Yapay Zeka ve Veri Güvenliği: KVKK Uyumlu Kurumsal AI Kullanımı

Bir yönetim kurulu toplantısında konunun kaçınılmaz olarak geldiği o an: "ChatGPT'ye verilerimizi giriyoruz, peki güvende mi?" Bu soru, kurumsal yapay zeka benimsemesinin en önemli engelidir. Cevabı doğru vermezseniz hem KVKK'dan hem operasyonel risklerden hem de itibar kaybından çarpar. Cevabı tamamen yanlış verip "zaten risk yok" derseniz, gerçekten bir siber ihlalle karşılaştığınızda tablo çok daha ağır olur.

Bu rehber, yapay zeka araçlarını kurumsal ortamda kullanan ya da kullanmayı planlayan karar vericiler için yazılmıştır. KVKK hukuku, teknik mimari seçenekleri, tedarikçi değerlendirme çerçevesi ve çalışan politikası tasarımı — hepsini somut ve uygulanabilir biçimde ele alıyoruz.

AI Kullanımında Veri Güvenliği Neden Bu Kadar Kritik?

Geleneksel yazılım araçlarından farklı olarak büyük dil modelleri (LLM), eğitim veya çıkarım aşamasında aldıkları girdiyi işler. Bir çalışan, müşteri sözleşmesini, kişisel verileri içeren bir e-postayı ya da ticari sırrı bir AI asistanına yapıştırdığında o veri nereye gider? Bu sorunun cevabı, hangi servisi, hangi planı ve hangi yapılandırmayı kullandığınıza göre köklü biçimde değişir.

Kurumsal ortamda AI kullanımının veri güvenliği açısından üç temel riski vardır: birincisi kişisel verilerin üçüncü taraf sistemlere aktarılması (KVKK md. 8-9 kapsamı), ikincisi ticari sırların ve fikri mülkiyetin ifşası, üçüncüsü ise siber saldırılara açık yeni bir saldırı yüzeyinin oluşması. Bu risklerin her biri ayrı bir kontrol mekanizması gerektirir.

KVKK Çerçevesinde AI Kullanımı: Temel Kavramlar

6698 sayılı Kişisel Verilerin Koruma Kanunu, Türkiye'nin veri koruma rejiminin temel taşıdır. AI araçlarını kurumsal ortamda kullanırken KVKK'nın üç temel çerçevesi doğrudan devreye girer.

Veri Sorumlusu ve Veri İşleyen Ayrımı

Şirketiniz, çalışanlarının ve müşterilerinin verileri söz konusu olduğunda KVKK kapsamında veri sorumlusudur. Bir AI SaaS sağlayıcısını (örneğin OpenAI, Microsoft, Google) kullandığınızda, bu sağlayıcı sizin adınıza veri işleyen konumuna girer. Bu ayrım kritik sonuçlar doğurur: veri sorumlusu olarak tüm yasal sorumluluk sizde kalır; sağlayıcı ise yalnızca sözleşme çerçevesinde yükümlüdür.

Veri Minimizasyonu İlkesi

KVKK md. 4/e gereği kişisel veriler, işlenme amacıyla orantılı ve bu amaçla sınırlı olmalıdır. AI araçlarına girilen veriler bu ilkeyi doğrudan etkiler. Çalışanların AI'a gereksiz kişisel veri aktarmaması için teknik kısıtlamalar ve eğitim zorunludur. Örneğin bir AI yazma asistanına müşteri adının ve sipariş detaylarının tamamı yerine yalnızca ilgili bağlam verilmesi yeterlidir.

Yurt Dışına Veri Aktarımı

Türkiye merkezli bir şirket, kişisel veri içeren promptları yurt dışındaki bir AI sağlayıcısına gönderdiğinde KVKK md. 9 kapsamında yurt dışına aktarım söz konusu olur. Bu aktarımın yasallığı için ya ilgili kişinin açık rızası ya da Kişisel Verileri Koruma Kurulu'nun yeterli koruma kararı aldığı ülkelerle çalışılması ya da standart sözleşme hükümleri uygulanması gerekir. Bu gereklilik, hangi AI sağlayıcısını seçeceğinizi doğrudan etkiler.

