Sipariş, teslimat adresi, ürün yorumu veya destek yazışmasını bir yapay zekâ aracına vermek, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında kişisel veri işlemedir ve Kanun'un bütün temel yükümlülükleri bu işlem için de geçerlidir. Kişisel Verileri Koruma Kurumu bu konuyu 24 Kasım 2025'te duyurduğu "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)" ile ayrıca ele aldı. [1]
E-ticarette sorun genellikle iyi niyetle başlar: destek ekibi şikâyetlerin özetini çıkarmak, pazarlama ekibi yorumları sınıflandırmak ister. Ekibin günlük kullanım kurallarını yapay zekâ kullanım politikası yazımızda ele aldık; burada yasal çerçeveye odaklanıyoruz. Aşağıdaki bilgiler hukuki genel bilgi niteliğindedir; kendi veri akışınız için KVKK alanında çalışan bir avukata danışın.
Müşteri verisini yapay zekâya vermek kişisel veri işleme sayılır mı?
Evet. Kimliği belirli veya belirlenebilir bir kişiye ait bilgiyi bir araca yüklemek, orada özetini çıkarmak ya da sınıflandırmak işleme faaliyetidir. KVKK rehberi, girdide kişisel veri olmasa bile modelin çıktısında gerçek bir kişiye ait bilgi üretmesinin de işleme sayılabileceğini örnekle anlatır. [1]
Rehber ayrıca rollerin ayrı ayrı belirlenmesini ister. Mağazanız işleme amacını ve yöntemini belirlediği için genellikle veri sorumlusudur; yapay zekâ hizmetini sağlayan şirketin veri işleyen mi, yoksa kendi amaçları için işleyen ayrı bir taraf mı olduğu sözleşmeye ve hizmetin işleyişine göre değişir. [1] Bu yüzden önce hangi aracın hangi hesap türüyle kullanıldığını ve sağlayıcının veri işleme sözleşmesini netleştirin.
Hangi hukuki sebebe dayanılmalı, açık rıza gerekir mi?
Önce açık rıza dışındaki hukuki sebeplere bakın; açık rıza yalnız bunların hiçbiri uygun değilse gündeme gelir. KVKK rehberi, işleme başka bir şarta dayanabiliyorsa ayrıca açık rıza istemenin aldatıcı ve hakkın kötüye kullanılması niteliğinde olacağını belirtir. [1] Örneğin bir siparişin teslimatıyla ilgili şikâyete yanıt vermek, sözleşmenin ifasıyla doğrudan bağlantılı olabilir.
Aynı veriyi başka bir amaçla kullanmak ise ayrı bir değerlendirme gerektirir. Rehbere göre bir yapay zekâ sistemini kullanmak için alınan açık rıza, o sistemin geliştirilmesini kapsamaz. [1] Destek yazışmalarını yanıt vermek için işlemek ile bu yazışmalarla kendi modelinizi eğitmek iki ayrı işlemdir; ikincisi için hukuki sebebi baştan kurun.
Yabancı bir yapay zekâ hizmetine veri göndermek yurt dışına aktarım mıdır?
Sağlayıcı veriyi Türkiye dışında işliyorsa bu bir yurt dışına aktarımdır ve 6698 sayılı Kanun'un 9. maddesine uygun yapılmalıdır. [1] Madde 9, 7499 sayılı Kanun'la değiştirildi; değişiklik 12 Mart 2024 tarihli Resmî Gazete'de yayımlandı ve 1 Haziran 2024'te yürürlüğe girdi. [3]
Yeni düzende aktarım üç yoldan biriyle yapılabilir: aktarım yapılan ülke için Kurul'un yeterlilik kararı, standart sözleşme veya bağlayıcı şirket kuralları gibi uygun güvenceler ya da sınırlı sayıdaki arızi hâller. [2] Yeterlilik kararı ve uygun güvence yollarında, Kanun'un 5. veya 6. maddesindeki işleme şartlarından birinin de bulunması gerekir. E-ticaret işletmeleri için en sık konuşulan yol standart sözleşmedir. Kanun'a göre standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kurum'a bildirilir; bildirim yapılmazsa idari para cezası öngörülmüştür. [2]
Dikkat: Arızi hâllerden biri, muhtemel riskler hakkında bilgilendirilen kişinin aktarıma açık rıza vermesidir. [2] Bu yol, adından da anlaşılacağı gibi düzenli ve sürekli bir akış için tasarlanmamıştır. Her destek talebini yurt dışındaki bir modele gönderen bir sistemi tek tek alınan rızalara dayandırmayın.
