KVKK ve Yapay Zeka: Çalışanlar ChatGPT, Claude ve Gemini'ye Hangi Veriyi Verebilir? (2026)

Eğitimlerde en sık gelen soru şu: "ChatGPT'ye müşteri listesini yapıştırabilir miyim?" Çoğu şirkette cevap belirsiz kalıyor. Çalışan kuralı bilmiyor, yönetici neyin yasak olduğunu net söylemiyor. Sonuçta ya herkes her şeyi yapıştırıyor ya da araç yasaklanıyor ve kullanım gözden kayboluyor. Bu yazıda KVKK açısından hangi verinin yapay zeka araçlarına verilebileceğini, hangisinin verilemeyeceğini ve aradaki gri alanı nasıl yönettiğimi anlatıyorum. Yazı hukuki danışmanlık değildir, şirketinize özel karar için hukuk müşavirinize danışın.

Kuralların tamamını yazıya dökmek istiyorsanız şirketler için yapay zeka kullanım politikası yazısına, kontrolsüz kullanımın nasıl ortaya çıktığını anlamak için gölge yapay zeka yazısına bakabilirsiniz. Bu yazı yalnız veri ve KVKK tarafına odaklanıyor.

Çalışanlar ChatGPT, Claude ve Gemini'ye hangi veriyi verebilir?

Çalışanlar, kişisel veri içermeyen ve şirket için gizlilik taşımayan her şeyi yapay zeka araçlarına verebilir: halka açık bilgiler, yayımlanmış içerikler, genel sorular ve içinde isim, telefon ya da kimlik numarası gibi unsur bulunmayan taslaklar. Kişisel veri içeren metinler ise ancak iki koşuldan biri sağlanırsa verilmelidir: veri anonimleştirilmişse ya da şirketin kurumsal sözleşmesi, hukuki dayanağı ve onaylı bir aracı varsa. Ticari sırlar, sözleşme metinleri ve açıklanmamış finansal tablolar da kurumsal güvence olmadan verilmemelidir. Kullandığım basit ölçü şu: bu metni dışarıdan biri okusa şirket ya da bir kişi zarar görür mü? Görürse metin, onaylı araç ve yazılı kural olmadan sohbet kutusuna girmemelidir.

Bu ölçüt aracın markasından bağımsızdır. ChatGPT, Claude ve Gemini'nin hesap türüne göre değişen veri ayarları olsa da kural önce veriye bakmak, sonra araca bakmaktır.

KVKK'ya göre kişisel veri ve özel nitelikli kişisel veri nedir?

6698 sayılı KVKK'ya göre kişisel veri, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgidir. Ad ve soyad, telefon, e-posta, adres, kimlik numarası, IP adresi ve bir kişiye bağlanabilen müşteri notu bunun örnekleridir. Özel nitelikli kişisel veri ise daha sıkı korunan kategoridir: sağlık bilgisi, biyometrik ve genetik veriler, din, sendika üyeliği, ceza mahkûmiyeti gibi bilgiler bu gruba girer. Eğitimlerde gördüğüm yaygın yanılgı, kişisel veriyi yalnız isim sanmak. Oysa "Kadıköy'deki şubemizin 42 yaşındaki hasta danışanı" gibi birkaç ayrıntının birleşimi de bir kişiyi belirlenebilir kılabilir. Bu yüzden kural bilgi türüne değil, bilginin bir kişiye bağlanıp bağlanamayacağına bakar.

Çalışanlara şunu öğretiyorum: önce "Bu bilgi bir kişiyle ilişkili mi?" diye sorun. Cevap evetse ikinci soru "Şirketin bu veriyi bu araca vermek için dayanağı var mı?" olmalı. İkinci sorunun cevabını bilmeyen çalışan, hiçbir zaman tek başına karar vermemeli.

KVKK Kurumu'nun üretken yapay zeka rehberi ne diyor?

