Yapay Zekâ Aydınlatma Metni: KVKK Uyumlu Şablon

Yapay zekâ aydınlatma metni neden ayrı bir güncelleme ister?

Bir sohbet asistanı, özetleme ya da sınıflandırma özelliği eklemek veri akışını üç noktada değiştirir. Model sağlayıcısı yeni bir alıcı olarak devreye girer. Kullanıcının mesajı yeni amaçlarla işlenir. Sağlayıcıda ve kendi kayıt sistemlerinizde yeni saklama noktaları oluşur.

Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'in 5. maddesi, işleme amacı değiştiğinde veri işleme faaliyetinden önce bu amaç için ayrıca aydınlatma yapılmasını ister. Kişisel Verileri Koruma Kurumu'nun Kasım 2025'te yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi bir adım ileri gider. Rehber, sistemi ya da arayüzünü kullanmak için yapılan işleme ile mevcut sistem ve modellerin geliştirilmesi için yapılan işlemenin ayrı ve açıkça anlatılmasını önemli bulur. Kullanıcının bir yapay zekâ sistemiyle iletişim kurduğunu açıkça bilmesini de önerir.

Bu yazı, kullanıcıya ya da müşteriye yönelik dış bilgilendirmeyi ele alır. Çalışanlarınızın hangi yapay zekâ aracına hangi veriyi girebileceğini belirleyen iç kural ayrı bir belgedir. Onun için yapay zekâ kullanım politikası şablonu yazısına bakın.

Metinde hangi unsurlar zorunlu, hangileri önerilir?

KVKK m.10 beş unsur sayar. Tebliğ bunları ayrıntılandırır: hukuki sebep açıkça yazılır, aktarımın amacı ve alıcı grupları belirtilir, verinin otomatik ya da otomatik olmayan yollardan hangisiyle toplandığı söylenir. Genel ve muğlak ifadeler kullanılmaz.

Son iki satır m.10'un saydığı unsurlar arasında yer almaz. Yine de kullanıcının en çok sorduğu konulardır ve yurt dışı aktarım, alıcılar başlığının doğal parçasıdır.

"İşlenen veri" kısmını gerçekçi yazın. Sohbet kutusuna kullanıcı her türlü bilgiyi yazabilir. Serbest metin alanı varsa bunu belirtin ve gereksiz hassas bilgi paylaşılmamasını rica edin. Sağlayıcıya gitmeden önce kimlik numarası gibi alanları maskeliyorsanız bunu da yazın. Yöntem için KVKK uyumlu PII maskeleme yazısına bakabilirsiniz.

Hukuki sebebi her işleme adımı için nasıl yazmalısınız?

Rehber, bir dil modeli kullanılırken birden fazla bağımsız işleme faaliyeti doğabileceğini belirtir. Kullanıcı girdisinin modeli çalıştırmak için işlenmesi, aynı girdinin modeli geliştirmek için kullanılması ve üretilen çıktıların saklanması ayrı faaliyetlerdir. Her biri için ayrı bir işleme şartı belirlemek gerekebilir.

Rehberdeki örneklere göre sohbet botunun kullanıcı sorusunu yanıtlamak için girdiyi işlemesi sözleşmenin ifası şartına dayandırılabilir. Kullanıcı verisinin modeli geliştirmek için kullanılması ise sözleşmenin kurulması veya ifasıyla doğrudan ilgili sayılmaz. Bu işleme için ayrı bir şart aranır. Açık rıza dışında bir şart varsa ayrıca açık rıza istemek, rıza geri alındığında işlemenin duracağı izlenimini vereceği için yanıltıcı olabilir.

Açık rızaya dayanıyorsanız Tebliğ'in 5. maddesine uyun: aydınlatma ve açık rıza ayrı ayrı yapılır. Rehber, ürünü kullanmak için alınan açık rızanın modelin geliştirilmesini kapsamayacağını da vurgular.

Şablon bölüm nasıl görünür?

Aşağıdaki taslak, mevcut aydınlatma metnine eklenecek bir bölüm olarak tasarlandı. Köşeli parantezleri ürününüze göre doldurun. Hukuki incelemeden geçmeden yayımlamayın.

