Yapay Zeka Alanında Yasal Düzenleme ve Politika Çerçevesi
Türkiye'de yürürlükte bulunan yapay zekaya özgü müstakil bir yasal düzenleme yer almamaktadır. Buna karşılık Avrupa Birliği Yapay Zeka Yasası (AI Act), yapay zekanın etik gelişimini ve kişisel verilerin korunmasını sağlamaya yönelik ilk detaylı yasal düzenleme olarak 1 Ağustos 2024 tarihinde yürürlüğe girmiştir. Ulusal strateji belgeleri incelendiğinde, 2021-2025 Ulusal Yapay Zeka Stratejisi 2024-2025 eylem planında yapay zeka uygulamalarının hukuki değerlendirilmesine ilişkin rapor hazırlanması ve yasalara uyum denetimi düzenlenmiş; ancak kanun düzeyinde özel bir düzenleme öngörülmemiştir. Bununla birlikte On İkinci Kalkınma Planı'nın (2024-2028) 2.1 numaralı başlığında, büyük miktarda verinin işlendiği dijitalleşme sürecinde kişisel veri güvenliği ve mahremiyeti, siber güvenlik, yapay zeka ve dijital etik alanlarında kamu politikalarının geliştirilmesi ve yasal düzenlemelerin yapılması hedefi bulunmaktadır.
Üretken Yapay Zeka Süreçlerinde Veri İşleme ve Aydınlatma Esasları
Üretken yapay zeka sistemlerinin eğitimi, değerlendirilmesi, izlenmesi ve kullanılması süreçlerinde Türkiye'de mukim kişilere ait veriler yer alıyorsa, bu faaliyet 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında kişisel veri işleme faaliyeti oluşturur. Kişisel Verileri Koruma Kurumu tarafından yayımlanan 24 Kasım 2025 tarihli Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi çerçevesinde, yapay zeka sisteminin yaşam döngüsündeki her veri işleme aşaması müstakil bir hukuki sebep ve aydınlatma analizi gerektirir. Modelin çalıştırılması için kullanıcı verisinin işlenmesi, verinin model geliştirmede kullanılması, model çıktısının kişiselleştirme amacıyla değerlendirilmesi veya çıktının yeniden model eğitimine dahil edilmesi farklı aşamalardır. Veri sorumlularının bu aşamaları tek bir aydınlatma metni ve tek bir hukuki sebep yaklaşımıyla yürütmesi hukuki gereklilikleri karşılamamaktadır.
Veri Sorumlusu Sıfatı ve Anonimleştirme Yükümlülükleri
Yapay zeka ekosisteminde veri sorumlusu ve veri işleyen sıfatlarının tayininde sözleşmesel nitelemeler yerine veri işleme faaliyeti üzerindeki fiili kontrol ve karar alma gücü dikkate alınır. Yapay zeka teknolojilerinin geliştirilmesinde aynı sonuca kişisel veri işlenmeksizin ulaşılabiliyorsa verilerin anonim hale getirilerek işlenmesi kuralı geçerlidir. Veri işleme süreçlerinde yalnızca anonim veri kullanıldığının ileri sürülmesi tek başına yeterli kabul edilmez; anonimleştirme işleminin kendisi de bir veri işleme faaliyetidir ve verinin nesnel olarak anonim hale gelip gelmediği teknik yöntemlerle ortaya konulmalıdır.
Otomatik Karar Alma, Güvenmeme Özgürlüğü ve Mahremiyet Değerlendirmesi
Otomatik karar almaya dayalı süreçlerde bireylere itiraz ve yeniden değerlendirme imkânı tanınması, insan müdahalesi mekanizmalarının korunması, tasarımdan itibaren mahremiyet yaklaşımının benimsenmesi ve risk temelli güvenlik önlemlerinin uygulanması gerekmektedir. Kişisel Verileri Koruma Kurulu'nun tavsiye metninde yer alan ilkelerin Genel Veri Koruma Tüzüğü'nün (GDPR) 22. maddesindeki otomatik veri işleme kurallarına işaret ettiği değerlendirilmektedir. Söz konusu tavsiyeler doğrultusunda, yapay zeka çalışmalarında kişisel verilerin korunması bakımından yüksek risk öngörülmesi halinde mahremiyet etki değerlendirmesi yapılmalı, veri işleme faaliyetinin hukuka uygunluğu bu çerçevede belirlenmeli ve bireylerin yapay zeka uygulamalarıyla sunulan önerilerin sonucuna güvenmeme özgürlüğü korunmalıdır.
Türkiye'de yürürlükte müstakil bir yapay zeka kanunu var mıdır?
Türkiye'de yürürlükte bulunan yapay zekaya özgü müstakil bir yasal düzenleme bulunmamakta, süreçler 6698 sayılı Kişisel Verilerin Korunması Kanunu ve Kurum ilke kararları çerçevesinde değerlendirilmektedir.
Yapay zeka sistemlerinde tek bir aydınlatma metni yeterli midir?
Yapay zekanın eğitim, işletim, kişiselleştirme ve yeniden model eğitimi gibi her bir yaşam döngüsü aşaması ayrı hukuki sebep analizi gerektirdiğinden tek bir aydınlatma metni ve tek hukuki sebep yeterli kabul edilmemektedir.
Yapay zekada verinin anonim olduğunu beyan etmek hukuka uygunluk için yeterli midir?
Anonimleştirme işleminin kendisi müstakil bir kişisel veri işleme faaliyeti olup verinin gerçekten anonim nitelik kazanıp kazanmadığı teknik yöntemlerle nesnel biçimde kanıtlanmalıdır.
Bireylerin yapay zeka tarafından sunulan önerileri kabul etmeme hakkı bulunur mu?
Kişisel Verileri Koruma Kurulu'nun tavsiye niteliğindeki ilkeleri doğrultusunda, bireylerin yapay zeka uygulamaları ile sunulan önerilerin sonucuna güvenmeme özgürlüğünün korunması gerektiği belirtilmektedir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy