Türkiye'de Yapay Zeka Hukuku: KVKK, Sorumluluk ve Haklarınız

Türkiye'de 2026 itibarıyla yapay zekayı doğrudan düzenleyen tek bir özel kanun yoktur; yapay zeka, mevcut kanunlar üzerinden denetlenir ve bunların en önemlisi 6698 sayılı Kişisel Verilerin Korunması Kanunu'dur (KVKK). Yani "yapay zeka kanunu yok" demek "kural yok" demek değildir: bir yapay zeka aracı kişisel veri işlediği anda KVKK, zarar doğurduğunda 6098 sayılı TBK, içerik ürettiğinde fikri mülkiyet mevzuatı ve kötüye kullanıldığında 5237 sayılı TCK devreye girer. Bu rehber, ister bir işletme sahibi ister deepfake gibi bir sorunla karşılaşan bir birey olun, Türkiye'de yapay zeka kullanımının hukuki çerçevesini, 2024-2025'teki kritik değişiklikleri ve atmanız gereken pratik adımları açıklıyor.

Türkiye'de Yapay Zeka Kullanmak Yasal mı?

Evet, Türkiye'de yapay zeka araçlarını kullanmak yasaktır değildir ve bunu düzenleyen tek bir "yapay zeka kanunu" da bulunmamaktadır. 2026 itibarıyla Türkiye'de AB Yapay Zeka Tüzüğü'nün dengi, kapsamlı ve müstakil bir yapay zeka kanunu yürürlükte değildir. Ancak bu, yapay zekanın hukuk dışı bir alanda kaldığı anlamına gelmez.

Yapay zeka, hâlihazırda var olan kanunlar üzerinden, her olaya göre ayrı ayrı uygulanarak düzenlenir. Bir yapay zeka sistemi hangi hukuki alana dokunuyorsa o alanın genel kuralları onun için de geçerlidir. Pratikte bunun anlamı şudur: "yapay zeka kanunu yok" cümlesi sizi sorumluluktan kurtarmaz; sorumluluk başka kanunların içinde yaşar ve bu kanunların birkaçı 2024-2025'te ciddi şekilde değişmiştir.

Alan hızla hareket ettiği için, bir yapay zeka uygulamasını hayata geçirmeden önce mevcut mevzuatın o günkü hâline göre değerlendirilmesi doğru olur. Özellikle veri ve teknoloji boyutunda KVKK ve bilişim hukuku danışmanlığı almak, kuralların sizin kullanım senaryonuza nasıl uygulandığını netleştirir.

ChatGPT'ye Müşteri veya Çalışan Verisi Girmek KVKK İhlali mi?

Kısa cevap: ChatGPT veya benzeri bir üretken yapay zeka aracını işiniz için kullanmak yasak değildir; sorun, araca hangi veriyi girdiğiniz ve o verinin nereye gittiğidir. Bir isteme (prompt) müşteri, çalışan veya danışan bilgisi yapıştırdığınız anda 6698 sayılı KVKK tam anlamıyla devreye girer ve üç soru kullanımınızın hukuka uygun olup olmadığını belirler.

• Kişisel veri giriyor musunuz? İsim, telefon, e-posta, sağlık bilgisi, performans notu gibi bir veriyi araca yazdığınızda KVKK uygulanır. İşleme için hukuki bir sebep, aydınlatma yükümlülüğü ve makul bir saklama politikası gerekir.
• Araç yurt dışında mı barındırılıyor? Büyük yapay zeka servislerinin çoğu veriyi Türkiye dışında işler. Bu da girdiğiniz veriyi bir yurt dışına aktarım hâline getirir ve aşağıda anlattığımız yeni aktarım rejimine tabi kılar.
• Çıktı zarar doğurabilir mi? Yanlış, başkasının hakkını ihlal eden veya itibar zedeleyen bir çıktı sorumluluk yaratabilir; bu konuyu aşağıdaki sorumluluk bölümünde ele alıyoruz.

KVKK: Yapay Zekanın Asıl İşleyen Kural Kitabı

Türkiye'deki yapay zeka sistemlerinin büyük çoğunluğu için en doğrudan ilgili kanun 6698 sayılı KVKK'dır. Bir yapay zeka sistemi kişisel veri işlediği her durumda uygulanır ki bu da gerçek hayattaki uygulamaların ezici çoğunluğunu kapsar: sohbet botları, müşteri ilişkileri (CRM) ve insan kaynakları yazılımları, öneri motorları, yüz tanıma sistemleri ve daha fazlası.

