Çalışanınız bir müşteri yazışmasını ChatGPT'ye yapıştırdıysa, KVKK açısından o metnin veri sorumlusu şirketinizdir; çalışanın hangi hesabı kullandığı bunu değiştirmez. Yapılacak iş özünde neyin gittiğini çıkarmak, Kurula bildirim gerekip gerekmediğine karar vermek ve tekrarını önlemektir. Bildirim gerekiyorsa süre kısadır: Kurul, olayı öğrendiğiniz tarihten itibaren en geç 72 saat diyor.
Bu yazı olaydan sonrasına bakıyor. KVKK'nın yapay zekâ üzerine yayımladığı belgelerin toplu özeti KVKK rehberimizde, metni göndermeden önce neye bakılacağı ise kontrol listesi yazısında duruyor.
Veri kurumdan nasıl çıkıyor?
Bir müşteri şikâyeti üç gündür kapanmıyor. Yazışmayı olduğu gibi kopyalayıp sohbet penceresine yapıştırmak otuz saniye sürüyor; içinde ad soyad var, kimlik numarası var, bir de "annemin tedavisi için" diye başlayan bir cümle var. Yanıt geliyor, iş çözülüyor, kimse bir şey fark etmiyor.
KVKK'nın Mart 2026'da duyurduğu iş yeri rehberi bu tabloyu tarif ediyor: toplantı notları, iç yazışmalar, rapor taslakları, çalışanlara ve müşterilere ilişkin bilgiler üçüncü tarafların sunduğu araçlarla paylaşılabiliyor. Kurum, şirketin bilgisi, onayı ya da kurumsal kontrolü dışında kalan bu kullanıma "Gölge YZ" diyor. Çoğu zaman ortada kötü niyet yok. Kayıt da yok.
Sorumluluk çalışanda mı, şirkette mi?
Şirkette. 6698 sayılı Kanunun 3. maddesi veri sorumlusunu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişi olarak tanımlar. Müşteri verisi iş için işleniyorsa bu kişi şirkettir. 12. madde de veri sorumlusunu, verinin hukuka aykırı işlenmesini ve ona hukuka aykırı erişilmesini önleyecek teknik ve idari tedbirleri almakla yükümlü tutar.
Bu yüzden "çalışan kendi hesabından yapmış" savunması sorumluluğu çalışana geçirmez. Hesabın kime ait olduğu yalnız görünürlüğü değiştirir: şirket hesabından geçen istek bir yerde iz bırakır, kişisel hesaptan geçen istek şirketin görebileceği bir iz bırakmaz. 12. maddedeki yükümlülükleri yerine getirmeyen için Kanunun 18. maddesi idari para cezası öngörür.
Model yurt dışında çalışıyorsa tabloya yurt dışına aktarım da eklenir. 2024'te yenilenen 9. maddenin basamaklarını KVKK rehberimizin Kanun maddeleri bölümünde özetledik.
Avukatlar ve hukuk büroları için tablo bir kat daha ağırdır: KVKK'nın yanında meslek sırrı da devreye girer. Kurumun Eylül 2026'da yayımladığı avukatlar rehberinin özetini ve büro için bir kontrol listesini hukukta yapay zekâ sayfamızda anlattık.
Her yapıştırma Kurula bildirilecek bir ihlal mi?
Otomatik olarak değil, ama değerlendirmesi sizin işiniz. 12. maddenin beşinci fıkrasına göre, işlenen kişisel veriler kanuni olmayan yollarla başkaları tarafından elde edilirse veri sorumlusu bunu en kısa sürede ilgilisine ve Kurula bildirir. Kurul 2019/10 sayılı kararıyla Kurula bildirim için "en kısa süre"yi 72 saat olarak yorumladı; süre, olayı öğrendiğiniz tarihten itibaren işler. Etkilenen kişilere bildirim ise kim olduklarını tespit ettikten sonra makul en kısa sürede yapılır.
Sohbet penceresine giden bir metnin bu tanıma girip girmediği verinin türüne, kaç kişiyi kapsadığına ve sağlayıcının metni saklayıp saklamadığına bağlıdır. İş yeri rehberi bu tür paylaşımın veri ihlali riskini artırabileceğini söylüyor, ama ona otomatik bir sonuç bağlamıyor. Neyin gittiğini bilmeden bu kararı veremezsiniz.
İlk 72 saatte sırasıyla ne yapılır?
Önce giden metni ve kapsamını çıkarırsınız: hangi araç, hangi veri kategorileri, kaç kişi. Sonra sağlayıcı tarafında silme ve saklama ayarlarını ele alır, bildirim kararını gerekçesiyle yazıya geçirirsiniz. Bildirim gerekiyorsa Kurula 72 saat içinde yapılır. Son adım, aynı iş için onaylı bir yol açmaktır. Bu sıra hukuki görüş yerine geçmez.
- Metni bulun. Hangi araç, hangi hesap, hangi tarih, tam olarak hangi metin? Şirket hesabıysa sohbet geçmişine bakılır; kişisel hesapsa elinizde yalnız çalışanın anlattığı vardır.
- Kapsamı çıkarın. Kaç kişinin verisi gitti, hangi kategoriler? Sağlık ya da sendika üyeliği gibi 6. madde kapsamındaki bir bilgi varsa değerlendirme ağırlaşır.
- Sağlayıcı tarafını kapatın. Neyin gittiğini (araç, tarih, veri kategorileri, kişi sayısı) olay kaydına geçirdikten sonra sohbeti silin; hesabın saklama ve eğitimde kullanım ayarlarını kontrol edin. Kurumsal sözleşme varsa sağlayıcıdan silme isteyin.
