YAPAY ZEKÂ (AI) VE KİŞİSEL VERİLERİN KORUNMASI (KVKK):TÜRK HUKUKUNDA GÜNCEL MEVZUAT, CEZALAR VE UYGULAMA REHBERİ (2026)

​

Yapay zekâ teknolojilerinin (AI) yaygınlaşmasıyla birlikte kişisel verilerin işlenme biçimi köklü şekilde değişmiştir. Otomatik karar verme sistemleri, üretken yapay zekâ uygulamaları, büyük veri analitiği ve makine öğrenmesi modelleri; doğrudan veya dolaylı olarak kişisel veri işlemektedir. Türkiye’de kişisel verilerin korunmasına ilişkin temel düzenleme 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) olup, yapay zekâya özgü müstakil bir kanun henüz yürürlükte değildir. Ancak 2024 yılında KVKK’da yapılan önemli değişiklikler, yapay zekâ uygulamalarını doğrudan etkiler hâle gelmiştir. Bu nedenle güncel yapay zekâ uygulamaları, yalnızca teknik değil, yüksek düzeyde hukuki uyum gerektiren faaliyetler olarak değerlendirilmelidir.​

 

2. 2024 Sonrası KVKK Mevzuat Değişiklikleri ve Yapay Zekâya Etkisi

​2.1. Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Değişiklikler: 2024 yılında KVKK’da yapılan değişiklikle, özel nitelikli kişisel verilerin işlenme şartları yeniden düzenlenmiştir. Bu kapsamda: Sağlık, biyometrik, genetik ve benzeri verilerin işlenmesi hâlinde, Yapay zekâ sistemlerinin bu verileri otomatik analiz etmesi veya sınıflandırması durumunda, Veri sorumlularının açık rıza veya kanunda açıkça öngörülen şartlara sıkı şekilde bağlı kalması zorunludur. Yapay zekâ modellerinde bu tür verilerin “model eğitimi” amacıyla kullanılması, artık daha dar yorumlanmaktadır.

2.2. Mevzuattaki son gelişmeler: Kurum rehberleri: Kişisel Verileri Koruma Kurumu, üretken yapay zekâya ilişkin rehber yayımlamıştır; rehber, üretken AI sistemlerinde ilgili kişi hakları, yurt dışı veri aktarımı ve aydınlatma yükümlülükleri gibi konulara odaklanır. TBMM kanun teklifi: 2026 başında yapay zekâya dair düzenlemeler içeren bir kanun teklifi TBMM’ye sunulmuş; teklif, AI kaynaklı içeriklerin ve işlem süreçlerinin KVKK çerçevesinde düzenlenmesini öngörmektedir. (Teklif henüz kanunlaşmamış olup, komisyon süreci takip edilmelidir.) VERBİS uygulama güncellemeleri: VERBİS kayıt yükümlülüklerine ilişkin istisna kriterleri ve uygulama esasları güncellenmiş; bazı muafiyetler yeniden tanımlanmış, kayıt dışı kalan veri sorumlularının riskleri açıklanmıştır. İdari para cezaları: 2026 itibarıyla KVKK kapsamındaki idari para cezalarında yeniden değerlemeye bağlı artışlar gerçekleşmiş, Kurum uygulamalarında daha yüksek tutarlı yaptırımlar öne çıkmıştır. (Not: Yukarıdaki hususların her biri için Kurumun resmi duyuruları, Kurul kararları ve TBMM kayıtları takip edilmeli; teklif hâlindeki düzenlemelerin kanunlaşma durumuna göre yükümlülükler değişebilir.)

 

3. Veri toplama ve aydınlatma (KVKK m.10)

Ne olur? AI modelleri için büyük hacimli veri setleri toplanır; bu veri setleri kişisel veri içeriyorsa, veri sorumlusu ilgili kişiyi açık ve anlaşılır şekilde aydınlatmakla yükümlüdür. Aydınlatma, verinin kim tarafından işlendiği, hangi amaçla, hangi hukuki sebebe dayanarak, hangi kategorilerin aktarıldığı ve hakların nasıl kullanılacağı bilgilerini kapsar. Pratik sonuç: AI ürününüzde kullanılan veri kaynakları (Örn. kullanıcı içerikleri, üçüncü taraf veri setleri) için sözleşmelerde ve kullanıcı sözleşmelerinde açık hükümlere yer verilmeli; otomatik karar veya profil oluşturmaya ilişkin özel bildirimler sunulmalıdır.​

3.1. Hukuki dayanak ve rıza işleme dayanakları: KVKK kapsamında işleme için rıza, kanuni yükümlülük, sözleşmenin ifası, meşru menfaat gibi dayanaklar kullanılabilir. AI bağlamında özel nitelikli veriler (Sağlık, biyometrik vb.) için açık rıza veya Kanun’da öngörülen özel şartlar gereklidir. Not: Üretken içerik üretiminde üçüncü şahısların verilerinin kullanımı özel risk taşır; rıza alınamıyorsa alternatif hukuki dayanak ve sıkı etki değerlendirmeleri (DPIA) gereklidir.

