Yapay zekâ ve KVKK: Kurum rehberine göre şirket verisiyle kullanmadan önce 10 kontrol

Satış müdürü, yarınki toplantıya hazırlanmak için müşteri listesini ve geçen yılın fiyat tekliflerini bir sohbet botuna yapıştırıyor; karşılığında düzgün bir özet alıyor. İK uzmanı özgeçmişleri aynı yolla özetletiyor. Muhasebe bir tabloyu ‘sadece biçimlendirsin’ diye yüklüyor. Hiçbiri kötü niyetli değil, hiçbiri de yasak olup olmadığını bilmiyor. Şirket yönetimi ise yapay zekâ ve KVKK konusunda iki şeyi sorar: bu araçları nasıl düzenli kullandırırız ve veri nereye gidiyor?

Üretken yapay zekâ, kullanıcı girdisine dayanarak metin, görsel, ses ya da yazılım kodu gibi yeni içerik üreten yapay zekâ sistemleridir; KVKK açısından mesele, bu sistemlerle işlenen kişisel verinin 6698 sayılı Kanun’a göre nasıl ele alınacağıdır. Bu yazı Kurum’un rehberini temel alan on kontrolü ve şirket içi kullanım kurallarını verir.

Yapay zekâ KVKK kapsamında mı? KVKK üretken yapay zekâ rehberi ne söylüyor?

Kişisel Verileri Koruma Kurumu, 24 Kasım 2025’te “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)” adlı rehberi yayımladı. Rehberin ana mesajı şudur: yapay zekâ sistemleri kapsamında işlenen kişisel veriler de Kanun’un 4. maddesindeki genel ilkelere (hukuka ve dürüstlük kurallarına uygunluk, doğruluk, belirli ve meşru amaç, ölçülülük, süreyle sınırlılık) uygun işlenmelidir. Veri sorumlusunun 12. maddedeki teknik ve idari tedbirleri alma yükümlülüğü de yapay zekâ kullanımında aynen geçerlidir.

Rehber, rollerin sözleşmeden çok fiili kontrole göre belirlendiğini vurgular. Örneğin bir şirketin işe alımda hazır bir modeli kendi sürecine entegre edip hangi verinin yükleneceğine, hangi amaçla analiz edileceğine ve çıktının nasıl kullanılacağına kendisinin karar verdiği durumda, şirket veri sorumlusu olarak değerlendirilebilir. Kurum ayrıca Mart 2026’da “Etken Yapay Zekâ (Agentic AI)” başlıklı genel bir değerlendirme dokümanı yayımlayarak, daha özerk çalışan yapay zekâ sistemlerinin de kişisel veri açısından ayrıca ele alınmasını gündeme getirdi.

Üretken yapay zekâ KVKK kontrol listesi: 10 soru

Kontrolleri uygularken dikkat edilecek üç nokta

• Aydınlatma ayrımı: Rehber, yapay zekâ arayüzünü kullanmak için yapılan işleme ile sistemi geliştirmek için yapılan işlemenin ayrı ve açıkça aydınlatılmasını önemli sayar. Sağlayıcınızın veri kullanım koşullarını okumadan bu ayrımı yapamazsınız.
• Yurt dışı aktarım: Yurt dışında yerleşik bir sağlayıcının yapay zekâ hizmetini kullanıyorsanız, Rehber bu durumun Kanun’un 9. maddesine ve ilgili yönetmeliğe uygun biçimde değerlendirilmesini ister. Sağlayıcının hangi ülkede veri işlediğini sözleşme ve belgelerden öğrenin.
• Risk değerlendirmesi: Rehber, veri koruma etki değerlendirmesi yapılmasını yapay zekâ sistemleri için bir iyi uygulama örneği olarak anar. Zorunluluk olarak sunmaz; ancak yeni bir kullanım başlatmadan önce küçük de olsa yazılı bir risk değerlendirmesi, on kontrolü belgeye dönüştürür.

