# KVKK ve üretken yapay zeka kontrol listesi

> Üretken yapay zekayı KVKK'ya uygun kullanmak için önce hangi aracın hangi kişisel veriyi işlediğini bilmeniz gerekir. Ardından çalışan kullanım kurallarını yazar, sağlayıcının veri saklama ve eğitim politikasını kontrol eder, yurt dışı aktarım için dayanağı belirler ve aydınlatma metnini günceller. Bu kontrol listesi, Kişisel Verileri Koruma Kurumu'nun Kasım 2025'te yayımladığı üretken yapay zeka rehberine dayanan bir çalışma sırası sunar.

URL: https://corrplus.net/tr/blog/kvkk-uretken-yapay-zeka-kontrol-listesi/
Güncellendi: 2026-10-26
Corrplus Ekibi

## KVKK'nın üretken yapay zeka rehberi şirketlerden ne bekliyor?

Üretken yapay zeka, eğitildiği verideki örüntülerden yola çıkarak metin, görsel veya kod üreten bir yapay zeka türüdür. Kişisel Verileri Koruma Kurumu, Kasım 2025'te yayımladığı "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)" ile bu sistemlerdeki veri işlemeyi 6698 sayılı Kanun çerçevesinde ele aldı.

Rehber yeni bir yükümlülük getirmiyor. Mevcut kuralların üretken yapay zekaya nasıl uygulanacağını anlatıyor: veri sorumlusu ve veri işleyenin nasıl belirleneceği, genel ilkeler, işleme şartları, yurt dışı aktarım, şeffaflık, ilgili kişi hakları ve veri güvenliği. Kişisel verinin yalnız eğitimde değil, kullanım ve çıktı üretimi aşamalarında da işlenebildiğini vurguluyor.

Şirketiniz için pratik sonuç şu: ekipte kullanılan her yapay zeka aracı, kişisel veri envanterinizde bir satır olmalı. Hangi araç, hangi veri, hangi amaç, hangi ülke. Bu satırlar yoksa aşağıdaki adımların hiçbiri doğrulanamaz. Terimler için [KVKK nedir](/tr/sozluk/kvkk-nedir/) ve [LLM nedir](/tr/sozluk/llm-nedir/) sayfalarımıza bakabilirsiniz.

## Çalışanların ChatGPT, Claude, Gemini kullanımı için hangi kurallar yazılmalı?

Yasaklamak çoğu zaman işe yaramaz; çalışanlar kişisel hesaplarıyla aynı araçları kullanmaya devam eder. Daha sağlam yol, onaylı araçları tanımlayıp sınırları açıkça yazmaktır. Kısa bir kullanım politikası şu başlıkları içermelidir:

- **Onaylı araçlar ve hesap türü.** Hangi araçlar kurumsal hesapla kullanılabilir, hangileri yasak.
- **Asla girilmeyecek veriler.** Özel nitelikli kişisel veriler (sağlık, biyometrik veri gibi), T.C. kimlik numarası, müşteri sözleşmeleri, maaş bilgisi.
- **Anonimleştirme alışkanlığı.** İsim, telefon ve adres yerine genel ifadeler kullanmak.
- **Çıktının kontrolü.** Model yanlış bilgi üretebilir; müşteriye giden her çıktı bir insan tarafından okunur.
- **Bildirim yolu.** Yanlışlıkla veri girildiğinde kime, nasıl haber verileceği.

Politikayı yazmak yeterli değildir; çalışanlar örneklerle anlatıldığında uygular. Bu nedenle kurallar kısa bir eğitimle birlikte yayılmalıdır.

Politikanın teknik bir karşılığı da olmalıdır. Onaylı araç için kurumsal hesap açın ve tek oturum açma ile bağlayın; böylece çalışan ayrıldığında erişim de kapanır. Kurumsal planlarda yönetici, sohbet geçmişinin saklama süresini ve hangi entegrasyonların açık olacağını belirleyebilir. Tarayıcı veya uç nokta tarafındaki veri kaybı önleme araçları, kimlik numarası gibi kalıpların onaysız yapay zeka sitelerine yapıştırılmasını uyarabilir veya engelleyebilir. Hiçbir araç politikanın yerini tutmaz, ama politikanın uygulandığını gösteren kaydı üretir.

## API ile model kullanırken veri yurt dışına aktarılmış sayılır mı?

Bir uygulamanız müşteri mesajını OpenAI, Anthropic veya Google API'sine gönderiyorsa ve sağlayıcının sunucuları Türkiye dışındaysa, mesajdaki kişisel veri için genellikle yurt dışına aktarım söz konusudur. 1 Haziran 2024'te yürürlüğe giren değişiklikten sonra Kanun'un 9. maddesi üç kademeli bir yapı kuruyor: yeterlilik kararı, uygun güvenceler ve arızi haller için sınırlı istisnalar.

