KVKK Yapay Zeka Rehberi: Şirketler için 15 Soru

Kısaca: KVKK yapay zeka rehberi, Kişisel Verileri Koruma Kurumu'nun üretken yapay zeka sistemlerinde kişisel verilerin korunmasını 15 soru üzerinden anlatan, Kasım 2025 tarihli yayınıdır. Bir kanun metni değil, Kurum'un yol gösterici bir rehberidir ve kişisel veri konularını 6698 sayılı Kanun çerçevesinde ele alır. Şirketler için başlangıç noktası aracın adı değil, kullanım amacı, işlenen veri ve sürece katılan taraflardır.

Kişisel Verileri Koruma Kurumu (KVKK), Üretken Yapay Zeka ve Kişisel Verilerin Korunması Rehberi'ni 24 Kasım 2025'te duyurdu. Adındaki "15 Soruda" ifadesi yapısını da anlatıyor: rehber önce üretken yapay zekanın nasıl çalıştığını, nerede kullanıldığını ve hangi riskleri taşıdığını açıklıyor, ardından bu sistemlerdeki kişisel veri işlemeyi Kanun çerçevesinde ele alıyor, sonda da bireylere ve ebeveynlere öneriler veriyor. Şirketler için pratik değeri şurada: her soru, bir yapay zeka projesinde içeride cevaplanması gereken bir soruya karşılık geliyor.

KVKK yapay zeka rehberi yeni bir kanun değil, Kurum'un Kasım 2025 tarihli, Yayın No: 113 olan yol gösterici yayınıdır. Rehberin amaç ve kapsam bölümü, üretken yapay zeka sistemlerinin yaşam döngüsü boyunca yürütülen kişisel veri işleme faaliyetlerinde veri sorumlusu niteliği taşıyan aktörlere yol göstermeyi hedeflediğini yazıyor ve bu faaliyetleri 6698 sayılı Kişisel Verilerin Korunması Kanunu çerçevesinde ele aldığını belirtiyor (s. 8).

Bu, yükümlülüklerin rehberden değil Kanun'dan geldiği anlamına gelir. Rehberin kendi ifadesiyle 6698 sayılı Kanun, teknolojiden bağımsız olarak kişisel verinin işlendiği her durumda geçerli genel bir hukuki çerçevedir ve üretken yapay zeka sistemleri de bu çerçevede değerlendirilir (s. 25). Rehber hiçbir aracı ya da ürünü adıyla anmıyor, bir aracı yasaklamıyor ya da onaylamıyor. Onun yerine her işleme faaliyetini amacı, verisi ve tarafları üzerinden değerlendirmeyi anlatıyor. Bu yazı hukuki görüş yerine geçmez. Somut işlemi hukuk ekibinizle değerlendirin.

Önce tek bir işi tanımlayın: hangi ekip, hangi girdiyle, hangi çıktıyı üretecek ve o çıktıyı kim kontrol edecek? "Yapay zeka kullanacağız" cümlesi değerlendirilebilecek bir iş tarif etmez, "İK ekibi gelen özgeçmişleri özetleyecek" cümlesi eder.

Rehberin ilk dört sorusu bu tanım için gereken teknik çerçeveyi veriyor. 1. soru üretken yapay zekayı, kullanıcının istemine (prompt) yanıt olarak metin, görsel, video, ses ya da yazılım kodu üretebilen yapay zeka türü olarak tanımlıyor. 2. soru içeriğin nasıl üretildiğini anlatırken, en yaygın kullanım alanları oldukları için metin ve görsel üretimine odaklanıyor. 3. soru modelin yaşam döngüsünü kullanım amacının belirlenmesinden veri toplamaya, eğitim ve ince ayara (fine-tuning), değerlendirmeye ve kullanıma almaya kadar aşamalara ayırıyor. 4. soru ise müşteri hizmetlerinden sağlığa, yazılım geliştirmeden hukuka uzanan kullanım alanlarını sıralıyor. Metin üreten modellerin nasıl çalıştığını LLM nedir yazımızda anlattık.

Yaşam döngüsü ayrımı şirket içinde de işe yarıyor. Bir modeli sıfırdan eğitmek, hazır bir modeli ince ayarla uyarlamak ve çalışanın hazır bir araca prompt yazması farklı işlemlerdir ve birini anlatan açıklama diğerini kendiliğinden kapsamaz. Rehber de bir dil modelini geliştirmek ile o modele dayalı bir uygulama geliştirmeyi veri koruma açısından farklı amaçlar olarak görüyor (Örnek 8, s. 36).

İlk iş olarak bir sayfalık bir kullanım senaryosu ve basit bir veri akışı çizimi hazırlayın. Çizimde verinin kaynağı, uygulama, model, kayıtlar (log) ve çıktının gittiği yer görünsün. Modelin eğitiminde kullanılan veriyi, günlük kullanımda yüklenen dosyalardan ayrı satırlara yazın. Sağlayıcıdan henüz yanıt gelmeyen noktaları tahminle doldurmayın, açık soru olarak bırakın. Böylece sonraki toplantıda herkes aynı sistemi konuşur.

Rehberin 5. sorusu üretken yapay zekanın risklerini halüsinasyonlar, yanlı çıktılar, verilerin gizliliği ve güvenliği, fikri mülkiyet ihlalleri ve deep fake başlıklarında topluyor. Halüsinasyon, gerçekle örtüşmeyen ama çoğu zaman makul ve ikna edici görünen içerik demek. Rehbere göre bu modeller istemi anlamaktan çok, eğitildikleri veriye dayanarak istatistiksel olarak en olası çıktıyı üretir, bu yüzden düzgün yazılmış bir yanıt da yanlış olabilir. Gizlilik tarafında ise kullanıcıların istemlerde paylaştığı kişisel verilerin ve kurumsal açıdan hassas bilgilerin açığa çıkma riski var (s. 23).

6. soru, kişisel verinin nerede işlendiğini soruyor ve yanıtı eğitimle sınırlamıyor. Eğitim veri kümelerinin oluşturulması ve eğitim süreci kadar, sistem çalışırken girilen veriler ve üretilen çıktılar da kişisel veri işleme sayılabiliyor (s. 24). Rehber bir adım daha atıyor: girdide kişisel veri bulunmaması Kanun kapsamındaki işlemeyi ortadan kaldırmıyor, çünkü model eğitimde öğrendiği bilgilerle çıktıda gerçek bir kişiye ait veri üretebilir (s. 25). Rehberin 3. örneğinde ünlü bir Türk fizikçinin başarı hikayesini isteyen genel bir istem, çıktıda gerçek bir kişinin adını, çalışma geçmişini ve ödüllerini getiriyor.

Kurgusal bir örnek düşünelim. Bir İK ekibi aday özgeçmişlerini bir dil modeliyle özetlemek istiyor. Dosyalarda ad, telefon ve iş geçmişi var ve model, adayın hiç belirtmediği bir deneyimi özete ekleyebiliyor. Ekibin burada iki şeye bakması gerekiyor: modele hangi alanları gönderdiğine ve özetin kaynak dosyayla tutarlı olup olmadığına. İlki kişisel veri sorusu, ikincisi halüsinasyon sorusu, ama ikisi aynı iş akışının içinde. Rehber de bu ikisini birbirine bağlıyor: müşteri şikayetlerini özetleyen bir modelin kişisel verileri eksik ya da hatalı yansıtması, doğruluk ilkesine aykırılık oluşturabiliyor (Örnek 7, s. 34).

Akla ilk gelen çözüm isimleri silmek ya da yer tutucuyla değiştirmek. Rehberin anonimleştirme bölümü ise anonim hale getirmeyi, bir veri kümesindeki tüm doğrudan ve dolaylı tanımlayıcıların çıkarılması ya da değiştirilmesi olarak açıklıyor ve anonim olduğu ileri sürülen verinin gerçekten anonim olup olmadığının teknik yöntemler ve nesnel ölçütlerle ortaya konmasını istiyor. Adı çıkarılmış bir özgeçmişte okul, eski işveren, unvan ve tarihler kişiyi hala tanınır kılabilir. Bu yüzden yalnızca isimleri değiştirmek anonimlik iddiası için yeterli kanıt olmaz. Rehbere göre veri anonim hale getirilene kadar kişisel veri niteliğini korur ve bu süreçteki işleme de Kanun'a uygun yürütülmelidir. Kişisel ve gizli veriyi açığa çıkarmadan LLM kullanmanın yollarını, yani PII maskeleme, geri döndürülebilir takma adlandırma (pseudonymization), anonimleştirme ve veri yerelliği mimarilerini Gizlilik Korumalı LLM Mimarileri eğitimimizde anlatıyoruz.

Rehber bu üç konuyu 7, 8 ve 9. sorularda ele alıyor: rolleri tarafların fiili kontrolüne göre belirliyor, Kanun'un genel ilkelerini yaşam döngüsünün her aşamasına uyguluyor ve her işleme faaliyeti için ayrı bir hukuki sebep arıyor.

7. soru, veri sorumlusunu işleme amaçlarını ve vasıtalarını belirleyen kişi olarak tanımlıyor ve rolün tespitinde kimin neye karar verdiğine bakılmasını istiyor: hangi verinin kimden toplanacağına, hangi amaçla kullanılacağına, kiminle paylaşılacağına ve ne kadar saklanacağına. Rehbere göre taraflar arasındaki sözleşme, kimin veri sorumlusu ya da veri işleyen olduğunu tek başına belirleyemez. Belirleyici olan, sözleşmedeki ifadelerden çok tarafların fiili kontrolü ve karar alma yetkisidir (s. 28).

Rehberin kendi örneği de bir İK birimi. Aday özgeçmişlerini LLM tabanlı bir sistemle özetleyen ve ilan kriterlerine göre ön değerlendirme puanı üreten şirket, modeli başkası geliştirmiş olsa bile sisteme hangi verilerin yükleneceğine ve çıktıların nasıl değerlendirileceğine karar verdiği için veri sorumlusu olarak değerlendirilebiliyor (Örnek 4, s. 29). Kapalı erişimli modellerde ise kullanıma alan kuruluşun her bilgiye erişemeyebileceğini kabul ediyor ve rolleri belirlerken hangi bilgilere erişilebildiğine bakılmasını öneriyor. Bu yüzden her sağlayıcıya aynı rolü yazmak yerine, hangi aşamada kimin neye karar verdiğini gösteren bir karar haritası hazırlayıp hukuk incelemesine sunun.

8. soru, Kanun'un 4. maddesindeki ilkelerin üretken yapay zeka sistemlerinde de her durumda uygulanması gerektiğini söylüyor: hukuka ve dürüstlük kurallarına uygunluk, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaç, amaçla bağlantılı, sınırlı ve ölçülü olma ve gerekli süre kadar saklama. Rehber, üretken yapay zeka sistemlerinde kullanmak ya da "veri tabanımızı geliştirmek" gibi muğlak amaçların belirli amaç ilkesine aykırı düşebileceğini açıkça yazıyor (s. 35).

Ölçülülük için rehberin örneği yine işe alımdan: özgeçmişleri analiz edecek bir sistem için geçmiş başvurular kullanılacaksa, yalnızca sistemin amacına ulaşması için gerekli veriler işlenmeli (Örnek 9, s. 37). Saklama tarafında ise geçmiş müşteri destek yazışmalarıyla model eğiten bir e-ticaret şirketinin bu kayıtları "ileride yeni sürümler geliştirilebileceği" gerekçesiyle belirsiz süre saklamasının ilkeye aykırılık doğurabileceğini söylüyor (Örnek 10, s. 38).

Kullanım senaryonuza bu iki ilkeden doğan soruları ekleyin. Özet için tüm dosya gerekli mi? Deneme dosyaları ve model kayıtları nerede, ne kadar süre kalıyor? Kayıtlar bu sorunun kolay unutulan kısmı. LLM ve ajan kayıtlarından kişisel veriyi ayıklamayı, saklama sürelerini ve erişim kontrolünü Loglarda Veri Minimizasyonu ve KVKK Uyumu eğitimimizde ele alıyoruz.

9. soru, üretken yapay zeka ile yapılan her kişisel veri işlemenin Kanun'un 5. maddesindeki, özel nitelikli veriler için de 6. maddesindeki şartlardan en az birine dayanması gerektiğini söylüyor. Rehbere göre modelin geliştirilmesi, çalıştırılması ve çıktılarının kullanılması ayrı işleme faaliyetleri olabilir ve her biri için ayrı bir işleme şartı belirlemek gerekir (s. 40). Rehberin örneğinde kullanıcının girdisini modeli çalıştırmak için işlemek ile aynı girdiyi modeli geliştirmek için kullanmak iki ayrı faaliyet.

