Bir çalışan, hazırladığı sözleşmeyi yapay zekâ aracına yüklediğinde; insan kaynakları departmanı özgeçmişleri yapay zekâ ile değerlendirdiğinde; müşteri hizmetlerinde yapay zekâ destekli bir asistan kullanıldığında veya şirket içi belgeler bir sohbet botu aracılığıyla analiz edildiğinde yalnızca teknolojik bir araç kullanılmamaktadır. Bu işlemler aynı zamanda kişisel verilerin işlenmesi ve aktarılması bakımından hukuki sonuçlar doğurabilir.

Üretken yapay zekâ araçlarının iş hayatında hızla yaygınlaşması ve belirli görevleri daha yüksek otonomiyle yerine getirebilen etken yapay zekâ (Agentic AI) sistemlerinin gelişmesi, kişisel verilerin korunması açısından yeni sorunları da beraberinde getirmiştir.

Kişisel Verileri Koruma Kurumu da bu gelişmeler doğrultusunda son dönemde yapay zekâ ve kişisel verilerin korunmasına ilişkin önemli rehber ve bilgilendirme dokümanları yayımlamıştır.

Peki şirketler ChatGPT ve benzeri üretken yapay zekâ araçlarını kullanırken KVKK açısından nelere dikkat etmelidir? Çalışanlar müşteri veya şirket belgelerini yapay zekâ sistemlerine yükleyebilir mi? Verilerin yurt dışındaki sistemlere aktarılması hangi şartlarda mümkündür? Yapay zekâ tarafından kişiler hakkında verilen otomatik kararların hukuki sonucu nedir?

Bu yazıda, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile Kişisel Verileri Koruma Kurumunun güncel yaklaşımı çerçevesinde yapay zekâ kullanımının kişisel verilerin korunması bakımından doğurabileceği başlıca hukuki sonuçları ele alıyoruz.

Yapay Zekâ Kullanımında KVKK Uygulanır mı?

6698 sayılı Kanun, yapay zekâ sistemlerine özgü ayrı bir kişisel veri koruma rejimi düzenlememektedir.Ancak bu durum yapay zekâ sistemlerinin KVKK’nın dışında kaldığı anlamına gelmez.

Bir yapay zekâ sistemi;

  • Ad ve Soyadı,
  • T.C. kimlik numarası,
  • Telefon numarası,
  • E-posta adresi,
  • Görüntü veya ses kaydı,
  • Konum bilgisi,
  • Müşteri veya çalışan bilgileri,
  • Davranış ve kullanım verileri,
  • Biyometrik veya sağlık verileri

gibi belirli veya belirlenebilir gerçek kişiye ilişkin bilgileri işliyorsa, söz konusu faaliyetin KVKK hükümleri çerçevesinde değerlendirilmesi gerekir.

Dolayısıyla hukuki değerlendirmede belirleyici olan kullanılan teknolojinin “yapay zekâ” olarak adlandırılması değil; kişisel veri işlenip işlenmediği, verilerin hangi amaçla işlendiği ve işlemenin hangi hukuki sebebe dayandığıdır.

KVKK’nın Temel İlkeleri Yapay Zekâ İçin de Geçerlidir

6698 sayılı Kanun’un 4. maddesinde kişisel verilerin işlenmesine ilişkin temel ilkeler düzenlenmiştir.

Buna göre kişisel verilerin;

  • hukuka ve dürüstlük kurallarına uygun olması,
  • doğru ve gerektiğinde güncel olması,
  • belirli, açık ve meşru amaçlar için işlenmesi,
  • işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve
  • ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi

gerekir.

Bu ilkeler yapay zekâ sistemleri aracılığıyla gerçekleştirilen veri işleme faaliyetleri bakımından da geçerlidir.

