KVKK'nın Üretken Yapay Zeka Rehberi: Çalışanlar İçin 10 Pratik Kural

Yapay zeka kullanımı arttıkça en sık sorulan sorulardan biri şu: "Bu araca kişisel veri girersem KVKK açısından sorun olur mu?" Kişisel Verileri Koruma Kurumu, Kasım 2025'te yayımladığı "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)" ile bu konuya önemli bir çerçeve çizdi.

Bu yazıda rehberin ana mesajlarını özetliyor ve çalışanların günlük işte uygulayabileceği pratik kurallara dönüştürüyoruz. Yazı hukuki görüş değildir; kurumunun özel durumları için hukuk biriminden destek almalısın.

Rehberin ana mesajları

KVKK yapay zekada da geçerli. Yapay zeka sisteminin yaşam döngüsünün herhangi bir aşamasında (eğitim, kullanım ya da çıktı üretimi) kişisel veri işleniyorsa 6698 sayılı Kanun uygulanır.

"Anonim" iddiası kanıtlanmalı. Bir verinin anonim olduğunu söylemek yetmez; bunun teknik ve nesnel ölçütlerle doğrulanması gerekir.

Hazır modeli kullanan da sorumlu. Hazır bir yapay zeka aracını kendi amaçları için kullanan kuruluş, bu işlemeler bakımından genellikle veri sorumlusu sayılır. Yani "aracı başkası yaptı" demek sorumluluğu ortadan kaldırmaz.

Temel ilkeler değişmiyor. Hukuka uygunluk, doğruluk, belirli ve meşru amaç, veri minimizasyonu ve gerektiği kadar saklama ilkeleri yapay zeka için de geçerli.

Yurt dışı aktarıma dikkat. Birçok yapay zeka hizmeti yurt dışındaki sunucularda çalışıyor. Bu durum kişisel verilerin yurt dışına aktarımı kurallarını gündeme getiriyor.

Şeffaflık ve haklar. Kullanıcılar bir yapay zekayla etkileşimde olduklarını bilmeli ve erişim, düzeltme, silme ve itiraz gibi haklarını kullanabilmeli.

Bireylere uyarı. Rehber, kullanıcıların yapay zeka sistemlerine kimlik ve iletişim bilgileri gibi tanımlayıcı bilgileri ve hassas verileri girmekten kaçınmasını öneriyor.

Çalışanlar için 10 pratik kural

1. İsim yerine rol kullan

"Ahmet Yılmaz'ın performans değerlendirmesini yaz" yerine "Satış ekibindeki bir çalışanın performans değerlendirmesi için taslak yaz" de. Çoğu iş için gerçek isme ihtiyaç yoktur.

2. Kimlik ve iletişim bilgilerini çıkar

T.C. kimlik numarası, telefon, e-posta, adres gibi bilgileri metne yapıştırmadan önce sil ya da "[Müşteri A]" gibi yer tutucularla değiştir.

3. Hassas veriyi hiç girme

Sağlık, sendika üyeliği, din, etnik köken, ceza mahkûmiyeti gibi özel nitelikli kişisel veriler, kurumun özel bir değerlendirme yapmadığı hiçbir yapay zeka aracına girilmemeli.

4. Kurumsal aracı tercih et

Kurumun veri işleme sözleşmesi yaptığı, ayarları yapılandırılmış kurumsal araçlar, kişisel hesaplara göre çok daha güvenlidir.

5. Ayarları kontrol et

Kullandığın aracın, girdiğin verileri modeli eğitmek için kullanıp kullanmadığını kontrol et. Birçok araçta bu ayar kapatılabilir.

6. Toplu veri yükleme konusunda dikkatli ol

Müşteri listesi ya da çalışan tablosu gibi dosyaları analiz için yüklemeden önce, gerçekten tüm sütunlara ihtiyaç olup olmadığını düşün. Gerekmeyen kişisel veri sütunlarını sil.

7. Çıktıdaki kişisel verilere de dikkat et

Yapay zeka bazen gerçek kişilerle ilgili yanlış bilgi üretebilir. Bir kişi hakkında yapay zekanın ürettiği bilgiyi doğrulamadan kullanma ve paylaşma.

8. Müşteri yüzlü kullanımda bilgilendir

Müşterilerle iletişimde bir sohbet botu kullanılıyorsa, müşterinin bir yapay zekayla konuştuğunu bilmesi gerekir. Aydınlatma metinleri de bu kullanımı kapsamalı.

9. Hata olursa hemen bildir

Yanlışlıkla kişisel veri girdiysen bunu saklama; kurumun belirlediği kişiye ya da birime hemen bildir. Erken bildirim, olası zararı azaltmanın en etkili yolu.

10. Şüphedeysen sor

"Bunu girebilir miyim?" diye düşünüyorsan, cevap muhtemelen "önce sor" olmalı. Kurumdaki KVKK sorumlusu ya da hukuk birimi bu sorular için var.

Kurumlar için kısa kontrol listesi

• Hangi yapay zeka araçlarının hangi süreçlerde kullanıldığı biliniyor mu?
• Bu araçlar için veri işleme sözleşmeleri ve yurt dışı aktarım değerlendirmesi yapıldı mı?
• Yüksek riskli kullanımlar için veri koruma etki değerlendirmesi yapılıyor mu?
• Aydınlatma metinleri yapay zeka kullanımını kapsıyor mu?
• Çalışanlara kısa bir eğitim verildi mi?

Rehber ayrıca yapay zekaya özgü güvenlik risklerine de dikkat çekiyor: istem enjeksiyonu, modelden veri çıkarma girişimleri gibi. Bu konularda kırmızı takım testleri ve mahremiyet artırıcı teknolojiler öneriliyor.

Son söz

KVKK'nın rehberi, yapay zekayı yasaklamıyor; kişisel veriyi korumanın kurallarının yapay zeka için de geçerli olduğunu hatırlatıyor. Çalışanlar için en etkili kural en basit olanı: İşi yapmak için gerçekten gerekmeyen kişisel veriyi hiçbir zaman yapay zekaya verme.