Düzeltme (19 Ekim 2026): KVKK'nın 9. maddesindeki değişikliğin yürürlük tarihini (1 Haziran 2024) ve standart sözleşmelere ilişkin açıklamayı düzelttik: standart sözleşmeler Kurulca ilan edilir, değiştirilmeden kullanılır ve imzadan itibaren beş iş günü içinde Kuruma bildirilir.

Ölçeklenebilir yapay zeka modelleri geliştirmek büyük bir bilgi işlem gücü gerektirir ve bu ihtiyaç neredeyse her zaman küresel bulut sağlayıcılarına yönelmeyi zorunlu kılar. Kendi LLM'ini eğiten Ankara merkezli bir hukuk teknolojisi şirketi de, İK analitiğini tek merkezde toplayan Dubai merkezli bir kuruluş da büyük olasılıkla verilerini sınır ötesine aktarıyordur. Veriler Türkiye'de toplanıp model BAE'deki sunucularda eğitilebilir, çıkarım (inference) ise Amerika Birleşik Devletleri'nde çalıştırılabilir. Pek çok iddialı yapay zeka projesi, veri yaşam döngüsünün bu coğrafi dağılımı nedeniyle ciddi hukuki engellerle karşılaşır. Sınır ötesi veri aktarımına ilişkin uyum, artık formalite gereği işaretlenecek bürokratik bir kutucuk değil, yapay zeka mimarisinin bütünlüğünü doğrudan belirleyen bir unsurdur.

1. KVKK 9. Madde Değişikliklerinin Yapay Zeka Operasyonlarına Etkisi

Katı açık rıza şartı ve KVKK'nın 9. maddesi kapsamında ilan edilmiş "güvenli ülke" listelerinin bulunmaması nedeniyle kişisel verileri yurt dışına aktarmak yıllarca oldukça zordu. Ancak 12 Mart 2024'te Resmî Gazete'de yayımlanan ve 9. madde bakımından 1 Haziran 2024'te yürürlüğe giren 7499 sayılı Kanun ile yapılan kapsamlı değişiklikler, Türk hukukunu GDPR'a daha da yaklaştırarak tabloyu önemli ölçüde değiştirdi.

Yapay zeka şirketleri açısından bu değişiklik, eğitim veri setlerinin yurt dışına aktarılmasında açık rızanın artık birincil (ve son derece kırılgan) dayanak olmadığı anlamına geliyor. Bundan böyle Kişisel Verileri Koruma Kurulu tarafından ilan edilen ve üzerinde değişiklik yapılmadan kullanılması, imzadan itibaren beş iş günü içinde de Kuruma bildirilmesi gereken standart sözleşmelere veya grup içi veri havuzları için Kurulca onaylanan bağlayıcı şirket kurallarına (BCR) dayanılabilir. Suudi Arabistan veya BAE'de bir yapay zeka merkezi işleten bir şirket, bulut ve yapay zekâ tedarikçileriyle bu standart sözleşmeleri imzalaması ve süresi içinde Kuruma bildirmesi koşuluyla, her bir ilgili kişiden ayrıca izin almak zorunda kalmadan Türkiye'deki şubelerinden hukuken sağlam veri aktarımları kurgulayabilir.

2. Yapay Zeka Bulut Altyapısı ve GCC Yaklaşımı

GCC ülkeleri veri egemenliği ve veri korumaya ilişkin düzenlemelerini hızla geliştiriyor. 2021 tarihli ve 45 sayılı BAE Federal Kanun Hükmünde Kararnamesi (PDPL) ve Suudi Arabistan'ın güncellenmiş Kişisel Verilerin Korunması Kanunu (PDPL), verilerin nereye ve nasıl aktarılabileceği konusunda katı kurallar öngörmektedir.

