Yapay Zeka Araçlarına Kişisel Veri Girmeme: KVKK

İçerik ekibinin yapay zeka araçlarına kişisel veri girmemesi için en güvenli kural basittir: istemi (prompt) yazarken müşteri, çalışan, okuyucu ya da yazar hakkında kimliği belli eden hiçbir bilgiyi yapıştırmayın, veriyi önce anonimleştirin ya da sade bir örnekle değiştirin. KVKK, 24 Kasım 2025 tarihli duyurusuyla üretken yapay zekâ ve kişisel verilerin korunmasına dair bir rehber yayımladı. Bir muhasebe bürosunun blog ekibiyseniz, müşteri vaka çalışmaları, müşteri yazışmaları ve görüşme notları gibi kaynaklar gündelik işinizin parçasıdır ve hepsi bu kuralın kapsamına girebilir. Hukuki tavsiye değildir.

Yapay zekaya yapıştırılan metin kişisel veri içerebilir

İçerik ekipleri araca bir müşteri e-postasını yapıştırıp özetlemesini ister, bir görüşme kaydının dökümünü verip blog yazısına çevirmesini bekler, müşteri yazışmasından vaka çalışması çıkarır. Uygulama önerisi: yapıştırdığınız metinde isim, e-posta adresi, unvan, şirket içi bilgi ya da sağlık ve finans gibi ayrıntı olup olmadığına her seferinde bakın, çünkü bunlar metinle birlikte araca geçer. Yapıştırma tek bir tıklamadır, ama o andan itibaren veri sizin kontrolünüzdeki bir dosya olmaktan çıkıp bir hizmet sağlayıcıya gitmiş olur.

Kimin verisi girer?

Bir muhasebe bürosu blogunda araca girebilecek verilerin sahipleri bellidir: büronun müşterileri, müşteri çalışanları, potansiyel müşteriler, ekip üyeleri, röportaj verenler ve bültene abone olanlar. Bunların her biri farklı bir ilişkiden gelir ve her ilişkinin kendi beklentisi vardır.

Bilinçli ve bilinçsiz giriş

Girişin bir kısmı bilinçlidir: "şu e-postayı özetle." Bir kısmı ise fark edilmeden olur: bir ekran görüntüsünün içindeki isimler, e-posta imzaları, belge meta verisi, yazışma geçmişi. Uygulama önerisi: araca yapıştırmadan önce metni bir kez tarayın ve görünen isimleri, e-posta adreslerini, telefonları ve kimlik numaralarını silin.

KVKK'nın üretken yapay zeka rehberi neyi kapsar?

KVKK'nın duyuru sayfası (yeni sekmede açılır), "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)" adlı rehberin 24 Kasım 2025'te yayımlandığını söyler. Duyuruya göre rehber, üretken yapay zekânın kişisel verilerin korunması üzerindeki etkilerini değerlendirmek, bireylerin mahremiyetine saygıyı teşvik etmek ve veri sorumlusu niteliğindeki aktörlere yol göstermek amacıyla hazırlanmıştır.

Duyurunun saydığı başlıklar

• İçerik üretim süreci, yaşam döngüsü, kullanım alanları ve kullanımın doğurabileceği riskler.
• Bu sistemler aracılığıyla yapılan kişisel veri işleme faaliyetlerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu çerçevesinde değerlendirilmesi.
• Veri yaşam döngüsü boyunca yürütülen işleme faaliyetleri.
• Bireylerin gündelik hayatta üretken yapay zekâyı kullanırken dikkat etmesi gereken hususlar.
• Çocuklar için ebeveynlerin alabileceği önlemler.

Soru ve cevapların tamamı için duyurudaki rehber bağlantısına bakın.

Veri güvenliği yükümlülüğü ve işleyen kişiler

KVKK'nın veri güvenliğine ilişkin yükümlülükler sayfası (yeni sekmede açılır), Kanun'un veri güvenliğine ilişkin 12. maddesine göre veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini ve hukuka aykırı erişilmesini önlemek ile verilerin muhafazasını sağlamak için gerekli her türlü teknik ve idari tedbiri almak zorunda olduğunu belirtir. Tedbirlerin her veri sorumlusunun yapısına, faaliyetlerine ve tabi olduğu risklere uygun olması gerekir.

Araç sağlayıcısı kimdir?

