KVKK ve Yapay Zeka: Kurumsal AI Projelerinde Veri Uyumu Nasıl Kurulur?

Son güncelleme: 17 Ağustos 2026 · Yazar: Dr. Gökhan Tahıl, AI Yapay Zeka Mühendislik A.Ş. kurucusu

Kurumsal yapay zeka projelerinin çoğu model çalışmadığı için durmaz. Bütçe onaylanır, pilot çalışır, iş birimi sonucu beğenir. Sonra proje hukuk, bilgi güvenliği ve iç denetim masalarında bekler. Orada sorulan sorular teknik değildir: bu veri nereye gidiyor, kime erişim veriliyor, çıktı yanlışsa sorumluluk kimde, bu kararı denetim komitesine neye dayanarak anlatacağız. Cevapları proje başlamadan hazırlanmamış kurumlarda kaybedilen süre haftalarla değil aylarla ölçülür.

Bu yazı, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) bir yapay zeka projesine tam olarak nerede dokunduğunu, hangi kararların mimari aşamada verilmesi gerektiğini ve uyumun proje planına nasıl gömüleceğini anlatıyor. Hukuki görüş değil; teknik ekiple hukuk ekibinin aynı masada kullanabileceği bir çerçeve.

Kısa özet: kurumsal AI projelerinde KVKK uyumu neyi gerektirir?

• KVKK bir yapay zeka projesine tek bir onay adımında değil, sekiz ayrı noktada dokunur: hukuki sebep, amaçla bağlılık, veri minimizasyonu, aydınlatma, aktarım, saklama ve imha, ilgili kişi hakları, teknik ve idari tedbirler.
• Veri sorumlusu ile veri işleyen ayrımı sözleşmede netleşmeden hiçbir hukuk birimi imza atmaz.
• 1 Haziran 2024'ten itibaren yurt dışına aktarımda açık rıza yalnızca "arızi" hâllerde kullanılabilir. Her isteği yurt dışındaki bir servise gönderen bir üretim sistemi arızi sayılmaz.
• Sağlık ve biyometrik veri gibi özel nitelikli verilerde, Kurul'un 2018/10 sayılı kararında sayılan ek teknik tedbirler beklenir.
• On-premise kurulumda veri kurumun dışına çıkmaz; hibrit kurulumda hangi verinin nereye çıktığı tek tek yazılır. Bu ayrımı yapmayan bir teklif ilk teknik toplantıda dağılır.
• Anonim hâle getirilmiş veri Kanun kapsamı dışındadır; maskelenmiş veya takma adlı veri değildir. Model eğitiminde en sık yapılan hata budur.

Kurumsal yapay zeka projeleri neden teknikte değil uyum masasında tıkanır?

Pilot ile üretim arasındaki fark çoğu zaman verinin kendisidir. Pilotta örnek veya kısıtlı bir veri kümesiyle çalışılır; üretimde gerçek kişisel veri devreye girer. O anda kurum veri sorumlusu sıfatını taşır, yani kişisel verinin hangi amaçla ve nasıl işleneceğine karar veren ve veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan taraftır. Tedarikçi genellikle veri işleyen, yani veriyi sorumlunun verdiği yetkiye dayanarak onun adına işleyen taraftır.

İkinci tıkanma noktası sorumluluk zinciridir. Model bir öneri ürettiğinde bu öneriye kim uyacak, uymazsa ne olacak, yanlış çıktının sonucu kime yazılacak? Üçüncüsü denetimdir: iç denetim ve yönetim kurulu, verilen kararın neye dayandığını sonradan görebilmek ister. Üç sorunun da cevabı yazılım mimarisinde verilir, sunum slaytında değil.

KVKK bir yapay zeka projesinin hangi noktalarına dokunur?

Uyumu tek bir onay adımı gibi düşünmek yaygın bir hatadır. KVKK proje boyunca en az sekiz ayrı noktada devreye girer:

