30. Yapay zekâ, profilleme ve yeni teknolojiler

Yapay zekâ ile kişisel veri işlenmesinde hukuki inceleme, yalnız aracın adı veya ürettiği son cevap üzerinden yapılamaz. Verinin toplanması, eğitimde kullanılması, hizmete girdi olarak verilmesi ve çıktı üzerinden kişi hakkında işlem yapılması farklı faaliyetlerdir. Aynı kurum veya sağlayıcı, bu faaliyetlerin hepsinde aynı rolü üstlenmeyebilir. Kişinin bilgisi dışında yeni bir bağlantı kurulması da verinin ilk elde edildiği aşama kadar önemli olabilir.

Bir üniversitenin öğrenci dilekçelerini sınıflandırmak ve ret önerisi hazırlamak için yapay zekâ kullandığı varsayımı, bölümde bu ayrımların birlikte değerlendirilmesini sağlar. İnceleme, teknolojinin bütün hukuki sorunlarını kapsamak yerine kişisel verinin niteliği, işleme şartı, doğruluk, insan incelemesi, dış hizmet ilişkisi ve ilgili kişinin hakları üzerinde yoğunlaşmaktadır. Blokzincir ve bağlantılı cihazlar, aynı ilkelerin farklı teknik yapılarda nasıl uygulanacağını gösterir. Kurumsal politika ve karşılaştırmalı AB düzenlemeleri ise bu incelemeyi tamamlar; Türk hukukundaki yükümlülüklerin ayrı dayanağı ve uygulanma koşulları korunur.

30.1. Yapay zekâ yaşam döngüsü: veri toplama, eğitim, kullanım ve çıktı

Yapay zekâ bakımından veri koruma incelemesi, kullanıcıya bir yanıt veya öneri sunulduğu anda başlamaz. Verinin nereden elde edildiği, hangi hazırlık işlemlerinden geçirildiği, modelin eğitiminde nasıl kullanıldığı ve daha sonra hangi kişilere ilişkin sonuçlar üretildiği birlikte incelenmelidir. Aynı sistem içinde bu işlemlerin farklı kişilerce ve farklı amaçlarla yürütülmesi mümkündür. Bu sebeple “yapay zekâ kullanıyoruz” açıklaması, işlenen kişisel veriyi ve sorumlu aktörü belirlemek için yeterli değildir. Kişisel Verilerin Korunması Kanununun 3. maddesindeki işleme tanımı, sınıflandırma ve yeniden düzenleme dahil, bu işlemleri de kapsar.¹

Verilerden öğrenen modellerde eğitim, örneklerdeki ilişkilerin modelin daha sonra sonuç üretmesine elverecek biçimde öğrenilmesine yöneliktir. Kullanım aşamasında ise mevcut modele yeni bir girdi verilerek tahmin, sınıflandırma veya içerik elde edilir. Geliştirme için veri toplamayla modelin bir hizmette uygulanmasını ayırmak, bu iki faaliyetin hukuki dayanaklarının da ayrıca incelenmesini sağlar. Avrupa Veri Koruma Kurulunun 28/2024 sayılı görüşündeki geliştirme ve kullanıma alma ayrımı bu yönden açıklayıcıdır. Bununla birlikte yaşam döngüsü her sistem için aynı sırayla ve bir kez gerçekleşen işlemlerden ibaret değildir; kullanım sırasında alınan geri bildirim yeni bir geliştirme sürecine dönebilir.²

Toplama aşamasında ilk soru, teknik olarak erişilebilen verinin neden o sistem için seçildiğidir. Bir kurumun elinde kişisel veri bulunması, onu her modelin eğitim kaynağına dönüştürmez. Verinin ilk elde edilme sebebiyle sonraki kullanımının amacı karşılaştırılmalı, her işleme için uygulanabilir hukuki sebep belirlenmelidir. Amaç ve ölçülülük denetimini yalnız nihai çıktıya ertelemek, eğitim kümesi hazırlanırken gerçekleşen işlemeyi gözden kaçırır. Eksik kayıtların tamamlanması, belgelerin etiketlenmesi veya belirli başlıklar altında toplanması da kişisel veriye ilişkinse hukuki incelemenin içindedir. Genel ilkeler, hazırlık aşamasında işlemenin ileride faydalı olabileceği düşüncesiyle askıya alınamaz.³

Eğitim aşamasında ayrıca, kaynak veri kümesiyle ortaya çıkan modelin birbirinden ayrılması gerekir. Model, belgelerin sıradan bir kopyası gibi çalışmak zorunda değildir. Ne var ki verinin matematiksel bir yapıya dönüşmesi, kişinin bilgilerinin her durumda geri elde edilemeyeceğini de göstermez. Veale, Binns ve Edwards, modelin yalnız istatistiksel ilişkiler taşıdığı için veri koruma dışında kaldığı kabulünü sorgulamaktadır. İnceledikleri araştırmalar, bazı durumlarda eğitim verisine ilişkin bilgilerin veya bir kişinin eğitim kümesinde bulunup bulunmadığının modelden çıkarılabildiğini göstermektedir. Buradan her modelin mutlaka kişisel veri olduğu sonucu çıkmaz; modelin yapısı ve bilgi elde etme imkânları araştırılmalıdır.⁴

Bu karşı yön, kişisel veri kullanılarak eğitilmiş her modeli otomatik olarak anonim saymayı engellediği gibi, tüm modelleri aynı hukuki statüye yerleştirmeyi de önler. Avrupa Veri Koruma Kurulu da anonimlik değerlendirmesini somut modele bağlamaktadır. Türk hukuku bakımından ise 2.6’da açıklanan kanuni tanım esas alınır: kişinin bilgilerinin başka verilerle eşleştirilerek dahi onunla ilişkilendirilememesi gerekir. Yabancı düzenleyici görüş, bu tanımın yerine geçirilemez. Asıl veri kümesinin silinmesiyle modelde veya çıktılarda kişiye ilişkin bilgi bulunup bulunmadığı sorusunun aynı olmadığı burada önem kazanır. Model ve çıktılar üzerindeki düzeltme ve silme taleplerinin nasıl karşılanacağı 30.6’da ayrıca ele alınacaktır.⁵

Kullanım aşaması yeni kişilerin verilerini de sisteme dahil edebilir. Üniversitenin öğrenci dilekçelerini sınıflandıran bir sistem kullandığını varsayalım. Modelin eğitiminde geçmiş yıllardaki başvuruların kullanılmasıyla bugün gelen dilekçenin uygun idari birime yönlendirilmesi farklı işlemlerdir. Yeni dilekçenin mevcut modelle sınıflandırılması, tek başına modelin o dilekçeyle yeniden eğitildiği anlamına gelmez. Başvuruların sonradan eğitim kümesine eklenmesi isteniyorsa bu kullanım ayrıca değerlendirilmelidir. Öğrencinin başvurusunun karara bağlanması için gerekli verilerle hizmet sağlayıcının genel ürününü geliştirmek için kullanmak istediği veriler aynı amaç altında toplanamaz.⁶

Çıktı aşamasında da kişisel veri ortaya çıkabilir. Örnekte sistemin bir öğrencinin başvurusunu “süre aşımı nedeniyle reddedilebilir” şeklinde sınıflandırması, o öğrenci hakkında yeni bir değerlendirme üretir. Bu değerlendirmenin kaynak belgeyi doğru yansıtıp yansıtmadığı ve kimlerce kullanılacağı incelenmelidir. Girdide adın bulunmaması, sistem başka bilgilerle belirli kişiye ilişkin sonuç üretebiliyorsa tek başına yeterli bir güvence değildir. Üretilen bilginin doğruluğu ve gerektiğinde düzeltilmesi sorunu, yalnız eğitim verisinin başlangıçta doğru seçilip seçilmediğine indirgenemez. Otomatik önerinin yetkili makamın kararı üzerindeki etkisi ise 30.2’deki ayrı incelemeyi gerektirir.⁷

Bu akışta teknik görev adlarıyla hukuki sıfatların da özdeşleştirilmemesi gerekir. Modeli geliştiren, hizmete yerleştiren, barındıran veya belirli bir kurumda kullanan kişiler her işlem için aynı kararı almayabilir. Üniversite başvuruların hangi amaçla değerlendirileceğini belirlerken, dış sağlayıcının kendi eğitim amacı için karar vermesi ayrı bir işleme ilişkisidir. Buna karşılık belirlenmiş talimatla teknik hizmet görülmesi başka bir değerlendirmeye götürebilir. 6. bölümdeki ölçüt bu sebeple her aşamada uygulanır; yalnız sözleşmede yazan sıfat veya yazılımı kimin ürettiği belirleyici değildir.⁸

Yaşam döngüsünün izlenmesi, kullanım başladıktan sonra da sürmelidir. Kayıtların saklanması, geri bildirimlerin yeniden kullanılması ve sistemin ek veri kaynaklarına erişmesi, başlangıçtaki değerlendirmeyi değiştirebilir. Kurumun etken yapay zekâ dokümanı, çok adımlı ve değişen iş akışlarında bu ihtiyacı özellikle görünür kılmaktadır. Ancak her sınıflandırma sistemi kendiliğinden etken yapay zekâ sayılmaz. Üniversite örneğinde başvuru arşivine erişimin kapsamı, yeni eğitimde kullanılacak kayıtlar ve öneriye erişebilecek görevliler ayrı ayrı belirlenmelidir. Böylece denetim, yazılımın ilk kez devreye alındığı tarihte tamamlanan bir işlem olmaktan çıkar; amaç, veri, aktör ve sonuç arasındaki ilişkinin sürdürülmesine yönelir.⁹

30.2. Profilleme, otomatik karar ve anlamlı insan incelemesi

Bir kişinin bilgilerini belirli başlıklar altında kaydetmekle, bu bilgilerden onun davranışı, güvenilirliği veya gelecekteki tercihi hakkında değerlendirme üretmek farklı işlemlerdir. Profillemede kişisel veriler, kişi hakkında bir tahmin veya değerlendirme elde etmek için otomatik olarak kullanılır. Bu profil daha sonra bir hizmetin sunulmasında veya bir başvurunun incelenmesinde etkili olabilir. Ancak her profil doğrudan nihai bir karar oluşturmadığı gibi, her otomatik kararın da karmaşık bir öğrenen modele dayanması gerekmez. Kurulun araç kiralama sektöründeki 2021/1303 sayılı karar özeti de olay kaydı tutulmasıyla bu kayıttan otomatik olarak kiralama engeli çıkarılmasını ayırmaktadır.¹⁰

Türk hukukundaki özel güvence, Kanunun 11. maddesinin birinci fıkrasının (g) bendinde düzenlenmiştir. Kanunun uygulandığı bir faaliyette, verilerin münhasıran otomatik sistemlerle analiz edilmesi suretiyle kişi aleyhine bir sonuç ortaya çıktığında ilgili kişi buna itiraz edebilir. Bu güvenceyi, bütün bilgisayar destekli değerlendirmeleri yasaklayan bir hüküm gibi okumak doğru olmaz. Buna karşılık bu bent uygulanmasa bile işleme amaçla sınırlılık, hukuki sebep, doğruluk ve güvenlik hükümlerine tabidir. Dolayısıyla münhasıran otomatik sonuç bulunmaması, kullanılan verinin veya profillemenin kendiliğinden hukuka uygun olduğu anlamına gelmez.¹¹

AB hukukundaki düzenleme ise aynı ifadelerle kurulmamıştır. Genel Veri Koruma Tüzüğünün 22. maddesi, hukuki etki doğuran veya kişiyi benzer biçimde önemli ölçüde etkileyen, yalnız otomatik işlemeye dayalı karara tabi olmama hakkını düzenler. Maddede sözleşme zorunluluğu, kanuni yetki ve açık rızayla bağlantılı istisnalar vardır. Sözleşme ve açık rıza istisnalarında insan müdahalesi, görüş bildirme ve karara karşı çıkma asgari güvenceleri ayrıca öngörülür. Türk hükmündeki itiraz hakkıyla bu düzenlemenin önleyici yapısı, kapsamı ve istisnaları birbirine dönüştürülemez.¹²

Bilir, iki düzenlemenin farkını korumakla birlikte, Türk hükmündeki münhasırlığın yorumunda gerçek insan değerlendirmesini arayan yaklaşımı savunmaktadır. Bu yaklaşım, sonucun değiştirilmesine etkisi bulunmayan bir personelin yalnız onay vermesinin yeterli sayılmasını engeller. Bunun karşısında, kişinin bütün ilgili bilgileri inceleyip bağımsız karar verdiği bir süreci sırf algoritmadan yararlanıldığı için münhasıran otomatik saymak da kanundaki sınırlayıcı sözcüğü işlevsiz bırakır. İncelemenin konusu insanın süreçte görünmesi değil, sonucun oluşumuna fiilen nasıl katıldığıdır. Bilir’in AB ölçütleriyle yaklaştırma önerisi değerlendirilirken, Türk metninde ayrıca yazılı olmayan “hukuki veya benzer derecede önemli etki” eşiğinin itiraz hakkını daraltan ek bir şart olarak kendiliğinden alınmaması gerekir.¹³

Öğrenci dilekçelerini sınıflandıran üniversite örneğinde, sistemin başvuruyu ilgili birime yönlendirmesiyle ret sonucunu belirlemesi bu nedenle ayrılır. Görevli, dilekçeyi ve dayanak belgeleri okuyabiliyor, sistemin hangi nedenle süre aşımı önerdiğini görebiliyor ve başvuru tarihindeki bir hatayı düzelterek farklı sonuca ulaşabiliyorsa gerçek incelemeden söz edilebilir. Buna karşılık görevliye yalnız “ret önerisini onayla” seçeneği gösteriliyor, asıl belgeler kapatılıyor veya öneriden ayrılmasına izin verilmiyorsa ekrandaki insan onayı tek başına güvence oluşturmaz. Yetkinlik ve zaman imkânı da önemlidir: görevli, değerlendirmeyi değiştirme yetkisine sahip olsa bile dosyayı inceleyemiyorsa bu yetkinin varlığıyla yetinilemez.¹⁴

Bu ölçütler, hiçbir insanın modelin bütün matematiksel işlemlerini baştan kurmasını gerektirmez. Gerekli olan, somut sonucu etkileyen bilgileri sorgulayabilecek ve görev alanında yeniden değerlendirme yapabilecek bir incelemedir. Örnekte öğrencinin dilekçesinin zamanında verilip verilmediği, sistemin tarih alanını yanlış okumasından kaynaklanabilir. Böyle bir hatanın anlaşılması için bütün kaynak kodunun başvurucuya açıklanması zorunlu değildir. Buna karşılık yalnız “algoritma uygun bulmadı” cevabı da hangi kayda veya değerlendirmeye itiraz edildiğini belirsiz bırakır. Açıklamanın teknik ayrıntıyla anlaşılabilirlik arasındaki sınırı 30.4’te ele alınacaktır.

