KVKK ve yapay zeka: avukatlar için 10 maddelik kontrol listesi

Kısa yanıt: KVKK ve yapay zeka ilişkisinde avukatın bilmesi gereken ilk şey şudur: müvekkil dosyasını bir yapay zekâ aracına yüklemek, Kişisel Verileri Koruma Kurumu'na göre "yalnızca teknik destek alınması veya hukuki araştırma yapılması" olarak görülmemelidir. Sağlayıcı yurt dışındaysa bu işlem 6698 sayılı Kanun'un 9. maddesi kapsamında yurt dışına aktarım, yurt içindeyse 8. madde kapsamında aktarım olabilir. En güvenli yol, kişisel veriyi araca hiç vermemek; veremiyorsanız aşağıdaki kontrol listesini uygulamaktır.

Bu yazı genel bilgilendirme amaçlıdır, hukuki tavsiye değildir.

KVKK avukatlar ve yapay zekâ hakkında ne diyor?

Kurum, Türkiye Barolar Birliği'nin görüş ve katkılarıyla hazırladığı "Avukatların Mesleki Faaliyetlerinde Kişisel Verilerin Korunmasına İlişkin Uygulama Rehberi"ni Temmuz 2026'da yayımladı (KVKK Yayınları No: 115). Rehberin aktarım bölümünde "Üretken Yapay Zekâ Araçları Kullanımı ve Kişisel Verilerin Aktarılması" başlıklı ayrı bir kısım bulunur.

Bu kısımda Kurum, avukatların ChatGPT, Claude ve Gemini gibi araçlara müvekkil dosyası, dava evrakı veya kişisel veri içeren belge yüklemesi halinde verilerin hizmet sağlayıcının altyapısında işleneceğini belirtir. Sağlayıcının yurt dışında mukim olması, sunucularının yurt dışında bulunması veya verilerin yurt dışındaki alt hizmet sağlayıcılarca işlenmesi ihtimalinde, bunun yurt dışına aktarım olabileceğini söyler.

Rehber, değerlendirmede bakılacak unsurları da sayar: aracın teknik altyapısı, veri saklama politikası, sağlayıcının mukim olduğu ülke, sunucuların ve alt hizmet sağlayıcıların konumu. Bunun için aracın kullanım şartları, gizlilik politikası, veri işleme koşulları ve aktarım mekanizmalarına ilişkin hükümleri incelenmelidir.

Avukat neden doğrudan sorumlu?

Aynı rehbere göre hangi verilerin hangi amaçla işleneceğinin tespiti son tahlilde avukata ait olduğu için avukat kural olarak veri sorumlusudur. 6698 sayılı Kanun'un 12. maddesi de veri sorumlusuna, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için gerekli her türlü teknik ve idari tedbiri alma yükümlülüğü yükler. Verilerin başkası tarafından işlenmesi halinde veri sorumlusu, bu tedbirler bakımından o kişiyle birlikte müştereken sorumludur.

Buna 1136 sayılı Avukatlık Kanunu'nun 36. maddesindeki sır saklama yasağı eklenir. Türkiye Barolar Birliği'nin (TBB) 2026 tarihli yapay zekâ rehberi de sır saklama yükümlülüğünün yapay zekâ aracına veri girişi yapılmasıyla "ortadan kalkmaz veya hafiflemez" olduğunu vurgular. Yani KVKK uyumu ile meslek sırrı aynı yönde çalışır: ikisi de veriyi araçtan uzak tutmayı önerir.

Yurt dışına aktarımın üç yolu

7499 sayılı Kanunla 2024'te değiştirilen 6698 sayılı Kanun'un 9. maddesi, yurt dışına aktarımı kademeli bir yapıya bağlar. Yapay zekâ aracı yurt dışındaysa aşağıdaki yollardan birine dayanılması gerekir:

Yol	Ne demek?	Not
Yeterlilik kararı	Kurul'un ilgili ülke, sektör veya uluslararası kuruluş için verdiği ve Resmî Gazete'de yayımlanan karar	5. veya 6. maddedeki işleme şartlarından biri de bulunmalıdır
Uygun güvenceler	Bağlayıcı şirket kuralları, Kurul'un ilan ettiği standart sözleşme veya Kurul izinli taahhütname gibi araçlar	Standart sözleşme imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilir
Arızi haller	İlgili kişinin muhtemel riskler hakkında bilgilendirilerek açık rıza vermesi, bir hakkın tesisi veya korunması için zorunluluk gibi sınırlı durumlar	Madde, bu halleri yeterlilik kararı ve uygun güvence yoksa ve "arızi olmak kaydıyla" uygulanabilir sayar

Günlük büro işinde sürekli kullanılan bir yapay zekâ aracı için arızi hallere dayanmak, maddenin "arızi olmak kaydıyla" ifadesiyle bağdaşmayabilir. Bu yüzden pratikte iki seçenek kalır: aracın sunduğu aktarım mekanizmasını belgelemek ya da araca kişisel veri vermemek.

KVKK ve yapay zeka: 10 maddelik kontrol listesi

Aşağıdaki liste KVKK'nın avukat rehberindeki önerilerden, Kurum'un üretken yapay zekâ rehberinden ve TBB rehberinin KVKK uyum tablosundan derlenmiştir.

