Yapay zekâya kurumsal veri göndermek yasak değil. Ama gönderilen metinde müşterinizin adı, kimlik numarası ya da sağlık bilgisi varsa, o metni işleyen taraf hâlâ sizsiniz ve 6698 sayılı Kanunun yüklediği sorumluluk sizde kalır. Değişen tek şey, verinin artık göremediğiniz bir yerde de bulunmasıdır.
Veri kurumdan nasıl çıkıyor?
Bir müşteri şikâyeti üç gündür kapanmıyor. Yazışmayı olduğu gibi kopyalayıp sohbet penceresine yapıştırmak otuz saniye sürüyor; içinde ad soyad var, telefon var, bir de "annemin tedavisi için" diye başlayan bir cümle var. Yanıt geliyor, iş çözülüyor, kimse bir şey fark etmiyor.
Fark edilecek bir olay olmadı zaten. Sızıntı değil bu, gündelik bir kolaylık. Sorun da orada: kayıt yok.
Bu bir yurt dışına aktarım mı?
Model yurt dışında çalışıyorsa evet. 2024'te tamamen yenilenen 9. madde aktarımı üç basamağa bağlar: önce yeterlilik kararı, yoksa uygun güvenceler (ör. Kuruma beş iş günü içinde bildirilen standart sözleşme ya da onaylı bağlayıcı şirket kuralları), yoksa arızi istisnalar. Bu basamaklardan birine dayanmayan istek de bir aktarımdır. Kaydı tutulmadığı için görünmez, ama hukuken yok sayılmaz.
Sağlık, din, etnik köken, sendika üyeliği, ceza mahkûmiyeti gibi veriler için 6. madde ayrıca sıkı bir rejim kurar. Bir destek yazışmasında bunların hangi sıklıkta geçtiğini insanlar genelde olduğundan daha az tahmin eder. Bu bilgiler form alanında durmaz, cümlenin içinde geçer.
Sorumluluk kimde kalır?
Veri sorumlusu, işlemenin amacını ve aracını belirleyen taraftır. Çalışan kendi kişisel hesabından yapıştırmış olsa da, veri şirketin müşterisine aitse ve iş amacıyla işleniyorsa sorumluluk şirkettedir. Hesabın kime ait olduğu bunu değiştirmez.
Fark, görünürlükte. Şirket hesabından geçen istek en azından kayda girer; kişisel hesaptan geçen istek hiçbir yere düşmez. Bir ihlal bildirimi hazırlamak gerektiğinde, elinizde neyin gittiğine dair kayıt yoksa kapsamı da belirleyemezsiniz.
Yasaklamak işe yarar mı?
Yaramıyor. Birçok kurumda sıra hep aynı işledi: önce erişim engellenir, sonra iş yavaşlar, sonra insanlar telefonundan aynı işi yapmaya başlar. Risk aynı yerde duruyor, kurum artık göremiyor.
Çalışan haksız da değil. Otuz saniyede biten iş, yasakla kırk dakikaya çıkıyor.
Pratikte hangi üç kontrol kurulur?
Tek geçiş noktası, giden metnin denetimi ve denetim kaydı. Üçü ayrı ayrı kurulabilir ama birlikte anlamlıdır. Kayıt tutup metni denetlemezseniz elinizde yalnız riskin envanteri olur; metni denetleyip kayıt tutmazsanız yaptığınızı kanıtlayamazsınız.
| Kontrol | Ne yapar | Olmazsa |
|---|---|---|
| Tek geçiş noktası | Tüm istekler aynı kapıdan geçer | Kimin ne gönderdiği bilinmez |
| Giden metin denetimi | Tespit edilen kişisel alanlar modele ulaşmadan maskelenir | Aktarımın kapsamı belirsiz kalır |
| Denetim kaydı | Hangi istekte neyin maskelendiği tutulur | İhlal bildiriminde kapsam çıkarılamaz |
Siper'de karşılığı
Siper, isteği modele iletmeden önce Türkçe metindeki kişisel alanları maskeler. Ad, adres, kimlik numarası ve iletişim bilgilerinin yanında, 6. madde kapsamındaki sağlık ya da sendika üyeliği gibi bilgileri de kalıp eşlemeyle değil cümlenin bağlamından yakalar; yukarıdaki "annemin tedavisi için" tam olarak bu türden bir ifadedir.
Ölçtüğümüz yakalama oranı (recall) insan doğrulamalı 403 belgelik Türkçe test setinde %84,6; kişisel veri içermeyen temiz bir sette yanlış alarm %5,7 (Temmuz 2026). Kalan pay sizde kalır. Maskeleme bir ihlal bildirimi yazma ihtimalini küçültür, ortadan kaldırmaz. Anonimleştirme de değildir; 3. maddedeki anonim veri eşiği daha yüksektir.
Kendi destek yazışmanızdan bir paragrafı playground'a yapıştırın ve nelerin maskelendiğini görün. Ölçüm yöntemi benchmark sayfasında, hukuki çerçeve KVKK rehberimizde duruyor.