Güncellendi: 1 Kasım 2026. Metin; KVKK, GDPR ve düzenleyici kurum kaynaklarına bağlantılarla ve AB'nin Dijital Omnibus önerisinin son durumuyla yeniden yazıldı.

Düzeltme (19 Ekim 2026): Yazının önceki sürümünde, ABD'deki FTC gibi AB veri koruma otoritelerinin de yapay zekâ modellerinin silinmesine karar verdiği belirtilmişti. Model silme kararları bugüne kadar FTC uygulamasıdır; AB otoriteleri ise hukuka aykırı işlenen verilerin silinmesine ve işleme yasağına karar vermiştir. Yaptırımlar bölümü buna göre düzeltildi.

Bir yapay zekâ modelini kişisel veriyle eğitmeden önce üç soru çözülmelidir: KVKK'nın 5. maddesi ve GDPR'ın 6. maddesi uyarınca hangi hukuki sebebe dayanılacağı, eğitimin verinin toplanma amacıyla bağdaşıp bağdaşmadığı ve yurt dışına aktarımın hangi yolla yapılacağı. Verinin internetten toplanmış veya herkese açık olması bu soruları ortadan kaldırmaz. Kişisel Verileri Koruma Kurumu üretken yapay zekâ rehberini 24 Kasım 2025'te yayımladı; Avrupa Veri Koruma Kurulu (EDPB) ise 28/2024 sayılı görüşünü 17 Aralık 2024'te kabul etti. Bugün başlangıç noktası bu iki metindir.

Yapay zekâ eğitimi hangi hukuki sebebe dayanabilir, amaç hâlâ uyuyor mu?

İki düzenlemede de yapay zekâya özgü bir hukuki sebep yoktur; eğitim mevcut sebeplerden birine oturmalıdır. KVKK'nın 5. maddesi, 2. fıkradaki şartlardan biri yoksa açık rıza ister. Uygulamada gerçekçi seçenekler açık rıza ve meşru menfaattir (m. 5/2-f). GDPR'daki karşılıkları 6. maddenin 1. fıkrasının (a) ve (f) bentleridir.

Meşru menfaat. EDPB üç aşamalı bir test tarif ediyor: hukuka uygun, belirli ve gerçek bir menfaat saptamak; işlemenin bunun için gerekli olduğunu göstermek; kişilerin haklarının bu menfaate üstün gelmediğini denetlemek. KVKK rehberi Kurul'un 2019/78 sayılı kararına gönderme yapıyor ve değerlendirmenin sistemin amacı, etkisi ve işleme süreci üzerinden olay bazında yapılması gerektiğini söylüyor. Ticari eğitim bakımından önemli bir noktayı da ekliyor: elde edilecek yarar yalnızca kâr amacına yönelik olmamalıdır.

Açık rıza. KVKK rehberine göre, bir yapay zekâ aracını kullanmak için verilen rıza o aracın geliştirilmesini kapsamaz. Rehberin fotoğraf filtresi örneğinde uygulamayı kullanmak, yüklenen veriyi geliştirmede kullanmak, çıktıları saklamak ve çıktıları geliştirmede kullanmak ayrı işleme faaliyetleridir; açık rızaya dayanılıyorsa her biri için ayrı rıza alınmalıdır. Uzun ve teknik bilgilendirmelere dayanan rıza kural olarak geçerli sayılmaz. Rehber, başka bir işleme şartı varken rıza istenmesini de aldatıcı ve hakkın kötüye kullanılması olarak nitelendiriyor; çünkü bu, aslında olmayan bir seçim izlenimi yaratabilir.

Eldeki veriyi eğitimde kullanmak

Bu çoğu zaman ilk amaçla bağdaşmaz ve ayrıca değerlendirilmesi gerekir. KVKK'nın 4. maddesinin 2. fıkrası belirli, açık ve meşru amaçlar ile amaçla bağlantılı, sınırlı ve ölçülü işleme ister. GDPR'ın 5. maddesinin 1. fıkrasının (b) bendi ilk amaçla bağdaşmayan işlemeyi yasaklar; 6. maddenin 4. fıkrası da tartılacak unsurları sayar.

Şikâyetleri çözmek için toplanan müşteri hizmetleri yazışmalarını düşünelim. Bunları dil modeline vermek, farklı riskler taşıyan yeni bir amaçtır. Güney Kore'de Iruda sohbet botunun geliştiricisine uygulanan yaptırım, kullanıcıların özel mesajlarıyla kurulan bir modele ilişkindi ve sorunu iyi gösteriyor.

Herkese açık veri serbestçe kullanılabilir mi?

Hayır. KVKK rehberi, herkesin erişebildiği verinin herkesin işleyebileceği veri anlamına gelmediğini söylüyor. Rehberin 11. örneğinde bir şirket, sosyal medyada herkese açık biyografi, paylaşım ve yorumları web kazıma yoluyla toplayarak dil modelini eğitmek istiyor. Kişiler bu verileri model eğitilsin diye paylaşmadığından, m. 5/2-d'deki "ilgili kişinin kendisi tarafından alenileştirilmiş olması" şartına dayanılamaz. Verinin herkese açık olması ise meşru menfaat denge testinde bir unsur olarak dikkate alınabilir.

