Düzeltme (19 Ekim 2026): Bu yazı ilk hâliyle değişikliği Genel Kurul oylamasını bekleyen bir tasarı olarak anlatıyordu; Ulusal Meclis değişikliği 20 Ağustos 2026'da kabul ettiğinden, şeffaflık ve itiraz konuları dâhil metni kabul edilen hükümlere göre güncelledik.

Değişiklik neler getiriyor?

IAPP'nin aktardığına göre değişiklik, PIPA'ya 28-12 ila 28-15. maddelerden oluşan yeni bir hüküm grubu ekleyerek kişisel verilerin yapay zekâ geliştirmede kullanılması için özel bir hukuki yol oluşturuyor. Mekanizmanın özünü tarif etmek kolay, uygulaması ise karmaşık. Buna göre veri sorumlusu, elinde bulunan kişisel verileri, Kişisel Bilgileri Koruma Komisyonu'nun (PIPC) ilgili projeyi onaylaması koşuluyla, toplama amacının ötesinde ve yeniden rıza almaksızın yapay zekâ sistemlerinin geliştirilmesi ve iyileştirilmesi için kullanabilecek.

Onay kendiliğinden verilmiyor. PIPC'nin dört koşulun karşılandığına kanaat getirmesi gerekiyor:

  • Anonimleştirme veya takma adlandırma uygulanabilir değil. Yapay zekâ geliştirme amacına anonimleştirilmiş veya takma adlı verilerle gerçekçi biçimde ulaşılamıyor.
  • Uygun güvenceler mevcut. Veri sorumlusu, verileri ve ilgili kişilerin haklarını korumak için teknik, organizasyonel ve idari tedbirleri almış.
  • Kamu yararı veya toplumsal fayda bulunuyor. Proje, salt özel bir avantaj sağlamanın ötesinde bir kamu yararına hizmet ediyor veya toplum için fayda üretiyor.
  • Haksız ihlal riski belirgin biçimde düşük. İşlemenin ilgili kişilerin hak ve menfaatlerini haksız biçimde ihlal etme ihtimali önemli ölçüde düşük.

Değişiklik, PIPC'ye onaylanan projeleri denetleme yetkisi de tanıyor; bu yetki, onayın dayandığı koşullara ve güvencelere uyumun izlenmesini de kapsıyor. Komisyon'a uygulama kurallarını ve usullerini hazırlaması için zaman tanımak amacıyla değişikliğin, yayımlanmasından altı ay sonra yürürlüğe girmesi öngörülüyor.

Yasama süreci

Değişiklik, 14 Mayıs 2026'da Ulusal Meclis Siyasi İşler Komisyonu'ndan, 29 Temmuz 2026'da ise Adalet Komisyonu'ndan (Legislation and Judiciary Committee) iki partinin desteğiyle geçti. Kutuplaşmış bir parlamentoda bu, kayda değer bir siyasi uzlaşmaya işaret ediyor. Ulusal Meclis Genel Kurulu da tasarıyı 20 Ağustos 2026'da kabul etti. Değişiklik yayımlanmasından altı ay sonra yürürlüğe girecek; bu yolun uygulamada nasıl işleyeceğini belirleyecek uygulama yönetmeliği (Presidential Decree) ve diğer uygulama kuralları PIPC tarafından hazırlanıyor.

Kore bunu neden yapıyor?

Değişikliğin arkasında birkaç etken var.