- Kararı yazıya geçirin. Bildirim gerekiyorsa Kurula bildirim formuyla 72 saat içinde yapılır; bilgiler aynı anda toplanamıyorsa Kurul aşamalı bildirime izin veriyor. Etkilenen müşterilere de ayrıca haber verilir. Gerekmediğine karar verdiyseniz gerekçeyi kayda geçirin; Kurul ihlalin etkilerinin ve alınan önlemlerin kayıt altında tutulmasını istiyor.
- Tekrarını önleyin. Aynı iş için onaylı bir yol açın. Açmazsanız çalışan bir sonraki şikâyette aynı pencereye döner.
İlk iki adım, kayıt varsa bir sorgudur. Kayıt yoksa soruşturma.
Olaydan sonra aracı yasaklamak çözüm mü?
Olayın ardından ilk refleks erişimi kapatmaktır. Kurum bunun işe yaramadığını söylüyor: tam yasak, kullanımı kurumsal kontrol ve görünürlüğün dışına itiyor. Tekrarı önleyen şey, hangi işin hangi araçla ve hangi bilgiyle yapılabileceğini yazan bir politika ve o işe açılmış onaylı bir yol. Rehberde, kuruluşların politikalarında rastlanan ayrım şöyle örnekleniyor:
| Politikalarda serbest bırakılabilen | Politikalarda uygun bulunmayabilen |
|---|---|
| Fikir geliştirme | Müşteri dosyaları |
| Metnin dilini gözden geçirme | İnsan kaynakları verileri |
| İnternetteki bir konuyu özetleme | İç yazışmalar |
Sol sütun da bir koşula bağlı: girilen metin kişisel veri, ticari sır ya da kurumsal açıdan hassas bilgi içermemeli. Rehber ayrıca çalışanların yalnız kurumun belirlediği araçları kullanmasını, gerekirse harici platformların ağ düzeyinde engellenmesini, kurumsal cihaz şartını ve rol temelli yetkiyi sayıyor.
Sağ sütundaki işler, insanların asıl yardım istediği işler. Destek ekibi şikâyeti özetletmek istiyor; politika yazmak bu ihtiyacı ortadan kaldırmıyor. Sağ sütun için de güvenli bir yol gerekiyor.
Bir sonraki olayda kapsamı hızlı çıkarmak için ne kurulur?
Üç şey: tüm isteklerin geçtiği tek bir nokta, giden metnin denetimi ve denetim kaydı. Bugünkü olayda kapsamı çıkarmak günler sürüyorsa nedeni genelde kaydın olmamasıdır. Metni denetleyen ama kayıt tutmayan kurum ne yaptığını kanıtlayamaz. Denetimsiz kayıt ise yalnız riskin envanterini çıkarır.
| Kontrol | Ne yapar | Olmazsa |
|---|---|---|
| Tek geçiş noktası | Tüm istekler aynı kapıdan geçer | Kimin ne gönderdiği bilinmez |
| Giden metin denetimi | Tespit edilen kişisel alanlar modele ulaşmadan maskelenir | Kişisel veri olduğu gibi modele gider |
| Denetim kaydı | Hangi istekte hangi kategorilerin maskelendiği tutulur | İhlal değerlendirmesinde kapsam çıkarılamaz |
Tek geçiş noktasının nasıl kurulduğunu AI gateway yazısında anlattık.
Siper'de karşılığı
Siper, isteği modele iletmeden önce Türkçe metindeki kişisel alanları maskeler. Yukarıdaki şikâyete benzeyen bir metni canlı demo servisine gönderdik; kimlik numarası gerçek kimseye ait olmayan sentetik bir test değeri:
Girdi:
Merhaba, ben Mert Aydın. Annemin tedavisi için aldığım ilacın iadesi üç gündür bekliyor. TCKN 10000000382.
Çıktı:
Merhaba, ben <KİŞİ_1>. <SAĞLIK_1> için aldığım ilacın iadesi üç gündür bekliyor. TCKN <TCKN_1>."Annemin tedavisi" bir kalıba benzemez; sağlık bilgisi olduğu cümlenin bağlamından anlaşılır. Bunun Türkçede neden zor olduğunu Türkçe metinde kişisel veri tespiti yazısında anlattık. İstekler gateway üzerinden geçiyorsa maskeleme olayları için kategori ve tespit sayısı gibi üstveriler panelin denetim kaydına yazılır; maskelenen metnin kendisi kayda geçmez. Bu kayıt, listenin ikinci adımındaki "hangi kategoriler" sorusuna cevap verir; kaç kişinin etkilendiğini tek başına söylemez.
Ölçtüğümüz yakalama oranı (recall) insan doğrulamalı 403 belgelik Türkçe test setinde %85,7; kişisel veri içermeyen ayrı, temiz bir sette yanlış alarm %14,3 (Ekim 2026). Ölçümde yakalanamayan pay, maskelemenin tek başına yetmediğini gösterir; sorumluluk yine sizdedir. Maskeleme bir ihlal değerlendirmesi yapma ihtimalini küçültür, ortadan kaldırmaz. Anonimleştirme de değildir; iki kavramın farkı maskeleme, anonimleştirme ve takma adlandırma yazısında duruyor.
Destek yazışmalarınıza benzeyen, gerçek kişi içermeyen bir paragraf yazıp playground'a yapıştırın ve nelerin maskelendiğini görün. Ölçüm yöntemi benchmark sayfasında duruyor.