Kişisel Verileri Koruma Kurumu, Kasım 2025'te "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)" başlıklı bir rehber yayımladı. Rehber üretken yapay zekâ sistemlerinin nasıl çalıştığını ve risklerini anlatıyor, bu sistemlerde kişisel veri işlemeyi 6698 sayılı Kanun çerçevesinde değerlendiriyor ve bireylere, ebeveynlere yönelik öneriler içeriyor. Veri sorumlusu ile veri işleyenin nasıl belirleneceği, Kanun'un ilkelerine uyum ve hukuki işleme şartları da ele alınan konular arasında. Ben burada rehberi madde madde aktarmıyorum, çünkü metin Kurum'un sitesinde yayımlı ve okunmaya değer: KVKK üretken yapay zekâ rehberi. Şirket olarak yapmanız gereken, rehberi hukuk danışmanınızla birlikte kendi kullanım senaryolarınıza uygulamaktır.

Yapay zekaya veri vermek neden yurt dışına aktarım meselesidir?

Ücretsiz ve bireysel sohbet araçlarının çoğunun altyapısı Türkiye dışındadır. Bir çalışan müşteri verisini bu araçlardan birine yapıştırdığında, veri sorumlusu olan şirket adına kişisel veri yurt dışına aktarılmış olabilir. KVKK'da yurt dışına aktarım ayrı koşullara bağlanmış bir konudur ve Kurum'un rehberi de bu başlığı ele alır. Sağlayıcının veriyi nerede işlediği, hangi sözleşme güvencelerini sunduğu ve aktarımın hangi dayanağa oturduğu, şirket düzeyinde cevaplanması gereken sorulardır. Bunu tek tek çalışanın vicdanına bırakmak doğru değil. Şirket hangi araçta hangi verinin kullanılabileceğine karar vermeli ve bunu yazılı kural haline getirmelidir.

Kurumsal plan ile bireysel hesap arasındaki fark ne?

Kurumsal planlar bireysel hesaplardan genellikle üç noktada ayrılır: yönetici kontrolü, sözleşmeyle verilen veri taahhütleri ve girdilerin model eğitiminde nasıl kullanılacağı. Sağlayıcıların çoğu kurumsal planlarda girdilerin varsayılan olarak model eğitimi için kullanılmadığını belirtiyor. Bireysel planlarda ise bu çoğunlukla bir ayara bağlı oluyor ve çalışan o ayarı kapatmayı unutabiliyor. Benim önerim, sağlayıcının genel beyanına güvenmek yerine şu dört şeyi kendiniz kontrol etmeniz. Ayrıntılar plana ve zamana göre değiştiği için bu kontrolü dönemsel olarak tekrarlayın.

• Sözleşme ve veri işleme eki: Girdilerin nasıl kullanılacağı, saklama süresi, silme talebi ve alt işleyenler yazılı mı?
• Hesap ayarı: Model eğitimi için kullanım kapalı mı, bunu yönetici mi kilitliyor yoksa her çalışan mı değiştirebiliyor?
• Erişim ve kayıt: Kimin ne zaman hangi araca eriştiği izlenebiliyor mu, ayrılan çalışanın hesabı kapatılabiliyor mu?
• Veri bölgesi: Sağlayıcı verinin işlendiği bölgeyi belirtiyor mu, seçenek sunuyor mu?

Kurumsal plan KVKK uyumunu kendiliğinden sağlamaz. Aracın tarafında güvence artar, ama hukuki sebep, aydınlatma ve hangi verinin girileceği kararı yine sizde kalır.

Anonimleştirme yapay zekaya veri verirken gerçekten korur mu?

Anonimleştirme doğru yapılırsa korur, ama isimleri silmekten ibaret değildir. Gerçek anonimleştirmede veri, başka verilerle eşleştirilse bile artık bir kişiye bağlanamaz. "Müşteri A" yazmak çoğu zaman yalnız takma adlandırmadır, çünkü şirketin elindeki bir tabloyla kişi yeniden bulunabilir. Eğitimlerde dört adımlık bir rutin öğretiyorum ve çalışanlar bunu birkaç dakikada uygulamaya alışıyor. Bu rutin iş yükünü azaltır ama sıfırlamaz. Sağlık kayıtları gibi yüksek riskli verilerde anonimleştirmeye güvenmek yerine hiç vermemek daha güvenlidir.

1. Kimlik unsurlarını çıkarın: Ad, soyad, telefon, e-posta, adres, kimlik ve hesap numaralarını silin.
2. Yerine rol ya da kod yazın: "Müşteri", "yönetici", "Hasta 1" gibi ifadeler kullanın, eşleştirme tablosunu araçtan uzak tutun.
3. Ayrıntıları genelleyin: Kesin tarih yerine ay, açık adres yerine bölge, nadir bir unvan yerine genel bir rol yazın.
4. Dışarıdan biri gibi okuyun: Metni tanımadığınız biri okusa kimin hakkında olduğunu anlar mı?