  • Yapay Zekâ Temel Kanunu. Güney Kore'nin, kamuoyunda Yapay Zekâ Temel Kanunu olarak bilinen Yapay Zekânın Geliştirilmesi ve Güvene Dayalı Temelin Oluşturulması Hakkında Çerçeve Kanunu 22 Ocak 2026'da yürürlüğe girdi. Kanun, devleti yapay zekânın gelişimini teşvik etmek ve ulusal yapay zekâ kapasitesini inşa etmekle yükümlü kılıyor. Verinin erişilebilir olması ise bu hedefin ön koşulu.
  • "Egemen yapay zekâ" ve Korece. Kore, Korecede yüksek performans gösteren ve Kore bağlamını yansıtan rekabetçi yerli temel modeller istiyor. Yüksek kaliteli Korece veri İngilizceye kıyasla sınırlı; değerli verilerin önemli bir kısmı da başka amaçlarla toplandıkları şirketlerin ve kamu kurumlarının elinde bulunuyor.
  • Mevcut araçların sınırları. PIPA, geleneksel olarak dünyanın en rıza merkezli veri koruma kanunlarından biri. 2020'deki "üç veri kanunu" reformu, takma adlı verilerin istatistik, bilimsel araştırma ve kamu yararına arşivleme amacıyla rıza olmaksızın işlenmesine imkân tanıdı. Ancak geliştiriciler, takma adlandırmanın bazı yapay zekâ amaçları bakımından verinin değerini düşürdüğünü ve milyonlarca kişiden yeniden rıza almanın uygulanabilir olmadığını savunuyor.
  • Hukuki belirsizlik. Açık bir yol bulunmadığı için şirketler, veriyi hiç kullanmamak, kullanıp yaptırım riskini göze almak ya da henüz sınanmamış yorumlara dayanmak arasında seçim yapmak zorunda kalıyordu. Düzenleyici onayına dayalı bir yol ise öngörülebilirlik vaat ediyor.

Değişiklik Kore'nin veri koruma mimarisine nasıl oturuyor?

Değişiklik birdenbire ortaya çıkmadı. PIPC birkaç yıldır yapay zekâya yönelik araçlar geliştiriyor:

  • Takma adlı veri. PIPA, 2020'den bu yana takma adlı verileri ayrı bir kategori olarak düzenliyor; bu veriler, belirlenmiş uzman kuruluşlar aracılığıyla birleştirme de dâhil olmak üzere, güvenceler altında ve rıza olmaksızın araştırma ve istatistik amacıyla kullanılabiliyor.
  • 2023 değişikliği. 2024'ten itibaren yürürlükte olan kapsamlı revizyon, rıza kurallarını modernleştirdi, otomatik kararlara ilişkin haklar getirdi ve çevrim içi ile çevrim dışı veri sorumluları için standartları birleştirdi.
  • Kamuya açık verilere ilişkin rehberlik. PIPC 2024'te, yapay zekâ geliştirme amacıyla kamuya açık kişisel bilgilerin işlenmesine ilişkin bir rehber yayımladı; rehber, web kazıma yoluyla internetten toplanan verilerin hangi durumlarda meşru menfaat benzeri bir gerekçelendirmeyle kullanılabileceğini ve hangi güvencelerin beklendiğini netleştirdi.
  • Ön uygunluk incelemesi. PIPC, şirketlerin yeni yapay zekâ hizmetlerinin gizlilik tasarımı konusunda düzenleyiciye önceden danışmasına ve hizmeti piyasaya sunmadan önce uyum hakkında görüş almasına imkân tanıyan bir sistem kurdu.
  • Etkin yaptırım. PIPC, büyük yapay zekâ ve platform şirketlerine karşı harekete geçmekten çekinmediğini gösterdi: örneğin 2024'te reklamcılık amacıyla hassas bilgi toplaması nedeniyle Meta'ya para cezası verdi, 2025'te ise gizlilik endişeleri giderilene kadar DeepSeek uygulamasının yeni indirmelerini kısıtladı.

Bu arka plan düşünüldüğünde yeni maddeler mevcut çizgiden bir kopuş sayılmaz; daha çok onun devamı niteliğinde. Maddeler, "düzenleyici rehberliğinde inovasyon" mantığını tavsiye niteliğindeki görüşlerden bağlayıcı hukuki onaylara taşıyor.