Örneğin bir şirketin gelecekte yapay zekâ sistemlerinde kullanılabileceği düşüncesiyle ihtiyaç duyduğundan çok daha fazla müşteri veya çalışan verisi toplaması, amaçla sınırlılık ve ölçülülük ilkeleri bakımından hukuki sorun oluşturabilir.

Yapay zekâ sisteminin daha fazla veriden yararlanabiliyor olması, veri sorumlusunun sınırsız biçimde veri toplayabileceği veya kullanabileceği anlamına gelmez.

Yapay Zekâya Girilen “Prompt”lar da Kişisel Veri İçerebilir

Yapay zekâ kullanımında sıklıkla gözden kaçırılan konulardan biri, sisteme verilen komutların ve yüklenen belgelerin de kişisel veri içerebilmesidir.

Örneğin bir çalışanın;

“Bu müşteriyle yaptığımız sözleşmeyi incele ve şirket açısından riskleri tespit et.”

diyerek müşterinin adı, adresi, iletişim bilgileri veya diğer kişisel verilerini içeren sözleşmeyi haricî bir yapay zekâ sistemine yüklemesi hâlinde, kişisel verilerin işlenmesi ve somut koşullara göre üçüncü kişiye ve/veya yurt dışına aktarılması gündeme gelebilir.

Benzer şekilde;

  • müşteri yazışmalarının özetletilmesi,
  • çalışan performans raporlarının analiz ettirilmesi,
  • özgeçmişlerin yapay zekâ ile değerlendirilmesi,
  • sağlık belgelerinin özetlenmesi,
  • dava veya müşteri dosyalarının yapay zekâ sistemlerine yüklenmesi

kişisel veri işleme faaliyeti oluşturabilir.

Bu nedenle şirketlerin yalnızca hangi yapay zekâ araçlarının kullanılabileceğini değil, çalışanların bu araçlara hangi verileri girebileceğini de belirlemesi önem taşımaktadır.

İş Yerlerinde Üretken Yapay Zekâ Kullanımında Nelere Dikkat Edilmeli?

Kişisel Verileri Koruma Kurumu, 5 Mart 2026 tarihinde “İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı” başlıklı bir çalışma yayımlamıştır.

Bu çalışma özellikle işverenlerin üretken yapay zekâ araçlarını iş süreçlerine entegre ederken karşılaşabilecekleri risklere dikkat çekmesi bakımından önemlidir.

Kurumsal kullanımda çalışanların kendi inisiyatifleriyle farklı yapay zekâ araçlarını kullanması, şirket açısından kontrol edilmesi güç bir veri işleme alanı oluşturabilir. Özellikle şirket tarafından onaylanmamış yapay zekâ araçlarının iş süreçlerinde kullanılması, kişisel verilerin veya kurumsal bilgilerin şirketin bilgisi dışında üçüncü taraf sistemlere aktarılması sonucunu doğurabilir.

Bu nedenle şirketlerde yapay zekâ kullanımının tamamen çalışanların bireysel tercihine bırakılması yerine, kurumsal bir yapay zekâ kullanım politikasının oluşturulması önemli bir tedbir olarak değerlendirilebilir.

Bu politika kapsamında;

  • hangi yapay zekâ araçlarının kullanılabileceği,
  • hangi verilerin sisteme girilemeyeceği,
  • kişisel veri içeren belgelerin hangi koşullarda kullanılabileceği,
  • özel nitelikli kişisel veriler bakımından uygulanacak kurallar,
  • yapay zekâ çıktılarının nasıl kontrol edileceği,
  • şirket sırları ve gizli bilgilerin korunması ve
  • çalışanların sorumlulukları

açık biçimde belirlenebilir.

Özel Nitelikli Kişisel Veriler Bakımından Daha Sıkı Değerlendirme Gerekir

KVKK’nın 6. maddesinde özel nitelikli kişisel veriler ayrıca düzenlenmiştir.

