# KVKK'ya Uygun Yapay Zekâ: Kurumlar Neye Dikkat Etmeli? - Published: 2026-10-27 - Source: https://www.cbot.ai/tr/kvkk-uyumlu-yapay-zeka-kurumlar-neye-dikkat-etmeli/ Üretken yapay zekâ, sesli yapay zekâ ve chatbot projelerinde KVKK uyumu, sistem tamamlandıktan sonra değil tasarımın ilk gününden ele alınmalı. Kurumlar için 5 temel ilke, 5 adımlı yol haritası ve sık sorulan sorular. Bir müşteri, bankasının sesli yapay zekâ agentını arayarak kredi kartı borcunu öğrenmek istiyor. Yapay zekâ saniyeler içinde yanıt veriyor, müşteri beklemiyor ve işlem tamamlanıyor. Peki, bu sırada müşterinin kişisel verilerine ne oluyor? Konuşma kaydediliyor mu? Veriler nerede işleniyor? Yapay zekâ bu bilgileri başka amaçlarla kullanabiliyor mu? Üretken yapay zekâ (GenAI), [sesli yapay zekâ](https://www.cbot.ai/tr/cbot-speechi-taniyin/) ve [chatbot teknolojileri](https://www.cbot.ai/tr/mesajlasma-is-akisi-ajanlari/) müşteri deneyimini dönüştürürken kurumlar için önemli bir soruyu gündeme getiriyor: **Yapay zekâ sistemleri KVKK'ya uygun şekilde nasıl tasarlanmalı?** Kişisel Verileri Koruma Kurumu'nun yayımladığı [Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi](https://www.kvkk.gov.tr/Icerik/8547/uretken-yapay-zeka-ve-kisisel-verilerin-korunmasi-rehberi-15-soruda), yapay zekâ sistemlerinin geliştirilmesi ve kullanılması sırasında kişisel verilerin korunmasına ilişkin önemli bir çerçeve sunuyor. **Buradaki temel mesaj net: KVKK uyumluluğu, yapay zekâ projesi tamamlandıktan sonra kontrol edilecek bir detay değil, sistemin tasarımından itibaren ele alınması gereken bir konu.** ## Yapay Zekâ Sistemleri KVKK'ya Tabi mi? Evet. Yapay zekâ sistemleri kişisel veri işliyorsa bu faaliyetler [6698 sayılı Kişisel Verilerin Korunması Kanunu](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5) kapsamında değerlendiriliyor. Üstelik kişisel veri işleme yalnızca verilerin saklanması anlamına gelmiyor. Verilerin toplanması, analiz edilmesi, başka sistemlere aktarılması veya yapay zekâ tarafından yanıt üretmek amacıyla kullanılması da veri işleme faaliyetleri arasında yer alabiliyor. Örneğin [bir bankanın](https://www.cbot.ai/tr/bankacilik/) yapay zekâ agentı müşterinin hesap bilgilerine erişiyorsa, [bir sigorta şirketinin](https://www.cbot.ai/tr/sigortacilik-bireysel-emeklilik/) chatbotu poliçe bilgilerini değerlendiriyorsa veya bir çağrı merkezinin sesli yapay zekâ sistemi müşteri görüşmelerini işliyorsa kişisel verilerin korunmasına ilişkin yükümlülükler gündeme geliyor. Bu noktada önemli olan, kullanılan yapay zekâ modelinden çok sistemin hangi verileri, hangi amaçlarla ve hangi koşullarda işlediği. ## KVKK Uyumlu Yapay Zekâ İçin 5 Temel İlke ### 1. Yalnızca İhtiyaç Duyulan Verileri İşleyin Yapay zekâ projelerinde daha fazla verinin her zaman daha iyi sonuç üreteceği düşünülüyor. Oysa kişisel veriler söz konusu olduğunda bu yaklaşım gereksiz riskler yaratabiliyor. [KVKK'nın 4. maddesi](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5), kişisel verilerin belirli, açık ve meşru amaçlarla, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü şekilde işlenmesini öngörüyor. Örneğin