Sayfaya göre veri sorumlusu, kişisel verileri kendi adına işleyen bir kişiye işleme yaptırıyorsa, bu kişilerle birlikte müştereken sorumludur. Veri işleyenler de veri güvenliğini sağlamak için tedbir alma yükümlülüğü altındadır. Sayfadaki örnek, bir şirketin muhasebe kayıtlarını tutan bir muhasebe firmasıdır. Yapay zeka aracı sağlayıcısının sizin verinize göre hangi rolde olduğu, sözleşmeye ve hizmetin işleyişine bağlıdır ve sayfada araç sağlayıcıları için ayrı bir ifade yoktur. Bu nedenle rol belirleme, kurumunuzun veri sorumlusu rolündeki kişinin yapacağı bir değerlendirmedir.

Denetim ve gizlilik

Sayfa ayrıca veri sorumlusunun kendi kurumunda gerekli denetimleri yapmak ya da yaptırmak zorunda olduğunu, veri sorumlusu ve işleyenlerin işleme sırasında öğrendikleri verileri Kanun hükümlerine aykırı olarak başkasına açıklayamayacağını ve işleme amacı dışında kullanamayacağını söyler. İşlenen veriler hukuka aykırı yollarla başkaları tarafından ele geçirilirse, veri sorumlusunun bunu ilgili kişiye ve Kurul'a en kısa sürede bildirmesi gerekir.

İçerik ekibi için ne anlama gelir?

Uygulama önerisi: bu yükümlülükleri bir kontrol soruları listesine çevirin. Araç hangi veriyi alıyor? Kim erişebilir? Kayıtlar nerede tutuluyor? Ekip dışında başka kime gidiyor? Bu soruların cevabı yoksa aracı müşteri verisiyle kullanmayın.

Bireysel ve kurumsal hesap farkı

Ekip üyesinin kendi e-posta adresiyle açtığı bir hesap, kurumun göremediği bir alanda durur. Hesap sahibi ayrıldığında girdi geçmişi de onunla birlikte kurumun erişiminden çıkar. Uygulama önerisi: araçları kurumsal hesapla açın, hesap yöneticisini belirleyin ve ekipten ayrılan kişinin erişimini kapatma adımını ayrılış kontrol listesine ekleyin. Hangi hesap türünün hangi veri işleme koşulunu getirdiği sözleşmede yazar, tahminle çıkarılmaz.

Eklentiler ve entegrasyonlar

Yapay zeka özelliği taşıyan yazım eklentileri, tarayıcı uzantıları ve e-posta asistanları, ekibin fark etmeden veri gönderdiği kanallardır. Bu araçlar da onaylı liste kapsamındadır. Bir eklenti, yazarken açık olan her metni sağlayıcıya gönderebilir. Kurulumdan önce aracın hangi veriyi, ne zaman ve nereye ilettiğini sorun ve cevabı kayda geçirin.

Yurt dışına aktarım ve araç seçimi

Uygulama önerisi: aracın sunucularının nerede olduğunu sağlayıcının belgelerinden kontrol edin. KVKK'nın yurt dışına aktarım sayfası (yeni sekmede açılır), 7499 sayılı Kanun'la getirilen ve 1 Haziran 2024'ten itibaren yürürlükte olan kademeli bir rejimi anlatır. Aktarım, önce yeterlilik kararına, bu yoksa uygun güvencelerden birine, bu da yoksa sınırlı sayıdaki istisnai hâllere dayanır.

Sayfadaki bilgiler zamana bağlıdır ve Kurul kararlarıyla değişebilir. Uygulamadan önce güncel sayfaya bakın.

İstisnai hâllerde sayılanlar

Sayfa, istisnai hâller arasında ilgili kişinin riskler hakkında bilgilendirildikten sonra verdiği açık rızayı, bir sözleşmenin ifasını, kamu yararını, bir hakkın tesisi ya da savunulmasını ve kişinin yaşamının veya beden bütünlüğünün korunmasını sayar. İçerik ekibinin gündelik araç kullanımı bu istisnalara dayandırılacak bir konu olarak düşünülmemelidir, çünkü sayfa bunların yalnızca arızi aktarımlar için geçerli olduğunu söyler.

