Çalışanlarınızın bir kısmı yapay zekâ sohbet araçlarını büyük ihtimalle zaten kullanıyor: teklif metni yazdırıyor, sözleşme özetletiyor, müşteri e-postalarını düzelttiriyor. Bu araçlara yapıştırılan metinlerin içinde çoğu zaman kişisel veriler ve ticari bilgiler de oluyor. Yasaklamak genellikle işe yaramıyor; kullanım yalnızca görünmez hâle geliyor. Kişisel Verileri Koruma Kurumu da Mart 2026'da yayımladığı iş yerlerinde üretken yapay zekâ kullanımı dokümanında tamamen yasaklayıcı yaklaşımların gerçekçi sonuç vermeyeceğini, yönlendirme ve farkındalığa dayalı bir yaklaşımın daha doğru olduğunu belirtiyor.
Daha sağlıklı yol, şirketin kendi belgeleri ve yetki kurallarıyla çalışan, baştan KVKK düşünülerek kurulmuş bir asistan. Bu yazıda böyle bir asistanı kurmadan önce sorulması gereken soruları, üç temel kurulum seçeneğini ve adım adım bir planı anlatıyoruz.
Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş değildir; bilgiler 3 Ekim 2026 itibarıyladır. Kendi veri akışınızı hukuk danışmanınızla birlikte değerlendirin.
Şirket içi yapay zekâ asistanı ne yapar?
Şirket içi asistan, genel bir sohbet aracından farklı olarak cevaplarını şirketinizin kaynaklarına dayandırır: prosedürler, ürün belgeleri, teklif şablonları, destek kayıtları, ERP raporları. Bir soru geldiğinde ilgili belgeleri bulur, cevabı onlardan üretir ve hangi belgeye dayandığını gösterir. Bu yönteme kaynaklardan beslenen üretim (RAG) deniyor; cevabın doğrulanabilir olmasını sağlıyor.
Şirket asistanı
Yıllık izin talebimi kaç gün önceden iletmeliyim?
İzin prosedürüne göre yıllık izin talebinizi en az 10 iş günü önce, insan kaynakları portalındaki izin formuyla yöneticinize iletmeniz gerekiyor.
- İzin Prosedürü, bölüm 2.1
- İK Sık Sorulan Sorular, s. 4
İyi kurulmuş bir asistan, soran kişinin yetkisi neyse onu görür. İnsan kaynakları dosyalarına erişimi olmayan bir çalışan, asistana sorarak da bu dosyalara ulaşamaz.
Tipik kullanım alanları:
- Satış: geçmiş tekliflerden ve ürün belgelerinden teklif taslağı hazırlamak.
- Destek: ürün dokümantasyonundan müşteri sorularına hızlı ve kaynaklı cevap vermek.
- İnsan kaynakları ve yeni çalışanlar: izin, masraf ve satın alma prosedürlerini sorup öğrenmek.
- Yönetim: ERP verisinden dönemsel özet ve sapma açıklamaları almak.
KVKK açısından önce bu soruları yanıtlayın
Asistan hangi kişisel verileri işleyecek?
Belgelerinizde çalışan adları, müşteri iletişim bilgileri ya da e-posta yazışmaları varsa asistan kişisel veri işler. Hangi veri kategorilerinin, kimlere ait olduğunu ve hangi amaçla işleneceğini yazılı olarak belirleyin. Elinizde bir kişisel veri envanteri varsa asistanı bu envantere eklemek iyi bir başlangıç olur. Amaçla sınırlılık ve ölçülülük ilkeleri gereği, asistanın işi için gerekmeyen kişisel verileri hiç dahil etmemek en güvenli yoldur.
Veri nerede işlenecek, yurt dışına çıkıyor mu?
Bulut tabanlı büyük dil modeli servislerinin önemli bir kısmı yurt dışındaki veri merkezlerinde çalışır. Kurum'un Kasım 2025'te yayımladığı üretken yapay zekâ rehberi, yurt dışında yerleşik hizmet sağlayıcılar aracılığıyla kullanılan sistemlerde kişisel veri aktarılıyorsa bunun Kanun'un 9. maddesine ve ilgili Yönetmelik'e uygun yapılması gerektiğini açıkça yazıyor. Kurum'un yurt dışına aktarım rehberine göre yurt dışındaki bir bulutta depolama da aktarım sayılabiliyor.
7499 sayılı Kanun'la değişen ve 1 Haziran 2024'te yürürlüğe giren 9. madde, aktarımı sırayla şu yollara bağlıyor:
Yeterlilik kararı Henüz yok
Kişisel Verileri Koruma Kurulu'nun (Kurul) aktarım yapılacak ülke ya da sektör için verdiği karar. Kurum'un sitesinde henüz böyle bir belirleme yapılmadığı belirtiliyor.
- yoksa
Uygun güvenceler Düzenli akış için
Kurul'un ilan ettiği standart sözleşme, Kurul'un onayladığı bağlayıcı şirket kuralları (aynı şirketler grubu içinde) ya da Kurul izniyle yazılı taahhütname. Standart sözleşme metni değiştirilmeden kullanılır ve imzadan itibaren beş iş günü içinde Kurum'a bildirilir.
