2026 itibarıyla günlük hayatın parçası haline gelen yapay zeka sohbet botları, artık yalnızca metin yazma değil; iş, sağlık ve aile ile ilgili özel sorunları da dinliyor. Kişisel Verileri Koruma Kurumu'nun 24 Kasım 2025 tarihinde yayımladığı "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)" tam da bu ihtiyaçtan doğdu. Kullanıcılar bir sohbet botuna T.C. kimlik numarasından hastalık geçmişine kadar pek çok bilgiyi düşünmeden yazabiliyor, ancak bu paylaşımın hukuki bir karşılığı var.

Peki bir sohbet botuna yazdığınız cümle, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) açısından nasıl değerlendiriliyor? Bu yazıda hem yasal çerçeveyi hem de günlük hayatta karşılaşabileceğiniz somut riskleri ele alıyoruz.

Sohbet Botlarına Neler Anlatıyoruz?

Bir sohbet botuna "iş sözleşmemi incele", "bu tahlil sonucunu yorumla" ya da "boşanma sürecimde ne yapmalıyım" diye yazan bir kullanıcı, aslında farkında olmadan kimlik, sağlık, aile ve mali verisini üçüncü bir sisteme aktarmış olur. Örneğin İstanbul'da bir çalışan, işveren tarafından gönderilen ihtar yazısını olduğu gibi kopyalayıp bir yapay zeka aracına yapıştırdığında; hem kendisinin hem de işverenin adı, unvanı, tarih ve olay detayları o sistemin sunucularına ulaşır.

Bu tür paylaşımlar tek seferlik gibi görünse de, sohbet geçmişi çoğu zaman hesaba bağlı olarak saklanır ve modelin eğitiminde kullanılabilir. Kullanıcı bunu her zaman fark etmez, çünkü arayüz sıradan bir mesajlaşma uygulaması kadar sade görünür.

KVKK Sohbet Botlarını Kapsar mı? Açık Rıza Sorunu

6698 sayılı Kanun'un 5. maddesi, kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceği temel kuralını koyar; kanunlarda açıkça öngörülme, bir hakkın tesisi veya sözleşmenin ifası gibi sınırlı istisnalar dışında bu kural geçerlidir. Kişisel Verileri Koruma Kurulu'nun 2022/1358 sayılı kararında da bu ilke, işleme şartlarının dar yorumlanması gerektiği vurgusuyla hatırlatılmıştır.

Bir sohbet botuna kimlik bilgisi yazan kullanıcı, çoğu durumda bu işlemenin hangi amaçla, ne kadar süreyle ve kimlerle paylaşılacağı konusunda aydınlatılmamış olur. Sağlık verisi gibi özel nitelikli bir bilgi söz konusuysa (örneğin bir tahlil sonucunun fotoğrafını yükleyip yorum istemek), Kanun'un öngördüğü daha sıkı koruma rejimi devreye girer ve açık rıza şartı çok daha kritik hale gelir.

Sohbet botuna yazılan her mesaj, sistemin sunucularına ulaşan bir veri işleme faaliyetidir.

Yurt Dışına Veri Aktarımı: Sunucular Nerede?

Türkiye'de en çok kullanılan sohbet botlarının (ör. ChatGPT, Gemini, Copilot) sunucu altyapısı büyük ölçüde yurt dışında konumlanmıştır. Bu durum, Kanun'un 9. maddesi kapsamında "kişisel verilerin yurt dışına aktarılması" hükümlerini gündeme getirir; zira kullanıcının yazdığı veri, Türkiye sınırları dışındaki bir sunucuya iletilmektedir.

Bir örnek verelim: Ankara'da bir muhasebeci, müşterisine ait fatura ve vergi kimlik bilgilerini içeren bir tabloyu "özetler misin" diyerek bir yapay zeka aracına yüklerse, bu işlem yalnızca kendi kişisel verisini değil, üçüncü kişilerin verisini de yurt dışına taşımış olur. Böyle bir aktarımda muhasebecinin, hem kendi açık rızasının hem de müşterisinin rızasının ya da yasal bir dayanağının bulunup bulunmadığını değerlendirmesi gerekir.