Araç seçimi için sorular

• Sağlayıcı verinin nerede işlendiğini belgelendiriyor mu?
• Girdilerin sağlayıcı tarafından saklanıp saklanmadığı ve başka amaçla kullanılıp kullanılmadığı sözleşmede yazılı mı?
• Kurumunuzun sözleşmesi veya hesabı, bireysel ücretsiz hesaptan farklı koşullar sunuyor mu?
• Girdi geçmişini kimler görebilir ve silinebilir mi?

Bu soruların cevabını kurumunuzun veri sorumlusu rolündeki kişi değerlendirir. İçerik ekibi, onaylı araç listesinin dışında bir araca veri yapıştırmaz.

Kişisel veri sayılabilecek içerik kaynakları

Muhasebe bürosu blogunda araca girmesi olası kaynakları tek tek düşünmek, kuralı gündelik işe bağlar.

Listenin yaşayan bir belge olması

Yasaklı veri listesi, ekibin elindeki kaynaklar değiştikçe değişir. Yeni bir müşteri portalı, yeni bir belge paylaşım aracı ya da yeni bir bülten sistemi eklendiğinde bu kaynakların hangi veri sınıfına girdiği listeye işlenir. Listeyi bir kez yazıp bırakmak, kısa sürede gerçek durumla uyumsuz hale gelmesine neden olur.

Şüpheli durumlarda varsayılan karar

Bir metnin sınıfından emin değilseniz varsayılan karar "girmez"dir. Bu kural, sorumluluğu belirsizlik anında en güvenli tarafa taşır. Karar vermek için kurumunuzun veri sorumlusu rolündeki kişiye sormanın bedeli birkaç dakikadır, yanlış bir girişin bedeli ise bilinmez.

İçerik ekibi için yasaklı veri listesi

Uygulama önerisi: ekibin ortak kuralı üç sütunlu kısa bir listeyle yazılabilir. "Hiç girilmez", "anonimleştirilerek girilir" ve "serbest".

Hiç girilmeyecekler

• Kimlik numaraları, pasaport ve belge görüntüleri.
• Hesap, kart ve ödeme bilgileri.
• Parolalar, API anahtarları ve erişim bilgileri.
• Sağlık, biyometrik ve benzeri hassas nitelikteki bilgiler.
• Abone, müşteri ya da aday listeleri.

Anonimleştirilerek girilecekler

• Müşteri görüşme özetleri.
• Müşteri yazışmalarından çıkarılan örnekler.
• Dahili toplantı notları.

Serbest olanlar

• Kamuya açık mevzuat metinleri ve resmi rehberler.
• Yayınlanmış blog yazıları.
• Genel sektör bilgileri.

Yer tutucu tablosu

Yer tutucuları baştan tanımlamak, bir metnin birden çok kez araca girmesi gerektiğinde tutarlılığı korur. Uygulama önerisi: bir eşleştirme tablosu tutun, ama tabloyu aracın dışında ve erişimi kısıtlı bir yerde saklayın.

Çıktıyı geri çevirirken

Araçtan dönen metindeki yer tutucuları gerçek bilgilerle değiştirirken bunu araca geri yüklemeden, kendi ortamınızda yapın. Değiştirme sırasında yer tutucuların birbirine karışmadığını kontrol edin: "Müşteri A" yerine yanlış şirketin adı yazılırsa hata doğrudan yayına gider.

Anonimleştirme adımları

Bir metni araca girmeden önce hazırlamak, metni baştan yazmaktan hızlı olabilir.

1. Metindeki isimleri, e-posta adreslerini, telefonları ve kimlik numaralarını işaretleyin.
2. Kişiyi dolaylı olarak tanıtabilecek ayrıntıları (benzersiz unvan, küçük şirket, nadir olay) genelleştirin.
3. Gereken yerde sabit yer tutucular kullanın: "Müşteri A", "Yönetici B".
4. Çıktıyı yayına almadan önce yer tutucuların gerçek bilgiyle karıştırılmadığını doğrulayın.
5. Orijinal metni araca vermediğinizi kayda geçirin.

Anonimleştirmenin sınırı

Metin, isimler silindikten sonra bile kişiyi belirlenebilir kılıyorsa anonim sayılmaz. Küçük bir müşteri kitlesine sahip bir muhasebe bürosunda "bölgenin tek lojistik firması" ifadesi, ismi anmadan da bir kuruluşu gösterebilir. Bu tür ayrıntılar silinir ya da genelleştirilir.

