KVKK ve yapay zekâ: şirketler için sade özet

Kısa özet

• Kanun yapay zekâda da geçerli. KVKK'ya göre 6698 sayılı Kanun teknolojiden bağımsızdır. Yapay zekâ aracıyla işlenen kişisel veri de kapsamdadır.
• Yasak değil, yönlendirme. Şubat 2026 rehberi, araçları tümden yasaklamanın gerçekçi sonuç vermeyeceğini, çalışanı kontrol dışı kullanıma iteceğini söyler.
• Önerilenler: yazılı bir kurum politikası, şirketin belirlediği araçlar, hassas bilgi ve kişisel veriye dikkat, çıktıyı insanın kontrol etmesi, çalışanlara bilgilendirme ve eğitim, geri bildirim yolu.
• Eğitim öneri olarak geçer. Üç yayında da “katkı sağlayacaktır” diliyle anılır. Süresi, sıklığı ya da nasıl belgeleneceği yazmaz.
• Yurt dışındaki sağlayıcı: Yurt dışında yerleşik bir sağlayıcının aracıyla kişisel veri yurt dışına aktarılıyorsa Kanun'un 9. maddesi uygulanır.

Üç yayın

Çalışanları yapay zekâ aracı kullanan çoğu şirket için en doğrudan belge ikincisi, Şubat 2026 rehberidir.

Şubat 2026: iş yerlerinde üretken yapay zekâ

Rehber, çalışanların günlük işte kullandığı herkese açık araçları anlatır: sohbet uygulamaları, kodlama yardımcıları, çeviri ve metin araçları. Hiçbir aracı adıyla anmaz.

Gölge yapay zekâ. Rehber, çalışanın yapay zekâ aracını şirketin bilgisi, onayı ya da kontrolü dışında iş için kullanmasına “gölge yapay zekâ” der. Bunu geleceğin değil, bugünün olgusu sayar. Toplantı notları, iç yazışmalar, rapor taslakları, çalışan ve müşteri bilgileri bu araçlara girebiliyor.

Altı risk. Sonradan denetlenememe, yanlış ya da ön yargılı çıktı, ticari sırrın dışarı çıkması, itibar kaybı, bilgi güvenliği açığı ve kişisel veri ihlali.

Şirket için beş husus:

1. Yazılı politika. Hangi araç, hangi iş için, hangi bilgi girilir, çıktı nasıl kullanılır, çalışan nasıl eğitilir. Politika duyurulur, çalışanın kolayca ulaşabileceği yerde durur, değişince haber verilir.
2. Hassas bilgi ve kişisel veriye dikkat. Mümkün olduğunca genel ve soyut yazmak; kişi adı, tarih, yer gibi ayırt edici ayrıntıyı yazmamak. Sağlık, finans ve hukuki süreç bilgilerinde daha temkinli olmak. Aracın aydınlatma metnini ve gizlilik politikasını okumak.
3. Çıktıyı insan kontrol eder. Çıktı nihai kararın dayanağı olmaz. Doğruluk ve bağlam açısından gözden geçirilir.
4. Erişim. Çalışan yalnız şirketin belirlediği, kullanım koşulları tanımlı araçlara erişir. Erişim göreve ve ihtiyaca göre verilir. Gerekirse ağ düzeyinde kısıtlama ve yalnız şirket cihazından kullanım.
5. Farkındalık, eğitim, geri bildirim. Rehberin eğitim cümlesi şöyle:

Örnek politika. Rehber, bazı kuruluşların politikasından bir örnek verir. Kişisel veri, ticari sır ya da hassas bilgi içermemek şartıyla fikir geliştirme, metni dil açısından düzeltme ve internetteki içeriği özetleme için kullanım serbest. Müşteri dosyaları, insan kaynakları verileri ve iç yazışmaları araca girmek ise uygun bulunmuyor.

Kasım 2025: 15 soruda rehber

KVKK'nın yapay zekâ üzerine asıl rehberidir. Ağırlığı, yapay zekâyı geliştiren ya da kendi sürecine yerleştiren şirkette: örneğin başvuruları yapay zekâyla puanlayan ya da müşteri yazışmalarını yapay zekâyla özetleyen bir şirket.