Yapay zekâ destekli [özellik adı] hakkında bilgilendirme

Veri sorumlusu: [Unvan, adres, iletişim adresi]
İşlenen veriler: [Özellik adı] kullandığınızda yazdığınız metin, yüklediğiniz
dosyalar ve [diğer alanlar] işlenir. Sistemin size verdiği yanıtlar da
hesabınızla ilişkilendirilerek saklanır.
Amaç: [Sorunuzu yanıtlamak / metni özetlemek / talebinizi ilgili birime
yönlendirmek].
Hukuki sebep: [Örnek: sözleşmenin kurulması veya ifası, KVKK m.5/2-c].
Model geliştirme: Girdileriniz [modelin eğitimi veya geliştirilmesi için
kullanılmaz / şu koşulla ve şu hukuki sebeple kullanılır: ...].
Toplama yöntemi: Veriler [uygulama arayüzü] üzerinden elektronik ortamda,
otomatik yollarla toplanır.
Alıcılar: Hizmet, bizim adımıza [sağlayıcı unvanı] tarafından sunulur.
Alt işleyici listesine [bağlantı] üzerinden ulaşabilirsiniz.
Yurt dışı aktarım: Veriler [ülke veya bölge] içinde işlenir. Aktarım
[aktarım dayanağı] çerçevesinde yapılır.
Saklama: Girdi ve yanıtlar [süre], hata kayıtları [süre] saklanır; süre
dolunca silinir veya anonim hale getirilir.
Otomatik analiz: [Varsa: özelliğin ürettiği sonucun hangi kararda kullanıldığı.]
Verilerinizin münhasıran otomatik analizi sonucu aleyhinize bir sonuç çıktığını
düşünüyorsanız itiraz edebilirsiniz.
Haklarınız: KVKK m.11'deki haklarınızı [başvuru kanalı] üzerinden
kullanabilirsiniz.

Taslağı doldururken şu kurallara uyun:

1. Sağlayıcı sözleşmesinde yazan gerçek durumu yazın, beklentiyi değil.
2. "Hizmetlerimizi geliştirmek" gibi geniş amaçlardan kaçının. Rehber, "ÜYZ sistemlerimizde kullanmak" gibi muğlak ifadeleri belirli amaç ilkesine aykırı görebilir.
3. Saklama süresini her kayıt türü için ayrı yazın ve sistemde otomatik silme olduğunu doğrulayın.
4. İnsan değerlendirmesi vaat ediyorsanız sürecin bunu gerçekten yaptığından emin olun.
5. Özellik kapatılabiliyorsa ya da yapay zekâ kullanmayan bir yol varsa belirtin.

Otomatik analize itiraz yolunun arkasındaki süreci KVKK otomatik karar itirazı yazısında ayrıntılandırdık.

Yurt dışı aktarımı metinde nasıl anlatmalısınız?

Rehber, Türkiye'deki bir veri sorumlusunun yurt dışında yerleşik bir hizmet sağlayıcı aracılığıyla üretken yapay zekâ kullanması ve bu yolla kişisel veri aktarması halinde aktarımın KVKK m.9'a ve 10.07.2024 tarihli Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'e uygun yapılması gerektiğini belirtir.

2024 değişikliğinden sonra m.9 üç kademeli bir yapı kurar:

• Yeterlilik kararı: Kurul'un ilgili ülke, sektör ya da uluslararası kuruluş hakkında verdiği karar.
• Uygun güvenceler: Yeterlilik kararı yoksa, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanabilmesi kaydıyla Kurul onaylı bağlayıcı şirket kuralları, Kurul'un ilan ettiği standart sözleşme ya da Kurul izniyle yazılı taahhütname. Standart sözleşme imzalandıktan sonra beş iş günü içinde Kurum'a bildirilir.
• Arızi haller: İlk iki yol yoksa ve aktarım arızi ise m.9/6'da sayılan haller.

Aydınlatma metninde hangi dayanağın kullanıldığını ve verinin hangi bölgede işlendiğini yazın. Sağlayıcının veri saklama ve bölge seçeneklerini sözleşme öncesinde sorgulamak için LLM sağlayıcısı veri saklama kontrolü yazısındaki soru listesini kullanabilirsiniz.

Metni nerede ve ne zaman göstermelisiniz?

KVKK m.10 bilgilendirmenin verinin elde edilmesi sırasında yapılmasını ister. Tebliğ'e göre aydınlatma ilgili kişinin talebine bağlı değildir ve yerine getirildiğini ispat yükü veri sorumlusundadır. Bu iki kural tasarımı belirler:

• Özelliğin ilk kullanıldığı ekranda kısa bir bilgi katmanı gösterin ve tam metne bağlantı verin. Kurum'un Aydınlatma Yükümlülüğünün Yerine Getirilmesi Rehberi, web sayfasında katmanlı aydınlatmayı örnek yöntemler arasında sayar.
• Metnin hangi sürümünün hangi tarihte gösterildiğini saklayın. İspat yükü sizde olduğu için sürüm geçmişi kanıttır.
• Veriyi kişiden değil başka bir kaynaktan alıyorsanız Tebliğ'in 6. maddesindeki zamanlamaya uyun: elde etmeden itibaren makul süre, ilk iletişim ya da ilk aktarım anı.