6698 sayılı Kanun kapsamında temel yükümlülükler

• Hukuka uygun bir işleme sebebi. Açık rıza ya da kanundaki diğer işleme şartlarından biri gerekir (sıradan veriler için md. 5, özel nitelikli veriler için md. 6). 1 Haziran 2024'te yürürlüğe giren 7499 sayılı Kanun, özel nitelikli kişisel verilerin işlenme şartlarını genişletmiştir; artık hassas veriler için açık rıza tek yol değildir.
• Amaçla sınırlılık ve veri minimizasyonu. Veriyi yalnızca belirli ve meşru amaçlar için işleyin.
• Şeffaflık (aydınlatma). İlgili kişiye verisinin nasıl kullanıldığı, otomatik karar ve profilleme yapılıp yapılmadığı dahil açıkça bildirilmelidir.
• Veri güvenliği. Veriyi korumak için uygun teknik ve idari tedbirler alınmalıdır.

Otomatik kararlar ve profilleme

Kişileri puanlayan, sıralayan veya eleyen yapay zeka, örneğin iş başvurusu önelemesi ya da kredi değerlendirmesi yapan bir araç, KVKK açısından özel bir hassasiyet doğurur. İlgili kişi bilgilendirilmeli, işleme hukuka uygun bir sebebe dayanmalı ve kararın mantığını açıklayabilmelisiniz. Çalışan ya da müşteri hakkında karar veren bir araç kullanmadan önce bunu KVKK ile birlikte, ilgisine göre 4857 sayılı İş Kanunu ve 6502 sayılı Tüketici Kanunu çerçevesinde değerlendirmek gerekir.

Yurt Dışına Veri Aktarımı: 2024'te Ne Değişti?

İşletmeler için son dönemin en önemli değişikliği yurt dışına veri aktarım rejimidir. Kişisel veriyi yurt dışında barındırılan bir yapay zeka aracına, bulut modeline ya da hizmete girmek KVKK kapsamında bir yurt dışına aktarımdır ve bu kurallar, KVKK md. 9'u değiştiren 7499 sayılı Kanun ile kökten yenilenmiştir (12 Mart 2024 tarihinde yayımlandı, 1 Haziran 2024'te yürürlüğe girdi). Yurt dışına aktarıma ilişkin yönetmelik ise 10 Temmuz 2024'te yayımlanmıştır.

Eski "açık rıza esas" modeli geride kaldı; yerini üç kademeli bir sistem aldı:

• Yeterlilik kararı. Kişisel Verileri Koruma Kurulu'nun yeterli koruma sağladığını tespit ettiği ülkelere, uluslararası kuruluşlara veya sektörlere aktarım. Bu kararlar en az dört yılda bir yeniden değerlendirilir.
• Uygun güvenceler. Yeterlilik kararı yoksa; Kurul tarafından ilan edilen standart sözleşme, grup içi aktarımlar için bağlayıcı şirket kuralları ya da Kurulca onaylanan yazılı taahhütnameler gibi güvencelere dayanabilirsiniz.
• Arızi (istisnai) hâller. Belirli ve dar bir kerelik durumlar; örneğin söz konusu aktarıma ilişkin açık rıza ya da bir sözleşmenin ifası için zorunlu aktarımlar.

Birden çok ülkede ortak bir yapay zeka platformu kullanan grup şirketleri için bu, çoğu zaman bağlayıcı şirket kuralları ile standart sözleşme arasında seçim yapıp bunu doğru belgelemek ve bildirmek anlamına gelir. Konuya daha geniş bakmak için GDPR ve Türk şirketleri için uyum rehberimizi de inceleyebilirsiniz.

KVKK Üretken Yapay Zeka Rehberi (24 Kasım 2025)

24 Kasım 2025'te Kişisel Verileri Koruma Kurumu, Üretken Yapay Zeka ve Kişisel Verilerin Korunması Rehberi'ni (15 Soruda) yayımladı. Bu rehber, Kurumun yapay zeka ve kişisel veriye ilişkin daha önceki 2021 tarihli tavsiyelerinin üzerine inşa edilmiştir ve düzenleyicinin üretken yapay zeka ile büyük dil modellerini nasıl ele almanızı beklediğine dair bugün en net resmi işarettir.

