Chatbot KVKK Rehberi: Aydınlatma, Rıza, Aktarım ve Kayıt

Web sitenize ya da WhatsApp hattınıza bir yapay zeka asistanı koyduğunuzda, o konuşmalarda geçen kişisel verilerin veri sorumlusu çoğu durumda işletmenin kendisidir; asistanı kuran firma ya da modeli geliştiren şirket değil. Kısa cevap şu: konuşma başlamadan kullanıcıya bir yapay zekayla yazıştığını ve verisinin ne olacağını söyleyin, açık rızayı yalnız gerçekten gereken yerde ve ayrı olarak isteyin, yurt dışındaki bir modele giden mesajları Kanun'un 9. maddesine göre kurun, kayıtlar için gerekçeli bir saklama süresi yazın ve asistanın hassas veri istemesini baştan engelleyin.

Yazı asistanı kullanan işletme için: klinik, güzellik salonu, emlak ofisi, otel ya da e-ticaret sitesi. Hukuki iddialar Kişisel Verileri Koruma Kurumu'nun yayınlarına ve Kanun metnine bağlı; yine de metin genel bilgilendirmedir, hukuki danışmanlık değildir; aydınlatma metnini ve sözleşmeleri kendi hukuk danışmanınıza onaylatın.

Asistanı satın aldınız, sorumluluk kimde kaldı?

6698 sayılı Kişisel Verilerin Korunması Kanunu veri sorumlusunu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişi olarak tanımlar. Asistanın hangi soruları cevaplayacağına, konuşmadan hangi bilgiyi alacağına, kaydı ne kadar tutacağına kim karar veriyorsa sorumluluk oradadır. Sıradan bir kurulumda bu kararlar işletmenindir.

Kurumun Kasım 2025 tarihli Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi bunu bir örnekle anlatır: hazır bir modeli kendi faaliyetine entegre eden ve hangi verinin yükleneceğine, ne amaçla işleneceğine karar veren şirket, o işleme bakımından veri sorumlusu olarak değerlendirilebilir. Rehber bir uyarı da ekler: sözleşmeye "veri işleyen" ya da "veri sorumlusu" yazmak rolü tek başına belirlemez; belirleyici olan fiili kontrol ve karar yetkisidir.

Asistanı kuran firma ve modeli çalıştıran sağlayıcı, sizin talimatınızla çalıştıkları ölçüde genellikle veri işleyen konumundadır. Bu ayrım sorumluluğu devretmez: Kanun'un 12. maddesine göre veri sorumlusu, verinin kendi adına başkası tarafından işlendiği durumda güvenlik tedbirlerinden o kişilerle birlikte müştereken sorumludur.

Bir müşteri konuşmasında hangi kişisel veriler oluşur?

Kurumun 8 Kasım 2024'te yayımladığı sohbet robotları bilgi notu, bir sohbet robotunun işleyebileceği verileri sayar: mesaj içeriği ve iletişim bilgileri, yüklenen dosyalar, IP adresi, tarayıcı ve cihaz bilgisi, erişim zamanları, çerezler ve sesli kullanımda konuşma verisi. Müşteri hizmetleri asistanında bu liste şöyle görünür:

• Sitedeki sohbet penceresinde: kullanıcının yazdığı her mesaj, varsa bıraktığı ad ve telefon, IP adresi ve oturum çerezleri.
• WhatsApp hattında: telefon numarası ve profil adı baştan gelir; mesaj en az iki sağlayıcıdan geçer: mesajlaşma altyapısı ve modeli çalıştıran servis.
• Asistanın ürettiği metinde: rehber, üretken yapay zeka çıktılarının da kişisel veri niteliği taşıyabileceğini hatırlatır. "Ayşe Hanım'ın randevusu Salı günü" diye özet çıkaran asistan yeni bir kişisel veri üretmiş olur.

Aşağıdaki kararların hepsi bu envantere bakılarak verilir.