Aydınlatma metninde neyi değiştirmek gerekir?
Aydınlatma metniniz, müşteri verisinin yapay zekâ destekli bir hizmetle işlendiğini, amacını ve aktarılan alıcı gruplarını açıkça söylemelidir. Kanun'un 10. maddesi; veri sorumlusunun kimliğini, işleme amacını, aktarılan kişileri ve amacını, toplama yöntemi ile hukuki sebebi ve ilgili kişinin haklarını aydınlatma unsurları olarak sayar. [2]
KVKK rehberi, bir yapay zekâ sistemini kullanmak için yapılan işleme ile sistemin geliştirilmesi için yapılan işlemenin ayrı ve açık biçimde anlatılmasını önemli bulur. [1] Sitenizdeki metin "hizmet kalitesini artırmak" gibi genel bir ifadeyle yetiniyorsa, destek yazışmalarının hangi araçla ve ne için işlendiğini sade bir dille ekleyin. Hangi sözleşme ve metinlerin sitede bulunması gerektiğini e-ticaret sitelerinde bulunması gereken sözleşmeler yazımızda listeledik.
Anonimleştirme ve maskeleme riski ne kadar azaltır?
Gerçekten anonim hâle getirilmiş veri Kanun kapsamı dışında kalır; ancak bunun teknik yöntemlerle gösterilebilmesi gerekir. [1] Rehber, anonim hâle getirilene kadar verinin kişisel veri niteliğini koruduğunu da hatırlatır. Ad ve telefonu silmek, adres, sipariş tarihi ve ürün bilgisi birlikte kaldığında kişiyi bulunabilir bırakabilir.
İpucu: Pratik ayrım şudur: maskeleme riski azaltır, anonimlik iddiası ise kanıt ister. Yorum sınıflandırma gibi işlerde çoğu zaman yorum metni ve ürün kodu yeterlidir; müşterinin adı, şehri ve sipariş numarası çoğu analizde gerekmez. Saklama süresine de dikkat edin. Rehber, bir e-ticaret platformunun destek yazışmalarını "ileride yeni sürüm geliştirilebilir" gerekçesiyle belirsiz süre saklamasını ilkeye aykırılık örneği olarak verir. [1]
| Veri | Risk | Önlem |
|---|---|---|
| Sipariş kaydı | Ad, telefon ve ürün birlikte kişiyi tanımlar | Analizde yalnız ürün, tarih ve tutar sütunlarını kullanın |
| Teslimat adresi | Tek başına kişiyi bulunabilir kılar | Gerekirse il düzeyine indirin, açık adresi araca vermeyin |
| Ürün yorumu | Kullanıcı adı ve metindeki kişisel ayrıntılar | Kullanıcı adını çıkarın, metindeki ad ve telefonları maskeleyin |
| Destek yazışması | Sağlık bilgisi gibi özel nitelikli veri içerebilir | Özel nitelikli veri içeren kayıtları ayıklayıp analiz dışında bırakın |
| İade nedeni | Serbest metinde kişisel açıklama | Neden alanını seçenekli tutun, serbest metni maskeleyin |
| Ödeme bilgisi | Kart ve banka verisi | Hiçbir yapay zekâ aracına vermeyin |
Hangi işle başlamak daha güvenli?