GDPR ile İlişki: Avrupa Müşterileri Olan Şirketler İçin Ek Katman

Avrupa Birliği'nde müşterisi olan Türk şirketler için KVKK tek başına yeterli değildir. GDPR (Genel Veri Koruma Yönetmeliği) ayrıca uygulanır. AI kullanımında GDPR'nin ek gereklilikleri arasında DPIA (Veri Koruma Etki Değerlendirmesi) zorunluluğu öne çıkar. Yüksek riskli veri işleme faaliyetleri — yani otomasyon kararları, profilleme, hassas veri kategorileri — DPIA gerektirir. Bir AI sistemini müşteri verileriyle çalıştırmak bu kriterleri karşılayabilir. Ayrıca GDPR Art. 28 kapsamında veri işleyenle (AI sağlayıcısıyla) mutlaka yazılı bir Veri İşleme Sözleşmesi (DPA) imzalanmalıdır.

On-Premise vs Bulut AI: Güvenlik Mimarisi Seçimi

Kurumsal AI mimarisinde en temel karar, verilerin nerede işleneceğidir. Bu kararın üç ana seçeneği vardır ve her birinin veri güvenliği açısından farklı sonuçları vardır.

• Tam On-Premise: Model şirketin kendi altyapısında çalışır. Veri hiçbir zaman dışarı çıkmaz. En yüksek güvenlik, en yüksek maliyet ve teknik yük. Llama, Mistral veya özel eğitilmiş modeller bu senaryoda kullanılır. Finans, savunma ve sağlık sektöründe düzenleyici uyum açısından genellikle tek geçerli seçenek.
• Özel Bulut / Private Deployment: Azure OpenAI Service, AWS Bedrock, Google Vertex AI gibi kurumsal bulut platformları. Veri sağlayıcının paylaşımlı altyapısına değil, müşteriye özel izole bir ortamda işlenir. Model eğitimi için veriler kullanılmaz. En iyi güvenlik-maliyet dengesi için yaygın tercih.
• Genel Bulut SaaS (ChatGPT, Gemini, Claude.ai): Düşük maliyet, hızlı başlangıç, ancak veri işleme şartları kurumsal ihtiyaçları karşılamayabilir. Yüksek hacimli planlar (ChatGPT Enterprise, Gemini for Workspace) farklı veri işleme taahhütleri sunar. Hassas veri girişi politikayla kısıtlanmalıdır.
• Hibrit Mimari: Hassas veriler on-premise veya özel bulutta, genel amaçlı görevler genel SaaS'ta işlenir. Veri sınıflandırması zorunludur; politika ve teknik kontroller birlikte uygulanır.

Tedarikçi Değerlendirmesi: AI Sağlayıcısını Seçmeden Önce Sorulacak Sorular

Bir AI aracını kurumsal ortama almadan önce sağlayıcıyı kapsamlı biçimde değerlendirmeniz gerekir. Aşağıdaki sorular, bu değerlendirmeyi yapılandıracak bir çerçeve sunar.

• Veri İşleme Sözleşmesi (DPA/KVKK uyumlu işlem sözleşmesi) imzalanabilir mi? Hangi maddeleri içeriyor?
• Promptlar model eğitimi için kullanılıyor mu? Nasıl opt-out edilir?
• Veriler hangi coğrafi bölgede işleniyor ve depolanıyor? Türkiye'ye yakın bölge seçimi mümkün mü?
• SOC 2 Type II, ISO 27001 veya eşdeğer bağımsız güvenlik sertifikasyon belgesi var mı?
• Penetrasyon testi raporları ve güvenlik açığı yönetimi süreçleri şeffaf biçimde paylaşılıyor mu?
• Bir güvenlik ihlali durumunda bildirim süresi ve prosedürü nedir? (KVKK md. 12 kapsamında 72 saatlik bildirim yükümlülüğüne uyum)
• Veri silme talepleri nasıl işleniyor? İlgili kişi hakları (erişim, düzeltme, silme) nasıl yerine getiriliyor?

Veri Anonimleştirme ve Maskeleme: Teknik Kontroller

Kurumsal AI kullanımında en pratik güvenlik katmanlarından biri, AI'ya gönderilmeden önce verilerin anonimleştirilmesi veya maskelenmesidir. Bu teknik kontroller, veri sınıflandırmasına göre farklı biçimlerde uygulanır.

