Yapay Zeka Uyum Operasyonu Rehberi 2026: Eğitim Verisi, Aydınlatma, İnsan Gözden Geçirmesi ve Etki Analizi

Önce çerçeveyi: KVKK Yönetmeliği 2026 Güncellemesi: Veri Taşıyıcılığı ve Yapay Zeka Düzenlemeleri yazımız genel KVKK + AI çerçevesini sunar. Bu rehber operasyonel uyum boyutunu ele alır — eğitim verisi yönetiminden insan gözden geçirme prosedürlerine kadar pratik adımlar.

2026 yılı, Türkiye'de yapay zeka sistemleri için uyum operasyonunun resmi olarak şekillendiği yıl oldu. KVKK Yönetmeliği güncellemesiyle AI sistemlerinde aydınlatma yükümlülüğü genişledi, etki analizi formelleşti, otomatik karar süreçlerinde insan gözden geçirmesi netleşti. Tek bir hukuki kabul metni yeterli değil; AI kullanan her şirketin sürekli işleyen bir uyum operasyonu kurması gerekiyor.

Bu rehber, bir KVKK uyum sorumlusu, Veri Koruma Görevlisi (DPO) veya AI proje yöneticisi olarak şu dört kritik alanı operasyonel olarak nasıl yöneteceğinizi anlatır: (1) AI eğitim verisi yönetimi, (2) Madde 10 aydınlatma yükümlülüğünün AI özelinde genişlemesi, (3) Madde 11/c kapsamında insan gözden geçirmesi prosedürü, (4) AI etki analizi (DPIA) metodolojisi.

1. AI Uyum Çerçevesi: 5 Kritik KVKK Maddesi

AI sistemleri açısından KVKK'nın temel madde haritası:

Bu beş madde, AI uyum operasyonunun yapı taşlarıdır. Hepsi paralel işlemelidir — biri eksikse sistem uyumlu kabul edilmez.

2. AI Eğitim Verisi Yönetimi

AI uyum operasyonunun en sancılı boyutu eğitim verisi yönetimidir. Çoğu şirket modeli kuran ekibin veri kaynaklarını dökümante etmediği, hukuk ekibinin de bu süreçten habersiz olduğu bir noktada hata yapar.

2.1 Açık Rıza vs Meşru Menfaat Dengesi

Türk KVKK doktrini, AB GDPR'da olduğu gibi, kişisel verinin işlenmesi için altı hukuki sebepten birinin varlığını şart koşar (Madde 5). AI eğitimi açısından en sık karşılaşılan iki sebep:

Açık rıza (Madde 5/1): Veri sahibi, AI eğitimi için verisinin kullanılmasına özgül, bilgilendirilmiş, açık ve kayıtlı şekilde rıza vermiştir. Pratikte:

• Genel "verilerimin kullanılmasına izin veriyorum" tipi rıza geçersizdir.
• Rıza, "verim kredi skorlama AI modelinin eğitiminde kullanılabilir" gibi spesifik amaçla bağlı olmalıdır.
• Veri sahibi rızasını geri çekebilir; çekildiğinde veri eğitim setinden çıkarılmalı veya modeli yeniden eğitmeli (zor ama yasal yükümlülük).

Meşru menfaat (Madde 5/2-f): Veri sorumlusunun meşru menfaati ile veri sahibinin temel hak ve özgürlükleri dengelendiğinde, ikinci üstün gelmiyorsa, açık rıza aranmaksızın işlem yapılabilir. AI eğitiminde:

• Kamuya açık verilerin (örn. yayımlanmış mahkeme kararları, açık kurum verileri) işlenmesi için makul kullanım.
• Şirket içi hizmet iyileştirme — kendi müşteri etkileşim verisinin AI eğitiminde kullanımı.
• Ancak veri sahibinin makul beklentilerini aşmamak şart — bir e-ticaret sitesinin ürün öneri AI'ı için satın alma geçmişi kullanması meşru; aynı verinin ileride bir sigorta fiyatlandırma modeline kaynak olması meşru değil.