AB Adalet Divanının 27 Şubat 2025 tarihli Dun & Bradstreet Austria kararında, kişinin otomatik değerlendirmeye etkili biçimde karşı çıkabilmesiyle fiilen uygulanan yöntem ve ilkeler hakkında anlaşılabilir bilgi alması arasında bağ kurulmuştur. Divan, karar mantığına ilişkin açıklamayı yalnız karmaşık algoritmanın verilmesine indirgememektedir. Bu karar Türk hukukunda doğrudan aynı açıklama yükümlülüğünü kurmaz; ancak itirazı cevaplamanın, işlem hakkında genel bir tanıtım metni göndermekten neden farklı olduğunu gösterir. Türk hukukunda somut talep, 10, 11 ve 13. maddelerin kapsamı içinde ayrıca değerlendirilmelidir.¹⁵

İtirazın sonucu da önceden kabul veya ret olarak varsayılamaz. Başvurucunun, yanlış kişiye ait kaydın kendisine bağlandığını ileri sürmesiyle karar ölçütünün hukuka aykırılığına karşı çıkması aynı talep değildir. Veri sorumlusu, hangi verinin ve hangi sonucun tartışıldığını belirlemeli, başvuruyu niteliğine göre inceleyerek kabul veya ret gerekçesini açıklamalıdır. Kaydın düzeltilmesi, ona dayanan sonucun yeniden değerlendirilmesini gerektirebilir; fakat bu, her itirazda istenen hizmetin mutlaka sunulacağı anlamına gelmez. Kamu işlemine karşı başvuru ve dava yollarının farklılığı bakımından 28.7’deki ayrım korunur.¹⁶

Otomasyon lehindeki güçlü gerekçe, çok sayıda işlemin zamanında ve tutarlı biçimde yürütülmesidir. Her küçük tasnif adımının ayrıca insan tarafından tekrarlanması gecikmeyi artırabilir; insanın değerlendirmesi de hatasız değildir. Bu nedenle gerekli güvenceyi, her otomatik işlemi yeniden yaptırmakta aramak yerine kişinin durumunu etkileyen aşamalara yerleştirmek gerekir. Kurulun profillemenin her zaman olumsuz olmadığını vurgulaması da kategorik yasak yerine somut veri ve sonuç incelemesine yöneltir. Anlamlı insan incelemesi, araca hiç güvenmemek kadar, onun sonucunu tartışılamaz kabul etmekten de uzak durmayı gerektirir.¹⁷

30.3. Hukuki sebep, alenileştirilmiş veri, amaç değişikliği ve model eğitimi

Bir yapay zekâ projesinin yararlı olması, kullandığı kişisel veriler bakımından başlı başına işleme şartı oluşturmaz. Belirli bir hizmeti sunmak için verinin elde edilmesi, geçmiş kayıtların eğitim kümesine alınması ve modelin başka kişilere hizmet verecek biçimde geliştirilmesi farklı amaçlar taşıyabilir. Her işlem için verinin niteliğiyle bağdaşan kanuni şart gösterilmeli; ardından amaç, gereklilik ve ölçülülük incelenmelidir. Açık rıza dışındaki bir şart gerçekten mevcutsa ayrıca rıza alınması zorunlu değildir. Buna karşılık rızaya başvurmanın güçlüğü, diğer şartlardan birinin mevcut olduğunu kanıtlamaz.¹⁸

Sözleşme sebebi bu ayrımın somut örneğidir. Kullanıcının istediği çeviriyi üretmek için sunduğu metnin işlenmesiyle, aynı metnin daha sonra bütün müşterilere sunulacak modelin eğitiminde kullanılması aynı işlem değildir. İlkinde dahi sözleşmenin taraflarına ait verilerin işlenmesinin sözleşmenin kurulması veya ifasıyla doğrudan ilişkisi ve gerekliliği aranır. İkincisinde sağlayıcının gelecekteki ürününü geliştirmek istemesi, bu bağı kendiliğinden kurmaz. Kullanıcının yüklediği belgede üçüncü kişilerin verileri bulunuyorsa, kullanıcıyla yapılan sözleşme bu kişileri de sözleşmenin tarafı hâline getirmez. Kullanım koşullarına genel bir geliştirme kaydı eklemek de kanunun aradığı ilişkinin yerine geçmez.¹⁹

İnternetten toplanan eğitim verilerinde önce, erişilebilirlik ile kişinin kendisi tarafından alenileştirme ayrılmalıdır. Başkasının ifşa ettiği kayıt, arama motorunun bulabildiği her içerik veya erişim hatasıyla açılmış dosya, yalnız erişilebilir olduğu için 5/2-d kapsamına girmez. Veriyi kişinin kendisinin kamuya açmış olması ayrıca incelenir. Bundan sonra da kanunun genel ilkeleri uygulanır. Kurum, sosyal iletişim için açık paylaşılan verilerin model eğitimine alınmasını, kişinin alenileştirme amacından ayrı değerlendirerek bu sebebe dayandırmamaktadır. Bu yaklaşım, çevrimiçi paylaşımın bütün sonraki kullanımları onayladığı varsayımını reddeder.²⁰

Bununla birlikte, sıradan verilerdeki 5/2-d hükmünün lafzı ile özel nitelikli verilerdeki 6/3-ç hükmü aynı değildir. İkincisinde alenileştirme iradesine uygunluk açıkça yazılıdır; birincisinde kişinin kendisi tarafından alenileştirme belirtilmiştir. Kurumun amaçla sınırlı yorumunu açıklarken bu farkı görünmez kılmamak gerekir. Ayrıca işleme şartının kapsamı ile idari para cezasını gerektiren fiilin kanuni unsurları ayrı değerlendirilir. Rehberdeki açıklama, tek başına yeni bir kabahat oluşturmaz; somut cezanın 18. maddede gösterilen yükümlülükle bağı ayrıca kurulmalıdır. Bu sebeple erişilebilir verinin sınırsız kullanılamayacağı sonucu, her amaç farklılığının kendiliğinden aynı idari cezayı doğurduğu anlamına gelmez.²¹

Öğretide Evci Eralp, ilgili kişi ve platformdan bağımsız üçüncü kişinin mevcut açık internet içeriklerini eğitim için toplamasında meşru menfaati en uygulanabilir dayanak olarak incelemektedir. Gerçekten bu görünümde rıza veya doğrudan sözleşme ilişkisinin bulunmaması önemli bir güçlüktür. Ancak belirli bir veri toplama biçimine ilişkin bu değerlendirme, bütün model eğitimlerinin yalnız meşru menfaate dayanabileceği biçiminde genelleştirilemez. İlgili kişilerin belirli bir eğitim projesine geçerli açık rızayla katıldığı ayrı bir veri kümesinde değerlendirme değişebilir. Verilerin özel niteliği de kullanılabilecek sebepleri değiştirir. Belirleyici olan “eğitim” adı değil, somut ilişki ve veri işleme faaliyetidir.²²

Meşru menfaat bakımından modelin daha çok veriyle daha iyi sonuç verebileceği iddiası yeterli değildir. Veri sorumlusu, elde etmek istediği belirli ve mevcut yararı, bunun için kişisel veri işlemenin neden zorunlu olduğunu ve ilgili kişinin temel hak ve özgürlüklerine zarar verilmediğini ortaya koymalıdır. Aynı işlev, kişisel veri içermeyen veya daha dar bir veri kümesiyle yeterli biçimde sağlanabiliyorsa bütün arşivin kullanılmasının gerekçesi zayıflar. Açık kaynak, az veri veya teknik güvenlik önlemi bu incelemenin birer unsurudur; hiçbiri tek başına hukuki sebep değildir. Özellikle kişiyi taklit etmeye veya hassas durumunu farklı bağlamlarda açığa çıkarmaya elverişli kullanımın etkisi ayrıca değerlendirilmelidir.²³

Avrupa karşılaştırması, bu değerlendirmeye yardımcı olurken hüküm farklarını da gösterir. EDPB’nin 28/2024 sayılı görüşü, meşru menfaatte yarar, gereklilik ve denge incelemesini birbirinden ayırır; aynı amaca daha az müdahaleyle ulaşmanın mümkün olup olmadığını sorgular. Türk 5/2-f hükmü ise üçüncü kişinin menfaatini ayrıca saymaz ve ilgili kişinin temel hak ve özgürlüklerine zarar vermeme koşulunu taşır. Bu nedenle Avrupa’da kabul edilen bir menfaat gerekçesi doğrudan Türk hukukuna taşınamaz. EDPB’nin 7 Temmuz 2026’da kabul ettiği 03/2026 sayılı web kazıma rehberi de 27 Ekim 2026 itibarıyla kamuoyu görüşüne açık sürümdür. Özel kuruluşların dış internet kaynaklarından eğitim verisi toplamasına yönelen bu metin, kurumun kendi iç kayıtlarının kullanımını kapsam dışında bırakmakla o kullanımı hukuka uygun ilan etmiş değildir.²⁴

