Hukukta yapay zekâyı müvekkil verisi yurt dışına çıkmadan kullanın

En çok metin işinde: sözleşme incelemesi, dilekçe ve ihtarname taslağı, uzun bir dosyanın özeti, karşı tarafın dilekçesine yanıt planı, mevzuat ve içtihat araştırmasına ilk adım. Bu işlerin ortak noktası, hepsinin müvekkil ya da dosyadaki kişilerle ilgili metinle beslenmesi. Metin sohbet penceresine yapıştırıldığı anda içindeki adlar, kimlik numaraları ve sağlık bilgisi de bürodan çıkar.

Asıl bedel çoğu zaman idari para cezası değil. Avukat için gerçek risk meslek sırrının açığa vurulması, disiplin süreci ve müvekkil güveninin kaybıdır. Kurum içi hukuk birimi için risk, ham veri yurt dışına çıktığı için projenin bilgi güvenliği ve uyum onayından geçmemesidir.

Yasaklamak da çözmüyor. Kurumun iş yerlerine yönelik belgesi aynı sonuca varır: yasak, kullanımı kurumsal denetimin dışına itebilir. Çoğu büroda stajyerler ve genç avukatlar bu araçları zaten kullanıyor. Yapılacak iş, kullanımı tek bir denetlenebilir kapıya almak ve müvekkil verisini sınırı geçmeden maskelemek.

Ham hâliyle yazarsanız çatışabilir. Avukatlık Kanununun 36. maddesi, avukatın kendisine tevdi edilen ya da görevi dolayısıyla öğrendiği hususları açığa vurmasını yasaklar. Metni bir sohbet botuna yapıştırdığınızda o bilgi, büronun dışındaki bir hizmet sağlayıcının altyapısında işlenir. Bunun mesleki sonucunu değerlendirmek size düşer; yapılacak en güvenli şey, müvekkili gösteren veriyi hiç göndermemektir.

Yükümlülük yalnız avukatın kendi ekranıyla sınırlı değil. Avukatlık Meslek Kurallarının 37. maddesine göre (Kurumun avukatlar rehberinde aktarıldığı biçimiyle) sır saklama süresizdir ve avukat, yardımcılarının, stajyerlerinin ve çalıştırdığı kişilerin de meslek sırrına aykırı davranışını önleyecek tedbiri alır. Stajyerin bir dosyayı sohbet botuna yapıştırması da bu yüzden avukatın sorumluluk alanındadır.

Mevzuatın sırra verdiği ağırlık usulde de görünür. Ceza Muhakemesi Kanununun 46. maddesi avukata sır gereği tanıklıktan çekinme hakkı tanır ve ilgilinin rızası bu hakkı kaldırmaz. Avukatlık Kanununa göre iş sahibi izin verse bile avukat tanıklıktan çekinebilir. Avukat büroları da ancak mahkeme kararıyla, Cumhuriyet savcısının denetiminde ve baro temsilcisinin katılımıyla aranabilir. Devlet dosyaya bu kadar sıkı bir usulle ulaşabilirken aynı bilginin ham hâliyle yurt dışındaki bir modele gitmesi tutarsız durur.

Kurum bu soruya 22 Eylül 2026'da yayımladığı Avukatların Mesleki Faaliyetlerinde Kişisel Verilerin Korunmasına İlişkin Uygulama Rehberinde doğrudan cevap verdi. Rehbere göre ChatGPT, Claude ya da Gemini gibi bir araca müvekkil dosyası yüklemek yalnız teknik destek ya da hukuki araştırma sayılmamalı. Sağlayıcı ya da sunucuları yurt dışındaysa bu, KVKK'nın 9. maddesi anlamında yurt dışına aktarım olabilir.

Sağlayıcı Türkiye'de olsa bile iş bitmiyor. Rehber, dosyanın yurt içindeki bir sağlayıcıya verilmesinin de KVKK'nın 8. maddesi anlamında aktarım sayılabileceğini söylüyor ve hukuki sebebin, amacın ve ölçülülüğün ayrıca değerlendirilmesini tavsiye ediyor. 12. maddedeki teknik ve idari tedbir alma ödevi de yapay zekâ kullanırken sürüyor. Yurt dışına aktarımda yeterlilik kararı yoksa genellikle standart sözleşme gibi uygun güvencelere dayanmak gerekir; bu, bir sohbet penceresi için ağır bir yoldur.