Rehber bir kanun değildir; ancak Kurumun beklentilerini yapay zekanın tüm yaşam döngüsü boyunca ortaya koyar. Öne çıkan noktalar şunlardır:

• Her aşamada ayrı bir hukuki sebep. Eğitim verisinin toplanması, modelin eğitilmesi ve ince ayarı, ardından kullanıcılara sunulması; her biri kendi hukuki sebebine ihtiyaç duyan ayrı işleme faaliyetleri olarak değerlendirilir.
• Gerekçelendirilebilir saklama süreleri. Eğitim veri kümeleri süresiz tutulmamalıdır; saklama sınırlı ve gerekçelendirilebilir olmalıdır.
• Şeffaflık ve ilgili kişi hakları. Bireyler, verileri üzerine kurulan sistemlere karşı haklarını korur ve siz bu taleplere cevap verebilmelisiniz.
• Doğruluk ve halüsinasyon. Gerçek bir kişi hakkında yanlış yapay zeka çıktısı, sadece teknik bir kusur değil, bir veri doğruluğu sorunu olarak ele alınır.

Pratikte en sık karşılaşılan hata aynı kalıyor: müşteri ya da çalışan verisini, yukarıdaki hukuki sebep ve yurt dışına aktarım kurallarını ele almadan yurt dışındaki bir yapay zeka aracına aktarmak.

Yapay Zeka Zarar Verirse Kim Sorumlu Olur?

Türk hukuku yapay zekaya hukuki kişilik tanımaz; bu nedenle bir yapay zeka sistemi kendi başına sorumlu tutulamaz. Sorumluluk, onun arkasındaki kişilere ve şirketlere, genel hukuk kuralları çerçevesinde düşer.

• Sözleşmesel sorumluluk. Bir yapay zeka ürünü veya hizmeti vaat edildiği gibi çalışmazsa, sağlayıcı sözleşmeye aykırılık nedeniyle 6098 sayılı TBK çerçevesinde sorumlu olabilir.
• Kusura dayalı haksız fiil. Yapay zekası kusuruyla zarar veren taraf, TBK md. 49'daki genel haksız fiil kuralı uyarınca tazminat ödemek zorunda kalabilir.
• Üretici ve tüketici sorumluluğu. Üreticiler ayıplı ürün nedeniyle sorumlu tutulabilir; kullanan kişi tüketici olduğunda 6502 sayılı Tüketicinin Korunması Hakkında Kanun ek yükümlülükler getirir.
• Cezai sorumluluk. Yapay zekanın kötüye kullanımı, örneğin dolandırıcılık, hakaret veya rıza dışı görüntü üretmek için kullanılan deepfake'ler, 5237 sayılı TCK kapsamında suç oluşturabilir.

Aksi hâlde sonucu kanunun genel kuralları belirleyeceği için, yapay zeka sağlayıcıları ve müşterilerle yapılan sözleşmeler; sorumluluğu, fikri mülkiyeti ve garantileri açıkça dağıtmalıdır. İyi kurgulanmış bir sözleşme, çoğu işletmenin bugün alabileceği en etkili tedbirdir. Doğan bir zarar için tazminat sürecinin nasıl işlediğini de önceden bilmek faydalıdır.

Yapay Zeka Çıktısı ve Fikri Mülkiyet: Esere Kim Sahip?

Yapay zekaya ilişkin fikri mülkiyet soruları başlıca 5846 sayılı Fikir ve Sanat Eserleri Kanunu (FSEK) ve 6769 sayılı Sınai Mülkiyet Kanunu (SMK) ile yönetilir. Pratikte iki konu defalarca karşımıza çıkar.

• Yapay zeka üretimi içeriğin mülkiyeti. FSEK, "sahibinin hususiyetini taşıyan" eserleri korur; yani hususiyet (özgünlük) şartı aranır. Anlamlı bir insan yaratıcı katkısı olmadan, tamamen otonom biçimde yapay zekanın ürettiği çıktı, telif korumasının dışında kalabilir. Üretilen materyali sahiplenip lisanslamayı planlayan bir işletme için bu gerçek bir ticari risktir.
• Eğitim verisi ve ihlal. Telifli metin, görsel ya da kodun bir modeli eğitmek için kullanılması ihlal sorularını gündeme getirebilir. Eğitim verinizin kaynağını ve dayandığınız lisansları belgeleyin.