Özel nitelikli verilerde sınır daha açıktır. 1 Haziran 2024’te yürürlüğe giren yeni 6. maddede, sıradan verilere ilişkin sözleşme ve meşru menfaat sebepleri yer almaz. Eğitim kümesindeki sağlık veya siyasi düşünce verileri, kümenin geri kalanında 5/2-f uygulanabilmesi nedeniyle aynı sebebe bağlanamaz. Alenileştirme sebebi kullanılacaksa kişinin bu verileri alenileştirmesi yanında işlemenin alenileştirme iradesine uygunluğu da gerekir. Uygun bir 6. madde şartı ve yeterli önlemler bulunmaksızın, verinin zaten internette bulunduğuna veya modelin yalnız istatistik öğrendiğine dayanılması bu eksikliği gidermez.²⁵

Üniversite örneğinde, öğrenci dilekçesinin cevaplanabilmesi için işlenmesiyle geçmiş dilekçelerden genel amaçlı bir model geliştirilmesi bu sebeplerle ayrılır. Kurumun arşive hukuken erişebilmesi, arşivin bütün yeni amaçlara tahsis edildiğini göstermez. Eğitim hedefi, kullanılacak belge grupları ve daha az müdahaleci seçenekler belirlenmeli; kamu görevi ileri sürülüyorsa bu hedefle kanuni görevin somut bağı açıklanmalıdır. Dilekçelerdeki sağlık bilgileri ve üçüncü kişi anlatımları ayrıca ayrıştırılmalıdır. Amacın aydınlatma metnine eklenmesi, eksik işleme şartını tamamlamaz; şartın bulunması da aydınlatmayı gereksiz kılmaz. Böylece aynı kaydın yeniden kullanılması, yalnız teknik bir tercih olarak değil, kendi hukuki gerekçesi gösterilmesi gereken bir faaliyet olarak denetlenebilir.²⁶

30.4. Şeffaflık, açıklanabilirlik, doğruluk ve algoritmik ayrımcılık

Bir öğrenciye başvurusunun yapay zekâ yardımıyla değerlendirileceğini bildirmek, onun neden olumsuz sonuçla karşılaştığını açıklamakla aynı değildir. İlk bilgi, veri işleme faaliyetini tanımasını sağlar; ikincisi, kendi durumunda hangi kayıt ve değerlendirmelerin etkili olduğunu anlamasına yönelir. Şeffaflığın bu iki görünümü birlikte düşünülmelidir. İşlemin kim tarafından, hangi amaç ve hukuki sebeple yürütüldüğünü açıklayan aydınlatma ile somut sonuca yönelik bilgi ve itiraz imkânı birbirinin yerine geçirilemez.²⁷

Türk hukukunda 10. maddedeki asgari içerik, 11. maddedeki bilgi isteme, yanlış veriyi düzelttirme ve münhasıran otomatik analizden doğan aleyhe sonuca itiraz haklarıyla birlikte değerlendirilir. Ancak bu hükümleri, GDPR’deki otomatik karar mantığı hakkında anlamlı bilgiye ilişkin düzenlemeyle lafzen aynı göstermek doğru değildir. Türk hükmünün etkili uygulanması için hangi açıklamanın gerektiği, somut işleme ve itirazın konusu üzerinden gerekçelendirilmelidir. Örneğin öğrenciye hangi tarihin başvuru tarihi olarak alındığı bildirilmeden, süresinde başvurup başvurmadığına ilişkin hatayı ileri sürmesi güçleşir. Burada gerekli açıklama, bütün yazılım mimarisinin dökümünden önce, kullanılan kişisel veri ile sonuç arasındaki bağa ilişkindir.²⁸

ABAD’ın 27 Şubat 2025 tarihli Dun & Bradstreet Austria kararı bu bağı belirginleştirir. Mahkeme, GDPR’nin 15/1-h hükmünü yorumlarken açıklamanın, belirli sonuca ulaşmak için kişinin verilerine fiilen uygulanan usul ve ilkeleri anlaşılır biçimde göstermesini aramıştır. Yalnız karmaşık bir formülün verilmesi de bütün işlem adımlarının ayrıntılı sıralanması da bu ihtiyacı karşılamayabilir. Sistem karmaşıklığı açıklama yükümlülüğünü ortadan kaldırmaz. Kredi değerlendirmesinde belirli verinin değişmesinin sonucu nasıl değiştireceğinin gösterilmesi, uygun açıklama yollarından biri olabilir; bu yöntem her uyuşmazlık için tek zorunlu biçim değildir.²⁹

Açıklamanın sistemin gerçekten kullandığı etkenlere dayanması da önemlidir. Sonuç üretildikten sonra ayrı bir dil modeline ikna edici gerekçe yazdırılması, o gerekçenin kararı meydana getiren süreci yansıttığını kanıtlamaz. Üniversite sisteminin ret önerisi eksik belge kaydına dayanıyorsa, öğrenciye öğrenim başarısını tartışan düzgün bir metin sunmak hatayı görünür kılmaz. İşlem kaydı, kullanılan veri, ilgili sürüm ve insanın sonuca katkısı arasında izlenebilir bağ kurulması bu sebeple yararlıdır. Açıklamanın uzunluğu veya akıcılığı, doğruluğunun ve ilgili kişiye sağladığı itiraz imkânının ölçüsü değildir.

Ticari sır ve diğer kişilerin verileri, açıklamanın kapsamı bakımından gerçek karşı menfaatlerdir. Bütün kaynak kodunun veya başka öğrencilerin dosyalarının ilgili kişiye açılması gerektiği sonucu çıkarılamaz. Bununla birlikte sır iddiasının her bilgiyi reddetmeye dönüşmesi de etkili denetimi ortadan kaldırır. ABAD, söz konusu kararında bu çatışmada yetkili denetim makamı veya mahkemenin ilgili bilgiye ulaşarak hak ve menfaatleri dengelemesini öngörmüştür. Bu Avrupa çözümünü Türk usulüne aynen aktarmak yerine, hangi bilginin kişiye, hangisinin yetkili inceleme merciine hangi güvencelerle verileceği uygulanabilir Türk hükümleri çerçevesinde ayrıca belirlenmelidir.³⁰

Doğruluk denetimi ise açıklamadan ayrı bir soruya cevap verir. Belgeden yanlış aktarılan tarih, başka kişiye ait kaydın öğrenciye bağlanması ve doğru kayıtlardan dayanaksız bir kişilik değerlendirmesi çıkarılması farklı hatalardır. İlk iki durumda kaynak ve eşleştirme incelenir; sonuncusunda çıkarımın dayanağı ve kullanım amacı sorgulanır. Bir metnin doğru biçimde kopyalanmış olması, o metinden üretilen bütün sonuçların doğru olduğunu göstermez. Olasılığa dayanan bir tahmin de gerçekleşmiş olay gibi kaydedilmemelidir. Kurumun rehberi, kişisel veri içeren çıktıların gerçeğe aykırı olabileceğine işaret ederek doğruluk incelemesini girdilerle sınırlamamaktadır.³¹

Ayrımcılık riski, yalnız yanlış verilerden doğmaz. Geçmiş kararlar doğru kaydedilmiş olsa bile bunların önceki eşitsiz uygulamaları taşıması mümkündür. Eğitim kümesinde az temsil edilen bir grubun başvuruları daha sık yanlış sınıflandırılabilir; görünüşte nötr bir özellik de başka bir özelliğin yerine geçerek dezavantajı sürdürebilir. Cebeci Çorum’un veri, mevcut toplumsal koşullar ve tasarım tercihlerini ayıran incelemesi, sorunun yalnız birkaç hatalı kaydın temizlenmesine indirgenemeyeceğini gösterir. Buna karşılık her istatistiksel farkın kendiliğinden hukuki ayrımcılık olduğu da söylenemez. Farkın kaynağı, uygulanan ölçüt, etkilenen hak ve nesnel gerekçelendirme ayrıca araştırılmalıdır.³²

Şeffaflığı yeterli güvence sayan yaklaşımın sınırı burada ortaya çıkar. Soydan’ın belirttiği gibi sistemin anlaşılması, ürettiği sonucun hukuka uygunluğunu garanti etmez. Öğrenciye hangi özelliğin ret önerisini etkilediğini açıklamak, o özelliğin kullanılmasını haklı kılmaz. Bir kişiye kendi sonucunu göstermekle, benzer durumdaki başvurularda sistematik dezavantaj bulunup bulunmadığını incelemek de farklıdır. İkinci inceleme için uygun karşılaştırma ve izleme gerekebilir. Bununla birlikte denetim amacı, yeni hassas verilerin sınırsız toplanmasına izin vermez; kullanılacak veri bakımından 5 veya 6. maddedeki şartlar ve ölçülülük yeniden değerlendirilir.³³

