Yapay Zekâ Kullanırken Kişisel Veriyi Korumak: KOBİ'ler İçin Pratik Rehber

Ekibiniz muhtemelen yapay zekâ araçlarını çoktan kullanıyor. Teklif metni yazdırıyor, tabloyu özetletiyor, müşteri e-postasına taslak hazırlatıyor. Bunların hepsi meşru işler. Sorun, o kutucuğa yapıştırılan metnin içinde çoğu zaman bir müşterinin adı, telefonu ya da bir sözleşmenin tamamı olması.

Konu son aylarda daha da somutlaştı: Kişisel Verileri Koruma Kurumu, 24 Kasım 2025'te "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)" belgesini, 13 Temmuz 2026'da ise "Etken Yapay Zekâ (Agentic AI)" başlıklı dokümanı yayımladı. Yani düzenleyici taraf artık bu araçların yaşam döngüsüne, kullanım alanlarına ve doğurduğu risklere doğrudan bakıyor.

Bu yazı bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Yükümlülüklerinizin tam kapsamı için kvkk.gov.tr üzerindeki güncel rehber ve karar metinlerini esas alın, kendi durumunuz için hukuk danışmanınıza başvurun.

Sorun nerede başlıyor?

Klasik bir bilgi işlem riskinden farklı bir durum bu. Kimse sisteminize sızmıyor; veriyi dışarı biz çıkarıyoruz, üstelik işimizi iyi yapmak için.

Tipik sahne şöyle: satış temsilcisi bir müşteriye gönderilecek e-postayı iyileştirmek istiyor ve önceki yazışmanın tamamını — isim, telefon, sipariş detayı, fiyat — bir yapay zekâ sohbetine yapıştırıyor. Sonuç mükemmel bir taslak. Ama o veri artık şirketin denetlemediği bir yerde.

Kritik ayrım şu: kullandığınız araç ücretsiz ve herkese açık bir sürüm mü, yoksa kurumsal bir sözleşmeyle mi kullanılıyor? İkisi arasındaki fark, verinin nerede saklandığı, ne kadar tutulduğu ve model eğitiminde kullanılıp kullanılmadığıdır. Bunu bilmeden hiçbir aracı "güvenli" ilan edemezsiniz.

Hangi bilgi kişisel veri sayılır?

Kısa hatırlatma: kişisel veri, kimliği belirli ya da belirlenebilir bir gerçek kişiye ilişkin her türlü bilgidir. Yani yalnız ad-soyad değil; telefon, adres, e-posta, TC kimlik numarası, sipariş geçmişi, IP adresi, hatta tek başına anlamsız görünen ama birleştirildiğinde kişiyi işaret eden veri parçaları.

Şirket içinde en çok gözden kaçan üç küme:

• Müşteri kayıtları. Sipariş listesi, iletişim bilgileri, şikâyet metinleri, çağrı notları.
• Çalışan verileri. Özlük dosyaları, bordro, performans notları, sağlık raporları.
• Belgeler. Sözleşmeler, teklifler, faturalar, ihtar yazıları. Bunlar hem kişisel veri hem de ticari sır taşır.

Temel çerçeveyi KOBİ'ler için KVKK uyum rehberi yazısında ele almıştık; yapay zekâ bu sorumluluğu ortadan kaldırmaz, yalnızca yeni bir kanal ekler.

Uygulanabilir altı kural

Aşağıdakiler hukuk metni değil, işletme pratiği. Küçük bir ekipte bile bir haftada kurulabilir.

1. İzinli araç listesi yapın. Hangi araçların iş amaçlı kullanılabileceğini yazın ve listeye yeni araç eklemenin kimden onay gerektirdiğini belirtin. Liste kısa olabilir; amaç belirsizliği bitirmek. Yasaklamak işe yaramaz, çünkü yasak kullanımı bitirmez, yalnızca görünmez kılar.

2. Veriyi maskeleyerek girin. Çoğu iş, gerçek veriye ihtiyaç duymaz. "Ayşe Yılmaz'ın 4.200 TL'lik gecikmiş faturası" yerine "bir müşterinin gecikmiş faturası" demek aynı taslağı üretir. Tablo özetletirken ad-soyad sütununu çıkarın, müşteri numarasıyla çalışın. Bu tek alışkanlık, riskin büyük kısmını kaynağında keser.

3. Hassas iş için kapalı devre düşünün. Sağlık, özlük ya da sözleşme verisi gibi hassas kümelerle düzenli çalışılacaksa, veriyi dışarı çıkarmayan (kendi altyapınızda ya da sözleşmeyle sınırlandırılmış) bir kurulum daha doğru olur. Bu tercihin altyapı tarafındaki dengeleri için bulut mu, kendi sunucunuz mu yazısı iyi bir başlangıç.