• Hukuki sebep: Veri hangi işleme şartına dayanarak işleniyor? Açık rıza tek yol değildir. KVKK m.5/2 sözleşmenin ifası, hukuki yükümlülük, bir hakkın tesisi ve meşru menfaat gibi başka şartlar da sayar. Açık rıza kurumsal senaryolarda en kırılgan olanıdır, çünkü her an geri alınabilir ve geri alındığında işlemenin dayanağı düşer.
• Amaçla bağlılık: Bir amaçla toplanmış veriyi model eğitiminde kullanmak yeni bir işleme faaliyetidir ve kendi dayanağını ister. KVKK m.4 verinin "belirli, açık ve meşru amaçlar için" ve "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü" işlenmesini zorunlu kılar.
• Veri minimizasyonu: Modelin ihtiyaç duymadığı alan veri setine hiç girmemelidir. En hızlı uyum kazancı buradadır: hiç toplanmayan alanın saklama, imha, aktarım ve ihlal riski de yoktur.
• Aydınlatma: KVKK m.10 aydınlatma metninde veri sorumlusunun kimliğini, işleme amacını, aktarılacağı tarafları, toplama yöntemini ve hukuki sebebi ister. Kanun metni "yapay zeka kullanıldığı" ifadesini ayrıca saymaz; ancak dürüstlük ilkesi ve aşağıda anlatılan itiraz hakkının kullanılabilir olması, otomatik sistem kullanımının anlaşılır biçimde belirtilmesini pratikte zorunlu kılar.
• Aktarım: Veri kurum dışına, özellikle yurt dışına çıkıyorsa ayrı bir rejim işler. Bu başlık aşağıda ayrıca ele alınıyor.
• Saklama ve imha: Eğitim veri setleri, ara çıktılar, vektör veritabanları ve kayıt dosyaları da saklama ve imha politikasının parçasıdır. İlgili yönetmelik uyarınca politikada belirlenen periyodik imha süresi her hâlde altı ayı geçemez. Projelerde en çok atlanan yer burasıdır.
• İlgili kişi hakları: KVKK m.11 bilgi talep etme, düzeltme, silme ve otomatik analize itiraz haklarını sayar. Bu talepleri karşılayabilmek, verinin sistemde nerede durduğunu bilmeyi gerektirir.
• Teknik ve idari tedbirler: KVKK m.12 uygun güvenlik düzeyini sağlamayı zorunlu kılar. VERBİS kayıt yükümlülüğü kapsamındaki kurumlarda yeni işleme faaliyetinin kayda yansıtılması da bu başlığa girer.

Veri ihlalinde 72 saat kuralı tam olarak nedir?

KVKK m.12/5 ihlalin "en kısa sürede" Kurul'a bildirilmesini ister. Kurul'un 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı bu süreyi somutlaştırır: veri sorumlusu ihlali öğrendiği tarihten itibaren en geç 72 saat içinde Kurul'a bildirmekle yükümlüdür. İlgili kişilere bildirim ayrı bir yükümlülüktür ve etkilenen kişiler belirlendikten sonra makul olan en kısa sürede yapılır.

Pratik sonuç şudur: o 72 saat içinde "hangi veriye, kim, ne zaman erişti" sorusuna cevap veremiyorsanız sorun hukukta değil, teknik hazırlıktadır. Erişim kayıtları ihlal anında toplanmaz; sistem tasarlanırken toplanır.

Yurt dışındaki bir yapay zeka servisine veri göndermek KVKK'ya göre ne demektir?

Bu, kurumsal AI projelerinde en çok yanlış anlaşılan başlıktır. 7499 sayılı Kanunla değiştirilen ve 1 Haziran 2024'te yürürlüğe giren KVKK m.9, kişisel verinin yurt dışına aktarılmasını üç kademeli bir yapıya bağladı:

1. Yeterlilik kararı. Kurul'un yeterli koruma sağladığını ilan ettiği ülke, sektör veya uluslararası kuruluşa aktarım yapılabilir. Güncel liste Kurum tarafından yayımlanır ve proje başında kontrol edilmelidir.
2. Uygun güvenceler. Yeterlilik kararı yoksa taraflar arasında standart sözleşme, bağlayıcı şirket kuralları, Kurul izinli taahhütname veya kamu kurumları arasında anlaşma gerekir. Standart sözleşme kullanıldığında, imzalanmasından itibaren beş iş günü içinde Kurul'a bildirilmesi zorunludur.
3. İstisnai hâller. İlk iki kademe yoksa, yalnızca arızi olmak kaydıyla sayılı istisnalar devreye girer. Açık rıza bu kademededir.

Buradaki kritik kelime "arızi"dir: seyrek, tekil, süreklilik göstermeyen aktarım anlamına gelir. Kullanıcının her isteğini yurt dışındaki bir modele gönderen bir üretim sistemi tanımı gereği süreklidir. Dolayısıyla "kullanıcıdan açık rıza alırız, sorun kalmaz" cümlesi 1 Haziran 2024 sonrası bir yapay zeka mimarisi için geçerli bir cevap değildir. Sürekli bir akış, uygun güvence kademesine bağlanmak zorundadır.

Sağlık verisi gibi özel nitelikli veriler neden ayrı bir eşik yaratır?

