Türkiye'de Yapay Zekâ Güvenliği Kaynakları Rehberi

Türkiye'de yapay zekâ güvenliği kaynakları hangi soruya cevap verir?

Kaynak seçimi, cevaplamak istediğiniz soruya bağlıdır. Aşağıdaki tablo Ekim 2026 itibarıyla ana kaynakları ve bağlayıcılık durumlarını eşleştirir.

Hukuki yükümlülük ile iyi uygulama referansı farklı şeylerdir. OWASP listesine uymak yasal bir güvence vermez, ama özen gösterildiğinin kanıtıdır. Mevzuata uymak ise asgari şarttır.

KVKK yapay zekâ için hangi belgeleri yayımladı?

KVKK'nın yapay zekâya doğrudan değinen iki temel belgesi vardır. Birincisi, 24 Kasım 2025'te yayımlanan "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)". Rehber, üretken yapay zekânın içerik üretim sürecini, yaşam döngüsünü ve risklerini anlatır, bu sistemlerle yapılan kişisel veri işlemeyi 6698 sayılı Kanun çerçevesinde değerlendirir ve bireyler ile ebeveynler için öneriler sunar. İkincisi, "Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler" belgesidir (KVKK Yayınları No: 76). Belge genel tavsiyelerin yanında geliştiriciler, üreticiler ve servis sağlayıcılar ile karar alıcılar için ayrı bölümler içerir.

Kanunun kendisinde yapay zekâ ürünlerini doğrudan etkileyen dört hüküm öne çıkar:

• Madde 11(1)(g): İlgili kişi, verilerinin münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhine çıkan bir sonuca itiraz edebilir.
• Madde 13(2): Başvurular en geç otuz gün içinde sonuçlandırılır.
• Madde 12(5): İhlal "en kısa sürede" ilgilisine ve Kurul'a bildirilir. Kurul, 2019/10 sayılı kararıyla bu süreyi ihlalin öğrenilmesinden itibaren en geç 72 saat olarak yorumlamıştır.
• Madde 9: 2024'te değişen yurt dışı aktarım hükmü. Yeterlilik kararı yoksa standart sözleşme gibi uygun güvenceler aranır ve standart sözleşme beş iş günü içinde Kurul'a bildirilir.

Yurt dışındaki bir LLM sağlayıcısına kişisel veri gönderen her ürün son madde ile karşılaşır. Bu hükümlerin LLM projelerine uygulanması KVKK ve LLM güvenliği yazısında anlatılır.

7545 sayılı Kanun ve Siber Güvenlik Başkanlığı ne getiriyor?

7545 sayılı Siber Güvenlik Kanunu 12 Mart 2025'te kabul edilmiş ve 19 Mart 2025 tarihli, 32846 sayılı Resmî Gazete'de yayımlanmıştır. Kanun; siber uzayda varlık gösteren, faaliyet yürüten ve hizmet sunan kamu kurumlarını, gerçek ve tüzel kişileri kapsar. Siber Güvenlik Başkanlığı ise 8 Ocak 2025'te yayımlanan 177 sayılı Cumhurbaşkanlığı Kararnamesi ile kurulmuştur.

Kurumlar için en pratik hüküm, Kanun'un 7. maddesinin birinci fıkrasının (b) bendidir: Bilişim sistemleri kullanarak hizmet sunan ve veri işleyenler, hizmet sundukları alanda tespit ettikleri zafiyet veya siber olayları gecikmeksizin Başkanlığa bildirmekle yükümlüdür. Kanun ayrıca SOME'lerin kurulmasını, denetlenmesini ve tatbikatlarla olgunluklarının ölçülmesini Başkanlığın görevleri arasında sayar.

Yapay zekâ sistemleri bu Kanun'un dışında değildir. Bir LLM uygulamasındaki zafiyet ya da yapay zekâ kaynaklı bir siber olay da bildirim kapsamına girebilir. Kanunun yapay zekâ sistemlerine etkisi 7545 sayılı Kanun ve yapay zekâ yazısında ayrıntılı ele alınır.

