Yapay Zeka Alanında Güncel Gelişmeler
18.01.2026
Yapay Zeka Alanında Güncel Gelişmeler (ya da 2025’e dolu bir veda):
KVKK’dan Üretken Yapay Zeka Rehberi ve Kamu Kurumlarındaki Son Değişiklikler
2025 sonunda ülkemizde yapay zeka hukuku alanında iki önemli gelişme gerçekleşti. Bunları
aşağıda sizler için derledik.
Bununla birlikte çok gündemde ve gelişmekte olan bir alan olduğu için 2026 yılında da KVKK
başta olmak üzere ilgili kamu kurumlarından yapay zeka alanında düzenleme ve kararların
gelmesi hiç şaşırtıcı olmayacaktır.
Siz de tüm bu gelişmeleri takip etmeye aşağıda açıkladığımız iki gelişmeyle başlayabilirsiniz.
Merak etmeyin, hiçbir şey kaçırmadınız; yeni başlıyoruz…
1. Kişisel Verileri Koruma Kurumundan Üretken Yapay Zeka ve Kişisel Verilerin
Korunması Rehberi
İlk gelişmenin konusunu, Kişisel Verileri Koruma Kurumu (Kurum) tarafından yayınlanan ve
Üretken Yapay Zeka (ÜYZ) hakkında 15 ana sorudan yola çıkarak açıklamalarda bulunan
“Üretken Yapay Zeka ve Kişisel Verilerin Korunması Rehberi” (Rehber) oluşturuyor.
Rehber, ÜYZ’nin yer aldığı süreçlerde Kişisel Verileri Koruma Kanunu’na (Kanun) nasıl uyum
sağlanacağı konusunda birçok önemli açıklama getiriyor. Bu nedenle Rehber, ÜYZ’yi
geliştiren ve kullanan kişiler için çok önemli bir kaynak niteliğinde. Bununla birlikte Rehber’in
az sayıda da olsa bazı açıklamaları, uygulamada belirsizliğe yol açabilecek nitelikte
görünüyor. Bunların uygulama ile şekilleneceğini öngörüyoruz.
Rehber’deki önemli noktaları aşağıda sunuyoruz:
a) Temel İlkeler
Rehberde:
(i) bir ÜYZ sisteminin eğitilmesinde kullanılan veri setlerinin hukuka uygun şekilde
kullanılmamasının, veya
(ii) bu veri setlerinin toplumda halihazırda mevcut olan önyargı ve eşitsizlikleri
yansıtması halinde geliştirilen ÜYZ modelinin algoritmik önyargıya sebebiyet
vermesinin
söz konusu araçların kullanımını hukuka ve dürüstlük kuralına aykırı hale getirebileceği
ifade ediliyor.
b) Şeffaflık ve Aydınlatma Yükümlülüğü
Rehber, şeffaflığın sağlanabilmesi adına verilerin işleme amaçları, kapsamı ve olası etkiler
hakkında açık ve erişilebilir bir bilgilendirme yapılması gerektiğine dikkat çekmektedir.
Verilmesi gereken ek bilgiler: Rehber’de, mevcutta kullandığımız aydınlatma
metinlerinde yer alan bilgilere ek olarak ÜYZ sistemi geliştiren ve yerleştiren aktörlerin:
(i) sistemin kullandığı veri türleri,
(ii) veri işleme biçimi ve
(ii) çıktı oluşturma kriterleri hakkında bilgilendirme yapmaları gerektiği ifade
edilmiştir.
Açık rızaya dayalı veri işleme faaliyeti halinde verilmesi gereken ek bilgiler:
Açık rızaya
dayalı işleme faaliyetleri bakımından Rehber, rızanın geçerli sayılabilmesi için ilgili kişilere
yukarıda belirttiklerimize ek olarak:
(i) kullanılan ÜYZ sisteminin türü,
(ii) verinin geliştirme veya kullanım amacıyla işlenip işlenmediği,
(iii) ortaya çıkacak verinin niteliği ve amacı ile
(iv) YZ çıktıları aracılığıyla verilerin üçüncü kişilerce görülme ihtimali hakkında da
bilgi verilmesi gerektiğini belirtmektedir.
• Görüşümüz: Bu noktada, Rehber’in, ÜYZ sistemlerinin geliştirilmesi ve
kullanımı aşamalarını ayırt etmeksizin hem geliştiricilere hem de
yerleştiricilere bu şekilde genel yükümlülükler öngörmesi, uygulamada hangi
aşamada kimin hangi kapsamda açıklama yapacağı konusunda belirsizlik
yaratabilecektir.