2.2 Web Scraping ve KVKK

İnternet üzerinden veri toplayarak AI eğitmek (web scraping), KVKK kapsamında karmaşık bir gri alandır. Türkiye'de henüz kesin bir Kurul kararı yok ancak GDPR çerçevesinde Avrupa kararları yön gösterir:

Düşük risk:

• Kamu kurumlarının açık veri portallarından (Veri.gov.tr, GİB açık veri) yapılan toplama.
• Kullanım koşulları izin veren web sitelerinden yapılan toplama.
• Anonim/agrega istatistiksel veri.

Yüksek risk:

• Sosyal medya profillerinden kişisel veri toplama (Clearview AI vakası emsali).
• Forum, yorum, e-ticaret değerlendirmelerinin geniş ölçekli kazılması.
• robots.txt yasağına rağmen erişim.

Güvenli yaklaşım: Toplanan verinin kaynağını dökümante etmek, kişisel veri yoğun veri setlerinde anonimleştirme ya da pseudonymization uygulamak, ve opt-out mekanizması sağlamak. AB'de Italya Garante'nin ChatGPT için OpenAI'a verdiği ceza (2024) bu prensiplerin yokluğuna dayanıyordu.

2.3 Veri Minimizasyonu ve Sentetik Veri

KVKK Madde 4/2 veri minimizasyonu ilkesi — amaca ulaşmak için gerekli olanın ötesinde veri toplanmaz. AI eğitiminde bu ilkeyi uygulamak için iki yaklaşım:

Feature selection: Model performansını koruyacak minimum özelliği belirleyin. Örneğin kredi skorlama AI'ı için kişinin sosyal medya etkileşimleri marjinal katkı sağlıyorsa eğitim setinden çıkarın.

Sentetik veri: Gerçek veri üzerine eğitilen bir generatif model ile sentetik kayıt üretip, sonra orijinal veriyi imha ederek AI'ı sentetik veriyle eğitmek. Performans bazen düşer ama gizlilik garantisi artar. Özellikle sağlık ve finans verisinde önerilir.

2.4 Türkiye Kurul Kararlarındaki Trend

2024-2026 arasında KVK Kurulu'nun AI ve veri işleme konusunda yayımladığı kararlar şu temaları öne çıkarıyor:

• Şeffaflık eksikliği en sık ceza sebebi — modelin nasıl çalıştığı açıklanmamış.
• Veri kaynağı dökümantasyonu yokluğu — şirket "elimizdeki veri budur" diyor ama nereden geldiğini gösteremiyor.
• Etki analizi yapılmamış — yüksek riskli uygulamada DPIA bulunmaması yargıyı keskin bir yaptırıma götürüyor.

3. Aydınlatma Yükümlülüğü — Madde 10 AI Genişlemesi

KVKK Madde 10, veri sahibine veri işleme amacı, veri sorumlusu, alıcı grupları, yurt dışı transfer ve haklarına ilişkin bilgi verme yükümlülüğünü düzenler. 2026 güncellemesi ile AI sistemleri için dört ek bilgi katmanı zorunlu hale geldi:

3.1 Genişlemiş Aydınlatma — 4 Yeni Katman

Katman 1: AI Kullanımının Açık Bildirimi

"Kararınız bir yapay zeka destekli karar destek sistemi tarafından değerlendirilmiş ve önerilmiştir. Nihai karar bir insan değerlendirici tarafından gözden geçirilmiştir."

Katman 2: AI Kararının Mantığı

"Bu değerlendirmede, son 12 aydaki gelir ve harcama davranışınız, talep ettiğiniz kredi tutarı, sektör ortalamaları ve geri ödeme geçmişiniz analiz edilmiştir. Sistem bu verileri ağırlıklandırarak bir risk skoru üretir."

Katman 3: AI Kararının Etkisi

"AI tarafından üretilen risk skoru, kredinin onaylanıp onaylanmayacağı, faiz oranı bandı ve geri ödeme programı üzerinde belirleyici olabilir."

Katman 4: İtiraz Mekanizması

"Bu karara itiraz hakkınız bulunmaktadır. KVKK Madde 11/c kapsamında otomatik karar süreçlerine itiraz edebilir, kararın bir insan değerlendirici tarafından yeniden incelenmesini talep edebilirsiniz. Başvurunuzu [email protected] adresine veya yazılı olarak şirket adresimize iletebilirsiniz."

3.2 Doğru ve Yanlış Pattern'ler

❌ Yanlış pattern (geçersiz aydınlatma):

"Verileriniz, hizmet kalitemizi iyileştirmek amacıyla algoritmik yöntemlerle işlenebilir."

Bu metin geçersiz çünkü: AI kullanımı belirsiz, mantık açıklanmamış, etki muğlak, itiraz hakkı belirtilmemiş.

✅ Doğru pattern:

"Kredi başvurunuzun değerlendirilmesinde, finansal davranış skorlama modeli (AI destekli) tarafından üretilen bir risk skoru kullanılır. Bu skor, son 12 aydaki gelir-gider verileriniz, kredi geçmişiniz ve talep ettiğiniz tutar baz alınarak hesaplanır. Skor sonucu nihai onayda belirleyici bir faktördür; ancak nihai karar bir kredi analisti tarafından gözden geçirilir. İtirazınız varsa KVKK Madde 11/c kapsamında kararın yeniden incelenmesini talep edebilirsiniz."

3.3 Sektörel Uygulamalar

4. İnsan Gözden Geçirmesi — Madde 11/c

KVKK Madde 11/c uyarınca, veri sahibi otomatik karar süreçlerine itiraz edebilir ve kararının bir insan değerlendirici tarafından yeniden incelenmesini talep edebilir. 2026 yönetmelik güncellemesi bu süreci operasyonel detayda netleştirdi.

4.1 "İnsan Gözden Geçirmesi" Standardının Operasyonel Kriterleri

Geçerli bir insan gözden geçirmesi şu dört kriteri karşılamalıdır:

(1) Sürecin görünür hale getirilmesi: AI sisteminin verdiği karar ve karar mantığı (hangi veriler hangi ağırlıkla değerlendirildi), insan değerlendiriciye okunabilir bir formatta sunulmalı. Sadece "ret/onay" değil, gerekçe + ağırlıklar görünmeli.

(2) Değerlendirici nitelik: Değerlendirici, karar konusunda yetkinliği olan bir profesyonel olmalı — kredi analisti, İK uzmanı, sigorta eksperi gibi. Yalnızca onay verme rolündeki bir destek hattı çalışanı bu standardı karşılamaz.

(3) Override yetkisi: Değerlendirici, AI kararını bağımsız olarak değiştirebilme yetkisinde olmalı. "AI öyle dedi, biz de onu uyguluyoruz" diyen bir prosedür "rubber stamping" sayılır ve geçerli insan gözden geçirmesi değildir.

(4) Kayıt altına alma: İnceleme süreci, varılan sonuç ve gerekçesi belge altına alınmalı. Veri sahibi geri bildirim talep ederse bu belge gösterilebilmelidir.

4.2 Örnek Vaka — Banka Kredi Skorlama

Bir banka, AI destekli kredi skorlama sistemi kullanır. Müşteri X için sistem "düşük skor — kredi reddedilebilir" çıktısı verir. Müşteri itiraz eder. Doğru insan gözden geçirme akışı:

1. AI kararının açılması: Sistem, müşteri X için ürettiği skoru ve hangi faktörlerin (gelir/borç oranı, geri ödeme geçmişi, sektör riski) belirleyici olduğunu raporlar.
2. Kredi analisti incelemesi: Analist, AI'ın görmediği bağlam bilgisini değerlendirir (örn. müşteri yeni iş yerinde 2 aydır çalışıyor ama önceki işinde 10 yıllık istikrar var; AI sadece son 12 ayı baz almıştı).
3. Bağımsız karar: Analist, AI önerisinden farklı bir sonuca varabilir. Bu durumda AI çıktısı override edilir.
4. Kayıt: Karar gerekçesi (AI önerisi, analist değerlendirmesi, nihai karar, dayanak veriler) dosyalanır.
5. Müşteriye bildirim: Müşteri X'e yeniden incelemenin sonucu, dayanağı ve sonuç gerekçesi yazılı olarak bildirilir.

4.3 Örnek Vaka — HR Aday Eleme

Bir teknoloji şirketi, başvurularda CV'leri AI ile ön elemeden geçirir. Aday Y elenir, itiraz eder. Doğru süreç:

1. AI'ın aday Y için verdiği eleme gerekçesi (eksik anahtar kelime, deneyim eşiği altında vb.) görünür hale getirilir.
2. İK uzmanı, CV'yi manuel olarak inceler — AI'ın yakalayamadığı non-textual sinyalleri (örn. fotoğrafsız CV, kısa açıklama vb.) değerlendirir.
3. Aday için ya yeniden mülakat verilir, ya eleme onaylanır, ya alternatif pozisyon önerilir.
4. Sonuç adaya yazılı olarak bildirilir, gerekçe açıklanır.

5. AI Etki Analizi (DPIA) — Türkiye Uygulaması

GDPR Madde 35 ile yerleşik olan Data Protection Impact Assessment (DPIA), KVKK 2026 yönetmelik güncellemesiyle Türkiye'de de zorunlu hale geldi. Yüksek riskli AI sistemleri devreye alınmadan önce etki analizi tamamlanmalıdır.

5.1 Etki Analizi Hangi Durumlar İçin Zorunlu?

Aşağıdaki dört durumdan en az birini karşılayan AI sistemleri için etki analizi yapılmalıdır:

1. Özel nitelikli kişisel veri (Madde 6) ile çalışan AI sistemleri — sağlık tanı sistemleri, biyometrik tanıma, genetik analiz.
2. Otomatik karar üretip veri sahibi üzerinde önemli etki yaratan sistemler — kredi onayı, sigorta primi, işe alım eleme, kira değerlendirmesi.
3. Geniş ölçekli sistematik izleme — yüz tanıma sistemleri, davranış analiz platformları, kamuya açık alanlarda izleme.
4. Yeni teknoloji kullanan ve risk profili henüz oluşmamış AI uygulamaları — generative AI ürün entegrasyonları, otonom karar sistemleri.

5.2 Etki Analizi Metodolojisi — 7 Adım

Etki analizi bir formül değil bir süreçtir. Aşağıdaki 7 adımlı yapı KVK Kurulu beklentilerini karşılar:

1. Sistem tanımı: AI sisteminin amacı, kapsamı, kullanıcı kitlesi, karar verdiği konular.
2. Veri akış diyagramı: Veri kaynakları → AI sistemi → çıktı → çıktı tüketicileri. Her aşamada hangi kişisel veri kategorileri akıyor.
3. Hukuki sebep: Her veri işleme noktası için KVKK Madde 5 veya 6 kapsamında hukuki dayanak (açık rıza, meşru menfaat, sözleşme vb.).
4. Risk değerlendirmesi: Veri sahibi üzerinde potansiyel olumsuz etkiler — ayrımcılık, gizlilik ihlali, finansal zarar, itibar kaybı.
5. Alternatif analizi: Aynı sonucu sağlayacak daha az müdahaleci yöntemler değerlendirildi mi? AI yerine geleneksel skorlama mümkün mü?
6. Etki azaltma önlemleri: Risk azaltıcı teknik kontroller (anonimleştirme, erişim sınırlama, model versiyonlama) ve organizasyonel önlemler (insan gözden geçirmesi prosedürü, eğitim).
7. Kalan risk bildirimi: Tüm önlemlere rağmen kalan risk — kabul edilebilir mi, Kurul'a danışma gerekiyor mu?

5.3 Yüksek Risk Sınıfı — Kurul Danışma

Etki analizi sonunda yüksek kalan risk tespit edilmişse, sistem devreye alınmadan önce KVK Kurulu'na danışma yükümlülüğü vardır. Kurul danışmanı 30 gün içinde görüş bildirir; bu süre içinde sistem devreye alınamaz. Yüksek riski iyi yönetememe, sistem devreye girdikten sonra ortaya çıkan ihlallerde Kurul cezasını üst sınıra taşıyan ağırlaştırıcı sebeptir.