Dört koşul mercek altında

1. Anonimleştirme veya takma adlandırmanın uygulanamaması

Bu koşul, veri minimizasyonu ilkesini somutlaştırıyor ve başvuru sahiplerini kimlik belirleyici niteliği daha düşük verilerin neden yeterli olmayacağını açıklamaya zorluyor. Buradaki güçlük teknik nitelikte. Pek çok makine öğrenmesi görevinde takma adlı veriler iyi sonuç veriyor; ancak serbest metin kayıtlarındaki bağlamı anlaması gereken modeller gibi diğer durumlarda tanımlayıcıların çıkarılması amacı boşa çıkarabiliyor. PIPC'nin, uygulanamazlık iddialarını olduğu gibi kabul etmeyip denetleyebilmesi için yeterli teknik bilgi birikimine sahip olması gerekecek.

2. Uygun güvenceler

Güvencelerin erişim kontrollerini, güvenli işleme ortamlarını, çıktılara ilişkin kısıtlamaları, ezberleme ve veri sızıntısına yönelik testleri, saklama sınırlarını ve denetim kayıtlarını içermesi muhtemel. Temel sorulardan biri, güvencelerin eğitilmiş modelin kendisini de kapsaması gerekip gerekmediği; örneğin modelin kişisel verileri çıktılarında aynen yeniden üretmesini önleyecek tedbirler gibi.

3. Kamu yararı veya toplumsal fayda

Bu, sınırları en belirsiz koşul. Tıbbi teşhis, kamu güvenliği uygulamaları ve kamu hizmetlerine yönelik Korece modeller bu koşulu kolaylıkla karşılayabilir. Tüketicilere de fayda sağlayan ticari bir sohbet robotunun durumu ise tartışmalı. Koşul geniş yorumlanırsa bir formaliteye dönüşebilir; dar yorumlanırsa özel sektör inovasyonunun önemli bir kısmı kapsam dışında kalabilir. PIPC'nin "toplumsal fayda"yı nasıl tanımlayacağı, bu yolun kapsamını büyük ölçüde belirleyecek.

4. Haksız ihlal riskinin belirgin biçimde düşük olması

Dördüncü koşul, ilgili kişilere odaklanan bir risk değerlendirmesi gerektiriyor. Bu değerlendirme GDPR'ın meşru menfaat analizindeki dengeleme testine benziyor, ancak eşik daha yüksek: riskin kabul edilebilir olması yetmiyor, "belirgin biçimde düşük" olması gerekiyor. Hassas verilerin, çocuklara ait verilerin ve profillemeye imkân tanıyan verilerin daha sıkı incelenmesi muhtemel.

"Düzenleyiciye güvenmek": ön onayın mantığı ve riskleri

Kore modelini asıl ayırt eden, kurumsal tasarımı. GDPR kapsamında meşru menfaate dayanan bir veri sorumlusu değerlendirmeyi kendisi yapar ve bir denetim otoritesi ya da mahkeme sonradan farklı düşünürse riski de kendisi üstlenir. Kore ise düzenleyiciyi sürecin en başına yerleştiriyor.

Avantajlar

  • Hukuki belirlilik. Onaylanan projeler açık bir hukuki dayanak kazanır; bu da geriye dönük yaptırım riskini azaltır.
  • Tutarlılık. Merkezi bir otorite, sektörler arasında tutarlı standartlar uygulayabilir.
  • Uzmanlık ve diyalog. Onay usulleri, düzenleyiciyle yapılandırılmış bir etkileşim sayesinde gizlilik tasarımını iyileştirebilir.
  • Kamusal meşruiyet. Rıza olmaksızın veri kullanımı, bağımsız bir otorite koşulları inceleyip onayladığında çok daha kolay savunulabilir hâle gelir.