USOM tarafında önemli bir değişiklik vardır. USOM'un duyurusuna göre CVE başvuruları, siber olay bildirim süreçleri, zararlı bağlantı listeleri ve güvenlik bildirimleri artık Siber Güvenlik Başkanlığı'nın siberguvenlik.gov.tr adresinden yayımlanmaktadır. Zararlı bağlantı listelerinin .txt biçiminde paylaşımı 1 Haziran 2026 itibarıyla sona ermiştir, veriler API üzerinden alınmalıdır. Güvenlik ürünlerinizde USOM listesini kullanıyorsanız entegrasyonu kontrol edin.

Siber olay, dolandırıcılık ya da zararlı bağlantı nereye bildirilir?

Bildirim yolu olayın türüne göre değişir. Kriz anında aramamak için bu tabloyu olay planınıza ekleyin.

Bilişim suçları Türk Ceza Kanunu'nda düzenlenir: 243. madde bilişim sistemine girmeyi, 244. madde sistemi engelleme, bozma, verileri yok etme veya değiştirmeyi, 245. madde banka veya kredi kartlarının kötüye kullanılmasını cezalandırır. Yapay zekâ ile işlenen bir saldırı da bu hükümler çerçevesinde değerlendirilir. Somut olaylarda kurumunuzun hukuk birimiyle çalışın.

BDDK yapay zekâ kullanan bankalardan ne bekliyor?

Bankalar için temel metin, BDDK'nın 15 Mart 2020 tarihli Resmî Gazete'de yayımlanan Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği'dir. Yönetmelik, bilgi sistemlerinin yönetimi, elektronik bankacılık hizmetleri ve bunlara ilişkin risklerin yönetiminde asgari usul ve esasları ve kurulması gereken kontrolleri düzenler.

LLM tabanlı bir müşteri asistanı, iç bilgi arama aracı ya da kredi süreçlerinde karar destek sistemi de bir bilgi sistemidir. Bu yüzden erişim yönetimi, iz kayıtları, dış hizmet alımı ve risk yönetimi beklentileri bu sistemlere de uygulanır. Yönetmelik maddelerini LLM kontrollerine bağlayan bir harita için BDDK ve SPK yapay zekâ uyumu yazısına bakabilirsiniz. Diğer sektörlerde de benzer bir yol izlenir: önce sektörel düzenleyicinin bilgi sistemleri metni, sonra KVKK ve 7545 yükümlülükleri.

Hangi uluslararası çerçeveler Türkiye'deki kurumlar için de referanstır?

Uluslararası kaynaklar üç gruba ayrılır: risk listeleri, yönetim çerçeveleri ve saldırı bilgi tabanları.

• OWASP Top 10 for LLM Applications 2025: İstem enjeksiyonundan sınırsız tüketime kadar on uygulama riski. Geliştirici ve test ekipleri için başlangıç noktasıdır.
• NIST AI RMF 1.0: Ocak 2023'te yayımlanan, GOVERN, MAP, MEASURE ve MANAGE işlevlerinden oluşan gönüllü çerçeve. Temmuz 2024'te üretken yapay zekâ profili (NIST AI 600-1) eklenmiştir.
• MITRE ATLAS: Yapay zekâ sistemlerine yönelik saldırı taktik ve tekniklerinin matrisi. Tehdit modelleme ve tespit kuralı yazmada iskelet sağlar.
• ISO/IEC 42001:2023: Yapay zekâ yönetim sistemi standardı. Kurumsal belgelendirmeye konu olur.
• AB Yapay Zekâ Yasası, (AB) 2024/1689: AB pazarına ürün ya da hizmet sunan ya da AB'deki kişileri etkileyen Türk kurumlarını ilgilendirir.

Türkiye'nin kendi yapay zekâ mevzuatındaki gelişmeler ve AB Yasası'nın etkisi Türkiye yapay zekâ düzenlemeleri 2026 yazısında izlenir.

Kaynak listesi nasıl güncel tutulur?

Bu alan hızlı değişir. USOM hizmetlerinin Siber Güvenlik Başkanlığı'na taşınması ya da KVKK'nın 2025'te yayımladığı üretken yapay zekâ rehberi, bir yıl önce hazırlanmış listelerin eksik kaldığını gösterir.

