KI und KVKK in der Türkei: 10 Prüfpunkte vor dem Einsatz generativer KI mit Firmendaten

Um sich auf das Meeting morgen vorzubereiten, kopiert der Vertriebsleiter die Kundenliste und die Preisangebote des Vorjahres in einen Chatbot und erhält eine saubere Zusammenfassung. Die HR-Fachkraft lässt Lebensläufe auf dieselbe Weise zusammenfassen. Die Buchhaltung lädt eine Tabelle hoch, „nur zum Formatieren“. Niemand hat böse Absichten, und niemand weiß, ob das erlaubt ist. Die Geschäftsführung stellt zu KI und KVKK – dem Datenschutzgesetz, das in der Türkei für solche Daten gilt – dann zwei Fragen: Wie sorgen wir für eine geordnete Nutzung dieser Werkzeuge, und wohin gehen die Daten?

Generative KI bezeichnet KI-Systeme, die auf Basis von Nutzereingaben neue Inhalte wie Text, Bilder, Audio oder Programmcode erzeugen; aus Sicht des KVKK geht es darum, wie personenbezogene Daten, die mit diesen Systemen verarbeitet werden, nach dem Gesetz Nr. 6698 zu behandeln sind. Dieser Beitrag nennt zehn Prüfpunkte auf Basis des Leitfadens der Behörde sowie interne Nutzungsregeln.

Fällt KI unter das KVKK? Was sagt der KVKK-Leitfaden zu generativer KI?

Am 24. November 2025 veröffentlichte die türkische Behörde für den Schutz personenbezogener Daten (Datenschutzbehörde) den Leitfaden „Generative KI und der Schutz personenbezogener Daten (in 15 Fragen)“. Seine Kernbotschaft: Auch personenbezogene Daten, die im Rahmen von KI-Systemen verarbeitet werden, müssen gemäß den allgemeinen Grundsätzen aus Artikel 4 des Gesetzes verarbeitet werden (Rechtmäßigkeit und Treu und Glauben, Richtigkeit, festgelegter und legitimer Zweck, Verhältnismäßigkeit, Speicherbegrenzung). Die Pflicht des Verantwortlichen nach Artikel 12, technische und organisatorische Maßnahmen zu treffen, gilt beim KI-Einsatz ebenso.

Der Leitfaden betont, dass sich die Rollen eher nach der tatsächlichen Kontrolle als nach dem Vertrag richten. Integriert ein Unternehmen beispielsweise ein fertiges Modell in seinen Recruiting-Prozess und entscheidet selbst, welche Daten hochgeladen, zu welchem Zweck sie analysiert und wie die Ergebnisse genutzt werden, kann es als Verantwortlicher gelten. Im März 2026 veröffentlichte die Behörde außerdem eine allgemeine Bewertung mit dem Titel „Agentic AI“ und rückte damit in den Blick, dass auch autonomer arbeitende KI-Systeme aus Sicht des Datenschutzes gesondert zu betrachten sind.

KVKK-Checkliste für generative KI: 10 Fragen

Drei Punkte, die Sie bei der Umsetzung beachten sollten

• Getrennte Information: Der Leitfaden hält es für wichtig, über die Verarbeitung zur Nutzung der KI-Oberfläche und die Verarbeitung zur Weiterentwicklung des Systems getrennt und klar zu informieren. Ohne die Datennutzungsbedingungen Ihres Anbieters zu lesen, können Sie diese Trennung nicht vornehmen.
• Übermittlung ins Ausland: Nutzen Sie den KI-Dienst eines im Ausland ansässigen Anbieters, verlangt der Leitfaden, dies nach Artikel 9 des Gesetzes und der zugehörigen Verordnung zu bewerten. Klären Sie anhand von Vertrag und Unterlagen, in welchem Land der Anbieter Daten verarbeitet.
• Risikobewertung: Der Leitfaden nennt die Datenschutz-Folgenabschätzung als Beispiel guter Praxis für KI-Systeme. Er stellt sie nicht als Pflicht dar; eine schriftliche Risikobewertung vor dem Start einer neuen Nutzung, auch eine kurze, macht aus den zehn Prüfpunkten jedoch ein Dokument.