6. Dört Aşamada AI Uyum Operasyonu — Pratik Yol Haritası

Bu rehberin son bölümü, yukarıdaki dört alanı birleşik bir operasyonel programa çevirmenize yardımcıdır.

Aşama 1 — Envanter (Ay 1-3)

Şirkette hangi AI sistemleri var? Bu soru genelde tahmin edilenden çok daha kapsamlı bir cevap üretir.

• BT ekip, satış ekibi, pazarlama ekibi, müşteri hizmetleri — her birinin kullandığı SaaS araçlarını listele.
• Her aracın AI içerip içermediğini sorgula (chatbot, öneri sistemi, otomatik raporlama).
• Hangi kişisel verileri işlediğini belirle.
• Karar sonucunu kimleri etkilediğini analiz et.

Çıktı: AI sistem envanteri (her bir sistem için amaç, veri kategorileri, etki sahası, hukuki sebep).

Aşama 2 — Risk Sınıflandırması (Ay 3-4)

Envanterdeki her sistemi düşük / orta / yüksek risk kategorisinde sınıflandır:

• Düşük risk: İç verimlilik AI'ı — örn. iç raporlama otomasyonu, kişisel veri yoğun değil.
• Orta risk: Müşteri etkileşim AI'ı — öneri motoru, chatbot. Kişisel veri var ama otomatik karar yok.
• Yüksek risk: Otomatik karar üreten AI — kredi skorlama, sigorta fiyatlandırma, işe alım eleme. Etki analizi zorunlu.

Aşama 3 — Uyum Çerçevesi (Ay 4-9)

Risk sınıfına göre uyum gereksinimleri:

Bu aşamada:

• Aydınlatma metinleri güncellenir.
• İnsan gözden geçirme prosedürleri yazılır, ekiplere eğitim verilir.
• Yüksek riskli sistemler için etki analizi tamamlanır.
• Veri Koruma Görevlisi (DPO) AI sistemleri envanterine erişim sağlar.

Aşama 4 — Sürekli İzleme (Ay 9+)

AI uyum operasyonu kurulduktan sonra statik bir program değildir. Sürekli izleme gerekli:

• KVK Kurulu kararları — yeni içtihat AI uyumu nasıl etkiliyor?
• AB AI Act gelişmeleri — uluslararası faaliyet varsa GDPR + AI Act çakışmasının yönetimi.
• Model versiyonlama — AI modeli güncellendiğinde aydınlatma ve etki analizi yeniden değerlendirilir.
• Yıllık uyum denetimi — iç denetim ekibi veya dış danışman her yıl AI sistemleri üzerinde uyum denetimi yapar.
• Kullanıcı şikayet süreci — Madde 11/c kapsamında gelen itirazlar nasıl ele alınıyor, ortalama yanıt süresi, kabul/ret oranı.

7. Cezalar ve Risk

KVKK Madde 18 idari para cezaları AI sistemleri için ayrı bir bant tanımlamaz — genel ceza bandı (2026: 85.437 TL – 17.092.242 TL) uygulanır. Ancak AI ihlalleri pratikte üst banda kayma eğilimindedir:

• AI sistemleri geniş kullanıcı tabanına etki eder — yüzlerce, binlerce veya milyonlarca kişi etkilenir, kümülatif zarar büyür.
• Şeffaflık ihlalleri (aydınlatma + insan gözden geçirmesi eksikliği) Kurul tarafından ağır tutulur — Kurul kararlarında en sık ceza sebebi.
• Veri güvenliği ihlali (Madde 12) ile birleşince cezalar kümülatif uygulanabilir.

Ek olarak, AI tabanlı ayrımcılık iddiaları Türk Ceza Kanunu Madde 122 (ayrımcılık) ve 5237 sayılı Kanun kapsamında ceza davasını da gündeme getirebilir — özellikle iş bulma, kredi, sigorta gibi temel hizmet erişiminde.