Kurum içinde şu düzeni kurun:

1. Listenin bir sahibi olsun, tercihen uyum ya da güvenlik yönetişimi ekibinden.
2. Her kaynağın yanına resmî adresini, yayım tarihini ve son kontrol tarihini yazın.
3. Çeyrekte bir KVKK duyurularını, Resmî Gazete'yi ve Siber Güvenlik Başkanlığı duyurularını tarayın.
4. İkinci el özetleri değil, resmî metni esas alın.
5. Olay planındaki bildirim tablosunu her güncellemede kontrol edin.

Sık Sorulan Sorular

Yapay zekâ güvenliğine nereden başlamalı?

Önce cevaplamak istediğiniz soruyu belirleyin. Kişisel veri işliyorsanız 6698 sayılı Kanun ve KVKK'nın üretken yapay zekâ rehberiyle başlayın. Kurumunuz 7545 sayılı Kanun kapsamındaysa bildirim yükümlülüklerini netleştirin. Uygulama riskleri için OWASP'ın LLM listesini, kurumsal risk süreci için NIST AI RMF'yi, saldırı teknikleri için MITRE ATLAS'ı kullanın.

Bu kaynaklardan hangileri bağlayıcıdır?

Kanunlar, yönetmelikler ve Kurul kararları bağlayıcıdır: 6698 sayılı KVKK, 7545 sayılı Siber Güvenlik Kanunu, Türk Ceza Kanunu ve bankalar için BDDK'nın bilgi sistemleri yönetmeliği gibi. KVKK'nın rehber ve tavsiyeleri yol gösterir ve Kurul'un yaklaşımını anlamak için önemlidir. OWASP, NIST AI RMF ve MITRE ATLAS gönüllü referanslardır. AB Yapay Zekâ Yasası, AB pazarına dokunan faaliyetlerde uygulanabilir.

Siber olay ya da zararlı bağlantı nereye bildirilir?

Hayati tehlike varsa 112 aranır. Dolandırıcılık ve siber suç şikâyetleri polise, jandarmaya ya da Cumhuriyet Başsavcılığına yapılır. Zararlı bağlantı ve oltalama bildirimleri USOM'a gider. USOM hizmetleri artık Siber Güvenlik Başkanlığı'nın sitesinden sunulmaktadır. Kurumlar siber olayları sektörel SOME'leri ve USOM üzerinden bildirir. Kişisel veri ihlali ayrıca KVKK'ya bildirilir.

BDDK yapay zekâ kullanan bankalardan ne bekliyor?

Bankalar için temel metin, 15 Mart 2020 tarihli Resmî Gazete'de yayımlanan Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik'tir. LLM tabanlı bir asistan ya da karar destek sistemi de bir bilgi sistemi olduğundan erişim yönetimi, iz kayıtları, dış hizmet alımı ve risk yönetimi beklentileri ona da uygulanır. Madde eşlemesi için ilgili sektör rehberine bakın.

Bu kaynaklar birbirinin yerini tutar mı?

Tutmaz. KVKK kişisel veri yükümlülüklerini, 7545 sayılı Kanun siber güvenlik yükümlülüklerini, BDDK yönetmeliği bankacılıktaki bilgi sistemleri kontrollerini düzenler. OWASP uygulama risklerini, NIST yönetim sürecini, MITRE ATLAS saldırı tekniklerini anlatır. Olgun bir program bunları birlikte kullanır: mevzuat asgari şartı, teknik çerçeveler ise o şartın nasıl karşılanacağını gösterir.

Kaynaklar

• KVKK: Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)
• KVKK: Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler
• Mevzuat Bilgi Sistemi: 6698 sayılı Kişisel Verilerin Korunması Kanunu
• Mevzuat Bilgi Sistemi: 7545 sayılı Siber Güvenlik Kanunu
• USOM: Hizmetlerin Siber Güvenlik Başkanlığı'na taşınması duyurusu
• Resmî Gazete: Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik

İlgili Yazılar

• 7545 Sayılı Siber Güvenlik Kanunu ve Yapay Zekâ Sistemleri: Kurumunuz Hazır mı?
• Türkiye'de Yapay Zekâ Düzenlemeleri 2026 Mevcut Çerçeve ve Beklentiler
• BDDK ve SPK Yapay Zeka Beklentilerini LLM Kontrollerine Bağlamak Finansal kuruluşlar için madde↔teknik kontrol haritası
• NIST AI RMF Nedir? Govern-Map-Measure-Manage çerçevesinin Türkçe rehberi + COSAiS güncellemesi