Ekip için kural belgesi nasıl yazılır?

Sözlü bir kural, ekip büyüdükçe ve yeni insanlar katıldıkça kaybolur. Kural bir sayfaya yazıldığında hem yeni üye için bir başlangıç noktası hem de bir olay sonrasında başvurulacak bir kayıt olur. Belge kısa olmalı, çünkü uzun belgeler okunmaz.

Belgenin kapsamı

Uygulama önerisi: belge şu sorulara cevap versin. Hangi araçlar kullanılabilir? Hangi veri sınıfları araca girmez? Anonimleştirme nasıl yapılır? Hata hâlinde kime haber verilir? Belgeyi yazan kişi ya da ekip, belgenin tarihini ve sürümünü başa yazar.

Roller

• İçerik üreticisi: kuralı uygular, şüphe duyduğunda sorar.
• Editör: yayına gitmeden önce girdilerin sınıfını kayıttan kontrol eder.
• Veri sorumlusu rolündeki kişi: araç listesini değerlendirir, olayları karara bağlar.

Yeni üye için ilk hafta

Yeni üyeye kural belgesi, onaylı araç listesi ve iki üç gerçekçi örnek verilir. Örneklerden biri anonimleştirilmiş bir destek talebi, biri girmesi yasak bir müşteri listesi olabilir. İlk haftada kuralın nasıl uygulandığını gören kişi, kuralı kendi işine daha kolay taşır.

Araç hesapları ve kayıt tutma

İçerik ekibinin kullandığı hesapların kişisel mi kurumsal mı olduğu önemlidir. Ekip üyeleri kendi kişisel hesaplarıyla müşteri verisiyle çalışıyorsa, kurum o verinin nereye gittiğini göremez.

Uygulama önerisi: onaylı araç listesi

• Ekibin kullanabileceği araçlar yazılı bir listede tutulur.
• Liste dışı araca veri girilmez.
• Her aracın kullanım amacı ve girilebilecek veri sınıfı listede yazar.
• Liste, veri sorumlusu rolündeki kişinin değerlendirmesiyle güncellenir.

Kayıt

Hangi içeriğin hangi araçla hazırlandığını ve girdilerin hangi sınıfta olduğunu kısa bir kayıtla tutun. Olay yaşandığında bu kayıt, neyin nereye girdiğini bulmayı kolaylaştırır.

Hangi veri sınıfı daha ciddidir?

Her yanlış yapıştırma aynı ağırlıkta değildir. Uygulama önerisi: olay kaydında veri sınıfını belirtin ve veri sorumlusu rolündeki kişiye bunu ilk mesajda iletin. Kimlik, ödeme ya da sağlık bilgisi içeren bir olay, bir müşteri ismi içeren olaydan farklı bir hızla ele alınmalıdır. Sınıflandırmayı yapmak sizin işiniz.

Kayıttan öğrenmek

Olaydan sonra kayıt şu sorulara bakılarak gözden geçirilir: Hata hangi aşamada olabildi? Araç listesi ya da kural belgesi bunu önleyebilir miydi? Kural belgesine eklenecek bir madde var mı? Böylece her olay, süreci güçlendiren küçük bir düzeltmeye dönüşür.

Olay hâlinde ne yapılır?

Bir ekip üyesi yanlışlıkla kişisel veri içeren bir metni araca yapıştırdığında bunu saklamak yerine hemen bildirmek en iyi yoldur. Veri güvenliği sayfası, işlenen verilerin hukuka aykırı yollarla ele geçirilmesi durumunda bildirim yükümlülüğünü anlatır, ama bir yanlış yapıştırmanın bu kapsamda sayılıp sayılmayacağını kurumunuzun veri sorumlusu rolündeki kişi değerlendirir.

İlk adımlar

1. Ne girildiğini, hangi araca ve ne zaman girildiğini kayda geçirin.
2. Aracın hesabında girdiyi silme imkanı varsa kullanın, ama silmenin sağlayıcıda nasıl işlediğine dair bilgi sayfada yoktur.
3. Olayı kurumunuzun veri sorumlusu rolündeki kişiye hemen iletin.
4. Kendi başınıza dış bildirim yapmayın.

