ChatGPT’ye müşteri verisi girilir mi?

Ekibiniz büyük ihtimalle müşteri e-postalarını, CV’leri ve teklifleri yapay zekâ sohbet botlarına çoktan yapıştırıyor. KVKK açısından bu mesajların her biri kişisel veri işlemek demek. Bulut yapay zekâ hizmetlerinin çoğunda bu veri Türkiye dışındaki sunuculara da gidiyor. Bu rehberde 2024’te değişen yurt dışına aktarım kurallarının sizden ne istediğini, işletmelerin en sık nerede hata yaptığını ve kendi ofisinizde çalışan bir yapay zekânın bu sorunu nasıl ortadan kaldırdığını anlatıyoruz.

Güncelleme: 3 Kasım 2026 · 9 dk okuma

Mesajdaki hangi bilgiler kişisel veri?

KVKK’ya göre kişisel veri, kimliği belirli veya belirlenebilir bir kişiye ait her türlü bilgidir. Günlük yapay zekâ kullanımında bu, isimden çok daha fazlasını kapsar:

• Özetletmek ya da cevaplatmak için verdiğiniz müşteri e-postaları ve şikâyetler
• Karşılaştırmasını istediğiniz CV’ler ve başvurular
• Faturalar, sözleşmeler, sipariş ve cari listeleri
• Müşteri veya çalışan adı geçen toplantı notları ve görüşme kayıtları
• Belge, kimlik kartı veya el yazısı form fotoğrafları

Sadece ismi silmek çoğu zaman yetmez. Metnin geri kalanı (unvan, ilçe, sipariş numarası) kişiyi hâlâ işaret ediyorsa, bu hâlâ kişisel veridir. Sağlık, biyometrik veri, din, sendika üyeliği ve ceza mahkûmiyeti gibi bilgiler ise özel nitelikli kişisel veri sayılır ve çok daha sıkı kurallara bağlıdır.

Bulut yapay zekâ çoğu zaman yurt dışına aktarım demek

Yaygın yapay zekâ hizmetlerinin sunucuları genellikle Türkiye dışında. Yani ekibinizin yazdığı her mesaj, KVKK açısından kişisel verinin yurt dışına aktarılması anlamına gelebilir. Sağlayıcının “Avrupa’da veri merkezi” sunması da bunu değiştirmez: Avrupa da Türkiye için yurt dışıdır.

KVKK’nın 9. maddesi 2024’te baştan yazıldı (7499 sayılı Kanun, 1 Haziran 2024’te yürürlüğe girdi). Yeni sistemde aktarım şu yollardan biriyle yapılabiliyor:

1. Yeterlilik kararı. Kişisel Verileri Koruma Kurulu’nun verinin gideceği ülke (veya o ülkedeki sektör ya da uluslararası kuruluş) için verdiği karar. Kullandığınız hizmetin verisini işlediği ülke için böyle bir karar olup olmadığını Kurum’un sitesinden kontrol edin.
2. Uygun güvenceler. Yeterlilik kararı yoksa en yaygın yol, Kurul’un ilan ettiği standart sözleşmeyi sağlayıcıyla imzalamak. Sözleşme metni değiştirilmeden kullanılır ve imzalardan sonra 5 iş günü içinde Kurum’a bildirilir. Bildirim yapılmazsa idari para cezası öngörülüyor. Bağlayıcı şirket kuralları ve Kurul izniyle yazılı taahhütname de bu gruptadır.
3. Arızi aktarım. Açık rıza gibi istisnalar artık yalnızca arızi, yani ara sıra ve tek seferlik aktarımlar için kullanılabiliyor. Ekibin her gün kullandığı bir yapay zekâ aracı arızi değildir.

Pratikteki zorluk şu: büyük yabancı yapay zekâ sağlayıcıları genellikle kendi hazır sözleşmeleriyle çalışır. Kurul’un standart sözleşmesini onlarla tek tek imzalayıp bildirmek, özellikle küçük bir işletme için çoğu zaman kolay değildir.

KVKK’nın başka neler istediği

• Hukuki sebep. Veriyi işlemek için 5. veya 6. maddedeki sebeplerden birine dayanmanız ve yeni kullanımın veriyi topladığınız amaçla bağlantılı olması gerekir. Müşterinin siparişi için verdiği bilgi, her yapay zekâ denemesini kendiliğinden kapsamaz.
• Veri işleyenle sözleşme ve güvenlik. Sağlayıcı sizin adınıza veri işler. Veri güvenliği (12. madde) konusunda veri işleyenle birlikte sorumlusunuz; ne yapabileceğini, nasıl koruyacağını ve ne zaman sileceğini yazılı olarak belirleyin.
• Aydınlatma. Aydınlatma metninizde verinin kimlere ve hangi ülkelere aktarıldığını söylemeniz gerekir. Yeni bir yapay zekâ sağlayıcısı eklediyseniz metni ve VERBİS kaydınızı (kayıt yükümlüsüyseniz) güncelleyin.
• İlgili kişinin hakları. Müşteriler hakkınızda ne tuttuğunuzu sorabilir, silinmesini isteyebilir. Kopyalar yabancı bir şirketin sistemlerindeyken bu taleplere cevap vermek zorlaşır.

Kurum, 24 Kasım 2025’te Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda) yayımladı. Rehber, kişisel verinin bu sistemlerin eğitim, kullanım ve çıktı üretme aşamalarında işlenebileceğine ve model çıktılarının insan denetimiyle doğrulanması gerektiğine dikkat çekiyor. Ekibinizle paylaşmaya değer.

