KVKK ve yapay zekâ: şirketler bulut yapay zekâya veri yüklerken neye dikkat etmeli?

Son güncelleme: 7 Kasım 2026

Bir çalışan bulut tabanlı bir yapay zekâ aracına müşteri adı, çalışan bilgisi veya kişisel veri içeren bir belge yüklediğinde şirket, KVKK açısından kişisel veri işlemiş olur. Sağlayıcı bu verileri Türkiye dışında işliyor veya saklıyorsa bu bir yurt dışı aktarımdır ve 6698 sayılı Kanun'un 9. maddesine uygun yapılmalıdır.

Hukuki danışmanlık değildir. Bu sayfa, Kişisel Verileri Koruma Kurumunun (Kurum) yayımladığı kaynaklara dayanan genel bilgilendirmedir. Mevzuat ve Kurul kararları değişebilir; kendi durumunuz için KVKK alanında çalışan bir hukukçuya danışın.

Kısaca

Kişisel veri içeren istemler ve belgeler KVKK kapsamındadır. Anonim veriler kapsam dışındadır, ama anonimlik gerçek olmalıdır.
Aracı hangi veriyle ve hangi amaçla kullanacağına karar veren şirket, bu işleme için çoğunlukla veri sorumlusudur.
Sağlayıcı yurt dışındaysa 2024'te değişen 9. madde uygulanır: yeterlilik kararı, uygun güvenceler (ör. standart sözleşme) veya sınırlı arızi hâller.
Standart sözleşme, imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilir.
Yapay zekâyı yerel çalıştırmak bu aktarım sorusunu ortadan kaldırır; KVKK uyumunu tek başına sağlamaz.

Yapay zekâya yazılan bilgi kişisel veri sayılır mı?

Kanuna göre kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Kurumun Kasım 2025'te yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi bu ayrımı örneklerle anlatır: katılımcıların adlarını, görüntülerini ve ses kayıtlarını içeren eğitim kayıtlarını yapay zekâyla özetlemek kişisel veri işlemedir; yalnızca “yaz indirimi temalı afiş” gibi genel istemlerle görsel üretmek ise kural olarak değildir.

Rehber iki noktaya daha dikkat çeker. Girdide kişisel veri olmasa bile model, eğitim verisinden bir gerçek kişiye ilişkin bilgi üretebilir; bu da kişisel veri işleme sayılabilir. Anonim veriler kanun kapsamı dışındadır, ancak verinin gerçekten anonim olduğu teknik yöntemlerle ve nesnel ölçütlerle ortaya konulabilmelidir.

Sorumlu kim: şirket mi, yapay zekâ sağlayıcısı mı?

KVKK'da işleme amaçlarını ve vasıtalarını belirleyen kişi veri sorumlusu, onun verdiği yetkiyle onun adına veri işleyen kişi veri işleyendir. Rehberdeki örnekte, adayların özgeçmişlerini özetlemek için hazır bir yapay zekâ sistemini kullanan şirket, hangi verinin yükleneceğine ve çıktının nasıl kullanılacağına karar verdiği için veri sorumlusu olarak değerlendirilir.

Rehbere göre rolleri sözleşmedeki ifadeler tek başına belirlemez; esas olan tarafların fiilî kontrolüdür. Kanunun 12. maddesine göre veri sorumlusu, verileri kendi adına işleyen kişilerle birlikte veri güvenliği tedbirlerinden müştereken sorumludur.

Bulut yapay zekâ kullanmak yurt dışına aktarım sayılır mı?

Yurt dışına aktarım, ilgili yönetmelikte kişisel verilerin yurt dışındaki bir veri sorumlusuna veya veri işleyene “iletilmesi ya da başka bir suretle erişilebilir hâle getirilmesi” olarak tanımlanır. Kurumun Kişisel Verilerin Yurt Dışına Aktarılması Rehberi (Ocak 2025), yurt dışındaki bir bulutta depolamayı ve yurt dışından uzaktan erişimi, yalnızca ekranda görüntüleme biçiminde olsa bile, şartları taşıyorsa aktarım sayar.

Üretken yapay zekâ rehberi de Türkiye'deki veri sorumluları yurt dışında yerleşik sağlayıcılar üzerinden yapay zekâ kullanırken kişisel veriler yurt dışına aktarılıyorsa, aktarımın 9. madde ve ilgili yönetmeliğe uygun yapılması gerektiğini belirtir.