Araç çıktısındaki kişisel veri riski

Risk yalnızca girdide değildir. Araç çıktısında da kişilere ait bilgi bulunabilir: modelin ürettiği ama gerçek bir kişiye benzeyen isimler, yanlış bir kişiye atfedilen sözler ya da müşteriyle ilgili yanlış çıkarımlar. Bu bilgilerin doğruluğu, yayına girmeden önce kaynaklara karşı kontrol edilir.

Vaka çalışmasında kişi bilgisi

Vaka çalışmasında adı geçen bir kişinin unvanı, sözü ya da şirketi çıktıda yanlış olabilir. Müşterinin onayından önce yayına girmez. Yapay zeka çıktısını kaynakla karşılaştırma yöntemi için yapay zeka ile makale yazımı ve editörlük yazısına bakabilirsiniz.

Çıktının saklanması

Araçtan çıkan taslak, ekip içinde de kişisel veri taşıyorsa kapalı bir alanda tutulur. Taslağın paylaşıldığı kanalın erişimi, taslaktaki bilginin düzeyine uygun olmalıdır.

Karar kuralı: bu metin araca girebilir mi?

Örnek senaryo: bir muhasebe bürosu blogu

Örnek senaryo: bir muhasebe bürosunun blog ekibi, bir müşterinin ön muhasebeden büro hizmetine geçişini anlatan vaka çalışması hazırlar. Elinde görüşme kaydı, müşterinin yazışmaları ve danışmanlık notları vardır. Editör, araca bu üç kaynağı doğrudan yapıştırıp özet istemek ister.

Ekibin izlediği yol

1. Üç kaynaktan hangi bilgilerin vaka çalışması için gerekli olduğu belirlenir: geçiş nedeni, süreç adımları ve sonuçlar.
2. İsimler, e-posta adresleri ve hesap bilgileri çıkarılır, müşteri "Müşteri A" olarak adlandırılır.
3. Yalnızca bu temizlenmiş özet, onaylı araç listesindeki araca girilir.
4. Çıktıdaki ayrıntılar orijinal kaynaklara karşı doğrulanır ve müşterinin onayı alınmadan yayınlanmaz.
5. Kayda hangi aracın kullanıldığı ve girdinin anonimleştirildiği yazılır.

Müşteri adı ve alıntılar, müşterinin kendi onayıyla yayına girer. Bu onay, araca veri girmekten bağımsız bir adımdır. Yapay zeka çıktısının doğrulanması için editör kontrol listesine bakabilirsiniz.

Dış yazarlar ve ajanslarla çalışırken

Blog ekibi dışarıdan yazar ya da ajansla da çalışır. Bu kişilere müşteri materyali verilirken aynı kural geçerlidir. Uygulama önerisi: iş brifinde araç kullanım kuralını ve yasaklı veri sınıflarını yazın ve dış yazarın hangi araçları kullandığını sorun. Veri sorumlusunun işleme yaptırdığı kişilerle birlikte sorumlu olduğunu söyleyen veri güvenliği sayfası bu açıdan hatırlanmalıdır.

Eğitim ve farkındalık

Kural belgesi bir kez okunur, ama alışkanlık tekrarla oluşur. Ekip toplantılarında beş dakikalık bir örnek tartışması işe yarar: "Bu metin araca girebilir mi?" sorusunu gerçek bir iş üzerinden birlikte cevaplayın. Cevabı belirsiz örnekler en öğretici olanlardır.

Taslak aşamasında sorulacak soru

Her vaka çalışması ya da müşteri hikayesi taslağı başlamadan önce şunu sorun: bu işi yapmak için kişisel veriye gerçekten ihtiyacım var mı? Birçok iş için yalnızca süreç, sorun ve sonuç gerekir. Kişi bilgisi gerekmiyorsa hiç toplanmaz.

Gündelik iş örnekleri: girer, girmez

Yanlış anlaşılan noktalar

"İsmi sildim, artık sorun yok"

İsim silinse de ayrıntılar kişiyi belirlenebilir kılabilir. Anonimleştirme, metnin bütününe bakılarak yapılır.

"Ücretli hesap her şeyi çözer"

Hesap türü, verinin nerede işlendiği ve sağlayıcının rolü gibi soruları kendiliğinden yanıtlamaz. Bu bilgi sözleşmede aranır.

"Yurt dışına aktarım yalnızca dosya göndermektir"

KVKK'nın yurt dışına aktarım sayfası, aktarımı kademeli bir rejim olarak anlatır. Aracın sunucularının nerede olduğu bu değerlendirmenin parçasıdır.