Rehberin yaklaşımı her işlem için açık rıza almak da değil. Kanun'un 5. maddesinde açık rıza ilk sırada yer alsa da işleme şartları arasında bir hiyerarşi yok (s. 40). İşleme açık rıza dışındaki bir şarta dayanabiliyorsa ayrıca açık rıza istemek, rehbere göre ilgili kişiyi yanıltır ve dürüstlük kurallarına aykırı bir durum yaratır (s. 40-41). Özel nitelikli kişisel veriler ise ayrı bir çerçevede değerlendiriliyor: bu veriler için sözleşme ve meşru menfaat şartları bulunmuyor ve Kurul'un 2018/10 sayılı kararındaki yeterli önlemlerin üretken yapay zeka sistemlerinde de dikkate alınması gerekiyor (s. 46). Hukuki sebep değerlendirmesini kimin yapacağını kullanım senaryosunda kayda geçirin. Hazırladığınız envanter bir hukuki sebep değildir, hukuk ekibinin değerlendirmesine girdidir.

Yurt dışında yerleşik bir sağlayıcının üretken yapay zeka sistemini kullanırken kişisel veri yurt dışına aktarılıyorsa, rehberin 10. sorusuna göre bu aktarım Kanun'un 9. maddesine ve 10 Temmuz 2024'te Resmi Gazete'de yayımlanan yurt dışına aktarım yönetmeliğine uygun yapılmalı (s. 48). Rehber 9. maddenin yollarını sırasıyla anlatıyor: önce yeterlilik kararı, yeterlilik kararı yoksa uygun güvenceler, ikisi de yoksa yalnızca arızi hallerde aktarım (s. 47). Yani aktarım tek bir genel izne bağlı değil ve hangi yolun kullanılacağı her aktarım için ayrıca belirlenmeli. Rehber, yurt dışına aktarılan verinin sonraki aktarımları için de Kanun'daki güvencelerin sağlanmasını istiyor.

İnceleme için veriyi alan tarafı, gönderilen alanları, verinin işlendiği ve saklandığı ülkeyi, sonraki aktarımları ve dayanak belgeleri tek bir haritada eşleştirin. Bu harita hem hukuk ekibinin aktarım yolunu seçmesini hem de satın almanın sağlayıcıdan hangi belgeleri isteyeceğini netleştirir.

Bu çerçeveden iki sonuç çıkıyor. Rehber rolleri, hukuki sebebi ve aktarımı ürün üzerinden değil işleme faaliyeti üzerinden değerlendirdiği için ChatGPT gibi bir bulut aracını kullanmak kendiliğinden KVKK ihlali sayılmaz. Sonucu hangi verinin hangi amaçla, hangi hukuki sebeple ve hangi aktarım yoluyla işlendiği belirler. Aynı nedenle modeli kurum içinde çalıştırmak aktarım sorusunu küçültür ama tek başına uyum sağlamaz, çünkü amaç, hukuki sebep, ilgili kişi hakları ve 13. sorudaki güvenlik yükümlülükleri yerinde kalır. İki mimariyi Local LLM vs ChatGPT karar rehberimizde karşılaştırdık, kurulumun teknik adımlarını da internetsiz yapay zeka ve local LLM kurulumu yazımızda anlattık.

Verinin kurum dışına hiç çıkmaması gereken işler için RuneLab'ın RuneBox'ı şirket ağına kurulan bir on-premise LLM altyapısı. Modeller, RAG ve ajan akışları NVIDIA GPU'lu bir kutuda, dış bağlantı olmadan kapalı ağda çalışıyor ve sorular, dokümanlar ve yanıtlar kurum dışına çıkmıyor. Ürün sayfasının ifadesiyle: "Veri kurum sınırları içinde işlendiği için BDDK ve KVKK değerlendirmelerinizi kolaylaştırır. Uyumluluk kurumunuzun kendi değerlendirmesidir."

Sistemi kullanmaya başlamadan önce bir aydınlatma metni ve ilgili kişi başvurularını karşılayacak bir süreç hazırlamalısınız. Rehber bunları 11 ve 12. sorularda ele alıyor.

