Güncellendi: 2 Kasım 2026. KVKK, dosya yüklemenin her zaman aktarım olduğunu değil, aracın değerlendirilmesi sonucunda yurt dışına aktarım "olabileceğini" söylüyor. Rehber Türkiye Barolar Birliği ile hazırlandı. Avukatların alışkanlıklarına dair iddialar ve doğrulanamayan Kore taslak kılavuzu geri alındı.

Düzeltme (19 Ekim 2026): Atıf yapılan ceza hükümleri TCK m.130 yerine m.136 ve m.239 olarak düzeltilmiş, rehberin özel nitelikli verilere ilişkin ifadesi bir kural olarak değil tavsiye olarak aktarılmış ve SSS, Türkiye'de barındırılan araçlar için de 8. madde kapsamında yurt içi aktarım değerlendirmesi öngören rehber metnine uygun hâle getirilmiştir.

Kişisel Verileri Koruma Kurumu (KVKK) ve Türkiye Barolar Birliği, 22 Eylül 2026'da avukatlara yönelik bir uygulama rehberini tanıttı. Rehbere göre müvekkil dosyalarının ChatGPT veya Gemini gibi üretken yapay zekâ araçlarına yüklenmesi, 6698 sayılı Kanun'un 9. maddesi kapsamında kişisel verilerin yurt dışına aktarılması sayılabilir. 158 sayfalık rehber (KVKK Yayınları No: 115, Temmuz 2026) bu araçları yasaklamıyor.

KVKK rehberi üretken yapay zekâ hakkında ne diyor?

Yapay zekâ bölümü, uzun bir belgenin kısa bir kısmı. Rehber ayrıca avukatların veri sorumlusu niteliğini, aynı büroda çalışanları, tevkil olunan avukatları, bağlı çalışan avukatları, stajyerleri ve büro çalışanlarını, kişisel veri işleme şartlarını ve veri güvenliğini ele alıyor. Yapay zekâ konusunda şunları söylüyor.

  • Yalnızca araştırma değil. Kişisel veri içeren dosya yüklemek, salt teknik destek veya hukuki araştırma olarak görülmemelidir.
  • Olası yurt dışı aktarım. Hizmet sağlayıcı yurt dışında mukimse, sunucuları yurt dışındaysa veya veriler yurt dışındaki alt hizmet sağlayıcılarca işleniyorsa 9. madde söz konusu olabilir. Bu, aracın altyapısına, veri saklama politikasına, sağlayıcının ve sunucuların yerine bağlıdır.
  • Neye bakılmalı. Kullanım şartları, gizlilik politikası, veri işleme koşulları, verilerin nerede tutulduğu, alt işleyen hükümleri ve varsa aktarım mekanizmaları incelenmelidir. Aktarım tespit edilirse 9. maddeye uyulmalıdır.
  • Yurt içi araçlar da. Sağlayıcı Türkiye'de mukim olup verileri burada işlese bile dosya vermek 8. madde kapsamında aktarım niteliği taşıyabilir. Hukuki sebep, amaç, veri kategorileri ve ölçülülük ayrıca değerlendirilmelidir.
  • Güvenlik. Rehber 12. madde kapsamında şunları önemli görüyor: verileri mümkün olduğunca maskelemek veya anonimleştirmek, özel nitelikli verileri yüklemekten kaçınmak, yalnızca gereken asgari veriyi paylaşmak, saklama, model eğitimi, insan incelemesi, alt işleyen ve güvenlik politikalarını incelemek, büro içi kurallar belirlemek.

Bir basın haberine göre KVKK Başkanı, rehberin avukatların kişisel veri işlemesini yasaklamadığını; mesleğin gerektirdiği verilerin uygun hukuki sebeple, gerektiği ölçüde ve güvenli biçimde işlenmesini hedeflediğini söyledi.

KVKK rehberi bağlayıcı mı?

Hayır. Yeni yükümlülük getirmez, ama düzenleyicinin ne beklediğini gösterir. 6698 sayılı Kanun'un 12. maddesi uygun teknik ve idari tedbirleri istiyor, ancak bunları tanımlamıyor. Bize göre KVKK belirli bir beklentiyi yayımladıktan sonra tersini yapan avukatın açıklaması gereken daha çok şey vardır. Para cezaları da bir aralıkta belirlenir: Kabahatler Kanunu'nun 17. maddesi haksızlık içeriğine, kusura ve ekonomik duruma bakıyor; bize göre iyi niyetli uyum çabası da bu açıdan önemlidir. Rehber 22 Eylül'de hukuku değiştirmedi; 9. madde zaten uygulanıyordu.

Bir avukat için hangi aktarım yolları açık?

2024'te değişen 9. madde üç kademe öngörüyor. Rehber de aynı sırayla özetliyor; ayrıntıyı yurt dışı veri aktarımı rehberimiz anlatıyor.