Bu nedenle üniversitenin değerlendirmesi, yalnız sistemin toplam başarı oranına dayanamaz. Hangi başvuru türlerinde hata görüldüğü, eksik belgenin nasıl saptandığı, farklı öğrenci gruplarındaki belirgin farkların gerekçesi ve hataya müdahale yolu incelenmelidir. Kanuni doğruluk ve dürüstlük yükümlülükleri ile bunları gerçekleştirmeye yardımcı teknik yöntemler ayrılır; her kurum için aynı test, yüzde veya yazılım kanunen zorunluymuş gibi sunulmaz. Kaynağı doğrulayan, somut sonucu açıklayan ve sistematik etkileri değerlendiren denetim birlikte yürütüldüğünde, 30.2’deki insan incelemesi de yalnız çıktıyı onaylayan bir işlem olmaktan çıkabilir.³⁴

30.5. Üretken yapay zekâ: istemler, belge yükleme, sağlayıcı ve aktarım

Bir dilekçenin özetlenmesi için üretken yapay zekâ hizmetine yüklenmesi, yalnız metin üzerinde çalışan bir yazılımın seçilmesi değildir. İstem, ek belge, hesap bilgisi, sohbet geçmişi ve çıktı farklı kişisel veriler içerebilir. Hukuki inceleme, hangi verinin hangi aktöre ulaştığını ve orada hangi amaçla kullanıldığını belirlemelidir. Üniversite çalışanının kendi hesabından dosya yüklemesiyle kurumun belirlenmiş bir hizmeti kontrollü biçimde kullanması arasında bu bakımdan önemli farklar vardır; fakat hesabın kurumsal ad taşıması tek başına hukuka uygunluk sağlamaz.³⁵

Önce görevin ihtiyaç duyduğu içerik ayrılmalıdır. Genel bir dilekçe şablonu hazırlanması isteniyorsa gerçek öğrencinin adı, kimlik numarası veya sağlık raporu çoğu durumda görevin parçası değildir. Somut dosyanın özetlenmesi isteniyorsa da bütün arşivin yüklenmesi gerekmez. Belgedeki adın kaldırılması, olay ayrıntılarından kişinin belirlenebilmesi ihtimalini kendiliğinden ortadan kaldırmaz. Dosyanın kişisel veri niteliğini koruduğu hâllerde maskeleme yararlı bir tedbir olabilir; hukuki sebep veya aktarım güvencesinin yerine geçmez. İçeriğin kullanıcı tarafından yüklenebilmesi de kullanıcının belgede adı geçen herkes adına rıza verebildiğini göstermez.³⁶

Sağlayıcının sıfatı bundan sonra, işlem bazında belirlenir. Kurumun talimatıyla yalnız gerekli hizmeti veren aktör ile belgeyi kendi genel modelini eğitmek için kullanan aktör aynı amaçla hareket etmez. Akıncı, model sağlayıcı ve sistemi kullanan kuruluşun rollerinin; hizmet, güvenlik ve model iyileştirme amaçlarına göre ayrıca netleştirilmesi gerektiğini belirtmektedir. Sözleşmede “veri işleyen” yazılması, sağlayıcının fiilen kendisinin belirlediği bağımsız amaçları görünmez kılmaz. Buna karşılık sağlayıcının yazılımın teknik ayrıntılarını seçmesi de her durumda bütün işlemler bakımından bağımsız veri sorumlusu olduğu anlamına gelmez. Belirleyici ölçüt, kişisel verilerin işlenmesinin amaç ve vasıtalarını kimin belirlediğidir.³⁷

Eğitimde kullanmama taahhüdü bu sebeple önemlidir, fakat tek başına yeterli değildir. Belge eğitim dışında hizmet sunumu, kötüye kullanım incelemesi, teknik destek veya günlük kaydı amacıyla tutulabilir. Bu işlemlerin kapsamı, saklama süreleri ve erişebilen kişiler ayrıca anlaşılmalıdır. Üniversite, yükleme ekranında geçmişi silince sağlayıcının bütün kayıtlarının da silindiğini varsayamaz. Yetki, talimat, alt hizmet ilişkileri, güvenlik, başvuruya yardım ve hizmet sonunda iade veya imha koşullarının somut işleyişle uyumu değerlendirilmelidir. Veri sorumlusunun, kendi adına başka kişi tarafından işleme yapılması hâlinde güvenlik tedbirlerine ilişkin kanuni sorumluluğu devam eder.³⁸

Yurt dışı aktarım incelemesi de sağlayıcının marka veya merkez adresiyle bitmez. Kurumun aktarım rehberi, Kanun’a tabi aktaranın veriyi iletmesi veya erişilebilir kılması ve alıcının yurt dışında bulunması ölçütlerini birlikte kullanmaktadır. Bu koşullarla, Türkiye’de tutulan belgeye yurt dışındaki destek biriminin erişimi de değerlendirmeye girer. Dosyanın indirilmemesi veya sunucunun başlangıçta Türkiye’de bulunması tek başına yeterli cevap değildir. Buna karşılık yabancı markalı bir yazılımın yalnız kurum içinde çalıştırılmasından, somut bir dış erişim veya iletim gösterilmeden her durumda aktarım sonucu çıkarılamaz.³⁹

Aktarım saptanırsa, 1 Haziran 2024’te yürürlüğe giren yeni 9. maddenin düzeni uygulanır. İşleme şartıyla birlikte yeterlilik kararı veya koşulları varsa uygun güvence araştırılır; bunların bulunmadığı hâllerde kanundaki arızi aktarım imkânları kendi sınırlılıkları içinde değerlendirilir. Sürekli belge yüklemeye dayanan bir hizmeti, sırf her yükleme ayrı bir tıklama olduğu için arızi saymak isabetli değildir. Kamu kurumunun kamu hukukuna tabi faaliyetlerinde 9/6’nın a, b ve c bentlerinin uygulanmaması da üniversite örneğinde ayrıca gözetilmelidir. Sağlayıcının genel hizmet sözleşmesi, uygun güvence olarak düzenlenen standart sözleşmeyle aynı şey değildir. Sonraki aktarımlar da incelemenin dışına çıkmaz.⁴⁰

Bu değerlendirme, üretken yapay zekânın her kullanımının yasak olduğu sonucuna götürmez. Kişisel veri içermeyen varsayımsal bir örnekten yararlanılması, uygun verinin gerekli kapsamda ve hukuka uygun şartlarla işlenmesinden farklıdır. Ancak belirli bir ürünün ücretli, kapalı veya kurumsal sürümünün her zaman güvenli olduğu da söylenemez. Hangi sürüm ve sözleşmenin kullanıldığı, eğitim ve saklama ayarlarının ne yaptığı, sağlayıcının ve alt hizmetlerin erişimi somut olarak doğrulanmalıdır. İyi bir kullanım politikası, çalışanı yalnız “dikkatli ol” diye uyarmak yerine hangi veri türünün hangi hizmete, hangi görev için ve kimin yetkisiyle gönderilebileceğini anlaşılır kılar.⁴¹

Üniversitenin öğrenci dilekçelerini sınıflandırma örneğinde sonuç, bu incelemelerin birleşmesiyle belirlenebilir. Çalışana verilen dosya erişimi, onu dış hizmet seçme ve bütün belgeyi yükleme konusunda sınırsız yetkili kılmaz. Kurum gerekli içerikle yetinen bir akış kurmalı; öğrencinin ve üçüncü kişilerin verileri için uygun şartları, varsa özel nitelikli verinin ek rejimini ve aktarım aracını belirlemelidir. Sağlayıcıya ilişkin sözleşmesel güvenceyle çıktının doğruluğu da ayrı kalır. Hukuka uygun biçimde yüklenen bir dilekçenin hatalı özetlenmesi, 30.4’te açıklanan kontrol ihtiyacını sürdürür; iyi bir özet ise hukuka aykırı yüklemeyi geriye dönük olarak düzeltmez.

