Düzenleme yok, kural var
Türkiye'de yapay zekâya özgü, yürürlükte tek bir kanun bulunmuyor. TBMM'de farklı yaklaşımlarda teklifler var; Mart 2026'daki TBMM Yapay Zekâ Araştırma Komisyonu raporu bir Türkiye Yapay Zekâ Kurumu kurulmasını ve Avrupa Konseyi Yapay Zekâ Çerçeve Sözleşmesi'nin onaylanmasını öneriyor. Türkiye Yapay Zekâ Eylem Planı (2026–2030) ise 18 Ağustos 2026 tarihli Resmî Gazete'de genelge olarak yayımlandı.
Kurumların buradan çıkardığı sonuç genelde yanlış: "yapay zekâ kanunu yok" ile "kural yok" aynı şey değil. Yapay zekâ kullanımı bugün zaten KVKK'ya, iş hukukuna, fikri mülkiyete, sektörel düzenlemelere ve imzalanmış gizlilik sözleşmelerine tabi. Yeni bir kanunu beklemek mevcut yükümlülüğü ertelemiyor.
Düzenleyici de sessiz değil: Kişisel Verileri Koruma Kurumu 24 Kasım 2025 tarihinde "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)" başlıklı rehberi yayımladı. Uyum çalışmasının ilk adımı bu belgeyi okumak.
Asıl mesele: yurt dışına aktarım
Yabancı kaynaklı yapay zekâ eğitimlerinin hiçbirinde bulunmayan ama Türkiye'deki her kurumu doğrudan ilgilendiren konu bu.
7499 sayılı Kanun (12 Mart 2024) KVKK'nın 9. maddesini baştan yazdı; yeni rejim 1 Haziran 2024'te yürürlüğe girdi ve üç kademeli:
| Kademe | Araç | Bugünkü durum |
|---|---|---|
| 1 | Yeterlilik kararı | Hiçbir ülke için verilmiş değil |
| 2 | Uygun güvenceler — standart sözleşme, bağlayıcı şirket kuralları, taahhütname | Fiilen kullanılan yol |
| 3 | Arızi durumlar (m. 9/6) | Süreklilik arz eden aktarımda kullanılamaz |
Kurumların kullandığı üretken yapay zekâ araçlarının neredeyse tamamı yurt dışı merkezli ve hiçbir ülke için yeterlilik kararı yok. Sonuç: kişisel veri içeren bir metin bu araçlara girdiği anda, yeterlilik kararı bulunmayan bir ülkeye aktarım gerçekleşiyor ve doğrudan ikinci kademe — uygun güvence yükümlülüğü — devreye giriyor.
Kurul'un 04.06.2024 tarihli 2024/959 sayılı kararıyla standart sözleşme metinleri yayımlandı. Standart sözleşme, imzalandıktan sonra 5 iş günü içinde Kurul'a bildirilmek zorunda; bildirim yükümlülüğünün ihlali idari para cezasına bağlı.
Ama pratikte en hızlı çözüm hukuki değil operasyonel: kişisel veriyi bu araçlara hiç göndermemek. İşlerin büyük kısmında veri çıkarıldığında iş bozulmuyor.
Veri sınıflandırma: dört seviye, fazlası değil
| Seviye | İçerik | Yapay zekâ aracına |
|---|---|---|
| K1 — Açık | Yayımlanmış içerik, basın bülteni | Serbest |
| K2 — İç | Süreç tarifi, şablon, kimliksiz not | Kurumsal hesapta serbest |
| K3 — Gizli | Sözleşme, fiyat, strateji, finansal detay | Yalnız anonimleştirilerek |
| K4 — Özel | Kişisel veri, özlük, sağlık, erişim bilgisi | Yasak |
Sınıflandırmayı işe yarar kılan üç kural: dörtten fazla seviye kullanılmaz, her seviyenin tanımı değil kurumun kendi işlerinden bir örneği yazılır, ve karar verilemeyen içerik K4 sayılır.
Politika tek sayfa olmalı
Yirmi sayfalık politika okunmuyor ve okunmayan politika riski azaltmıyor. Davranışı değiştiren politika altı başlıktan oluşuyor: kapsam, veri kuralı, yasak kullanımlar, denetim, sorumluluk, bildirim.
Yasak listesi kısa olmalı — dört madde yetiyor: kişisel veri girilmez, müşteri kimliği girilmez, erişim bilgisi girilmez, çıktı denetlenmeden dışarı gitmez.
Tamamen yasaklamanın sonucu ise öngörülebilir: kullanım bitmiyor, kişisel hesaplara ve kişisel cihazlara kayıyor. O noktada kurumun ne denetim izi kalıyor, ne sözleşmesi, ne de neyin girdiğine dair bilgisi.
Kurumsal hesabın aldığı şey özellik değil
Aynı ürünün kişisel ve kurumsal sürümü hukuken aynı şey değil. Kurumsal hesapta sözleşme kurumla kuruluyor, yönetici paneli ve erişim kaydı bulunuyor, personel ayrıldığında erişim kesilebiliyor ve girdilerin model eğitimine kullanılmaması genelde taahhüt altına alınıyor.
Kişisel ücretsiz hesapla kurumsal iş yapmak, maliyeti düşük ama riski ölçülemez biçimde yüksek bir tercih: kurumun hiçbir hakkı ve hiçbir kaydı olmuyor.
Otomatik karar sınırı
KVKK'nın 11. maddesi ilgili kişiye, verilerinin münhasıran otomatik sistemlerle analiz edilmesi suretiyle kendisi aleyhine bir sonuç doğmasına itiraz hakkı veriyor. Kuruma pratik sonucu net: özgeçmiş eleme, risk skorlama ve performans değerlendirme gibi işlerde model hazırlık yapabilir, karar veremez — ve kararın insan tarafından verildiği gösterilebilir olmalı.
Ücretsiz PDF'te neler var
- Yürürlükteki mevzuatın kapsamı ve KVKK'nın üretken yapay zekâ rehberi
- Yurt dışına aktarımın üç kademesi ve yapay zekâ araçlarına etkisi
- Standart sözleşme yolunun pratiği ve 5 iş günlük bildirim yükümlülüğü
- Dört seviyeli veri sınıflandırma ve onu işe yarar kılan üç kural
- Tek sayfalık politikanın altı başlığı ve kısa yasak listesi
- Sağlayıcı ve hesap tipi için sorulacak altı soru
- Denetim izi, sahiplik ve 90 günlük uyum planı
Bu dersin tamamı PDF olarak hazır
Yukarıdaki bölümler dersin bir kısmı. Tamamı — tablolar, kopyalanabilir prompt'lar ve ilk yedi günlük plan dahil — ücretsiz PDF'te.