6698 sayılı Kişisel Verilerin Korunması Kanunu yapay zekadan söz etmiyor. Etmesine gerek de yok: içinde kişisel veri geçen bir prompt işlemedir, yurt dışında çalışan bir model aktarımdır. Aşağıda kanunun madde madde ne sorduğu ve bu sorulara cevap verebilmek için ne tür bir mekanizma gerektiği var.
Bu sayfa uyum iddiası kurmuyor. Hukuki görüş değildir, hiçbir ürünün kurumu KVKK'ya uyumlu hâle getirdiğini öne sürmez ve kanunu sizin adınıza yorumlamaz. Kanunun ne sorduğunu — madde referansları ve kaynaklarıyla — söyler ve bunu teknik bir kontrolün yapabilecekleri ile yapamayacaklarından ayrı tutar. Değerlendirme hukuk ekibinizindir.
Diğer sekiz sorunun tamamı buna bağlı. Bu soruya cevap veremeyen bir kurum, hukuki sebebini de aktarım rejimini de teorik olarak tartışır. Ölçüm olmadan geri kalanı varsayımdır.
Bir prompt'un içindeki müşteri adı, TCKN, IBAN, sağlık bilgisi ya da özlük dosyası içeriği, sohbet kutusuna yazıldığında kişisel veri olmaktan çıkmaz. Özel nitelikli veriler m.6'da ayrı bir rejime tabi.
m.5 işleme şartlarını sayıyor: açık rıza ya da kanunun saydığı diğer şartlardan biri. Çalışanın kendi inisiyatifiyle bir prompt'a yapıştırdığı üçüncü kişi verisi için bu sebebin ne olduğu kurumun cevaplaması gereken bir soru.
Kullanılan modellerin çoğu yurt dışında çalışıyor. m.9 (Değişik: 2/3/2024-7499/34, yürürlük 01.06.2024) aktarımı m.5/m.6 şartlarından birine ve ilgili ülke, sektör ya da kuruluş hakkında yeterlilik kararı bulunmasına bağlıyor; yeterlilik kararı yoksa uygun güvence yöntemleri gündeme geliyor.
m.10 veri sorumlusuna aydınlatma yükümlülüğü getiriyor. Çoğu kurumun aydınlatma metni, yapay zeka servislerine aktarım yaygınlaşmadan önce yazıldı.
m.12/2 açık: kişisel veriler veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işleniyorsa, tedbirlerin alınması hususunda müştereken sorumlusunuz. Sağlayıcının kendi taahhütleri sizin sorumluluğunuzu ortadan kaldırmıyor.
m.11 ilgili kişiye kendi verisine dair bilgi talep etme, düzeltilmesini ve silinmesini isteme hakkı veriyor. "Verim bir yapay zeka modeline gönderildi mi?" sorusu bu hakkın kapsamında sorulabilecek bir soru.
m.12/1 veri sorumlusuna hukuka aykırı işlemeyi ve erişimi önlemek amacıyla "uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri" alma zorunluluğu getiriyor. Politika yazmak idari tedbirdir; teknik tedbirin ayrıca gösterilmesi gerekir.
m.4/2 (ç) bendi ölçülülüğü genel ilke olarak sayıyor. Bir soruyu yanıtlatmak için tüm müşteri tablosunu yapıştırmak, amaçla bağlantılı olsa bile ölçülü olmayabilir.
Yukarıdaki dokuz sorunun dördü hiçbir ürünle cevaplanamaz, bizimki dahil. Bunu açıkça söylemek bu sayfanın varlık sebebi.
Bir kontrolün yapabileceği şey, kalan beş sorunun ihtiyaç duyduğu olgusal girdiyi üretmek: ne çıktı, kime aitti, nereye gitti, ne durduruldu ve bunun kaydı. Bu, hukuki çalışmanın ön koşuludur; yerine geçmez.
Bu sayfayı kimin yazdığı konusunda şeffaflık olsun diye adı geçiyor — ve yukarıdaki bölümle sınırlı.
Bunun bir AI ağ geçidinden farkı ve adlandırılmış alternatiflerle karşılaştırması karşılaştırma sayfasında.
Madde numaraları ve fıkra içerikleri 6698 sayılı Kanunun mevzuat.gov.tr'deki resmî metninden, madde 9 değişikliği ise Kurumun kendi yayınlarından 29 Ağustos 2026'da kontrol edildi. Kanundan alıntı yapılan yerde alıntı yapılmıştır; hiçbiri hafızadan aktarılmadı.