Enver KOÇAK
Bir satış temsilcisi, sinirli bir müşterinin uzun e-postasını sohbet botuna yapıştırıp “Buna kibar bir cevap yaz” diyor. Bir insan kaynakları uzmanı, mülakat notlarını özetletmek için tabloyu olduğu gibi aktarıyor. Bir muhasebeci, hata bulsun diye bordro dosyasının bir bölümünü kopyalıyor. Üçü de işini daha hızlı yapmaya çalışıyor ve üçü de farkında olmadan kişisel veriyi şirketin dışına, çoğu zaman da Türkiye’nin dışına göndermiş oluyor.
Bu yazı, sohbet botlarını kullanmayı bırakın demek için değil, kullanırken hangi noktada durup düşünmek gerektiğini netleştirmek için yazıldı. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) yapay zekâ için ayrı bir bölüm içermiyor; ama kanunun genel kuralları, bir metni sohbet kutusuna yapıştırdığınız anda da geçerli.
Yapıştır tuşuna bastığınızda aslında ne oluyor?
Sohbet kutusu, bir arama çubuğu gibi masum görünür. Oysa yazdığınız metin, hizmet sağlayıcının sunucularına iletilir, orada işlenir ve hizmetin ayarlarına göre bir süre saklanabilir. Bazı ücretsiz ya da bireysel hesaplarda, kullanıcı ayarı değiştirmediği sürece konuşmaların hizmeti geliştirmek için kullanılabileceği belirtilir. Kurumsal sürümlerde ise genellikle farklı ve daha sıkı koşullar uygulanır.
Hukuki açıdan bu tablo şu anlama gelir: Şirketiniz, elindeki kişisel veriyi üçüncü bir tarafa aktarmış ve o tarafın işlemesine imkân vermiştir. KVKK’nın dilinde şirketiniz büyük ihtimalle veri sorumlusu, hizmet sağlayıcı ise duruma göre veri işleyen konumundadır. Sorumluluk, veriyi yapıştıran çalışanın değil, kural olarak şirketin üzerindedir.
Kişisel veri, sandığınızdan geniş bir kavram
Pek çok kişi “İsim yazmadım, sorun yok” diye düşünür. KVKK ise kişisel veriyi, kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar. Yani bir bilginin tek başına kimseyi göstermemesi yetmez; başka bilgilerle birleştiğinde bir kişiye ulaştırıyorsa o da kişisel veridir.
Somut örnekler:
- “Ankara şubemizdeki tek kadın bölge müdürünün performans notları” ifadesi isim içermez ama kişiyi açıkça işaret eder.
- Bir müşteri şikâyetindeki sipariş numarası, telefonun son dört hanesi ve teslimat ilçesi bir araya geldiğinde kişiyi belirlenebilir kılar.
- Bir çalışanın rapor aldığı tarihleri ve tanısını içeren bir izin tablosu, sağlık verisi barındırır.
Son örnek ayrıca önemlidir. Sağlık, sendika üyeliği, din, biyometrik veri ve ceza mahkûmiyeti gibi bilgiler KVKK’nın 6. maddesinde özel nitelikli kişisel veri olarak sayılır ve işlenmeleri daha sıkı şartlara bağlıdır. Bu tür verilerin genel amaçlı bir sohbet botuna girmesi, çoğu şirket için kabul edilmesi zor bir risktir.
KVKK’nın dört düğüm noktası
Hukuki sebep
Kişisel veri, ancak kanunda sayılan bir işleme şartına dayanarak işlenebilir. Genel şartlar 5. maddede, özel nitelikli veriler için şartlar 6. maddede düzenlenmiştir. Müşterinin şikâyetine cevap vermek için onun verisini işlemek meşru olabilir; ama aynı veriyi üçüncü bir yapay zekâ hizmetine göndermenin de bu amaç ve hukuki sebep kapsamında kalıp kalmadığı ayrıca değerlendirilmelidir. Kanunun 4. maddesindeki genel ilkeler, özellikle “amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesi, burada pratik bir pusula işlevi görür: Cevap yazdırmak için müşterinin adı ve hesap numarası gerçekten gerekli mi?
Yurt dışına aktarım
Yaygın sohbet botlarının büyük kısmı veriyi yurt dışındaki sunucularda işler. KVKK’nın 9. maddesi yurt dışına aktarımı belirli şartlara bağlar. Bu madde 2024’te 7499 sayılı Kanun’la değiştirilmiş; yeterlilik kararı, standart sözleşme ve bağlayıcı şirket kuralları gibi uygun güvenceler sisteme eklenmiştir. Standart sözleşme kullanılıyorsa, imzadan sonra kısa bir süre içinde Kurum’a bildirim yapılması da gerekir. Kısacası, “Hizmet yurt dışında, ne yapalım” demek yetmez; aktarımın hangi mekanizmaya dayandığı bilinmelidir.
