KVKK ve Uyum

Toplantı Kaydı KVKK Uyumu: Yapay Zekâ Not Alıcılar

Toplantı kaydı KVKK ve TCK açısından nasıl yönetilir? Yapay zekâ not alıcılarda bilgilendirme, kayıt yeri, saklama, erişim izni ve gölge araç kontrolleri.

Fevzi Ege YurtsevenlerYapay Zekâ Güvenliği Araştırmacısı · AltaySec Kurucusu

13 Ekim 2026 · altaysec.com.tr

Toplantı kaydı KVKK kapsamında kişisel veri işlemesidir: yapay zekâ not alıcı katılımcıların sesini, adını ve söylediklerini kaydeder, yazıya döker ve özetler. Bu yüzden katılımcılar kayıt başlamadan bilgilendirilmeli, itiraz edene kayıt durdurulmalı, kaydın nerede ve ne kadar süre tutulduğu bilinmeli ve erişim katılımcılarla sınırlanmalıdır. Ayrıca rıza olmadan aleni olmayan bir konuşmayı kaydetmek Türk Ceza Kanunu'nun 133. maddesi kapsamında suç oluşturabilir.

Yapay zekâ not alıcı hangi verileri toplar?

Not alıcı araçlar ses kaydını, konuşmacıların kimliğini, transkripti, özeti, aksiyon listesini ve çoğu zaman paylaşılan ekranları işler. Kişisel Verileri Koruma Kurumu'nun Kasım 2025 tarihli Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, eğitim kayıtlarını analiz edip özet üreten bir aracı örnek verir. Kayıtlarda katılımcıların ad, unvan, görüntü ve ses kaydı bulunduğu için faaliyet kişisel veri işlemesi sayılır ve KVKK'ya göre değerlendirilir.

Üç tür araç ayırt edilmelidir:

Soru	Platform içi özet	Harici bot	Yerel uygulama
Veri nerede	Toplantı platformu sağlayıcısında	Üçüncü tarafın bulutunda	Cihazda ya da kurum sunucusunda
Kurumun görünürlüğü	Yönetici panelinden	Çoğu zaman sınırlı	Yüksek
Sözleşme güvencesi	Mevcut kurumsal sözleşme	Ayrı sözleşme gerekir	Kurum kontrolünde
Silme kontrolü	Orta	Zayıf olabilir	Güçlü
Bakım yükü	Düşük	Düşük	Yüksek

Harici botlar en az görünür olanlardır. Katılımcı listesinde ek bir isim olarak belirir ve herkes verinin nereye gittiğini bilmez. Türetilmiş kayıtlar da önemlidir. Kaydı sildiğinizde özet, aksiyon listesi ve takvim ya da sohbet kanalına gönderilen kopyalar silinmiyorsa veri hâlâ dolaşımdadır.

Toplantı kaydı KVKK ve ceza hukuku açısından neden ayrı dikkat ister?

KVKK m.10, veri sorumlusunun bilgilendirmeyi veri elde edilirken yapmasını ister. Bilgilendirme; veri sorumlusunu, işleme amacını, aktarılan alıcıları, toplama yöntemini ve hukuki sebebi ve ilgili kişinin haklarını kapsar.

Toplantı kaydının ikinci boyutu ceza hukukudur. TCK m.133 iki durumu ayrı düzenler. Birinci fıkra, kişiler arasındaki aleni olmayan konuşmaları taraflardan herhangi birinin rızası olmaksızın ses alma cihazıyla kaydetmeyi suç sayar. İkinci fıkra, kişinin katıldığı aleni olmayan bir söyleşiyi diğer konuşanların rızası olmadan kaydetmesini ayrıca suç olarak düzenler. Not alıcı bir bot toplantıya katılımcılardan biri adına girip kayıt aldığında bu hüküm gündeme gelebilir. Somut durumun değerlendirmesi için hukuk birimine başvurun. Uygulamadaki güvenli varsayım, tüm katılımcıların kayıttan önce haberdar olması ve itiraz edenin sesinin kaydedilmemesidir.

Katılımcılar nasıl bilgilendirilmeli?

Platformun "kayıt başladı" uyarısı tek başına yeterli değildir. Bilgilendirme toplantı davetinde başlar ve toplantının ilk dakikasında sözlü olarak tekrarlanır. Davet metninde şunlar bulunmalıdır:

Kaydın ve transkriptin yapay zekâ ile işleneceği.
Amaç: not çıkarma, aksiyon takibi ya da arşiv.
Kayıtların saklandığı yer, saklama süresi ve yurt dışına aktarım olup olmadığı.
Kayda erişebilecek kişiler.
Kayda itiraz yolu ve itiraz halinde ne olacağı.
Haklar için başvuru adresi.