  • Yeterlilik kararı. Kurul bir ülke veya sektör için yeterli koruma bulunduğuna karar verebilir. 1 Kasım 2026 itibarıyla yayımlanmış bir karar bulamadık.
  • Uygun güvenceler. Bunlar arasında bağlayıcı şirket kuralları ve standart sözleşmeler var. Standart sözleşme, imzadan itibaren beş iş günü içinde Kuruma bildirilir (m.9/5); bildirmemenin cezası, yeniden değerleme öncesi tutarla 50.000-1.000.000 TL'dir (m.18/1-d). KVKK, seçimlik maddeler dışında ekleme, çıkarma veya değişiklik yapılmaması gerektiğini açıkladı.
  • İstisnai aktarım. Ancak bu iki yol yoksa ve yalnızca arızi olarak; olası riskler hakkında bilgilendirilmiş açık rıza, kişiyle yapılan sözleşme veya bir hakkın tesisi, kullanılması ya da korunması gibi hâllerde (m.9/6).

Bize göre düzenli kullanım için gerçekçi yol standart sözleşmedir; sorulması gereken soru, sağlayıcının KVKK'nın metnini değiştirmeden imzalayıp imzalamayacağıdır. İstisnai yol pek uymuyor: bir asistanın günlük kullanımına arızi demek zordur, vekâlet de belirli bir aracı değil hukuki hizmeti gerektirir. Bu, rehberin aldığı bir tutum değildir.

Özel nitelikli veriler ne olacak?

Rehber bunu tavsiye olarak ifade ediyor; ama bize göre avukatlar bunu kesin bir sınır gibi görmelidir. 6. madde ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik verileri kapsıyor. İş, ceza, aile ve yaralanma dosyalarında bu veriler sık bulunur.

6. maddenin üçüncü fıkrası, açık rıza ve bir hakkın tesisi, kullanılması veya korunması için zorunluluk gibi şartlarla işlemeye izin veriyor. Bu şart avukatın dosya üzerindeki çalışmasını kapsayabilir. Bize göre yabancı bir işleme aracının seçimine ise kendiliğinden uzanmaz.

Meslek sırrı ayrı bir sorun yaratır mı?

Evet; rehberin yapay zekâ bölümü de bunu çözmüyor. Avukatlık Kanunu'nun 36. maddesi avukatların görevleri dolayısıyla öğrendiklerini açığa vurmasını yasaklıyor. Türk Ceza Kanunu kişisel verilerin hukuka aykırı verilmesini (m.136) ve ticari veya müşteri sırlarının açıklanmasını (m.239) ayrıca cezalandırıyor. 9. maddeye uymak, 36. maddeye uymak anlamına gelmez.

Açık soru, müvekkil bilgisini bir sağlayıcıya vermenin açıklama sayılıp sayılmadığıdır. Bir görüşe göre talimatla çalışan ve gizlilikle bağlı veri işleyen, büronun uzantısıdır. Yapay zekâ araçları için bu konuda bir Türk kararı bulamadık. Bu görüş, sağlayıcının içeriği kendi amaçları için kullanabildiği durumlarda en zayıftır. Koşullar pakete göre değişiyor: örneğin OpenAI, bireysel hizmetlerdeki içeriği kullanıcı vazgeçmedikçe model eğitiminde kullanabileceğini söylüyor; ChatGPT Enterprise ve API gibi kurumsal hizmetleri ise farklı ele alıyor. Avukatlar kullandıkları aracın güncel koşullarını okumalıdır. Yapay zekâ konuşmalarının gizliliği ve uydurma atıflar notlarımıza da bakılabilir.

Bir avukatlık bürosu neleri düşünmeli?

Aşağıdakiler, rehberden ve onu yorumlamamızdan çıkan genel bilgilerdir.

  • Hangi paketin kullanıldığını bilin. Paketler model eğitimi, saklama ve sözleşme koşulları bakımından farklıdır.
  • Aktarım dayanağını kurun ya da müvekkil verisini dışarıda tutun. Bu, KVKK'nın biçiminde sözleşme ve beş iş günü içinde bildirim demektir.
  • Kimlik bilgilerini kural olarak çıkarın. Ad, kimlik numarası, adres ve dosya numarası çoğu kez kayıpsız silinebilir. Maskeleme her zaman anonimleştirme değildir; kendine özgü bir uyuşmazlık tarafları yine belli edebilir.
  • Müvekkile söyleyin. Araçlar müvekkil materyalinde kullanılıyorsa bunu vekâlet koşullarında belirtin. Bize göre bu yalnızca veri meselesi değil, mesleki bir meseledir.
  • Büro kurallarını yazın. Rehber de büro içi kuralları istiyor. Yapay zekâ kullanım politikası rehberimiz bir yapı öneriyor.

Bu mantık hukuk büroları dışında da geçerli mi?

Bize göre evet. Rehber yalnızca avukatlara hitap etse de aktarım gerekçesi verinin dava dosyası olmasına dayanmıyor. Rehber, KVKK'nın Kasım 2025 tarihli üretken yapay zekâ rehberi ve Şubat 2026 tarihli işyeri çalışması gibi diğer belgelerine atıf yapıyor; yani KVKK konuya ilk kez değinmiyor. KVKK ve yapay zekâ yönetişimi rehberimiz bunları bir araya getiriyor.