Riskler

  • Düzenleyici kapasite. Karmaşık yapay zekâ projelerini değerlendirmek teknik kadro ve zaman gerektirir. Gecikmeler inovasyonu sekteye uğratabilir; aceleyle yapılan incelemeler ise korumayı zayıflatabilir.
  • Düzenleyicinin etki altına alınması ve siyasi baskı. Ulusal yapay zekâ rekabetçiliği siyasi bir öncelik hâline geldiğinde, düzenleyici onay vermesi yönünde baskıyla karşılaşabilir.
  • Şeffaflık. Kabul edilen metin, veri sorumlularının bu kullanımın amacını ve türünü gizlilik politikalarında belirtmesini, PIPC'nin de başvuranın kimliğini, incelenen başlıca hususları ve risk faktörü değerlendirmesinin özetini kamuoyuna açıklamasını şart koşuyor. Bu açıklamaların, ilgili kişilerin ve sivil toplumun verilerin nasıl kullanıldığını denetlemesine yetecek ayrıntıda olup olmayacağını uygulama gösterecek.
  • Bireysel kontrolün zayıflaması. Onay, bireysel rızanın yerine kolektif ve idari bir takdiri koyar. Asıl soru, bireye hangi hakların kalacağıdır; örneğin itiraz etme ya da verilerinin kullanılıp kullanılmadığını öğrenme hakkı.
  • Model sorunu. Kişisel veriler bir kez model ağırlıklarını şekillendirdikten sonra, bunların etkisini ortadan kaldırmak ("makine unutması" / machine unlearning) teknik olarak son derece zordur. Bu nedenle onay kararları, ilgili kişi açısından fiilen geri döndürülemez niteliktedir.

Anayasal arka plan: bilgi üzerinde kendi kaderini tayin hakkı

Kore Anayasa Mahkemesi, insan onuru ve özel hayatın gizliliğine ilişkin anayasal güvencelerden türettiği bilgi üzerinde kendi kaderini tayin hakkını uzun süredir tanıyor. Bu hak rızayı mutlak bir şart hâline getirmiyor; yasa koyucu, sınırlamanın ölçülü olması kaydıyla meşru amaçlarla bu hakkı sınırlayabilir. Değişikliğin dört koşulu, ölçülülüğü kanun metnine yerleştirme girişimi olarak okunabilir: gereklilik (daha az müdahaleci verinin uygulanamaz olması), elverişlilik ve güvenceler, meşru amaç (kamu yararı) ve denge (düşük risk). Düzenlemenin olası bir anayasal denetimden geçip geçemeyeceği, büyük ölçüde PIPC'nin bu koşulları uygulamada ne kadar titizlikle işleteceğine bağlı olacak.

Somut bir örnek: iki başvuru, iki sonuç

Koşulların iki varsayımsal başvuruda nasıl işleyebileceğini düşünelim. Bir üniversite hastanesi, akciğer hastalığının erken belirtilerini tespit etmek için yıllara yayılan radyoloji raporları üzerinde bir model eğitmek istiyor. Yapılandırılmış alanlar için takma adlandırma mümkün; ancak serbest metin hâlindeki raporlar, klinik anlamı kaybetmeden ayıklanması güç bağlamsal ayrıntılar içeriyor. Erişim güvenli bir ortamla sınırlandırılacak, çıktılar hasta bilgisi içermeyecek ve halk sağlığı bakımından fayda açık. Böyle bir başvurunun dört koşulun tamamını karşılaması kuvvetle muhtemel.

Şimdi de müşterilerinin satın alma geçmişleri ve sohbet kayıtları üzerinde genel amaçlı bir alışveriş asistanı eğitmek isteyen bir e-ticaret platformunu ele alalım. Amacın büyük kısmına takma adlı veya toplulaştırılmış verilerle ulaşılabilir; fayda esas olarak ticari nitelikte ve veriler ayrıntılı profillemeye imkân tanıyor. Tüketiciler kolaylık kazansa bile bu başvuru birinci, üçüncü ve dördüncü koşullar karşısında zorlanacaktır. İki örnek arasındaki fark, bu yolun eğitim için genel bir ruhsat olarak değil, kamu yararı gerekçesi güçlü projeler için tasarlandığını gösteriyor.

Karşılaştırmalı perspektif

  • Avrupa Birliği. GDPR'da yapay zekâya özgü bir rıza istisnası bulunmuyor; ancak veri sorumluları üç aşamalı bir teste tabi olarak meşru menfaate dayanabiliyor. Avrupa Veri Koruma Kurulu'nun (EDPB) 28/2024 sayılı Görüşü, bu testin yapay zekâ modellerine nasıl uygulanacağını ve modellerin hangi durumlarda anonim kabul edilebileceğini ortaya koydu. GDPR'ın uyumlu ileri işlemeye ve bilimsel araştırmaya ilişkin kuralları da bu bakımdan önem taşıyor. Avrupa Komisyonu'nun 2025 sonunda sunduğu "Dijital Omnibus" önerileri, yapay zekâ geliştirme bakımından meşru menfaatin netleştirilmesini gündeme getirdi; öneriler hâlâ tartışılıyor. AB Yapay Zekâ Yasası yüksek riskli sistemler için veri yönetişimi yükümlülükleri getiriyor, ancak kişisel verilerin işlenmesi için kendi başına bir hukuki dayanak sağlamıyor.
  • İtalya. İtalyan veri koruma otoritesi Aralık 2024'te OpenAI'a, diğer gerekçelerin yanı sıra eğitim için yeterli bir hukuki dayanağın bulunmamasını da göstererek 15 milyon avro para cezası verdi; bu karar, öz değerlendirmeye dayalı modellerdeki yaptırım riskini hatırlatıyor.
  • Birleşik Krallık. Brexit sonrası reformlar, araştırma amaçlı ve meşru menfaate dayalı işlemeyi daha öngörülebilir kılmayı amaçladı; ancak Birleşik Krallık hâlâ ön onaya değil, veri sorumlusunun öz değerlendirmesine dayanıyor.
  • Japonya. Japonya'nın veri koruma çerçevesi yapay zekâ geliştirme bakımından görece esnek; tartışılan reformlar da istatistiksel ve yapay zekâyla bağlantılı kullanımlar için rıza şartlarının gevşetilmesini gündeme getirdi.

Bu açıdan Kore'nin yaklaşımı gerçek bir üçüncü yol sayılabilir: katı bir rıza rejiminden daha esnek, öz değerlendirme modelinden ise daha denetimli. Farklı hukuk düzenlerinin yapay zekâyı nasıl düzenlediğine dair daha geniş bir harita için küresel yapay zekâ mevzuatı dizinimize göz atabilirsiniz.

Türkiye için ne anlama geliyor?

Kore'deki tartışma Türkiye'yi de yakından ilgilendiriyor. KVKK bir yandan GDPR'a daha fazla yaklaşmayı hedeflerken öte yandan PIPA gibi rıza merkezli bir gelenekten geliyor.

  • Yapay zekâya özgü bir yol yok. KVKK, kişisel verilerin düzenleyici onayı altında rıza olmaksızın yapay zekâ eğitiminde kullanılmasına imkân tanıyan bir hüküm içermiyor. Veri sorumlularının hukuki sebebi 5. maddedeki şartlar arasında, özel nitelikli kişisel veriler bakımından ise 6. maddede bulması gerekiyor.
  • Meşru menfaat. KVKK'nın 5. maddesinin 2. fıkrasının (f) bendi, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için zorunlu olan işlemeye izin veriyor. Bu bent, bazı yapay zekâ eğitim faaliyetleri için en olası hukuki sebep; ancak uygulanması dikkatli bir dengeleme ve belgelendirme gerektiriyor ve büyük ölçekli eğitim bakımından sınırları henüz sınanmış değil.
  • Amaçla sınırlılık. KVKK, verilerin belirli, açık ve meşru amaçlar için ve bu amaçlarla bağlantılı, sınırlı ve ölçülü biçimde işlenmesini şart koşuyor. Bu nedenle müşteri verilerinin model eğitimi için yeniden kullanılması baştan ciddi sorular doğuruyor.
  • Anonim hâle getirilmiş istatistikler. 28. madde, kişisel verilerin resmî istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesini Kanun'un kapsamı dışında tutuyor; bu, ticari yapay zekâ geliştirme faaliyetlerinin çoğunu kapsamayan dar bir istisna.
  • Takma adlandırma rejimi yok. PIPA ve GDPR'ın aksine KVKK, takma adlı verilere daha esnek davranan özel bir rejim öngörmüyor.
  • Özel nitelikli kişisel veriler. 2024 değişikliklerinden sonra özel nitelikli kişisel veriler sınırlı sayıda şarttan birine dayanarak işlenebiliyor; genel bir yapay zekâ veya araştırma şartı bulunmuyor.