Hangi kullanım daha az, hangisi daha çok dikkat ister?

Şirket içi yapay zekâ kullanım kuralı: çalışanlara verilecek altı madde

1. Ad-soyad, adres, telefon, kimlik ve banka bilgisi gibi kişiyi tanıtan veriyi onaylı olmayan araçlara girmeyin.
2. Müşteri, çalışan ya da aday gibi üçüncü kişilerin bilgisini onlara haber verilmeden bu araçlara yüklemeyin.
3. Sağlık, finansal durum ve hukuki süreç gibi hassas konuları araca yazmayın.
4. Mümkünse olayı kişi adı, tarih ve konum yerine genel ifadelerle anlatın.
5. Hangi araçların onaylı olduğunu ve verinin nereye gittiğini bilgi işleme ve hukuktan öğrenin.
6. Yapay zekâ çıktısını kendi kararınız gibi kullanmadan önce doğrulayın; veri sızması şüphesini hemen bildirin.

Genel sohbet araçlarına kopyala-yapıştır: nerede işe yarar, nerede kırılır?

Genel bir sohbet aracına metin yapıştırmak hızlıdır, kurulum ve entegrasyon gerektirmez; kişisel veri içermeyen taslak, özet ve fikir çalışmalarında çoğu zaman yeterlidir. Şirket verisiyle kullanıldığında ise üç yerde kırılır: veri, kurumun kontrolü dışında bir sağlayıcıya gider ve nereye gittiği bilinmez; kimin neyi sorduğuna dair kurumsal bir kayıt oluşmaz; çalışan her seferinde veriyi elle seçip yapıştırdığı için hata ve sızıntı riski sürekli yeniden doğar.

Kurumsal Yapay Zekâ (Fero) bu kontrollerin neresinde duruyor?

YazSis Kurumsal Yapay Zekâ çözümü Fero, çalışana veri yapıştırtmak yerine yetkili iş verisine kontrollü erişim kurmak üzere tasarlanmıştır. Fero’da yapay zekâ SQL yazmaz; veriye yalnızca tanımlı 17 salt-okunur iş aracı üzerinden erişilir ve serbest sorgu çalıştırılmaz. KPI, yüzde ve farklar arka uçta hesaplanır, model araç sonucunda olmayan bir sayıyı söyleyemez. Uygulama veritabanına yalnızca okuma yetkili bir hesapla bağlanır, dolayısıyla veri değiştirilemez; ekranlar da 13 onaylı bileşenden kurulur. Bu yapı, yukarıdaki listede 8. kontrole (yetki türü) doğrudan cevap verir.

Sınırı da açıkça söyleyelim. Bugün hazır veri kaynağı MySQL’dir; diğer kaynaklar proje kapsamında ele alınır. Ayrıca ‘veri şirketten çıkmaz’ demiyoruz: yapay zekâ modelinin çalışma biçimine bağlı olarak soru ve araç sonuçlarının özetleri dış bir yapay zekâ servisine gidebilir; hangi bilginin gidebileceği ve hangi sağlayıcının kullanılacağı projede netleştirilmesi gereken bir konudur. 5., 6. ve 9. kontroller bu yüzden proje başlamadan yazılı cevaplanmalıdır. Yapay zekâyı şirket verisi ve süreçleriyle çalıştırma yaklaşımımızın genel çerçevesi yapay zekâ sayfasında yer alır: veriyi ve erişim yetkisini sınırlamak, kullanımı gerçek iş problemiyle eşleştirmek, çıktıyı iş akışına bağlamak, kaliteyi ve insan kontrolünü izlemek.

Şirket verinizle salt-okunur ve araç tabanlı bir yapay zekâ kullanımını değerlendirmek isterseniz, Kurumsal Yapay Zekâ sayfasından Fero’nun çalışma biçimine ve canlı demo talebine ulaşabilirsiniz.