Yayımlamadan önce hangi kontrolleri yapmalısınız?

Aşağıdaki liste, metin ile ürünün gerçek davranışını karşılaştırmak içindir:

• Metindeki her sağlayıcı ve bölge güncel sözleşmeyle uyumlu mu?
• Her işleme adımı için hukuki sebep ayrı ayrı belirlendi mi?
• Model geliştirme amaçlı kullanım varsa ayrı satırda anlatıldı mı?
• Saklama süreleri sistemdeki silme işleriyle eşleşiyor mu?
• Başvuru kanalı çalışıyor ve yanıtlayacak sorumlu atanmış mı?
• Metin, özellik kullanılmadan önce görünür bir yerde mi?
• Sağlayıcı, model ya da veri türü değiştiğinde metnin gözden geçirilmesi geliştirme sürecine bağlandı mı?

Bu şablon bir başlangıç noktasıdır. Ürününüzün veri akış haritasını ve sağlayıcı sözleşmesini kişisel verilerin korunması alanında deneyimli bir hukuk danışmanına birlikte götürün.

Sık Sorulan Sorular

Yapay zekâ özelliği için ayrı bir aydınlatma metni gerekir mi?

Her zaman ayrı bir belge gerekmez. Ancak yeni bir işleme amacı doğuyorsa, Aydınlatma Tebliği uyarınca bu amaç için veri işlemeden önce ayrıca aydınlatma yapılır. Pratikte mevcut metne yapay zekâ özelliğine ait bir bölüm eklemek ve bu bölümü özelliğin ekranından da erişilebilir kılmak çoğu ürün için yeterli bir yoldur.

Kullanıcı girdileri model eğitiminde kullanılıyorsa bunu yazmak şart mı?

Evet. KVKK'nın Kasım 2025 tarihli rehberi, sistemi kullanmak için yapılan işleme ile modeli geliştirmek için yapılan işlemenin ayrı ve açıkça anlatılmasını önemli bulur. Bu iki faaliyet için hukuki sebep de ayrı değerlendirilir. Sağlayıcı sözleşmesindeki gerçek durumu yazın ve emin değilseniz sağlayıcıdan yazılı teyit isteyin.

Aydınlatma metninde saklama süresi yazmak zorunlu mu?

KVKK m.10 saklama süresini zorunlu unsurlar arasında saymaz. Ancak Kanun'un 4. maddesi verilerin amaç için gerekli süre kadar tutulmasını ister ve kullanıcılar en çok bu soruyu sorar. Girdi, yanıt ve hata kayıtları için ayrı süre yazmak iyi bir uygulamadır. Yazdığınız sürenin sistemde otomatik silmeyle karşılandığını doğrulayın.

Açık rıza alıyorsak aydınlatma metni aynı onay kutusunda olabilir mi?

Olmamalı. Aydınlatma Tebliği'nin 5. maddesi, işleme açık rızaya dayanıyorsa aydınlatma ile açık rızanın ayrı ayrı yerine getirilmesini ister. Ayrıca KVKK'nın rehberi, işleme başka bir hukuki sebebe dayanabiliyorsa ayrıca açık rıza istenmesini yanıltıcı bulur. Önce uygun hukuki sebebi belirleyin, açık rızayı yalnızca gerekiyorsa ayrı bir adımda alın.

Kaynaklar

• Mevzuat Bilgi Sistemi: 6698 sayılı Kişisel Verilerin Korunması Kanunu
• KVKK: Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ
• KVKK: Aydınlatma Yükümlülüğünün Yerine Getirilmesi Rehberi
• KVKK: Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, Kasım 2025
• Resmî Gazete: Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik

İlgili Yazılar

• Güvenlik Odaklı Yapay Zekâ Kullanım Politikası Şablonu KVKK, Shadow AI ve prompt injection maddeleriyle indirilebilir iskele
• KVKK Otomatik Karar İtirazı: Yapay Zekâ Kararları
• LLM Sağlayıcı Veri Saklama Politikaları Karşılaştırması
• KVKK ve LLM Güvenliği: Yapay Zekâ Projelerinde Kişisel Veri Uyumluluğu