30.6. Erişim, düzeltme ve silme taleplerinin model ve çıktılar bakımından uygulanması

Bir öğrenci, dilekçesinin yapay zekâ sisteminden silinmesini istediğinde talebin hangi işleme yöneldiği belirlenmelidir. Dilekçenin asıl dosyası, eğitim kümesine alınmış nüshası, sohbet geçmişi, oluşturulan özet ve modelin kendisi aynı kayıt ortamı değildir. Bunlardan birindeki işlem, diğerlerinin akıbetini kendiliğinden açıklamaz. Başvuruyu yalnız ekrandaki sohbeti kaldırarak karşılamak, dilekçenin başka amaçlarla işlenmeye devam edip etmediği sorusunu cevapsız bırakabilir. Buna karşılık her silme talebinin bütün modelin ortadan kaldırılmasını gerektirdiği de başlangıçtan kabul edilemez.⁴²

Bilgi isteme incelemesinde önce kişinin hangi verisinin nerede işlendiği araştırılır. Modelin kişisel veri içerip içermediği, yalnız eğitimde kişisel veri kullanılmış olmasına veya sağlayıcının onu “anonim” diye adlandırmasına göre belirlenmez. 30.1’deki somut ilişkilendirme değerlendirmesi burada da geçerlidir. Bir yanıt, modelin eğitiminden gelen bilgiyi gösterebileceği gibi sisteme bağlanmış güncel belge deposundan veya kullanıcının kendi isteminden de kaynaklanabilir. Doğru veri sorumlusunu ve müdahale edilecek katmanı bulmak için bu olasılıklar ayrılmalıdır. Kişiye ilişkin bilgi isteme hakkından, başka kişilerin verilerini de içeren bütün eğitim kümesinin yahut modelin tamamının sınırsız teslimini isteme sonucu çıkarılmamalıdır.⁴³

Düzeltme talebinde de kaynak kaydı, üretilmiş çıkarım ve çıktının kullanımı ayrı ele alınır. Öğrencinin başvuru tarihi yanlışsa asıl veri ve bu veriden üretilmiş değerlendirmeler incelenir. Tarih doğru olduğu hâlde özet öğrenciye işlemediği bir disiplin fiilini yüklemişse, yalnız tarih alanını doğrulamak yeterli değildir. Gerçeğe aykırı bilginin hangi katmanda üretildiği ve kimlere sunulduğu belirlenmelidir. Hatalı çıktının kullanımını önleyen tedbirle kaynağın düzeltilmesi birlikte gerekebilir. Düzeltmenin verinin aktarıldığı üçüncü kişilere bildirilmesini isteme hakkı da bu zincirin parçasıdır.⁴⁴

Silme veya yok etme bakımından ise ilgili kişi talebi, işleme şartlarının değerlendirilmesinin yerine geçmez. Kanun’un 7. maddesi ve İmha Yönetmeliği uyarınca talebe konu veri için şartların tamamının ortadan kalkıp kalkmadığı belirlenir; devam eden sebep varsa kapsamı ve gerekçesi gösterilir. Dilekçenin bir başvurunun incelenmesi veya kanuni saklama için korunması gerekebilir. Bu durum, aynı belgenin genel model eğitimi için kullanılmasını ayrıca haklı kılmaz. Saklama zorunluluğunun bulunduğu nüshayla artık gerekli olmayan eğitim veya kullanım kopyası ayrılmalıdır. Uygun imha yönteminin seçimi de talep hâlinde gerekçelendirilir.⁴⁵

Model üzerindeki müdahalenin güçlüğü, buna yeni bir boyut ekler. Veale, Binns ve Edwards’ın incelemesi, eğitim verisinin değiştirilerek modelin yeniden eğitilmesiyle eğitimden sonra modele müdahalenin farklı işlemler olduğunu ve ilk yolun da ciddi maliyet taşıdığını göstermiştir. Daha yakın tarihli Fernández Delgado ve Cazurro Barahona, kaynak verinin silinmesinin öğrenilmiş etkiyi kendiliğinden gidermediğini ve teknik sınırlamalar karşısında hukuki hakların etkisizleşmesi tehlikesini vurgulamaktadır. Bu eleştiri önemlidir; ancak her sistemde düzeltme veya silmenin imkânsız olduğu şeklinde genellenmemelidir. İnceleme, somut mimari ve veriyle ilişkili sonuca yönelmelidir.⁴⁶

CNIL’in 5 Ocak 2026 tarihli açıklaması, bu soruna GDPR çerçevesinde yeniden eğitim, belirli koşullarla çıktı filtreleri ve teknik gelişmenin izlenmesi üzerinden yaklaşmaktadır. Filtreleme, modelin içindeki veriyi kaldırmadan belirli çıktıları önleyebilir. Bu nedenle hangi yöntemin uygulandığının kişiye doğru açıklanması gerekir. Türk hukukunda da bir arayüzün artık adı göstermemesi, verinin bütün ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz hâle geldiğini incelemeksizin silme olarak nitelendirilemez. Seçilen yöntemin Yönetmelik’teki silme, yok etme veya anonimleştirme sonucundan hangisini gerçekten sağladığı denetlenmelidir. Filtre tek başına her durumda yeterli veya her durumda yetersiz ilan edilmemelidir.⁴⁷

Teknik maliyet, belirsizlik ve diğer kişilerin hukuka uygun işlemlerini koruma ihtiyacı gerçek karşı menfaatlerdir. EDPB’nin 28/2024 sayılı görüşü, hukuka aykırı eğitim karşısında alınacak tedbirleri somut olaya ve ölçülülüğe bağlamaktadır. OECD’nin 15 Ekim 2026 tarihli değerlendirmesi de modelden veri çıkarmanın uygulanması ve doğrulanmasında güçlüklerin sürdüğünü belirtmektedir. Bununla birlikte bu açıklamalar, Türk kanununda bulunmayan genel bir “model karmaşıktır” ret sebebi yaratmaz. Sorumlu, talebin hangi kısmını hangi kanuni gerekçeyle kabul veya reddettiğini ve uyguladığı işlemin sonucunu açıklamalıdır. GDPR’ye özgü süre uzatımları da Türk başvurusuna otomatik aktarılamaz.⁴⁸

Üniversite örneğinde etkili cevap, öğrencinin belgesine ilişkin her katmanı ve devam eden amacı birbirine bağlar. Hangi nüshanın saklandığı, hangi kullanımın sona erdiği, yanlış özetin düzeltilip düzeltilmediği ve dış sağlayıcıdaki gerekli işlemin nasıl izlendiği açık olmalıdır. Kanun’un 13. maddesindeki en kısa süre ve en geç otuz gün sınırı, yalnız alındı bildirimiyle karşılanmış olmaz. İmha şartları oluşmuş ve veri üçüncü kişiye aktarılmışsa Yönetmelik’in bildirim ve gerekli işlemleri temin yükümlülüğü de gözetilir. Teknik çözümün neyi başardığı doğrulanmadan “tamamen unuttuk” denmesi, ilgili kişinin sonraki kullanım üzerinde denetim kurmasını güçleştirir.⁴⁹

30.7. Blokzincir, nesnelerin interneti ve yeniden tanımlama sorunları

Bir üniversitenin diploma doğrulama hizmetini blokzincire taşıdığını ve yerleşkedeki bağlı cihazlardan bina kullanım bilgisi topladığını varsayalım. İlk uygulama belgenin sonradan değiştirilmediğini göstermeyi, ikincisi mekân kullanımını izlemeyi amaçlayabilir. Bununla birlikte kayıtların güvenilir olması, içerdikleri kişisel verilerin gerekli ve hukuka uygun biçimde işlendiğini göstermez. İnceleme, hangi bilginin kimle ilişkilendirilebildiği, kim tarafından hangi amaçla kullanıldığı ve hakların hangi kayıt üzerinde yerine getirileceği üzerinden yapılmalıdır.⁵⁰