bir müşterinin sipariş durumunu sorgulayan yapay zekâ agentının müşterinin tüm alışveriş geçmişine erişmesi gerekmeyebilir. Bu nedenle kurumlar, yapay zekâ sistemlerine hangi verilerin aktarılacağını önceden belirlemeli. Veri minimizasyonu hem KVKK uyumluluğunu destekliyor hem de gereksiz veri erişiminden kaynaklanabilecek güvenlik risklerini azaltıyor. ### 2. Verilerin Nerede İşlendiğini Bilin Üretken yapay zekâ uygulamalarında en kritik konulardan biri, verilerin [hangi altyapıda](https://www.cbot.ai/tr/konuslandirma-secenekleri/) işlendiği. Özellikle bulut tabanlı [büyük dil modelleri](https://www.cbot.ai/tr/llm-nedir-nasil-calisir/) kullanıldığında kişisel verilerin üçüncü taraf hizmet sağlayıcılarla paylaşılması veya yurt dışına aktarılması söz konusu olabiliyor. Bu nedenle kurumların hizmet sağlayıcılarına şu soruları yöneltmesi gerekiyor: - Kişisel veriler hangi ülkelerde işleniyor ve saklanıyor? - Verilere kimler erişebiliyor? - Müşteri verileri model eğitimi için kullanılıyor mu? - Veriler ne kadar süre saklanıyor ve nasıl siliniyor? - Yurt dışına aktarım varsa hangi hukuki mekanizmaya dayanılıyor? [KVKK'nın 9. maddesi](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5), kişisel verilerin yurt dışına aktarılması için belirli şartlar öngörüyor. **Verilerin güvenli bir bulut ortamında tutulması, tek başına KVKK uyumluluğu anlamına gelmiyor.** Veri işleme faaliyetinin hukuki dayanağı, aktarım koşulları ve tarafların sorumlulukları ayrıca değerlendirilmeli. ### 3. Şeffaflık ve İnsan Denetimini Sağlayın Bir müşteri yapay zekâ destekli bir sistemle iletişim kurduğunda kişisel verilerinin hangi amaçlarla işlendiğini anlayabilmeli. [KVKK'nın 10. maddesi](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5) kapsamında veri sorumlularının aydınlatma yükümlülüğü bulunuyor. Yapay zekâ kullanılan süreçlerde de bu yükümlülüğün yerine getirilmesi gerekiyor. Özellikle kredi değerlendirmesi, sigorta işlemleri veya müşteri taleplerinin sınıflandırılması gibi alanlarda yapay zekânın rolü açıkça tanımlanmalı. Ayrıca [KVKK'nın 11. maddesi](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5), kişilere münhasıran otomatik sistemlerle analiz edilmeleri sonucunda kendileri aleyhine ortaya çıkan sonuçlara itiraz etme hakkı tanıyor. Bu nedenle kurumların, kararın niteliğine göre [insan denetimi ve itiraz mekanizmaları](https://www.cbot.ai/tr/yapay-zeka-yonetisim-guvenlik/) oluşturması önem taşıyor. ### 4. KVKK Uyumlu Sesli Yapay Zekâ ve Chatbot Sistemleri Tasarlayın Sesli yapay zekâ agentları ve chatbotlar, müşterilerle doğrudan iletişim kurdukları için kişisel veri güvenliğinin en görünür olduğu uygulamalar arasında yer alıyor. Örneğin bir bankanın [sesli yapay zekâ agentı](https://www.cbot.ai/tr/bankalar-icin-kurum-ici-sesli-yapay-zeka/), müşterinin hesap bilgilerini paylaşmadan önce uygun kimlik doğrulama kontrollerini uygulamalı. Bir çağrı merkezinde kullanılan yapay zekâ ise konuşma kayıtlarını yalnızca belirlenen amaçlar ve saklama süreleri çerçevesinde işlemeli. **KVKK uyumlu sesli yapay zekâ sistemleri tasarlanırken özellikle şu konular