- yoksa
Arızi aktarım Düzenli akış için değil
Düzenli olmayan, tek ya da birkaç kez gerçekleşen aktarımlar için sayılmış istisnalar. 1 Eylül 2024'ten bu yana açık rıza da yalnızca bu hâllerde aktarım dayanağı olabiliyor.
Yönetmelik, süreklilik arz eden ve olağan faaliyet akışı içindeki aktarımları arızi saymıyor; her gün çalışan bir asistanın veri akışı da bu yüzden arızi değildir. Bu yüzden ya standart sözleşme gibi bir güvence kurulmalı ya da kişisel veri içeren işler Türkiye'de işlenmeli. Servis sizin adınıza veri işliyorsa Kurum'un dört standart sözleşme tipinden ilgili olanı genellikle "veri sorumlusundan veri işleyene" sözleşmesidir. Kurum'un üretken yapay zekâ rehberinin hatırlattığı gibi rolleri sözleşmedeki ifadeler tek başına değil, veri üzerindeki fiilî kontrol belirler.
Servis sağlayıcı veriyi ne yapıyor?
Kurumsal sözleşmede girilen metinlerin modeli eğitmek için kullanılıp kullanılmadığını, ne kadar süre saklandığını ve hangi ülkelerde işlendiğini kontrol edin. Sağlayıcı KVKK açısından genellikle veri işleyen konumundadır; Kurum'un veri güvenliği rehberi de bu ilişkinin yazılı bir sözleşmeyle kurulmasını öneriyor. Bireysel ücretsiz hesaplarla kurumsal sürümler arasında bu koşullar çoğu zaman farklıdır.
Çalışanlar ve müşteriler bilgilendirildi mi?
KVKK'nın 10. maddesi aydınlatma yükümlülüğü getiriyor: kişisel verinin hangi amaçla işlendiği, kimlere aktarılabileceği ve ilgili kişinin hakları anlatılmalı. Asistan yeni bir işleme amacı ya da yeni bir aktarım doğuruyorsa aydınlatma metinlerinizi güncelleyin.
Güvenlik tedbirleri yeterli mi?
Kanun'un 12. maddesi, kişisel verilerin hukuka aykırı işlenmesini ve bu verilere hukuka aykırı erişilmesini önlemek, verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin eden teknik ve idari tedbirlerin alınmasını istiyor. İşi bir servis sağlayıcıya yaptırıyorsanız bu tedbirlerden onunla birlikte sorumlu olursunuz. Bir veri ihlali olursa Kurul'un yorumuna göre ihlal öğrenildikten sonra gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirim yapılması gerekiyor.
Kurum'un üretken yapay zekâ rehberi bu alanda örnek tedbirler sayıyor: tasarımdan itibaren mahremiyet, veri koruma etki değerlendirmesi, istem enjeksiyonu gibi saldırılara karşı kontroller, kayıt tutma ve çalışan eğitimi. Bunlar bağlayıcı bir liste değil, örnek. Aşağıdaki tasarım ilkeleri bu tedbirlerin bir asistandaki pratik karşılığı.
Üç kurulum seçeneği
| Seçenek | Verinin kontrolü | Kurulum ve maliyet | Uygun olduğu durum |
|---|---|---|---|
| Bulut model servisi, kurumsal sözleşmeyle | Sağlayıcının taahhütlerine bağlı; kişisel veri gidiyorsa yurt dışına aktarım şartları uygulanır | En hızlısı; kullandıkça ödenir | Kişisel veri az ya da gönderilmeden maskelenebiliyorsa |
| Türkiye'deki bir veri merkezinde barındırılan model | Daha yüksek; veri Türkiye'de kalır (yurt içi aktarım kuralları yine uygulanır) | Orta; sunucu ve kurulum gerekir | Kişisel verinin yoğun olduğu, sözleşme koşullarının sıkı olduğu işler |
| Kendi sunucunuzda açık kaynak model | En yüksek; veri şirketten çıkmaz | Donanım, kurulum ve bakım gerekir | Hassas veri (sağlık, finans, kamu) ve tam kontrol isteyen kurumlar |
Tek bir seçenek şart değil. Pek çok şirkette karma bir yapı işe yarar: kişisel veri içeren sorular kendi sunucunuzdaki modelde, kişisel veri içermeyen genel işler bulut servisinde çalışır.
Yurt içinde barındırmada da bir noktaya dikkat edin: Yönetmelik'e göre verinin yurt dışındaki bir veri sorumlusu ya da veri işleyen için erişilebilir hâle getirilmesi de aktarım sayılıyor. Sağlayıcının destek ekibinin ya da alt yüklenicilerinin veriye nereden erişebildiğini sözleşmede netleştirin.
Güvenli bir asistanın tasarım ilkeleri
Bir soru cevaplanana kadar asistanın içinde birkaç adımdan geçer; güvenlik tedbirleri bu adımlara yerleşir.