Sağlık, biyometrik ve genetik veriler gibi bazı veri türleri kanunda özel nitelikli kişisel veri olarak ayrılır (KVKK m.6). İşleme şartları daha dardır. Kurul'un 31 Ocak 2018 tarihli ve 2018/10 sayılı "Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler" kararı ise beklenen ek tedbirleri açıkça sayar:

• Özel nitelikli veriye özgü ayrı bir işleme ve koruma politikası
• Erişimi olan personel için yetki matrisi, gizlilik taahhüdü ve düzenli eğitim
• Verinin şifreli saklanması ve şifre anahtarlarının ayrı ortamda tutulması
• Erişim kayıtlarının tutulması ve düzenli gözden geçirilmesi
• Uzaktan erişimde en az iki kademeli kimlik doğrulama
• Fiziksel ortamda saklanıyorsa ortamın güvenliğinin ayrıca sağlanması

Pratikte bu şu anlama gelir: sağlıkta bir yapay zeka projesinde en sert itiraz modelin doğruluğuna değil, verinin kurum dışına çıkmasına gelir. Klinik taraf hasta güvenliğini, hukuk özel nitelikli veriyi, iç denetim izlenebilirliği sorar. Üçünü aynı anda karşılamayan bir mimari onay almaz. Aynı mantık finans ve kamu tarafında da geçerlidir; sadece itirazın adı değişir.

Kendi tarafımızdan bir gözlem: sağlık projelerinde %85 üzeri doğruluğa ulaşmak, bir hastane grubu için yürüttüğümüz görüntü tabanlı tanı destek sistemi gibi işlerde projeyi ilerleten faktör olmadı. Projeyi ilerleten, verinin kurum sınırı içinde kalan bir mimariyle çalıştığını gösterebilmekti.

Veri kurumdan çıkmadan yapay zeka çalıştırmak mümkün mü?

Evet, ve regüle sektörlerde bu genellikle en pratik cevaptır. On-premise, yani kurum içi kurulum, modelin kurumun kendi sunucularında çalıştırılması demektir. Bugün açık kaynak büyük dil modelleri (LLM: metni anlayıp metin üreten büyük ölçekli modeller) ve görüntü modelleri kurum içinde makul donanımla çalıştırılabiliyor. Dağıtım genellikle Docker konteyner yapısıyla yapılır: uygulama tüm bağımlılıklarıyla birlikte paketlenir ve yalıtılmış biçimde çalışır, böylece kurulum kurumdan kuruma tekrarlanabilir hale gelir.

Burada dürüst olmak gerekir, çünkü her mimari tam kapalı değildir. Ticari bir API (bir yazılımın başka bir yazılıma istek gönderip cevap aldığı arayüz) kullanıldığı anda gönderdiğiniz içerik kurum dışına çıkar.

Doğru cümle şudur: on-premise kurulumda veri kurumun dışına çıkmaz; hibrit kurulumda hangi verinin nereye çıktığı tek tek yazılır ve aktarım rejimine bağlanır. Bu ayrımı yapmayan bir teklif ilk teknik toplantıda dağılır. Kurum içinde kalan bileşenle dışarı çıkan bileşenin sınırı, teklif aşamasında yazılı bir veri akış şemasıyla gösterilmelidir.

AI Yapay Zeka Mühendislik A.Ş. bu nedenle kurum içi yapay zeka kurulumu tarafında on-premise ağırlıklı çalışır ve bulut seçeneğini opsiyonel tutar. Lokal açık kaynak modeller ile ticari API entegrasyonları hibrit biçimde birlikte kullanılabilir; dağıtım Docker konteyner tabanlıdır.

Model eğitiminde kullanılan veri için hangi kurallar geçerli?

Eğitim verisi, uyumun en çok atlandığı alandır. Başlamadan önce üç kavramı birbirinden ayırmak gerekir:

• Anonim hâle getirme: Verinin, başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hâle getirilmesidir. Doğru yapıldığında sonuç artık kişisel veri değildir ve KVKK kapsamı dışına çıkar. Eşik yüksektir: bir sütunu silmek anonimleştirme değildir.
• Maskeleme veya takma adlaştırma: Kimlik bilgisinin bir anahtarla değiştirilmesidir. Anahtar bir yerde durduğu için işlem geri döndürülebilir. Bu veri hâlâ kişisel veridir ve Kanun'un tamamı uygulanır. Sahada en sık karşılaşılan hata, maskelenmiş veriyi anonim sanmaktır.
• Sentetik veri: Gerçek veriden türetilen yapay kayıtlardır. Üretim yöntemi zayıfsa orijinal kayıtlara geri çıkarım mümkün olabilir; bu nedenle "sentetik" etiketi tek başına muafiyet sağlamaz.

