Yapay zeka aracına müşteri verisi: KVKK yurt dışı aktarım
Hukuki görüş değildir.Son kontrol: 1 Ekim 2026
Kısa cevap
Müşterinin adı, telefonu ya da mesajı gibi kişisel veriyi yurt dışındaki bir yapay zeka hizmetine göndermek yurt dışı aktarımdır. Kurul henüz hiçbir ülke için yeterlilik kararı vermedi; düzenli aktarım için standart sözleşme gibi bir uygun güvence gerekir ve imzadan sonra beş iş günü içinde Kurum'a bildirilir. "Arızi aktarım" istisnası düzenli akışlarda kullanılamaz. En güvenli yol kişisel veriyi hiç göndermemek ya da önce maskelemek.
Hangi yollarla aktarılabilir?
- Kişisel veri, işleme şartlarından biri varsa ve aktarımın yapılacağı ülke için yeterlilik kararı bulunuyorsa yurt dışına aktarılabilir (KVKK md. 9/1).[1]
- Kurul henüz hiçbir ülke için yeterlilik kararı vermedi (kvkk.gov.tr, "Yurtdışına Aktarım" sayfası).[4]
- Yeterlilik kararı yoksa uygun güvencelerden biri gerekir: Kurul'un ilan ettiği standart sözleşme, Kurul onaylı bağlayıcı şirket kuralları ya da Kurul izniyle yazılı taahhütname (md. 9/4).[1]
- Kurul dört ayrı standart sözleşme yayımladı: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna. Sözleşme değiştirilmeden kullanılır.[3][2]
Bildirim, arızi aktarım ve ceza
- Standart sözleşme, imzaların tamamlanmasından itibaren beş iş günü içinde fiziki olarak, KEP ile ya da Kurul'un belirlediği yöntemle Kurum'a bildirilir (Yönetmelik md. 14/5).[2]
- Düzenli olmayan, tek ya da birkaç sefer gerçekleşen, olağan faaliyet akışında bulunmayan aktarımlar arızidir; md. 9/6 istisnaları yalnız bunlar için kullanılabilir (Yönetmelik md. 16/1). Her müşteri mesajının bir yapay zeka API'sine gitmesi düzenli bir akıştır.[2][1]
- Standart sözleşmeyi bildirmemenin idari para cezası kanunda 50.000–1.000.000 TL olarak yazılı (md. 18/1-d); bu tutarlar her yıl yeniden değerleme oranıyla artırılır (Kabahatler Kanunu md. 17/7).[1][5]
Uygulamada
- Uygulama notumuzBir yapay zeka aracına dosya ya da metin yüklemeden önce müşteri adı, telefon, adres gibi alanları çıkarmak çoğu işte sonucu değiştirmez ve aktarım sorusunu ortadan kaldırır.
- Uygulama notumuzKurduğumuz sistemlerde kişisel veri, yurt dışındaki yapay zeka API'sine gitmeden önce maskelenir; bunu varsayılan yapıyoruz.
Ne yapmalısın?
- Hangi aracın verini hangi ülkede işlediğini öğren; aracın kartındaki "Riskler" bölümüne bak.
- Aracın "verilerimi model eğitiminde kullanma" ayarını kontrol et.
- Müşteri verisini yüklemeden önce kişisel alanları çıkar ya da yerel çalışan bir model kullan.
- Aydınlatma metninde verinin aktarıldığı yerleri yaz.
Nerede karşına çıkar?
Kaynaklar
- [1] 6698 sayılı Kişisel Verilerin Korunması Kanunu (7499 sayılı Kanunla değişik md. 9), md. 9, 18
- [2] Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, md. 14, 16 (RG 10.07.2024, sayı 32598)
- [3] KVKK: Standart Sözleşmeler ve Bağlayıcı Şirket Kurallarına İlişkin Dokümanlar Hakkında Kamuoyu Duyurusu
- [4] KVKK: Yurtdışına Aktarım
- [5] 5326 sayılı Kabahatler Kanunu, md. 17/7
Kaynaklar 1 Ekim 2026 tarihinde resmî metinlerinden okundu. Mevzuat değişirse bu sayfa güncellenir ve tarih değişir.