Bu soruları eğitim verisinde önce netleştirilmesi gereken KVKK ve GDPR soruları yazımızda, KVKK ve yapay zekâ yönetişimi rehberimizde ve sınır ötesi senaryolar bakımından yapay zekânın sınırlar ötesinde eğitilmesine ilişkin analizimizde ayrıntılı biçimde inceledik. "Devletin Akıllı Rotası" başlıklı yazımızda ele aldığımız 2026–2030 Türkiye Yapay Zekâ Eylem Planı, verinin erişilebilirliğini ön plana çıkarıyor; bu da eğitimin hukuki dayanağını Türkiye'nin kaçınamayacağı bir politika sorusu hâline getiriyor.

Türkiye Kore'yi örnek almalı mı? Modelin bütünüyle aktarılması erken olur. Ancak bazı unsurları üzerinde düşünmeye değer: Kişisel Verileri Koruma Kurumu bünyesinde yapay zekâ projelerine yönelik bir düzenleyici deneme alanı (sandbox) veya ön danışma mekanizması; eğitimde meşru menfaate dayanılmasına ilişkin yayımlanmış kriterler; bir takma adlandırma çerçevesi ve onaylanan projeler hakkında zorunlu şeffaflık. Bu tür bir reformun, güçlendirilmiş düzenleyici kapasite ve bireyler için etkili başvuru yollarıyla birlikte hayata geçirilmesi gerekir.

Şirketler için uyum adımları

  • Eğitim verilerinizi haritalayın. Yapay zekâ geliştirmede kullanılan kişisel verilerin kaynaklarını, ilk toplama amacını ve dayanılan hukuki sebebi belirleyin.
  • Önce daha az müdahaleci seçenekleri sınayın. Amaca anonim, takma adlı veya sentetik verilerle ulaşılıp ulaşılamayacağını belgeleyin. Kore'de bu bir hukuki koşul; diğer hukuk düzenlerinde ise ölçülülüğün kanıtı.
  • Faydayı somutlaştırın. Yapay zekâ sisteminden kimin ve nasıl yararlanacağını somut olarak açıklayın; muğlak iddialar bir düzenleyiciyi ikna etmeyecektir.
  • Bireyler üzerindeki riskleri değerlendirin. Eğitimi, ezberlemeyi, çıktıları ve sonraki kullanımları kapsayan bir veri koruma etki değerlendirmesi yapın.
  • Model düzeyinde güvenceler tasarlayın. Kişisel verilerin aynen yeniden üretilmesine karşı testler yapın, çıktıları filtreleyin ve model ağırlıklarına erişimi kontrol altında tutun.
  • Şeffaf olun. Aydınlatma metinlerini yapay zekâ kullanımlarını açıklayacak şekilde güncelleyin ve mümkün olduğunda onaylanmış veya meşru menfaate dayalı eğitim faaliyetleri hakkında bilgi yayımlayın.
  • Farklılaşmaya hazırlanın. Küresel şirketler Kore, AB ve Türkiye için farklı veri stratejilerine ihtiyaç duyabilir. Hukuk düzenine özgü izinleri takip edebilecek bir veri yönetişimi yapısı kurun.

