KVKK ve Uyum

Yapay Zekâ ile Belge Çevirisi: Gizli Belge Riski

Yapay zekâ ile belge çevirisi sözleşme ve dava dosyalarında hangi riski taşır? KVKK açısından aktarım, maskeleme, yerel model ve kurumsal çeviri politikası.

Fevzi Ege YurtsevenlerYapay Zekâ Güvenliği Araştırmacısı · AltaySec Kurucusu

13 Ekim 2026 · altaysec.com.tr

Yapay zekâ ile belge çevirisi yapıldığında yüklenen dosya çoğu zaman kurumun dışındaki bir sunucuda işlenir. Sözleşme, dava dosyası ya da açıklanmamış mali bilgi içeren bir belge için risk tam burada başlar: belge aktarılır, sağlayıcıda bir süre saklanabilir ve bazı hizmetlerde model geliştirme için kullanılabilir. Belge kişisel veri içeriyorsa ve sağlayıcı yurt dışındaysa yükleme KVKK m.9 kapsamında yurt dışı aktarım da sayılabilir. Çözüm yasaklamak değil; belgeyi sınıflandırmak, gerekirse maskelemek ve en hassas belgeleri yerel modelle çevirmektir.

Yapay zekâ ile belge çevirisinde dosya nereye gider?

Çevrimiçi çeviri ve sohbet araçları yüklenen metni sağlayıcının altyapısında işler. Belgenin akıbeti kullanım koşullarına, plan türüne ve hesap ayarlarına bağlıdır. Risk üç noktada toplanır:

Aktarım: Belge kurum ağından çıkar ve çoğu zaman başka bir ülkedeki sunucuya ulaşır.
Saklama: Kopya sağlayıcıda bir süre kalabilir. Silinme süresi her hizmette farklıdır.
Yeniden kullanım: Bazı hizmetlerde girdiler hizmetin geliştirilmesi için işlenebilir.

Kişisel Verileri Koruma Kurumu'nun Şubat 2026 tarihli İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı dokümanı, çeviri ve metin üretimine yönelik araçları çalışanların yaygın şekilde kullandığı uygulamalar arasında sayar. Doküman, ticari sır ya da kurumsal açıdan hassas bilgilerin kamuya açık araçlarla paylaşılması halinde bu bilgilerin bazı durumlarda model geliştirme süreçlerinde kullanılabileceğine ya da yetkisiz kişilerce erişilebilir hale gelebileceğine dikkat çeker. Yükleme yapıldıktan sonra kontrol sağlayıcıya geçer. Bu nedenle yüklemeden önce alınan önlemler, sonradan alınabileceklerden çok daha güçlüdür.

Belge yüklemek KVKK açısından aktarım sayılır mı?

Kurum'un Temmuz 2026'da yayımladığı Avukatların Mesleki Faaliyetlerinde Kişisel Verilerin Korunmasına İlişkin Uygulama Rehberi bu soruyu doğrudan ele alır. Rehbere göre müvekkil dosyalarını ya da kişisel veri içeren belgeleri üretken yapay zekâ araçlarına yüklemek, yalnızca teknik destek alma olarak görülmemelidir. Sağlayıcı yurt dışında yerleşikse, sunucuları yurt dışındaysa ya da veri yurt dışındaki alt hizmet sağlayıcılarda işleniyorsa yükleme KVKK m.9 kapsamında yurt dışı aktarım oluşturabilir. Sağlayıcı yurt içinde yerleşik olsa bile yükleme m.8 kapsamında bir aktarım niteliği taşıyabilir.

Rehberin önerdiği inceleme her sektör için geçerlidir. Aracın kullanım şartlarını, gizlilik politikasını, veri işleme koşullarını, verinin saklandığı ve işlendiği ülkeleri ve alt işleyenlere ilişkin hükümleri okuyun. Aktarım varsa 2024 değişikliğinden sonraki m.9 düzenine uyun: yeterlilik kararı, uygun güvenceler ya da arızi haller. Uygun güvence olarak standart sözleşme kullanılıyorsa sözleşme imzadan sonra beş iş günü içinde Kurum'a bildirilir. Hukuk bürolarına özgü riskler için hukuk sektöründe yapay zekâ güvenliği yazısına bakabilirsiniz.

Hangi belgeler en yüksek riski taşır?

Belgenin sınıfını yalnızca içeriğe bakarak değil, ona bağlı yükümlülüklere bakarak belirleyin. Gizlilik sözleşmesi kapsamındaki bir teknik belge, içeriği sıradan görünse bile dışarı gönderilemeyebilir.

