ChatGPT’yi iş yerinde kullanıyor musunuz? Müşteri e-postası yazdırıyor, toplantı özeti çıkarıyor ya da rapor hazırlatıyor musunuz? Eğer öyleyse, Kasım 2025’te Kişisel Verileri Koruma Kurumu’nun yayımladığı resmi rehber sizi doğrudan ilgilendiriyor.
Rehber Ne Zaman Yayımlandı?
Kişisel Verileri Koruma Kurumu (KVKK), 24 Kasım 2025 tarihinde “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)” başlıklı 64 sayfalık resmi rehberini yayımladı. Rehbere KVKK’nın resmi web sitesinden ulaşabilirsiniz.
Bu Rehber Neden Bu Kadar Önemli?
Çünkü bu rehber, Türkiye’de bir devlet kurumunun yapay zekâ kullanımı hakkında yaptığı ilk kapsamlı ve bağlayıcı nitelikteki resmi açıklama. Artık “yapay zekâ kullanımı KVKK kapsamında mı?” sorusunun yanıtı net: Evet.
Rehber Ne Söylüyor? 5 Kritik Nokta
- Yapay Zekâ Kullanımı Veri İşleme Faaliyetidir
Bir yapay zekâ sistemine kişisel veri içeren herhangi bir bilgi girdiğinizde — isim, e-posta, telefon numarası, sözleşme detayı — bu bir veri işleme faaliyeti sayılıyor. KVKK’nın tüm yükümlülükleri bu andan itibaren devreye giriyor.
- ChatGPT Kullanmak Yurt Dışına Veri Transferidir
Türkiye dışında sunucuları bulunan yapay zekâ sistemleri — ChatGPT, Gemini, Copilot ve benzerleri — üzerinden veri aktarımı, KVKK’nın 9. maddesi kapsamında yurt dışına veri transferi sayılıyor. Bu transfer için geçerli bir hukuki dayanak olması zorunlu.
- Kamuya Açık Veriler Serbestçe Kullanılamaz
Rehber çok önemli bir noktanın altını çiziyor: İnternette kamuya açık olan bir verinin yapay zekâ sistemlerinin eğitiminde veya kullanımında serbestçe kullanılması KVKK’ya aykırı olabilir. “Zaten herkese açık” gerekçesi yasal bir koruma sağlamıyor.
- Şeffaflık Zorunlu
Yapay zekânın eğitilmesi, işletilmesi ve çıktılarının kullanılması — bunların her biri ayrı bir veri işleme faaliyeti. Her biri için geçerli bir hukuki dayanak belirlenmesi ve veri sahiplerine şeffaflık sağlanması gerekiyor.
- Teknik ve İdari Tedbirler Alınmalı
Rehber, veri koruma etki değerlendirmesi yapılmasını, mahremiyet artırıcı teknolojilerin kullanılmasını ve yapay zekâya özgü güvenlik açıklarına karşı teknik kontrollerin uygulanmasını tavsiye ediyor.
Bireyler İçin Uyarılar
Rehber bireylere de somut uyarılarda bulunuyor: Ad-soyad veya kimlik bilgileri gibi doğrudan tanımlamaya elverişli kişisel verilerin yapay zekâ sistemleriyle paylaşılmaması gerekiyor. Üçüncü kişilere ait kişisel verilerin bu sistemlere girilmemesi öneriliyor. Sağlık, finansal veya hukuki süreçlere ilişkin hassas bilgilerin yapay zekâ araçlarıyla paylaşılmasından kaçınılması gerekiyor.
Şirketler İçin Ne Anlam İfade Ediyor?
Bu rehber yayımlandığı andan itibaren geçerliliğini koruyor. “Bilmiyordum” savunması artık işlemiyor. Şirketlerin yapması gerekenler şunlar: Çalışanların hangi yapay zekâ araçlarını kullandığının tespit edilmesi. Yapay zekâ araçlarına hangi verilerin girildiğinin belirlenmesi. Yurt dışı veri transferi mekanizmalarının hukuka uygun hale getirilmesi. Çalışanlar için yapay zekâ kullanım politikası hazırlanması. Gerekli teknik ve idari tedbirlerin alınması.
Bu adımların atılmaması halinde, 2026 yılı itibarıyla 256.357 TL ile 17.092.242 TL arasında değişen KVKK idari para cezaları gündeme gelebilir.
Resmi rehberin tamamına ulaşmak için: KVKK Resmi Rehberi
Yasal Uyarı ve Bilgilendirme Notu
Bu makale yalnızca genel bilgilendirme ve farkındalık amacıyla hazırlanmıştır; hukuki tavsiye, görüş veya danışmanlık hizmeti niteliği taşımamaktadır. Her somut olay kendi koşulları ve güncel mevzuat çerçevesinde ayrıca değerlendirilmelidir. Makale içeriğine dayanılarak alınan kararlardan doğabilecek sonuçlardan ACR Legal ve Av. Ayşe Ece Acar sorumlu tutulamaz.
© 2026 ACR Legal | Av. Ayşe Ece Acar — ayseeceacar.av.tr. Tüm hakları saklıdır. Bu makalenin tamamı veya bir bölümü, kaynak gösterilse dahi izinsiz çoğaltılamaz, yayımlanamaz veya ticari amaçla kullanılamaz.