Rehberin önerdiği tedbirler kısa bir listeye sığıyor:

• kişisel verilerin mümkün olduğunca maskelenmesi ya da anonim hâle getirilmesi,
• özel nitelikli kişisel verilerin sisteme yüklenmemesi,
• yalnız amaç için gerekli asgari verinin paylaşılması,
• aracın veri saklama, model eğitimi, insan incelemesi, alt işleyen ve güvenlik politikalarının incelenmesi,
• büro içinde kullanım kurallarının belirlenmesi.

Rehber, Kurumun daha önce yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda) ile İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı belgesini de dikkate alınacak kaynaklar arasında sayıyor. Bu iki belgeyi ve genel çerçeveyi KVKK ne diyor? sayfasında topladık. Buradaki özet bir hukuki görüş değildir; kendi durumunuzu değerlendirirken birincil metne bakın.

Bir dava dosyası, sıradan bir iş yazışmasından çok daha yoğun kişisel veri taşır. Üstelik dosyadaki kişilerin çoğu müvekkiliniz değildir: karşı taraf, tanık, bilirkişi, çocuklar. Yapay zekâya göndermeden önce en çok şu alanlara bakın.

Dokuz madde. Beşi Kurumun avukatlar rehberindeki önerilerin büro düzeyindeki karşılığı; diğerleri meslek kurallarından ve günlük pratikten geliyor. İlk dördünü bu hafta kurabilirsiniz.

Siper, İstanbul'daki sunucularda yönetilen bir katmandır. Kişisel veri, istek sınırı geçmeden yer tutucu bir etikete döner. "Davacı Elif Korkmaz, TC 10000000214; dosyada epilepsi tanısı yer alıyor" cümlesi modele "Davacı <KİŞİ_1>, TC <TCKN_1>; dosyada <SAĞLIK_1> yer alıyor" olarak gider. Etiketler cümlenin yapısını korur; sözleşme analizi, dilekçe taslağı ve dosya özeti gibi işlerin çoğu bu hâliyle yapılabilir.

İki yolla bağlanır. Büronuzun kullandığı uygulama, metni modele göndermeden önce maskeleme API'sini çağırabilir. Ya da OpenAI SDK uyumlu Gurubase AI Gateway'i kullanırsınız: Base URL'i Gateway'e yöneltir, sağlayıcı anahtarı yerine Gateway'de oluşturduğunuz sanal API anahtarını kullanırsınız, istek yapısı aynı kalır. Siper sağlayıcıdan bağımsızdır; hangi modeli seçerseniz seçin, kişisel veriyi maskeledikten sonra isteği o modele iletir. Gateway'e bağladığınız araçların trafiği tek onaylı kapıdan geçer ve hangi istekte neyin maskelendiği kayıtta kalır. ChatGPT ya da Claude'un web sitesine kişisel hesaptan yapıştırılan metni Siper görmez; o kullanımı büronun onaylı aracına taşımak politikanın işidir. Yukarıdaki listenin ikinci, dördüncü ve dokuzuncu maddeleri böylece tek yerde karşılanır. AI gateway kavramını AI gateway nedir? yazımızda anlattık.

Ölçüm açıktır. İnsan doğrulamalı 403 belgelik Türkçe test setinde %85,5 yakalama oranı (recall) ölçtük (Ekim 2026). Yani yaklaşık her yedi kişisel veriden biri kaçabilir; özel nitelikli bilgi içeren metni göndermeden önce bir kez de siz bakın. Sağlık ya da ceza mahkûmiyeti gibi kategorileri toplam ortalamada eritmeden ayrı raporluyoruz; yöntemin tamamı benchmark sayfasında. Tümüyle kendi altyapınızda çalıştırmak isterseniz on-prem kurulum da mümkündür; ama çoğu büro için İstanbul'da yönetilen hizmet en pratik yoldur.

Sır saklama sorumluluğu her koşulda avukatta kalır. Siper bu sorumluluğu yerine getirmenizi kolaylaştırır: bağladığınız araçlarda modele giden ham veriyi azaltır ve aldığınız teknik tedbiri kayda geçirir. Yapay zekânın ürettiği metnin, özellikle emsal ve içtihadın doğrulanması ise her zamanki mesleki denetiminizin parçası olarak sizde kalır.

Maskeleme, KVKK anlamında anonimleştirme değildir. Maskeli metin kişisel veri olarak korunmaya devam edebilir ve aydınlatma gibi yükümlülükler sürer. Hiçbir otomatik sistem her kişisel veriyi yakalamaz; biz de ne yakaladığımızı ve ne kaçırdığımızı kategori kategori ölçüp yayımlıyoruz.