Belge türü	Ana risk	Önerilen yol
Sözleşme taslağı	Taraf adları, bedel, ticari koşullar	Maskeleme sonrası onaylı araç ya da yerel model
Dava dosyası ve yazışma	Hukuki strateji, kişisel veri, sır saklama yükümlülüğü	Yerel model ya da insan çevirmen
Açıklanmamış mali bilgi	İçeriden bilgi, piyasa etkisi	Yerel model
İnsan kaynakları dosyası	Kişisel veri, sağlık gibi özel nitelikli veri	Maskeleme ve KVKK değerlendirmesi
Teknik şartname	Fikrî mülkiyet, ürün planı	Maskeleme ya da yerel model
Pazarlama metni	Düşük	Onaylı kurumsal araç

Dosya biçimi de risk taşır. Word ve PDF belgeleri görünmeyen üstveri, yorum ve değişiklik geçmişi içerebilir. Yüklemeden önce bunları temizleyin.

Maskeleme ile risk nasıl azaltılır?

Maskeleme, belgedeki kimlik ve ticari bilgileri çeviriden önce yer tutucularla değiştirir. Servis cümleyi çevirir ama taraf adlarını, tutarları ve kimlik numaralarını görmez.

Belgeyi sınıflandırın ve maskelemenin yeterli olup olmadığına karar verin.
Kişi adlarını, şirket unvanlarını, adresleri, kimlik ve hesap numaralarını tespit edin.
Her değeri benzersiz bir yer tutucuyla değiştirin. Eşleşme tablosunu belge dışında, erişimi kısıtlı bir yerde saklayın.
Maskelenmiş metni onaylı araca verin ve çıktıda tüm yer tutucuların yerinde olduğunu doğrulayın.
Değerleri geri yazın, çeviriyi bir insan çevirmene okutun ve eşleşme tablosunu silin.

Türkçede ekler otomatik tespiti zorlaştırır. "Ahmet'in" ya da "Ahmet'e" gibi biçimler basit bir aramayla yakalanmayabilir. Yöntem ayrıntıları için KVKK uyumlu PII maskeleme yazısına bakın. Maskeleme bağlam sızıntısını tamamen önlemez. Bir sektörde yalnızca iki taraf kalmışsa adlar silinse bile taraflar tahmin edilebilir.

Yerel model ne zaman daha doğru seçimdir?

Yerel model, kendi sunucunuzda ya da kendi bulut hesabınızda çalışan ve belgeyi dışarı göndermeyen bir dil modelidir. Belge kurumun denetiminde kalır, ama kurulum, donanım ve bakım yükü kuruma geçer. Seçimde şu ölçütleri tartın:

Dil çifti: Türkçeye ve Türkçeden çeviride modeller arasında belirgin kalite farkı olabilir. Kendi belge türlerinizle deneme yapın.
Belge uzunluğu: Uzun belgeler bağlam penceresine sığmayabilir ve parçalanmalıdır.
Terminoloji: Hukuk ve finans terimleri için sözlük desteği gerekebilir.
Erişim güvenliği: Yanlış yapılandırılmış bir yerel sunucu ağa açılırsa belgeler yine ifşa olabilir.

Sesli görüşme çevirisinde doğruluk ayrıca önemlidir. Kurum'un Kasım 2025 tarihli üretken yapay zekâ rehberi, eğitim verisinde yeterince temsil edilmeyen aksanlar için belirgin biçimde yüksek hata oranı üreten bir konuşma tanıma sistemini hukuka ve dürüstlük kurallarına uygunluk ilkesine aykırılık örneği olarak verir. Açık ağırlıklı modellerin kurum içinde işletilmesi için Llama ve DeepSeek kurumsal self-host yazısına bakabilirsiniz.

Çeviri servisi seçerken sözleşmede neyi aramalısınız?

Belirleyici olan pazarlama sayfası değil sözleşme metnidir. Yazılı yanıt alamadığınız bir servise gizli belge göndermeyin.

Yüklenen belgeler model eğitiminde ya da hizmet geliştirmede kullanılıyor mu?
Belgeler ne kadar süre saklanıyor ve silme nasıl doğrulanıyor?
İşleme hangi ülkelerde yapılıyor ve aktarım hangi dayanakla düzenleniyor?
Alt işleyiciler kimler ve değişiklikler önceden bildiriliyor mu?
Veri ihlalinde bildirim süresi ve kanalı nedir?
Hizmet sona erdiğinde veriler nasıl iade ya da imha ediliyor?

Sağlayıcılar koşullarını zaman zaman günceller. Yıllık bir gözden geçirme takvimi sessiz değişiklikleri yakalamanızı sağlar.

Kurumsal çeviri politikası nasıl kurulur?