KVKK 9. madde 2024'te nasıl değişti?

9. madde, 12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanun'un 34. maddesiyle değiştirildi; değişiklik 1 Haziran 2024'te yürürlüğe girdi. Uygulama usulleri, 10 Temmuz 2024 tarihli Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ile belirlendi. Kurumun yurt dışına aktarım sayfasına göre artık aşamalı bir rejim var:

Yeterlilik kararı. Kanunun 5. veya 6. maddesindeki işleme şartlarından biri varsa ve Kurul, aktarım yapılacak ülke, o ülkedeki bir sektör veya uluslararası kuruluş için yeterlilik kararı vermişse aktarım yapılabilir. 7 Kasım 2026'da Kurumun sayfasında, yeterli korumanın bulunduğu ülkeler konusunda Kurul tarafından henüz bir belirleme yapılmadığı yazıyordu.
Uygun güvenceler. Yeterlilik kararı yoksa, işleme şartlarından biri bulunması ve ilgili kişinin aktarım yapılan ülkede de haklarını kullanıp etkili kanun yollarına başvurabilmesi kaydıyla şu güvencelerden biriyle aktarım yapılabilir: Kurulun ilan ettiği standart sözleşme; aynı şirket grubu içinde Kurulca onaylanmış bağlayıcı şirket kuralları; Kurul izniyle yazılı taahhütname; kamu kurumları için Kurul izniyle uluslararası sözleşme niteliğinde olmayan anlaşma.
Arızi hâller. Yeterlilik kararı ve uygun güvence yoksa aktarım, yalnızca kanunda sayılan sınırlı hâllerden birinde ve arızi olmak kaydıyla yapılabilir. Bunlardan biri, ilgili kişinin olası riskler hakkında bilgilendirilerek aktarıma açık rıza vermesidir. Kuruma göre bu istisnalar dar yorumlanır ve düzenli olmayan, süreklilik göstermeyen, nadiren gerçekleşen aktarımlar için geçerlidir.

Standart sözleşme, imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma fiziki olarak, kayıtlı elektronik posta (KEP) ile veya Standart Sözleşme Bildirim Modülü üzerinden bildirilmelidir. Kurum ayrıca seçimlik maddeler dışında metinde ekleme, çıkarma veya değişiklik yapılmaması gerektiğini ve yabancı dilde de düzenlenen sözleşmelerde tarafların imzasının Türkçe metinde bulunması gerektiğini duyurmuştur.

Çalışanların her gün kullandığı bir yapay zekâ aracında aktarım düzenli olduğundan, arızi hâllere dayanmak yerine sağlayıcıyla bir uygun güvence kurulup kurulamayacağını incelemek gerekir. Üçüncü taraf bir sağlayıcı için akla gelen yol çoğunlukla standart sözleşmedir; bunu hukuk danışmanınızla değerlendirin.

KVKK yapay zekâ için ne tavsiye ediyor?

Kurumun Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeleri, geliştiriciler, üreticiler, servis sağlayıcılar ve karar alıcılar için ilkeler sıralar. Şirketler için öne çıkanlar:

Hukuka uygunluk, dürüstlük, ölçülülük, hesap verebilirlik, şeffaflık, doğruluk, amaç sınırlılığı ve veri güvenliği ilkelerine dayalı işleme.
Yüksek risk öngörülüyorsa mahremiyet etki değerlendirmesi.
Tasarımdan itibaren veri koruma ve her proje için ayrı bir uyum programı.
Özel nitelikli kişisel verilerde (ör. sağlık) daha sıkı teknik ve idari tedbirler.
Aynı sonuca kişisel veri işlemeden ulaşılabiliyorsa anonim veriyle çalışma.
Projenin başında tarafların veri sorumlusu veya veri işleyen statüsünün belirlenmesi.
Kişileri yalnızca otomatik işlemeye dayalı kararlara maruz bırakmayan tasarım ve karar süreçlerinde insan müdahalesi.