Blokzincir, kayıtların birbirine kriptografik bağlarla eklenen bloklar içinde tutulduğu dağıtık kayıt teknolojisidir. Ağdaki düğümler, sistemdeki görevlerine göre kayıtların kopyalarını tutabilir veya işlemlerin doğrulanmasına katılabilir. Ancak bütün blokzincirler herkese açık değildir; katılma, okuma ve yazma yetkileri sınırlandırılabilir. Avrupa Veri Koruma Kurulu’nun 7 Temmuz 2026 tarihli nihai rehberi, bu farklılıkları ve aktörlerin rollerinin her işleme faaliyeti bakımından incelenmesi gerektiğini vurgular. Dolayısıyla her düğümü yalnız ağa katıldığı için aynı sıfatla sorumlu tutmak veya dağıtık yapıda hiç sorumlu bulunmadığını kabul etmek isabetli olmaz. Türk hukukunda belirleyici olan, somut faaliyetin amaç ve vasıtalarını kimin belirlediği ve başkası adına işlemenin bulunup bulunmadığıdır.⁵¹

Diplomanın tamamının zincire yazılması ile belgenin zincir dışında saklanıp zincire yalnız doğrulamaya yarayan bir değer konulması farklı tasarımlardır. Kriptografik özet, yaygın adıyla hash, girdiden hesaplanan ve karşılaştırmada kullanılabilen bir değerdir; doğrudan belgenin kendisiyle aynı değildir. Bununla birlikte özeti belirli mezunla eşleştiren kayıtlar elde tutuluyorsa, adı zincirden çıkarmak kişiyle bağlantıyı kendiliğinden ortadan kaldırmaz. Aynı soru işlem adresi ve diğer tanımlayıcılar için de sorulmalıdır. Anonimleştirme, takma ad kullanımı ve şifreleme arasındaki 2.6’da açıklanan ayrım, burada zincirde kalan bilgiyle zincir dışındaki kayıtlar birlikte incelenerek uygulanır.⁵²

Dağıtık kopyalar ve geçmiş kayda müdahalenin güçleştirilmesi, doğrulanabilirlik ve süreklilik bakımından yarar sağlayabilir. Bu yararlar, teknolojinin kullanılmasını bütünüyle dışlayan bir yaklaşıma karşı güçlü bir gerekçedir. Acuner de göç yönetişimi bağlamında haklarla uyumu sağlamak üzere izinli ağlar, kimlikle bağlantının zincir dışında yönetilmesi ve kontrollü değişiklik sağlayan mimarileri tartışır; bu çözümlere düzeltme ve silme bakımından işlevsel değer tanır. Ancak belirli bir teknik çözümün faydalı olması, Türk hukukundaki her imha sonucunu sağladığı anlamına gelmez.⁵³

Yanlış diplomaya ilişkin yeni bir düzeltme kaydı eklenmesi, doğrulama hizmetinin doğru belgeyi esas almasını sağlayabilir. Buna karşılık eski yanlış kaydın kişiler hakkında kullanılmaya devam etmesi ayrıca değerlendirilmelidir. Benzer biçimde, bir anahtarın silinmesi için verilen komutun başarılı olması bütün kopyalara erişimin sona erdiğini kanıtlamaz. İmha Yönetmeliği’nin ilgili kullanıcı bakımından erişim ve tekrar kullanmayı esas alan silme ölçütü; hiç kimsenin geri getirememesini arayan yok etme ölçütü; başka bilgilerle eşleştirmeye rağmen kişiyle ilişki kurulamamasını arayan anonimleştirme ölçütü ayrı ayrı uygulanır. Düğümlerdeki kopyalar, yedek anahtarlar ve korunan bağlantı kayıtları, ileri sürülen sonucun gerçekleşip gerçekleşmediğine göre incelenmelidir. Teknik mimarinin değiştirmeyi zorlaştırması, Kanun’un 7. ve 11. maddelerindeki koşulları ortadan kaldırmaz.⁵⁴

Bu nedenle zincir dışı saklama da tek başına bir uygunluk belgesi değildir. Varsayımsal diploma hizmetinde belgenin aslı, doğrulama için kullanılan bağlantı ve zincirdeki kayıt ayrı ayrı belirlenmeli; düzeltme ile imhanın bu parçalar üzerindeki sonucu gösterilmelidir. EDPB’nin nihai rehberi de düzeltme ve silmenin tasarım sırasında ele alınmasını, zincir dışındaki ek bilgilerin değerlendirmeye katılmasını ister. Bu açıklama GDPR’a ilişkindir; Türk hukukundaki imha ölçütlerinin yerine geçirilmeden karşılaştırmalı yol gösterici olarak kullanılmalıdır. Somut uygulamanın gerekli sonucu sağlayamadığı durumda başka bir kayıt mimarisinin seçilmesi de değerlendirilmelidir.⁵⁵

Nesnelerin internetinde ise sorun çoğu zaman dağıtık kayıtların kalıcılığından önce, gündelik faaliyetlerden sürekli veri üretilmesidir. Birbirine veya ağa bağlı sensör ve cihazlar; zaman, konum, hareket veya kullanım bilgisi toplayabilir. Ertan, bu ortamlarda farklı kaynakların birleştirilmesiyle alışkanlık ve profiller çıkarılması riskini ele alır. Burada tek bir cihazın görünüşte sınırlı ölçümüyle birleşik veri kümesinin kişi hakkında gösterebildikleri ayrılmalıdır. Cihaz numarasının bulunması her durumda kişisel veri sonucunu doğurmaz; ancak numara kullanıcı hesabı, giriş kaydı veya başka bilgilerle belirli insanı gösteriyorsa, ekranda adın görünmemesi incelemeyi sona erdirmez.⁵⁶

Yerleşke örneğinde, yalnız bir salondaki toplam kişi sayısını gösteren ve kişilerle ilişkilendirilemeyen çıktı ile öğrencilerin giriş saatlerini numaralarına bağlayan kayıt aynı nitelikte değildir. Havalandırmayı düzenlemek için kişi sayısı yeterliyken bireysel devam çizelgesi oluşturulması ayrıca gerekçelendirilmelidir. Geçiş kayıtlarından bir öğrencinin belirli etkinliklere katılımının çıkarılması da ilk toplama amacından farklı bir kullanım olabilir. Kanun’un amaçla bağlantı, sınırlılık ve ölçülülük ilkeleri, toplanabilecek her alanın toplanmasına izin vermez. İşleme şartı, aydınlatma ve güvenlik yükümlülükleri veri akışının gerçek kapsamına göre değerlendirilir; sağlık gibi özel nitelikli veriler elde ediliyorsa 2024’te değişen 6. maddedeki özel rejim ayrıca uygulanır.⁵⁷

Cihazı satın alanın veya kuran kurumun tercihi, çevrede verisi toplanan herkesin açık rızası yerine geçmez. Örneğin giyilebilir bir cihazın çevresindeki kişilere ait sesleri kaydetmesi hâlinde, yalnız cihaz kullanıcısının uygulama ayarlarını kabul etmiş olması diğer kişilerin verilerine ilişkin hukuki sebebi açıklamaz. Cihazın küçük veya arka planda çalışıyor olması da aydınlatmayı gereksiz kılmaz. Bu sorun, 29. Madde Çalışma Grubu’nun nesnelerin internetine ilişkin görüşünde bilgi eksikliği ve çevredeki kişilerin fark etmediği kayıtlar üzerinden ele alınmıştır. Türk hukukundaki değerlendirme ise açık rızanın unsurları ve Kanun’un 5., gerektiğinde 6. ve 10. maddeleri üzerinden yapılır.⁵⁸

Uygulamada hakların muhatabının bulunabilmesi için cihaz üreticisinin, yazılım sağlayıcısının ve cihazı kullanan kurumun gerçek faaliyetleri ayrıştırılmalıdır. Üreticinin verileri kendi hizmetini geliştirmek amacıyla toplamasıyla, kurumun belirlediği kapsamda yalnız onun adına saklaması aynı ilişki değildir. Ayrıca hangi yazılım güncellemesinin veri akışını değiştirdiği, kimlerin kayda erişebildiği ve saklama süresi sonunda hangi nüshaların kaldığı izlenebilmelidir. Bütünlük güvencesi veya bağlantılı cihaz kullanımı, bu incelemenin yerine geçmez. Ölçüt, seçilen teknolojinin kişisel veri üzerindeki hukuki yükümlülüklerin yerine getirilmesine elverişli biçimde kurulması ve işletilmesidir.⁵⁹