GDPR'da da yol benzerdir. EDPB, web kazımanın toplanan verinin hacmi ve ayrım gözetmemesi nedeniyle kişiler üzerinde önemli etkiler doğurabileceğini ve bunun denge testinde tartılacağını söylüyor. Başka ülkelerde de benzer sonuçlara varıldı: Kanada'nın gizlilik otoriteleri 6 Mayıs 2026 tarihli tespitlerinde, ChatGPT'nin ilk modellerini eğitmek için kamuya açık sitelerden kişisel bilgi toplanmasını aşırı kapsamlı buldu ve geçerli rıza bulunmadığı sonucuna vardı; otoritelerin sonuçları kanunlara göre farklılaşıyor.

Anonimleştirme veri kümesini Kanun'un dışına çıkarır mı?

Yalnızca gerçekten anonimse çıkarır; o aşamaya kadarki işlemeler ise Kanun'a tabidir. KVKK rehberi, anonim verinin Kanun kapsamı dışında kaldığını, ancak bunun teknik yöntemler ve nesnel ölçütlerle ortaya konulması gerektiğini belirtiyor. Veri kümesi anonim hâle getirilene kadar kişisel veri olmaya devam eder. GDPR'ın 26. gerekçesine göre, ek bilgiyle bir kişiye bağlanabilen takma adlı veriler de GDPR kapsamındadır.

Eğitilmiş model de kendiliğinden anonim değildir. EDPB'ye göre model ancak ondan kişisel veri çıkarılması ihtimali ile sorgular yoluyla böyle bir veriye ulaşılması ihtimali önemsizse anonim sayılır.

Özel nitelikli veriler ayrıca dikkat ister. KVKK'nın 6. maddesinin 3. fıkrası, meşru menfaati içermeyen kapalı bir liste öngörür; GDPR'ın 9. maddesi de istisnalar dışında bu tür verilerin işlenmesini yasaklar. AB Yapay Zekâ Tüzüğü'nün 4a maddesi, 27 Temmuz 2026'dan beri yüksek riskli sistem sağlayıcılarının önyargı tespiti için bu verileri sıkı şartlarla ve istisnaen işlemesine izin veriyor. 4a maddesinin 2. fıkrası bunu, belirlediği sınırlar içinde diğer yapay zekâ sistemlerine ve uygulayıcılara da genişletiyor. Bu yazının yorumuna göre KVKK'da benzer bir hüküm yok.

Veri Türkiye'den veya AB'den çıkınca ne gerekir?

Veri yurt dışına çıkmadan önce geçerli bir aktarım yolu hazır olmalıdır; aktarım yabancı bir yapay zekâ sağlayıcısı üzerinden gerçekleşse de durum aynıdır. KVKK rehberine göre Türkiye'deki veri sorumlusu yurt dışındaki bir hizmet sağlayıcının yapay zekâ sistemini kullanıyor ve kişisel veri yurt dışına çıkıyorsa, 9. madde ile aktarım yönetmeliği (10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete) uygulanır. 9. madde, yeterlilik kararı (Kurul'un, gidilen ülkenin yeterli koruma sağladığına ilişkin kararı) veya standart sözleşme, bağlayıcı şirket kuralları gibi uygun güvenceler öngörür. 9. maddenin 6. fıkrasındaki rıza benzeri istisnalar yalnızca arızi aktarımlar içindir; bu nedenle sürekli işleyen eğitim süreçlerine pek uymaz.

Standart sözleşme, imzadan itibaren beş iş günü içinde Kurum'a bildirilmelidir (m. 9/5). Bildirimi yapmayanlara idari para cezası verilir (m. 18/1-d). Kanun metnindeki tutar 50.000 ila 1.000.000 Türk lirasıdır; yıllık yeniden değerlemeyle Kurum'un tablosunda 2026 için 90.308 ila 1.806.177 Türk lirası gösteriliyor. GDPR'da ise V. Bölüm, yeterlilik kararı veya standart sözleşme hükümleri gibi güvenceler ister (m. 45 ve 46). Ayrıntılar için sitedeki yurt dışına aktarım rehberine ve KVKK yapay zekâ yönetişimi rehberine bakılabilir. Dosyayı sohbet robotuna yapıştırmanın neden aktarım sayılabileceğini anlatan bir not da var.

Eğitim verisi hukuka aykırıysa ne olur?

