Türkiye’de yapay zekâya yönelik henüz özel bir düzenleme yoktur. Konu veri koruma ve siber güvenlik yönünden ayrıca ele alınmakta; bu aşamada Avrupa Birliği’nin yapay zekâ düzenlemesine tam olarak paralel bir çerçeve yerine rehber, politika, strateji ve eylem planı niteliğindeki belgeler öne çıkmaktadır.
Anonimleştirme ve ayrı veri işleme adımları
Yalnızca anonim veya anonimleştirilmiş veri kullanılması, kişisel veri işleme sorununu kendiliğinden ortadan kaldırmaz. Anonimleştirme de bir işleme faaliyetidir. Anonim hâle getirildiği ileri sürülen verinin gerçekten anonim olduğu, teknik yöntemler ve nesnel ölçütlerle ortaya konulmalıdır.
Üretken yapay zekâ sistemlerinin yaşam döngüsü boyunca gerçekleştirilen kişisel veri işleme faaliyetleri, Kişisel Verilerin Korunması Kanunu’nun genel ilkelerine uygun yürütülmelidir.
Kullanıcının girdiği kişisel verilerin modeli çalıştırmak için işlenmesi, aynı verilerin modeli geliştirmek için kullanılması, üretilen çıktıların etkileşimi kişiselleştirmek amacıyla kullanılması ve bu çıktıların yeniden model geliştirmede kullanılması aynı işlem değildir. Her biri ayrı bir veri işleme sürecidir ve ayrı hukuki neden analizi gerektirir.
Veri sorumlusunun belirlenmesinde taraflar arasındaki sözleşmelerden çok, veri işleme üzerindeki fiili kontrol esas alınır. Fiili uygulamanın bu kontrol ve karar alma yetkisiyle uyumlu olup olmadığı da ayrıca tespit edilmelidir.
Aydınlatma, aktarım ve güvenlik tedbirleri
Aydınlatma açık ve ayrı yapılmalıdır. Otomatik karara dayanan süreçlerde kişilere itiraz ve yeniden değerlendirme imkânı sunulması, sürecin insan müdahalesine tabi olması, tasarımdan itibaren mahremiyet yaklaşımının benimsenmesi ve risk odaklı güvenlik önlemlerinin uygulanması gerekir.
Yurt dışına veri aktarımına ilişkin düzenlemelere uyum, üretken yapay zekâ bakımından kritik bir konudur.
Veri sorumlularının red teaming, mahremiyet artırıcı teknolojiler ve etki değerlendirmeleri gibi yöntemlerle sistemleri proaktif olarak gözetmesi gerekir.
Meşru menfaate dayalı veri işlemede etki değerlendirmesi yapılması, mevzuatta öngörülmemesine rağmen yeniden gündeme gelmiştir. Bu husus, kanunda ayrıca yazılmış bir zorunluluk olarak anlaşılamaz.
Siber güvenlik yükümlülükleri
Siber Güvenlik Kanunu 19 Mart 2025 tarihli Resmî Gazete’de yayımlanarak yürürlüğe girmiştir. Kanun; ulusal siber güvenlik politikalarının etkin uygulanmasını, kamu kurumları ile kritik altyapıların dayanıklılığının artırılmasını, teknolojik gelişmelerin süreçlere entegrasyonunu, siber olayların merkezi bakışla izlenip bertaraf edilmesini, caydırıcı yaptırımları, standardizasyon ve sertifikasyonu ve siber suçlara ilişkin cezaların artırılmasını amaçlamaktadır.
Bilişim sistemleri aracılığıyla hizmet sunan, veri toplayan, veri işleyen veya benzeri faaliyette bulunanlar; siber güvenlik kapsamında talep edilen veri, bilgi, belge, donanım, yazılım ve diğer katkıları öncelikle ve zamanında Başkanlığa iletmek, öngörülen tedbirleri almak, zafiyet ve olayları gecikmeksizin bildirmek, kritik altyapıda yetkilendirilmiş ürün ve hizmet tedarik etmek ve Başkanlık düzenlemelerini uygulamakla yükümlüdür.
Siber Güvenlik Başkanlığının yapacağı düzenlemeler; yapay zekâ sistemlerinin geliştirilmesi, çalıştırılması, çıktılarının kullanılması, hangi sistemlerin tedarik edilebileceği ve tedarikte dikkat edilecek hususlar bakımından önemlidir. Bu beklenti, metni belirlenmiş bir ikincil düzenlemenin varlığı anlamına gelmez.
Teklif aşamasındaki yapay zekâ düzenlemesi
Yeni bir yapay zekâ kanun teklifi; yapay zekâ sisteminin bir suça yönlendirilmesini suç olarak düzenlemeyi, sistemi suç işlenmesine imkân verecek biçimde tasarlayan veya eğiten kişilerin cezai sorumluluğunu, kişilik hakkına aykırı, kamu güvenliğini tehdit eden ya da sahte deepfake içeriklere erişimin engellenmesini ve acil karar imkânını önermektedir. Teklif, veri setlerinde anonimliği, ayrımcılık yasağını, meşruiyeti, şeffaflığı, denetlenebilirliği ve yanlış, manipülatif veya halüsinasyon risklerinin engellenmesini de öncelikli konular arasında saymaktadır.
Teklif; Sanayi, Ticaret, Enerji, Tabii Kaynaklar, Bilgi ve Teknoloji komisyonlarında görüşülmeye devam etmektedir ve mevcut hâliyle yasalaşması beklenmemektedir. Bu nedenle teklifteki suç, erişim engeli ve sorumluluk önerileri yürürlükteki bağlayıcı kurallar değildir.
Sunulan teklif metinleri, yapay zekâya ilişkin bütünsel ve özel bir düzenleme yapmak yerine belirli hukuki sorunlara yönelik yaptırım odaklı düzenlemeler niteliğindedir. Ülkeye özgü bir yapay zekâ düzenlemesine duyulan ihtiyaç artmaktadır.
Yapay zekâya ilişkin kanun çalışmalarında daha geniş paydaş katılımı, çeşitli sektörlerden uzman görüşlerinin alınması ve Avrupa Birliği düzenlemelerine paralel ayrıntılı bir çerçeve ihtiyacı sürmektedir.
Sık sorulan sorular
Yapay zekâya özel bir kanun var mı?
Hayır. Türkiye’de yapay zekâya yönelik henüz özel bir düzenleme yoktur; konu bu aşamada rehber, politika, strateji ve eylem planlarıyla ele alınmaktadır.
Anonimleştirme veri işleme sayılır mı?
Evet. Anonimleştirmenin kendisi de bir işleme faaliyetidir. Verinin gerçekten anonim olduğu teknik yöntemler ve nesnel ölçütlerle gösterilmelidir.
Modeli çalıştırmak ve geliştirmek aynı işleme midir?
Hayır. Modeli çalıştırma, geliştirme, çıktıyı kişiselleştirmede kullanma ve çıktıyı yeniden geliştirmede kullanma ayrı veri işleme süreçleridir; her biri için ayrı hukuki neden analizi gerekir.
Yapay zekâ kanun teklifi uygulanabilir mi?
Hayır. Teklif ilgili komisyonlarda görüşülmeye devam etmekte ve mevcut hâliyle yasalaşması beklenmemektedir; içindeki öneriler yürürlükteki kanun hükmü değildir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy