Ekibinin kullandığı yapay zeka araçlarını tek bir listeye yaz. Kişi hakkında karar üreten süreçleri işaretle. Yukarıdaki ekip içi kullanım kuralını ekibinle paylaş. Bir aracın sözleşmesini aç ve sağlayıcının rolünü kontrol et. Kurumun Nisan 2025 tarihli tavsiye rehberini indirip uyum sorumlusuyla paylaş [3].

KVKK uyumlu yapay zeka kullanımı: projeye başlamadan önce 7 ilkeyi kontrol et

KVKK uyumlu yapay zeka kullanımı nasıl sağlanır?

KVKK uyumlu yapay zeka kullanımı, araca giren her kişisel verinin 6698 sayılı Kanun'un temel ilkelerine uymasıdır [3][5]. Kişisel Verileri Koruma Kurumu Nisan 2025'te bu konuda bir tavsiye rehberi yayımladı [3]. Rehberin özü yedi ilkedir: hukuka uygunluk, şeffaflık, tasarımda gizlilik, veri minimizasyonu, risk temelli değerlendirme, özel nitelikli veride ek özen ve rol ayrımı [3]. Pratikte şunu yaparsın: rolleri baştan yazarsın, modele yalnız gereken veriyi verirsin, yüksek riskli işte etki değerlendirmesi yaparsın, otomatik kararlarda insanı süreçte tutarsın [3][4].

Kurum rehberine göre önce şunu sor: bu hedefe kişisel veri işlemeden ulaşabilir miyim? Ulaşamıyorsan veriyi anonimleştirerek işle [3].

Kurum rehberindeki 7 ilke: kontrol listenin iskeleti

Kurum rehberi geliştiricilere, servis sağlayıcılara ve karar alıcılara ayrı sorumluluklar tanımlar [3].

Ortak çerçeve yedi ilkeden oluşur [3]. Her yapay zeka projesini bu yedi soruya göre tart.

Bu ilkeler KVKK madde 4'teki genel ilkelerle örtüşür: hukuka uygunluk, doğruluk, belirli amaç, ölçülülük [5].

Hukuka uygunluk ve dürüstlük: amaç, kapsam ve yöntem açıkça yazılı olsun [3].
Şeffaflık ve hesap verebilirlik: projenin başından dokümante bir veri koruma uyum programı kur [3].
Tasarımda gizlilik: veri koruma, tasarımdan itibaren sistemin tüm yaşam döngüsünde dursun [3].
Ölçülülük ve minimizasyon: gereğinden fazla veri toplama [3].
Risk temelli yaklaşım: yüksek riskli projede mahremiyet etki değerlendirmesi (PIA) yap [3].
Özel nitelikli veri: sağlık, biyometrik, genetik veride tedbirleri artır [3].
Rol ayrımı: kim veri sorumlusu, kim veri işleyen, baştan belirle [3].

Proje başlangıç kontrol listesi: - Proje adı: - 1. Amaç (tek cümle): - 2. İşlenecek kişisel veri türleri: - 3. Kişisel veri olmadan bu amaca ulaşılabilir mi? Evet/Hayır, neden: - 4. Anonimleştirme mümkün mü? - 5. Özel nitelikli veri var mı (sağlık, biyometrik, genetik)? - 6. Veri sorumlusu kim? Veri işleyen kim? - 7. Risk seviyesi: düşük / yüksek. Yüksekse etki değerlendirmesi tarihi: - 8. Kişiler hakkında otomatik karar çıkıyor mu? İnsan kontrolü nerede? - 9. Veri ne zaman ve nasıl imha edilecek?

Rolleri ilk toplantıda yaz: veri sorumlusu mu, veri işleyen mi

Bir projede geliştirici, servis sağlayıcı ve işveren aynı anda yer alabilir [3].

Her birinin rolü proje başında netleşmeli [3]. Aydınlatma, açık rıza, güvenlik ve başvuru yönetimi bu ayrıma göre dağılır [3].

Yapay zeka sistemi kişisel veri işliyorsa veri sorumlusu ya da veri işleyen olarak kayda geçmesi gerekir [4].

Aracı kim sağlıyor? Sözleşmede rolü ne yazıyor?
Aydınlatma metnini kim hazırlıyor?
Bir çalışan ya da müşteri başvurursa kim cevaplıyor?

Rolü belirsiz bırakırsan bir başvuru geldiğinde kimse sorumluluğu üstlenmez; bu ayrım rehberde kritik olarak tanımlanıyor [3].

Modele yalnız gereken veriyi ver

Minimizasyon ilkesi açık: modele yalnız gerekli veri girer [4].

Model eğitiminde anonimleştirme ya da maskeleme yapılmalı [4]. Rehber de mümkünse kişisel veri hiç işlemeden hedefe ulaşmayı önerir [3].