Anonimleştirme, kişisel veriyi geri dönüştürülemez biçimde kimliksiz hale getirir. KVKK kapsamında anonimleştirilmiş veri artık kişisel veri sayılmaz ve Kanun'un getirdiği kısıtlamalar uygulanmaz. Ancak gerçek anonimleştirme (k-anonimlik, diferansiyel gizlilik vb.) teknik olarak güçtür; çoğu zaman yalnızca basit alan silme yapılmaktadır ki bu yeterli değildir. Maskeleme ise kişisel verinin bir kısmını gizler (örneğin müşteri adı yerine [MÜŞTERİ-001] kullanmak). Geliştirilen özel promptlarda ve veri boru hatlarında bu teknik standart hale getirilmelidir.

• Ad, TCKN, telefon, e-posta, adres alanlarını AI'a göndermeden önce otomatik olarak maskeleyen bir veri ön-işleme katmanı kurun.
• Müşteri veritabanı sorgularında AI modeline yalnızca işlenmiş, kimliksizleştirilmiş özet veriler iletin.
• Belge özetleme görevlerinde ad, tarih ve konum bilgilerini anonimleştiren bir ön-işleme adımı ekleyin.
• Çalışanlara hangi veri kategorilerini AI'a giremeyeceklerini net listelerle tanımlayın.

VERBİS'e Kayıt ve AI Faaliyetlerinin Bildirimi

Kişisel Verileri Koruma Kurumu'nun Veri Sorumluları Sicil Bilgi Sistemi olan VERBİS'e kayıt, yıllık cirosu 25 milyon TL'nin üzerinde veya 50'den fazla çalışanı olan şirketler için zorunludur. AI araçlarının devreye alınması, yeni bir veri işleme faaliyeti oluşturur; bu faaliyetin VERBİS kayıtlarına eklenmesi gerekir.

VERBİS kaydında belirtilmesi gereken bilgiler arasında veri işlemenin amacı, işlenen kişisel veri kategorileri, alıcı grupları ve yurt dışına aktarım yapılıp yapılmadığı yer alır. AI araçlarının veri akışlarını bu kayıtlara dahil etmemek, ihlal tespitinde ağırlaştırıcı etken olarak değerlendirilir.

Çalışan AI Kullanım Politikası: Tasarım Çerçevesi

Teknik kontroller tek başına yeterli değildir. Kurumsal AI güvenliğinin insan boyutu, çoğu zaman teknik boyutundan daha kritiktir. Çalışanlar hangi veriyi AI'a girebileceklerini ve hangisini giremeyeceklerini bilmezse en güçlü teknik altyapı da işe yaramaz.

Etkili bir kurumsal AI kullanım politikası şu bileşenleri kapsamalıdır: onaylı araçlar listesi (hangi AI araçlarının kurumsal ortamda kullanılabileceği), veri sınıflandırması (gizli, hassas, genel ayrımı ve her sınıf için AI kullanım kuralı), ihlal bildirimi (yasak veri AI'a girildiğinde ne yapılacağı), işlenen verilerin kaydı ve amaç sınırlaması. Politika yalnızca bir belge olarak kalmamalı; rol bazlı eğitim programı, yönetici onayı gerektiren yüksek riskli kullanım senaryoları ve düzenli denetim mekanizmaları ile desteklenmelidir.

• Onaylı araçlar listesi: yalnızca BT ve Hukuk departmanı onaylı AI araçları kullanılabilir; bu listedeki değişiklikler aylık güncellenir.
• Veri sınıflandırması: KIRMIZI (KVKK hassas veri, ticari sır, müşteri PII) — AI'a girilemez; SARI (içerik geliştirme, yönetim, strateji özeti) — maskelenerek girilebilir; YEŞİL (kamuya açık bilgi, şablonlar, genel içerik) — serbestçe kullanılabilir.
• Üretken AI çıktılarının gözden geçirilmesi ve onaylanması: AI tarafından üretilen içerik, insan denetimi olmaksızın doğrudan müşteriye veya kamusal alana paylaşılamaz.
• Anomali tespiti: olağandışı hacimlerde AI kullanımı veya hassas sistemlere AI erişimi gibi durumlar BT güvenlik ekibine otomatik bildirilir.