Gerçekten de ÜYZ’nin işleyişine ilişkin benzer bilgi verme yükümlülükleri
bakımından gerek GDPR’da gerekse AB Yapay Zeka Tüzüğü’nde belirli eşikler
öngörülmüştür (örneğin AB Yapay Zeka Tüzüğü bakımından yüksek riskli yapay
zeka sistemlerinin kullanımı veya hukuki ve benzer ölçüde etki doğuran işlemler
bakımından; GDPR açısından ise münhasıran otomatik işlemeye dayalı olarak
ilgili kişinin kendisi hakkında hukuki sonuçlar doğuran veya benzer biçimde
önemli etkiler yaratan veri işleme süreçleri bakımından böyle bir yükümlülük
getirilmesi).
Bununla birlikte Rehber’de herhangi bir eşiğe bağlanmaksızın bu yönde bir
yükümlülük getirilmesi dikkat çekmektedir. Diğer yandan AB yetkili otoritelerinin
görüşlerinde, açık rızaya dayalı işlemlerde yapılacak bilgilendirmeye ilişkin
olarak yukarıda belirtilen ve Rehber’de açık rıza alınmadan önce verilmesi
öngörülen unsurlara benzer bilgilerin, genel olarak getirilmek yerine esasen
münhasıran otomatik yollarla karar alınmasına konu veri işleme faaliyetleri
bakımından gündeme getirildiği görülmektedir.
Elbette “ÜYZ sisteminde kişisel veri zaten “münhasıran otomatik yollarla”
işlenmektedir. Bu ayrıma gerek var mıdır?” sorusu gündeme gelebilir. İşte
kanımızca buradaki ayrım karar aşamasında bir insan müdahalesinin olup
olmadığına göre yapılmalıdır. Zira bir yarışmaya gelen başvuruların bir kritere
göre ÜYZ ile tasnif edilmesi ve sonradan bir insan tarafından bu başvuruların incelenerek karar verilmesi halinde ya da bir şirket çalışanı tarafından hazırlanan
kişisel veri içeren bir metnin dilinin verilerin model eğitiminde kullanılmasına izin
verilmeyen bir ÜYZ sistemi ile düzeltmesi halinde bu tür ek bilgilerin ilgili kişiye
sunulması, kanımızca amaçlanan hedefle ötüşmemektedir.
Elbette Kanun’un 11’inci maddesinde düzenlenen “kişisel verilerin münhasıran
otomatik sistemler vasıtasıyla analiz edilmesi sonucunda kişinin aleyhine bir
sonucun ortaya çıkmasına itiraz etme” hakkının etkin biçimde kullanılabilmesi
için, ilgili kişiye bu nitelikte bir otomatik analiz yapıldığı bilgisinin verilmesi genel
ilkelerin bir gereği olarak görülebilir. Bu durumda Rehberin bu hükme
odaklanarak bir yönlendirme yapması, ÜYZ kullanılan tüm süreçleri
kapsanamaması kanımızca daha uygun olurdu.
Uygulamada bazı akademisyenler getirilen bu yükümlülüklerin (ve “Görüşümüz”
kısımlarında belirtilen belirsizlik içeren yönlendirmelerin) AB Yapay Zeka Tüzüğü
ve GDPR kapsamında yorumlanması gerektiğini belirtseler de, Rehberin bu
doğrultuda düzeltilmesi uygulamaya açıklık getirecek, mevcut hali uygulamada
belirsizliğe yol açacaktır.
Arayüzde aydınlatma metinlerinin sunulması: Rehber, ÜYZ sistemlerinin farklı
aşamalarında gerçekleştirilen kişisel veri işleme faaliyetleri kapsamında “aydınlatma
metinlerinin ve varsa gizlilik politikalarının, mevcut ve potansiyel kullanıcılar tarafından
kolaylıkla erişilebilir bir biçimde sistem arayüzlerinde sunulması” gerektiğini ifade etmiştir.
• Görüşümüz: Rehber, ÜYZ’nin hangi aşamasında, hangi aktör tarafından ve
hangi kapsamda bilgilendirme yapılması gerektiğine ilişkin bir ayrım veya
yönlendirme içermediğinden, bu yükümlülüğün uygulamada nasıl yerine
getirileceği belirsizliğini korumaktadır. Örneğin, bir ÜYZ modelini kendi
arayüzünde kullanan bir kullanıcının yalnızca kendi veri işleme faaliyetleri
bakımından mı aydınlatma yapacağı, yoksa kullandığı modelin işleyişine
ilişkin ek açıklamalara ve model geliştiricinin gizlilik politikasına da yer
verip vermeyeceği net olarak anlaşılamamaktadır.