30.8. Risk değerlendirmesi, kurumsal kullanım politikası ve gelişen AB düzenlemeleriyle ilişki

Bir yapay zekâ aracının kurum tarafından onaylanmış olması, onunla yapılacak her işlemi hukuka uygun hâle getirmez. Üniversitenin öğrenci dilekçelerini sınıflandıran ve ret önerisi hazırlayan sisteminde, önce hangi idari ihtiyacın karşılandığı ve bu iş için hangi kişisel verilerin gerekli olduğu belirlenmelidir. Ardından veri kaynağı, işleme şartı, erişen kişiler, dış hizmet ilişkileri ve çıktının öğrenci üzerindeki etkisi incelenir. Risk değerlendirmesi, bu soruların yerine geçen bir puanlama belgesi değildir; hukuki yükümlülüklerin somut sistemde nasıl yerine getirileceğini sınamaya yarayan bir incelemedir.⁶⁰

Veri güvenliği yönünden amaç, yalnız kurumun kayba uğramasını önlemekle sınırlı tutulamaz. Bir dilekçenin yetkisiz kişilerce görülmesi, yanlış kişiyle eşleştirilmesi veya modelin ürettiği hatalı bir olgunun ret gerekçesine girmesi farklı zarar ihtimalleridir. Kanun’un 12. maddesi gerekli teknik ve idari tedbirleri, 4. maddesi ise doğruluk ve ölçülülük dâhil işleme ilkelerini esas alır. Dolayısıyla örneğin erişim yetkilerinin sınırlandırılmasıyla çıktının doğru kişiye ilişkin olup olmadığının incelenmesi birbirinin yerine geçmez. Belirli bir güvenlik tedbirinin varlığı, diğer hukuka uygunluk sorularını kapatmaz.

Kurumun Şubat 2026 tarihli iş yerlerinde üretken yapay zekâ belgesi, çalışanların kurumun bilgisi ve kontrolü dışında kullandığı araçları da ele alır. Bu yaklaşımın uygulamadaki karşılığı, yalnız satın alınmış hizmetlerin listesini tutmakla yetinmemektir. Çalışanın kişisel hesabıyla yüklediği öğrenci belgesi de veri akışının parçası olabilir. Kurumsal politika; izin verilen faaliyetleri, girdi olarak kullanılabilecek bilgi türlerini, çıktının denetimini ve eğitim ihtiyacını somutlaştırmalıdır. Belgenin her kuruma tek tip çözüm önermemesi, kullanım bağlamına göre sınır kurulmasının önemini gösterir.⁶¹

Bununla birlikte politika hazırlama ile yeni bir veri işleme yetkisi yaratma ayrı tutulmalıdır. “Kurumca uygun görülen araç” ibaresi, eksik işleme şartını tamamlamaz; sağlayıcının belirlediği sözleşme de yurt dışına aktarım koşullarının yerine geçmez. Üniversite örneğinde, dilekçenin tamamını dış hizmete vermeden aynı idari ihtiyacın karşılanıp karşılanamayacağı; öneriyi inceleyecek görevlinin bilgiye, zamana ve sonucu değiştirme imkânına sahip olup olmadığı; öğrencinin yanlış kaydı düzelttireceği ve aleyhe otomatik sonuca itiraz edeceği yol birlikte düşünülmelidir. 30.2’deki anlamlı insan incelemesi ile 30.5–30.6’daki sağlayıcı, aktarım ve hakların kullanılması ayrımları, bu politikanın hukuki içeriğini belirler.⁶²

Bütün kullanımlara en ağır tedbirlerin uygulanmasının faydalı araçları gereksiz yere engelleyebileceği karşı görüşü de dikkate alınmalıdır. Karadeniz, AB düzenlemesini incelerken yenilik ile temel hakların korunması arasındaki dengeyi ve risk sınıflandırmasına yöneltilen eleştirileri ele alır. Bu itiraz, her uygulamayı aynı kabul etmeme bakımından önemlidir. Ancak ölçülü tedbir seçmekle bir işleme şartını veya ilgili kişinin hakkını risk puanı düşük bulunduğu için devre dışı bırakmak aynı şey değildir. Yalnız dil düzeltmesi için kişisel veri içermeyen metin kullanılmasıyla, öğrencinin durumunu değerlendirip ret önerisi üreten sistemin kontrol ihtiyacı farklı olabilir; bu fark, somut veri ve etki üzerinden gerekçelendirilmelidir.⁶³

Avrupa Birliği Yapay Zekâ Tüzüğü bakımından önce uygulanma alanı belirlenir. Tüzüğün Birlik piyasasına sunulan sistemlere ve belirli koşullarda Birlik dışında bulunan sağlayıcı ve kullananlara da uzanan kapsamı, Türkiye’deki her kurumun bütün faaliyetlerinin kendiliğinden bu rejime girdiği anlamına gelmez. Ayrıca yapay zekâ kuralları ile kişisel veri koruma kuralları aynı inceleme değildir. 2026 değişikliği de kişisel verilere ilişkin Birlik hukukunun uygulanmasını korur; özel nitelikli verilerin yanlılık tespiti için işlenmesi gibi özel hükümler ayrıca değerlendirilir. Türk hukukundaki işleme şartları ve haklar, AB’deki bir sınıflandırmanın doğrudan aktarılmasıyla belirlenemez.⁶⁴

Tüzüğün yüksek riskli sistem sınıflandırmasında da yalnız “eğitimde kullanılıyor” denilmesi yeterli değildir. Ek III, eğitime kabul ve erişim, öğrenme çıktılarının değerlendirilmesi ve sınavlarda yasak davranışın izlenmesi gibi belirli kullanımları kapsar. Ayrıca 6. maddenin dar usul veya hazırlık işleri için getirdiği ayrımların koşulları, karar sonucuna etkisi ve profilleme sınırı birlikte incelenmelidir. Dilekçeyi ilgili birime yönlendiren işlevle eğitime kabulü belirleyen işlev aynı değildir. Karar vericiye “öneri” sunulduğunun söylenmesi de sistemin sonuca fiilen ne ölçüde etki ettiğini açıklamaz.⁶⁵

Yürürlük ile belirli yükümlülüğün uygulanma tarihi de ayrılmalıdır. 8 Temmuz 2026 tarihli değişiklik, Ek III ve 6/2 kapsamındaki yüksek riskli sistemler için III. Bölümün 1–3. kısımlarının, 6/5 hariç, uygulanmasını 2 Aralık 2027’ye; 6/1 ve Ek I kapsamındakiler için 2 Ağustos 2028’e bağlamıştır. Bu erteleme, bütün Tüzüğün veya kişisel veri koruma hukukunun o tarihe kadar uygulanmayacağı sonucunu doğurmaz. Hangi aktöre hangi hükmün uygulanacağı, kullanım ve geçiş koşullarıyla birlikte belirlenmelidir.⁶⁶

Kurum bakımından işe yarar politika, bu farklı hukuki soruları kimin izleyeceğini ve hangi olayda kullanımın yeniden değerlendirileceğini de göstermelidir. Sağlayıcının veri kullanım koşulunu değiştirmesi, sisteme yeni bir veri kaynağı eklenmesi veya önerilerin fiilen sorgulanmadan karara dönüşmesi, ilk değerlendirmeyi yetersiz bırakabilir. Üniversite örneğinde kullanımın kapsamını değiştirecek yetkinin, hatalı çıktı bildirim yolunun, gerekli kayıtların ve düzeltici müdahalenin önceden belirlenmesi bu nedenle önemlidir. Belgenin varlığıyla yetinilmemeli; ilke, tedbir ve başvuru düzeninin gerçek iş akışında işletilebildiği kontrol edilmelidir.⁶⁷