Welche Nutzung braucht weniger, welche mehr Aufmerksamkeit?

Interne KI-Nutzungsrichtlinie: sechs Regeln für Mitarbeiter

1. Geben Sie keine Daten, die eine Person identifizieren, etwa Name, Adresse, Telefonnummer, Ausweis- oder Bankdaten, in nicht freigegebene Werkzeuge ein.
2. Laden Sie keine Angaben über Dritte wie Kunden, Mitarbeiter oder Bewerber in diese Werkzeuge hoch, ohne die Betroffenen zu informieren.
3. Schreiben Sie keine sensiblen Themen wie Gesundheit, finanzielle Lage oder Rechtsverfahren in das Werkzeug.
4. Beschreiben Sie den Fall nach Möglichkeit allgemein statt mit Namen, Datum und Ort.
5. Erfragen Sie bei IT und Rechtsabteilung, welche Werkzeuge freigegeben sind und wohin die Daten gehen.
6. Prüfen Sie KI-Ergebnisse, bevor Sie sie wie Ihre eigene Entscheidung verwenden; melden Sie den Verdacht eines Datenlecks sofort.

Kopieren und Einfügen in allgemeine Chat-Werkzeuge: Wo es hilft, wo es scheitert

Text in ein allgemeines Chat-Werkzeug einzufügen geht schnell und erfordert weder Einrichtung noch Integration; für Entwürfe, Zusammenfassungen und Ideensammlungen ohne personenbezogene Daten reicht das oft aus. Mit Firmendaten scheitert es jedoch an drei Stellen: Die Daten gehen an einen Anbieter außerhalb der Kontrolle des Unternehmens, und niemand weiß, wohin genau; es entsteht kein unternehmensweites Protokoll darüber, wer was gefragt hat; und weil Mitarbeiter die Daten jedes Mal von Hand auswählen und einfügen, entsteht das Risiko von Fehlern und Lecks immer wieder neu.

Wo steht die Unternehmens-KI (Fero) bei diesen Prüfpunkten?

Fero, die Unternehmens-KI von YazSis, ist darauf ausgelegt, einen kontrollierten Zugriff auf freigegebene Geschäftsdaten herzustellen, statt Mitarbeiter Daten einfügen zu lassen. In Fero schreibt die KI kein SQL; auf Daten wird nur über 17 definierte Read-only-Geschäftswerkzeuge zugegriffen, und es werden keine Ad-hoc-Abfragen ausgeführt. KPIs, Prozentwerte und Differenzen werden im Backend berechnet; das Modell kann keine Zahl nennen, die nicht im Werkzeugergebnis steht. Die Anwendung greift über ein Konto mit reinen Leserechten auf die Datenbank zu, Daten können also nicht geändert werden; die Bildschirme werden aus 13 freigegebenen Komponenten aufgebaut. Dieser Aufbau beantwortet Prüfpunkt 8 (Art der Berechtigung) der obigen Liste direkt.

Auch die Grenzen sagen wir offen. Heute ist MySQL die fertige Datenquelle; weitere Quellen werden im Rahmen eines Projekts behandelt. Außerdem sagen wir nicht „Die Daten verlassen das Unternehmen nicht“: Je nach Arbeitsweise des KI-Modells können Fragen und Zusammenfassungen von Werkzeugergebnissen an einen externen KI-Dienst gehen; welche Informationen hinausgehen dürfen und welcher Anbieter genutzt wird, muss im Projekt geklärt werden. Deshalb müssen die Prüfpunkte 5, 6 und 9 vor Projektbeginn schriftlich beantwortet werden. Den allgemeinen Rahmen unseres Ansatzes, KI mit Unternehmensdaten und -prozessen zu betreiben, finden Sie auf der Seite Künstliche Intelligenz: Daten und Zugriffsrechte begrenzen, die Nutzung einem echten Geschäftsproblem zuordnen, das Ergebnis in den Arbeitsablauf einbinden, Qualität und menschliche Kontrolle überwachen.

Wenn Sie einen werkzeugbasierten Read-only-KI-Einsatz mit Ihren Firmendaten prüfen möchten, finden Sie auf der Seite Unternehmens-KI die Arbeitsweise von Fero und die Möglichkeit, eine Live-Demo anzufragen.