Konuşma başlamadan kullanıcıya ne söylenmeli?

Kanun'un 10. maddesi, kişisel veri elde edilirken ilgili kişiye beş konuda bilgi verilmesini ister. Asistan için karşılıkları:

Rehber, sohbet botları gibi kullanıcıyla doğrudan etkileşen sistemlerde kişilerin bir yapay zeka sistemiyle iletişim kurduklarını açıkça bilmelerinin önemini vurgular; aydınlatma metinlerinin de sistem arayüzünde kolay erişilebilir biçimde sunulmasını önerir. Pratikte bu, sohbet penceresinin ve WhatsApp hattının ilk mesajında "Bu bir yapay zeka asistanıdır" cümlesi ve aydınlatma metnine bir bağlantı demektir.

Rehber ayrıca sistemi kullanmak için yapılan işleme ile modeli geliştirmek için yapılan işlemenin ayrı aydınlatılmasını önerir.

Açık rıza gerekir mi, yoksa yanlış yerde mi isteniyor?

Sohbet penceresinin altına "Kişisel verilerimin işlenmesine açık rıza veriyorum" kutusu koymak yaygın bir refleks. Rehber bunun neden sorunlu olabileceğini yazıyor: Kanun'un 5. maddesindeki işleme şartları arasında hiyerarşi yoktur ve işleme açık rıza dışındaki bir şarta dayanabiliyorsa ayrıca açık rıza almak aldatıcı ve hakkın kötüye kullanımı niteliğinde olur.

Rehberin sözleşmenin ifası şartına ilişkin örneklerinden biri doğrudan sohbet botlarıyla ilgili: sohbet botunun verdiği hizmetin ifası için kullanıcı girdilerinin işlenmesi gerektiğinden bu faaliyetler sözleşmenin ifası şartına dayandırılabilir. Aynı bölüm sınırı da çiziyor: kullanıcı verilerinin modeli geliştirmek için kullanılması sözleşmeyle doğrudan ilişkili sayılmaz ve ayrı bir işleme şartı gerekir. İşletme açısından çerçeve şöyle, ama her kurulum ayrıca değerlendirilir:

1. Soruyu cevaplamak ve talebi kaydetmek için gereken işleme, açık rıza dışındaki bir şarta dayanabilir mi, önce buna bakılır.
2. Konuşmaların model geliştirme, pazarlama veya profil çıkarma gibi ek amaçlarda kullanılması ayrı bir şart ister; açık rızaya dayanılacaksa her faaliyet için ayrı rıza alınır.
3. Açık rıza alınacaksa aydınlatma ile rıza metni ayrı sunulur; rehbere göre kişinin anlayamayacağı ölçüde uzun ve teknik bilgilendirmeye dayanan rıza kural olarak geçerli değildir.

Sağlık verisi gibi özel nitelikli verilerde tablo değişir: sözleşmesel gereklilik ve meşru menfaat bu veriler için işleme şartı olarak sayılmaz. Asistanın bu verileri hiç istememesi bu yüzden en sade çözümdür.

Yurt dışındaki bir modele giden her mesaj bir aktarım sorusudur

Asistanınız yurt dışında yerleşik bir sağlayıcının modelini kullanıyorsa kullanıcının mesajı o sağlayıcının sunucusuna gider. Rehbere göre bu durumda aktarımın Kanun'un 9. maddesine ve yurt dışına aktarım yönetmeliğine uygun yapılması gerekir. 9. madde 2 Mart 2024 tarihli 7499 sayılı Kanun'la baştan yazıldı; eski hâlin ilk fıkrası 1 Eylül 2024'e kadar yeni hâlle birlikte uygulandı. Bugünkü sıra:

1. Yeterlilik kararı: Kurulun aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş için verdiği karar. Karar varsa ve 5. veya 6. maddedeki şartlardan biri sağlanıyorsa aktarım yapılabilir.
2. Uygun güvenceler: karar yoksa, ilgili kişinin o ülkede de haklarını kullanabilmesi kaydıyla güvencelerden biri sağlanır. Bunlardan biri Kurulun ilan ettiği standart sözleşmedir; Kanun, standart sözleşmenin imzadan itibaren beş iş günü içinde Kuruma bildirilmesini şart koşar.
3. Arızi istisnalar: ilk ikisi yoksa, riskler hakkında bilgilendirilmiş açık rıza gibi istisnalara yalnız arızi aktarımlarda başvurulabilir.

