KVKK ve Uyum

KVKK Otomatik Karar İtirazı: Yapay Zekâ Kararları

KVKK otomatik karar itirazı m.11/1-g'de düzenlenir. Hakkın kapsamı, başvurunun 30 günde yanıtlanması, insan incelemesi ve karar kaydı için kurumsal rehber.

Fevzi Ege YurtsevenlerYapay Zekâ Güvenliği Araştırmacısı · AltaySec Kurucusu

13 Ekim 2026 · altaysec.com.tr

KVKK otomatik karar itirazı, bir yapay zekâ sisteminin kişinin verilerini yalnızca otomatik olarak analiz edip onun aleyhine bir sonuç üretmesi halinde kişinin bu sonuca itiraz etmesini sağlayan haktır. Dayanağı 6698 sayılı Kanun'un 11. maddesinin birinci fıkrasının (g) bendidir. Başvuru veri sorumlusuna yapılır ve en geç 30 gün içinde yazılı ya da elektronik ortamda yanıtlanır. Kurumun bu yanıtı verebilmesi için kararın gerekçesini, kullanılan veriyi ve model sürümünü önceden kayda geçirmiş olması gerekir.

KVKK otomatik karar itirazı hakkı tam olarak neyi kapsar?

Kanun metni şöyledir: ilgili kişi, "işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme" hakkına sahiptir. Hakkın üç unsuru vardır ve üçü birlikte aranır.

Münhasıran otomatik analiz: Sonuç, verilerin yalnızca otomatik sistemlerle analiz edilmesinden doğmuştur.
Aleyhe sonuç: Kişi için olumsuz bir durum ortaya çıkmıştır. Kredi başvurusunun reddi, adayın elenmesi, hesabın kısıtlanması ya da risk puanının yükselmesi tipik örneklerdir.
İtiraz: Kişi bu sonuca karşı veri sorumlusuna başvurur.

Hak bir yasak değildir. Kanun, otomatik karar vermeyi engellemez. Kişiye, ortaya çıkan aleyhe sonucu sorgulatma imkânı tanır. Kişisel Verileri Koruma Kurumu'nun Kasım 2025'te yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, bu itirazın yalnızca sonuca değil, kararın dayandığı temellerin yeniden değerlendirilmesine de imkân veren bir araç olarak görülebileceğini belirtir. Rehber aynı yerde karar süreçlerinin gerektiğinde insan müdahalesine açık yürütülmesini destekler.

Bu hakkın genel çerçevesini Yapay Zekâ ve KVKK: Kurumsal Sorular yazısında kısaca ele aldık. Bu yazı itirazın kurum içinde nasıl alınacağına, inceleneceğine ve yanıtlanacağına odaklanır.

KVKK m.11/1-g, GDPR ve AB Yapay Zekâ Tüzüğü nasıl ayrışır?

Türk kurumlar sık sık AB metinlerindeki kavramları KVKK'ya taşır. Bu, hatalı süreç tasarımına yol açabilir. Üç düzenleme farklı şeyler söyler.

Düzenleme	Hakkın niteliği	Kimi bağlar
KVKK m.11/1-g	Münhasıran otomatik analizden doğan aleyhe sonuca itiraz	Türkiye'de kişisel veri işleyen veri sorumluları
GDPR m.22	Yalnızca otomatik işlemeye dayanan ve kişiyi önemli ölçüde etkileyen karara tabi olmama; bazı hallerde insan müdahalesi isteme, görüş bildirme ve karara itiraz güvencesi	AB'deki kişilere ilişkin veri işleyenler
AB Yapay Zekâ Tüzüğü m.86	Ek III'teki yüksek riskli sistemlere dayanan kararlar için açıklama isteme hakkı	Bu sistemleri kullanan uygulayıcılar

KVKK'da insan müdahalesi talep etme hakkı ayrıca sayılmaz. Ancak itirazı anlamlı biçimde incelemek, pratikte bir insanın kararı yeniden değerlendirmesini gerektirir. AB Yapay Zekâ Tüzüğü'nün yüksek risk hükümlerinin uygulama takvimi değişti. Güncel tarihler için EU AI Act 2026 takvimi yazısına bakın.

Kararı bir insan onaylıyorsa hak ortadan kalkar mı?

Kanun "münhasıran" ölçütünü ayrıca tanımlamaz. Bu yüzden insanın sürece katılımının biçimi belirleyicidir. Sistem önerisini hiç sorgulamadan imzalayan bir onay adımı, kararı fiilen otomatik olmaktan çıkarmayabilir.

Kurum'un Şubat 2026 tarihli İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı dokümanı, kullanıcıların otomatik sistem çıktılarını yeterince sorgulamadan doğru kabul etmesini "otomasyon ön yargısı" olarak adlandırır. Doküman, bu çıktıların nihai kararın dayanağı olarak değil, insan değerlendirmesi altında destekleyici unsur olarak ele alınmasını önerir.

Anlamlı bir insan incelemesi için şu dört koşulu arayın:

Yetki: İnceleyen kişi sonucu değiştirebilir ve bunu yaptığında ek onay gerekmez.
Bilgi: Karara etki eden girdileri, eksik ya da hatalı olabilecek alanları ve modelin öne çıkan etkenlerini görebilir.
Zaman: İş yükü, her dosyaya gerçekten bakmaya izin verir. Onay oranı yüzde yüze yakınsa bu bir uyarı işaretidir.
Kayıt: İnceleyen, kararını ve gerekçesini kendi adıyla yazar.

Bu koşullar yoksa süreci itiraza açık kabul etmek daha güvenli bir varsayımdır.

İtiraz başvurusu nasıl alınır ve 30 günde nasıl sonuçlandırılır?

İlgili kişi talebini Kanun'un 13. maddesine göre yazılı olarak ya da Kurul'un belirlediği diğer yöntemlerle iletir. Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ bu yöntemleri sayar: yazılı başvuru, kayıtlı elektronik posta, güvenli elektronik imza, mobil imza, kişinin daha önce bildirdiği ve sistemde kayıtlı e-posta adresi ya da başvuru amacına yönelik bir yazılım veya uygulama.

Veri sorumlusu talebi en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırır. Ayrı bir maliyet doğarsa Kurul tarifesindeki ücret alınabilir.

Aşama	Kurumun yapacağı	Sık görülen eksik
Kanal	Aydınlatma metninde ve karar ekranında başvuru yolunu gösterir	Kanal yalnızca genel iletişim formu
Kayıt	Başvuru tarihini ve talep konusunu sisteme işler	30 günlük süre takip edilmez
Kimlik	Tebliğ'deki bilgilerle orantılı doğrulama yapar	Gereksiz belge istenir
İnceleme	Kararı, modelden bağımsız yetkili bir kişiye yeniden değerlendirtir	Aynı skor yeniden okunur
Yanıt	Kabul eder ya da gerekçesini açıklayarak reddeder	Şablon cevap
Öğrenme	Sonucu neden koduyla kaydeder	İtirazlar modele geri beslenmez

Başvuru kanalını kişinin karşılaştığı yere koyun. Olumsuz sonucun bildirildiği ekranda ya da e-postada itiraz yolunu göstermek, hakkın kullanılabilmesinin en basit koşuludur. Aydınlatma metninde bu yolu nasıl anlatacağınızı yapay zekâ özelliği için aydınlatma metni şablonu yazısında ele aldık.

Yanıtta hangi unsurlar bulunmalı?

Kanun'un 13. maddesi uyarınca veri sorumlusu talebi kabul eder ya da gerekçesini açıklayarak reddeder ve cevabı yazılı olarak veya elektronik ortamda bildirir. Kurum, 1 Ekim 2026 tarihli kamuoyu duyurusunda telefon görüşmesi ya da yüz yüze bilgilendirme gibi sözlü yöntemlerin bu cevap yerine geçmediğini hatırlattı. Duyuru, reddedilen taleplerin gerekçelerinin açık ve anlaşılır biçimde yazılmasını da ister.

Otomatik karar itirazına verilen yanıtta şu sorular cevaplanmalıdır:

Başvuru hangi tarihte alındı?
Kararı kim, hangi bilgilere bakarak yeniden inceledi?
Sonucu belirleyen başlıca etkenler nelerdi?
Karar korundu mu, değiştirildi mi? Değiştiyse düzeltme nasıl uygulanacak?
Kişi sonuçtan memnun değilse hangi yola başvurabilir?

Son soru önemlidir. Kanun'un 14. maddesine göre başvurunun reddedilmesi, cevabın yetersiz bulunması ya da süresinde cevap verilmemesi halinde kişi, cevabı öğrendiği tarihten itibaren 30 gün ve her halde başvuru tarihinden itibaren 60 gün içinde Kurul'a şikâyette bulunabilir. Bu yola gitmeden önce veri sorumlusuna başvurulmuş olması gerekir.

Karar kaydı itirazı incelemeye nasıl hazır tutar?

Kayıt yoksa inceleme yapılamaz. "Karar hangi model sürümüyle, hangi girdiyle ve hangi eşikle verildi" sorusu yanıtlanamıyorsa sonuç yeniden üretilemez. Rehber de veri işleme süreçlerine ilişkin kayıtların sistematik tutulmasının ve izlenebilirliğin başvuruların zamanında yanıtlanmasını kolaylaştıracağını belirtir.

Her otomatik karar için en az şu alanları saklayın:

Karar kimliği, tarih ve kişiyle eşleşen başvuru numarası
Model ya da kural seti sürümü ve kullanılan eşik
Girdi verisinin özeti ve veri kaynakları
Sonucu en çok etkileyen etkenler
İnsan incelemesi yapıldıysa inceleyen ve gerekçesi

Kayıtların kendisi de kişisel veridir. Saklama süresini işleme amacıyla sınırlayın ve bu süreyi saklama ve imha politikasına yazın.

Tedarikçi modeli kullanan kurum neyi sözleşmeye bağlamalı?

Rehber, veri sorumlusu ve veri işleyen rollerinin sözleşme ifadelerine göre değil, tarafların fiili kontrolüne göre belirleneceğini vurgular. Hazır bir modeli kendi sürecine entegre eden ve hangi verinin hangi amaçla işleneceğine karar veren kurum, çoğu durumda veri sorumlusudur. Kanun'un 12. maddesi ise veri başka biri tarafından işlendiğinde güvenlik tedbirleri bakımından iki tarafı müştereken sorumlu tutar.

Sözleşmede şu başlıkları arayın:

Tek bir kararın başlıca etkenlerini kurumun talebi üzerine sağlama yükümlülüğü
İnceleme için gereken girdi ve çıktı kayıtlarına erişim
Model değişikliklerinin önceden bildirilmesi
Kayıt saklama süresi ve silme yöntemi
Veri ihlali halinde gecikmesiz bildirim

Tedarikçi bu bilgileri veremiyorsa, kurum 30 gün içinde gerekçeli bir yanıt da veremez.

Sistemi canlıya almadan önce hangi sorular yanıtlanmalı?

Otomatik karar üreten her sistem için aşağıdaki soruların yazılı yanıtı hazır olmalıdır:

Sistem kişiler hakkında aleyhe sonuç doğurabilecek bir karar veriyor mu?
Karar zincirinde gerçek yetkiye sahip bir insan var mı?
Aydınlatma metni otomatik analizi ve itiraz yolunu anlatıyor mu?
Başvuru kanalı, sorumlusu ve 30 günlük süre takibi tanımlı mı?
Tek bir kararın gerekçesi kişinin anlayacağı dilde çıkarılabiliyor mu?
Haklı bulunan itirazlar neden koduyla kaydedilip modele geri besleniyor mu?

İşe alım, kredi ve sigorta gibi alanlarda bu sorular daha ağır bir etki değerlendirmesinin parçası olmalıdır. Yöntem için yapay zekâ etki değerlendirmesi yazısına, işe alıma özgü riskler için işe alımda yapay zekâ yazısına bakabilirsiniz. Belirli bir karar sürecinin m.11/1-g kapsamına girip girmediğini hukuk danışmanınızla netleştirin.

Sık Sorulan Sorular

Otomatik karara itiraz hakkı hangi maddede düzenlenir?

Hak, 6698 sayılı Kanun'un 11. maddesinin birinci fıkrasının (g) bendindedir. İlgili kişi, işlenen verilerinin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kendi aleyhine bir sonucun ortaya çıkmasına itiraz edebilir. Başvuru, Kanun'un 13. maddesine göre veri sorumlusuna yapılır. Somut olayda hakkın uygulanıp uygulanmadığı hukuki değerlendirme gerektirir.

İtiraz başvurusu ne kadar sürede yanıtlanmalıdır?

Kanun'un 13. maddesine göre veri sorumlusu başvuruyu talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. Ayrı bir maliyet doğarsa Kurul tarifesindeki ücret alınabilir. Cevap yazılı olarak ya da elektronik ortamda verilir. Kurum, telefonla ya da yüz yüze verilen sözlü bilgilendirmenin cevap yerine geçmediğini 1 Ekim 2026 tarihli duyurusunda hatırlattı.

Kararı bir insan onaylıyorsa itiraz hakkı ortadan kalkar mı?

Kanun münhasıran otomatik analiz ölçütünü ayrıca tanımlamaz. İnsanın yalnızca sistem çıktısını onayladığı, veriyi görmediği ve sonucu değiştirme yetkisi olmadığı süreçlerde kararın fiilen otomatik sayılma riski vardır. Temkinli kurumlar bu süreçleri itiraza açık kabul eder ve inceleyene gerçek yetki tanır. Somut süreç için hukuk danışmanından görüş alınmalıdır.

KVKK'daki itiraz hakkı GDPR madde 22 ile aynı mıdır?

Aynı değildir. GDPR madde 22, kişiye yalnızca otomatik işlemeye dayanan ve onu önemli ölçüde etkileyen bir karara tabi olmama hakkı verir ve bazı hallerde insan müdahalesi isteme güvencesi öngörür. KVKK m.11/1-g ise ortaya çıkan aleyhe sonuca itiraz etme hakkıdır. AB'de faaliyet gösteren kurumlar iki düzenlemeyi birlikte değerlendirmelidir.

Yapay zekâ tedarikçisi kullanmak kurumu sorumluluktan kurtarır mı?

Kurtarmaz. Kişisel verilerin işleme amaç ve vasıtalarını belirleyen kurum veri sorumlusudur ve başvuruyu kendisi sonuçlandırır. Kanun'un 12. maddesi, veri adına başka bir kişi tarafından işlendiğinde güvenlik tedbirleri bakımından iki tarafı müştereken sorumlu tutar. Sözleşmede karar gerekçesi, kayıt erişimi ve inceleme desteği açıkça yazılmalıdır.

Kaynaklar

İlgili Yazılar

Bu yazı, Türkiye odaklı Yapay Zekâ Güvenliği Rehberi'nin destek makalelerinden biridir.