2026 itibarıyla Kurul'un denetim odağında yapay zekâ destekli veri işleme öne çıkmaktadır. İki temel ilke belirginleşmiştir: kişiler hakkında hukuki sonuç doğuran kararlar salt otomatik sistemlere bırakılamaz (anlamlı insan müdahalesi — human-in-the-loop) ve yapay zekâ sistemlerine aktarılan kişisel veriler için tüm KVKK yükümlülükleri (aydınlatma, güvenlik, yurt dışı aktarım) eksiksiz geçerlidir. ChatGPT gibi araçların kurumsal kullanımı, yurt dışı veri aktarımı boyutuyla ayrıca değerlendirilmelidir.
Yapay Zekâ Neden KVKK'nın Yeni Sınav Alanı?
İşe alımda CV eleyen algoritmalar, kredi skorlama modelleri, müşteri hizmetlerinde sohbet robotları, pazarlamada davranışsal profilleme — bunların tamamı kişisel veri işleme faaliyetidir ve KVKK'nın tüm yükümlülüklerine tabidir. Yapay zekânın 'yeni' olması, hukuki çerçevenin dışında olduğu anlamına gelmez.
Kurul'un 2025-2026 dönemi kararlarında ve rehberlerinde iki kavram öne çıkmaktadır: algoritmik şeffaflık ve anlamlı insan müdahalesi. Kişiler hakkında önemli sonuç doğuran kararlarda (işe alım reddi, kredi reddi, sigorta primi belirleme) sürecin tamamen otomatik işlemesi, ilgili kişinin durumunu açıklayamayan 'kara kutu' yapılar oluşturması nedeniyle riskli kabul edilmektedir.
Human-in-the-Loop: Artık Bir Tercih Değil, Zorunluluk
2026 uygulamasında belirginleşen ilke şudur: yapay zekâ karar destek aracı olabilir, karar verici olamaz. İnsan müdahalesinin 'anlamlı' sayılması için şu koşullar aranır:
- Kararı gözden geçiren kişinin, algoritmanın önerisini değiştirme yetkisine gerçekten sahip olması
- Gözden geçirmenin şeklî bir onay tıklaması değil, gerçek bir değerlendirme olması
- Değerlendirmeyi yapan kişinin sistemin mantığını temel düzeyde anlaması ve gerekçe oluşturabilmesi
- İlgili kişinin karara itiraz edebileceği bir kanal bulunması
ChatGPT ve Üretken Yapay Zekânın Kurumsal Kullanımı
Çalışanların ChatGPT, Claude, Gemini gibi araçlara müşteri listeleri, sözleşmeler veya özlük bilgileri yapıştırması, hukuken üç ayrı sonuç doğurur: Birincisi, bu bir yurt dışına veri aktarımıdır — araçların sunucuları yurt dışındadır ve Madde 9 rejimi uygulanır. İkincisi, aktarım için aydınlatma metinlerinizde ve VERBİS beyanınızda dayanak bulunmalıdır. Üçüncüsü, ücretsiz sürümlerde girilen veriler model eğitiminde kullanılabildiğinden, veri güvenliği yükümlülüğü ihlali gündeme gelebilir.
Kurumsal çözüm üç katmanlıdır:
- 1. Yazılı bir üretken yapay zekâ kullanım politikası yayınlayın — hangi veri kategorilerinin bu araçlara asla girilemeyeceğini netleştirin.
- 2. Kurumsal (enterprise) lisanslar kullanın — bu sürümlerde veri eğitimde kullanılmaz ve sözleşmesel güvenceler alınabilir.
- 3. Kullanılan araçları yurt dışı aktarım envanterinize ekleyin ve standart sözleşme durumunu değerlendirin.
Yapay Zekâ Projelerinde KVKK Kontrol Listesi
- Projenin işlediği kişisel veri kategorilerini ve hukuki dayanağını (Md. 5-6) belgeleyin
- Model eğitiminde kişisel veri kullanılıyorsa anonimleştirme veya asgari veri ilkesini uygulayın
- Aydınlatma metinlerinize otomatik karar alma ve profillemeye ilişkin açık bilgi ekleyin
- Önemli sonuç doğuran kararlar için insan müdahalesi mekanizması kurun ve belgelendirin
- Yapay zekâ tedarikçilerinizle veri işleme sözleşmesi imzalayın; yurt dışı aktarım için standart sözleşme değerlendirin
- Sistemin çıktılarındaki hata ve ayrımcılık risklerini periyodik test edin, sonuçları kayıt altına alın
- VERBİS beyanınızı yapay zekâ destekli işleme faaliyetlerini içerecek şekilde güncelleyin
Sıkça Sorulan Sorular
ChatGPT'ye müşteri verisi girmek KVKK ihlali midir?
Uygun hukuki dayanak, aydınlatma ve yurt dışı aktarım mekanizması (standart sözleşme vb.) olmadan girilmesi ihlaldir. Ücretsiz sürümlerde verinin model eğitiminde kullanılabilmesi riski ayrıca veri güvenliği sorunu doğurur. Kurumsal lisans ve yazılı politika şarttır.
İşe alımda yapay zekâ ile CV elemesi yapabilir miyim?
Karar destek aracı olarak evet; nihai karar verici olarak riskli. Elenen adayların bir insan tarafından anlamlı şekilde gözden geçirilebildiği, itiraz kanalı bulunan bir yapı kurmanız gerekir.
Yapay zekâ kullandığımızı adaylara/müşterilere söylemek zorunda mıyız?
Evet. Aydınlatma yükümlülüğü kapsamında otomatik sistemlerle işleme ve profilleme hakkında bilgi verilmesi gerekir. Şeffaflık, 2026 denetimlerinin ana odaklarından biridir.
Şirket içi yerel (on-premise) yapay zekâ modeli kullanırsak yurt dışı aktarım olur mu?
Veri yurt dışına çıkmıyorsa Madde 9 rejimi uygulanmaz; bu, üretken yapay zekâ için en güvenli mimaridir. Ancak aydınlatma, güvenlik ve diğer yükümlülükler aynen geçerlidir.
Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. Somut durumunuz için uzman görüşü alınız. Kaynak: 6698 sayılı Kanun (mevzuat.gov.tr) ve Kişisel Verileri Koruma Kurumu'nun rehber ve kararları (kvkk.gov.tr).