Çalışanlar için trafik ışığı veri sınıflandırması nasıl kurulur?

Trafik ışığı sınıflandırması, şirketin verisini üç renge ayırır: yeşil serbest, sarı koşullu, kırmızı yasaktır. Çalışanın kuralı ezberlemesine gerek kalmaz, her seferinde "Bu veri hangi renk?" diye sorması yeter. Sistemi basit tutmak şart, çünkü on kategorili bir tablo kimsenin işine gelmiyor ve ilk haftadan sonra unutuluyor. Aşağıdaki tabloyu başlangıç noktası olarak kullanabilirsiniz, kendi sektörünüze göre örnekleri değiştirmeniz yeterli. Tabloyu şirketin onaylı araç listesiyle birlikte tek sayfada duvara asın ya da intranete koyun. Genel politika iskeleti için kullanım politikası yazısındaki bölümlerle birleştirebilirsiniz.

Sarı bölge en çok soru çıkan yerdir. Şüphede kalan çalışan için kural nettir: bir üst renk gibi davran ve sor.

Şirketlerde en sık hangi veri hataları yapılıyor?

• Kişisel hesapla iş verisi: Çalışan kendi ücretsiz hesabını açıp müşteri yazışmasını yapıştırıyor. Şirketin ne veri gördüğünden ne de ayarlarından haberi oluyor.
• Dosya yüklemeyi masum sanmak: Bir Excel ya da PDF yüklemek, metin yapıştırmakla aynı sonucu doğurur. İçindeki kişisel veri de aynen aktarılır.
• Toplantı kayıt eklentileri: Katılımcıların bilgisi olmadan görüşmeyi kaydedip yazıya döken eklentiler hem kişisel veri hem gizlilik riski yaratır.
• Çıktıyı kontrolsüz paylaşmak: Araç, girdideki kişisel bilgiyi çıktıya taşıyabilir. Çıktıyı dışarı göndermeden önce okumak gerekir.
• Yasakla yönetmek: Tamamen yasaklanan araç kapıdan çıkar, kişisel telefona ve evdeki bilgisayara taşınır. Onaylı bir yol göstermek daha güvenli. Meslek gruplarına özel örnekler için hukuk bürolarında yapay zeka kullanımı ve İK ekipleri için yapay zeka yazılarına bakabilirsiniz, çünkü bu ekipler en hassas veriyle çalışıyor.

Şirket olarak nereden başlamalısınız?

Benim sıram şöyle ilerliyor ve hiçbir adım hukuk metni gerektirmiyor, yalnız karar gerektiriyor:

1. Envanter çıkarın. Hangi ekip hangi aracı hangi veriyle kullanıyor? Resmi lisansların yanında çalışanların kendi hesaplarını da sorun.
2. Veriyi üç renge ayırın. Yukarıdaki tabloyu kendi örneklerinizle doldurun.
3. Onaylı araç belirleyin. Kurumsal plan sözleşmesini ve ayarlarını hukuk ve bilgi güvenliğiyle birlikte kontrol edin.
4. Kuralı yazılı hale getirin. İki sayfayı geçmesin, ilk sayfada tablo bulunsun.
5. Eğitimi gerçek verilerle yapın. Çalışan, kendi dosyasındaki hassas bilgiyi kendi gözüyle ayıklamayı denediğinde kuralı kalıcı öğreniyor. Bu da yapay zeka okuryazarlığının veri ve sorumluluk bileşenidir, ayrıntısı için yapay zeka okuryazarlığı yazıma bakabilirsiniz.

Bu kuralları ekibinizin kendi iş akışları üzerinde uygulamalı öğretmemi isterseniz kurumsal yapay zeka eğitimi sayfasından ekibinize özel teklif isteyebilir, mevcut durumunuzu birlikte çıkarmak için danışmanlık tarafında görüşebiliriz. Hukuki yorum gereken noktalarda ise şirketinizin hukuk danışmanıyla birlikte ilerlemenizi öneririm.