Aydınlatma yükümlülüğüne istisna: Son olarak Rehber, Kanun ve ikincil düzenlemelerde
aydınlatma yükümlülüğüne ilişkin açık bir istisna öngörülmemiş olmasına rağmen, ilgili kişilere
doğrudan aydınlatma yapılmasının mümkün olmadığı hallerde kamuya açık aydınlatma
metinleri aracılığıyla bilgilendirme yapılabileceğini belirtmiştir.
• Görüşümüz: Kanun ve ikincil düzenlemelerde, GDPR’dan farklı olarak,
aydınlatmanın çok zor veya imkansız olduğu durumlara ilişkin bir istisna
bulunmaması uygulamada çözümsüz durumlara yol açabilmektedir. Bu
çerçevede Kurum’un benimsediği yaklaşımın, söz konusu sorunlara yönelik
tutumunu ortaya koyması bakımından uygulama açısından faydalı olduğu
görüşündeyiz.
c) Hukuki Sebep
Rehber, ÜYZ sistemlerinin geliştirilmesi ve kullanılması gibi farklı aşamalar bakımından
işleme amacının her bir aşama özelinde değerlendirilmesini; aşamalara göre değişen
işleme amaçları için hukuki sebep açısından ayrı ayrı değerlendirme yapılmasını ve ilgili
kişilere yapılacak bilgilendirmenin, tüm süreci genel ve muğlak ifadelerle tek çatı altında
toplamak yerine her bir süreç özelinde (örneğin eğitim, geliştirme ve kullanım) ayrı ve spesifik
şekilde yapılması gerektiğini ifade etmektedir. Bu açıdan örneğin ÜYZ kullanımı amacıyla
alınan açık rızanın, ÜYZ çıktılarında yer alan kişisel verilerin işlenmesini kapsamayacağı;
bunun için yeniden bir işleme şartı belirlenmesi gerekeceği ifade edilmektedir.
Rehber’de, ÜYZ kapsamında meşru menfaate dayanılabileceği belirtilmekte; bunun için
veri sorumlusunun belirli, mevcut ve meşru bir menfaatinin bulunması, bu menfaate ulaşmak
için veri işlemenin zorunlu olması ve ilgili kişinin temel hak ve özgürlükleri ile veri
sorumlusunun menfaati arasında olay bazında bir denge testinin yapılması gerektiği ifade
edilmektedir. Bu denge testinde, kişisel verilerin herkese açık ve kolayca erişilebilir bir
platformda yer alması da dikkate alınabilecek bir unsur olarak değerlendirilmiştir.
d) Ek Yükümlülükler:
İnsan Gözetimi/Denetimi: Rehber’de, kişisel veri içeren çıktılarda yanlış veya yanıltıcı
bilgilerin yol açabileceği zararlar dikkate alınarak, ÜYZ sistem çıktılarının düzenli biçimde
izlenmesi ve gerektiğinde insan gözetimiyle desteklenmesi gerektiği belirtilmiştir.
• Görüşümüz: Ancak AB Yapay Zeka Tüzüğü ve GDPR’daki benzer
düzenlemelerde insan müdahalesi ve gözetimi, münhasıran otomatik yollarla kişi
hakkında karar alınması, yüksek riskli bir yapay zeka sisteminin kullanılması
veya kişi üzerinde hukuki ya da benzer nitelikte önemli bir etki doğması gibi
durumlara bağlanmaktadır. Bu yönüyle Rehber’deki ifade, karşılaştırmalı
düzenlemelere kıyasla herhangi bir şarta bağlı olmayan ve oldukça genel bir
yaklaşım ortaya koymaktadır.
Veri Koruma Etki Değerlendirmesi (DPIA): Rehber’de ayrıca, kanunen zorunlu olmadığı
kabul edilmekle birlikte, meşru menfaate dayalı yürütülen ve ilgili kişiler üzerinde önemli
etkiler doğurabilecek ÜYZ işlemlerinde, menfaat dengesi kapsamında veri koruma etki
değerlendirmesi yapılması önerilmiştir.
ÜYZ Kullanıldığının Belirtilmesi: Rehber, kullanıcıyla doğrudan etkileşime giren ÜYZ
sistemlerinde, kullanıcıların bir ÜYZ sistemiyle iletişim kurduklarını açıkça bilmelerini
sağlayacak bilgilendirme mekanizmalarının bulunması gerektiğini ifade etmiştir.
