Rehber ne diyor?

Rehber, avukatın yükümlülüklerini mesleki faaliyetin bütünü bakımından ele alıyor: müvekkil verileri, dava dosyaları, baro tarafından yapılan görevlendirmeler, iş sözleşmesiyle çalışan avukatlar, yurt içi ve yurt dışı aktarımlar, veri sorumlusu sıfatından doğan ödevler ve veri güvenliği. Uygulamada en çok konuşulacak bölüm ise üretken yapay zekâ araçlarının kullanımına ayrılmış olan.

Bu bölümün muhakemesi kısa ve karşı çıkması güç. Üretken yapay zekâ hizmeti, kendisine sunulan veriyi kullanıcının denetiminde olmayan bir altyapıda işler. Bu altyapı Türkiye dışında bulunuyorsa — ki bugün piyasadaki bütün büyük genel amaçlı model hizmetleri için durum budur — kişisel veriyi bu hizmete sunmak, veriyi yurt dışındaki bir alıcıya erişilebilir kılmak demektir. 6698 sayılı Kanun bakımından bu bir aktarımdır ve yurt dışına aktarım 9. maddeyi karşılamak zorundadır.

Rehber buradan bir dizi beklenti çıkarıyor. Avukatlar, herhangi bir veri sunmadan önce hizmet sağlayıcının kullanım koşullarını, saklama politikasını ve alt işleyen düzenini incelemeli. Mümkün olduğu ölçüde maskeleme veya anonimleştirme yapmalı. İşin gerektirdiği asgari veriyle yetinmeli. Ve özel nitelikli kişisel verileri hiç yüklememeli.

Bunların hiçbiri yeni bir hukuk kuralı değil. Asıl mesele de bu; rehberin yeni bir kuraldan daha sonuç doğurucu olmasının sebebi tam olarak burada yatıyor.

Bağlayıcı olmayan bir metin neden bu kadar ağır basar?

KVKK rehberleri mevzuat değildir. Yükümlülük yaratmazlar ve bir rehberden ayrılan avukat, salt bu nedenle kanunu ihlal etmiş olmaz. Rehberlerin yaptığı iş, düzenleyicinin beklentisini kayda geçirmektir; Türk veri koruma uygulamasında sonucu belirleyen şeyin büyük kısmı da zaten budur.

6698 sayılı Kanun'un 12. maddesi, veri sorumlusundan uygun teknik ve idari tedbirleri almasını ister. "Uygun" kavramı tanımlanmamıştır ve tanımlanamaz da; içeriğini koşullardan alan bir ölçüttür. O koşullardan biri de düzenleyicinin ne beklediğini açıkça söylemiş olmasıdır. KVKK belirli bir bağlamda somut bir beklentiyi yayımladıktan sonra, bunun tersini yapan bir veri sorumlusu artık tartışmalı bir soru üzerinde görüş ayrılığında değildir. Bir sapmayı açıklamak durumundadır.

Aynı mekanizma idari para cezasında da işler. Kanun, ihlalin niteliğine ve gerçekleştiği koşullara bakılmasını öngörür. Yayımlanmış bir rehbere iyi niyetle uyulmaya çalışılmasına rağmen ortaya çıkan bir ihlal ile, yayımlanmış rehber göz ardı edildiği için ortaya çıkan bir ihlal aynı dosya değildir. Türk idari yaptırım pratiğinde bu fark, çoğu zaman cezanın miktarında değil, dosyanın hiç açılıp açılmamasında kendini gösterir.

Dolayısıyla rehberin pratik etkisi, bir dosyayı sohbet robotuna yüklemenin 22 Eylül'de hukuka aykırı hâle gelmesi değildir. Etki şudur: 22 Eylül'den sonra bunu 9. maddeyi hiç düşünmeden yapmak, bir Türk avukatının "aklıma gelmemişti" diye niteleyebileceği bir davranış olmaktan çıkmıştır.

Aktarım analizi, adım adım

6698 sayılı Kanun'un 2024 değişikliğiyle yeniden kurgulanan 9. maddesi, yurt dışına aktarıma üç yol açıyor.

