Kişisel Verileri Koruma Kurumu (KVKK) Başkanı Prof. Dr. Faruk Bilir, yapay zekâ tartışmasını “ekrandaki cevap”tan alıp arkasındaki veri işlemeye bağladı. Star yazarı Av. Cüneyd Altıparmak’ın 19 Eylül 2026’da yayımlanan söyleşisinde Bilir’in mesajı netti: Sağlıktan işe alıma, nerede kişisel veri işleniyorsa teknoloji ne olursa olsun 6698 sayılı Kanun geçerli.
Kısaca
- Bilir’e göre risk yalnızca paylaştıklarımız değil; farklı kaynaklar birleşince paylaşmadıklarımız hakkında da çıkarım yapılabiliyor.
- Otomatik sistemin aleyhe kararına karşı KVKK m.11 itiraz hakkı tanıyor.
- Çözüm: tasarımdan itibaren ve varsayılan olarak mahremiyet; örneğin verinin model eğitiminde kullanılması başlangıçta kapalı olmalı.
- İşyerlerinde “gölge yapay zekâ”, çocuklar ve deepfake ayrı risk başlıkları.
- Bilir, yapay zekâya özgü riskler için tamamlayıcı düzenlemelere ihtiyaç olduğunu da söylüyor.
“Söylemediklerim de hesabın içinde mi?”
Söyleşide en dikkat çekici bölüm, “özel hayatımı paylaşmıyorum” diyenlere verilen yanıt. Bilir’in anlattığına göre tek başına kimseyi tanımlamayan veri parçaları yan yana gelince kimliği görünür kılabiliyor. Dahası, doğrudan paylaşılmayan bilgiler hakkında çıkarım yapılabiliyor. Gereğinden fazla veri toplanması, bilgilerin başka amaçlarla kullanılması ve kapsamlı profiller oluşturulması aynı tablonun parçaları.
Bilir bir uyarı daha yapıyor: Bazı modellerin eğitiminde kullanılan kişisel bilgiler, üretilen cevaplarda açığa çıkabiliyor. Yani tartışma yalnızca sisteme giren veriyle sınırlı değil; sistemden çıkan veri de konuşulmalı.
Otomatik karar ve itiraz hakkı
Söyleşide somut örnek iş başvurusu. Başvurunuz yalnızca otomatik analizle değerlendirilip aleyhinize sonuçlanırsa, Bilir buna itiraz hakkı bulunduğunu hatırlatıyor. Dayanak, KVKK’nın 11. maddesinin (g) bendi: Herkes, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kendisi aleyhine bir sonucun ortaya çıkmasına itiraz edebilir. Bilir, kredi başvuruları ve sigortacılıkta da benzer süreçlerle karşılaşılabildiğini belirtiyor.
Başkanın altını çizdiği bir ayrıntı daha var: Kullanılan veriler hatalı, eksik ya da önyargılıysa bu sonuçlara da yansıyor. Bu yüzden sistemin nasıl değerlendirme yaptığının anlaşılması ve sonucun sorgulanabilmesi önemli.
Pratikte nasıl kullanılır? KVKK m.13’e göre başvuru veri sorumlusuna yazılı olarak ya da Kurul’un belirlediği yöntemlerle yapılıyor ve en geç 30 gün içinde ücretsiz sonuçlandırılması gerekiyor. Yanıt alamazsanız ya da yanıtı yetersiz bulursanız, m.14 uyarınca yanıtı öğrendiğiniz tarihten itibaren 30 gün, her hâlde başvurudan itibaren 60 gün içinde Kurul’a şikâyette bulunabilirsiniz.
Tasarımdan itibaren mahremiyet
Bilir’e göre önlem, sorun çıktıktan sonra değil, sistemin tasarım aşamasında alınmalı. Önce hangi verinin gerçekten gerekli olduğu belirlenmeli; kullanıcı korunmak için ayrıca ayar değiştirmek zorunda kalmamalı. Başkanın verdiği örnek somut: Verilerin model geliştirmek amacıyla kullanılmasına ilişkin tercih, başlangıçta kapalı sunulabilir. “Tasarımdan itibaren mahremiyet” ve “varsayılan olarak mahremiyet” kavramlarının karşılığı bu.
Bugün piyasadaki pek çok sohbet botunda durum tam tersi: Eğitimde kullanım çoğu zaman varsayılan olarak açık ve kapatmak için ayarlar menüsünde arama yapmak gerekiyor.