Kurum'un yurt dışı aktarım sayfasına göre Kurul henüz hiçbir ülke için yeterlilik kararı vermedi. Bu durumda düzenli aktarımlarda en sık kullanılan yol standart sözleşmedir. Standart sözleşme, imzalandığı tarihten itibaren beş iş günü içinde Kurum'a bildirilir. İstisnalar ise yalnız arızi, düzenli olmayan aktarımlar içindir ve dar yorumlanır; sürekli çalışan bir entegrasyon bu kapsama girmez.

Hangi dayanağın sizin durumunuza uyduğunu hukuk danışmanınızla birlikte belirleyin. Teknik ekip olarak bizim katkımız, verinin tam olarak nereye gittiğini ve hangi alanları içerdiğini belgeli hale getirmektir.

## Veri saklama, eğitimde kullanmama ve bölge seçenekleri nasıl kontrol edilir?

Aynı model, kullanım biçimine göre çok farklı veri koşullarıyla gelir. Aşağıdaki tablo, sağlayıcıların kendi yayımladığı beyanlara göre genel bir karşılaştırmadır. Somut koşullar plana, sözleşmeye ve tarihe göre değişir; sözleşme öncesinde güncel dokümanı okuyun.

| Kullanım şekli | Veri eğitimde kullanılır mı? | Saklama kontrolü | Bölge seçeneği | Gereken sözleşme ve aktarım aracı |
|---|---|---|---|---|
| Tüketici sohbet uygulaması (kişisel hesap) | Ayarlara bağlı; şirket kontrol edemez | Kullanıcıda | Yok | Şirket adına uygun değil |
| Kurumsal plan (ChatGPT Enterprise, Claude Enterprise gibi) | Sağlayıcı beyanına göre varsayılan olarak hayır | Yönetici ayarlarında | Plana göre sınırlı | Veri işleme sözleşmesi, aktarım dayanağı |
| API (doğrudan) | Sağlayıcı beyanına göre varsayılan olarak hayır | Sağlayıcı politikası, bazı planlarda sıfır saklama | Bazı sağlayıcılarda ABD veya Avrupa seçimi | Veri işleme sözleşmesi, standart sözleşme ve bildirim |
| Bulut sağlayıcı üzerinden (Azure, Google Cloud, AWS) | Bulut sağlayıcının koşullarına göre | Bulut hesabınızda | Bölge seçimi var | Bulut sözleşmesi, aktarım dayanağı |
| Kendi sunucunuzda açık model | Hayır, veri sizde kalır | Tamamen sizde | Sunucunun yeri | Yurt içi sunucuda aktarım sorusu doğmaz |

Örnek olarak, OpenAI iş ürünlerinden ve API'den gelen verinin varsayılan olarak model eğitiminde kullanılmadığını, uygun müşteriler için veri saklama bölgesi seçeneği sunduğunu yazıyor. Anthropic de API dokümantasyonunda saklanan verinin açık izin olmadan eğitimde kullanılmadığını ve sıfır veri saklama düzenlemesinin kapsamını anlatıyor. Bu beyanlar bir başlangıç noktasıdır, hukuki değerlendirmenin yerini tutmaz.

Bölge seçimi ve barındırma kararları [bulut altyapı](/tr/hizmetler/bulut-altyapi/) tasarımının bir parçasıdır. Kendi sunucunuzda açık model çalıştırmak aktarım sorusunu ortadan kaldırır, ama işletme ve güvenlik yükünü size taşır.

## Aydınlatma, açık rıza ve veri minimizasyonu nasıl uygulanır?

**Aydınlatma.** Müşteri veya çalışan verisini bir yapay zeka sistemiyle işliyorsanız, aydınlatma metniniz bunu söylemelidir: hangi amaçla, hangi kategorideki veri, hangi alıcılara ve hangi ülkeye. Bir sohbet asistanı kullanıyorsanız, kullanıcıya bir yapay zeka ile konuştuğunu açıkça belirtin.

**Hukuki sebep.** Açık rıza tek seçenek değildir ve çoğu zaman en uygunu da değildir. Sözleşmenin ifası veya meşru menfaat gibi diğer işleme şartlarından hangisinin geçerli olduğu, kullanım senaryosuna göre hukuk danışmanınızla birlikte belirlenmelidir.