Kurum'un iş yeri dokümanı yasaklayıcı yaklaşımlar yerine yönlendirme, denge ve farkındalık temelli bir yaklaşım önerir. Kullanılabilecek araçları ve girdi olarak verilebilecek bilgi türlerini belirleyen açık bir politika, araçlara erişimin kurumsal cihazlarla ve rol temelli sınırlanması ve çalışan eğitimi bu yaklaşımın parçalarıdır.

Tek sayfalık bir politika üç düzey tanımlayabilir: serbestçe çevrilebilen belgeler, maskelemeyle çevrilebilen belgeler ve yalnızca yerel modelle ya da insan çevirmenle çevrilebilen belgeler. "Satış sunumu serbest, ortaklık sözleşmesi maskeli, dava yazışması yerel" gibi somut örnekler soyut tanımlardan daha çok işe yarar. Kaynak kodun bir sohbet aracına yapıştırılmasıyla başlayan bir olayın nasıl şirket çapında kısıtlamaya dönüştüğünü Samsung vakası yazısında inceledik. Onaysız kullanım sürüyorsa sorun çoğu zaman onaylı aracın yavaş ya da yetersiz olmasıdır. Önce aracı iyileştirin.

Gizli belge yanlışlıkla yüklendiyse ne yapılır?

Hangi belgenin, ne zaman ve hangi hesapla yüklendiğini kayıtlardan çıkarın.
Belgedeki kişisel verileri ve ticari sırları listeleyin.
Sağlayıcıdan yazılı silme talep edin ve kullanılmama teyidi isteyin.
Karşı tarafa bildirim yükümlülüğü olup olmadığını sözleşmeden kontrol edin.
Olayın kişisel veri ihlali sayılıp sayılmadığını hukuk biriminizle değerlendirin.

Son adım süreye bağlıdır. Kurul'un 2019/10 sayılı kararı, Kanun'daki "en kısa sürede" bildirim ifadesini veri sorumlusunun ihlali öğrenmesinden itibaren en geç 72 saat olarak yorumlar. Aynı karar, ihlale ilişkin bilgilerin, etkilerinin ve alınan önlemlerin kayıt altına alınmasını ve Kurul incelemesine hazır tutulmasını, ayrıca kurum içinde kimin neyi bildireceğini gösteren bir veri ihlali müdahale planı hazırlanmasını ister. Olay kapandıktan sonra sınıflandırma rehberini ve çalışan eğitimini bu örnekle güncelleyin.

Sık Sorulan Sorular

Yapay zekâ çeviri servisine sözleşme yüklemek güvenli mi?

Servisin saklama ve yeniden kullanım koşullarına bağlıdır. Ücretli kurumsal planlarda girdilerin eğitimde kullanılmaması ve çeviriden sonra silinmesi sözleşmeyle güvenceye alınabilir. Ücretsiz planlarda bu taahhüt çoğu zaman yoktur. Gizli sözleşmeleri önce sınıflandırın, gerekiyorsa maskeleyin, koşulları yazılı doğrulayın ve hukuk biriminizle birlikte karar verin.

Kişisel veri içeren bir belgeyi çeviri aracına yüklemek yurt dışı aktarım mıdır?

Olabilir. KVKK'nın Temmuz 2026 tarihli avukatlara yönelik rehberi, sağlayıcının yurt dışında yerleşik olması, sunucularının ya da alt işleyenlerinin yurt dışında bulunması halinde belge yüklemenin KVKK m.9 kapsamında aktarım olabileceğini belirtir. Sağlayıcı yurt içindeyse bile m.8 kapsamında yurt içi aktarım değerlendirmesi gerekebilir.

Maskeleme çeviri kalitesini düşürür mü?

Çoğu durumda belirgin biçimde düşürmez. Yer tutucular cümle yapısını korur, servis dilbilgisini çevirir, özel adlar ve tutarlar sonradan geri yazılır. Sorun, yer tutucuların bağlamı bozduğu durumlarda çıkar. Çok taraflı sözleşmelerde ayırt edici ve tutarlı etiketler kullanın ve çeviriyi bir insan çevirmene son kez okutun.

Çalışanlar onaysız çeviri aracı kullanıyorsa ne yapılmalı?

KVKK'nın iş yeri dokümanı, üretken yapay zekâ araçlarını tamamen yasaklamanın çalışanları kontrol dışı kullanıma itebileceğini belirtir. Önce ihtiyacı karşılayan onaylı bir araç sunun, hangi belgenin dışarı gidemeyeceğini gösteren kısa bir sınıflandırma yayımlayın ve kısa bir eğitim verin. Ağ ve veri sızıntısı izleme kalan kullanımı görünür kılar.

Kaynaklar

İlgili Yazılar

Bu yazı, Türkiye odaklı Yapay Zekâ Güvenliği Rehberi'nin destek makalelerinden biridir.