Amaçla sınırlılık da önemli. Çıktıyı yalnız belirlenen amaç için kullan; başka süreçte yeniden kullanmak risk doğurur [4].

Verinin kaynağını, doğruluğunu ve güncelliğini düzenli kontrol et. İşleme nedeni bitince veriyi imha et [3].

Kötü örnek: müşteri şikayetini ad, telefon ve adresle birlikte araca yapıştırmak.
İyi örnek: kimlik bilgilerini çıkarıp yalnız şikayet metnini özetletmek.

Göndereceğin metni aç
Ad, telefon, e-posta, TC kimlik gibi alanları sil ya da maskele
Amaç için gerçekten gereken kısmı bırak
Özel nitelikli veri varsa durdur ve onaya götür
Ancak sonra araca gönder

Ekip içi kullanım kuralı (tek paragraf): - Yapay zeka aracına metin göndermeden önce kişiyi tanıtan bilgileri (ad, telefon, e-posta, kimlik numarası, adres) çıkar ya da maskele. Yalnız işin gerektirdiği kısmı gönder. Sağlık, biyometrik veya genetik veri içeren metni onay almadan gönderme. Aracın çıktısını yalnız bu iş için kullan, başka süreçlere taşıma.

Yüksek riskli işte etki değerlendirmesi yap

Rehber risk temelli yaklaşımı şart koşar [3]. Yüksek riskli projede mahremiyet etki değerlendirmesi (PIA) yapılmalı ve sonucu karara bağlanmalı [3].

PIA, işlemenin kişiler üzerindeki etkisini sistemli biçimde analiz eder [3]. Başka bir kaynak her yapay zeka projesi için etik ve KVKK etki analizi önerir [4].

Sadece performansı değil, veri koruma etkisini de düzenli aralıklarla ölç [3].

Kişiler hakkında karar üretiyor mu?
Profilleme yapıyor mu? Rehbere göre burada otomatik ayrımcılık riski yüksek [3].
Cinsiyet, etnik köken, yaş gibi değişkenlerde ayrımcı örüntü var mı [3]?

Şeffaflığın sınırlı olduğu uygulamalarda rehber akademik kurumlar ve bağımsız uzmanlarla iş birliği öneriyor [3].

Kişi hakkında karar çıkıyorsa insan süreçte kalsın

KVKK madde 11, yalnız otomatik sistemlerle analiz sonucu aleyhine çıkan bir sonuca itiraz hakkı verir [1][5].

İK'da özgeçmiş ve çevrimiçi mülakat değerlendirmesi tam bu alana girer [5].

Otomatik karar sistemlerinin çıktıları insan gözetimine tabi olmalı [4]. İtiraz, silme, anonimleştirme ve işlemeyi durdurma imkânı sistem tasarımına eklenmeli [3].

KVKK: aleyhe sonuç varsa itiraz hakkı [5].
GDPR madde 22: lehe ya da aleyhe fark etmeksizin, önemli etkisi olan tamamen otomatik karara tabi olmama hakkı [5].
GDPR'da kişi insan müdahalesi isteyebilir, görüş bildirebilir, karara itiraz edebilir [5].

Türkiye'de kişiler çoğu zaman otomatik bir kararın kendileri için olumlu mu olumsuz mu olduğunu bile bilemiyor; aydınlatma çoğunlukla yetersiz [5]. Aydınlatma metnini bu yüzden sade ve açık yaz.

Yapay zeka uyum işini hızlandırır, denetçinin yerini almaz

Yapay zeka KVKK uyumunun kendisinde de kullanılabilir: veri envanteri çıkarma, risk analizi, maskeleme, ihlal tahmini [4].

Log analiziyle olağan dışı erişimi yakalayabilir; 72 saat bildirim kuralına uygun otomatik bildirim kurulabilir [4].

Ama insan denetimini kaldırmaz; riskleri önceden gösterip süreci hızlandırır [4].

Adım adım nasıl yapılır?

Kullanılan ve planlanan yapay zeka araçlarının listesini çıkar.
Her araç için amacı tek cümleyle yaz [3].
Araca giren kişisel veri türlerini belirle; gereksiz olanları çıkar [3][4].
Veri sorumlusu ve veri işleyen rollerini sözleşmeyle netleştir [3][4].
Yüksek riskli işler için mahremiyet etki değerlendirmesi yap [3].
Otomatik karar çıkan süreçlere insan kontrol noktası ekle [4].
İtiraz, silme ve durdurma taleplerinin nasıl karşılanacağını yaz [3].
Veri koruma etkisini düzenli aralıklarla yeniden değerlendir [3].