Kişilerin;

  • ırkı,
  • etnik kökeni,
  • siyasi düşüncesi,
  • felsefi inancı,
  • dini, mezhebi veya diğer inançları,
  • kılık ve kıyafeti,
  • dernek, vakıf veya sendika üyeliği,
  • sağlığı,
  • cinsel hayatı,
  • ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile
  • biyometrik ve genetik verileri

özel nitelikli kişisel veridir.

Bu nedenle yüz veya ses tanıma, biyometrik kimlik doğrulama, sağlık verilerinin analizi veya kişilerin özel nitelikli verileri üzerinden sınıflandırılması gibi yapay zekâ uygulamalarında Kanun’un 6. maddesi ayrıca dikkate alınmalıdır.

7499 sayılı Kanun ile KVKK’nın 6. maddesinde önemli değişiklikler yapılmış ve özel nitelikli kişisel verilerin işlenebileceği hâller yeniden düzenlenmiştir.

Bu nedenle eski düzenleme dönemindeki “özel nitelikli kişisel veriler ancak açık rıza ile işlenebilir” şeklindeki genel yaklaşım güncel mevzuatı tam olarak yansıtmamaktadır.

Her somut veri işleme faaliyeti bakımından Kanun’un 6. maddesinde öngörülen şartlardan birinin bulunup bulunmadığı ayrıca değerlendirilmelidir.

Yapay Zekâ Kullanımı Yurt Dışına Veri Aktarımı Anlamına Gelebilir mi?

Yapay zekâ kullanan şirketlerin dikkat etmesi gereken önemli konulardan biri kişisel verilerin yurt dışına aktarılmasıdır.

Birçok yapay zekâ hizmetinin altyapısı, sunucuları veya hizmet sağlayıcıları Türkiye dışında bulunabilmektedir.

Ancak yalnızca hizmet sağlayıcının yabancı bir şirket olması veya sunucularının yurt dışında bulunması üzerinden otomatik bir sonuca varmak yerine, somut veri akışının ve hizmetin teknik yapısının incelenmesi gerekir.

KVKK’nın 9. maddesi 7499 sayılı Kanun ile önemli ölçüde değiştirilmiş ve 1 Haziran 2024 itibarıyla yeni yurt dışına veri aktarım rejimine geçilmiştir.

Yeni sistemde yurt dışına veri aktarımının hukuka uygunluğu bakımından Kanun’da öngörülen kademeli sistemin değerlendirilmesi gerekir.

Buna göre şartları mevcutsa;

  1. Yeterlilik kararı,
  2. yeterlilik kararının bulunmadığı durumlarda Kanun’da belirtilen uygun güvenceler,
  3. bunların bulunmadığı belirli durumlarda ise Kanun’da düzenlenen arızi aktarım hâlleri

gündeme gelebilir.

Uygun güvenceler arasında  şartlarına göre;

  • Standart sözleşmeler,
  • Bağlayıcı şirket kuralları,
  • Kurul tarafından izin verilen yazılı taahhütler ve
  • Kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları ile yabancı ülkelerdeki kamu kurum ve kuruluşları veya uluslararası kuruluşlar arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmalar

yer alabilmektedir.

Dolayısıyla bir şirket yapay zekâ hizmeti kullanmadan önce yalnızca “Sunucular nerede?” sorusunu sormamalıdır.

Aynı zamanda;

“Hangi kişisel veriler aktarılıyor? Veriler hangi ülkeye gidiyor? Aktarım hangi hukuki mekanizmaya dayanıyor? Hizmet sağlayıcının alt veri işleyenleri bulunuyor mu? Veriler başka amaçlarla kullanılıyor mu?”

sorularının da değerlendirilmesi gerekir.

Standart Sözleşmelerde Beş İş Günlük Bildirim Süresi

Yurt dışına kişisel veri aktarımında standart sözleşme yönteminin kullanılması hâlinde önemli bir usul yükümlülüğü bulunmaktadır.