Sohbet penceresine eklenen "yurt dışına aktarıma onay veriyorum" kutusu bu yüzden tek başına yetmeyebilir. Yönetmelik arızi aktarımı düzenli olmayan, tek veya birkaç sefer gerçekleşen, süreklilik arz etmeyen ve olağan faaliyet akışı içinde bulunmayan aktarım olarak tanımlar. Her konuşmayı yurt dışındaki bir modele gönderen asistan, işin tanımı gereği süreklidir; bu tanıma göre arızi sayılmaya elverişli görünmüyor.

Konuşma kayıtları ne kadar süre tutulmalı?

Kanun bir sohbet kaydı için gün sayısı vermez, bir ilke verir: kişisel veriler ilgili mevzuatta öngörülen ya da işlendikleri amaç için gerekli olan süre kadar muhafaza edilir; sebep ortadan kalkınca silinir, yok edilir veya anonim hâle getirilir (md. 4 ve md. 7). Rehber, "ileride tekrar kullanılabilir" düşüncesiyle verinin saklanamayacağını açıkça yazar.

Rehberdeki bir örnek doğrudan müşteri hizmetlerinden: bir e-ticaret platformu destek yazışmalarıyla bir yanıt önerme modeli eğitiyor, ardından yazışmaları "ileride yeni sürümler geliştirilebilir" diye belirsiz süre saklıyor. Rehbere göre bu, muhafaza ilkesine aykırılık oluşturabilir. Kayıt politikası yazarken tek bir süre yerine kayıt türlerini ayırmak işi kolaylaştırır:

Son satır sık unutulur: panelden silinen konuşmanın sağlayıcı tarafındaki kopyası ayrı bir süreyle tutulabilir. Konuşma kayıtlarının işletmeye kazandırdıklarını chatbot kullanımının avantajları yazısında anlatmıştık; saklama kararı, o kazancın gerçekten hangi alanı gerektirdiğine bakılarak verilir.

Asistanın istememesi, kullanıcının yazmaması gerekenler

Kanun'un 6. maddesi sağlık, biyometrik ve genetik veri, ceza mahkûmiyeti, din, siyasi düşünce, dernek veya sendika üyeliği gibi verileri özel nitelikli sayar ve işlenmesini kural olarak yasaklar. Bir randevu ya da fiyat sorusunu cevaplamak için bunların hiçbirine ihtiyaç yoktur. Kural iki yönlü kurulur:

• Asistan sormaz: şikâyet, tanı, ilaç, T.C. kimlik numarası, kart bilgisi veya sözleşme metni sohbette istenmez. Bu bilgiye gerçekten ihtiyaç duyan adım güvenli bir kanala ve bir kişiye taşınır.
• Kullanıcı yazarsa: asistan bilgiyi tekrar etmez, özetine almaz ve kullanıcıya bunun sohbette paylaşılmaması gerektiğini söyler. Kayıtta bu alanların maskelenmesi kurulum sırasında tasarlanır.

Bir randevu mesajında tedavi adının geçmesinin bile sağlık bilgisini başkasının görebileceği bir ekrana taşıdığını diş kliniklerinde WhatsApp hatırlatma yazısında anlattık. Aynı disiplin çalışanlar için de geçerlidir: müşteri yazışmasını genel amaçlı bir sohbet aracına yapıştırmak ayrı bir aktarım sorunudur; KOBİ'ler için ücretsiz AI araçları yazısında bunun için bir ekip kuralı önerdik. Hassas veri gerektiren talebin bir çalışana nasıl devredileceğini de hibrit müşteri hizmetleri modeli yazısı ele alıyor.