değerlendirilmeli:** - Ses kayıtlarının ve konuşma dökümlerinin hangi amaçlarla işlendiği - Kimlik doğrulama ve erişim yetkilerinin nasıl yönetildiği - Hassas bilgilerin gerektiğinde maskelenmesi - Konuşma verilerinin model geliştirme süreçlerinde kullanılıp kullanılmadığı - Verilerin saklanması, silinmesi ve üçüncü taraflarla paylaşılması Burada önemli bir ayrıntı var: Ses kaydı her durumda özel nitelikli kişisel veri anlamına gelmiyor. Ancak ses verilerinin biyometrik yöntemlerle kişiyi benzersiz biçimde tanımlamak amacıyla işlenmesi, özel nitelikli kişisel verilere ilişkin ek yükümlülükleri gündeme getirebiliyor. Kişisel Verileri Koruma Kurumu'nun [üretken yapay zekâ rehberi](https://www.kvkk.gov.tr/Icerik/8547/uretken-yapay-zeka-ve-kisisel-verilerin-korunmasi-rehberi-15-soruda), yapay zekâ sistemlerinin yaşam döngüsü boyunca veri koruma ilkelerinin dikkate alınmasının önemini ortaya koyuyor. CBOT olarak 2015'ten bu yana [kurumsal yapay zekâ](https://www.cbot.ai/tr/tr-cbot-platformu-taniyin/) ve sesli yapay zekâ teknolojileri üzerinde çalışıyoruz. Bankacılık, finans, perakende ve müşteri hizmetleri gibi alanlardaki deneyimimiz bize önemli bir noktayı gösteriyor: **Yapay zekâda veri güvenliği yalnızca model seçimiyle değil, sistemin kurumsal altyapıya nasıl entegre edildiğiyle de yakından ilişkili.** Bu nedenle sesli yapay zekâ ve chatbot projelerinde [güvenli entegrasyonlar](https://www.cbot.ai/tr/entegrasyonlar/), veri erişim kontrolleri ve kurumsal veri yönetimi birlikte ele alınmalı. ### 5. Güvenliği Sürekli Denetleyin Yapay zekâ sistemlerinde veri güvenliği, uygulamanın devreye alınmasıyla tamamlanmıyor. Modeller güncelleniyor, yeni veri kaynakları ekleniyor ve sistemler farklı iş süreçlerine entegre ediliyor. Bu değişiklikler yeni güvenlik riskleri oluşturabiliyor. [KVKK'nın 12. maddesi](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5), veri sorumlularına kişisel verilerin güvenliğini sağlamak için gerekli teknik ve idari tedbirleri alma yükümlülüğü getiriyor. Kurumlar bu kapsamda erişim kontrollerini, veri akışlarını, saklama politikalarını ve güvenlik testlerini düzenli olarak gözden geçirmeli. Özellikle üretken yapay zekâ sistemlerinde, [manipülatif komutlarla yetkisiz veri paylaşımına](https://www.cbot.ai/tr/kaynaklar/playbooklar/sesliaiagentplaybook/guvenlik-ve-uyum/) yol açabilecek saldırılara karşı da önlemler alınmalı. ## Kurumlar KVKK Uyumlu Yapay Zekâ Projelerine Nasıl Başlamalı? KVKK uyumluluğu yalnızca hukuk veya bilgi güvenliği ekiplerinin sorumluluğu olarak görülmemeli. Teknoloji, operasyon ve iş birimlerinin birlikte hareket etmesi gerekiyor. Kurumsal yapay zekâ projelerinde uygulanabilecek beş aşamalı bir yol haritası şöyle: **1. Veri envanterini oluşturun.** Yapay zekâ sisteminin hangi kişisel verilere eriştiğini, bu verileri nereden aldığını ve hangi amaçlarla işlediğini belirleyin. **2. Hukuki dayanağı netleştirin.** Veri işleme faaliyetlerini [KVKK'nın 5. ve gerektiğinde 6. maddesi](https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5) kapsamında değerlendirin. Her veri işleme faaliyetinin mutlaka açık rızaya dayanması gerekmediğini unutmayın. **3. Teknoloji altyapısını değerlendirin.