İlk projeyi kişisel veri gerektirmeyen ya da kişisel veriden kolayca arındırılabilen bir işle başlatın. Ürün yorumlarının konu bazında sınıflandırılması, iade nedenlerinin gruplanması veya kategori bazında satış raporlarının yorumlanması buna uygundur. Müşteriyle doğrudan yazışan bir asistan ise kimlik doğrulama, aktarım ve aydınlatma sorularını aynı anda açar; bu nedenle ikinci aşamaya bırakılmalıdır. Sohbet botlarının satış ve destekteki genel kullanımını e-ticaret sitelerinde chatbot kullanımı yazımızda bulabilirsiniz.
Başlamadan önce kısa bir veri akışı çizin: veri nereden geliyor, hangi araca gidiyor, sağlayıcı nerede işliyor, ne kadar süre saklanıyor. Bu çizim hukukçunuzla görüşmeyi kısaltır. Yapay zekânın mağazadaki diğer kullanım alanlarını e-ticarette yapay zekâ danışmanlığı yazımızda, müşteriyle konuşan asistanların bilgi düzenini yapay zekâ müşteri asistanı ve bilgi tabanı yazımızda anlattık.
Veri akışı çiziminde yanıtlanacak sorular
- Veri hangi sistemden çıkıyor?
- Hangi araca ve hangi hesap türüne gidiyor?
- Sağlayıcı veriyi hangi ülkede işliyor?
- Veri ne kadar süre saklanıyor ve kim siliyor?
- Aydınlatma metni bu işlemi açıkça anlatıyor mu?
Hangi müşteri verilerini hangi yapay zekâ araçlarında işlemeyi planladığınızı ve kullandığınız hesap türlerini bize yazın; süreç tasarımına oradan başlarız. WebAction, e-ticaret danışmanlığı kapsamında veri akışını ve maskeleme adımlarını sizinle birlikte çıkarır; hukuki onay için bu çalışmayı avukatınıza hazır bir belge olarak teslim eder.
Sık sorulan sorular
Müşteri yazışmasını ChatGPT'ye yapıştırmak KVKK'ya aykırı mı?
Cevap; hukuki sebebe, aydınlatma metnine, kullandığınız hesap türüne ve yurt dışına aktarım dayanağına bağlıdır. Bunlar netleşmeden kişisel veri içeren yazışmayı yapıştırmayın. Ad, telefon, adres ve sipariş numarasını maskelemek riski belirgin biçimde azaltır.
Standart sözleşmeyi Kurum'a kim bildirir?
Kanun'a göre veri sorumlusu veya veri işleyen, standart sözleşmeyi imzalanmasından itibaren beş iş günü içinde Kurum'a bildirir. Bildirim yükümlülüğünü kimin üstleneceğini sözleşmede yazılı olarak belirleyin. [2]
KVKK'nın üretken yapay zekâ rehberi bağlayıcı mı?
Rehber, Kurum'un yaklaşımını gösteren yol gösterici bir metindir. Bağlayıcı kurallar 6698 sayılı Kanun ve ilgili yönetmeliklerdedir; rehber bu kuralların yapay zekâ sistemlerinde nasıl yorumlanacağını örneklerle açıklar. [1]
Anonim veriyle çalışırsam KVKK uygulanmaz mı?
Veri gerçekten anonimse uygulanmaz. Ancak anonimlik, başka verilerle eşleştirildiğinde bile kişinin belirlenemediği teknik olarak gösterilebildiğinde geçerlidir. Anonim hâle getirme işleminin kendisi ise kişisel veri üzerinde yapılır ve Kanun'a uygun yürütülmelidir.
Kaynaklar
- Kişisel Verileri Koruma Kurumu — Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda), Kasım 2025 (18.10.2026)
- Mevzuat Bilgi Sistemi — 6698 sayılı Kişisel Verilerin Korunması Kanunu (madde 9, 10, 18) (18.10.2026)
- Resmî Gazete — 7499 sayılı Kanun, 12 Mart 2024, sayı 32487 (18.10.2026)
İhtiyacınızı konuşalım, ilk adımı belirleyelim.
Talebinizi bırakın; ekibimiz ihtiyacınızı dinlesin ve uygun kapsamı paylaşsın.
- Ücretsiz ve yükümlülüksüz
- Çalışma saatlerinde geri arama