KVKK Uyumlu AI Projesi Başlatmak: Adım Adım Süreç

Kurumsal bir AI projesini KVKK uyumlu biçimde hayata geçirmek için aşağıdaki sıra izlenebilir. Bu süreç, hem yasal uyumu hem operasyonel etkinliği birlikte sağlar.

• Veri Envanteri: AI'ın hangi verilere erişeceğini ve bu verilerin kişisel veri içerip içermediğini tespit edin. Kişisel veri varsa KVKK kapsamını belirleyin.
• Risk Değerlendirmesi: İşlenen veri kategorileri ve hacmine göre DPIA veya basit risk analizi yapın. Hassas veri kategorileri (sağlık, finans, biometrik) için DPIA zorunluluğunu kontrol edin.
• Tedarikçi Seçimi ve DPA: Sağlayıcıyla veri işleme sözleşmesi imzalayın. Sözleşme; güvenlik önlemleri, ihlal bildirimi, alt işleyenler, veri silme ve yurt dışı aktarım hükümlerini kapsamalıdır.
• Mimari Kararı: Veri hassasiyetine ve regülatif gerekliliklere göre on-premise, özel bulut veya genel SaaS seçimi yapın.
• Teknik Kontroller: Veri maskeleme/anonimleştirme, erişim kontrolü, audit log, şifreleme (transit ve depolamada) uygulamalıdır.
• Politika ve Eğitim: Çalışan AI kullanım politikasını yayınlayın ve tüm kullanıcılara rol bazlı eğitim verin.
• VERBİS Güncelleme: Yeni veri işleme faaliyetini VERBİS'e kaydedin.
• Sürekli Denetim: AI kullanımını düzenli aralıklarla denetleyin, güvenlik olaylarını kayıt altına alın ve politikayı güncelleyin.

AI Güvenliğinde Sık Yapılan Hatalar

Kurumsal AI benimsemesinde veri güvenliği açısından tekrar eden hataları önceden bilmek, kaçınmayı kolaylaştırır.

• "AI sağlayıcılar zaten güvenli" yanılgısı: Sağlayıcının genel güvenlik önlemleri, sizin uyguladığınız konfigürasyondan bağımsızdır. Varsayılan ayarlar her zaman kurumsal ihtiyacı karşılamaz; enterprise planın koşullarını okuyun.
• Veri sınıflandırması yapmadan kullanıma açmak: Çalışanlar neyin AI'a girilebileceğini bilmeden araçları kullanmaya başlarsa veri ihlali kaçınılmaz olur.
• DPA imzalamadan sözleşme yapmak: Ücretsiz veya düşük fiyatlı SaaS planlarında genellikle DPA sunulmaz. Bunu fark etmeden müşteri verilerini bu araçlara aktarmak doğrudan KVKK ihlaline yol açar.
• AI çıktılarını denetlemeden yayınlamak: Kişisel veri içeren bir çıktının fark edilmeden paylaşılması hem KVKK ihlali hem itibar riskleri doğurur.
• Pilot projeyi güvenli, asıl projeyi gevşek yönetmek: İlk pilot için uygulanan sıkı protokolün ölçeklendirilmemesi yaygın bir hatadır.

ADWEBX ile KVKK Uyumlu AI Danışmanlığı

ADWEBX'in yapay zeka danışmanlığı hizmeti, AI projenizin yalnızca iş değeri değil hukuki uyum boyutunu da kapsar. Veri envanteri analizi, mimari seçim rehberliği, tedarikçi DPA değerlendirmesi ve çalışan politikası tasarımı dahil olmak üzere KVKK uyumlu bir AI dönüşüm yol haritası oluştururuz. Teknik ekibimizle birlikte on-premise veya özel bulut deployment seçeneklerini iş ihtiyaçlarınıza göre yapılandırırız. Şirketinize özel bir risk değerlendirmesi için adwebx.com.tr/analiz sayfasından ücretsiz dijital analiz randevusu alabilir ya da doğrudan wa.me/905322477388 adresinden WhatsApp üzerinden bize ulaşabilirsiniz.

Sık Sorulan Sorular