Örnek: Gerçek vaka: açıklanmayan notlandırma algoritması

Uluslararası Bakalorya pandemide sınavları iptal etti [5].
Öğrencileri okul geçmişi ve bağlamına göre algoritmayla notlandırdı [5].
Norveç Veri Koruma Otoritesi bunu GDPR ilkelerine aykırı buldu [5].
Gerekçe: adil değildi, bireysel başarıyı yansıtmıyordu, okul temelli ayrımcılığa yol açabilirdi [5].
Algoritmanın mantığının açıklanmaması ayrıca şeffaflığa aykırı sayıldı [5].
Ders: kişiler hakkında karar üretiyorsan mantığı açıklayabilmeli ve ayrımcı örüntüyü önceden aramalısın [3][5].

Sık yapılan hatalar neler?

Projede kimin veri sorumlusu, kimin veri işleyen olduğunu yazmamak. Rolleri proje başında belirle ve sözleşmeye geçir [3].
Araca gereğinden fazla kişisel veri göndermek. Yalnız gereken veriyi gönder, mümkünse anonimleştir ya da maskele [3][4].
Otomatik çıkan kararı insan bakmadan uygulamak. Otomatik karar çıktılarını insan gözetimine bağla [4].
Kişilere otomatik karar hakkında yetersiz bilgi vermek. Verinin nasıl işlendiğini ve hangi sonuca yol açtığını açık ve anlaşılır anlat [3][5].
Eskimiş ya da amacı bitmiş veriyi sistemde tutmak. Doğruluk ve güncellik kontrolü ile imha prosedürü kur [3].

Kontrol listesi

Her araç için amaç ve kapsam yazılı mı [3]?
Roller (veri sorumlusu / veri işleyen) belirlendi mi [3]?
Araca giden veri minimuma indirildi mi, anonimleştirme denendi mi [3][4]?
Yüksek riskli projede etki değerlendirmesi yapıldı mı [3]?
Otomatik karar çıkan yerde insan kontrolü ve itiraz yolu var mı [3][4]?
Özel nitelikli veri için ek tedbir ve onay süreci tanımlı mı [3]?

Bugün ne yapmalı?

Ekibinin kullandığı yapay zeka araçlarını tek bir listeye yaz.
Kişi hakkında karar üreten süreçleri işaretle.
Yukarıdaki ekip içi kullanım kuralını ekibinle paylaş.
Bir aracın sözleşmesini aç ve sağlayıcının rolünü kontrol et.
Kurumun Nisan 2025 tarihli tavsiye rehberini indirip uyum sorumlusuyla paylaş [3].

Yapay zeka sistemi KVKK kapsamına girer mi?

Kişisel veri işliyorsa evet; KVKK'nın temel ilkeleri yapay zeka teknolojilerinde de geçerli [4][5].

Kurumun yapay zeka için yayımladığı bir rehber var mı?

Evet. Kişisel Verileri Koruma Kurumu Nisan 2025'te yapay zekada kişisel verilerin korunmasına dair tavsiyeler yayımladı [3].

Yapay zekanın verdiği karara itiraz edilebilir mi?

KVKK madde 11, yalnız otomatik sistemlerle yapılan analiz sonucu kişinin aleyhine çıkan sonuca itiraz hakkı tanır [1][5].

KVKK ile GDPR otomatik kararda nasıl ayrılıyor?

KVKK aleyhe sonuç arar; GDPR madde 22 ise lehe ya da aleyhe fark etmeksizin önemli etkisi olan tamamen otomatik karara tabi olmama hakkı verir [5].

Yapay zeka KVKK denetimini tek başına yapabilir mi?

Hayır. Riskleri önceden gösterip süreci hızlandırır, insan denetiminin yerini almaz [4].

Ekibinize eğitim mi gerekiyor?

LeftFlow'un kurumsal yapay zeka eğitimi programı 2 ya da 4 ay sürer; ekipler kendi gerçek işleri üzerinde çalışır ve her hafta somut bir çıktıyla kapanır.

Bu yazıdaki işi hemen denemek isterseniz kişisel veri maskeleme aracı tarayıcınızda çalışır, yazdığınız metin siz istemedikçe hiçbir yere gönderilmez.

Kaynaklar

Bu yazı nasıl hazırlandı?

Yukarıdaki kaynaklardan derlendi ve her somut bilgi kaynağıyla karşılaştırılarak denetlendi. Derleme tarihi 2026-11-02. Fiyat, sürüm ve takvim gibi bilgiler değişebilir; güncelini kaynağından doğrulayın.

LeftFlow

Bunu ekibiniz kendi işinde kurabilir.

LeftFlow ekiplere uygulamalı yapay zeka eğitimi verir: 2 ya da 4 ay, haftalık canlı oturum, ders kütüphanesi ve her hafta somut bir çıktı. Şirket analizinde ekiplerinizin kurabileceği iş akışları birlikte değerlendirilir.

Şirket analizi

Kurumsal yapay zeka eğitimi programını inceleyin

Tüm yazılar