"Rehber her soruya cevap verir"

Rehberin içeriği duyuruda tanıtılan başlıklarla sınırlıdır ve gündelik içerik üretimi için ayrıntılı bir kural listesi sunduğuna dair duyuruda ifade yoktur.

Vaka çalışması onay akışı

Vaka çalışması, araca girişten bağımsız olarak müşteri onayına tabidir. Onay akışı kısa olmalıdır: taslak müşteriye gönderilir, müşteri adını, alıntılarını ve diğer ayrıntıları onaylar, onay yazılı kayda geçer ve ancak ondan sonra yayına girer. Müşteriden onay alınmadan hazırlanan bir taslak, araca girilen bilgi anonim olsa bile yayına çıkmaz.

Ekip içi son soru

Yayın düğmesine basmadan önce editör üç soru sorar: Bu metin hazırlanırken araca kimlik belirleyen bir şey girdi mi? Müşteri yayını onayladı mı? Kayıt tamam mı? Üç cevap da evetse yayın yapılır.

Yayın öncesi kontrol listesi

• Araç onaylı listede.
• Girdide isim, iletişim bilgisi, kimlik, ödeme ya da sağlık bilgisi yok.
• Dolaylı tanımlayıcı ayrıntılar genelleştirildi.
• Müşteri adı ve alıntı için ayrıca onay alındı.
• Çıktı orijinal kaynaklara karşı doğrulandı.
• Kayıtta araç, amaç ve veri sınıfı yazılı.
• Olay yaşanırsa bildirilecek kişi belli.

Çerez ve izleme tarafında benzer bir veri disiplini için çerez onayı, KVKK ve ölçüm kaybı rehberine bakabilirsiniz. Yapay zeka destekli yazımın genel çerçevesi için yapay zeka ile makale yazımı ve editörlük yazısını okuyun.

Altı aylık gözden geçirme

Uygulama önerisi: altı ayda bir kural belgesini, araç listesini ve kayıtları gözden geçirin.

• Araç listesindeki her aracın hâlâ kullanıldığını ve koşullarının değişmediğini doğrulayın.
• Kayıtlarda listede olmayan bir araç var mı bakın.
• Olay sayısı ve niteliği kural belgesinin değişmesini gerektiriyor mu değerlendirin.
• KVKK sayfalarında ilgili bilgilerin güncel hâline bakın.

Gözden geçirmenin çıktısı, değişiklik tarihli yeni bir belge sürümüdür. Eski sürümü arşivleyin, çünkü bir olay sonrasında hangi kuralın o tarihte geçerli olduğu sorulabilir.

Yeni bir araç değerlendirme formu

Ekip yeni bir araç denemek istediğinde, kullanmadan önce kısa bir form doldurur. Uygulama önerisi: formda şu başlıklar bulunsun.

• Aracın adı, sağlayıcısı ve kullanım amacı.
• Araca girecek veri sınıfı: kamuya açık, anonimleştirilmiş ya da başka.
• Sağlayıcının verinin işlendiği yeri belgelendirip belgelendirmediği.
• Girdilerin saklanıp saklanmadığı ve silinip silinemediği.
• Hesap türü ve hesabı kimin yönettiği.
• Değerlendirmeyi yapan kişi ve karar tarihi.

Form boş kalan satırlarla onaylanmaz. Cevabı bilinmeyen bir soru, aracın o veri sınıfı için kullanılmaması anlamına gelir. Onaylanan araç listeye, form ise kayıt klasörüne eklenir.

Küçük bir ekip için asgari düzen

Üç kişilik bir blog ekibinin ayrı bir hukuk ya da güvenlik birimi olmayabilir. Bu durumda asgari düzen şudur: tek bir kural sayfası, tek bir onaylı araç listesi, tek bir kayıt tablosu ve olay anında haber verilecek tek bir kişi. Düzen küçük de olsa yazılı olmalıdır, çünkü yazılı olmayan düzen, yoğun bir haftada ilk unutulan şeydir. Bu düzeni kurumunuzun veri sorumlusu rolündeki kişiyle bir kez konuşup onay almak, sonraki bütün kararları kolaylaştırır.

