Yapay zeka ile yapılan uygulama ve KVKK: kullanıcı verisi toplayanların rehberi

Bir prompt'un ürettiği uygulama, kişisel veriyi bir geliştiricinin elle yazdığı koddaki gibi toplar: isim, e-posta, telefon, ödeme bilgisi, bazen bir randevu formunda sağlık cevabı. KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) kodu kimin yazdığını sormuyor. Kişisel veri işlenip işlenmediğini soruyor, cevap evetse üç yükümlülük devreye giriyor: aydınlatma metni yayınlamak, kanunun gerektirdiği her durumda açık rıza almak ve kullanıcı bir veri talebinde bulunduğunda yasal süre içinde cevap vermek. Bu yazı bu üçünün operasyonel karşılığı; uygulamanın sahibi için yazıldı, hukuki görüş değil.

Bu özellikle Türkiye pazarı için önemli, çünkü kendi kurumu, kendi kanunu ve kendi denetim örüntüsü var; GDPR ile örtüştüğü yerler bile ayrı bir rejim. KVKK'yı "zaten GDPR gibi bir şey" diye geçmek, Türkiye'ye hizmet veren bir ürünü tam da bu kısayoldan dolayı zor durumda bırakıyor.

Uygulaman kişisel veri topluyor mu: ilk soru bu

Tahminle değil envanterle başla. Kayıt formunu, ödeme akışını, randevu formunu ve kullanıcı satırlarının durduğu her admin tablosunu aç. Gerçek bir kişiyi tanımlayan her şey KVKK kapsamında kişisel veridir: isim, e-posta, telefon, adres, bir ödeme referansı, sunucuda loglanan bir IP adresi, bir fotoğraf, bir randevu formundaki sağlık cevabı. Girişi ve veritabanı olan bir uygulama ilk günden bu eşiği neredeyse her zaman geçiyor.

İki kategori eşiği daha da yükseltiyor. Ödeme verisi ve sağlık verisi daha hassas kabul ediliyor; KVKK'nın kendi kategori sisteminde sağlık verisi, sıradan veriden daha dar bir hukuki sebep gerektiren "özel nitelikli kişisel veri" (madde 6) sınıfında. Yapay zekayla yazdırılan bir randevu veya klinik uygulaması, ilk tedavi notunu kaydettiği andan itibaren bu sınıfın içinde.

KVKK Kurumu'nun kendi üretken yapay zeka rehberi ne diyor

Kişisel Verileri Koruma Kurumu, 24 Kasım 2025'te üretken yapay zeka konusunda "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi" (15 Soruda) başlıklı özel bir rehber yayımladı (Yayın No: 113). Rehber içerik üretim sürecini ve yaşam döngüsünü, üretken yapay zeka araçlarının kullanım alanlarını ve risklerini ele alıyor, bu araçlar etrafındaki kişisel veri işleme faaliyetini 6698 sayılı Kanun çerçevesinde değerlendiriyor; bireyler için günlük kullanım tavsiyeleri ve çocuk kullanıcılar için ebeveyn önerileri ayrı bölümler olarak yer alıyor. Kurumun bir diğer belgesi, "İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı", spesifik bir işyeri sorununa dikkat çekiyor: çalışanların bu araçları kurumsal bir politika veya yönlendirme çerçevesi olmadan kendi bireysel kararlarıyla benimsemesi, ortaya çıkan veri akışını sonradan tek bir kişinin yönetmesini ya da denetlemesini zorlaştırıyor.

İkisi de bu rehberin kapsadığı durumu doğrudan yazmıyor: bir yapay zeka kodlama aracının yazdığı, kendisi de kullanıcıdan kişisel veri toplayan bir uygulama. "İşte yapay zeka aracı kullanmak" ile "yapay zeka aracının senin için yazdığı bir uygulamayı yayına almak" arasındaki bu boşluk, tam olarak bu rehberin durduğu yer. Üretken yapay zeka kullanımı tarafı için Kurum'un rehberini oku; bu yazıyı uygulama sahipleri için eksik kalan operasyonel yarı olarak kullan.

Veri nerede duruyor: Supabase, Vercel ve yurt dışına aktarım sorusu

Lovable, Bolt, Cursor, v0 veya Replit'ten çıkan uygulamaların çoğu aynı backend kalıbını paylaşıyor: veritabanı için Supabase ya da benzeri bir Postgres servisi, barındırma için Vercel veya Netlify, bazen de bir sohbet özelliği ya da özet çıkarma için istek akışında üçüncü taraf bir yapay zeka API'si. Bunların her biri, varsayılan olarak, Türkiye dışında bir sunucu; projenin yapılandırılan bölgesine göre genelde ABD veya AB.

Bunların hiçbiri yapay zekayla yazdırılan bir uygulamanın Supabase veya Vercel kullanamayacağı anlamına gelmiyor. Anlamı şu: aktarım, aydınlatma metninde belirtilmesi ve kanundaki hukuki aktarım sebeplerinden birine dayandırılması gereken bir işlem; aynı tedarikçileri kullanan elle yazılmış bir uygulama için de geçerli olan şey. KVKK'dan hiç bahsetmeyen bir prompt bu belgeyi kendiliğinden eklemiyor.

Aydınlatma metni ve açık rıza: promptun atladığı iki belge

6698 sayılı Kanun'un 10. maddesi, veri sorumlusunun veri toplama anında veya öncesinde bir aydınlatma süreci işletmesini şart koşuyor: kimin veri topladığı, hangi amaçla, hangi hukuki sebeple, kiminle paylaşılabileceği ve kullanıcının haklarını nasıl kullanacağı. 5. madde ise açık rızanın ne zaman gerekli hukuki sebep olduğunu, ne zaman başka bir sebebin (sözleşmenin ifası, yasal yükümlülük, meşru menfaat) rızaya gerek kalmadan işlemeyi zaten karşıladığını belirliyor.

Bir yapay zeka kodlama aracı, yanında "şartlar ve koşullar" onay kutusu olan tam görünümlü bir kayıt formu çizer. Senin gerçek amaçlarını ve tedarikçilerini isim isim anlatan bir aydınlatma metni yazmak için, ya da rızayı sonradan bir denetçiye veya itiraz eden bir kullanıcıya kanıtlayabileceğin şekilde kaydetmek için hiçbir sebebi yok. İkisi de aracın unuttuğu bir şey değil, hiç kendisine sorulmamış bir ürün kararı.

Kavcar'da kurduğumuz akış: kişisel veri paketine yönetici bile erişemiyor

Lumiasoft, bir elektrik-elektronik mühendisliği eğitmeni için Kavcar'ın online kurs ve birebir ders platformunu sıfırdan kurdu: kurs ve modül yönetimi, seviyeli paketler, bir kupon motoru, imzası doğrulanan webhook ve beş dakikalık bir mutabakat işiyle ikinci katman güvenceye bağlanan Shopier ödemesi; imzalı video gömme, tek izleyici kilidi, hareketli kimlik filigranı ve PDF damgalamayla sektör ortalamasının üstüne çıkan içerik koruması. Bu yapının içinde bir KVKK veri talebi akışı var: bir öğrenci kendi verisini talep ettiğinde istek, platformun kendi yönetici hesabının bile doğrudan açamadığı bir paketten geçiyor.

Bu tek tasarım kararı, madde 11'in pratikte en zor kısmına cevap veriyor: bir ilgili kişinin erişim ve taşınabilirlik hakkının, aynı talebin konusu olan veriye kayıtsız, ekstra bir erişim noktası olan bir çalışan üzerinden değil, gerçekten güvence altında kullandırıldığını kanıtlamak. Bu aynı zamanda genel bir kontrol listesinin asla gösteremeyeceği türden bir cevap, çünkü bu erişim sınırının tarif edilmesine değil, gerçekten kurulmasına bağlı.

Kullanıcı bir veri talebinde bulunursa kaç günün var

13. madde süreyi belirliyor: veri sorumlusu, ilgili kişinin başvurusunu en kısa sürede ve en geç 30 gün içinde, kural olarak ücretsiz olarak sonuçlandırır. 30 günlük çizgi sabit; uygulamadan uygulamaya değişen, bu süre dolmadan bir kullanıcının verisinin hangi tabloda durduğunu gerçekten bulabilecek birinin olup olmadığı.