Birincisi yeterlilik kararıdır. KVKK bugüne kadar hiçbir ülke, sektör veya uluslararası kuruluş bakımından yeterlilik kararı vermiş değil. Bu yol, şimdilik teorik bir seçenek olarak duruyor ve pratikte hiçbir hukuk bürosunun hesabına girmiyor.

İkincisi uygun güvencelerdir: imzalanmasından itibaren beş iş günü içinde Kuruma bildirilen standart sözleşme, bağlayıcı şirket kuralları, uluslararası bir anlaşma ya da Kurul tarafından onaylanmış bir yazılı taahhüt. Uygulamada bu, standart sözleşme demektir. Uyumun en sık kırıldığı nokta da bildirim yükümlülüğüdür: yükümlülük Kuruma bildirimde bulunmaktır ve şirketler düzenli olarak sözleşmeyi imzalayıp bildirimi yapmazlar. Beş iş günü, sözleşmenin imzalandığı ve kimsenin hukuk biriminden haberdar olmadığı bir satın alma sürecinde kolayca kaçırılan bir süredir.

Üçüncüsü ise arızi hâllere ilişkin istisnai yoldur. Bu yol, ilk iki yolun bulunmadığı hâllerde ve yalnızca düzenli olmayan, arızi aktarımlar bakımından kullanılabilir. Dayanakları arasında ilgili kişinin söz konusu aktarıma ilişkin açık rızası, bir sözleşmenin ifası için gereklilik ve bir hakkın tesisi, kullanılması veya korunması için zorunluluk bulunur.

Şimdi bunu genel amaçlı bir yapay zekâ asistanı kullanan avukata uygulayalım.

Gerçekçi olan yol ikincisidir. Bu da hizmet sağlayıcıyla, KVKK'nın yayımladığı formata uygun hükümleri içeren ve Kuruma bildirilen bir sözleşme anlamına gelir. Büyük sağlayıcıların kurumsal paketleri veri işleme şartları içerir ve bunların bir kısmı gerekli forma yaklaştırılabilir. Çoğu avukatın fiilen kullandığı bireysel kullanıcı paketleri ise buna elverişli değildir; bu paketlerde müzakere edilecek bir sözleşme yoktur, tek taraflı olarak değiştirilebilen bir kullanım koşulu metni vardır.

Üçüncü yolu ayrıca ele almak gerekiyor; çünkü ona başvurulacak ve umulduğu kadar iyi işlemeyecek. Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olmak zorundadır. Bu da müvekkile dosyasının adı belirli bir yabancı hizmete sunulacağını söylemek ve müvekkilin hayır deme ihtimalini kabul etmek demektir. Sözleşmenin ifası için gereklilik ölçütü buraya kötü oturur: vekâlet ilişkisi hukuki hizmetin sunulmasını gerektirir, belirli bir aracın kullanılmasını değil; araç, avukatın verimlilik gerekçesiyle yaptığı bir tercihtir. Hakkın korunması dayanağı bazı dava bağlamlarında gerçekten tartışılabilir, ancak rutin sözleşme kaleme alma veya özetleme işlerini taşımaz. Üstelik istisnai yolun tamamı arızi aktarımlarla sınırlıdır; bir yapay zekâ asistanının günlük kullanımı hangi okumayla bakılırsa bakılsın arızi değildir.

Bu üç yolun pratik sonucu şudur: bugün Türkiye'de bir hukuk bürosunun genel amaçlı bir modele müvekkil verisi göndermesinin hukuka uygun bir dayanağı ya kurumsal bir sözleşme ve Kuruma yapılmış bir bildirimdir, ya da yoktur. Arada bir alan bulunduğunu düşünmek, 9. maddenin metnini değil, ondan beklentimizi okumaktır.

Özel nitelikli veriler ve kırmızı çizgi

Rehberin özel nitelikli kişisel verilerin yüklenmemesine ilişkin talimatı, metnin bir değerlendirme ölçütü değil, doğrudan bir kural gibi işleyen tek parçasıdır. Aynı zamanda fark etmeden ihlal edilmesi en kolay olanıdır.

