılık ve önyargı: Veri toplama dâhil her aşamada "ilgili kişiler üzerinde meydana gelebilecek ayrımcılık riski veya diğer olumsuz etkiler ve ön yargılar önlenmelidir".
• İnsan müdahalesi ve itiraz: Kurum'un karar alıcılara tavsiyesi nettir: "Karar alma süreçlerinde insan müdahalesinin rolü tesis edilmelidir. Bireylerin, yapay zekâ uygulamaları ile sunulan önerilerin sonucuna güvenmeme özgürlüğü korunmalıdır." Ürünler, "bireylerin münhasıran otomatik işlemeye dayalı olarak kendilerini etkileyecek bir karara maruz kalmamalarını" sağlayacak biçimde tasarlanmalıdır.
• Şeffaflık ve durdurma hakkı: Uygulama ile etkileşime giren kişiler, işlemenin gerekçeleri, yöntemleri ve muhtemel sonuçları hakkında aydınlatılmalı; kullanıcıya veri işlemeyi durdurabilme ve verilerinin silinmesi/anonimleştirilmesi imkânı tanınmalıdır.

Kurul Pratiğinden İki Uyarıcı Örnek

Otomatik/algoritmik işlemenin sınırlarını, Kişisel Verileri Koruma Kurulu'nun somut kararları da göstermektedir:

• Otomatik eşleştirme sisteminin durdurulması (2022/184): Bir tahsilat şirketi, çağrı merkezini arayan herkesin numarasını otomatik olarak borçlu kimliğiyle eşleştirip borç bilgisi içeren SMS gönderen bir sistem kullanıyordu. Kurul, 04/03/2022 tarihli ve 2022/184 sayılı kararıyla ihlal tespit ederek idari para cezası uygulamış ve otomatik kayıt sisteminin durdurulmasına hükmetmiştir. Ders: kimlik doğrulama katmanı olmayan otomatik bir işleme mantığı, tasarımı gereği hukuka aykırı sonuç üretebilir.
• Skorlama verisine yetkisiz erişim (2020/359): Bir banka çalışanının kredi skoru/ödeme geçmişi gibi verilere yetkisiz sorgu yapması, 07/05/2020 tarihli ve 2020/359 sayılı kararla 450.000 TL idari para cezasıyla sonuçlanmıştır. Ders: yapay zekâ modellerini besleyen skorlama ve profilleme verileri, erişim yetkisi ve güvenlik açısından en hassas veri kategorilerindendir.

Kurumlar İçin Kontrol Listesi

Bir yapay zekâ sistemini KVKK'ya uygun kurgulamak için asgari adımlar:

1. Hukuki sebebi belirle: Modelin eğitimi ve kullanımı için m.5 (gerekirse m.6) çerçevesinde geçerli bir işleme şartını projenin başında tespit et.
2. Veri minimizasyonu uygula: Amaca ulaşmak için gereken asgari veriyle çalış; mümkünse anonim/sentetik veriyi tercih et.
3. Yüksek riskte mahremiyet etki değerlendirmesi yap: Özellikle özel nitelikli veri, çocuk verisi veya kişiyi doğrudan etkileyen kararlar söz konusuysa.
4. Aydınlatma yükümlülüğünü yerine getir (m.10): İşlemenin amacı, yöntemi, hukuki sebebi ve ilgili kişinin hakları — otomatik karar söz konusuysa bunu açıkça belirt.
5. İnsan müdahalesi tasarla: Kişiyi olumsuz etkileyebilecek kararlarda anlamlı bir insan denetimi ve m.11/1-g kapsamında işleyen bir itiraz mekanizması kur.
6. Önyargıyı test et: Modelin farklı gruplar üzerindeki ayrımcı etkilerini izle ve belgelendir.
7. Rol ve sorumlulukları netleştir: Geliştirici, servis sağlayıcı ve kullanan kurum arasındaki veri sorumlusu / veri işleyen statülerini projenin başında sözleşmeyle belirle.

Sonuç

Yapay zekâ, KVKK karşısında ayrıcalıklı bir alan değildir; aksine, kişisel veriyi büyük ölçekte ve otomatik biçimde işlediği için daha dikkatli bir uyum gerektirir. Kurum'un 2025 tavsiyeleri, mevzuattaki genel ilkeleri yapay zekâ bağlamına taşıyarak somutlaştırmaktadır: tasarımdan itibaren veri koruma, ölçülü veri kullanımı, önyargı denetimi ve — en önemlisi — kişiyi etkileyen otomatik kararlarda anlamlı bir insan müdahalesi ile etkili itiraz hakkı. Bu unsurları projenin başında kurgulamak, hem KVKK m.11 kaynaklı itirazlara hem de olası idari yaptırımlara karşı en sağlam korumadır.

Kaynakça

• 6698 sayılı Kişisel Verilerin Korunması Kanunu, m.4, 5, 6, 10, 11, 12 (mevzuat.gov.tr) — m.6, 2/3/2024 tarihli 7499 s.K. ile değişik
• KVKK, "Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler", KVKK Yayınları No: 76, Nisan 2025 — kvkk.gov.tr
• KVKK, "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)" — kvkk.gov.tr
• KVKK Kurulu, 04/03/2022 t., 2022/184 s. Karar Özeti — kvkk.gov.tr
• KVKK Kurulu, 07/05/2020 t., 2020/359 s. Karar Özeti — kvkk.gov.tr