Aydınlatma
Kanunun 10. maddesi, veri sorumlusuna, kişileri verilerinin hangi amaçla işlendiği ve kimlere aktarılabileceği konusunda bilgilendirme yükümlülüğü getirir. Müşterilerinize ya da çalışanlarınıza verdiğiniz aydınlatma metinleri yapay zekâ hizmetlerine aktarımı hiç öngörmüyorsa, bu bir boşluktur.
Veri güvenliği
12. madde, veri sorumlusunun hukuka aykırı erişimi önlemek için uygun teknik ve idari tedbirleri almasını ister. Çalışanların kişisel hesaplarla, denetimsiz biçimde şirket verisi paylaşması, tam da bu tedbirlerin eksikliğine işaret eder.
Gölge yapay zekâ: Görmediğiniz risk
Kişisel Verileri Koruma Kurumu, 2026’nın başında iş yerlerinde üretken yapay zekâ araçlarının kullanımına dair bir farkındalık dokümanı yayımladı. Dokümanda öne çıkan kavramlardan biri gölge yapay zekâ: Çalışanların, şirketin bir politikası ya da yönlendirmesi olmadan, kendi tercihleriyle bu araçları iş için kullanması. Kurum’un yaklaşımı yasaklamaktan çok yönetmeye dönük; kurumsal bir kullanım politikası oluşturulması, mümkün olduğunca anonimleştirilmiş ya da genelleştirilmiş veri kullanılması ve çıktıların insan denetiminden geçirilmesi gibi öneriler öne çıkıyor. Kurum daha önce, 2025’in sonunda, üretken yapay zekâ ile kişisel verilerin korunması üzerine daha kapsamlı bir rehber de yayımlamıştı. Güncel metinler için Kurum’un resmî sitesine bakmak en doğrusu.
Yazmadan önce kendinize sorun: Yedi soruluk kontrol
- Bu metinde bir insana ulaştıran bilgi var mı? İsim, telefon, e-posta, T.C. kimlik numarası, adres, sipariş ya da müşteri numarası, plaka, IBAN.
- Özel nitelikli veri var mı? Sağlık, sendika, din, biyometri, adli sicil. Varsa durun.
- Bu işi verinin kendisi olmadan yapabilir miyim? Çoğu zaman evet. “Ahmet Yılmaz” yerine “Müşteri A”, gerçek tutar yerine “X TL” yazmak sonucu değiştirmez.
- Kullandığım hesap kurumsal mı, kişisel mi? Şirketin onayladığı, sözleşmesi yapılmış bir hizmet mi, yoksa kendi e-postanızla açtığınız ücretsiz bir hesap mı?
- Eğitim ve saklama ayarları ne durumda? Konuşmaların model geliştirmede kullanılmasını kapatma seçeneği var mı, açık mı?
- Bu bilgi aynı zamanda ticari sır mı? Teklif fiyatları, kaynak kodu, henüz duyurulmamış ürünler KVKK kapsamında olmasa da ayrı bir risk taşır.
- Bu çıktıyı kim kontrol edecek? Müşteriye ya da çalışana dair bir karar, sohbet botunun özetine dayanarak verilmemeli.
Anonimleştirme sanıldığı kadar kolay değil
İsmi silmek, veriyi anonim yapmaz. Anonimleştirme, verinin başka verilerle eşleştirilse bile kişiyle ilişkilendirilemeyecek hâle gelmesi demektir. Küçük bir şirkette “muhasebe departmanındaki yeni stajyer” ifadesi tek bir kişiyi gösterir. Bu yüzden pratikte iki yaklaşım birlikte kullanılmalı: Gereksiz ayrıntıyı tamamen çıkarmak ve kalan bilgiyi genelleştirmek. Örneğin “34 yaşında, Kadıköy’de oturan, iki çocuklu muhasebe uzmanı” yerine yalnızca “bir çalışan” yazmak, çoğu metin düzenleme işi için yeterlidir.
Kurumsal hesap her şeyi çözer mi?
Kurumsal sürümler genellikle verinin model eğitiminde kullanılmayacağını taahhüt eder, yönetim paneli, erişim kontrolü ve sözleşmesel güvenceler sunar. Bu önemli bir adımdır ama tek başına KVKK uyumu anlamına gelmez. Hukuki sebep, aydınlatma, yurt dışına aktarım mekanizması ve çalışanların hangi veriyi girebileceğine dair iç kurallar hâlâ şirketin sorumluluğundadır. Kurumsal hesap, iyi bir kilit gibidir; kapının hangi odalara açıldığına yine siz karar verirsiniz.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Şirketinize özgü değerlendirme için bir hukukçuya ve Kişisel Verileri Koruma Kurumu’nun güncel düzenlemelerine başvurmanız önerilir.
“KVKK ve yapay zekâ: Şirket verisini sohbet botuna yazmadan önce” haberi, Etesio Teknoloji’nin yapay zekâsı Safinaz tarafından Türkçeleştirilip yayına alınmıştır.