Kanun'un maddelerini yapay zekâya uygular:

• Genel ilkeler (md. 4): hukuka uygunluk, doğruluk, belirli ve açık amaç, ölçülülük, gerektiği kadar saklama.
• İşleme şartları (md. 5 ve 6): her işleme bir hukuki sebebe dayanır. Modeli kullanmak için alınan açık rıza, modeli geliştirmeyi kapsamaz.
• Yurt dışına aktarım (md. 9): yurt dışında yerleşik sağlayıcının yapay zekâ sistemiyle kişisel veri yurt dışına aktarılıyorsa aktarım md. 9'a ve ilgili Yönetmelik'e uygun yapılmalıdır.
• Aydınlatma (md. 10) ve ilgili kişinin hakları (md. 11).
• Veri güvenliği (md. 12): şirket, gerekli her türlü teknik ve idari tedbiri almak zorundadır. Rehber bu tedbirlere örnek olarak etki değerlendirmesi, istem saldırılarına karşı kontroller, çok faktörlü kimlik doğrulama, işlem kayıtları ve çalışan eğitimini sayar:

Rehberin 14. sorusu bireylere öneriler verir: kullandığı uygulamanın veriyi nasıl işlediğini bilmek ve kişisel veri güvenliğini önceleyen bilinçli bir tutum.

Şubat 2026: etken yapay zekâ

Etken yapay zekâ, bir hedef için plan yapan, araç kullanan ve insan her adımı yönlendirmeden eylem başlatabilen sistemlerdir: takvime bakıp seyahat ayarlayan, e-posta gönderen bir yapay zekâ aracısı gibi. Doküman bu sistemlerin kişisel veri risklerini anlatır ve yedi husus sayar: anlamlı insan gözetimi, şeffaflık, verinin doğruluğu, kimin neden sorumlu olduğunun netleşmesi, tasarımdan itibaren mahremiyet, etki değerlendirmesi ve eğitim.

Dokümandaki eğitim önerisi bu sistemleri kullanan ya da işleten kişilere yöneliktir. Tüm çalışanlar için genel bir eğitim önerisi değildir.

Belgelerde olmayanlar

Üç yayın da okundu. Şunlar yazmıyor:

• Eğitim zorunluluğu. Eğitim “katkı sağlayacaktır” diliyle geçer. Süre, sıklık, sınav, sertifika ya da nasıl belgeleneceği yazmaz. 15 soruda rehberde zorunlu olan, md. 12'deki “gerekli her türlü teknik ve idari tedbir”dir; eğitim bunun örneklerinden biridir.
• Ceza tutarı.
• Sohbet aracı adı ya da araç yasağı. Hiçbir belge çalışanların kullandığı sohbet araçlarını adıyla anmaz; Şubat 2026 rehberi toplu yasağı önermez.
• Kişisel hesap ile kurumsal hesap ayrımı.
• “Bağlayıcı değildir” ya da “hukuki görüş değildir” gibi bir sınır cümlesi. Belgeler bağlayıcılıktan söz etmez.

Şirket için ilk adımlar

Belgelerin önerilerinden sırayla:

1. Bugün ne kullanıldığını öğrenin. Çalışanlarınız hangi yapay zekâ araçlarını, hangi işte kullanıyor?
2. Kuralı yazın. Hangi araç, hangi iş, hangi bilgi girilir, hangisi girilmez. Tek sayfa yeterli olabilir.
3. Aracı belirleyin. Şirketin kullanım koşullarını bildiği araçları seçin, erişimi göreve göre verin.
4. Çalışana anlatın ve kayda alın. Kural duyurulur, eğitimle anlatılır. Kimin öğrendiğini bilirseniz soran olduğunda gösterebilirsiniz.
5. Soru sorulacak bir yol açın. Çalışan emin olmadığında kime soracağını bilsin.
6. Hukukçuya sorun. Yurt dışına aktarım, aydınlatma ve yapay zekâyı kendi sürecinize yerleştirdiğiniz durumlar şirketinize özel değerlendirme ister.

Kuralla bu işin neresinde

Kuralla'nın çalışanlara güvenli yapay zekâ kullanım eğitimi, 4. adımın aracıdır. Online bir eğitim: 6 kısa video ders, her derste 3 soru, toplam yaklaşık 30 dakika. Dersler KVKK'nın Şubat 2026 rehberini temel alır. Fiyatı kişi başı 8 USD, tek seferlik; bu erken erişim fiyatı 31 Aralık 2026'ya kadar geçerli.

KVKK eğitimin nasıl belgeleneceğini söylemiyor. Kuralla'da yönetici kimin tamamladığını panelden görür, tamamlama raporunu (Excel) istediği an indirir. Soran olursa bu raporu gösterirsiniz. Neyin yeterli sayılacağına denetleyen karar verir.

2. adım için ücretsiz, tek sayfalık bir yapay zekâ politikası şablonu gönderiyoruz.

Sık sorulan sorular