REHBER
Kişisel veri içeren metinleri yapay zekâ araçlarına göndermeden önce bilmeniz gerekenler. Her başlığın yanında birincil kaynağı var; özetler bize ait. Son güncelleme: 9 Temmuz 2026.
Kişisel Verileri Koruma Kurumuna göre 6698 sayılı Kanun teknolojiden bağımsızdır: metni bir yapay zekâ aracına yapıştırdığınızda da kişisel veri işlemiş olursunuz ve aynı kurallar geçerlidir.
Kurum, yasak temelli yaklaşımların gerçekçi sonuç vermeyeceğini açıkça söylüyor. Yasak, kullanımı gizliye itiyor; Kurum buna 'Gölge YZ' diyor ve yönetilen, onaylı kullanım öneriyor.
Kurumun somut önerisi, yapay zekâ ile konuşurken kişi adı, tarih, konum gibi ayırt edici ayrıntılar yerine genelleştirilmiş ifadeler kullanmak. Maskelemenin yaptığı tam olarak bu.
KURUMUN YAYINLARI
KVKK, Kasım 2024'ten bu yana yapay zekâya dair arka arkaya rehber yayımlıyor. Yaptırım kararlarını beklemeden yönünüzü bu belgelere göre belirleyebilirsiniz.
8 Kasım 2024
Kurumun yapay zekâ serisinin ilk adımı. Sohbet robotlarına yazılan metinlerin kişisel veri işleme sayıldığını ve sağlayıcının bu girdileri nasıl kullandığına dikkat edilmesi gerektiğini anlatıyor.
Kaynağı kvkk.gov.tr'de aç ↗24 Kasım 2025
Üretken yapay zekâya dair ilk kapsamlı rehber. Kişisel verilerin kamuya açık modellere girilmesinin yurt dışına aktarım sayılabildiğini, aydınlatma ve açık rıza yükümlülüklerini, veri minimizasyonu ile amaçla sınırlılık ilkelerini bu bağlama taşıyor.
Kaynağı kvkk.gov.tr'de aç ↗Şubat 2026 (duyuru 5 Mart 2026)
Bu sayfanın en kritik belgesi. Çalışanların kurum onayı dışında yapay zekâ kullanmasını 'Gölge YZ' olarak tanımlıyor; altı risk alanı sayıyor (denetlenebilirlik, karar kalitesi, ticari sır, itibar, siber güvenlik, kişisel veriler). Çözüm olarak açık kurumsal politika, onaylı araçlar, erişim kontrolü ve girdi kuralları öneriyor.
Kaynağı kvkk.gov.tr'de aç ↗Mart 2026
Kendi kararını verip harekete geçen yapay zekâ ajanlarını ele alıyor. Ajanların eriştiği kişisel veriler için sorumluluk, denetlenebilirlik ve veri minimizasyonu beklentilerini ortaya koyuyor.
Kaynağı kvkk.gov.tr'de aç ↗“Bu araçların kullanımının tamamen yasaklanmasına dayalı yaklaşımların, uygulamada gerçekçi sonuçlar doğurmayacağı düşünülmektedir.”
Kurum bunun yerine kişi adı, tarih ve konum gibi ayırt edici ayrıntılar yerine daha genel anlatımların kullanılmasını öneriyor.
İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı, KVKK, Şubat 2026 · Bölüm 3
KANUN NE DİYOR
Irk, etnik köken, siyasi düşünce, inanç, kılık ve kıyafet, dernek/vakıf/sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ile biyometrik ve genetik veriler özel nitelikli sayılır. 2024'te 7499 sayılı Kanun'la güncellenen kurala göre bu verilerin işlenmesi varsayılan olarak yasaktır; ancak açık rıza ya da maddede sayılan sınırlı istisnalarla işlenebilir. Bir epikrizi ya da İK yazışmasını yapay zekâya gönderdiğinizde çoğu zaman tam da bu kategorilere dokunursunuz.