6698 sayılı Kanun'un 6. maddesine göre özel nitelikli kişisel veriler arasında sağlık verileri, biyometrik ve genetik veriler, ceza mahkûmiyeti ve güvenlik tedbirlerine ilişkin veriler, ırk ve etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet ile dernek, vakıf ya da sendika üyeliği yer alır.

Bu listeyi sıradan bir Türk avukatlık pratiğiyle karşılaştırın. İşçilik alacağı dosyaları sağlık raporu ve sendika üyeliği içerir. Ceza savunması, doğrudan mahkûmiyet ve güvenlik tedbiri verileri üzerine kuruludur. Aile hukuku dosyaları sağlık verisi ve kimi zaman inanca ilişkin unsurlar taşır. Bedensel zarar davaları baştan sona tıbbidir. İdari yargı dosyaları rutin olarak disiplin ve adli sicil kayıtları etrafında döner.

Yani bu kategoriler mesleğin kıyısında duran istisnai bir alan değil. Mesleğin büyük bir bölümü için doğrudan işin kendisidir. Bir iddianameyi modele özetleten ceza avukatı, mahkûmiyet ve güvenlik tedbirlerine ilişkin veri sunuyordur; bu veriler 6. madde uyarınca kural olarak açık rıza gerektirir, meğerki kanuni bir istisna uygulansın. Hakkın tesisi, kullanılması veya korunması için zorunlu olma istisnası mevcuttur; ancak bu istisnanın, yabancı bir işleme aracının tercih edilmesini kapsadığı hiç de açık değildir. İstisna, verinin işlenmesine ilişkindir; belirli bir teknoloji tedarikçisinin seçilmesine değil.

Rehberin çözmediği mesele: meslek sırrı

Devrede olan tek rejim veri koruma hukuku değil ve ikincisi bazı bakımlardan daha ağırdır.

Avukatlık Kanunu'nun 36. maddesi avukata sır saklama yükümlülüğü getirir; Türk Ceza Kanunu ise meslek sırrının açıklanmasını suç olarak düzenler ve bu koruma, m.130 ile m.239 bağlamında tartışılan hükümler üzerinden işler. Sır saklama yükümlülüğü müvekkile karşı borçlanılmıştır ve veri koruma hukukuna uyulmasıyla ifa edilmiş sayılmaz. 9. maddeyi eksiksiz karşılayıp yine de 36. maddeyi ihlal etmek mümkündür. Bu iki rejim aynı olguyu farklı sorularla değerlendirir: biri verinin nereye gittiğini, diğeri sırrın kime açıklandığını sorar.

Rehberin yanıtlamadığı soru, müvekkile ait bilginin üçüncü kişi konumundaki bir işleyene sunulmasının hiç "açıklama" sayılıp sayılmayacağıdır. Klasik cevap — hukuk bürolarının her türlü dış hizmeti kullanabilmesini sağlayan cevap — avukatın talimatı altında hareket eden ve gizlilikle bağlı olan işleyenin üçüncü kişi değil, büronun bir uzantısı sayılacağıdır. Bulut depolama, deşifre hizmetleri ve belge inceleme platformları hep böyle değerlendirilmiştir.

Üretken yapay zekâ bu muhakemeyi iki noktada zorluyor. Sağlayıcının koşulları, sunulan içeriğin model geliştirme amacıyla kullanılmasına izin veriyorsa, bilgi artık avukatın talimatı altında olmayan ve geri dönmeyen bir yere gitmiştir. Sağlayıcı içeriği kötüye kullanım denetimi için saklıyorsa — çoğu sağlayıcı varsayılan olarak saklar — Türk meslek sırrı rejimiyle bağlı olmayan bir operatör o içeriği okuyabilir.

Bireysel kullanıcı koşulları tipik olarak eğitim amaçlı kullanıma varsayılan olarak izin verir ve kullanıcıdan bunu kapatmasını bekler. Kurumsal koşullar tipik olarak izin vermez. Bu alandaki tek en önemli pratik ayrım budur ve aracın teknik bir özelliği değil, bir sözleşme hükmüdür. Aynı modeli, aynı arayüzü ve aynı çıktıyı, birbirinden tamamen farklı iki hukuki konumda kullanıyor olabilirsiniz; farkı yaratan şey hiç okumadığınız bir metindir.