11. soru, Kanun'un 10. maddesindeki aydınlatma yükümlülüğünün üretken yapay zeka sistemlerinde de geçerli olduğunu hatırlatıyor. Rehber, bir sistemi kullanmak için yapılan işlemeler ile sistemi geliştirmek için yapılan işlemeler için ayrı ve açık aydınlatma yapılmasını önemli buluyor (s. 49-50). Sohbet botu gibi kullanıcıyla doğrudan etkileşim kuran sistemlerde, kullanıcının bir yapay zeka sistemiyle iletişim kurduğunu açıkça bilmesi de önem taşıyor (s. 50).

12. soru ilgili kişi haklarını ele alıyor. Rehber, çok katmanlı yapıları nedeniyle bu sistemlerde erişim, düzeltme ya da silme taleplerini karşılamanın zorlaşabileceğini kabul ediyor, ama bu güçlüğün Kanun'un 11. maddesindeki hakları uygulanamaz hale getirmediğini açıkça söylüyor (s. 51-52). Kapsam da geniş tutulmuş: eğitim verileri, ince ayar verileri, model çıktılarındaki bilgiler ve kullanıcı sorgularına girilen içerikler bu hakların kapsamında (s. 52). Münhasıran otomatik sistemlerle yapılan analiz sonucunda kişinin aleyhine çıkan sonuca itiraz hakkı ise rehbere göre işe alım ve kredi değerlendirmesi gibi alanlarda daha da önem kazanıyor.

Aydınlatma metni taslağını, ilk adımda hazırladığınız veri akışı çizimiyle yan yana inceleyin. Hukuk ekibi amaç, hukuki sebep, alıcılar ve haklara ilişkin anlatımı değerlendirsin, operasyon ekibi de bir başvurunun kime ulaşacağını ve hangi sistemlerde araştırılacağını prova etsin. Rehber bu iş için veri işleme kayıtlarının sistematik tutulmasını ve veri eşleştirme (data mapping) gibi yöntemleri öneriyor (s. 53). Kullanıcıya, tek bir sohbeti silmenin tüm eğitim verisini ya da modelin öğrendiklerini de sildiğini vaat etmeyin. Sistemin hangi katmanında ne yapılabildiğini teknik ekiple doğrulayın.

Güvenlik tarafında rehber Kanun'un 12. maddesindeki yükümlülüğü hatırlatıp örnek teknik ve idari tedbirler sıralıyor. Çalışan kullanımı için ise bireylere yönelik 14. soruyu Kurum'un 2026'da yayımladığı iş yeri dokümanıyla birlikte okumak gerekiyor.

13. soru, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve bu verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak için gerekli her türlü teknik ve idari tedbiri alması gerektiğini, veriyi onun adına başkası işliyorsa bu tedbirlerden onunla birlikte sorumlu olduğunu hatırlatıyor (s. 54). Ardından örnek niteliğinde tedbirler sıralıyor: veri koruma etki değerlendirmesi, istem enjeksiyonu (prompt injection) ve jailbreak girişimleri gibi bilinen zafiyetlere karşı teknik kontroller, kırmızı takım (red teaming) testleri, risk değerlendirmelerinin düzenli güncellenmesi, çalışanlara yönelik eğitim, yama ve yazılım güncellemeleri, çok faktörlü kimlik doğrulama ve işlem kayıtlarının güvenli saklanması (s. 55-56). Rehber bunları örnek olarak veriyor, bu yüzden hangi tedbirin gerektiğini her sistem için kendi riskine göre belirleyin. Modelin araç kullanıp kendi başına eylem başlattığı sistemleri Kurum, 2026'da yayımladığı Etken Yapay Zeka (Agentic AI) dokümanında ayrıca ele aldı. Bu sistemlerin nasıl çalıştığını yapay zeka ajanı nedir yazımızda anlattık.

14. soru bireylerin günlük kullanımına odaklanıyor. Paylaşılan içeriğin dikkatle değerlendirilmesini, ad soyad, adres, telefon ve kimlik bilgisi gibi verilerin ve üçüncü kişilere ait kişisel verilerin paylaşılmamasını, mümkün olduğunca genelleştirilmiş ifadeler kullanılmasını ve gizlilik ayarlarının gözden geçirilmesini öneriyor. Sağlık, finans ve hukuki süreçlere ilişkin bilgilerde ise daha da temkinli olunmasını istiyor (s. 57-58).