İdari para cezalarını ayrıntılı incelemek için: KVKK Ceza Hesaplayıcı

8. Sıkça Sorulan Sorular

AI sistemleri için ayrı bir uyum politikası gerekli mi? Mevcut KVKK uyum politikanıza AI özelinde bir bölüm eklemek yeterlidir. Bu bölümde: AI sistem envanteri, risk sınıflandırması metodolojisi, aydınlatma standartları, insan gözden geçirme prosedürü, etki analizi metodolojisi yer almalı. Ayrı politika lüks değildir ama AI'a özel ekler ZORUNLUDUR.

Generatif AI (ChatGPT, Claude) kullanımı KVKK kapsamına girer mi? Evet. Şirket çalışanları ChatGPT'ye müşteri verisi içeren bir metin gönderdiğinde, bu kişisel veri OpenAI sistemlerine yurt dışı transferi olarak kabul edilir (Madde 9). Çoğu generatif AI sağlayıcısı bu transferi yeterli güvenceye bağlamadığından, müşteri verisi paylaşımı yasaktır. Kurumsal kullanım için enterprise tier (veri kullanım yasağı) veya yerelde çalışan modeller (Llama, on-premise) tercih edilir.

Açık kaynak AI modellerini kullanmak uyum yükümlülüğümü azaltır mı? Hayır. Modelin nereden geldiği (açık kaynak / proprietary) uyum yükümlülüğünüzü etkilemez. Aydınlatma, insan gözden geçirme ve etki analizi sorumluluğu modeli kullanan veri sorumlusuna aittir. Açık kaynak modeli kullanarak müşteri verisi işliyorsanız, modelin eğitim sürecinden bağımsız olarak kendi uyum operasyonunuzu kurmalısınız.

Hangi şirket ölçeğinde AI uyum operasyonuna ihtiyaç var? KVKK'da AI uyumu için bir minimum ölçek yoktur. Veri sahibi etkisinin büyüklüğü kritiktir. 10 kişilik bir şirket bile, AI ile kredi skorlama yapıyorsa tam uyum operasyonu kurmak zorundadır. Pratik olarak, AI ile otomatik karar üreten her şirket uyum operasyonu kurmalıdır; geniş ölçekli müşteri kitlesi varsa öncelikli.

KVKK Kurulu'ndan danışma görüşü nasıl alınır? Kurul'a yazılı başvuru ile danışma görüşü talep edilir. Başvuruda: sistem tanımı, etki analizi sonuçları, kalan risk değerlendirmesi yer almalıdır. Kurul 30 gün içinde görüş bildirir. Görüş bağlayıcı değildir ama Kurul'un görüşüne aykırı şekilde sistem devreye alındığında sonradan ceza ihtimali artar. Yüksek riskli ve emsali olmayan AI uygulamalarında danışma görüşü almak güvenli bir yaklaşımdır.

9. Kapanış — AI Uyumu Statik Değil, Sürekli Operasyon

Yapay zeka sistemleri için KVKK uyumu, 2026 itibariyle bir "kabul ettim" kutucuğundan çok daha fazlasıdır. Eğitim verisinin kaynak gösterilmesi, aydınlatma yükümlülüğünün AI özelinde genişletilmesi, otomatik karar süreçlerinde insan gözden geçirme prosedürünün kurulması ve yüksek riskli sistemler için etki analizi — bu dört alan AI uyum operasyonunun yapı taşlarıdır.

Şirketinizin AI sistemlerini envanter, sınıflandırma, çerçeve ve sürekli izleme döngüsüne soktuğunda; sadece KVKK Kurulu ceza riskini değil, müşteri güveni ve marka itibarı boyutunu da kazanırsınız. AI kullandığınızı saklamayan, aydınlatma yükümlülüğünü ciddiye alan, itiraz mekanizması işleten şirketler uzun vadede daha güçlü bir veri sorumluluğu kültürü kurar.

İlgili rehber: KVKK Yönetmeliği 2026 Güncellemesi · KVKK Çözümü · KVKK Ceza Hesaplayıcı