Bu alan henüz oturmadığı için sözleşmeler, yapay zeka çıktısına kimin sahip olduğunu ve üçüncü kişilerin fikri mülkiyet iddialarının riskini kimin taşıyacağını açıkça belirtmelidir. Markanız ve eserleriniz söz konusu olduğunda marka ve patent danışmanlığı bu şartları haklarınızı tesadüfe bırakmayacak biçimde kurgulamanıza yardımcı olur.

Deepfake Mağduru Oldum: Hangi Hukuki Yollara Başvurabilirim?

Bugün Türkiye'de deepfake (sahte ve yapay üretilmiş görüntü/ses), rıza dışı görsel veya kimliğe bürünme nedeniyle mağdur olan bir bireyin başvurabileceği bir "yapay zeka kanunu" henüz yoktur; ancak çareler mevcut mevzuatın içinde fazlasıyla vardır. Konunun "bireyler" boyutu burada belirginleşir.

• Ceza hukuku yolu. Olayın niteliğine göre 5237 sayılı TCK'da yer alan özel hayatın gizliliğini ihlal, hakaret, dolandırıcılık, şantaj, müstehcenlik veya verilerin hukuka aykırı ele geçirilmesi gibi suçlar gündeme gelebilir. Bu durumda Cumhuriyet Başsavcılığına suç duyurusunda bulunulur.
• Hukuk (tazminat) yolu. Kişilik haklarınız ihlal edildiyse TMK ve TBK çerçevesinde kişilik haklarının korunması davası açabilir; uğradığınız maddi ve manevi zarar için tazminat davası ikame edebilirsiniz.
• İçeriğin kaldırılması ve erişimin engellenmesi. İnternette yayılan içerik için 5651 sayılı Kanun kapsamında içeriğin çıkarılması ve/veya erişimin engellenmesi talebiyle Sulh Ceza Hâkimliğine başvurulabilir; ayrıca kişisel verinizin işlendiği durumlarda KVKK kapsamında ilgili kişi olarak haklarınızı kullanabilirsiniz.

AB Yapay Zeka Tüzüğü Türkiye'deki Şirketleri Neden İlgilendirir?

AB Yapay Zeka Tüzüğü ((AB) 2024/1689 sayılı Tüzük) Türk hukuku değildir; ama gerçek bir ülke dışı (sınır ötesi) etkisi vardır. Türkiye'de yerleşik bir şirket, yapay zeka sistemlerini AB pazarına sunuyorsa ya da yapay zekasının çıktısı AB içinde kullanılıyorsa bu Tüzüğün kapsamına girebilir. AB'ye yazılım, hizmet ya da ürün satan ihracatçılar ve SaaS sağlayıcıları için bu, Türkiye'deki daha hafif konuma rağmen AB kurallarına uymak gerekebileceği anlamına gelir.

Tüzük kademeli olarak uygulanır. Yürürlüğe girmiş, teyit edilmiş başlıca tarihler şunlardır:

Türkiye'nin AB modeliyle uyumlu bir yöne işaret ettiği düşünüldüğünde, AB seviyesinde belgelendirmeyi erkenden oluşturmak gelecekteki uyum maliyetini düşürür. AB pazarına dokunan bir yapay zeka faaliyetiniz varsa, bu çifte rejim riskini şimdiden değerlendirmek gerekir.

Türkiye'nin Yapay Zeka Politikası ve Hazırlanan Kanun Teklifleri

Bağlayıcı bir yapay zeka kanunu henüz yok; ancak Türkiye net bir politika yönü belirledi ve ilk strateji dönemi sona erince bu yön tazelendi. İki yasal gelişme nereye gidildiğini gösterir.