Standart sözleşmenin, imzaların tamamlanmasından itibaren 5 (beş) iş günü içinde Kişisel Verileri Koruma Kurumuna bildirilmesi gerekmektedir.

Dolayısıyla yalnızca standart sözleşmenin taraflar arasında imzalanmış olması yeterli değildir.

Ayrıca kullanılacak standart sözleşmenin veri aktarımındaki tarafların sıfatlarına uygun olarak seçilmesi gerekir. Veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna aktarım durumları için farklı standart sözleşme metinleri bulunmaktadır.

Yapay Zekâ Sağlayıcısı Her Zaman Veri İşleyen midir?

Hayır.

Uygulamada yapay zekâ hizmetini kullanan şirketin “veri sorumlusu”, yapay zekâ hizmet sağlayıcısının ise otomatik olarak “veri işleyen” olduğu düşünülebilmektedir.

Ancak tarafların KVKK kapsamındaki sıfatlarının belirlenmesinde sözleşmede kendilerine verilen isimlerden ziyade kişisel veri işleme faaliyetindeki gerçek rolleri önem taşır.

Bu nedenle;

  • verilerin işlenme amaçlarını kimin belirlediği,
  • hangi verilerin işleneceğine kimin karar verdiği,
  • sağlayıcının verileri kendi amaçları için kullanıp kullanmadığı,
  • verilerin model geliştirme veya eğitim süreçlerinde kullanılıp kullanılmadığı,
  • tarafların veri işleme faaliyeti üzerindeki karar yetkileri

somut olay özelinde değerlendirilmelidir.

Dolayısıyla bir yapay zekâ sağlayıcısının her durumda veri işleyen olduğu varsayılmamalıdır.

Aydınlatma Yükümlülüğü Yapay Zekâ Kullanımında da Devam Eder

KVKK’nın 10. maddesi uyarınca veri sorumlusunun aydınlatma yükümlülüğü bulunmaktadır.

Bir şirket müşterilerinin, çalışanlarının veya diğer kişilerin verilerini yapay zekâ destekli sistemler aracılığıyla işliyorsa, söz konusu veri işleme faaliyetinin aydınlatma yükümlülüğü bakımından da değerlendirilmesi gerekir.

Aydınlatma kapsamında mevzuatın gerektirdiği şekilde;

  • veri sorumlusunun ve varsa temsilcisinin kimliği,
  • kişisel verilerin hangi amaçla işleneceği,
  • işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
  • kişisel veri toplamanın yöntemi ve hukuki sebebi ile
  • ilgili kişinin Kanun’un 11. maddesindeki hakları

konusunda bilgi verilmesi gerekir.

Yapay zekâ kullanılması, veri sorumlusunun aydınlatma yükümlülüğünü ortadan kaldırmaz.

Yapay Zekânın Kişi Hakkında Otomatik Karar Vermesi

Yapay zekâ sistemleri günümüzde;

  • işe alım,
  • çalışan performansının değerlendirilmesi,
  • kredi ve finansal risk analizi,
  • sigortacılık,
  • dolandırıcılık tespiti,
  • müşteri segmentasyonu

gibi kişi hakkında önemli sonuçlar doğurabilecek alanlarda kullanılabilmektedir.

KVKK’nın 11. maddesi uyarınca ilgili kişi, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkına sahiptir.Bu nedenle kişiler bakımından önemli sonuçlar doğurabilecek karar süreçlerinin tamamen otomatik sistemlere bırakılması hâlinde Kanun’un 11. maddesinin ayrıca dikkate alınması gerekir. Özellikle yüksek etkili karar süreçlerinde anlamlı insan gözetimi ve gerektiğinde insan tarafından yeniden değerlendirme mekanizması oluşturulması önemli bir güvence sağlayabilir.

Üretken Yapay Zekâ Konusunda KVKK Kurumunun Yaklaşımı

Kişisel Verileri Koruma Kurumu, 24 Kasım 2025 tarihinde “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)” başlıklı rehberi yayımlamıştır.