İşletmelerin en sık yaptığı hatalar

Çalışanların kişisel hesaplarla çalışması

En yaygın sorun bu ve çoğu zaman kimse karar vermeden başlıyor. Biri kendi e-postasıyla ücretsiz bir sohbet botuna üye oluyor ve müşteri mesajlarını yapıştırmaya başlıyor. Şirketinizle sağlayıcı arasında sözleşme yok, ne paylaşıldığını göremiyor ve silemiyorsunuz, üstelik kişisel planlarda sohbetler, kullanıcı kapatmadıkça modelleri geliştirmek için kullanılabiliyor. 2023’te Samsung, çalışanları şirket içi kodu ChatGPT’ye yapıştırınca üretken yapay zekâ kullanımını kısıtlamıştı. Müşteri verisinde risk aynı, üstüne bir de yasal yükümlülük var.

“Açık rıza aldık, sorun yok” demek

2024 değişikliğinden önce yurt dışına aktarımda en çok başvurulan yol açık rızaydı. Artık açık rıza yalnızca arızi aktarımlar için bir istisna. Düzenli kullandığınız bir yapay zekâ hizmeti için açık rızaya dayanmak yeni sisteme uymaz.

“Veriler Avrupa’da duruyor” diye rahatlamak

Bazı sağlayıcılar iş müşterilerine verilerini Avrupa’da tutma seçeneği sunuyor. Bu, GDPR açısından işe yarayabilir ama KVKK açısından veri yine Türkiye dışına çıkıyor ve 9. madde yine uygulanıyor.

Yerel seçenek: yapay zekâyı ofisinizde çalıştırın

Açık yapay zekâ modelleri artık ofis işlerinin çoğu için yeterince iyi: e-postaya cevap taslağı yazmak, belgeyi özetlemek, metni düzeltmek, bir dosya hakkında soruları cevaplamak. Üstelik normal bir bilgisayarda çalışabiliyorlar. Model ofisinizdeki kendi Mac’inizde veya PC’nizde çalıştığında:

• Mesajları hiçbir yapay zekâ şirketi görmez. Sohbetler için dışarıda bir veri işleyen yoktur ve hiçbir şey başkasının modelini eğitmek için kullanılmaz.
• Yurt dışına aktarım olmaz. Veri ofisinizde ve Türkiye’de kalır. Mesajlarınız için standart sözleşme imzalamanız ve bildirmeniz gerekmez.
• Silmek sizin elinizde. Sohbetler kendi cihazlarınızda durur; biri silinmesini istediğinde bulup silebilirsiniz.

Değişmeyen şey: KVKK size yine uygulanır. Veri sorumlusu sizsiniz; hukuki sebebe, bilgisayarın güvenliğine (disk şifreleme, parola, kimin kullanabileceği) ve kayıtlarınıza yine dikkat etmeniz gerekir. Yerel yapay zekâ aradaki yabancı şirketi ve sınırı kaldırır, kuralları değil.

PetekMind bunu nasıl yapıyor?

PetekMind tam olarak bu kurulum için tasarlandı. PetekMind Hub yapay zekâ modelini ofisinizdeki bir Mac’te veya Windows PC’de çalıştırır. Ekibiniz de onu Android telefonlarından ve iPhone’larından PetekMind uygulamasıyla, ofisin Wi-Fi’ı üzerinden kullanır.

• Mesajlar ve cevaplar sizin donanımınızda kalır. Mesaj telefondan bilgisayarınıza gider ve geri döner. Hiçbir bulut yapay zekâya veya yurt dışındaki bir sunucuya gönderilmez.
• Kimin kullanacağına siz karar verirsiniz. Yalnızca onayladığınız cihazlar bağlanabilir ve her cihaz bir kişiye aittir. Birini duraklatabilir, belirli modellerle sınırlayabilir veya cihazını hemen çıkarabilirsiniz.
• Kişi bazında kullanımı görürsünüz. Hub, kimin ne kadar kullandığını kendi bilgisayarınızda tutar.
• Varsayılan olarak hiçbir şey internete çıkmaz. Model indirmeleri kişisel veri içermez. Web araması isteğe bağlıdır: biri bir mesaj için açtığında yalnızca arama sorgusu internete gider. Ekibinize aramaya kişisel bilgi yazmamalarını söyleyin.

Bulut mu, yerel mi? Hızlı karşılaştırma

Ekibiniz müşteri verisiyle yapay zekâ kullanmadan önce

• Hangi yapay zekâ araçlarının, hangi tür verilerle kullanılabileceğini yazılı hâle getirin.
• Müşteri veya çalışan verisi içeren işler için kişisel hesapları yasaklayın.
• Bulut yapay zekâ kullanacaksanız: kurumsal plan seçin, yurt dışına aktarımın hangi yolla yapılacağını belirleyin, standart sözleşmeyse 5 iş günü içinde bildirin, eğitimi kapatın, aydınlatma metnini ve VERBİS kaydını güncelleyin.
• Sağlık gibi özel nitelikli veriler söz konusuysa önce KVKK danışmanınızla konuşun.
• Yerel yapay zekâ kullanacaksanız: cihazları tek tek onaylayın, bilgisayarın diskini şifreleyin, kayıtlarınıza ekleyin.
• Ekibinize neyi yapıştırmamaları gerektiğini, kendi işinizden somut örneklerle anlatın.

Avrupa Birliği’nde müşterileriniz mi var? GDPR’ın kuralları farklı. İngilizce GDPR rehberimize göz atın.