Çalışanlar açısından Kurul'un 16.09.2026 tarihli ve 2026/2035 sayılı ilke kararı yol gösterici bir çerçeve sunar. Karar, işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetimiyle ilgilidir. Genel nitelikli bir bildirimin aydınlatma yükümlülüğünü kendiliğinden karşılamadığını ve iş ilişkisindeki güç dengesi nedeniyle çalışanın açık rızasının kural olarak öncelikli dayanak sayılamayacağını vurgular. Toplantı kayıtları için de bilgilendirmeyi somut tutmak ve hukuki sebebi açık rızaya dayandırmadan önce diğer şartları değerlendirmek gerekir.

Kayıt ve transkript nerede, ne kadar saklanmalı?

KVKK m.4, verilerin işlendikleri amaç için gerekli süre kadar muhafaza edilmesini ister. Bulut tabanlı araçlar kaydı sağlayıcının sunucularında, çoğu zaman yurt dışında tutar. Bu durumda aktarım KVKK m.9'a göre değerlendirilir.

Saklamada şu düzen işe yarar:

Ham ses kaydını, doğrulanmış özet çıkarıldıktan sonra kısa sürede silin.
Transkript ve özet için ayrı süre belirleyin ve otomatik silme kurun.
Takvim, sohbet kanalı ya da müşteri kayıt sistemine gönderilen kopyaları envantere ekleyin.
Yedeklerin ne kadar süre tutulduğunu sağlayıcıya yazılı olarak sorun.

Her entegrasyon ayrı bir alıcıdır. Özetin otomatik olarak bir sohbet kanalına gönderilmesi, verinin yeni bir yere kopyalanması demektir. Saklama ve imha politikası hazırlamakla yükümlü bir veri sorumlusuysanız toplantı kayıtlarını da bu politikaya ekleyin. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e göre periyodik imha aralığı altı ayı geçemez. Süresi dolan kayıt bir sonraki periyodik imhada silinir ya da anonim hale getirilir.

Sağlayıcının eğitim ve paylaşım koşulları nasıl sınırlanır?

Kurum'un Şubat 2026 tarihli İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı dokümanı, toplantı notlarının oluşturulmasını iş yerlerindeki yaygın kullanım örnekleri arasında sayar. Aynı doküman, toplantı notları ve iç yazışmaların kurumun bilgisi dışında üçüncü taraf araçlarla paylaşılmasını gölge yapay zekâ riski olarak tanımlar. Bu tür paylaşılan bilgilerin bazı durumlarda model geliştirme süreçlerinde kullanılabileceğine de dikkat çeker.

Satın almadan önce şu soruların yazılı yanıtını alın:

Kayıtlar ve transkriptler sağlayıcının modellerini eğitmek için kullanılıyor mu?
Veriler hangi bölgede işleniyor ve alt işleyiciler kimler?
Silinen kayıt sağlayıcıda ve yedeklerde ne kadar kalıyor?
Veri ihlalinde bildirim süresi ve kanalı nedir?

Ardından toplantı platformunda harici botların girişini yönetici ayarıyla kısıtlayın ve kayıt başlatma yetkisini toplantı sahibine verin. Microsoft 365 kullanan kurumlar için Teams toplantılarındaki Copilot özetlerine özgü noktaları Microsoft 365 Copilot güvenlik ve KVKK yazısında ele aldık. Çalışanların kendi hesaplarıyla kullandığı not alıcıları görünür kılmak için gölge yapay zekâ tespiti yazısındaki yöntemlerden yararlanabilirsiniz.

Erişim izinleri nasıl kurulmalı?

En az yetki ilkesi burada doğrudan uygulanır. Katılımcılar okuyabilir, yalnızca toplantı sahibi silebilir ya da paylaşım ayarını değiştirebilir. 2026/2035 sayılı ilke kararının iş iletişim kanallarının denetimi için öngördüğü erişim kuralları burada da iyi bir ölçüttür: erişimin görev ve yetki verilmiş belli sayıda personelle sınırlanması, erişim kayıtlarının tutulması ve iş ilişkisi sona erdiğinde verilerin süresiz erişilebilir kalmaması.

Erişim kontrol listesi:

Varsayılan paylaşım "yalnızca katılımcılar" olarak kilitli mi?
Dış katılımcılar ham transkripte erişebiliyor mu?
Yönetici erişimleri kaydediliyor ve düzenli gözden geçiriliyor mu?
Ayrılan çalışanların hesapları ve bağlı not alıcıları kapatılıyor mu?
Araç tek oturum açma ve çok faktörlü doğrulamaya bağlı mı?
Transkriptte arama yapan kişilerin kimliği ve tarihi kayıt altında mı?

