---
title: "ChatGPT'ye kurumsal veri göndermek: KVKK ne diyor?"
description: "Çalışanınız müşteri verisini yapay zekâya yapıştırdığında sorumluluk sizde kalır. KVKK açısından ne değişir, hangi üç kontrolü kurmanız gerekir."
pubDate: 2026-08-13
author: fatih
tags: ["kvkk", "llm", "uyum"]
cluster: kvkk-uyum
format: mevzuat
draft: false
faq:
  - q: "Çalışan kendi kişisel hesabından yapıştırırsa şirket sorumlu olur mu?"
    a: "Veri şirketin müşterisine aitse ve iş amacıyla işleniyorsa, işleme faaliyetinin amacını ve aracını belirleyen taraf şirkettir. Hesabın kime ait olduğu bu sorumluluğu değiştirmez; üstelik şirketin göremediği bir kanaldan veri çıkmış olur."
  - q: "Açık rıza alsak yeterli olmaz mı?"
    a: "Açık rıza tek başına bir çözüm değildir. Rıza her an geri alınabilir ve geri alma ileriye etkilidir: talep size ulaştığı andan itibaren rızaya dayanan işlemeyi durdurmanız gerekir. Başka bir işleme şartınız kalmıyorsa veriyi silmek ve aktardığınız tarafa bildirmek de gündeme gelir; oysa modele giden metin üzerinde bu kontrol sizde değildir. 6. madde kapsamındaki sağlık bilgisi gibi veriler için eşik ayrıca yüksektir."
  - q: "Kurumsal aboneliğe geçmek riski ortadan kaldırır mı?"
    a: "Bir kısmını azaltır. Kurumsal sözleşmeler saklama ve eğitimde kullanım konusunda daha net taahhütler verir. Ama metnin içinde kişisel veri gitmeye devam ediyorsa, aktarımın kendisi ortadan kalkmaz."
sources:
  - title: "6698 sayılı Kişisel Verilerin Korunması Kanunu"
    url: "https://www.mevzuat.gov.tr/mevzuatmetin/1.5.6698.pdf"
  - title: "KVKK: 15 Soruda Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi"
    url: "https://www.kvkk.gov.tr/Icerik/8547/uretken-yapay-zeka-ve-kisisel-verilerin-korunmasi-rehberi-15-soruda"
---

Yapay zekâya kurumsal veri göndermek yasak değil. Ama gönderilen metinde
müşterinizin adı, kimlik numarası ya da sağlık bilgisi varsa, o metni işleyen
taraf hâlâ sizsiniz ve 6698 sayılı Kanunun yüklediği sorumluluk sizde kalır.
Değişen tek şey, verinin artık göremediğiniz bir yerde de bulunmasıdır.

## Veri kurumdan nasıl çıkıyor?

Bir müşteri şikâyeti üç gündür kapanmıyor. Yazışmayı olduğu gibi kopyalayıp
sohbet penceresine yapıştırmak otuz saniye sürüyor; içinde ad soyad var,
telefon var, bir de "annemin tedavisi için" diye başlayan bir cümle var. Yanıt
geliyor, iş çözülüyor, kimse bir şey fark etmiyor.

Fark edilecek bir olay olmadı zaten. Sızıntı değil bu, gündelik bir kolaylık.
Sorun da orada: kayıt yok.

## Bu bir yurt dışına aktarım mı?

Model yurt dışında çalışıyorsa evet. 2024'te tamamen yenilenen 9. madde
aktarımı üç basamağa bağlar: önce yeterlilik kararı, yoksa uygun güvenceler
(ör. Kuruma beş iş günü içinde bildirilen standart sözleşme ya da onaylı
bağlayıcı şirket kuralları), yoksa arızi istisnalar. Bu basamaklardan birine
dayanmayan istek de bir aktarımdır. Kaydı tutulmadığı için görünmez, ama
hukuken yok sayılmaz.

Sağlık, din, etnik köken, sendika üyeliği, ceza mahkûmiyeti gibi veriler için
6. madde ayrıca sıkı bir rejim kurar. Bir destek yazışmasında bunların hangi
sıklıkta geçtiğini insanlar genelde olduğundan daha az tahmin eder. Bu bilgiler
form alanında durmaz, cümlenin içinde geçer.

## Sorumluluk kimde kalır?

Veri sorumlusu, işlemenin amacını ve aracını belirleyen taraftır. Çalışan
kendi kişisel hesabından yapıştırmış olsa da, veri şirketin müşterisine aitse
ve iş amacıyla işleniyorsa sorumluluk şirkettedir. Hesabın kime ait olduğu
bunu değiştirmez.

Fark, görünürlükte. Şirket hesabından geçen istek en azından kayda girer;
kişisel hesaptan geçen istek hiçbir yere düşmez. Bir ihlal bildirimi
hazırlamak gerektiğinde, elinizde neyin gittiğine dair kayıt yoksa kapsamı da
belirleyemezsiniz.

## Yasaklamak işe yarar mı?

Yaramıyor. Birçok kurumda sıra hep aynı işledi: önce erişim engellenir, sonra
iş yavaşlar, sonra insanlar telefonundan aynı işi yapmaya başlar. Risk aynı
yerde duruyor, kurum artık göremiyor.

Çalışan haksız da değil. Otuz saniyede biten iş, yasakla kırk dakikaya çıkıyor.

## Pratikte hangi üç kontrol kurulur?

Tek geçiş noktası, giden metnin denetimi ve denetim kaydı. Üçü ayrı ayrı
kurulabilir ama birlikte anlamlıdır. Kayıt tutup metni denetlemezseniz elinizde
yalnız riskin envanteri olur; metni denetleyip kayıt tutmazsanız yaptığınızı
kanıtlayamazsınız.

| Kontrol | Ne yapar | Olmazsa |
| --- | --- | --- |
| Tek geçiş noktası | Tüm istekler aynı kapıdan geçer | Kimin ne gönderdiği bilinmez |
| Giden metin denetimi | Tespit edilen kişisel alanlar modele ulaşmadan maskelenir | Aktarımın kapsamı belirsiz kalır |
| Denetim kaydı | Hangi istekte neyin maskelendiği tutulur | İhlal bildiriminde kapsam çıkarılamaz |

## Siper'de karşılığı

Siper, isteği modele iletmeden önce Türkçe metindeki kişisel alanları
maskeler. Ad, adres, kimlik numarası ve iletişim bilgilerinin yanında, 6.
madde kapsamındaki sağlık ya da sendika üyeliği gibi bilgileri de kalıp
eşlemeyle değil cümlenin bağlamından yakalar; yukarıdaki "annemin tedavisi
için" tam olarak bu türden bir ifadedir.

Ölçtüğümüz yakalama oranı (recall) insan doğrulamalı 403 belgelik Türkçe test
setinde %84,6;
kişisel veri içermeyen temiz bir sette yanlış alarm %5,7 (Temmuz 2026). Kalan
pay sizde kalır. Maskeleme bir ihlal bildirimi yazma ihtimalini küçültür,
ortadan kaldırmaz. Anonimleştirme de değildir; 3. maddedeki anonim veri eşiği
daha yüksektir.

Kendi destek yazışmanızdan bir paragrafı [playground'a](/#playground) yapıştırın
ve nelerin maskelendiğini görün. Ölçüm yöntemi [benchmark sayfasında](/benchmark),
hukuki çerçeve [KVKK rehberimizde](/kvkk-ne-diyor) duruyor.