Kayıtlara kim erişir, müşteri verisini isterse ne olur?

Kanun'un 12. maddesi hukuka aykırı işlemeyi ve erişimi önleyecek teknik ve idari tedbirleri ister. Rehber bunlara çok faktörlü kimlik doğrulama, denetlenebilir sistem günlükleri ve istem enjeksiyonu gibi zafiyetlere karşı kontrolleri örnek verir. Panelde karşılığı: konuşma geçmişini kimin görebildiği rol bazında tanımlanır, ortak yönetici hesabı bırakılmaz. Kayıtlar yetkisiz biri tarafından ele geçirilirse Kanun, durumun en kısa sürede ilgilisine ve Kurula bildirilmesini ister.

Erişimin müşteri tarafı da var. 11. madde herkese kendisiyle ilgili veri işlenip işlenmediğini öğrenme, bilgi isteme, düzeltme ve silme talep etme haklarını tanır; 13. madde veri sorumlusunun başvuruyu en geç otuz gün içinde sonuçlandırmasını öngörür. Rehber bu hakların kullanıcı sorgularına dâhil edilen içerikleri de kapsadığını belirtir. "Asistanınıza yazdıklarımı görmek istiyorum" diyen müşteriye cevap verebilmek için konuşmaların kişi bazında bulunabilir ve silinebilir olması gerekir.

Kurulumdan önce sağlayıcıya sorulacak yedi soru

Kurumun bilgi notu, sohbet robotu geliştirilirken kişisel veri işlenmeden önce risk değerlendirmesi yapılmasını önerir; sağlayıcı seçimi bunun ilk adımıdır. Teklif aşamasında yazılı cevap isteyin:

1. Konuşmalar hangi ülkedeki sunuculara gidiyor, yeterlilik kararı var mı, yoksa hangi güvence öneriliyor?
2. Mesajlar sağlayıcının modelini eğitmek için kullanılıyor mu; kullanılmıyorsa bu sözleşmenin hangi maddesinde yazıyor?
3. Sağlayıcı tarafında konuşma kopyaları ne kadar süre tutuluyor, silme talebi nasıl iletiliyor?
4. Alt işleyenler kimler ve liste değiştiğinde nasıl haber veriliyor?
5. Panelde rol bazlı erişim ve çok faktörlü doğrulama var mı?
6. Tek bir kişinin konuşmaları bulunup dışa aktarılabiliyor ve silinebiliyor mu?
7. Standart sözleşme gerekiyorsa kim imzalıyor, Kuruma bildirimi kim yapıyor?

Yayından sonra öğrenilen bir aktarım, aydınlatma metnini ve sözleşmeleri baştan yazdırır. Asistanın yalnız onaylı kaynaktan cevap vermesini sağlayan bilgi kartları ve test seti kaynağa hangi bilginin gireceğini de baştan sınırlar.

Kurulumda baştan yazılması gerekenler

Müşteri hizmetleri yapay zeka asistanı kurulumunda hangi verinin hangi servise gideceği kurulumdan önce yazılı olarak belirlenir; gereksiz alan hiç gönderilmez. Kimlik, ödeme ve sağlık bilgisi sohbette istenmez. Aydınlatma metni, saklama süresi ve erişim yetkileri kurulumun parçası olarak ele alınır. Asistanın randevu açmak veya kayıt güncellemek gibi işlem de yaptığı agentic AI sistemleri kurulumlarında, her işlemin hangi kişisel veriye dokunduğunun ayrıca listelenmesi gerekir.