14. soru bireye seslenirken, şirket açısından asıl risk çalışanın iş dosyasını kurumun haberi olmadan bir araca yüklemesi. Kurum bu konuyu Şubat 2026 tarihli İş Yerlerinde Üretken Yapay Zeka Araçlarının Kullanımı dokümanında ele alıyor. Dokümandaki gölge yapay zeka tanımı, çalışanların üretken yapay zeka araçlarını kurumun bilgisi, onayı veya kurumsal kontrolü dışında iş süreçlerinde kullanmasını anlatıyor (s. 5). Doküman, toplantı notları, iç yazışmalar, rapor taslakları ve çalışanlara ya da müşterilere ilişkin bilgilerin bu yolla üçüncü taraf araçlarla paylaşılabildiğine dikkat çekiyor (s. 6).

Dokümanın önerdiği yol yasak değil. Kullanımı tamamen yasaklayan yaklaşımların uygulamada gerçekçi olmadığını, çalışanları kontrol dışı kullanıma itebileceğini söylüyor (s. 10). Onun yerine kullanılabilecek araçları, kullanım amaçlarını, araçlara girdi olarak verilebilecek bilgi türlerini ve çıktıların kullanım esaslarını gösteren açık bir kurumsal politika öneriyor (s. 11). Örnek olarak bazı kuruluşların, kişisel veri ve ticari sır içermemek koşuluyla fikir geliştirme ya da metin düzeltme gibi kullanımlara izin verirken müşteri dosyaları ve insan kaynakları verileri gibi bilgilerin paylaşılmasını uygun bulmadığını aktarıyor (s. 12). Politikanıza, yanlış bir yükleme olduğunda çalışanın kime haber vereceğini de ekleyin.

Doküman politikanın duyurulmasını ve çalışanlara yönelik eğitim ve farkındalık faaliyetlerini de öneriyor (s. 14). Politika ancak çalışanlar hangi veriyi hangi araca girebileceğini bildiğinde işe yarar. RuneLab'ın Yapay Zeka Farkındalığı Eğitimi, ekibin üretken yapay zeka araçlarını doğru yerde ve güvenli kullanması için bir günlük uygulamalı eğitim.

Rehberin 15. sorusu şirketleri, çocukların kullanacağı bir ürün ya da eğitim hizmeti geliştirdiklerinde doğrudan ilgilendirir, çünkü sorunun muhatabı ebeveynler. Rehber ebeveynlere çocuğun kullandığı platformun yaşa uygun içerik sunup sunmadığını kontrol etmelerini, gizlilik ayarlarını düzenlemelerini ve çocuğun yanıltıcı içeriklerle baş etmesine yardım etmelerini öneriyor (s. 59). Üretken yapay zekanın ne olduğunu, nasıl çalıştığını ve sınırlarını da çocuğun yaşına uygun biçimde anlatmalarını istiyor (s. 60). Kurum Ocak 2026'da aynı konuda ebeveynlere yönelik ayrı bir tavsiye broşürü de yayımladı.

Çocuklara yönelik bir hizmet geliştiriyorsanız bu bölümü ürün ekibinin okuma listesine ekleyin. Ebeveynlere yönelik önerileri ise bütün iş yerleri için yeni yükümlülükler gibi aktarmayın.

İlk toplantıya, rehberin soru gruplarını içerideki sahiplerine dağıtan bir listeyle gidin. Aşağıdaki tablo her grup için içeride sorulacak soruyu, sorumlu ekibi ve toplantıya getirilecek belgeyi gösteriyor.

Toplantıyı yalnızca "araç seçildi" kararıyla bitirmeyin. Yanıtsız her soruya bir sahip ve kontrol tarihi yazın, kararı tarihli bir kayda geçirin ve model, sağlayıcı ayarı ya da veri kaynağı değiştiğinde hangi belgenin yeniden inceleneceğini belirleyin. Bu sahiplik düzenini kalıcı hale getirmek, yani kurumsal bir yapay zeka yönetişim çerçevesi ve onu işletecek mekanizmaları kurmak için Yapay Zeka Yönetişimi eğitimimiz var.

