Yapay zekâ araçları işletmelere hız kazandırıyor; ama bir müşterinin adını, telefonunu ya da şikâyet metnini bir sohbet penceresine yapıştırdığınız anda kişisel veri işliyorsunuz. Bu yazı hukuki görüş değildir; Kişisel Verileri Koruma Kurumu'nun Kasım 2025'te yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi ve 6698 sayılı Kanun'un genel ilkeleri ışığında, KOBİ'lerin günlük pratiğine uygun bir kontrol listesidir. Somut durumlar için hukuk danışmanınıza başvurun.
Önce temel soru: hangi rolde olduğunuzu bilin
Kurumun rehberi, yapay zekâ kullanan bir şirketin her işleme faaliyetinde veri sorumlusu mu, veri işleyen mi olduğunu belirlemesini öneriyor. Hazır bir yapay zekâ aracını kendi amacınız için kullanıyorsanız (örneğin müşteri mesajlarına yanıt taslağı), o işleme için genellikle veri sorumlusu sizsinizdir. Bu, sorumluluğun araç sağlayıcısında değil sizde olduğu anlamına gelir.
10 maddelik kontrol listesi
1. Hangi veriyi gerçekten paylaşmanız gerekiyor?
Veri minimizasyonu ilkesi basit: iş için gereken kadar. Bir yorum yanıtı yazdırmak için müşterinin telefon numarasına ihtiyaç yoktur. İstemden önce adı, telefonu, adresi ve kimlik bilgilerini çıkarın ya da "[müşteri]" gibi bir yer tutucuyla değiştirin.
2. Özel nitelikli veriye ayrı dikkat
Sağlık, din, etnik köken, biyometrik veri gibi özel nitelikli kişisel veriler daha sıkı kurallara tabidir. Klinikler, estetik merkezleri, eczaneler ve sağlık turizmi işletmeleri hasta bilgisini genel yapay zekâ araçlarına aktarmadan önce mutlaka hukuki değerlendirme yapmalıdır.
3. Veri yurt dışına mı gidiyor?
Yaygın yapay zekâ servislerinin çoğu sunucularını yurt dışında çalıştırır. Rehber, yabancı sağlayıcılarla çalışırken önce yeterlilik kararına, yoksa standart sözleşme gibi uygun güvencelere bakılmasını öneriyor. Kullandığınız aracın veri işleme sözleşmesini ve sunucu konumunu öğrenin.
4. Aydınlatma metninizi güncelleyin
Müşteri mesajlarına yapay zekâ destekli yanıt veriyorsanız, bunu aydınlatma metninizde açıkça belirtin. Rehber ayrıca kullanıcıların bir yapay zekâ sistemiyle (örneğin sohbet botu) etkileşimde olduklarında bunun söylenmesini öneriyor.
5. Ücretsiz sürümlerin ayarlarını kontrol edin
Bazı araçlar varsayılan olarak konuşmaları model geliştirme amacıyla kullanabilir. İşletme hesabı ya da ilgili ayar ile bu kullanımı kapatıp kapatamayacağınızı öğrenin ve ekibin kişisel hesaplarla iş verisi işlemesini engelleyin.
6. Kim hangi aracı kullanıyor?
"Gölge yapay zekâ" yani çalışanların kendi kişisel hesaplarıyla müşteri verisini araçlara taşıması, KOBİ'lerde en yaygın risktir. Kısa bir iç kural yazın: hangi araçlar onaylı, hangi veriler asla yapıştırılmaz, şüphede kime sorulur.
7. Çıktıyı doğrulayın
Rehber, verinin doğru ve güncel tutulması için insan gözetimini vurguluyor. Yapay zekânın bir müşteri hakkında ürettiği özet ya da sınıflandırma yanlış olabilir. Müşteriye ya da bir karara etki eden her çıktıyı bir kişi kontrol etmeli.
8. Saklama süresi belirleyin
Yapay zekâ araçlarında biriken konuşma geçmişi de kişisel veri barındırır. Ne kadar saklanacağını belirleyin ve düzenli temizleyin.
9. Başvuru haklarına hazırlıklı olun
Bir müşteri "hakkımdaki verileri silin" dediğinde, yapay zekâ araçlarındaki kayıtları da kapsayacak şekilde yanıt verebilmelisiniz. Hangi araçta hangi verinin durduğunu bilmek bunun ön şartıdır.
10. Yapay zekâya özgü güvenlik risklerini bilin
Rehber, prompt injection (dış metne gizlenmiş talimat) ve benzeri yapay zekâya özgü saldırılara karşı önlem alınmasını öneriyor. Müşteri yorumları, e-postalar ve web sayfaları yapay zekâya "talimat" değil "veri" olarak verilmeli.
Pratik: kişisel veriyi maskeleyerek istem yazmak
Aşağıdaki müşteri mesajına kibar bir yanıt taslağı yaz. Mesajdaki kişisel bilgiler [MÜŞTERİ], [TELEFON], [SİPARİŞ] olarak maskelendi; yanıtta da bu yer tutucuları kullan, yeni kişisel bilgi ekleme.