**Veri minimizasyonu.** En etkili teknik kontrol, modele gereğinden fazla veri göndermemektir. Örneğin bir sözleşme özetlenecekse, ad ve kimlik numarası gibi alanlar modele gitmeden maskelenebilir. [Doküman analizi](/tr/cozumler/dokuman-analizi/) projelerinde bu maskeleme adımını akışın içine koymak, sonradan eklemekten çok daha kolaydır. [LLM entegrasyonu](/tr/hizmetler/llm-entegrasyonu/) tasarımında istem ve cevap kayıtlarının ne kadar tutulacağı da bu aşamada kararlaştırılır.

Bu konu özellikle müşteri verisini yoğun işleyen [finans ve sigorta](/tr/sektorler/finans-sigorta/) şirketleri için önemlidir. Ayrı bir uyum ekibi olmayan [KOBİ'ler](/tr/sektorler/kobi/) için ise kısa bir politika ve tek sayfalık bir araç envanteri iyi bir başlangıçtır.

## Nereden başlamalısınız?

1. Şirkette kullanılan yapay zeka araçlarının listesini çıkarın; kişisel hesaplarla kullanılanları da sorun.
2. Her araç için hangi kişisel verinin işlendiğini ve hangi ülkeye gittiğini envantere işleyin.
3. Kısa bir kullanım politikası yazın ve örneklerle anlatın.
4. Sağlayıcıların eğitim, saklama ve bölge beyanlarını toplayın.
5. Hukuk danışmanınızla birlikte aktarım dayanağını, aydınlatma metnini ve hukuki sebebi değerlendirin.

Corrplus olarak hukuki danışmanlık vermiyoruz. Hukuk danışmanınızın belirlediği gereklilikleri sistemlere yerleştiren teknik ekibiz. Keşif aşamasında veri akışlarını ve yapay zeka kullanımını haritalıyor, tasarım aşamasında maskeleme, kayıt ve sağlayıcı seçimini yazılı hale getiriyoruz. Ayrıntılar için [KVKK ve yapay zeka uyum yönetişimi](/tr/hizmetler/kvkk-yapay-zeka-uyum-yonetisim/) sayfamıza ve [yapay zeka yönetişimi](/tr/sozluk/yapay-zeka-yonetisimi-nedir/) tanımımıza bakabilirsiniz.

## Sık sorulan sorular

### Çalışanlarımız ChatGPT kullanabilir mi?

Kullanabilir, ama kuralı siz koymalısınız. Hangi araçların onaylı olduğunu, hangi veri türlerinin hiçbir koşulda girilmeyeceğini ve kurumsal hesap zorunluluğunu yazılı bir politikayla belirleyin. Kişisel hesapla ücretsiz sürüme müşteri verisi girilmesi, kontrol edemediğiniz bir işleme ve aktarım yaratır.

### Yapay zeka API'sine veri göndermek yurt dışına aktarım sayılır mı?

Sağlayıcının sunucuları Türkiye dışındaysa ve gönderilen veride kişisel veri varsa, bu genellikle yurt dışına aktarım olarak değerlendirilir. 6698 sayılı Kanun'un 9. maddesindeki dayanaklardan birini, örneğin standart sözleşmeyi, hukuk danışmanınızla birlikte belirlemeniz gerekir.

### Sağlayıcı verimizle model eğitmiyorsa sorun kalmaz mı?

Hayır. Eğitimde kullanmama önemli bir güvencedir ama tek başına yeterli değildir. Verinin ne kadar süre saklandığı, hangi bölgede işlendiği, alt işleyenlerin kim olduğu ve aktarımın hukuki dayanağı ayrıca değerlendirilmelidir.

### Standart sözleşmeyi Kurum'a bildirmek gerekiyor mu?

Evet. Kanun'un 9. maddesine göre standart sözleşme, imzalandığı tarihten itibaren beş iş günü içinde Kurum'a bildirilir. Bildirim, Kurum'un çevrim içi standart sözleşme bildirim modülü üzerinden de yapılabilir. Süreci hukuk danışmanınızla birlikte planlayın.

## Kaynaklar

- [KVKK, Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda), Yayın No 113, Kasım 2025](https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/MTY5MjNmNmIwZWY3YTE.pdf)
- [KVKK, Kişisel Verilerin Yurt Dışına Aktarılması Rehberi, Yayın No 48, Ocak 2025](https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/13711235-abb6-4b17-9a6b-0a68c1ad86c5.pdf)
- [KVKK, Yurt Dışına Aktarım](https://www.kvkk.gov.tr/Icerik/2053/Yurtdisina-Aktarim)
- [6698 sayılı Kişisel Verilerin Korunması Kanunu (Mevzuat Bilgi Sistemi)](https://www.mevzuat.gov.tr/mevzuatmetin/1.5.6698.pdf)
- [Anthropic, API and data retention](https://platform.claude.com/docs/en/manage-claude/api-and-data-retention)
- [OpenAI, Business data privacy, security, and compliance](https://openai.com/business-data/)