Soru
Çalışan sorusunu doğal dille yazar.
Yetki kontrolü
Şirketin kullanıcı dizininden kişinin erişebildiği belgeler belirlenir.
Belge arama
İlgili bölümler yalnızca bu belgeler içinde aranır.
Maskeleme
T.C. kimlik numarası, telefon ve IBAN gibi alanlar modele gitmeden gizlenir.
Cevap ve kayıt
Model cevabı bu bölümlerden üretir ve kaynağını gösterir; soru ve kullanılan belgeler kaydedilir.
- Belge düzeyinde yetki: asistan, soran kişinin zaten erişebildiği belgelerle çalışır; yetkiler şirketin kullanıcı dizininden (ör. Active Directory ya da Google Workspace) gelir.
- Maskeleme: T.C. kimlik numarası, telefon ve IBAN gibi alanlar modele gönderilmeden önce maskelenir.
- Kayıt ve saklama süresi: kim, ne zaman, ne sordu ve hangi belgeler kullanıldı kaydedilir; kayıtların ne kadar saklanacağı baştan belirlenir.
- İstem enjeksiyonuna karşı önlem: belgelerin ya da e-postaların içine gizlenmiş talimatlar asistanı yanıltabilir. Asistanın yapabileceği işlemler sınırlanır; ödeme ya da kayıt silme gibi kritik işlemler insan onayına bağlanır.
- Kaynak göstermek ve "bilmiyorum" diyebilmek: her cevap dayandığı belgeyi gösterir; belgelerde cevap yoksa asistan uydurmaz, bilmediğini söyler.
Adım adım kurulum planı
- Tek bir kullanım senaryosuyla başlayın. Ölçülebilir bir hedef seçin; örneğin destek ekibinin ürün sorularına cevap verme süresi.
- Veri envanteri ve sınıflandırma. Asistanın kullanacağı belgeleri listeleyin; hangilerinde kişisel veri olduğunu ve kimlerin erişebildiğini işaretleyin.
- Hukuki çerçeve. Aydınlatma metnini, aktarım yöntemini ve sağlayıcı sözleşmesini hukuk danışmanınızla netleştirin.
- Mimari ve kurulum. Model ve barındırma seçeneğini belirleyin; belge arama altyapısını ve yetkilendirmeyi şirketin kullanıcı dizinine bağlayın.
- Pilot. Tek bir ekiple birkaç hafta çalıştırın; doğruluğu, kullanımı ve geri bildirimleri ölçün.
- Yaygınlaştırma ve eğitim. Çalışanlara asistanın neyi yapıp neyi yapmadığını ve hangi bilgilerin girilmemesi gerektiğini anlatın.
Bu adımların her birinde destek veriyoruz: kullanım alanı analizinden kurulum, entegrasyon ve ekip eğitimine kadar. Ayrıntılar için yapay zekâ çözümlerimize göz atabilirsiniz; KVKK uyumu ve altyapı güvenliği tarafı için siber güvenlik hizmetlerimiz de bu sürecin parçası.
Sık sorulan sorular
Çalışanların ChatGPT kullanması KVKK'ya aykırı mı?
Belirleyici olan araç değil, işlenen veri ve koşullardır. Kişisel veri girilmeyen kullanım, örneğin genel bir metnin dilini düzeltmek, düşük risklidir. Müşteri ya da çalışan verisinin bireysel hesaplarla paylaşılması ise hem yurt dışına aktarım hem de güvenlik açısından sorun doğurabilir. Kurum'un iş yeri dokümanı da açık bir kurumsal politika oluşturmayı; hangi araçların hangi işler için kullanılabileceğini belirlemeyi; erişimi kurumsal cihazlar ve rol temelli yaklaşımlarla sınırlamayı ve çalışanları bilgilendirip eğitmeyi öneriyor.
Açık kaynak modeller yeterince iyi mi?
Belge özetleme, kaynaklı soru-cevap ve sınıflandırma gibi kurumsal işlerin çoğunda yeterli. Çok adımlı akıl yürütme gerektiren işlerde büyük ticari modeller hâlâ önde. Bu yüzden karma bir yapı çoğu zaman en dengeli çözüm.
Kurulum ne kadar sürer?
Kapsama göre değişir. Tek bir ekip ve sınırlı bir belge kümesiyle yapılan bir pilot birkaç haftada çalışır hâle gelebilir; şirket geneline yaygınlaştırma, yetkilendirme ve eğitimle birlikte daha uzun sürer.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (mevzuat.gov.tr)
- Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (Resmî Gazete, 10 Temmuz 2024)
- KVKK: Standart sözleşmeler
- KVKK: Kişisel Verilerin Yurt Dışına Aktarılması Rehberi (Ocak 2025)
- KVKK: Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, 15 Soruda (Kasım 2025)
- KVKK: İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı (Mart 2026)
- KVKK: Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler
- KVKK: Kişisel Veri Güvenliği Rehberi, Teknik ve İdari Tedbirler
- KVKK: Veri ihlali bildirimi