Mesaj: "Merhaba, ben [MÜŞTERİ]. [SİPARİŞ] numaralı siparişim hâlâ gelmedi, [TELEFON] numarasından bana dönebilir misiniz?"Bu yöntem genel araçlarda hem riski azaltır hem de yanıt kalitesini düşürmez; yanıtı göndermeden önce yer tutucuları siz doldurursunuz.
Bir sayfalık iç kural örneği
KOBİ'lerde en işe yarayan belge uzun bir politika değil, herkesin okuyacağı tek sayfalık bir kuraldır. Kendi işletmenize uyarlayabileceğiniz bir örnek:
YAPAY ZEKÂ KULLANIM KURALIMIZ
1. Onaylı araçlar: [araç adları]. Bunların dışında bir araca iş verisi girilmez.
2. Asla yapıştırılmayanlar: TC kimlik no, kart bilgisi, sağlık bilgisi, şifre, müşteri telefon ve adresi.
3. Müşteri metinlerinde ad ve iletişim bilgisi [MÜŞTERİ], [TELEFON] gibi yer tutucularla değiştirilir.
4. Müşteriye giden her yapay zekâ çıktısını gönderen kişi okur ve sorumluluğunu alır.
5. Fiyat, tarih ve mevzuat bilgisi içeren çıktı kaynağıyla karşılaştırılır.
6. Şüphede sorulacak kişi: [ad]. Bir veri yanlışlıkla paylaşıldıysa aynı gün [ad]'a bildirilir.Bu kural metni yasal yükümlülüklerin yerini tutmaz; ama gölge kullanımı azaltmanın en hızlı yoludur. Yeni başlayan her çalışana ilk gün okutun.
Sektöre göre dikkat noktaları
- Klinik ve sağlık: Hasta adı, tanı, tedavi ve fotoğraf özel nitelikli veridir. Yapay zekâ kullanımını randevu ve genel bilgi mesajlarıyla sınırlamak en güvenli başlangıçtır.
- E-ticaret: Sipariş, adres ve iade yazışmaları yoğun kişisel veri içerir. Müşteri hizmetleri yanıtlarında sipariş numarası yerine yer tutucu kullanın.
- Emlak ve sigorta: Müşterinin gelir, kredi ve aile bilgileri hassastır; teklif metni yazdırırken bu bilgileri çıkarın.
- Eğitim kurumları: Öğrenci ve veli bilgileri, özellikle reşit olmayanlarla ilgili olduğunda ayrıca dikkat gerektirir.
ajaniq bu konuda ne yapıyor?
ajaniq'te müşteri mesajlarındaki ve yorumlarındaki kişisel bilgiler yapay zekâya gitmeden önce maskelenir; şirket hafızası işletmenize özeldir ve başka işletmelerle paylaşılmaz. Müşteri yorumu ya da web sayfası gibi dış metinler veri olarak işaretlenir ve içlerine gizlenmiş talimatlar uygulanmaz. Bunlar teknik önlemlerdir; aydınlatma metni, açık rıza ve saklama politikası gibi hukuki yükümlülükler yine işletmenin kendisindedir.
Kontrol listesi özeti
- Gereken veriden fazlasını paylaşmayın.
- Özel nitelikli veride önce hukuki değerlendirme.
- Verinin nereye gittiğini öğrenin.
- Aydınlatma metnini güncelleyin, yapay zekâ kullanımını söyleyin.
- Model eğitimi ayarlarını kontrol edin.
- Onaylı araç listesi ve iç kural yazın.
- Çıktıyı insan kontrol etsin.
- Saklama süresi belirleyin.
- Başvuru haklarına hazır olun.
- Dış metni talimat değil veri olarak verin.
Sıkça sorulan sorular
ChatGPT'ye müşteri bilgisi yazmak KVKK'ya aykırı mı?
Otomatik olarak aykırı değildir; ama veri sorumlusu olarak hukuki dayanak, yurt dışı aktarım, aydınlatma ve güvenlik yükümlülüklerini sağlamanız gerekir. En güvenli pratik, gerekmeyen kişisel bilgiyi hiç paylaşmamaktır.
Kurumun üretken yapay zekâ rehberi bağlayıcı mı?
Rehber bilgilendirme amaçlıdır; bağlayıcı olan 6698 sayılı Kanun ve ilgili mevzuattır. Rehber ise Kurumun yaklaşımını anlamak için önemli bir kaynaktır.
Müşteriye yapay zekâ ile konuştuğunu söylemek zorunda mıyım?
Kurumun rehberi sohbet botu gibi sistemlerde kullanıcının yapay zekâyla etkileşimde olduğunun bildirilmesini öneriyor. Şeffaf olmak güveni de artırır.
Küçük işletme olarak da bu kurallara tabi miyim?
Evet. KVKK işletmenin büyüklüğüne bakmaksızın kişisel veri işleyen herkesi kapsar; bazı idari yükümlülükler ise ölçeğe göre değişebilir.