Yapay zeka ajanları KVKK'ya uygun mu? 2026 rehberi

Yayın tarihi: 19 Ekim 2026

Kısa cevap: KVKK ajanı değil, veri işleme biçimini düzenler

6698 sayılı Kanun'da yapay zeka sistemlerine özgü ayrı bir koruma rejimi yok. Bu, ajanların Kanun'un dışında kaldığı anlamına gelmiyor. Bir ajan ad soyad, kimlik numarası, telefon, e-posta, ses kaydı, konum, müşteri veya çalışan bilgisi, davranış verisi, sağlık ya da biyometrik veri gibi gerçek bir kişiyi belirleyen bilgiye dokunuyorsa, o işlem KVKK hükümlerine göre değerlendirilir. Belirleyici olan teknolojinin adı değil; kişisel verinin işlenip işlenmediği, hangi amaçla işlendiği ve hangi hukuki sebebe dayandığıdır. Bu yüzden soru 'ajan uyumlu mu' değil, 'bu ajan veriyi nasıl işliyor' diye sorulmalı. Aynı ajan doğru kurulduğunda uyumlu çalışır, yanlış kurulduğunda ihlal üretir. Bakılacak üç nokta var: ajanın hangi veriye eriştiği, veriyi nereye gönderdiği (şirket içindeki bir sistem mi, yurt dışındaki bir model mi) ve kullanıcıya ne söylendiği. Aşağıda ajanı kullanan şirketin rolünü, beş temel yükümlülüğü, halüsinasyon riskini ve yayına almadan önce geçilecek bir kontrol listesini sırayla ele alıyoruz.

Ajanı kullanan şirket KVKK'ya göre hangi rolde

Kişisel Verileri Koruma Kurumu 2026'da doğrudan yapay zeka ajanlarını konu alan Etken Yapay Zeka (Agentic AI) rehberini yayımladı. Rehber, veri işleme faaliyetinin geliştirici, kullanan ve diğer aktörler arasında dağıldığını ve bir ihlal çıktığında sorumluluğu paylaştırmanın zorlaştığını kabul ediyor. Bu zorluğu kimseye mazeret olarak da sunmuyor. Türk uygulamasındaki karşılığı net: ajanın arkasındaki model sağlayıcı ne yaparsa yapsın, müşteriye ve çalışana karşı veri sorumlusu ajanı kullanan şirkettir. Ajan şirket adına e-posta gönderdiğinde, fatura kestiğinde ya da veri aktardığında hesap da bu şirkete sorulur. Rehber iki iş daha istiyor: ajan akışlarının işleme envanterine işlenmesi ve insan gözetiminin sonradan eklenen bir onay düğmesi olarak değil, tasarım aşamasından itibaren kurulması. Kurum'un tedbir listesinde geliştirici ile yerleştirici arasındaki rollerin netleştirilmesi de ayrı bir madde olarak yer alıyor. Bu noktada sohbet botu ile ajanı karıştırmamak gerekiyor. Sohbet botu bir çıktı üretir, o çıktıyla ne yapılacağına insan karar verir. Ajan ise bir hedef alır ve araya insan girmeden birden fazla sistemde eylem yapar: kargo oluşturur, e-posta atar, CRM'e not düşer. Klasik yapay zekada yönetilen şey çıktı riskidir; ajanda buna eylem riski eklenir. Yanlış cevap veren bot şirketi utandırır, yanlış eylem yapan ajan şirketin parasını gönderir.

Yapay zeka ajanı için beş temel KVKK yükümlülüğü

Aydınlatma ve hukuki sebep: açık rıza her zaman şart değil

Ajanın ne yaptığı: kullanıcıdan veri alır, bunu işler ve çoğu zaman başka sistemlere taşır. Kullanıcı bu akışı görmez; Kanun'un 10. maddesindeki aydınlatma yükümlülüğü tam da bu görünmezliği gidermek için var. Şirket, ajanla ilk temasta kullanıcıya kısa bir aydınlatma yapmalı. Hukuki sebep tarafında Kanun'un 5. maddesi açık rızanın yanında sözleşmenin ifası ve hukuki yükümlülük gibi başka dayanaklar da tanıyor. Ajanın yaptığı iş bu sebeplerden birine oturuyorsa ayrıca açık rıza aranmaz. Dikkat edilecek nokta sebebin sürekliliği: rehber, görev ilerledikçe ortaya çıkan yeni veri kullanımlarının başlangıçtaki hukuki sebeple bağını koparabildiğini söylüyor. Destek amacıyla toplanan verinin satış skorlamasına akması bu kopuşun tipik örneğidir. Her yeni amaç için sebebi yeniden kontrol etmek gerekir.