İkinci mesele, verinin modele geçmesidir. Bir kişisel veri eğitim setinde yer aldıysa ve o setle model eğitildiyse, silme talebi geldiğinde veri setinden kaydı silmek çoğu zaman yeterli olmaz; modelin o veri olmadan yeniden eğitilmesi gündeme gelebilir. Bunun maliyeti proje sonunda değil, proje başında hesaplanmalıdır. Pratik önlem üçtür: kişisel veriyi eğitim setine hiç almamak, alınıyorsa kaynak kaydı ile eğitim sürümünü ilişkilendiren bir kayıt tutmak ve yeniden eğitim maliyetini planda göstermek.

"Münhasıran otomatik" karar nedir ve neden bir mimari karardır?

KVKK m.11/1-(g), ilgili kişiye "işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme" hakkı verir. Buradaki belirleyici kelime "münhasıran"dır: sonuç yalnızca otomatik sistem tarafından üretiliyorsa bu hak doğar.

Bu, hukuki bir ayrıntı gibi görünür ama doğrudan mimariyi belirler. Karar zincirine anlamlı bir insan onayı katmanı koyup koymamak, sistemin hangi rejime gireceğini değiştirir. Anlamlı olması için insan onayının biçimsel olmaması gerekir: onaylayan kişinin gerekçeyi görmesi, değiştirme yetkisinin bulunması ve bu müdahalenin kayda geçmesi gerekir. Otomatik sonucu tek tuşla onaylayan bir ekran, insan katmanı sayılmaz.

İtiraz hakkı fiilen kullanılabilir olsun isteniyorsa, sistemin o kararı hangi girdilerle ürettiğini sonradan gösterebilmeniz gerekir. Bu da girdi, model sürümü, çıktı ve zaman damgasının birlikte kaydedilmesi demektir. Yapay zeka sistemlerinde açıklanabilirlik bir sunum başlığı değil, bir kayıt tasarımı meselesidir.

Uyum proje planına nasıl gömülür?

Uyum, projenin sonunda hukuk biriminin kontrol ettiği bir aşama değil, her fazın içine dağıtılan bir iştir. Pratikte işleyen sıralama şudur:

1. Keşif: Hangi veri, nereden, hangi alanlarla geliyor? Veri envanteri çıkarılır, gereksiz alanlar burada elenir.
2. Mimari: On-premise, hibrit veya bulut kararı verilir ve veri akış şeması yazılır. Bu adım atlanırsa sonraki her adım varsayıma dayanır.
3. Hukuki zemin: Her işleme faaliyeti için m.5 veya m.6 şartı belirlenir; yurt dışına çıkan akış varsa m.9 kademesi seçilir.
4. Sözleşme: Veri sorumlusu ve veri işleyen rolleri, talimat sınırları, alt işleyen kullanımı, güvenlik taahhütleri, proje sonunda iade ve imha yazılır.
5. Geliştirme: Minimizasyon, yetki matrisi, şifreleme ve erişim kaydı koda girer. Sonradan eklenen log, ihlal anında eksik log demektir.
6. Devreye alma: Aydınlatma metni güncellenir, insan onayı katmanı ve itiraz kanalı çalışır hâle getirilir.
7. İşletme: Periyodik imha çalıştırılır, erişim kayıtları gözden geçirilir, ihlal müdahale planı tatbikatla denenir. 72 saatin ilk provası ihlal günü yapılmamalıdır.

Proje başlamadan cevaplanması gereken on soru

1. Bu projede kim veri sorumlusu, kim veri işleyen?
2. Hangi kişisel veri alanları modele giriyor ve her biri gerçekten gerekli mi?
3. Özel nitelikli veri var mı? Varsa 2018/10 tedbirleri karşılanıyor mu?
4. Her işleme faaliyetinin dayandığı işleme şartı yazılı mı?
5. Veri kurum sınırını aşıyor mu? Aşıyorsa hangi m.9 kademesine bağlandı?
6. Aktarım sürekli mi, arızi mi?
7. Eğitim verisi anonim mi, maskelenmiş mi? Bu ayrım belgelenmiş mi?
8. Silme talebi geldiğinde eğitim setinde ve modelde ne olacak?
9. Karar münhasıran otomatik mi? İnsan onayı anlamlı mı?
10. Erişim kayıtları 72 saat içinde soru cevaplayabilecek ayrıntıda mı?

Sık sorulan sorular

Yapay zeka projesinde açık rıza almak KVKK uyumu için yeterli mi?