AB'de başlangıç noktası benzer, ama daha fazla seçenek var. GDPR'ın V. Bölümü de aktarımı sınırlıyor; ancak AB'nin yeterlilik kararları var ve standart maddeleri bir otoriteye bildirim gerektirmiyor. Güney Kore'de ise Yonhap haberine göre Kişisel Bilgileri Koruma Komisyonu 23 Eylül'de etken yapay zekâ konulu bir toplantı yaptı. Orada sunulan bir araştırmada görüşülen kuruluşlar, istem enjeksiyonu ve aşırı yetkileri risk olarak gösterdi; Komisyon 2026 sonuna kadar bir rehber yayımlamayı planlıyor.

Sık sorulan sorular

KVKK avukatlara ChatGPT'yi yasakladı mı?

Hayır. KVKK'nın Eylül 2026'da tanıtılan rehberi üretken yapay zekâyı yasaklamıyor. Kişisel veri içeren dosya yüklemenin aktarım sayılabileceğini söylüyor, neyin inceleneceğini anlatıyor ve maskeleme, veriyi asgariye indirme ve özel nitelikli veriden kaçınma gibi önlemleri sıralıyor.

Yapay zekâ aracı Türkiye'de çalışıyorsa KVKK rehberi uygulanır mı?

Kısmen. Sağlayıcı ve işleme gerçekten Türkiye'de kalıyorsa 9. madde devre dışı kalır; ancak KVKK rehberi dosya vermenin 8. madde kapsamında yine aktarım sayılabileceğini söylüyor. 12. maddedeki güvenlik yükümlülükleri, 6. madde ve Avukatlık Kanunu'nun 36. maddesindeki sır saklama yükümlülüğü geçerliliğini korur.

Müvekkil rızası aktarım sorununu çözer mi?

Bize göre bazen, ama sanıldığından daha az. 9. maddenin altıncı fıkrasındaki açık rıza istisnai yolun içindedir; bu yol arızi aktarımlarla sınırlıdır ve müvekkilin riskler hakkında bilgilendirilmesini gerektirir. Ara sıra yapılan bir aktarım için işe yarayabilir, günlük bir araca pek uymaz.

Veri sorumlusu büro mu, bağlı çalışan avukat mı?

KVKK rehberine göre bağlı çalışan avukat, amaç ve vasıtaları belirleyen işveren avukat adına hareket eder; bu nedenle veri sorumlusu da veri işleyen de değildir. Avukatlık Kanunu'nun 36. maddesindeki sır saklama yükümlülüğü ise avukatlara yöneliktir; bize göre büro politikası kişinin kendi yükümlülüğünü ortadan kaldırmaz.

Burhan Doğuş Ayparlar'ın Görüşü

Bu bölüm, sitenin kurucusu Av. Burhan Doğuş Ayparlar'ın kişisel değerlendirmesidir.

KVKK'nın gerekçesini doğru buluyorum; yarattığı rahatsızlık da önce kendi mesleğimize düşüyor. Başka bir ülkedeki altyapıya gönderilen dosya ülkeyi terk etmiştir; bunun e-posta eki yerine bir metin kutusundan gitmesi bir şeyi değiştirmez.

Biraz itiraz edeceğim nokta ölçülülük. Rehber avukatlardan kullanım şartlarını, saklama politikalarını ve alt işleyenleri kontrol etmelerini istiyor. Büyük bir büro için bu bir iştir. Küçük bir büro için ise tek taraflı değişebilen uzun yabancı dilde sözleşme metinlerini okumak demektir. KVKK ve Türkiye Barolar Birliği'nin başlıca hizmetleri merkezî olarak değerlendirmesini, hangi paketlerin uyumlu bir düzene imkân verdiğini açıklamasını ve örnek maddeler sunmasını isterdim.

En ciddiye aldığım kısım meslek sırrı. Sağlayıcının koşulları içeriğin model geliştirmede kullanılmasına izin veriyorsa, veri işleyenin büronun uzantısı olduğu görüşünün ayakta kalacağını düşünmüyorum; çünkü bilgi talimatınızın dışına çıkmıştır. Bu nedenle paketler arasındaki fark yalnızca bir satın alma tercihi değildir.

Kaynaklar: KVKK, Avukatların Mesleki Faaliyetlerinde Kişisel Verilerin Korunmasına İlişkin Uygulama Rehberi (Yayın No: 115), s. 120-122'deki üretken yapay zekâ bölümü ve 12. madde kısmı; Türkgün (22 Eylül 2026, tarih ve Başkan'ın sözleri için basın haberi); KVKK'nın standart sözleşme duyurusu (5 Şubat 2025); 6698, 1136, 5237 ve 5326 sayılı Kanunlar; OpenAI veri politikası sayfası; GDPR; Yonhap haberi (Supple üzerinden, 23 Eylül 2026). Tümü 1 Kasım 2026'da okundu. Ceza tutarları yeniden değerleme uygulanmamış kanuni tutarlardır. Aktarım yolları ve meslek sırrı konusundaki yorumumuz, bulabildiğimiz yayımlanmış bir kararda sınanmış değildir. Genel bilgi niteliğindedir, hukuki görüş değildir.