Metinlerin hukuki değerlendirmesi işletmenin hukuk danışmanına aittir; kurulumun katkısı, dayanacakları teknik gerçeği çıkarmaktır: hangi veri, nereye, ne kadar süre. Veri akışınızı birlikte çıkarmak isterseniz ücretsiz iş analizi bir ön görüşmedir; iletişim formu üzerinden talep bırakabilirsiniz.

Sıkça Sorulan Sorular

Web sitesindeki chatbot için ayrı bir aydınlatma metni gerekir mi?

Kanun chatbot'a özel ayrı bir belge şartı koymaz, ama 10. madde kişisel veri elde edilirken veri sorumlusunun kimliği, işleme amacı, verinin kimlere aktarılabileceği, toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları konusunda bilgi verilmesini ister. Chatbot yeni bir amaç veya yurt dışındaki bir model sağlayıcısı ekliyorsa mevcut metin bunu karşılamaz. Kişisel Verileri Koruma Kurumu'nun üretken yapay zeka rehberi ayrıca kullanıcının bir yapay zeka sistemiyle yazıştığını açıkça bilmesini ve aydınlatma metninin arayüzden kolayca erişilebilir olmasını önerir.

Chatbot için kullanıcıdan açık rıza almak zorunlu mu?

Her durumda değil. Kanun'un 5. maddesindeki işleme şartları arasında hiyerarşi yoktur ve Kurumun rehberine göre işleme açık rıza dışındaki bir şarta dayanabiliyorsa ayrıca açık rıza istemek aldatıcı ve hakkın kötüye kullanımı niteliğinde olabilir. Rehber, sohbet botu hizmetinin sunulması için kullanıcı girdilerinin işlenmesini sözleşmenin ifası şartına dayandırılabilecek faaliyetler arasında sayar; konuşmaların model geliştirme gibi ek amaçlarda kullanılması ise ayrı bir şart gerektirir. Hangi şartın uygulanacağı her kurulumda ayrı değerlendirilir.

Yurt dışındaki bir yapay zeka modeline mesaj göndermek yurt dışına aktarım sayılır mı?

Kişisel veri içeren mesaj yurt dışında yerleşik bir sağlayıcının sunucusuna gidiyorsa, Kurumun üretken yapay zeka rehberine göre aktarımın 6698 sayılı Kanun'un 9. maddesine ve 10 Temmuz 2024'te yayımlanan yurt dışına aktarım yönetmeliğine uygun yapılması gerekir. Madde önce yeterlilik kararına, karar yoksa standart sözleşme gibi uygun güvencelere bakar. Açık rıza gibi istisnalar yalnız arızi, yani düzenli olmayan aktarımlarda kullanılabilir.

Chatbot konuşma kayıtları ne kadar süre saklanabilir?

Kanun sohbet kayıtları için sabit bir süre belirlemez; kişisel verilerin ilgili mevzuatta öngörülen ya da işlendikleri amaç için gerekli olan süre kadar tutulmasını, amaç ortadan kalkınca silinmesini, yok edilmesini veya anonim hâle getirilmesini ister. Kurumun rehberi, verinin ileride kullanılabilir diye belirsiz süre saklanamayacağını yazar. Bu yüzden ham konuşma metni, talep kaydı ve sağlayıcı tarafındaki kopya için ayrı ayrı, gerekçesi yazılı saklama süreleri belirlemek savunulabilir bir yoldur.

Yapay zeka asistanına hangi bilgiler yazdırılmamalı?

Asistan sağlık bilgisi, T.C. kimlik numarası, kart bilgisi, ceza mahkûmiyeti, din veya siyasi düşünce gibi bilgileri sohbet içinde istememelidir; Kanun'un 6. maddesi bunların önemli bir kısmını özel nitelikli kişisel veri sayar ve işlenmesini kural olarak yasaklar. Kullanıcı bu tür bir bilgiyi kendiliğinden yazarsa asistan bilgiyi tekrar etmemeli, özetine almamalı ve kullanıcıyı uyarmalıdır. Bu bilgiye ihtiyaç duyan adım bir çalışana devredilir.