Kurumsal toplantı kaydı politikası neleri içermeli?

Kısa ve uygulanabilir bir politika, toplantı sahibi ile katılımcının aynı beklentiyi taşımasını sağlar. Belirsizlik, habersiz kayıtların ve kontrolsüz paylaşımların başlıca nedenidir. Politikada şu bölümler yer almalıdır:

Kapsam: İç toplantılar, müşteri ve tedarikçi görüşmeleri, aday görüşmeleri.
Araçlar: Onaylı not alıcıların listesi ve yasak olanlar.
Bilgilendirme: Davet metnine eklenecek standart cümleler ve dış katılımcının itiraz yolu.
Saklama: Ham ses, transkript ve özet için ayrı süreler.
Olay: Yetkisiz bir botun toplantıya girmesi halinde kimin botu çıkaracağı, kaydın nerede durduğunun nasıl tespit edileceği ve katılımcılara nasıl bilgi verileceği.

Politikayı yılda bir kez kısa bir tatbikatla sınayın: bir test toplantısına onaysız bir bot ekleyin ve fark edilme süresini ölçün. Sürekli ses kaydının yapıldığı müşteri hizmetleri kanallarında kurallar farklılaşır. Bu senaryo için çağrı merkezi ses kaydı ve KVKK yazısına bakın.

Hangi toplantılarda not alıcı kapalı kalmalı?

Hukuki strateji görüşmeleri, disiplin ve performans görüşmeleri, sağlık ya da maaş gibi özel bilgiler içeren toplantılar, yönetim kurulu gündemi ve patent öncesi buluş tartışmaları yüksek risklidir. Bu toplantılarda varsayılan "kapalı" olmalıdır. Toplantı davetine "yapay zekâ not alıcı: açık ya da kapalı" etiketi eklemek, katılımcının kararını kolaylaştırır.

İşe alım görüşmeleri ayrıca dikkat ister. Görüşme kaydının yapay zekâ ile değerlendirilmesi aday hakkında karar sürecine girer ve otomatik analizden doğan aleyhe sonuca itiraz hakkını gündeme getirebilir. Bu senaryoyu işe alımda yapay zekâ yazısında ele aldık.

Sık Sorulan Sorular

Toplantıyı yapay zekâ ile kaydetmeden önce katılımcılara haber vermek gerekir mi?

Evet. Kayıt ve transkript kişisel veri işlemesidir ve KVKK m.10 bilgilendirmenin veri elde edilirken yapılmasını ister. Ayrıca TCK m.133, katılınan aleni olmayan bir konuşmanın diğer konuşanların rızası olmadan kaydedilmesini suç olarak düzenler. Davet metninde ve toplantı başında kaydı açıkça söyleyin, itiraz eden olursa kaydı başlatmayın ve hukuk biriminize danışın.

Transkriptler sağlayıcının modelini eğitmek için kullanılabilir mi?

Plan türüne, hesap ayarına ve sözleşmeye bağlıdır. KVKK'nın iş yeri dokümanı, üçüncü taraf araçlarla paylaşılan bilgilerin bazı durumlarda model geliştirme süreçlerinde kullanılabileceğine dikkat çeker. Satın almadan önce eğitimde kullanmama taahhüdünü sözleşmede arayın, yazılı değilse güvence varsaymayın ve yönetici panelinden ilgili ayarın kapalı olduğunu doğrulayın.

Toplantı notlarına kimler erişebilmeli?

Erişim, toplantıya katılanlarla ve işi gereği ihtiyaç duyanlarla sınırlı olmalıdır. Bağlantıya sahip herkesin görebildiği paylaşım ayarını kapatın, dış katılımcılara ham transkript yerine onaylanmış özet gönderin ve yönetici erişimlerini kayıt altına alın. Ayrılan çalışanların hesaplarını ve bağlı not alıcılarını kapatmayı çıkış sürecine ekleyin.

Hangi toplantılarda yapay zekâ not alıcı kullanılmamalı?

Hukuki strateji görüşmeleri, disiplin ve performans görüşmeleri, sağlık ya da maaş gibi özel bilgiler içeren toplantılar, yönetim kurulu gündemi ve patent öncesi buluş tartışmaları yüksek risklidir. Bu toplantıları not alıcı olmadan yapın ya da yalnızca kurum içinde çalışan, erişimi kayıtlı ve sözleşmeyle güvence altına alınmış bir araç kullanın.

Kaynaklar

İlgili Yazılar

Bu yazı, Türkiye odaklı Yapay Zekâ Güvenliği Rehberi'nin destek makalelerinden biridir.