Veri minimizasyonu ve saklama süresi

Ajanın ne yaptığı: rehberin ilk sıraya koyduğu risk, işleme kapsamının görev ilerledikçe genişlemesidir. Ajan 'yardımcı olmak için' CRM'deki her alanı okur ve amacını aşan veriye uzanır. Şirketin yapması gereken: Kanun'un 4. maddesi verinin amaçla bağlantılı, sınırlı ve ölçülü olmasını ister. Ajana yalnızca görev için gereken alanları vermek bu ilkenin pratik karşılığıdır. İleride yapay zekada kullanılır diye ihtiyaçtan fazla müşteri veya çalışan verisi toplamak amaçla sınırlılık ve ölçülülük açısından sorun doğurur; modelin daha çok veriden yararlanabilmesi sınırsız toplama hakkı vermez. Aynı madde verinin mevzuatta öngörülen ya da amaç için gerekli süre kadar tutulmasını ister. Konuşma kayıtları için bu süreyi belirleyip yazmak gerekir. Sağlık veya biyometrik veri gibi özel nitelikli veriye dokunan ajanlarda ise Kanun'un 6. maddesi devreye girer.

Yurt dışı aktarım: LLM API'leri en büyük risk noktası

Ajanın ne yaptığı: istemi ve ekli belgeleri şirket dışındaki bir modele gönderir. Sık gözden kaçan nokta şu: sisteme girilen komutlar ve yüklenen dosyalar da kişisel veri içerebilir. Bir çalışanın müşteri adı, adresi ve iletişim bilgilerini içeren bir sözleşmeyi 'riskleri bul' diyerek harici bir yapay zeka aracına yüklemesi, kişisel veri işleme ve koşullara göre üçüncü kişiye ya da yurt dışına aktarma anlamına gelir. Şirketin yapması gereken: ajanın bağlandığı modelin nerede çalıştığını bilmek ve bu akışı bir aktarım olarak değerlendirmek. Üçüncü kişilerin verisini yapay zeka araçlarına girmek KVKK'ya aykırılık oluşturabilir; bu nedenle şirket içinde yazılı bir yapay zeka kullanım politikası gerekir.

Güvenlik ve ihlal bildirimi

Ajanın ne yaptığı: araç çağrılarıyla sistemlere erişir ve saldırı yüzeyini genişletir. Rehber, girdi manipülasyonuyla veri ifşasını ayrı bir risk olarak sayıyor; istem enjeksiyonuyla ajanın yetkisini aşıp veri sızdırması, Kanun'un 12. maddesindeki veri güvenliği yükümlülüğünün tam karşısına düşüyor. Şirketin yapması gereken: hedef verip sınır vermemek, stajyere şirket kartı verip 'satışları artır' demeye benzer. Geri alınamaz işlemleri insana, rutini ajana bırakın; yasağı kağıtta değil eylem kapısında uygulayın. Onay eşiği olmayan bir ajan bir gecede para gönderebilir ya da veri sızdırabilir. Denetim gününde inanılan şey hatırladığınız değil, kaydettiğinizdir; bu yüzden ajan logları ihlal yönetiminin ilk dayanağıdır. 'Durdur düğmemiz var' cümlesi test edilmemişse boştur: kimin, kaç saniyede durduracağı ve sonrasında ne olacağı sakin bir günde yazılıp tatbik edilmeli.

AI ajanları halüsinasyon sorunu KVKK riski mi, nasıl çözülür

Evet, KVKK riskidir. Rehber halüsinasyonu kişisel veri riskleri arasında sayıyor ve bunu Kanun'un 4. maddesindeki doğruluk ilkesine bağlıyor. Ajanın uydurduğu bir adres, bakiye veya kayıt bilgisi kişisel veriyi yanlış işlemek demektir. Çok adımlı akışlarda sorun büyür: ilk adımdaki uydurma bilgi zincirde yayılır ve beşinci adımda bir eyleme dönüşür. Rehberin tedbir listesi çözümün çerçevesini veriyor. Birincisi veri doğruluğunun sürekli gözetimi; ajanın ürettiği bilgi tek seferlik değil, düzenli olarak kontrol edilmeli. İkincisi insan merkezli yaklaşım ve üç aşamalı insan gözetimi: geliştirme, kullanıma alma ve kullanım sonrası. Üçüncüsü uygun düzeyde şeffaflık ve açıklanabilirlik. Kullanıcıya cevabın otomatik üretildiğini söylemek şirketi sorumluluktan kurtarmaz; veri sorumlusu olan şirkettir. Yine de bu bilgilendirme rehberin şeffaflık beklentisine ve 10. maddedeki aydınlatma yükümlülüğüne hizmet eder. Ajanlar patlayarak değil, zamanla sapma göstererek bozulur; erken sinyalleri yalnızca izleyen şirket yakalar.