Silme, düzeltme ve dışa aktarma veri modeline hiç tasarlanmamışsa, gelen her talep için bir yönetici, 30 günlük süre altında, production'a karşı elle SQL yazarak cevap vermek zorunda kalıyor. Bu adımı build aşamasında atlamanın operasyonel bedeli tam olarak bu.

Kontrol listesi: yapay zeka ile yazdırdığın uygulama ne kadar hazır

Aşağıdaki her madde, prompt'a ne yazıldığına değil, canlıdaki gerçek uygulamaya karşı kontrol edilecek bir şey.

Yukarıdaki maddelerden birden fazlası eksikse bu bir metin düzeltmesiyle çözülmez. Hukuki kısma geçmeden önce teknik yarısı için yapay zeka ile yazılan uygulamalar için sekiz maddelik güvenlik kontrol listesine bak: açık bir veritabanı veya doğrulanmayan bir webhook varken veri koruma sorusu zaten tali kalıyor.

Bu bir hukuki görüş değil: ne zaman avukata yönlenmen gerekir

Yukarıdakilerin hepsi operasyonel katman: ne kontrol edilir, kanunun süreleri nedir, veri gerçekte nereye gidiyor. Bir avukatın senin spesifik işleme faaliyetini, Supabase veya ödeme sağlayıcınla olan sözleşmeni, işleme hacmin VERBİS kaydını gerektiriyorsa kayıt durumunu incelemesinin yerini tutmuyor. Sağlık verisi, biyometrik veri ya da reşit olmayan kullanıcıları içeren her akış, genel bir kontrol listesinin güvenli bir rehber olmaktan çıktığı ve bir uyum avukatının bir sonraki, isteğe bağlı olmayan adım haline geldiği noktaya geçiyor.

Yukarıdaki kontrol listesi gerçek boşluklar çıkardıysa ve kod tabanının bunları kapatacak birine ihtiyacı varsa, bu bir devralma, yeniden yazım değil. Yapay zeka projesi tamamlama hizmetimiz, kapsam fiyatlanmadan önce gerçekte ne kadar açık olduğunu görmen için ücretsiz bir kod incelemesiyle başlıyor.

Sık sorulan sorular

Uygulamamın kullanıcıları Türkiye dışındaysa KVKK geçerli mi?
KVKK, Türkiye'deki kişilere ait kişisel verinin işlenmesini ve Türkiye'de kurulu veri sorumlularının yaptığı işlemeyi, sunucuların nerede olduğuna bakmadan kapsıyor. Türkiyeli kullanıcısı olan bir uygulama, sunucuların hepsi yurt dışında olsa bile uyum sağlamak zorunda.

Bir çerez bildirimi rıza için yeterli mi?
Hayır. Bir çerez bildirimi takip teknolojilerini kapsıyor; hesap verisi, ödeme verisi ya da bir formdan toplanan herhangi bir veri için madde 5 ve 10'daki daha geniş aydınlatma ve rıza yükümlülüklerini kapsamıyor.

VERBİS'e kayıt olmam gerekiyor mu?
VERBİS (Veri Sorumluları Sicili), Kurum'un belirlediği çalışan sayısı ve veri hacmi eşiklerinin üzerinde, bazı istisnalar dışında gerekiyor. Belirli bir uygulamanın bu çizgiyi geçip geçmediği, genel bir evet-hayır değil, Kurum'un güncel kriterlerine bakılacak bir soru.

Başka bir şirketin aydınlatma metnini kopyalayabilir miyim?
Hayır. Aydınlatma metni gerçek amaçlarını, gerçek tedarikçilerini ve gerçek hukuki sebebini isim isim anlatmak zorunda. Uygulamanın gerçekte yaptığıyla örtüşmeyen kopya bir metin, bir kullanıcı ya da Kurum gerçeğiyle karşılaştırdığında kendi başına bir sorumluluk yaratıyor.

Uygulamamın ne kadar açık olduğunu en hızlı nasıl öğrenirim?
Bu yazıdaki kontrol listesini orijinal prompt'a değil, canlı uygulamaya ve veritabanı şemasına karşı çalıştır. Bir madde başarısız olduğunda, demo ne kadar eksiksiz görünmüş olursa olsun, gerçek boşluk o.