2025 rehberi güvenlik tarafında somut örnekler ekler: veri koruma etki değerlendirmesi, istem enjeksiyonu (prompt injection) ve jailbreak gibi yapay zekâya özgü saldırılara karşı kontroller, kırmızı takım testleri, çalışan eğitimi, yama yönetimi, çok faktörlü kimlik doğrulama ve işlem kayıtlarının güvenli saklanması. Bireylere ise ad, adres, telefon ve kimlik bilgisi gibi verileri, üçüncü kişilere ait bilgileri ve sağlık, finans, hukuki süreç gibi hassas konuları yapay zekâ araçlarıyla paylaşmaktan kaçınmalarını önerir.

Bulut yapay zekâya veri yüklemeden önce kontrol listesi

Aşağıdaki liste yukarıdaki kaynaklara dayanan pratik bir başlangıçtır; hukuki değerlendirmenin yerini tutmaz.

Ne yükleneceğini belirleyin. İstemlerde ve belgelerde kişisel veri, özel nitelikli kişisel veri veya ticari sır var mı?
Gerekli mi, sorun. Aynı sonuca anonim veya genelleştirilmiş veriyle ulaşılabiliyorsa onu tercih edin. Yalnızca adı silmek yetmeyebilir; unvan, tarih veya dosya numarası kişiyi yine belirlenebilir kılabilir.
Verinin nerede işlendiğini öğrenin. Sağlayıcının hangi ülkelerde işlediğini ve sakladığını, alt işleyenlerini ve destek ekibinin hangi ülkelerden eriştiğini yazılı alın.
Hukuki dayanağı kurun. 5. veya 6. maddedeki işleme şartını belirleyin; yurt dışı aktarım varsa 9. maddedeki aracı seçin. Standart sözleşme imzalandıysa beş iş günü içinde bildirildiğini kontrol edin.
Sözleşmeyi ve ayarları okuyun. Girilen verilerin model eğitiminde kullanılıp kullanılmadığını, ne kadar saklandığını ve nasıl silindiğini kontrol edin; kişisel hesaplar yerine şirket hesaplarını kullanın.
Aydınlatmayı güncelleyin. Kanunun 10. maddesine göre ilgili kişilere, verilerin kimlere ve hangi amaçla aktarılabileceği de bildirilir; çalışan, müşteri ve aday aydınlatma metinlerini buna göre gözden geçirin.
Güvenlik tedbirlerini alın. Çok faktörlü kimlik doğrulama, yetki sınırlama ve kayıt tutma, 12. maddedeki yükümlülüğün parçasıdır. Kurumun Kişisel Veri Güvenliği Rehberi teknik ve idari tedbirleri ayrıntılı listeler.
Çalışan politikası yazın. Hangi araca hangi verinin girilebileceğini ve kimin onay vereceğini belirleyin, ekibi eğitin.
Çıktıyı insan kontrol etsin. Kişileri etkileyen kararları yalnızca yapay zekâ çıktısına bırakmayın.

Yapay zekâyı yerel çalıştırmak KVKK sorununu çözer mi?

Bir kısmını. Model ve belgeler şirketin kendi donanımında çalıştığında istemler ve belgeler bir yapay zekâ sağlayıcısına gönderilmez; böylece sağlayıcıya yurt dışı aktarım sorusu ortadan kalkar. Ancak bu, şirketi tek başına KVKK'ya uyumlu yapmaz. Yerel kurulumda da şu yükümlülükler sürer:

İşleme şartı ve aydınlatma: veriyi hangi dayanakla ve hangi amaçla işlediğiniz değişmez.
Veri güvenliği: cihaza fiziksel erişim, kullanıcı yetkileri, yedekler ve güncellemeler sizin sorumluluğunuzdadır.
Saklama ve silme: belgelerin ve sohbet kayıtlarının ne kadar tutulacağı belirlenmelidir.
İlgili kişi başvuruları: kişiler verileri hakkında bilgi isteyebilir, düzeltme ve silme talep edebilir.
Satıcı erişimi: satıcı uzaktan destek veriyorsa ve bu erişim yurt dışından yapılıyorsa aktarım sorusu yeniden doğabilir.