Kişisel Verileri Koruma Kurumu rehberi 24 Kasım 2025'te yayımladı ve bu tarih Kurum'un resmi duyurusunda yer alıyor. Rehberin kapağında Kasım 2025 ve Yayın No: 113 yazıyor.

Hayır. Rehber Kurum'un yol gösterici bir yayını ve kişisel veri konularını mevcut 6698 sayılı Kanun çerçevesinde ele alıyor. Hiçbir aracı adıyla anmıyor ya da yasaklamıyor, her işleme faaliyetini kendi amacı, verisi ve taraflarıyla değerlendirmeyi anlatıyor.

Hayır, yalnızca aracın adından ihlal sonucu çıkmaz. Rehberin yaklaşımında roller, hukuki sebep ve aktarım işleme faaliyeti üzerinden değerlendirilir, yani hangi verinin hangi amaçla ve hangi aktarım yoluyla işlendiğine bakılır. Kişisel veri yurt dışına aktarılıyorsa Kanun'un 9. maddesine uygun bir aktarım yolu gerekir.

Hayır. Kurum içi kurulum yurt dışına aktarım sorusunu küçültür, ama amaç, hukuki sebep, ilgili kişi hakları ve Kanun'un 12. maddesindeki güvenlik yükümlülükleri yerinde kalır. Rehberin bu konuları ele alan soruları, modelin nerede çalıştığından bağımsız olarak geçerlidir.

7. soruda. Rehber rolleri sözleşmedeki adlandırmaya göre değil, tarafların işleme amaçları ve vasıtaları üzerindeki fiili kontrolüne ve karar alma yetkisine göre belirliyor. Hazır bir modeli kendi işine entegre edip hangi verinin yükleneceğine karar veren şirket, veri sorumlusu olarak değerlendirilebiliyor.

Rehberin 14. sorusu bireylerin günlük kullanımına yönelik önerileri içeriyor: paylaşılan içeriğe dikkat etmek, üçüncü kişilerin kişisel verilerini paylaşmamak ve gizlilik ayarlarını gözden geçirmek. Şirket içi kullanım ve gölge yapay zeka için Kurum'un Şubat 2026 tarihli İş Yerlerinde Üretken Yapay Zeka Araçlarının Kullanımı dokümanı ayrıca bir kurumsal politika öneriyor.

KVKK'nın iş yeri dokümanına göre gölge yapay zeka, çalışanların üretken yapay zeka araçlarını kurumun bilgisi, onayı veya kurumsal kontrolü dışında iş süreçlerinde kullanmasıdır. Doküman kullanımı tamamen yasaklamak yerine, kullanılabilecek araçları ve bu araçlara girilebilecek bilgi türlerini gösteren açık bir kurumsal politika öneriyor.

• Kişisel Verileri Koruma Kurumu, Üretken Yapay Zeka ve Kişisel Verilerin Korunması Rehberi (15 Soruda), duyuru, 24 Kasım 2025, rehberin tam metni, Yayın No: 113, Kasım 2025: amaç ve kapsam bölümü ile 1-15. sorular.
• Kişisel Verileri Koruma Kurumu, İş Yerlerinde Üretken Yapay Zeka Araçlarının Kullanımı, Şubat 2026, dokümanın tam metni: gölge yapay zeka tanımı, riskler ve kurumsal politika önerileri.
• Kişisel Verileri Koruma Kurumu, Etken Yapay Zeka (Agentic AI): dokümanın duyurusu.
• Kişisel Verileri Koruma Kurumu, Yapay Zeka Araçları Kullanan Çocuklar İçin Ebeveynlere Yönelik Tavsiyeler: ebeveyn broşürü.

• Local LLM vs ChatGPT: KVKK açısından nasıl karar verilir?
• İnternetsiz yapay zeka ve local LLM kurulum rehberi
• Prompt injection nedir?
• Yapay zeka ajanı nedir?
• LLM nedir? Yapay zekada büyük dil modeli
• Eğitimler: Gizlilik Korumalı LLM Mimarileri, Loglarda Veri Minimizasyonu ve KVKK Uyumu, Yapay Zeka Yönetişimi, Yapay Zeka Farkındalığı Eğitimi