Eğitime yönelik veri yönetişimi kişisel verilerle sınırlı değil; telif hakkıyla korunan içeriğin nereden ve hangi hukuki dayanakla elde edildiği de en az onun kadar önemli. Anthropic'in 1,5 milyar dolarlık telif hakkı uzlaşmasına ilişkin haberimiz bunu açıkça gösteriyor.

Bundan sonra ne izlenmeli?

Kore modelinin beklentileri karşılayıp karşılamayacağını birkaç gelişme ortaya koyacak. Birincisi, uygulama yönetmeliği ve PIPC'nin uygulama kuralları: başvuruların nasıl yapılacağı, incelemenin ne kadar süreceği ve hangi kanıtların isteneceği. İkincisi, ilk onaylar: hangi sektörlerin onay alacağı, "toplumsal fayda"nın nasıl yorumlanacağı ve kararların yayımlanıp yayımlanmayacağı. Üçüncüsü, bireylere bırakılan haklar; özellikle itiraz ve şeffaflık. Dördüncüsü, olası anayasal itirazlar veya sivil toplumdan gelecek karşı çıkışlar. Son olarak, Türkiye dâhil diğer hukuk düzenlerinin yapay zekâ eğitimi için düzenleyici onayına dayalı yollar denemeye başlayıp başlamayacağı.

Sık Sorulan Sorular

Değişiklik, herhangi bir şirketin yapay zekâyı rıza olmaksızın kişisel verilerle eğitmesine izin veriyor mu?

Hayır. Değişiklik, PIPC'nin her proje için ayrı ayrı onay vermesini gerektiren bir yol oluşturuyor; onay da anonimleştirme veya takma adlandırmanın uygulanamaması ve bireyler açısından riskin belirgin biçimde düşük olması dâhil dört koşula bağlı.

Ne zaman yürürlüğe girecek?

Değişikliğin yayımlanmasından altı ay sonra yürürlüğe girmesi öngörülüyor. Uygulamada nasıl işleyeceği ise PIPC'nin uygulama kurallarına bağlı olacak.

Hassas verilere de uygulanıyor mu?

Uygulanabilir. PIPC, 28-15. madde uyarınca hassas bilgilere, benzersiz kimlik bilgilerine ve görüntü verilerine ilişkin kısıtlamaların (23-25. maddeler ve 25-2. madde) onaylanan bir projeye uygulanmayacağına karar verebiliyor; veri sorumlularının da uygulama yönetmeliğinde belirlenecek ölçütlere göre inceleme öncesinde bir risk faktörü değerlendirmesi sunması gerekebiliyor. Hassas verilerin güvenceler ve risk koşulları kapsamında daha sıkı bir incelemeye tabi tutulacağı neredeyse kesin.

Bu yaklaşımın GDPR'daki meşru menfaatten farkı ne?

GDPR kapsamında veri sorumlusu meşru menfaati kendisi değerlendirir ve yanılırsa riski de kendisi üstlenir. Kore modelinde ise düzenleyici, belirli bir projeyi kanunda öngörülen koşullara dayanarak önceden onaylar.

Bireyler itiraz edebilecek mi?

Bu, henüz yanıtlanmamış temel sorulardan biri. 28-15. madde uyarınca PIPC, onaylanan her proje için PIPA'nın hangi güvencelerinin uygulanmayacağına somut olayın özelliklerine göre karar veriyor; bunlar arasında amaç dışı kullanım ve aktarım sınırları (18. ve 19. maddeler) ile verilerin hangi kaynaktan toplandığının ilgili kişiye bildirilmesi yükümlülüğü (20. ve 20-2. maddeler) bulunabiliyor. İlgili kişinin kalan haklarının onaylanmış yapay zekâ projelerinde, özellikle de veriler modele işlendikten sonra nasıl kullanılacağının netleştirilmesi gerekecek.