Rehberde üretken yapay zekâ sistemleri kişisel verilerin korunması bakımından çeşitli yönleriyle ele alınmaktadır.

Kurumun yaklaşımında özellikle;

  • temel hak ve özgürlüklerin korunması,
  • şeffaflık,
  • hesap verebilirlik,
  • güvenlik,
  • insan merkezli yaklaşım ve
  • kişisel verilerin korunmasına ilişkin temel ilkelerin yapay zekâ sistemlerinin yaşam döngüsü boyunca dikkate alınması

ön plana çıkmaktadır.

Buradaki temel sonuç açıktır:

Bir veri işleme faaliyetinin yapay zekâ aracılığıyla gerçekleştirilmesi, veri sorumlusunun KVKK kapsamındaki yükümlülüklerini ortadan kaldırmaz.

Yeni Risk Alanı: Etken Yapay Zekâ (Agentic AI)

Kişisel Verileri Koruma Kurumu, 12 Mart 2026 tarihinde “Etken Yapay Zekâ (Agentic AI)” başlıklı çalışmasını yayımlamıştır.

Etken yapay zekâ sistemleri, yalnızca verilen bir komuta karşı metin veya görsel üreten klasik üretken yapay zekâ araçlarından farklı olarak, belirli hedeflere ulaşabilmek amacıyla daha yüksek seviyede otonomiyle hareket edebilen yapılar içerebilir.

Örneğin bir yapay zekâ aracısının;

müşteri e-postalarını okuması, şirket sisteminden gerekli bilgileri toplaması, başka uygulamalara erişmesi, müşteri adına belirli işlemleri başlatması ve sonuçları şirket sistemlerine kaydetmesi

durumunda kişisel veri işleme faaliyeti çok daha karmaşık bir yapıya dönüşebilir.

Etken yapay zekâ sistemlerinde özellikle;

  • sistemin hangi verilere erişebildiği,
  • hangi işlemleri gerçekleştirebildiği,
  • yetkilerinin nasıl sınırlandırıldığı,
  • sistemler arasındaki veri akışının nasıl gerçekleştiği,
  • gerçekleştirilen işlemlerin kayıt altına alınıp alınmadığı,
  • kararların ve işlemlerin sonradan denetlenebilir olup olmadığı,
  • insan gözetiminin hangi aşamada devreye girdiği ve
  • veri güvenliği

önem kazanmaktadır.

Yapay zekâ sisteminin otonomi seviyesi arttıkça yetkilendirme, izlenebilirlik, kayıt tutma ve insan gözetimi mekanizmalarının da güçlendirilmesi gerekir.

Yapay Zekâ “Halüsinasyonu” KVKK Açısından Neden Önemlidir?

Üretken yapay zekâ sistemlerinin önemli risklerinden biri, gerçekte bulunmayan veya doğru olmayan bilgileri gerçekmiş gibi üretebilmesidir.

Bu durum yalnızca teknik bir hata olarak görülmemelidir.

Bir yapay zekâ sisteminin gerçek bir kişi hakkında yanlış bilgi üretmesi ve bu bilginin şirket tarafından doğrulanmadan kullanılması hâlinde, KVKK’nın 4. maddesinde düzenlenen kişisel verilerin doğru ve gerektiğinde güncel olması ilkesi bakımından hukuki sorun ortaya çıkabilir.

Örneğin yapay zekânın bir iş başvurusu yapan kişi, çalışan veya müşteri hakkında ürettiği yanlış bir bilginin karar sürecinde kullanılması, ilgili kişi açısından önemli sonuçlara neden olabilir.

Bu nedenle özellikle kişiler hakkında sonuç doğuran süreçlerde yapay zekâ tarafından üretilen bilgi ile doğrulanmış kişisel verinin birbirinden ayrılması ve yapay zekâ çıktılarının gerekli kontrollerden geçirilmesi önem taşır.