Bir Türk hukuk bürosunun bu hafta yapması gerekenler

Rehber uzun; operasyonel karşılığı değil.

Hangi paketin kullanıldığını tespit edin. Bireysel ve kurumsal hesaplar; eğitim amaçlı kullanım, saklama süresi ve veri işleme şartlarının varlığı bakımından ayrışır. Çoğu büro kendi çalışanlarının hangisini kullandığını bilmez; çünkü çoğu kişi bireysel olarak kaydolmuştur ve bunu bir yazılım tedariki gibi değil, bir uygulama indirmek gibi düşünmüştür.

Aktarım dayanağını kurun ya da durun. Yapay zekâ araçları iş akışının parçasıysa, büronun standart sözleşme formuna getirilebilecek ve beş iş günü içinde KVKK'ya bildirilebilecek sözleşme hükümlerine ihtiyacı vardır. Bu yapılmayacaksa dürüst konum, bu araçlara müvekkil verisi verilmemesidir.

Özel nitelikli veri sınırını kural olarak çizin. Tartılacak bir unsur olarak değil. Sağlık, ceza, biyometrik, sendika ve inanç verileri — paket ne olursa olsun — düşünülmüş ve belgelenmiş bir dayanak oluşmadan genel amaçlı bir modele girmez.

Anonimleştirmeyi varsayılan çalışma yöntemi hâline getirin. İsimler, kimlik numaraları, doğum tarihleri, adresler ve dosya numaraları hukuki soruların çoğundan kayıpsız biçimde çıkarılabilir. Zamanaşımına ilişkin bir soru müvekkilin adını gerektirmez. Bu tek alışkanlık riskin büyük kısmını ortadan kaldırır ve hiçbir maliyeti yoktur.

Vekâlet ilişkisini ve bilgilendirmeyi ele alın. Müvekkil materyali üzerinde araç kullanılacaksa müvekkile söylenmelidir. Bu kısmen bir rıza sorunu, büyük ölçüde bir meslek etiği sorunudur: müvekkiller giderek daha sık soruyor ve cevabın soru sorulmadan önce hazır olması gerekiyor.

Politikayı yazıya dökün. Hangi araçlar, hangi pakette, hangi iş türleri için, müvekkil verisi nasıl ele alınarak kullanılabilir. Belgenin değeri içeriğinden fazladır; çünkü büronun bu soruyu düşündüğünü ispatlar ve 12. madde tartışmasında elinizde bulunan tek somut delil odur.

Karşılaştırmalı bakış: Avrupa ve Kore

Türkiye bu soruya ulaşan ilk ülke değil. Karşılaştırma yararlı; çünkü KVKK'nın bazı muadillerinden daha dar ve daha uygulanabilir bir çizgi tutturduğunu gösteriyor.

Avrupa Birliği'nde aktarım analizi yapısal olarak benzer, ancak Türkiye'de bulunmayan bir mekanizmayla yumuşatılmış durumda. GDPR'ın V. Bölümü aynı temel şartı getirir; fakat orada yeterlilik kararları mevcuttur ve büyük yapay zekâ sağlayıcılarının çoğu işlemelerinin en azından bir kısmı için bunlara dayanabilir ya da denetim otoritesine bildirim gerektirmeyen standart sözleşme hükümlerini kullanabilir. Bu nedenle Avrupa'daki tartışma aktarımdan uzaklaşıp hukuka uygunluk sebebine ve amaçla bağlılığa kaydı: müvekkil verisinin bir modele sunulmasının hiçbir dayanağı var mı ve model geliştirme amacıyla kullanım, toplama amacıyla bağdaşır mı? İtalya'nın denetim otoritesi bu cephede en etkin aktör oldu ve üretken yapay zekâ hizmetlerine yönelik müdahaleleri aktarım üzerinden değil, hukuka uygunluk sebebi, şeffaflık ve çocukların verileri üzerinden yürüdü.

