Güncelleme (2 Kasım 2026): Metin hukuki kaynaklarla karşılaştırıldı, kaynaklar eklendi. Not artık KVKK'nın 9. maddesi kapsamındaki aktarımın 5. veya 6. maddeye dayanan bir hukuki sebep de gerektirdiğini söylüyor. BAE ve Suudi Arabistan bölümleri erişilebilen metinlerden yeniden yazıldı; DIFC ve ADGM eklendi; açılamayan kaynaklar belirtildi. Veri sorumlusunun bütün zincirden sorumlu olduğu ve "cezayla karşılaşacağı" ifadeleri düzeltildi. Sentetik verinin hukuki riski "tamamen ortadan kaldırdığı" ve "geri döndürülemez kriptografik anonimleştirmenin" sorunu çözdüğü iddiaları geri alındı. Model tersine çevirme saldırısının tanımı yanlıştı, düzeltildi.

Düzeltme (19 Ekim 2026): KVKK'nın 9. maddesi kapsamındaki standart sözleşmelere ilişkin anlatımımızı düzelttik: bunlar tek tek onaylanmaz, Kurul tarafından yayımlanır; değiştirilmeden kullanılmalı ve imzadan itibaren beş iş günü içinde Kuruma bildirilmelidir.

Bir yapay zekâ modelini eğitmek çoğu zaman kişisel verileri başka bir ülkedeki sunuculara kopyalamak anlamına gelir. Türkiye'den yapılan böyle bir işlem Kişisel Verilerin Korunması Kanunu'nun (KVKK) 9. maddesine tabidir. Körfez ülkelerinde ise tek bir kural yok: yalnızca BAE'de federal bir kanun ile DIFC ve ADGM finans serbest bölgelerinde ayrı rejimler bulunuyor. Bu not Türkiye, DIFC, ADGM, BAE federal kanunu ve Suudi Arabistan'ı kapsıyor. Katar, Bahreyn, Umman ve Kuveyt'i incelemedik.

KVKK'nın 9. maddesi ne istiyor?

9. maddenin birbirinden ayrı iki şartı var ve ikisi de karşılanmalı. KVKK (6698 sayılı Kanun), bu konuda 1 Haziran 2024'ten beri yürürlükte olan 7499 sayılı Kanunla değişik haliyle şunları arıyor:

  • Hukuki sebep. 5. veya 6. maddedeki şartlardan biri bulunmalı. Aktarım aracı bunun yerini tutmaz. Kişisel verilerle model eğitmenin bir hukuki sebebe dayanıp dayanmadığı ayrı ve çoğu zaman daha zor bir sorudur.
  • Aktarım aracı. Ya Kurulun yeterlilik kararı ya da ilgili kişinin aktarımın yapılacağı ülkede haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunduğu bir uygun güvence. Uygun güvenceler şunlar: Kurulun ilan ettiği standart sözleşme, Kurulun onayladığı bağlayıcı şirket kuralları, Kurul izniyle yazılı taahhütname veya Kurul izniyle kamu kurumları arasında uluslararası sözleşme niteliğinde olmayan anlaşma.

Standart sözleşme imzadan itibaren beş iş günü içinde Kuruma bildirilmelidir (9. maddenin 5. fıkrası). Bildirmemenin idari para cezası, Kanun'un güncel metninde 18. maddenin 1. fıkrasının (d) bendinde 50.000 TL ile 1.000.000 TL arasında gösteriliyor. Usuller 10 Temmuz 2024 tarihli Yönetmelik'te düzenleniyor.

Aktarım aracı olarak açık rıza artık yalnızca 9. maddenin 6. fıkrasındaki istisnalardan biri ve bu istisnalar yalnızca arızi aktarımlara uygulanıyor. Tekrar eden bir eğitim süreci buna uymaz gibi görünüyor. Dolayısıyla şirketin "her bir ilgili kişiden rıza almadan" aktarım yapabileceğine dair önceki ifade yalnızca aktarım aracı bakımından doğruydu. KVKK yurt dışı aktarım rehberimiz adımları anlatıyor.

Yabancı bir yapay zekâ hizmetini kullanmak aktarım sayılır mı?

Sayılabilir. Kurum, Türkiye Barolar Birliği ile hazırlayıp avukatlar için 2026'da yayımladığı rehberde, üretken yapay zekâ sağlayıcısının yurt dışında olması, sunucularının yurt dışında bulunması veya verilerin yurt dışındaki alt hizmet sağlayıcılar aracılığıyla işlenmesi ihtimalinde 9. madde kapsamında aktarımın söz konusu olabileceğini belirtiyor. Bu rehbere ilişkin notumuz bağlamı veriyor. Bu yüzden eğitimin yapıldığı yer, modelin sorguları yanıtladığı yer ve tedarikçinin alt sağlayıcıları ayrı ayrı kontrol edilmelidir.

Körfez metinleri aktarım hakkında ne diyor?