3.2. Veri minimizasyon & anonimleştirme- Ne yapılmalı?:  Model eğitimi ve işletmesinde mümkün olan yerde kişisel verinin anonimleştirilmesi veya pseudonimleştirilmesi tercih edilmeli; anonimleştirme kalıcı olmalı ki KVKK kapsamı dışında kalsın. Ancak anonimleştirmenin geri döndürülebilirliği konusunda dikkat: zayıf anonimleştirme KVKK kapsamında kişisel veri olmaya devam edebilir.

3.3. Yurt dışı veri aktarımı: Birçok AI altyapısı yurtdışındaki sunucularda veya üçüncü taraf sağlayıcılarda çalışır. KVKK uyarınca yurt dışına aktarımda uygun güvence mekanizmaları (ör. yeterli koruma, sözleşmesel güvenceler, Kurul kararları) aranır. Üretken AI’da kullanılan veri setleri ve model barındırma/işleme lokasyonları mutlaka değerlendirilmelidir.

3.4. İlgili kişi hakları ve otomatik kararlar-Haklar: İlgili kişiler KVKK kapsamında erişim, düzeltme, silme, işlemeye itiraz gibi haklara sahiptir. AI tabanlı otomatik karar süreçlerinde ilgili kişiye süreç hakkında bilgi sağlama ve gerektiğinde manuel müdahale hakkı önem kazanır. Uygulama: AI sistemleri üzerinde “insan denetimi” ve itiraz mekanizmaları oluşturulmalıdır.​

​

4. Şu an yürütülen çalışmalar ve düzenleyici eğilimler

​Kurum rehberleri ve eğitimler: KVKK, üretken AI başta olmak üzere veri koruma uyumuna ilişkin rehberler, SSS’ler ve sektörel tavsiyeler yayımlamıştır; ayrıca Kurul kararları ile VERBİS uygulamalarına yön vermektedir.

TBMM çalışmaları: Yapay zekâya ilişkin kanun teklifleri, AI kaynaklı verilerin korunması ve yükümlülüklerin netleştirilmesi yönünde teklifleri içerir; teklif içerikleri üreticilerin sorumluluklarını genişletebilir.

Uygulama örnekleri: Sektörlerde (finans, sağlık, telekom) veri sorumlularının  VERBİS güncellemeleri, DPIA (veri koruma etki değerlendirmesi) hazırları ve kontrol listeleri uygulamaya konulmaktadır.

 

​5. Mevzuata göre cezalar ve idari yaptırım riski

KVKK’ya aykırılıklar için Kurum tarafından uygulanabilecek idari para cezaları 2026’da yeniden değerleme ile artırılmıştır; aydınlatma yükümlülüğüne uymama, veri güvenliği tedbirlerini almama ve VERBİS yükümlülüğüne uymama gibi ihlaller yüksek tutarlara ulaşabilir. Bu nedenle AI projelerinde uyum eksikliği ciddi mali risk doğurur. (Örnek ve güncel rakamlar için Kurumun idari para cezası sayfası ve 2026 güncellemeleri takip edilmelidir.)

​

6. Yurt Dışına Veri Aktarımı Rejiminin Değişmesi (2024 Reformu)

KVKK’nın yurt dışına veri aktarımı hükümleri 2024’te köklü şekilde değiştirilmiştir. Yeni sistemde:“Yeterli koruma” kavramı korunmuş, ancak standart sözleşmeler, bağlayıcı şirket kuralları ve Kurul onaylı mekanizmalar açık şekilde düzenlenmiştir. Bu değişiklik, yurt dışı merkezli yapay zekâ servisleri, bulut tabanlı AI platformları ve yabancı model sağlayıcıları kullanan tüm şirketler için kritik önemdedir. Yapay zekâ altyapısının yurt dışında çalışması, artık tek başına hukuka aykırılık sayılmamakta; ancak hukuki güvence mekanizmaları zorunlu hâle gelmiştir.​

​

Yapay zekâ ve KVKK artık ayrı alanlar değildir.
2024 sonrası mevzuat değişiklikleriyle birlikte, yapay zekâ kullanan tüm kişi ve kurumlar yüksek uyum standardına tabi hâle gelmiştir.

Bu alandaki hukuki riskler, profesyonel destek alınmadan yönetilemeyecek düzeydedir.

​

                                   Hukuki Destek – EFİL HUKUK BÜROSU

EFİL HUKUK BÜROSU olarak;

• Yapay zekâ projelerinin KVKK uyumu,

• VERBİS yükümlülükleri,

• İdari para cezalarına karşı savunma,

• Kurul başvuruları ve itiraz süreçleri,

• Sözleşme ve aydınlatma metinlerinin hazırlanması

Konularında hukuki danışmanlık ve temsil hizmeti sunmaktayız.

Bu alanda yaşadığınız tüm hukuki sorunlar için büromuzla iletişime geçebilirsiniz.

​

Bu içerik, 2026 yılı itibarıyla yürürlükte olan mevzuat ve Kurul uygulamaları esas alınarak hazırlanmıştır. Hukuki bilgilendirme amaçlıdır.