4. Otomatik kararı insana bağlayın. Bir müşterinin talebini reddetmek, fiyat belirlemek, işe alım elemesi yapmak gibi kişiyi doğrudan etkileyen sonuçlar tamamen otomatik üretilmemeli. Yapay zekâ öneriyi hazırlar, kararı insan verir ve bu kaydedilir.

5. Tedarikçinizi ve aktarımı bilin. Kullandığınız aracın verisi nerede işleniyor, ne kadar saklanıyor, model eğitiminde kullanılıyor mu? Yurt dışına aktarım söz konusuysa bunun kendi kuralları var. Sözleşmeyi okumadan "kurumsal sürüm aldık" demek yeterli değil.

6. Kaydını tutun. Hangi süreçte hangi aracı, hangi veriyle kullandığınızı tek sayfalık bir tabloda tutun. Bir soru geldiğinde cevabınız hafızanız değil, bu tablo olur. Veri güvenliği ve yedekleme tarafındaki envanter mantığının aynısı.

Etken (agentic) yapay zekâda ne değişiyor?

Buraya kadarki resim, "soru sor, cevap al" biçiminde çalışan araçlar içindi. Etken yapay zekâ sistemleri ise farklı: belirli bir hedefe yönelik çok adımlı işleri yürütebiliyor, koşulları değerlendirip değişen duruma uyum sağlayabiliyor ve değişen derecelerde otonomiyle eylem başlatabiliyor. KVKK'nın 13 Temmuz 2026 tarihli dokümanı da tam olarak bu otonomi ve veri işleme kapasitesi artışının kişisel veri koruması açısından yeni değerlendirme alanları doğurduğuna dikkat çekiyor.

İşletme diline çevirirsek: eskiden yapay zekâya bir metin verip bir metin alıyordunuz. Şimdi ona bir görev veriyorsunuz ve o görevi yaparken sizin sistemlerinize bakıyor, kayıt açıyor, e-posta gönderiyor. Bu yeteneğin ne işe yaradığını yapay zekâ ajanları yazısında anlatmıştık; veri tarafında ise üç şey değişiyor:

• Kapsam genişliyor. Ajan bir kez bağlandığında, o bağlantının gördüğü tüm veriye erişir. En dar yetkiyle başlamak (yalnızca ihtiyaç duyduğu tabloya, yalnızca okuma izniyle) tek gerçek koruma.
• İz sürmek zorlaşıyor. Çok adımlı bir işte hangi verinin hangi adımda nereye gittiğini sonradan çıkarmak, kayıt tutulmuyorsa neredeyse imkânsızdır. Ajanın yaptığı işlemlerin kaydını baştan açın.
• Dışa dönük adımlar risklidir. E-posta göndermek, kayıt güncellemek, ödeme başlatmak gibi geri alınması zor eylemlerde insan onayı bırakın. Müşteriyle konuşan otomatik bir sistem varsa bunu gizlemeyin; müşteri hizmetlerinde yapay zekâ yazısında değindiğimiz gibi şeffaflık güveni artırır.

Bir haftalık kontrol listesi

• Ekibin fiilen kullandığı yapay zekâ araçlarının listesi çıkarıldı mı?
• Bu araçların hangileri kurumsal sözleşmeli, hangileri kişisel hesapla kullanılıyor?
• "Girilmeyecek veri" listesi yazılı hâlde var mı, herkes okudu mu?
• Rutin işlerde maskeli/örnek veriyle çalışma alışkanlığı yerleşti mi?
• Kişiyi doğrudan etkileyen kararlarda insan onayı adımı duruyor mu?
• Bir ajan/otomasyon kuruluysa eriştiği veri en dar kapsamda mı, işlem kaydı tutuluyor mu?

Bu listeyi ekipçe doldurmak, uzun bir eğitimden daha çok iş görür. Kültür tarafını güçlendirmek için yapay zekâ okuryazarlığı yazısındaki kullanım politikası taslağını doğrudan kullanabilirsiniz.

Korumak, kullanmayı bırakmak değildir

Bu konuda en sık yapılan iki hata birbirinin zıddı: her şeyi yasaklamak ve hiç kural koymamak. İkisi de aynı yere çıkıyor — kontrolün kaybı.

Doğru yol ortada: hangi işin hangi araçla, hangi veriyle yapılacağını yazmak ve bunu ekibin anlayacağı sadelikte tutmak. Maskeleme alışkanlığı, insan onayı adımı ve tek sayfalık bir araç envanteri; bu üçü çoğu KOBİ için riskin büyük kısmını kapatır.

Süreçlerinizi yapay zekâya açarken veriyi ayıklayan, yetkiyi daraltan ve işlem kaydı tutan bir kurgu tasarlamak isterseniz bizimle iletişime geçin; nasıl çalıştığımızı görmek için hizmetlerimize göz atabilirsiniz.