Şirketler İçin 12 Maddelik Yapay Zekâ ve KVKK Kontrol Listesi

Şirketlerin yapay zekâ kullanımını yalnızca bilgi teknolojileri departmanının konusu olarak değerlendirmemesi gerekir. Hukuk, bilgi güvenliği, insan kaynakları ve ilgili iş birimlerinin birlikte hareket ettiği bir yönetişim yapısı daha sağlıklı olacaktır.

Kurumsal kullanım öncesinde en azından şu soruların cevaplandırılması faydalıdır:

  1. Şirket içerisinde hangi yapay zekâ araçlarının kullanılmasına izin veriliyor?
  2. Çalışanların hangi verileri bu sistemlere girmesi yasak veya sınırlı?
  3. Kullanılan sistem üzerinden kişisel veri işleniyor mu?
  4. Veri işleme faaliyetinin hukuki sebebi nedir?
  5. Özel nitelikli kişisel veri işleniyor mu?
  6. Veriler üçüncü kişilere veya yurt dışına aktarılıyor mu?
  7. Yurt dışına aktarım varsa hangi hukuki mekanizmaya dayanılıyor?
  8. Yapay zekâ sağlayıcısının veri işleme sürecindeki hukuki sıfatı nedir?
  9. Aydınlatma metinleri ve diğer KVKK dokümantasyonu güncel mi?
  10. Yapay zekâ çıktılarının doğruluğunu kontrol eden anlamlı bir insan gözetimi mevcut mu?
  11. Sistemin veri ve uygulamalara erişim yetkileri sınırlandırılmış mı?
  12. Çalışanlara yapay zekâ kullanımı, kişisel veri güvenliği ve şirket sırlarının korunması konusunda eğitim veriliyor mu?

Bu sorulardan bir veya birkaçına cevap verilemiyorsa, kullanılan yapay zekâ sisteminin KVKK uyumluluğunun ayrıca değerlendirilmesi gerekebilir.

Bireyler Yapay Zekâ Kullanırken Nelere Dikkat Etmeli?

Kişisel verilerin korunması bakımından risk yalnızca şirketler için söz konusu değildir.

Bireylerin de yapay zekâ araçlarına veri girerken kullandıkları hizmetin özelliklerini ve veri kullanım koşullarını dikkate almaları gerekir.

Özellikle;

  • T.C. kimlik numarası,
  • banka ve ödeme bilgileri,
  • sağlık bilgileri,
  • özel yazışmalar,
  • üçüncü kişilere ait kişisel veriler,
  • şirket içi gizli belgeler,
  • müşteri bilgileri,
  • ticari sırlar ve
  • kullanıcı adı veya parola gibi erişim bilgileri

yapay zekâ araçlarına aktarılmadan önce özellikle dikkatli olunmalıdır.

“Yapay zekâya yalnızca soru sordum” düşüncesi yanıltıcı olabilir. Çünkü sorunun, yüklenen belgenin veya verilen komutun içerisinde bulunan bilgiler de veri işleme sürecinin bir parçası hâline gelebilir.

KVKK’ya Aykırılık Hâlinde Ne Olur?

Bir kişisel veri işleme faaliyetinin yapay zekâ aracılığıyla gerçekleştirilmesi, söz konusu faaliyeti KVKK’nın kapsamı dışına çıkarmaz.

6698 sayılı Kanun kapsamında somut olayın özelliklerine göre;

  • aydınlatma yükümlülüğüne aykırılık,
  • veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi,
  • Kurul kararlarının yerine getirilmemesi,
  • Veri Sorumluları Siciline ilişkin yükümlülüklere aykırılık ve
  • yurt dışına veri aktarımında standart sözleşmeye ilişkin bildirim yükümlülüğünün ihlali

gibi durumlarda idari yaptırımlar gündeme gelebilir.