Tedbirler: Rehber, ÜYZ sistemlerinde mahremiyet artırıcı teknolojilerin (Privacy-Enhancing
Technologies/PETs) tasarımdan itibaren kullanılmasının, tasarımdan itibaren mahremiyet ve
varsayılan olarak mahremiyet yaklaşımlarının hayata geçirilmesi açısından önemini
vurgulamaktadır. Rehber, mahremiyet artırıcı teknolojilerin Kurum dokümanlarında
teknik bir kavram olarak ilk kez açıkça tanınması bakımından önem arz etmektedir. Ayrıca
Rehber, çocuklar bakımından alınabilecek tedbirlere yer vermekte ve dolaylı olarak Yaşa
Uygun Tasarım (Age Appropriate Design) ilkelerine paralel olarak, özellikle ebeveyn
kontrolü bağlamında açıklamalar getirmektedir.
2. Yapay Zeka Alanında Kamu Kurumlarına Tanınan Yetkiler
İkinci ve en az Rehber kadar önemli olan bir diğer haberimizin konusunu, 25 Aralık 2025
tarihinde yayımlanan Cumhurbaşkanlığı Kararnameleri ile yapılan değişiklikler
oluşturmaktadır. Bu değişiklikler ile yapay zekaya ilişkin hususlarda görev ve yetkiler belirli
kurumlarda toplanarak kurumsal bir yönetişim yapısı oluşturulmuştur.
a) Sanayi ve Teknoloji Bakanlığı bünyesinde yapılan değişiklikler
T.C. Sanayi ve Teknoloji Bakanlığı (Bakanlık) bünyesinde bulunan Millî Teknoloji
Müdürlüğü’nün ismi Millî Teknoloji ve Yapay Zeka Genel Müdürlüğü olarak değiştirilmiş ve
bu kuruma; yapay zeka teknolojilerinin güvenilir ve etik ilkelere uygun şekilde geliştirilmesi ve
kullanılmasının sağlanması, yapay zeka alanında ulusal politika, strateji ve eylem planlarının
hazırlanması ve uygulanması, yapay zeka ekosistemine yönelik gerekli mevzuat
çalışmalarının yürütülmesi, veri, altyapı ve insan kaynağı kapasitesinin artırılması, yapay zeka
girişimleri ile Ar-Ge faaliyetlerinin desteklenmesi, uluslararası iş birliklerinin geliştirilmesi,
kamudaki yapay zeka çalışmalarının koordinasyonunun sağlanması, ulusal ölçekte yönetişim
ve koordinasyonun sağlanması ve bu alanlarda kamudaki yapay zeka çalışmalarına katkıda
bulunması yetkileri verilmiştir.
b) Siber Güvenlik Başkanlığı bünyesinde yapılan değişiklikler
Siber Güvenlik Başkanlığı’nın görev alanı genişletilmiş ve bu kapsamda; kamuda yapay zeka
uygulamalarına ilişkin mevzuat çalışmalarını yürütme, yapay zekaya yönelik ulusal politika
strateji ve eylem planları ile ulusal mevzuatın uluslararası düzenlemelere uyumlaştırılma
çalışmalarına katkı sağlama, ekosistem geliştirme faaliyetlerine iştirak etme, dijital devlet ve
kamuda yapay zeka teknolojilerinin kullanımı bağlamındaki verinin, oluşturulmasından yok
edilmesine kadar olan süreçlerin yönetilmesini kapsayan veri yönetişimine ilişkin ilke, usul ve
standartları belirleme, kamuda yapay zeka uygulamalarına öncülük etme ve bunlara yönelik;
gereksinimleri ilgili kurumlar ile birlikte tespit etmek, ortak veri alanı altyapısını hayata
geçirmek, uygulamalarda kullanılacak verilerin kalite kriter ve standartlarını belirlemek ve
bunlara uygunluk verme yetkileri tanınmıştır.
Yukarıda bahsedilen düzenleme ile, ekosistemde yapay zeka dönüşümüne ilişkin
hususlardaki görevlerin Bakanlığa, daha çok kamuya ilişkin görevlerin ise Siber Güvenlik
Başkanlığı’na verildiği görülmektedir.
This website is available “as is. Turkish Law Blog is not responsible for any actions (or lack thereof) taken as a result of relying on or in any way using information contained in this website, and in no event shall they be liable for any loss or damages.
The content and materials published on this website are provided for informational purposes only and should not be used as a legal opinion in any way. This website and the information contained are not intended to establish an attorney-client relationship.
Successful