Yapay zeka altyapısı (Google Vertex AI, AWS Bedrock veya Microsoft Azure gibi) seçilirken verilerin hem "eğitim" hem de "çıkarım" (kullanım) aşamasında fiziksel olarak nerede bulunacağı tespit edilmelidir. Sağlayıcıların çoğu, verileri belirli bir GCC bölgesinde "durağan" (at rest) halde tutma seçeneği sunar ve bu, yerel veri yerelleştirme taleplerini büyük ölçüde karşılar. Ancak model mimarisi, yapay zekanın ürettiği yanıt döndürülmeden önce verilerin işlenmek üzere bir ABD sunucusuna gönderilmesini gerektiriyorsa, sürekli bir sınır ötesi aktarım söz konusudur. BAE ve Suudi Arabistan mevzuatına göre bu aktarım için bir yeterlilik kararı ya da alıcı ülkenin eşdeğer koruma sağladığını güvence altına alan uygun sözleşmesel güvenceler gerekir.

3. Yapay Zekada Tedarikçi Yönetimi ve Alt İşleyici (Sub-Processor) Zincirleri

Yapay zekada sınır ötesi uyumun gözden kaçan tuzaklarından biri alt işleyici zinciridir. Bir şirket, verilerinin Dubai'de kalacağını varsayarak orada saygın bir yapay zeka tedarikçisiyle sözleşme imzalayabilir. Ancak bu tedarikçi Kaliforniya merkezli bir LLM sağlayıcısının API'sini kullanıyor, o sağlayıcı da başka bir ülkeden veri etiketleme hizmeti alıyor olabilir.

Birincil veri sorumlusu olarak şirket, bu zincirin tamamından hukuken sorumludur. Bu nedenle sözleşmeler, doğrudan çalışılan yapay zeka tedarikçilerini alt işleyicilerini açıklamakla ve eğitim verilerinin sonraki aktarımlarında da veri sorumlusunun tabi olduğu KVKK veya GCC standartlarına uyulacağını taahhüt etmekle yükümlü kılmalıdır. Veri koruma düzenlemesi bulunmayan bir ülkedeki alt işleyici verileri sızdırırsa, yaptırımlarla karşılaşacak olan veri sorumlusu şirkettir.

4. Bir Sınır Savunması Olarak Model Tersine Çevirme ve Anonimleştirme

Sınır ötesi aktarımdan kaynaklanan hukuki güçlükleri aşmanın en etkili yollarından biri, verilerin sınırı geçmeden önce "kişisel" veri niteliğini yitirmesini sağlamaktır. Türkiye'de veya bir GCC ülkesinde yerleşik bir kuruluş, veri setini model eğitimi için yurt dışına göndermeden önce tamamen anonim hale getirirse, veriler hem KVKK'nın hem de bölgesel PDPL'lerin kapsamı dışında kalır.

Ne var ki yapay zeka bunu zorlaştırıyor. Gelişmiş makine öğrenimi modelleri, veri setlerini birbiriyle karşılaştırarak kişileri yeniden tanımlamakta (model inversion attacks - model tersine çevirme saldırıları) oldukça başarılıdır. Bu nedenle geleneksel takma adlandırma (pseudonymization - örneğin bir ismi maskeleyip kimlik numarasını saklamak), yapay zeka amacıyla yurt dışına veri aktarımında yeterli değildir. Veriler yurt içinde geri döndürülemez kriptografik yöntemlerle anonim hale getirilmeli ya da sentetik veri üretimine başvurulmalıdır. Gerçek kişisel veri içermeyen, ancak bölgedeki kullanıcıların istatistiksel özelliklerini yansıtan sentetik verilerle eğitilen modeller, sınır ötesi aktarıma ilişkin hukuki riskleri tamamen ortadan kaldırabilir.

Sonuç

Sınırların giderek önemini yitirdiği dijital ekonomide bile fiziksel sunucuların bir adresi vardır ve hukuki yükümlülükleri bu adresler belirler. Kuruluşlar, KVKK'nın yeni sözleşme mekanizmalarından yararlanarak, bulut sağlayıcılarının coğrafi yapılandırmalarını sıkı biçimde denetleyerek ve ileri anonimleştirme yöntemlerine yatırım yaparak Türkiye'yi, GCC ülkelerini ve küresel yapay zeka pazarını birbirine bağlayan, sağlam ve mevzuata uygun veri hatları (data pipelines) kurabilir.

Yasal Uyarı: Bu makale yalnızca genel bilgilendirme amacı taşır; hukuki görüş niteliğinde değildir. Somut yapay zeka ve veri koruma yükümlülükleri, her olayın kendine özgü koşulları dikkate alınarak ayrıca değerlendirilmelidir.