Kural ile iş hızını dengelemek

Kuralın işi yavaşlattığı hissi, uygulanmamasının en büyük nedenidir. Anonimleştirmeyi kolaylaştıran bir yer tutucu tablosu, hazır bir kontrol listesi ve onaylı bir araç listesi sürtünmeyi azaltır. Kural, yazarın işine yardım ettiğinde benimsenir. Kuralı uygulamanın kolay, uygulamamanın zor olduğu bir düzen kurmak, her ay yapılacak hatırlatmalardan daha etkilidir.

İş ortaklarına ve müşterilere söylenecek söz

Müşteri ya da iş ortağı, içeriğinin yapay zeka araçlarında işlenip işlenmediğini sorabilir. Önceden hazırlanmış kısa bir cevap, ekibi bu soruya hazırlıksız yakalanmaktan korur. Uygulama önerisi: cevap, ekibin kural belgesindeki ilkeleri özetlesin. Hangi veri sınıflarının araca girmediğini, anonimleştirmenin nasıl yapıldığını ve onaylı araç listesinin bulunduğunu söyleyin. Cevap, kurumunuzun veri sorumlusu rolündeki kişiyle önceden konuşulmuş olmalıdır. Sözleşmede ya da gizlilik metninde yazanla çelişen bir söz vermeyin.

Sözleşme ve brif dilinde yer alacak maddeler

Müşteriyle yapılan çalışmanın başında, brifte yapay zeka araçlarının kullanılıp kullanılmayacağını açıkça yazın. Kullanılacaksa hangi tür materyalin araca gireceğini, anonimleştirilmeden hiçbir kişisel verinin girmeyeceğini ve müşterinin isterse bu kullanımı reddedebileceğini belirtin. Böylece beklentiler başından açık olur ve sonradan çıkabilecek anlaşmazlık azalır.

Ekip kültürü

Kuralın benimsenmesi, hata yapan kişinin cezalandırılmayacağı güveninden geçer. Yanlışlıkla yapıştırma olduğunda hemen haber veren kişiyi suçlamak, sonraki olayların gizlenmesine yol açar. Hemen haber vermeyi teşvik eden bir ortam, kayıtların da dolu ve doğru olmasını sağlar.

Sık Sorulan Sorular

Yapay zeka aracına müşteri verisi girebilir miyim?

Kimliği belli eden bilgileri girmemek en güvenli yoldur. Gerekliyse veriyi önce anonimleştirin ve aracın kurumunuzun onaylı listesinde olduğundan emin olun.

KVKK'nın üretken yapay zeka rehberi nedir?

KVKK, 24 Kasım 2025'te "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)" adlı rehberi duyurdu. Duyuru, rehberin riskleri, 6698 sayılı Kanun çerçevesindeki değerlendirmeyi ve veri yaşam döngüsünü kapsadığını söyler.

Araç sağlayıcısı veri işleyen midir?

KVKK'nın veri güvenliği sayfasına göre veri sorumlusu, verileri kendi adına işleyen kişilerle birlikte müştereken sorumludur. Bir araç sağlayıcısının rolü sözleşmeye ve hizmete bağlıdır. Hukuki tavsiye değildir.

Yurt dışındaki sunucu ne anlama gelir?

KVKK'nın yurt dışına aktarım sayfası, aktarımın yeterlilik kararı, uygun güvenceler ve istisnai hâller sırasıyla ele alındığını anlatır. Aracın sunucularının yeri bu değerlendirmeye girer.

Anonimleştirme yeterli mi?

Metin, isimler çıkarıldıktan sonra bile kişiyi belirlenebilir kılıyorsa yeterli değildir. Ayrıntıları da genelleştirin.

Yanlışlıkla veri yapıştırırsam ne yapmalıyım?

Saklamayın. Ne girildiğini kaydedin ve kurumunuzun veri sorumlusu rolündeki kişiye hemen iletin. Dış bildirim kararı o kişiye aittir.

Sonuç

İçerik ekibi için temel kural: araca yalnızca kamuya açık ya da anonimleştirilmiş içerik girin, onaylı araç listesi kullanın, hangi verinin hangi araca girdiğini kaydedin ve olayları hemen bildirin. KVKK'nın duyuru, veri güvenliği ve yurt dışına aktarım sayfaları bu disiplinin çerçevesini çizer. Hukuki tavsiye değildir.

Editör denetimli içerik üretimi arıyorsanız makale yazımı hizmet sayfasına bakabilirsiniz.