Sonuç düzenleyiciye göre değişir ve para cezasıyla sınırlı kalmayabilir. ABD'de FTC'nin 2021 tarihli Everalbum kararı, kullanıcı fotoğraflarından üretilen model ve algoritmaların silinmesini gerektirdi. AB otoriteleri ise veri silme ve işleme yasağı kararları verdi: İtalya'daki Garante, Clearview AI'a 20 milyon avro ceza verdi ve İtalya'daki kişilere ilişkin verilerin silinmesini istedi. KVKK'nın 15. maddesinin 7. fıkrasına göre Kurul da telafisi güç zarar ve açık hukuka aykırılık hâlinde işlemenin veya aktarımın durdurulmasına karar verebilir.

EDPB, modelin sonraki kullanımına etkisini olay bazında değerlendirmeye bırakıyor. Başkasının modelini kullanan şirket de modelin nasıl geliştirildiğini, verinin kaynağını ve bir ihlal tespiti olup olmadığını araştırmalıdır. Usul de önem taşıyabilir: Roma'daki mahkeme, Garante'nin OpenAI'a verdiği 15 milyon avroluk cezayı Mart 2026'da yetki yokluğu nedeniyle iptal etti; eğitimin hukuka uygunluğu sorusunu esastan çözmedi.

AB'nin Dijital Omnibus'u bunu değiştirecek mi?

Şimdilik hayır. Komisyon Kasım 2025'te GDPR'a, yapay zekâ geliştirme ve işletme amacıyla veri işlemeye ilişkin yeni bir 88c maddesi eklemeyi önerdi. Üye devletlerin daimi temsilcilerinin 21 Ekim 2026'da üzerinde anlaştığı Konsey müzakere yetkisi bu maddeyi 88 bis olarak numaralandırıyor. Metin, bu işlemenin m. 6/1-f uyarınca meşru menfaate dayanabileceğini hâlâ söylüyor. Komisyon'un önerdiği koşulsuz itiraz hakkını çıkarıyor ve m. 21'deki olağan itiraz hakkına gönderme yapıyor. Yeni 33a gerekçesi ise yapay zekâ geliştirmenin veya işletmenin tek başına meşru menfaat oluşturmadığını, olay bazında değerlendirme gerektiğini ekliyor. Müzakere yetkisi, Konsey'in Parlamento'yla görüşmelerde savunacağı tutumdur; yürürlükte değildir ve değişebilir. Bu dosya, (AB) 2026/1744 olarak kabul edilen Yapay Zekâ Omnibusu'ndan ayrıdır.

Sık sorulan sorular

Herkese açık veriler KVKK'ya göre yapay zekâ eğitiminde kullanılabilir mi?

Yalnızca herkese açık olduğu gerekçesiyle kullanılamaz. KVKK'nın üretken yapay zekâ rehberi, herkese açık sosyal medya içeriğinin m. 5/2-d'deki alenileştirme şartına dayanılarak model eğitiminde kullanılamayacağını söylüyor. Şirketin meşru menfaat gibi başka bir hukuki sebebe dayanması gerekir; verinin açık olması denge testinde yalnızca bir unsurdur.

Yapay zekâ aracını kullanmak için verilen rıza eğitimi de kapsar mı?

Hayır. KVKK'nın üretken yapay zekâ rehberine göre aracı kullanmak için verilen açık rıza, aracın geliştirilmesini kapsamaz. Şirket KVKK m. 5 uyarınca açık rızaya dayanıyorsa uygulamanın kullanımı, yüklenen veriyle eğitim, çıktının saklanması ve çıktıyla eğitim için ayrı ayrı rıza almalıdır.

Türkiye'deki şirket yabancı bir yapay zekâ hizmetini kişisel veriyle kullanabilir mi?

KVKK'nın 9. maddesi karşılanıyorsa kullanabilir. KVKK rehberi, yurt dışındaki yapay zekâ sağlayıcısı üzerinden gerçekleşen aktarımın 9. maddeye ve 2024 tarihli aktarım yönetmeliğine uygun olması gerektiğini söylüyor. Bu genellikle yeterlilik kararı veya beş iş günü içinde bildirilen standart sözleşme gibi uygun bir güvence demektir.

Kişisel veriyle eğitilen model anonim sayılır mı?

Kendiliğinden sayılmaz. EDPB'nin 28/2024 sayılı görüşüne göre model, ancak ondan kişisel veri çıkarılması ve sorgularla bu veriye ulaşılması ihtimali önemsizse anonimdir. GDPR kapsamında denetim otoriteleri bu iddiaları olay bazında inceler.

Kaynaklar: 6698 sayılı Kanun; KVKK üretken yapay zekâ rehberi (Yayın No: 113, Kasım 2025); (AB) 2016/679 sayılı Tüzük; EDPB'nin 28/2024 sayılı görüşü; 14756/26 sayılı Konsey belgesi (müzakere yetkisi, Komisyon önerisiyle karşılaştırmalı); FTC ve Garante açıklamaları; bu sitedeki karar özetleri (1 Kasım 2026'da okundu). KVKK ceza tutarları Kanun metninden ve Kurum'un 2026 tablosundan alınmıştır. Genel bilgi niteliğindedir, hukuki görüş değildir.