KVKK ve Yapay Zeka: İşletmenizin Müşteri Verisini Güvenle Kullanma Rehberi

Yapay zekanın sunduğu olağanüstü hızın sarhoşluğuna kapılan birçok şirket, dijital çağın en büyük hukuki mayın tarlasında dikkatsizce yürümektedir. Bir muhasebe personelinin “Şu müşteri ekstresini özetle” diyerek TC kimlik numaraları, adresler ve banka IBAN’larıyla dolu bir Excel dosyasını ücretsiz halka açık bir sohbet botuna yapıştırması; 6698 sayılı Kişisel Verileri Koruma Kanunu (KVKK) ve AB Yapay Zeka Yasası (EU AI Act) nezdinde açık bir veri ihlalidir (data breach).

Kurul tarafından kesilen milyonlarca liralık idari para cezaları ve itibar kaybı riskiyle karşılaşmamak için, yapay zekayı bir veri sızıntı kapısı değil, güvenli bir kasa gibi kullanmanın kuralları vardır.

---

3 Katmanlı Güvenlik Mimarisi

[ Müşteri Verisi: Ad, TC, Telefon, Adres ]
                    │
                    ▼
[ 1. KATMAN: Yerel Anonimleştirme / Maskeleme Motoru ]
(Ahmet Yılmaz ──► [MÜŞTERİ_1], 0532... ──► [TELEFON_1])
                    │
                    ▼
[ 2. KATMAN: Kurumsal API (Sıfır Eğitim Taahhüdü - Zero Retention) ]
(Veriler model eğitimine girmez, 30 gün içinde sunucudan silinir)
                    │
                    ▼
[ 3. KATMAN: Geri Dönüşüm ve Denetim Kaydı ]
(Analiz sonucu gelir, şirket içinde gerçek isimle yeniden birleşir)

---

İşletmeler İçin 5 Altın KVKK İlkesi

1. Halka Açık Tüketici Arayüzleri ile Kurumsal API Ayrımı

Ücretsiz veya standart bireysel hesaplarda platformlar girdiğiniz verileri “Modellerimizi eğitmek ve geliştirmek için kullanabiliriz” maddesiyle depolar. İşletmeler mutlaka:

• Şirket içi veri gizliliği sözleşmesi (DPA - Data Processing Agreement) olan kurumsal sürümleri veya
• Doğrudan API erişimini tercih etmelidir.

2. Veri Minimizasyonu (Data Minimization)

Yapay zekanın bir metni analiz etmesi için müşterinin adını, soyadını veya kimlik numarasını bilmesine gerek yoktur. Modele veri verirken yalnızca analiz edilecek semantik içeriği sunun; kimlik sütunlarını silin.

3. Otomatik Veri Maskeleme (PII Scrubbing)

Şirket sistemleri ile yapay zeka arasına giren basit bir açık kaynaklı regex filtresi:

• 11 haneli sayıları (TC Kimlik),
• Telefon formatlarını,
• Kredi kartı numaralarını otomatik olarak algılayıp “[GİZLENDİ]” etiketine çevirmelidir.

4. Yurtdışına Veri Aktarımı İzinleri

KVKK’nın en hassas maddelerinden biri kişisel verilerin yurtdışında barındırılan sunuculara aktarılmasıdır. Eğer yapay zeka sunucuları yurtdışındaysa (ABD veya AB), aydınlatma metinlerinizde ve açık rıza beyanlarınızda bu durum açıkça belirtilmiş olmalıdır veya yerel sunucuda çalışan açık ağırlıklı modeller (On-Premise LLM) tercih edilmelidir.

5. Çalışanlar İçin “Yapay Zeka Kabul Edilebilir Kullanım Politikası” (AUP)

Şirket çalışanlarına net kurallar tebliğ edilmelidir:

• “Şirket kaynak kodları, finansal tablolar, müşteri verileri ve personel sağlık bilgileri kesinlikle kişisel yapay zeka hesaplarına girilemez.”

---

Risk Derecelendirme Tablosu

İşlem	Hukuki Risk	KVKK Uyumluluk Durumu
Müşteri listesini genel ChatGPT’ye yapıştırmak	Kritik Risk	Açık Kanun İhlali / Ağır Ceza
Kurumsal API ile isimleri maskeleyerek analiz etmek	Düşük Risk	Tam Uyumlu / Güvenli
Şirket içi kapalı sunucuda Llama/Mistral çalıştırmak	Sıfır Risk	Tam İzolasyon / Maksimum Güvenlik

---

Kaynakça ve İleri Okuma

1. Kişisel Verileri Koruma Kurumu (KVKK): Yapay Zeka Alanında Kişisel Verilerin Korunmasına İlişkin Tavsiyeler.
2. European Parliament & Council: The Artificial Intelligence Act (EU AI Act Regulation 2024/1689).
3. European Data Protection Board (EDPB): Guidelines on Generative AI and Data Protection Safeguards.
4. Harvard Business Review: How to Protect Your Company from AI Privacy and Copyright Risks.
5. Stanford HAI Policy Papers: Data Privacy, Governance, and Compliance Frameworks in Enterprise AI.