Türk konumunu kâğıt üzerinde benzeyen kurallara rağmen uygulamada Avrupa'dan daha katı kılan şey, bir yeterlilik kararının bulunmamasıdır. Amerikan bir model hizmetini kullanan Avrupalı bir büronun çoğu zaman işleyen bir yolu vardır. Türk bir büronun elinde ya standart sözleşme ve bildirim yükümlülüğü vardır, ya da düzenli kullanıma uymayan istisnai yol.

Güney Kore aynı konuya, aynı hafta içinde farklı bir açıdan ulaştı. 23 Eylül'de Kore Kişisel Bilgi Koruma Komisyonu (PIPC), yapay zekâ mahremiyet politikası konseyini etmen (agentic) yapay zekâ gündemiyle topladı. Katılımcılar başlıca riskleri, otonom etmenlere verilen aşırı yetkiler ve komut enjeksiyonu olarak belirledi; Komisyon ise 2026 sonuna kadar etmen yapay zekâda kişisel veri işlenmesine ilişkin özel bir rehber yayımlamayı taahhüt etti. Kore'nin sorusu, otonom bir sistemin kuruma girdikten sonra nereye uzanabileceği. Türkiye'nin sorusu, bir kişi veri sunduğunda kurumdan neyin çıktığı. İkisi de aynı problemin doğru yarısı ve yalnızca birini çözen bir kurum aslında hiçbirini çözmemiştir.

Kore karşılaştırması ikinci bir ders daha taşıyor. Kore'nin mesleki hizmetlere ilişkin sorusu — Adalet Bakanlığı'nın, avukatların tüketiciye yönelik ücretli ve hukuku somut olaya uygulayan yapay zekâ hizmetleri sunmasını yasaklayacak taslak kılavuzu — bir veri sorunu değil, bir tekel ve tüketicinin korunması sorunudur. İki ülke birlikte, üretken yapay zekânın hukuk pratiğinde harekete geçirdiği üç ayrı rejimi gösteriyor: veri koruma, meslek sırrı ve hukuki hizmetlerin kanunla ayrılmış kapsamı. Bunlar genellikle tek bir başlık altında konuşuluyor. Oysa üç ayrı başlık; farklı düzenleyicileri, farklı ölçütleri ve farklı yaptırımları var.

Daha geniş sinyal

Bunu yalnızca avukatlara yönelik bir rehber olarak okumak hata olur.

Analitik hamle — yurt dışında barındırılan bir yapay zekâ hizmetine veri sunmayı, 9. madde dayanağı gerektiren bir yurt dışı aktarımı saymak — avukatlık mesleğine özgü değil. Muhakemenin hiçbir unsuru, verinin bir dava dosyası olmasına dayanmıyor. Hasta notlarını sunan bir hastane, müşteri yazışmalarını sunan bir banka, personel kayıtlarını sunan bir işveren ve hata ayıklama için kullanıcı verisini sunan bir yazılım şirketi, aynı muhakemeyle kişisel veriyi yurt dışına aktarıyor.

KVKK bunu ilk kez, kanuni bir sır saklama yükümlülüğü bulunan düzenlenmiş bir meslek bağlamında söylemeyi tercih etti; yani itirazın en zor olduğu bağlamda. Kurduğu muhakeme her sektöre uygulanır ve herkesin bunun uygulanmasını beklemesi gerekir.

Zamanlama, ilk bakışta göründüğünden yoğun bir haftanın içine düşüyor. KVKK'nın yapay zekâ, 5G ve akıllı teknolojiler çağında kişisel veriler konulu zirvesi 24 Eylül'de, sorumlu veri yönetişimi temasıyla toplandı. Anayasa Mahkemesi Başkanı 23 Eylül'de yargıda yapay zekâya ilişkin ilkeleri ortaya koydu. Cumhurbaşkanı 22 Eylül'de BM Genel Kurulu'nda uluslararası bir yapay zekâ sözleşmesi çalışmalarının hızlandırılmasını istedi. Üç üst düzey ilke beyanıyla aynı hafta içinde somut ve operasyonel bir araç yayımlayan bir düzenleyici, dördünden hangisinin uygulanmasını beklediğini size söylüyor demektir.