** Kullanılan modelleri, hizmet sağlayıcılarını, entegrasyonları ve olası yurt dışı veri aktarımlarını inceleyin. **4. Güvenliği tasarıma dahil edin.** Veri minimizasyonu, maskeleme, erişim kontrolü ve kayıt yönetimi gibi önlemleri projenin başından itibaren planlayın. **5. Sürekli izleme ve denetim sağlayın.** Model güncellemelerini, veri akışlarını ve güvenlik risklerini düzenli olarak değerlendirin. Bu yaklaşım özellikle [bankacılık](https://www.cbot.ai/tr/bankacilik/), [sigorta](https://www.cbot.ai/tr/sigortacilik-bireysel-emeklilik/), [telekomünikasyon](https://www.cbot.ai/tr/telekom/), [perakende ve e-ticaret](https://www.cbot.ai/tr/perakende-e-ticaret/) gibi yoğun kişisel veri işleyen sektörlerde önem taşıyor. ## Sonuç: Güvenilir Yapay Zekâ, Doğru Veri Yönetimiyle Başlıyor Yapay zekâ projelerinde başarıyı yalnızca otomasyon oranı, yanıt süresi veya maliyet avantajıyla ölçmek yeterli değil. Kişisel verilerin nasıl korunduğu da başarının önemli bir parçası. Kişisel Verileri Koruma Kurumu'nun [Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi](https://www.kvkk.gov.tr/Icerik/8547/uretken-yapay-zeka-ve-kisisel-verilerin-korunmasi-rehberi-15-soruda), veri koruma ilkelerinin sistemlerin tüm yaşam döngüsünde dikkate alınması gerektiğini ortaya koyuyor. CBOT olarak kurumsal yapay zekâ sistemlerinde sürdürülebilir başarının, güçlü teknolojik altyapı kadar [güvenilir veri yönetimine](https://www.cbot.ai/tr/model-degil-egemenlik-bankacilikta-yapay-zekanin-yeni-ayrim-cizgisi/) ve doğru tasarlanmış süreçlere bağlı olduğuna inanıyoruz. Çünkü gelecekte kurumları farklılaştıracak olan yalnızca yapay zekâyı ne kadar etkin kullandıkları değil, **onu ne kadar güvenilir ve sorumlu şekilde yönettikleri olacak.** ## FAQ ### KVKK uyumlu yapay zekâ nedir? KVKK uyumlu yapay zekâ, kişisel veri işleme faaliyetleri 6698 sayılı Kanun'un uygulanabilir hükümlerine uygun şekilde tasarlanan ve yönetilen yapay zekâ sistemlerini ifade eder. Uyumluluk yalnızca teknolojiye değil, verilerin işlenme amaçlarına, hukuki dayanaklara, güvenlik önlemlerine ve kurumsal süreçlere bağlıdır. ### KVKK uyumlu sesli yapay zekâ nasıl geliştirilir? Sesli yapay zekâ sistemlerinde konuşma kayıtlarının işlenme amaçları ve hukuki dayanakları belirlenmeli, erişim yetkileri sınırlandırılmalı, saklama süreleri tanımlanmalı ve gerekli güvenlik kontrolleri uygulanmalı. Kimlik doğrulama ve üçüncü taraf entegrasyonları da değerlendirilmelidir. ### Chatbotlar müşteri verilerini yapay zekâ eğitimi için kullanabilir mi? Müşteri verilerinin model eğitimi amacıyla kullanılması ayrı bir veri işleme faaliyeti oluşturabilir. Bu kullanımın hukuki dayanağı, amacı, veri minimizasyonu ilkesi ve ilgili diğer KVKK yükümlülükleri ayrıca değerlendirilmelidir. ### Yapay zekâ sistemlerinde veriler yurt dışına aktarılabilir mi? Evet, ancak kişisel verilerin yurt dışına aktarılması KVKK'nın 9. maddesindeki koşullara uygun olmalıdır. Kullanılan bulut altyapısı veya yapay zekâ sağlayıcısı, aktarım yükümlülüklerini kendiliğinden ortadan kaldırmaz.