Kanun metni (mevzuat.gov.tr) ↗2024'te tamamen yenilenen rejime göre kişisel verinin yurt dışına aktarımı yeterlilik kararına, uygun güvencelere (ör. Kuruma beş iş günü içinde bildirilen standart sözleşme) ya da arızi istisnalara dayanmak zorunda. Yurt dışındaki bir modele kişisel veri içeren metin göndermek bu rejimin kapsamına girer. Maskeleme sizi bu maddeden muaf kılmaz; ama ham kimlik bilgilerinin sağlayıcıya hiç ulaşmamasını sağlar ve veri minimizasyonu ilkesini destekler.
KVKK yurt dışına aktarım sayfası ↗MASKELEME ≠ ANONİMLEŞTİRME
Kanuna göre anonim veri, "başka verilerle eşleştirilerek dahi hiçbir surette" bir kişiyle ilişkilendirilemeyen veridir (madde 3). Bu çok yüksek bir eşiktir: serbest metindeki isimleri etikete çevirmek, metni tek başına bu eşiğin üzerine taşımaz. Maskeli metin de kişisel veri olarak korunmaya devam edebilir.
Bu yüzden Siper'in iddiası anonimleştirme değildir. Siper; ham kimlik, iletişim ve sağlık bilgilerinin modele ve sağlayıcı loglarına hiç ulaşmamasını sağlayan bir teknik kontroldür: veri minimizasyonu, tek giriş noktası ve denetim kaydı.
Ocak 2025
Avrupa Veri Koruma Kurulu'na göre takma adlı veri, ek bilgiyle kişiye bağlanabildiği sürece kişisel veri olmaya devam eder. Yine de takma adlandırma, tasarımdan itibaren veri koruma ve güvenlik yükümlülüklerinin karşılanmasında güçlü bir araçtır. Maskelemenin Avrupa'daki karşılığı budur: kapsamdan çıkarmaz, riski ve yükü azaltır.
Kaynağı edpb.europa.eu'da aç ↗7 Temmuz 2026 (görüşe açık taslak)
Temmuz 2026'da kabul edilen bu taslak kılavuz, 2014'ten beri geçerli anonimleştirme yaklaşımını yapay zekâ çağı için güncelliyor. Verinin anonim sayılması için üç kriterin birlikte sağlanması gerekiyor: kayıt izole edilememeli, başka veriyle bağlantı kurulamamalı, çıkarım yapılamamalı. Kılavuz iki noktada çok net: kolay çözülebilen takma adlar veriyi anonim yapmaz ve yapay zekâ, yeniden kimliklendirme saldırılarının maliyetini hızla düşürüyor. Yani 'nasılsa kimse uğraşmaz' savunması artık geçerli değil.
Kaynağı edpb.europa.eu'da aç ↗PRATİKTE
Rehberin önerisi: ayırt edici bilgiler yerine genel ifadeler
Siper kişi, kimlik, iletişim ve sağlık bilgilerini <KİŞİ_1> gibi etiketlere çevirir; cümlenin anlamı bozulmaz.
Rehberin önerisi: onaylı araçlar ve tek giriş noktası
Gateway modunda tüm yapay zekâ trafiği tek onaylı kapıdan geçer; Gölge YZ'ye alan kalmaz.
Rehberin önerisi: denetlenebilirlik ve hesap verebilirlik
Panelde hangi istekte neyin maskelendiğini gösteren kayıt tutulur.
Kanunun ilkesi: veri minimizasyonu
Modele yalnızca işin gerektirdiği metin gider; kişisel alanlar daha yola çıkmadan maskelenir.
Madde 6'nın odağı: özel nitelikli veriler
Sağlık, sendika, siyasi görüş dahil dokuz özel nitelikli kategori Türkçe cümle bağlamından tespit edilir.
Bu sayfa bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Özetler bize aittir; bağlayıcı metinler için bağlantısı verilen birincil kaynaklara bakın.