Türkiye benzer bir model benimseyebilir mi?

Bu, KVKK'da bir kanun değişikliği yapılmasını gerektirir. Böyle bir modeli benimsemeden önce Türkiye'nin düzenleyici kapasiteyi, şeffaflığı, başvuru yollarını ve modelin GDPR'a uyum yönündeki daha geniş reform gündemiyle bağdaşıp bağdaşmadığını değerlendirmesi gerekir.

Bu durum yabancı şirketleri etkiler mi?

Kore'deki kişilerin kişisel verilerini işleyen yabancı şirketler PIPA'ya tabi. Yeni yolu kullanmak isteyen yabancı şirketler de yerli veri sorumluları gibi koşulları karşılamak ve onay almak zorunda olacak.

Burhan Doğuş Ayparlar'ın Görüşü

Bu bölüm, sitenin kurucusu ve avukat sıfatıyla kişisel değerlendirmemi içerir.

Kanaatimce Kore'nin değişikliği, hukuk düzenlerinin çoğunun kaçındığı bir soruya verilmiş dürüst bir yanıt. Her yapay zekâ eğitim projesi için milyonlarca kişiden rıza almanın gerçekçi olmadığını ve eğitim faaliyetlerinin önemli bir kısmının zaten belirsiz bir hukuki zeminde yürütüldüğünü herkes biliyor. GDPR'ın uygulandığı hukuk düzenleri bu belirsizliği öz değerlendirme ve sonradan gelen yaptırımlarla tolere ediyor. Kore ise bu ödünleşim konusunda şeffaf olmayı seçiyor: bazı verilerin rıza olmaksızın kullanılabileceğini açıkça söylüyor ve bunun ne zaman mümkün olacağına karar verme yetkisini kanuni koşullarla bağlı bir kamu otoritesine veriyor. Bunu, rızanın hâlâ her şeyi belirlediğini varsaymaktan entelektüel açıdan daha dürüst buluyorum.

Ancak modelin gücü, arkasındaki düzenleyicinin gücüyle sınırlı. "Düzenleyiciye güvenmek", ancak düzenleyici bağımsız, teknik açıdan yetkin, şeffaf ve gerektiğinde "hayır" demeye istekli olduğunda işe yarar. Onaylar ulusal yapay zekâ hedefleri uğruna verilen göstermelik izinlere dönüşürse, kanun temel bir hakkı idari bir formaliteye indirgemiş olur. Dört koşul isabetli seçilmiş; özellikle kimlik belirleyici niteliği daha düşük verilerin uygulanamaz olduğunun gösterilmesi şartı yerinde. Ancak "kamu yararı veya toplumsal fayda" testi tehlikeli ölçüde esnek. Her onayın, koşullarının ve güvencelerinin yayımlandığını, bireylere de anlamlı bir itiraz etme ve bilgi edinme hakkı tanındığını görmek isterim.

Türkiye için önerim, Kore'nin metnini kopyalamak yerine yapısından ders çıkarmak. Kişisel Verileri Koruma Kurumu işe yapay zekâ projelerine yönelik bir ön danışma ve düzenleyici deneme alanı (sandbox) mekanizmasıyla başlayabilir, meşru menfaate dayalı eğitim için açık kriterler yayımlayabilir ve gelecekteki reformlarda bir takma adlandırma çerçevesi getirebilir. Hedef, Kore'ninkiyle aynı olmalı: insanlardan verileri üzerindeki kontrolden yalnızca güvene dayanarak vazgeçmelerini istemeden, sorumlu inovasyon için hukuki belirlilik sağlamak.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık teşkil etmez. Değişikliğe ilişkin olgular, başta IAPP'nin haberleri ve PIPC'nin kanunun kabulüne ilişkin duyurusu olmak üzere kamuya açık kaynaklara dayanmaktadır; uygulama kuralları ayrıca teyit edilmelidir. Yorum ve değerlendirmeler yazara aittir.