Gölge yapay zekâ, çocuklar ve deepfake
- Gölge yapay zekâ: Çalışanın, kurumunun bilgisi ya da kontrolü dışında kullandığı YZ araçları. Hangi bilgi nereye gidiyor, çıktıyı kim nasıl kullanıyor? Kurum bunları göremiyorsa denetim zorlaşıyor. Bilir yalnızca yasaklara dayanmak yerine eğitim, yönlendirme ve erişim kontrolü öneriyor; YZ çıktılarının insan değerlendirmesi altında, destekleyici unsur olarak kullanılması gerektiğini vurguluyor.
- Çocuklar: Tamamen yasak değil, yaşa uygun kullanım ve ebeveyn rehberliği. Hangi uygulamanın kullanıldığı bilinmeli, gizlilik koşulları ve ebeveyn kontrolleri incelenmeli; çocuğa adını, adresini, okulunu ve telefonunu paylaşmaması anlatılmalı. Çocuk, aldığı her cevabın doğru olmadığını da bilmeli.
- Deepfake: Gerçeğe benzeyen sahte ses ve görüntüler mahremiyet ihlaline, itibar kaybına, yanıltılmaya ve maddi zarara yol açabiliyor. Bilir çözümü yalnızca vatandaşın dikkatinde aramıyor; teknik tespit araçlarını, platform denetimini ve kullanıcı bilgilendirmesini birlikte ele alıyor.
KVKK’nın elindeki kaynaklar
Bilir söyleşide kurumun rehberlerine, ebeveynler ve işyerleri için hazırlanan bilgi notlarına ve 21 akademisyenin katkısıyla hazırlanan 15 makalelik “Yapay Zekâ Teknolojilerine Akademik Bakış” kitabına değiniyor. Kurum, 24 Kasım 2025’te de “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)” belgesini yayımlamıştı. Bu rehber üretken YZ sistemlerinin yaşam döngüsü boyunca kişisel veri işlemeyi KVKK çerçevesinde değerlendiriyor; bireylerin günlük kullanımda dikkat etmesi gerekenlere ve çocuklar için ebeveynlerin alabileceği önlemlere yer veriyor. Eylül 2026’da yayımlanan avukat rehberi ise YZ’ye dava dosyası yüklemenin yurt dışı aktarım sayılabileceğini açıkça yazdı.
Okur için: bugün yapabilecekleriniz
- Kullandığınız sohbet botunun ayarlarında “modeli geliştirmek için verilerimi kullan” benzeri seçeneği bulun ve istemiyorsanız kapatın.
- Kimlik numarası, sağlık raporu, maaş bordrosu gibi belgeleri genel amaçlı YZ araçlarına yüklemeyin.
- İş yerinizde onaylı bir YZ aracı yoksa, müşteri ya da çalışan verisini kişisel hesabınızdan bir araca yapıştırmayın; bu tam olarak “gölge YZ” riski.
- Bir başvurunuz otomatik sistemle reddedildiyse, insan değerlendirmesi isteyin ve KVKK m.11/g kapsamında itiraz edin.
- Çocuğunuzla birlikte kullandığı YZ uygulamasının gizlilik ayarlarına bakın; “botun söylediği her şey doğru değil” konuşmasını yapın.
Değerlendirme
Bilir’in çerçevesi yeni bir yasak listesi değil; şeffaflık, itiraz hakkı ve varsayılan koruma üzerine kurulu. Türkiye’de yapay zekâya özel bir kanun henüz yok ve TBMM’deki teklifler komisyonda bekliyor. Bunlardan biri doğrudan deepfake ile ilgili: Ocak 2026’da verilen KVKK değişiklik teklifi (2/3465), yapay zekâ ile üretilen sesli, yazılı ya da görüntülü içeriğin kişinin izni olmadan paylaşılmasına izin veren platformlara bir önceki yıl cirosunun yüzde beşi oranında idari para cezası öngörüyor. Teklif yasalaşana kadar bu boşlukta KVKK’nın rehberleri fiilen en somut çerçeve; ancak rehberler kanun gibi bağlayıcı değil, yol gösterici nitelikte. Başkanın “tamamlayıcı düzenleme” vurgusu da bu boşluğun kurumda da görüldüğünü gösteriyor.
Kaynaklar: Star – Cüneyd Altıparmak / Faruk Bilir söyleşisi (19 Eylül 2026), KVKK – Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda), KVKK – Avukatlar için uygulama rehberi, 6698 sayılı KVKK, TBMM – Kanun teklifi 2/3465.