Sık Sorulan Sorular

Türk avukatlar için üretken yapay zekâ kullanımı artık yasak mı?

Hayır. Rehber üretken yapay zekâyı yasaklamıyor. Yurt dışında barındırılan bir hizmete kişisel veri sunulmasının, 9. madde dayanağı gerektiren bir yurt dışı aktarımı olduğunu söylüyor ve uyumlu kullanım için beklentiler belirliyor: asgari veri, maskeleme, koşulların incelenmesi ve özel nitelikli veri yüklenmemesi.

Araç Türkiye'deki altyapıda çalışıyorsa bu analiz uygulanır mı?

İşleme gerçekten Türkiye'de kalıyorsa aktarım analizi devre dışı kalır; geri kalanı kalmaz. 12. maddedeki veri güvenliği yükümlülükleri, Avukatlık Kanunu'nun 36. maddesindeki sır saklama borcu ve 6. maddedeki özel nitelikli veri rejimi, sunucuların nerede olduğundan bağımsız olarak uygulanır.

Anonimleştirilmiş veri hâlâ kişisel veri midir?

Usulüne uygun biçimde anonim hâle getirilmiş veri 6698 sayılı Kanun'un kapsamı dışında kalır. Güçlük şu ki hukuki olay örgüleri isim olmadan da çoğu zaman belirleyicidir; küçük bir sektördeki ayırt edici bir uyuşmazlık, o sektörü bilen herkes için tarafları teşhis edilebilir kılar. Doğrudan tanımlayıcıların maskelenmesi riski ciddi ölçüde azaltır; her zaman anonimleştirme sonucunu doğurmaz.

Müvekkilin rızası sorunu çözer mi?

Bazen, ve umulduğundan daha seyrek. Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olmalıdır; üstelik içinde yer aldığı istisnai aktarım yolu yalnızca arızi aktarımlar için açıktır. Rıza, tek seferlik bir aktarım için işleyen, günlük kullanılan bir araç için ise zayıf bir dayanaktır.

Aracı büro sağlıyorsa bağlı çalışan avukatın durumu ne olur?

Veri sorumlusu bürodur ve uyum yükü ona aittir. Ancak Avukatlık Kanunu'ndan doğan sır saklama yükümlülüğü avukatın şahsına bağlıdır ve işverenin politikasıyla ifa edilmiş olmaz. Büronun düzeninin sır saklama yükümlülüğünü ihlal ettiğini düşünen avukatın, büro politikasının çözmediği kişisel bir sorunu vardır.

Geçmişteki kullanım için sorumluluk doğar mı?

Rehber kanunu geriye yürütmez; 9. madde zaten yürürlükteydi. Değişen şey, geçmiş uygulamayı dürüst bir yanlış anlama olarak niteleyebilme imkânıdır. Makul tepki, geçmişi denetlemek değil, düzeni bugünden düzeltmektir.

Burhan Doğuş Ayparlar'ın Görüşü

Bu bölüm, sitenin kurucusu ve yapay zekâ etiği & uyum danışmanı Burhan Doğuş Ayparlar'ın kişisel değerlendirmesidir.

Söze kendi mesleğim açısından rahatsız edici olan yerden başlamak istiyorum; aksi hâlde tartışma, sorun KVKK'nınmış gibi yürütülecek.

Çok sayıda Türk avukatı son iki yılını, müvekkil materyalini bireysel paketlerdeki sohbet robotlarına yapıştırarak geçirdi. Bunu biliyorum; çünkü veri koruma üzerine konuştuğum konferanslarda bana neşeyle anlatıyorlar. Materyal iddianameleri, sağlık raporlarını, özlük dosyalarını ve yazışmaları kapsıyor. Bunların neredeyse hiçbirinden önce sağlayıcının koşullarına bakılmadı, esasen hiçbirinden önce bir 9. madde değerlendirmesi yapılmadı. Bu bir kötü niyet değildi. Mesleğin alışkanlıklarından daha hızlı gelen bir araçtı ve çoğu zaman çoğu davranışı düzenleyen şey alışkanlıklardır.