Yerel bir kurulum değerlendiriyorsanız seçenekleri, maliyet kalemlerini ve satıcıya sorulacak soruları Yerel yapay zekâ çözümleri rehberinde topladık. Yerel Yapay Zeka'nın Ofis / Kurum kurulumu NVIDIA DGX Spark üzerinde kurumunuzun yerel ağında çalışır; cihaz, yönetici hesabı, yedekleme, dışa aktarma ve silme hakkı kurumunuzda kalır, uzaktan destek varsayılan olarak kapalıdır ve yalnızca siz açarsınız. Kavramın temeli için Yerel yapay zeka nedir? sayfasına bakabilirsiniz.

Sık sorulan sorular

Çalışanlar bulut yapay zekâ araçlarını kullanabilir mi?

KVKK yapay zekâ kullanımını yasaklamaz. Araca kişisel veri girilecekse işleme şartı, aydınlatma ve veri güvenliği sağlanmalı; sağlayıcı verileri yurt dışında işliyorsa 9. maddedeki aktarım şartları da uygulanır. Hangi araca hangi verinin girilebileceğini yazılı bir şirket politikasıyla belirlemek pratik bir başlangıçtır.

Açık rıza almak yeterli mi?

2024 değişikliğiyle açık rıza, arızi aktarım hâllerinden biri olarak düzenlendi. KVKK'ya göre bu istisnalar dar yorumlanır ve düzenli olmayan, süreklilik göstermeyen, nadiren gerçekleşen aktarımlar içindir. Her gün kullanılan bir araç için öncelikle yeterlilik kararı veya standart sözleşme gibi uygun güvenceler gündeme gelir.

Standart sözleşme nedir, ne zaman bildirilir?

Kişisel Verileri Koruma Kurulunun ilan ettiği, yurt dışına aktarımda uygun güvence olarak kullanılan sözleşme metnidir. İmzaların tamamlanmasından itibaren beş iş günü içinde Kuruma fiziki olarak, KEP ile veya Standart Sözleşme Bildirim Modülü üzerinden bildirilir. Seçimlik maddeler dışında metinde değişiklik yapılmamalıdır.

İsimleri silip yüklersek KVKK uygulanmaz mı?

Yalnızca veri gerçekten anonimse. KVKK'ya göre anonim hâle getirme, verinin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hâle getirilmesidir. Ad silinse bile unvan, tarih, olay veya dosya numarası gibi dolaylı ayrıntılar kişiyi belirlenebilir kılabilir.

Türkiye'de veri merkezi olan bir bulut hizmeti yurt dışı aktarım sayılır mı?

Veri Türkiye'de işlenip saklanıyorsa ve yurt dışından erişim yoksa aktarım sorusu farklı değerlendirilebilir. Ancak KVKK'nın yurt dışına aktarım rehberine göre yurt dışından uzaktan erişim, yalnızca ekranda görüntüleme biçiminde olsa bile, aktarım sayılabilir. Destek ve yönetim erişiminin hangi ülkelerden yapıldığını sözleşmede netleştirin.

Yapay zekâyı yerel çalıştırırsak KVKK'ya uyumlu olur muyuz?

Tek başına olmaz. Yerel çalışma, yapay zekâ sağlayıcısına yurt dışı aktarım sorusunu ortadan kaldırır. İşleme şartı, aydınlatma, veri güvenliği, saklama ve silme, ilgili kişi başvuruları gibi yükümlülükler devam eder. Satıcının uzaktan desteği yurt dışından yapılıyorsa aktarım sorusu yeniden doğabilir.

Bu sayfa hukuki görüş yerine geçer mi?

Hayır. Bu sayfa genel bilgilendirmedir. Kendi durumunuz için KVKK alanında çalışan bir hukukçuya danışın.

Kendi belgelerinizle görün

Ofis / Kurum kurulumunu bir ilk görüşmeyle konuşalım; ardından örnek belgelerinizle yerel bir demo yapalım. İlk görüşme ücretsiz. Talep sipariş veya ödeme değildir. Pilot kapsamı, ücret ve teslim planı ayrı teklif edilir.

Kurumsal pilot talep et Kişisel cihazı incele

İlgili rehberler: Yerel yapay zekâ çözümleri · Yerel yapay zeka nedir? · Şirketler için

Kaynaklar

Bağlantılar 7 Kasım 2026'da kontrol edildi. Kanun metninin güncel hâli için Kurumun sayfalarındaki mevzuat bağlantılarını kullanın.