Bunun yanında somut olayın niteliğine göre Türk Borçlar Kanunu kapsamında tazminat sorumluluğu, kişilik haklarının korunmasına ilişkin hükümler ve Türk Ceza Kanunu’nda kişisel verilere ilişkin düzenlenen suçlar bakımından da ayrıca değerlendirme yapılması gerekebilir.

Dolayısıyla yapay zekâ kaynaklı kişisel veri ihlallerinin hukuki sonuçları yalnızca KVKK kapsamında uygulanabilecek idari para cezalarıyla sınırlı değildir.

Sonuç: Yapay Zekâ Kullanmak KVKK Sorumluluğunu Ortadan Kaldırmaz

Yapay zekâ sistemleri şirketlerin çalışma biçimini hızla değiştirmektedir. Ancak teknolojinin gelişmesi kişisel verilerin korunmasına ilişkin temel yükümlülükleri ortadan kaldırmamaktadır.NAksine yapay zekâ sistemleri daha fazla veri işledikçe, farklı sistemlere eriştikçe ve daha otonom hâle geldikçe;

hukuka uygunluk, şeffaflık, veri minimizasyonu, amaçla sınırlılık, veri güvenliği, insan gözetimi ve hesap verebilirlik

ilkelerinin önemi daha da artmaktadır.

Bu nedenle şirketlerin sorması gereken temel soru yalnızca;

“Yapay zekâ kullanabilir miyiz?”

değildir.

Asıl sorulması gereken;

“Bu yapay zekâ sistemini hangi verilerle, hangi hukuki sebebe dayanarak, hangi sınırlar içerisinde ve hangi teknik ve idari tedbirlerle kullanabiliriz?”

sorusudur.

Yapay zekânın sağladığı hız ve verimlilikten yararlanırken kişisel verilerin korunmasına ilişkin yükümlülüklerin sistemin seçiminden kullanımına kadar tüm süreç boyunca dikkate alınması, ileride ortaya çıkabilecek hukuki ve idari risklerin azaltılması bakımından önem taşımaktadır.

İlgili Mevzuat ve Kaynaklar

  • 6698 sayılı Kişisel Verilerin Korunması Kanunu
  • 7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun
  • Kişisel Verileri Koruma Kurumu, Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda), 24 Kasım 2025
  • Kişisel Verileri Koruma Kurumu, İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı, 5 Mart 2026
  • Kişisel Verileri Koruma Kurumu, Etken Yapay Zekâ (Agentic AI), 12 Mart 2026
  • Kişisel Verileri Koruma Kurumu, Kişisel Verilerin Yurt Dışına Aktarılması Rehberi
  • Kişisel Verileri Koruma Kurumu, Kişisel Verilerin Yurt Dışına Aktarılmasında Kullanılacak Standart Sözleşmeler

İşbu paylaşım yalnızca genel bilgilendirme amacıyla hazırlanmış olup hukuki görüş, hukuki danışmanlık veya somut bir uyuşmazlığa ilişkin yönlendirme niteliği taşımamaktadır. Paylaşımda yer verilen açıklamalar, her somut olayın kendine özgü koşulları bulunduğundan, tek başına hukuki işlem veya karar dayanağı olarak değerlendirilmemelidir.

Mevzuat, yargı kararları ve uygulamalar zaman içerisinde değişiklik gösterebileceği gibi, benzer görünen hukuki uyuşmazlıklarda dahi olayın özelliklerine göre farklı sonuçlar ortaya çıkabilir. Bu nedenle hak kaybı yaşanmaması adına, somut olayın tüm bilgi ve belgeleriyle birlikte ayrıca değerlendirilmesi ve gerektiğinde profesyonel hukuki destek alınması tavsiye edilir.

Bu paylaşımın amacı hukuki konularda genel farkındalık oluşturmak ve kamuoyunu bilgilendirmektir.