En Riskli Paylaşımlar: Kimlik, Sağlık ve Mali Bilgiler

Uygulamada en sık karşılaşılan riskli paylaşımlar şunlardır:

- T.C. kimlik numarası, adres, doğum tarihi gibi doğrudan kimliklendirici bilgiler

- Tahlil sonucu, teşhis, reçete gibi sağlık verileri

- IBAN, kredi kartı numarası veya maaş bordrosu gibi mali bilgiler

- Boşanma, velayet veya ceza soruşturmasına ilişkin dosya detayları

Bu tür veriler bir kez paylaşıldığında geri çekilmesi çoğu zaman mümkün olmaz. Kişisel verisi bu şekilde yayılan bir kişi, ileride kimlik hırsızlığı veya dolandırıcılık girişimiyle karşılaşırsa, cezai ve hukuki başvuru yollarına başvurmak durumunda kalabilir.

İşyerinde "Gölge Yapay Zeka" (Shadow AI) Tehlikesi

Kişisel Verileri Koruma Kurumu'nun 2026 yılı içinde yayımladığı rehberlerde dikkat çekilen bir başka başlık, çalışanların işveren onayı olmadan kurumsal verileri sohbet botlarına yazması, yani "gölge yapay zeka" (Shadow AI) kullanımıdır. Bir insan kaynakları çalışanının, işten çıkarılan bir personelin özlük dosyasını "nasıl bir fesih yazısı hazırlarım" diyerek bir yapay zeka aracına aktarması, hem kendisini hem de işvereni veri sorumlusu sıfatıyla karşı karşıya bırakabilir.

Bu noktada önemle belirtelim: bir kişinin özel hayatına ilişkin bilgilerin izinsiz şekilde üçüncü kişilerle ya da sistemlerle paylaşılması, aynı zamanda kişilik haklarına yönelik bir ihlal olarak da değerlendirilebilir; bu durumda hem idari hem de hukuki sorumluluk gündeme gelebilir.

Paylaşılan veri geri alınamaz; bu yüzden karar vermeden önce durup düşünmek önemlidir.

Ne Yapılmalı? Pratik Öneriler

Sohbet botlarını tamamen kullanmamak gerçekçi bir çözüm değil; ancak bilinçli kullanım riski büyük ölçüde azaltır. Öncelikle veri minimizasyonu ilkesini uygulamak, yani yalnızca sorunun çözümü için gerçekten gerekli olan bilgiyi paylaşmak en temel adımdır. İsim, kimlik numarası veya IBAN gibi doğrudan kimliklendirici unsurları metinden çıkarıp genel bir senaryo üzerinden soru sormak çoğu zaman yeterlidir.

İkinci olarak, kurum içinde çalışanların yapay zeka araçlarını hangi verilerle kullanabileceğine dair net bir politika belirlemek, gölge yapay zeka riskini azaltır. Üçüncüsü, üçüncü kişilere ait veri paylaşılacaksa (örneğin bir müşteri veya hasta bilgisi), o kişinin rızası ya da yasal bir dayanak olup olmadığı önceden değerlendirilmelidir. Son olarak, sohbet geçmişinin saklanmasını sınırlayan ayarlar varsa bunların etkinleştirilmesi, veri işleme süresini kısaltarak riski düşürür.

Bu adımların hiçbiri sohbet botlarının faydasını ortadan kaldırmaz; sadece kullanımı bilinçli ve ölçülü hale getirir. Kişisel veri bir kez paylaşıldığında kontrolü kaybedilebileceğinden, paylaşmadan önce durup "bu bilgi gerçekten gerekli mi" diye sormak, uzun vadede en güvenli yaklaşımdır.

Yasal Uyarı

Bu yazı yalnızca genel bilgilendirme amacıyla hazırlanmıştır ve hukuki tavsiye niteliği taşımaz. Her somut olay kendi koşulları içinde değerlendirilmelidir; hukuki işlem yapmadan önce mutlaka bir avukata danışınız.