Hayır. Açık rıza KVKK m.5'teki işleme şartlarından yalnızca biridir ve her an geri alınabildiği için kurumsal senaryolarda en kırılgan olanıdır. Ayrıca rıza; amaçla bağlılık, veri minimizasyonu, saklama ve imha, güvenlik tedbirleri ve ilgili kişi hakları gibi diğer yükümlülükleri ortadan kaldırmaz. Uyum tek bir onaya değil, sekiz ayrı başlığa yayılır.

Yurt dışındaki bir yapay zeka API'sine kişisel veri gönderebilir miyim?

Ancak KVKK m.9'un öngördüğü kademelerden birine bağlarsanız. Kurul'un yeterlilik kararı varsa aktarım yapılabilir; yoksa standart sözleşme, bağlayıcı şirket kuralları veya Kurul izinli taahhütname gibi uygun güvenceler gerekir. Açık rıza yalnızca arızi, yani süreklilik göstermeyen aktarımlar için kullanılabilir; her isteği dışarı gönderen bir üretim sistemi bu tanıma girmez.

On-premise yapay zeka kurulumu KVKK uyumunu tek başına sağlar mı?

Hayır, ama en zor başlığı ortadan kaldırır. Veri kurumun kendi sunucularında kaldığı için yurt dışına aktarım rejimi devreye girmez. Buna karşılık hukuki sebep, amaçla bağlılık, veri minimizasyonu, aydınlatma, saklama ve imha ile erişim kayıtları yükümlülükleri aynen devam eder. On-premise bir uyum belgesi değil, uyumu kurmayı kolaylaştıran bir mimari tercihtir.

Model eğitiminde kullanılan veriyi maskelemek yeterli mi?

Yeterli değildir. Maskeleme veya takma adlaştırma bir anahtarla geri döndürülebildiği için sonuç hâlâ kişisel veridir ve KVKK'nın tamamı uygulanır. Kanun kapsamından yalnızca doğru yapılmış anonim hâle getirme çıkarır; bu da verinin başka verilerle eşleştirilse dahi bir kişiyle ilişkilendirilememesini gerektirir. Bir kimlik sütununu silmek anonimleştirme sayılmaz.

Kişisel veri ihlalinde KVKK bildirim süresi ne kadar?

Kurul'un 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrendiği tarihten itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirmek zorundadır. İlgili kişilere bildirim ayrı bir yükümlülüktür ve etkilenen kişiler belirlendikten sonra makul olan en kısa sürede yapılır. Bu süreyi karşılayabilmek, erişim kayıtlarının ihlalden önce toplanıyor olmasına bağlıdır.

Sağlık verisiyle yapay zeka projesi yürütmek için hangi ek tedbirler gerekir?

Sağlık verisi KVKK m.6 kapsamında özel nitelikli kişisel veridir. Kurul'un 2018/10 sayılı kararı ayrı bir işleme politikası, personel için yetki matrisi ve gizlilik taahhüdü, verinin şifreli saklanması ve anahtarların ayrı tutulması, erişim kayıtlarının tutulup gözden geçirilmesi ve uzaktan erişimde en az iki kademeli kimlik doğrulama bekler. Bu tedbirler mimariye yansımadan klinik onay süreci ilerlemez.

ISO/IEC 42001 belgesi KVKK uyumunun yerine geçer mi?

Hayır. ISO/IEC 42001 bir yapay zeka yönetim sistemi standardıdır; kurumun yapay zeka faaliyetlerini nasıl yönettiğini, risklerini nasıl değerlendirdiğini ve süreçlerini nasıl belgelediğini denetlenebilir hâle getirir. KVKK ise kişisel veri işlemenin hukuki çerçevesidir. İkisi birbirini tamamlar: 42001 yönetişimi belgelendirir, KVKK uyumu ayrıca kurulur. AI Yapay Zeka Mühendislik A.Ş. ISO 42001 belgesine sahiptir ve aynı standart için danışmanlık verir.

Sonuç

Kurumsal yapay zeka projelerinde uyum, modelin doğruluğundan sonra gelen bir formalite değil, mimarinin kendisidir. Veri sorumlusu ayrımı, aktarım kademesi, eğitim verisinin statüsü, insan onayının anlamlı olup olmadığı ve erişim kayıtlarının ayrıntısı; bunların hepsi kod yazılmadan önce verilen kararlardır. Sonradan verilmeye çalışıldığında proje durmaz, sadece aylarca bekler.

Kurumunuzda kurum içi veya hibrit bir yapay zeka mimarisi kurgulamayı değerlendiriyorsanız, veri akış şemasını proje başında birlikte çıkarmak en hızlı yoldur. Bize ulaşabilirsiniz.

Ücretsiz danışmanlık için bize ulaşın

← Tüm yazılar