• 2021-2025 Ulusal Yapay Zeka Stratejisi süresini tamamlamıştır. Cumhurbaşkanlığı Dijital Dönüşüm Ofisi ile Sanayi ve Teknoloji Bakanlığı koordinasyonunda yürütülmüş; insan odaklı, güvenilir ve etik ilkeleri benimsemiştir. Stratejiyi ileriye taşımak için güncellenmiş bir eylem planı yayımlanmış; Türkçe büyük dil modellerinin geliştirilmesi, ulusal yapay zeka mevzuatının hazırlanması ve yapay zeka üretimi içerikte fikri haklar gibi öncelikli eylemler bakanlıklara dağıtılmıştır.
• Risk temelli yapay zeka kanun teklifi (25 Haziran 2024'te sunuldu). Güvenlik, şeffaflık, eşitlik, hesap verebilirlik ve mahremiyet ilkeleri üzerine kurulu, sekiz maddelik kısa bir teklif. Risk temelli bir yaklaşım benimser; hâlâ komisyondadır ve henüz kanunlaşmamıştır.
• Yapay zeka üretimi içerik / deepfake kanun teklifi (7 Kasım 2025'te sunuldu). Türk Ceza Kanunu dahil birçok kanunda değişiklik öneren, daha yeni ve ayrı bir taslak. Basına yansıyan tedbirler arasında "yapay zeka sistemi" tanımının kanunlaştırılması, yapay zeka üretimi (deepfake) içeriğin zorunlu etiketlenmesi, daha hızlı kaldırma süreçleri ve idari yaptırımlar yer alır.

Yapay Zeka Güvenliği ve Siber Güvenlik Kanunu Bağlantısı

Yapay zeka sistemleri boşlukta durmaz. Kişisel veri işledikleri ya da kritik hizmetler yürüttükleri durumlarda, güvenlik yükümlülükleri Türkiye'nin daha geniş siber güvenlik çerçevesinden de doğar. 7545 sayılı Siber Güvenlik Kanunu ile KVKK'nın veri güvenliği yükümlülükleri birlikte; modelleriniz, eğitim veriniz ve devreye alma süreçleriniz etrafında uygun teknik ve idari tedbirler alınmasını bekler.

Pratikte bunun anlamı şudur: bir yapay zeka uygulamasını hayata geçirirken veri koruma, fikri mülkiyet ve siber güvenliği ayrı projeler gibi ele almak yerine tek bir değerlendirmede birlikte incelemek gerekir. KVKK uyumu, sözleşme ve siber güvenlik perspektifini birleştiren bir bilişim hukuku değerlendirmesi, bu üç katmanı aynı anda görmenizi sağlar.

İşletmeler ve Bireyler için Pratik Uyum Adımları

Türkiye'de yapay zekaya özel müstakil bir kanun yürürlüğe girene kadar, makul bir uyum tabanı şunları içerir:

1. Veri akışlarınızı haritalandırın. Yapay zekanızın hangi kişisel veriyi işlediğini ve nereye gittiğini belirleyin; ardından 6698 sayılı KVKK ile uyumlayın ve özellikle 2024 sonrası yurt dışına aktarım kurallarına dikkat edin.
2. Aktarım mekanizmasını netleştirin. Veri Türkiye'den çıkıyorsa yeterlilik kararı, standart sözleşme (ve 5 iş günü içinde bildirim), bağlayıcı şirket kuralları veya geçerli bir istisna arasından seçim yapın ve tercihi belgeleyin.
3. Yapay zeka sistemlerinizi belgeleyin. Amaç, veri kaynakları, saklama süreleri, ilgili olduğu yerde model mantığı ve insan denetimini kayıt altına alın. Bunlar her risk temelli çerçevenin yapı taşlarıdır.
4. Sözleşmeleri doğru kurun. Sağlayıcı ve müşteri sözleşmelerinde sorumluluğu, fikri mülkiyet sahipliğini ve garantileri 6098 sayılı TBK çerçevesinde dağıtın.
5. AB riskini kontrol edin. Yapay zekanız AB pazarına dokunuyorsa AB Yapay Zeka Tüzüğü'nü şimdiden değerlendirin ve güncel yüksek risk takvimini izleyin.
6. Taslak mevzuatı izleyin. Türkiye'nin yapay zeka kanun teklifi ile deepfake teklifi yeni yükümlülükler getirebilir.

Lexin Legal; teknoloji, kişisel verilerin korunması, fikri mülkiyet ve ticaret hukuku alanlarında işletmelere ve bireylere danışmanlık verir. Yapay zeka projenize bu kuralların nasıl uygulandığını görüşmek için bizimle iletişime geçebilir ya da ticaret hukuku ve KVKK ve bilişim hukuku hizmetlerimizi inceleyebilirsiniz.

Sıkça sorulan sorular