Müşteri bilgisini ChatGPT’ye yazmak KVKK’ya aykırı mı?
Kısa cevap: Yazmak tek başına yasak değil; ama müşterinin adı, telefonu ya da adresi gibi bilgiyi girdiğinizde kişisel veri işlemiş olursunuz ve 6698 sayılı KVKK devreye girer. KVKK’nın Kasım 2025 rehberi bu yüzden kimlik bilgisini yazmamayı, yazacaksanız anonim yazmayı önerir.
Yapay zekâya yazdığım şey ne zaman kişisel veri olur?
Kısa cevap: Kimliği belirli ya da belirlenebilir bir gerçek kişiye ait her bilgi kişisel veridir; yapay zekâ aracına yazmak da “işleme”dir.
Kanun “kişisel veri” ve “işleme” derken neyi kastediyor?
Kısa cevap: “Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi” kişisel veridir; elde etme, kaydetme, saklama, aktarma, sınıflandırma gibi veriler üzerinde yapılan her işlem “işleme”dir. KVKK rehberi bu iki tanımı 6698 sayılı Kanun’un 3. maddesinden aktarır.
Rehber, yapay zekâ sisteminin yaşam döngüsünün herhangi bir aşamasında kişisel veri işleniyorsa Kanun’un uygulanacağını, Kanun’un teknolojiden bağımsız olduğunu yazar. Yani aracın adı (ChatGPT, Claude, Gemini ya da bir sohbet botu) değil, içine ne yazdığınız belirleyicidir.
Hangi kullanım Kanun kapsamında, hangisi dışında?
Kısa cevap: Gerçek kişiye ait bilgi yoksa kural olarak kapsam dışı; varsa kapsam içi. Rehberin kendi örnekleri: bir ajans yapay zekâya “yaz indirimi temalı afiş” gibi gerçek kişi bilgisi içermeyen istemler veriyor; kural olarak kişisel veri işleme yok. Bir şirket işe alımda adayların özgeçmişlerini bir modele yükleyip özet çıkarıyor; kararı şirket verdiği için o işleme bakımından veri sorumlusu olarak değerlendirilebilir.
Bir de ters durum var: rehber, kullanıcı girdisinde kişisel veri olmasa bile modelin çıktısında gerçek bir kişiye ait ad-soyad ve geçmiş bilgisi çıkarsa bunun kişisel veri işleme sayılabileceğini söyler. Rehbere göre yalnızca anonim hâle getirilmiş veri ise Kanun kapsamı dışındadır; ancak anonim olduğunun teknik yöntemlerle ve nesnel ölçütlerle ortaya konması gerekir.
İşletme olarak hangi yükümlülüklerim doğar?
Kısa cevap: Kişisel veri yazıyorsanız dört şey: işleme şartı, aydınlatma, yurt dışı aktarım kuralı ve veri güvenliği. Rehberden sırayla:
1) İşleme şartı (md. 5): Her kişisel veri işleme faaliyeti, Kanun’un 5. maddesindeki şartlardan en az birine dayanmalı: açık rıza, kanunlarda açıkça öngörülmesi, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, hukuki yükümlülük, hakkın tesisi, meşru menfaat ve diğerleri. Rehber, modelin çalıştırılması ile modelin geliştirilmesi için kullanılmasını ayrı faaliyetler sayar ve her biri için ayrı şart aranabileceğini yazar.
2) Aydınlatma (md. 10): Veri sorumlusunun kimliği, işleme amacı, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları anlaşılır, açık ve sade dille bildirilmeli.
3) Yurt dışına aktarım (md. 9): Yurt dışında yerleşik bir yapay zekâ hizmet sağlayıcısına kişisel veri girmek yurt dışına aktarım olabilir; rehber bu durumda aktarımın Kanun’un 9. maddesine ve 10.07.2024 tarih, 32598 sayılı Resmî Gazete’de yayımlanan yönetmeliğe uygun yapılmasını ister. KVKK’nın ayrıca “Kişisel Verilerin Yurt Dışına Aktarılması Rehberi” vardır.
4) Güvenlik (md. 12): Veri sorumlusu, hukuka aykırı işlemeyi ve erişimi önlemek için gerekli teknik ve idari tedbirleri almak zorundadır; veriyi sizin adınıza başkası işliyorsa onunla müştereken sorumlusunuz. Rehber örnek tedbirler arasında çok faktörlü kimlik doğrulama, işlem kayıtlarının güvenli saklanması, çalışan eğitimi ve yazılım güncellemelerini sayar.
Yapay zekâyı işletmede güvenle kullanmanın 6 adımı
Kısa cevap: Kimlik bilgisi yazmayın, anonim yazın, hassas konuyu koymayın, gizlilik metnini okuyun, girişi koruyun, çalışanlara kural verin. Her adım KVKK rehberinden ya da duyurusundan alınmıştır.
Müşteri adı, telefonu, adresi yazmayın
Rehbere göre ad-soyad, adres, telefon ve kimlik bilgileri paylaşılmamalı. Aracın işine yarayacak kısmı (ör. şikâyetin içeriği) isim vermeden anlatın.
Anonim ve genel yazın
Rehber, isim, tarih veya konum gibi ayrıntıların yerine soyut ve genel anlatımı önerir. "Bir müşteri geç teslimattan şikâyetçi" cümlesi yeterlidir.
Sağlık, para ve hukuk bilgisini koymayın
Rehber bu hassas bilgilerin yapay zekâ sistemleriyle paylaşılmasından kaçınılmasını söyler.
Aracın gizlilik metnini okuyun
Rehbere göre uygulamanın hangi veriyi topladığını, neden işlediğini, kimlerle paylaştığını ve ne kadar sakladığını aydınlatma metni ve gizlilik politikasından öğrenin; gizlilik ayarlarını gözden geçirin.
Girişi yetkisiz kişiye kapatın
Rehber, yetkisiz erişimi önlemek için çok faktörlü kimlik doğrulamayı örnek tedbir olarak sayar.
Çalışanlara yazılı kural verin
KVKK duyurusuna göre iş yerlerinde kullanım çoğu zaman politikasız ilerliyor. Hangi aracın, hangi iş için, hangi veriyle kullanılacağını yazın; rehber çalışan eğitimini de önerir.
Çalışanlarım kendi hesabıyla yapay zekâ kullanıyor, sorun mu?
Kısa cevap: Asıl risk, kuralın olmaması. KVKK’nın 5 Mart 2026 tarihli duyurusuna göre iş yerlerinde üretken yapay zekâ kullanımı çoğu zaman açık bir kurumsal strateji, politika ya da yönlendirme olmadan çalışanların bireysel tercihleriyle şekilleniyor ve bu, kurum düzeyinde izlemeyi ve yönetmeyi zorlaştırıyor. Duyuru, üçüncü taraflarca sunulan ve herkese açık erişilebilen araçları ele alır; amacı farkındalık oluşturmak ve bilinçli kullanımı teşvik etmektir.
Küçük işletme için pratik karşılığı: tek sayfalık bir kural. Hangi araç, hangi iş için, hangi veri girilebilir ve girilemez. Bu sayfa hukuki danışmanlık değildir; kendi veri akışınız için ayrıca değerlendirme gerekir. Ajan ve asistanların veri sızdırma riskini ayrı olarak ölümcül üçlü rehberimizde, güvenlik önlemlerini yapay zekâ ajanlarından korunma yöntemlerinde bulabilirsiniz.
Kaynaklar
Bilgiler KVKK’nın yayımladığı rehber ve duyurudan alınmıştır; rehberin PDF metni 5 Kasım 2026’de açılıp okundu. Son iki kaynak rehberin kendi yönlendirdiği dokümanlardır; bu sayfada yalnız rehber üzerinden anılmıştır. Bu sayfa bilgilendirme amaçlıdır, hukuki danışmanlık değildir; mevzuat ve KVKK görüşleri değişebilir.
- KVKK · Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda), 24 Kasım 2025
- KVKK · Rehberin PDF metni (Yayın No: 113)
- KVKK · İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı (duyuru, 5 Mart 2026)
- KVKK · Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) — rehberin yönlendirdiği doküman
- KVKK · Kişisel Verilerin Yurt Dışına Aktarılması Rehberi — rehberin yönlendirdiği doküman
Bu rehber nasıl hazırlandı?
- Hazırlayan
- ASİ Dijital Ekibi, Hatay. Türkiye’nin her yerinde işyeri açan ve büyüten esnafa ücretsiz araç ve rehber hazırlıyoruz.
- Nasıl kontrol edildi?
- Her rakam ve kural, yukarıdaki kaynak listesinde linki verilen belgeden okunarak yazıldı. İkincil kaynak kullanılan yer listede belirtilir. Kaynağı bulunamayan bilgi sayfaya konmaz. Ayrıntı: yayın ilkelerimiz.
- Yapay zekâ
- Taslak ve kontrol listeleri yapay zekâ araçlarının yardımıyla hazırlanır. Rakamlar ve kurallar yayından önce kaynağıyla karşılaştırılır; kontrol edilmemiş yapay zekâ çıktısı yayımlanmaz.
- Kendi verimiz
- Hükümler KVKK’nın Üretken Yapay Zekâ Rehberi ve iş yeri duyurusundan aktarılmıştır; somut uygulama için hukuki değerlendirme gerekir.
- Tarihler
- Yayın: 5 Kasım 2026 · Son kontrol: 5 Kasım 2026
- Hata mı gördünüz?
- iletisim@asidijital.com adresine yazın; kaynağıyla kontrol eder, düzeltir ve tarihi güncelleriz.
Yapay zekâ ve KVKK hakkında
Müşteri bilgisini ChatGPT'ye yazmak KVKK'ya aykırı mı?
Kendiliğinden aykırı değildir ama 6698 sayılı Kanun devreye girer. KVKK rehberine göre yapay zekâ sisteminin yaşam döngüsünde herhangi bir şekilde kişisel veri işleniyorsa Kanun uygulanır. Müşterinin adı, telefonu, adresi gibi kimliği belirli ya da belirlenebilir kişiye ait bilgiyi yazmak kişisel veri işlemektir; bunun için Kanun'un 5. maddesindeki şartlardan birine dayanmak gerekir.
Kişisel veri içermeyen istem de Kanun kapsamında mı?
Genel olarak hayır. Rehber, bir ajansın yalnızca "yaz indirimi temalı afiş" gibi gerçek kişiye ait bilgi içermeyen istemler verdiği örnekte kural olarak 6698 kapsamında kişisel veri işleme olmadığını söyler. Ancak girdi kişisel veri içermese de çıktıda gerçek bir kişiye ait bilgi çıkarsa o faaliyet kişisel veri işleme sayılabilir.
Hangi bilgileri yapay zekâya yazmamalıyım?
Rehbere göre ad-soyad, adres, telefon numarası ve kimlik bilgileri paylaşılmamalı; üçüncü kişilere ait bilgiler de paylaşılmamalıdır. Sağlık, finans ve hukuki süreç bilgileri gibi hassas konulardan kaçınılmalıdır. Mümkün olduğunca anonimleştirilmiş, genelleştirilmiş ifade tercih edilir; örneğin isim, tarih ya da konum yerine soyut anlatım.
Yapay zekâ aracını kullanan işletme veri sorumlusu mu olur?
Rehber, hazır bir modeli kendi faaliyetlerine entegre eden ve neyin, hangi amaçla yükleneceğine karar veren şirketin o işleme bakımından veri sorumlusu olarak değerlendirilebileceğini örnekler. Rol, sözleşme ifadesine değil, kimin karar verdiğine bakılarak her işleme için ayrı değerlendirilir.
Müşteri verisini yurt dışındaki bir yapay zekâ hizmetine yazmak yurt dışına aktarım mı?
Rehber, Türkiye'de faaliyet gösteren veri sorumlularının yurt dışında yerleşik hizmet sağlayıcılar aracılığıyla yapay zekâ sistemleri kullanması ve kişisel veriyi yurt dışına aktarması hâlinde bu aktarımın Kanun'un 9. maddesine ve 10.07.2024 tarihli, 32598 sayılı Resmî Gazete'deki yönetmeliğe uygun yapılması gerektiğini yazar.
Müşteriye ayrıca bilgi vermek gerekir mi?
Kişisel veri işlendiğinde Kanun'un 10. maddesindeki aydınlatma yükümlülüğü geçerlidir: veri sorumlusunun kimliği, işleme amacı, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebep, ilgili kişinin hakları. Bildirim anlaşılır, açık ve sade dille yapılmalıdır.
Çalışanlar yapay zekâ kullanıyorsa işletme ne yapmalı?
KVKK'nın 5 Mart 2026 tarihli duyurusu, iş yerlerinde bu araçların çoğu zaman açık bir kurumsal politika olmadan çalışanların kendi tercihleriyle kullanıldığını ve bunun izlemeyi zorlaştırdığını belirtir. Rehber ayrıca çalışanlara yönelik bilinçlendirme ve eğitim yapılmasını güvenlik tedbirleri arasında sayar.
Bu rehber hukuki danışmanlık mı?
Hayır. Bu sayfa KVKK'nın yayımladığı rehber ve duyurunun işletme diliyle özetidir. Somut bir veri işleme faaliyeti için ayrıca değerlendirme yapılması gerekir.
Yapay zekâyı güvenle kullanın
Dijital hazırlığınızı adım adım kontrol edin: Google profili, yorumlar, WhatsApp, site.