Satış ekibi için yapay zeka asistanı: CRM verisiyle çalışırken

Satış asistanı en çok iki riske açık: amaç kayması ve profilleme. Asistan potansiyel müşteri verisini zenginleştiriyorsa bu yeni bir işleme amacıdır ve envantere, aydınlatma metnine ve hukuki sebep değerlendirmesine eklenmelidir. İkinci risk profilleme ve çıkarım. Tek başına masum görünen takvim, e-posta ve toplantı dökümü verisi birleştiğinde tek kişilik kapsamlı bir dosyaya dönüşür. Rehberin metodolojik tercihi burada belirleyici: değerlendirme tek tek işlemler üzerinden değil, sistemin bütüncül işleyişi üzerinden yapılır. Otomatik sonuçlara itiraz hakkı ve ölçülülük ilkesi bu dosyaların sınırını çizer. Toplantı özetleme işlevi için ayrı bir not: görüntü ve ses kaydı Kanun'a göre kişisel veridir. Kayda alınan karşı taraf bilgilendirilmeden asistan bu veriyi işlememeli. Pratik sınır ise şu: asistan teklif taslağı hazırlayabilir, ancak sağlık gibi özel nitelikli veriye ya da amacını aşan müşteri bilgisine uzanmamalı.

Özel yapay zeka yazılımı yaptırma: sözleşmeye neler yazılmalı

Dışarıdan geliştirici firmayla çalışırken rehberin sorumluluk bölümü sözleşmenin omurgasını belirliyor. Veri işleme geliştirici ile kullanan arasında dağılsa da müşteriye karşı sorumlu olan sizsiniz. Bu nedenle sözleşme veri sorumlusu ve veri işleyen rollerini açıkça yazmalı; model sağlayıcının ve geliştiricinin hangi veriye hangi amaçla dokunacağı belirsiz bırakılmamalı. Teslim kriterlerine rehberin tedbirlerini taşıyın. Tasarımdan itibaren ve varsayılan olarak mahremiyet ile mahremiyet artırıcı teknikler (PET) rehberin beklediği tedbirler arasında; bunlar kabul testinde yer alırsa sonradan eklenmeye çalışılan onay düğmesi sorunundan kurtulursunuz. İnsan gözetiminin tasarım aşamasında kurulması, eylemlerin loglanması ve geri alınamaz işlemler için onay eşiği de aynı listeye girmeli. Bugün rehbere gönüllü uyan şirket, yarın denetimde aynı metni açan müfettiş karşısında hazır olur.

Sık Sorulan Sorular

Ajanın ChatGPT gibi yurt dışındaki bir modele bağlanması KVKK ihlali mi?

Kendiliğinden ihlal değil, ancak kişisel veri işleme ve koşullara göre üçüncü kişiye ya da yurt dışına aktarma sayılır. Müşteri adı, adresi ve iletişim bilgisi içeren bir belgeyi harici bir yapay zeka aracına yüklemek bu kapsamdadır. Şirketin bu akışı KVKK'ya göre değerlendirmesi ve çalışanları için yazılı bir yapay zeka kullanım politikası oluşturması gerekir.

Ajan yanlış bilgi üretirse (halüsinasyon) sorumluluk kimde olur?

Veri sorumlusu olan şirkette, model sağlayıcıda değil. Kurum rehberi halüsinasyonu doğruluk ilkesini tehdit eden bir kişisel veri riski olarak sayıyor.

Web sitesindeki sohbet asistanı için aydınlatma nasıl yapılır?

Kanun'un 10. maddesi aydınlatmayı, 11. maddesi ise kullanıcının haklarını düzenler. Aydınlatma metni kullanıcıya verisinin işlenip işlenmediğini, amacına uygun kullanılıp kullanılmadığını ve üçüncü kişilere aktarılıp aktarılmadığını öğrenebileceğini, düzeltme ve silme talep edebileceğini anlatmalı. Metin sohbet penceresinden erişilebilir olmalı ve asistan gelen silme taleplerini kaydetmeli.

Ajanın tuttuğu konuşma kayıtları ne kadar süre saklanabilir?

Kanun'un 4. maddesi sabit bir süre vermez; veri mevzuatta öngörülen ya da işleme amacı için gerekli olan süre kadar tutulur. Süreyi amaç belirler, şirket bunu yazılı hale getirir ve süresi dolan kayıtları siler.

Ajanınızın KVKK uyumunu yayına almadan önce görmek istiyorsanız veri akış şemanızı horoz.ai ekibine gönderin; hangi adımda yurt dışı aktarım, hangi adımda rıza gerektiğini işaretleyip size yazılı bir kontrol listesi döndürelim.