KVKK'nın yaptığı şey, yaptığımız iş ile birisi sorsaydı yaptığımızı söyleyeceğimiz iş arasındaki açığı kapatmak oldu. Rehberliğin asıl işlevi budur ve muhakemenin doğru olduğunu düşünüyorum. Başka bir ülkedeki altyapıya sunulan bir dosya ülkeyi terk etmiştir; bir e-posta eki yerine bir metin kutusundan çıkmış olması, nereye gittiği konusunda hiçbir şeyi değiştirmez.

İtiraz edeceğim yer ölçülülük. Rehber avukatlardan kullanım koşullarını, saklama politikalarını ve alt işleyen düzenlerini incelemesini istiyor. Uyum birimi olan büyük bir büro için bu bir iştir. Gaziantep'te tek başına çalışan bir meslektaşım için ise, kendisi de tek taraflı değiştirilebilen kırk sayfalık İngilizce sözleşme metnini okuma davetidir. Yükümlülük ilkede doğru, pratikte zordur; bu iki nokta arasındaki boşluk, rehberliğin sessizce yalnızca büyük büroların uyabileceği bir kurala dönüştüğü yerdir. KVKK ile Türkiye Barolar Birliği'nin bu değerlendirmeyi merkezî olarak yapmasını görmek isterdim: başlıca hizmetleri incelemek, hangi paketlerin uyumlu bir düzeni destekleyebileceğini yayımlamak ve bir model hüküm seti üretmek. Bu, elli bin ayrı öğleden sonrayı kurtaracak tek bir kurumsal öğleden sonradır ve hiçbir nasihatin sağlayamayacağı kadar yüksek bir uyum üretir.

En ciddiye alacağım kısım, rehberin gündeme getirip çözmediği meslek sırrı meselesi. Veri koruma ihlalleri pahalıdır. Avukatlık Kanunu'nun 36. maddesi kapsamındaki bir sır ihlali, arkasında ceza hukuku da varken, bambaşka bir sorun türüdür ve standart sözleşmenizi Kuruma bildirip bildirmediğinize bağlı değildir. Sağlayıcının koşulları içeriğin model geliştirme için kullanılmasına izin veriyorsa, işleyenin büronun uzantısı sayılacağı muhakemesinin ayakta kaldığını düşünmüyorum; çünkü bilgi, sizin talimatınız altında olmayan ve geri dönmeyen bir yere gitmiştir. Dolayısıyla kurumsal paket ile bireysel paket arasındaki fark bir satın alma tercihi değildir. Savunulabilir bir düzen ile bir disiplin kuruluna anlatmak istemeyeceğim bir düzen arasındaki çizgidir.

Daha geniş okumayı ise hukukçu olmayanlara vermek isterim; çünkü asıl şaşıracak olanlar onlar. KVKK'nın muhakemesinde avukatlık mesleğine özgü hiçbir şey yok. Yurt dışında barındırılan bir modele kişisel veri sunmak, veri ister bir dava dosyası, ister bir hasta notu, ister bir özlük kaydı, ister bir müşteri şikâyeti olsun, yurt dışına aktarımdır. Kurum bu noktayı önce inkârın en zor olduğu yerde koydu; ancak artık kayda geçmiş olan analiz herkese uygulanacak. Aynı davranışı aynı bireysel paketlerle sürdüren hastaneler, bankalar, sigorta şirketleri ve insan kaynakları birimleri bu rehberi kendileri hakkında yazılmış gibi okumalı — ve bunu, böyle söyleyen ilk karardan sonra değil, bu hafta yapmalı.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık teşkil etmez. Açıklamalar, 22 Eylül 2026 tarihinde yayımlanan rehbere ve aynı haftaya ilişkin kamuya açık beyanlara dayanmaktadır. Türk hukukuna ilişkin değerlendirmeler genel nitelikte olup somut olaylar ayrıca değerlendirilmelidir. Yorum ve değerlendirmeler yazara aittir.