1. Önce anonimleştirin. KVKK rehberi verilerin mümkün olduğunca maskelenmesini veya anonimleştirilmesini önerir. TBB'ye göre bu yalnızca ad ve kimlik numarası silmek değildir; tarih, yer, tutar, unvan ve benzersiz vakıalar da değerlendirilir.
2. Özel nitelikli veriyi yüklemeyin. Sağlık, ceza mahkûmiyeti, biyometrik veri gibi 6. maddedeki veriler; KVKK rehberi bunların sisteme yüklenmesinden kaçınılmasını ister.
3. Asgari veriyle çalışın. Yalnızca amaç için gerekli en az veriyi paylaşın; 4. maddedeki "amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesi burada da geçerlidir.
4. Aracın belgelerini okuyun. Kullanım şartları, gizlilik politikası ve veri işleme koşullarında veri saklama, model eğitimi, insan incelemesi ve alt veri işleyen hükümlerine bakın.
5. Verinin nerede işlendiğini belirleyin. Sağlayıcının ve sunucuların ülkesi ile alt hizmet sağlayıcıların konumunu not edin.
6. Aktarım dayanağını belgeleyin. Yurt dışı aktarım varsa 9. maddedeki yollardan hangisine dayandığınızı yazılı hale getirin; yurt içi aktarımda 8. maddeyi değerlendirin.
7. Veri işleyen sözleşmesi yapın. TBB rehberi, veri işleyen konumundaki sağlayıcılarla alt işleyenleri, saklama sürelerini ve model eğitiminde yeniden kullanımı düzenleyen sözleşme yapılmasını önerir.
8. Büro içi kural koyun. KVKK rehberi araç kullanımına ilişkin büro içi kuralların belirlenmesini önemli sayar: onaylı araçlar, yasak veri türleri ve yetkiler yazılı olsun.
9. Kullanım sonrası temizleyin. TBB tablosuna göre istem, çıktı, yüklenen belge ve kayıtlar saklama süresi sonunda silinir; kullanım kaydı tutulur.
10. İhlal planınız hazır olsun. Bir sızıntı fark edildiğinde 12. maddenin beşinci fıkrası uyarınca Kurul'a ve ilgili kişilere bildirim yapılır; Kurul bu süreyi en geç 72 saat olarak yorumlar.

Yapay zekâ kaynaklı bir veri ihlalinde ne yapılır?

Kontrol listesinin son maddesi en az düşünülen ama en zaman baskılı olanıdır. 6698 sayılı Kanun'un 12. maddesinin beşinci fıkrası, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde veri sorumlusunun bunu en kısa sürede ilgilisine ve Kurul'a bildirmesini ister. KVKK'nın avukat rehberi, Kurul'un 2019/10 sayılı kararına atıfla "en kısa süre"nin en geç 72 saat olarak yorumlandığını hatırlatır.

Rehberdeki örnek bir kayıp dava dosyasıyla ilgilidir, ama aynı değerlendirme yanlış araca yüklenmiş bir belge için de yol gösterir. Avukat:

• olayın kapsamını,
• etkilenen kişileri ve veri kategorilerini,
• özel nitelikli kişisel veri bulunup bulunmadığını,
• ilgili kişiler bakımından ortaya çıkabilecek riskleri

değerlendirir; verilerin başkalarınca elde edildiği veya edilme ihtimali bulunduğu sonucuna varırsa bildirim yapar. TBB rehberi de veri ihlali ihtimalinde KVKK yükümlülüklerinin ve meslek sırrının ayrıca değerlendirilmesini ister.

Bireysel kullanımda da aynı mantık

Kurum'un Kasım 2025 tarihli üretken yapay zekâ rehberi, günlük kullanım için de benzer öneriler verir: ad, adres, telefon ve kimlik bilgisi paylaşmamak; üçüncü kişilere ait verileri sisteme vermemek; olayı anlatırken isim, tarih ve konum yerine genel bir anlatım seçmek ve sağlık, finans ve hukuki süreçlere ilişkin hassas bilgileri paylaşmaktan kaçınmak. Rehber ayrıca kullanılan uygulamanın hangi verileri topladığını, ne kadar sakladığını ve kimlerle paylaştığını bilmenin önemine dikkat çeker.

Avukat açısından bu öneriler bir alt sınırdır; meslek sırrı ve veri sorumlusu sıfatı nedeniyle beklenen özen daha yüksektir.

Uygulamada nereden başlamalı?

İlk adım, büronuzda hangi yapay zekâ araçlarının kim tarafından ve hangi veriyle kullanıldığını listelemektir. Liste çoğu zaman beklenenden uzun çıkar. Ardından her araç için 4–7. maddeleri uygulayın ve sonucu tek sayfalık bir notla dosyalayın.

Araştırma sorularını anonim kurmanın pratik yolunu yapay zeka ile hukuki araştırma adımları yazısında, genel sohbet araçlarındaki gizlilik ayarlarını ise hukuk Gemini kullanımı rehberinde anlattık. Kullanım sınırlarının meslek kuralları boyutu için hukukta yapay zeka riskleri yazısına bakabilirsiniz.

Sonuç

KVKK ve yapay zeka meselesinde kural basittir: kişisel veri araca girdiği anda bir işleme ve çoğu zaman bir aktarım vardır; sorumluluk da veri sorumlusu olarak avukattadır. Bu yüzden önce veriyi araçtan uzak tutmayı, gerekiyorsa aktarımın dayanağını belgelemeyi düşünün. Prolex AI dahil hangi hukuk yapay zeka aracını değerlendirirseniz değerlendirin, yukarıdaki on maddeyi tedarikçinin belgelerine uygulamak, kararınızı kanıta dayandırmanın en kısa yoludur; ürünün işlevlerini özellikler bölümünde görebilirsiniz.