Yapay Zeka ve KVKK Uyumu Rehberi 2026 | DPIA, Veri Sahibi Hakları ve AI Act
Yapay Zeka ve KVKK Uyumu 2026
Yapay zeka sistemleri kişisel veri işlediği sürece 6698 sayılı KVKK kapsamına girer. Eğitim verisi olarak kullanılan veri kümeleri kişisel veri içeriyorsa açık rıza, sözleşmenin ifası, hukuki yükümlülük gibi KVKK m.5 hukuki sebeplerinden birine dayanmalıdır. Otomatik karar verme süreçlerinde KVKK m.11 kapsamında veri sahibinin itiraz hakkı vardır. AB AI Act ile yapay zeka risk seviyesine göre düzenlenmiş, yüksek riskli sistemler (kredi puanlama, istihdam, eğitim) için ek yükümlülükler getirilmiştir.
Veri Sahibi Hakları ve Şikayet Süreci
KVKK m.11 kapsamında veri sahibi yapay zeka uygulamalarına karşı şu haklara sahiptir: işlenip işlenmediğini öğrenme, amacına uygun kullanılıp kullanılmadığını öğrenme, üçüncü kişilere aktarılıp aktarılmadığını öğrenme, eksik/yanlış işlenen verilerin düzeltilmesi, KVKK m.7 kapsamında silinmesi (right to be forgotten), aleyhine olan sonuçlara itiraz, zarar halinde tazminat. Şikayet KVK Kuruluna 30 gün içinde, hukuk davası ise 10 yıl içinde açılabilir.
AI Act ve Türk Hukukuna Etkisi
AB Yapay Zeka Tüzüğü (2024/1689) 1 Ağustos 2024’te yürürlüğe girmiş, 2 Şubat 2025’ten itibaren yasaklı uygulamalar (sosyal puanlama, biyometrik kategorize etme), 2 Ağustos 2026’da genel amaçlı AI yükümlülükleri uygulanacaktır. Türkiye’de henüz Kanun çıkmamış olsa da AB pazarına ürün sunan Türk firmaları AI Act uyumu zorunludur. KVK Kurulu rehber ilkeleri ve Cumhurbaşkanlığı Ulusal Yapay Zeka Stratejisi yerli firmalar için yol göstericidir.
Risk Değerlendirmesi ve DPIA
Yapay zeka projelerinde KVKK m.7/A kapsamında Veri Koruma Etki Değerlendirmesi (DPIA) zorunlu hale gelmiştir. Risk yüksek olduğunda KVK Kuruluna ön danışma yapılır. Algoritmik şeffaflık, model bias kontrolü, açıklanabilirlik (explainability), insan müdahalesi imkanı, veri kalitesi yönetimi DPIA unsurlarıdır. Kurumsal AI yönetişiminde bağımsız etik komite, BT denetimi, sürekli izleme önemlidir. Eğitim verisi anonimleştirme veya pseudonymization tercih edilmelidir.
Hukuki Çerçeve ve Yapılması Gerekenler
AI ile ilgili tipik mağduriyet halleri: kredi reddi, sigorta primi artışı, istihdam reddi, otomatik moderasyon ile içerik kaldırma. Mağdurun yapması gerekenler: 1) İtiraz dilekçesi (KVKK m.11), 2) İnsan müdahalesi talebi, 3) Karara dayanak verilerin sorgulanması, 4) KVK Kuruluna şikayet, 5) İdare mahkemesinde iptal davası (kamu kurumu kararıysa, 2577 sayılı İYUK m.7), 6) Tazminat için hukuk davası (TBK m.49). Süreçte hukukçu desteği teknik bilirkişi raporu için kritiktir.