  • DIFC. Veri Koruma Kanunu'nun (5 sayılı DIFC Kanunu, 2020) 26. ve 27. maddelerine göre DIFC dışına aktarım; Komiser'in belirlediği yeterli koruma düzeyi, uygulanabilir haklar ve hukuk yolları içeren uygun güvenceler, özel bir istisna ya da 27. maddenin 4. fıkrasındaki, tekrar etmeyen ve sınırlı sayıda kişiyi ilgilendiren aktarıma ilişkin dar durumu gerektiriyor. 10. Düzenleme, özerk ve yarı özerk sistemlerle işlenen kişisel veriler için bildirim ve başka yükümlülükler ekliyor.
  • ADGM. ADGM'nin 2021 tarihli Veri Koruma Düzenlemeleri rehberinin 6. Bölümü üç tür yol sayıyor: yeterlilik kararı, Komiser'in standart maddelerini de içeren uygun güvenceler ve istisnalar. Rehbere göre ADGM dışındaki BAE toprakları da ADGM dışı yargı alanı sayılıyor.
  • BAE federal kanunu. BAE Yapay Zekâ Ofisi'nin 45 sayılı Federal Kanun Hükmünde Kararname (2021) özetine göre aktarım, gidilen ülkede benzer bir mevzuat bulunup bulunmamasına bağlı. Yoksa BAE kanununa uymayı öngören anlaşmalar ile birlikte rıza veya sözleşmesel zorunluluk aranıyor. Aynı sayfa, kanunun 2 Ocak 2022'de yürürlüğe girdiğini ve veri sorumlularının Yürütme Yönetmeliği'nin çıkarılmasından itibaren altı ay içinde uyum sağlaması gerektiğini söylüyor. Yönetmeliğin çıkarıldığını doğrulayamadık. Resmî portal kararnameyi yalnızca Arapça sunuyor ve lafız için buna dayanmadık.
  • Suudi Arabistan. Kişisel Verilerin Korunması Kanunu'nun 29. maddesi aktarıma yalnızca sayılan amaçlarla izin veriyor; ulusal güvenliğe veya hayati çıkarlara zarar vermeme, yeterli koruma düzeyi ve verilerin en aza indirilmesi şartlarını arıyor. Aktarım Yönetmeliği (2.0 sürümü, Ağustos 2024), sayılan amaçlara veri sorumlusunun faaliyetleri için merkezi işlemeyi, ilgili kişiye hizmet veya fayda sağlamayı ve bilimsel araştırmayı ekliyor. 4. maddesi, sayılan durumlarda veri sorumlusunu ikinci ve üçüncü şarttan veya bunlardan birinden muaf tutuyor; bu durumda uygun güvenceler aranıyor: standart sözleşme maddeleri, bağlayıcı ortak kurallar veya yetki belgesi. SDAIA ayrıca standart sözleşme maddeleri ve bağlayıcı olmayan bir risk değerlendirme rehberi (Şubat 2025) yayımladı. Yönetmelik yapay zekâ eğitiminden söz etmiyor; hangi durumun buna uyacağı metinden çıkmıyor.

Körfez'de yapay zekâ yönetişimi notumuz daha geniş çerçeveyi veriyor.

Alt veri işleyenlerden kim sorumlu?

KVKK'nın 12. maddesinin 2. fıkrasına göre veri sorumlusu, birinci fıkradaki güvenlik tedbirleri bakımından veri işleyenle birlikte müştereken sorumludur. 9. maddenin 8. fıkrasına göre güvenceler ve 9. madde sonraki aktarımlara da uygulanır. Yani zincir önemlidir; ama kanun veri sorumlusunu zincirdeki her şeyden kendiliğinden sorumlu kılmaz. Pratik bir adım, tedarikçilerden alt veri işleyenleri açıklamalarını ve aynı şartları aşağıya taşımalarını istemektir.

Anonim veya sentetik veri sorunu çözer mi?

Ancak veri gerçekten anonimse çözer ve bunu göstermek zordur. KVKK'nın 3. maddesi anonim hale getirmeyi, verinin başka verilerle eşleştirilerek dahi kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hale getirilmesi olarak tanımlıyor. Kimlik numarasını tutup adı maskelemek bu ölçütü karşılamaz. Bir tanımlayıcının özetini (hash) almak da, özet başka verilerle hâlâ eşleştirilebiliyorsa karşılamaz.

Yapay zekâ bakımından iki risk daha var. Veri setlerini eşleştirmek kişileri yeniden tanımlayabilir. Ayrıca model tersine çevirme saldırısı, eğitim verisini modelin kendisinden çıkarmaya çalışır. Türk veya Körfez makamlarını bağlamayan Avrupa Veri Koruma Kurulu'nun 28/2024 sayılı görüşü, kişisel verilerle eğitilen bir modelin her durumda anonim sayılamayacağını ve kişisel veri çıkarılması olasılığının önemsiz olması gerektiğini söylüyor.

Sentetik veri riski azaltabilir, ama ortadan kaldırmaz. Gerçek kayıtlardan sentetik veri üretmek de bir işlemedir ve sonucun gerçek kişileri tanımlamaya elverip elvermediği test edilmelidir.

Kaynaklar: KVKK 3, 5, 6, 9, 12 ve 18. maddeler, güncel metin; aktarım Yönetmeliği, 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete; KVKK Yayınları No. 115, avukatlar için rehber (Temmuz 2026); 5 sayılı DIFC Kanunu (2020; Temmuz 2025 birleştirilmiş sürümü) ve Veri Koruma Düzenlemeleri (1 Eylül 2023'te yürürlükte olan birleştirilmiş sürüm); ADGM'nin DPR 2021 rehberi, 6. Bölüm (Uluslararası Aktarımlar); BAE Yapay Zekâ Ofisi sayfası ve BAE hükümet portalı; Suudi Arabistan KVK Kanunu (SDAIA'nın İngilizce metni, 2023), Aktarım Yönetmeliği (Ağustos 2024), SDAIA maddeleri (Eylül 2024) ve rehberi (Şubat 2025); EDPB 28/2024 sayılı görüş. 2 Kasım 2026'da okundu. Açılamayan: BAE kararnamesinin resmî İngilizce metni (uaelegislation.gov.ae otomatik erişimi reddetti). Ceza tutarları Kanun metninde gösterildiği gibidir ve yeniden değerleme nedeniyle farklı olabilir. Bu yazı genel bilgi amaçlıdır, hukuki görüş değildir.