ChatGPT'ye Sözleşme Yüklemek KVKK İhlali mi?

ChatGPT'ye Sözleşme Yüklemek KVKK İhlali mi?

Sabah dokuzda masanıza bir sözleşme taslağı düşüyor. Kırk sayfa, karşı tarafın avukatı hazırlamış, öğlene kadar görüş bildirmeniz gerekiyor. Tarayıcıda zaten açık duran bir sekme var. Dosyayı sürükleyip bırakmak, "bunda benim müvekkilim aleyhine ne var" diye sormak on saniye sürüyor.

O on saniyede ne olduğunu bilen az.

Bu yazı, Türkiye'de serbest çalışan avukatların, mali müşavirlerin ve kendi işini yürüten meslek mensuplarının en çok merak ettiği ama açık cevabını bulamadığı soruyu ele alıyor. Cevap tek kelimeyle "evet" ya da "hayır" değil, ama belirsiz de değil. Nerede durduğunuzu bilmek mümkün.

Kısa Cevap

Bir yapay zeka aracına müvekkil verisi içeren belge yüklemek, tek başına ve otomatik olarak KVKK ihlali değildir.

İhlal olup olmadığı üç şeye bağlıdır: belgede kişisel veri bulunup bulunmadığına, verinin yurt dışına aktarılıp aktarılmadığına, ve aktarım gerçekleştiyse bunun hangi hukuki dayanakla yapıldığına.

Uygulamada çoğu meslek mensubu bu üç sorunun hiçbirini sormadan dosyayı yüklüyor. Sorun da tam burada başlıyor.

Belgede Kişisel Veri Var mı

Kanun kişisel veriyi, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlıyor. Bu tanım sandığınızdan geniş.

Bir sözleşme taslağında taraf isimleri, TC kimlik numaraları, adresler, imza sirküleri bilgileri, banka hesap numaraları bulunur. Bir dava dosyasında bunlara ek olarak sağlık raporları, ceza kayıtları, aile ilişkilerine dair beyanlar çıkabilir. Bunların bir kısmı özel nitelikli kişisel veri kategorisine girer ve kanun bu kategoriye çok daha ağır bir koruma rejimi öngörür.

Buradaki yaygın yanılgı şu: "İsimleri sildim, artık kişisel veri değil." Genellikle değil. Belirlenebilirlik ölçütü, ismin kendisini değil, kişiye ulaşılabilirliği esas alır. Dosya numarası, mahkeme adı, tarih ve olay örgüsünün bir arada bulunduğu bir metin, isim silinmiş olsa bile ilgili kişiyi belirlenebilir kılar. Küçük bir ildeki tek bir davadan söz ediyorsanız, isim zaten gereksizdir.

Anonimleştirme teknik bir işlemdir ve geri döndürülemez olması gerekir. Bul ve değiştir yapmak anonimleştirme değildir.

Veri Nereye Gidiyor

İkinci soru daha teknik ama cevabı daha nettir.

Bir yapay zeka aracına metin yazdığınızda o metin işlenmek üzere bir sunucuya gider. Sunucunun nerede olduğu, verinin orada ne kadar kaldığı ve ne için kullanıldığı, kullandığınız hizmetin şartlarına bağlıdır.

Burada kritik ayrım tüketici sürümü ile kurumsal sürüm arasındadır.

Popüler yapay zeka araçlarının ücretsiz ve bireysel ücretli sürümlerinde, yazdığınız içerik varsayılan olarak hizmet geliştirme ve model eğitimi amacıyla kullanılabilir. Çoğunda bunu kapatan bir ayar vardır, ama varsayılan kapalı değildir ve kullanıcıların büyük kısmı o ayarın varlığından haberdar değildir. İçerik ayrıca belirli bir süre saklanır.

Kurumsal ve API tarafında tablo farklıdır. Ciddi sağlayıcılar burada veri saklamama taahhüdü verir, içeriği eğitimde kullanmaz ve bunu sözleşmeye bağlar. Bu taahhüdün sektördeki adı sıfır veri saklama, yani zero data retention.

Fark önemsiz görünüyor olabilir. Değil. Birinci senaryoda müvekkilinizin sözleşmesi bir yerlerde duruyor ve bir modelin öğrenme verisine karışmış olabilir. İkinci senaryoda işlenip siliniyor.

Yurt Dışına Aktarım Meselesi

Üçüncü ve hukuken en ağır soru bu.

Kanunun 9. maddesi kişisel verilerin yurt dışına aktarılmasını şarta bağlar. 2024'teki değişiklikle birlikte sistem yenilendi: yeterlilik kararı bulunan ülkelere aktarım, yeterlilik yoksa standart sözleşme, bağlayıcı şirket kuralları gibi uygun güvencelere dayalı aktarım, bunlar da yoksa istisnai hallerde arızi aktarım.

Kurum'un yayımladığı rehberlerde, dayanılabilecek ilan edilmiş bir yeterlilik kararından söz edilmiyor. Yani kullandığınız hizmetin sunucusu Amerika'daysa, aktarımı meşrulaştırmak için uygun güvencelerden birine dayanmanız gerekir. Standart sözleşme imzalanması ve Kurula bildirilmesi gereken bir belgedir.

Bireysel bir kullanıcı olarak, bir yapay zeka şirketiyle standart sözleşme imzalamış olma ihtimaliniz yoktur.

Bu, tarayıcıya dosya sürükleyen meslek mensubunun farkında olmadığı asıl risktir. Sorun yapay zeka kullanmak değildir. Sorun, veriyi hangi hukuki dayanakla yurt dışına çıkardığınızın cevabının bulunmamasıdır.

Sunucusu Avrupa'da olan ve veri saklamayan bir hizmet kullanıyorsanız tablo belirgin biçimde değişir. Aktarım hâlâ vardır ama saklama yoktur, işleme süresi anlıktır ve sağlayıcı taahhüdü sözleşmeye bağlıdır. Hukuki savunulabilirlik burada çok daha güçlüdür.

Avukatlar İçin İkinci Katman: Sır Saklama

KVKK herkesi bağlar. Avukatı bağlayan ikinci ve daha eski bir yükümlülük daha vardır.

Avukatlık Kanunu'nun 36. maddesi, avukatın mesleği dolayısıyla öğrendiği sırları saklamasını emreder. Bu yükümlülük görev sona erdikten sonra da devam eder. İhlali disiplin sorumluluğu doğurur ve Türk Ceza Kanunu'nun 239. maddesi kapsamında cezai boyuta taşınabilir.

Şimdi iki metni yan yana koyun.

Bir yandan müvekkilinizin sırrını saklamakla yükümlüsünüz. Diğer yandan o sırrı, saklama politikasını okumadığınız bir hizmete, hangi ülkede tutulduğunu bilmediğiniz bir sunucuya yazıyorsunuz.

Bu ikisinin bir arada durması zordur.

Türkiye Barolar Birliği'nin bu konuda henüz ayrıntılı bir düzenlemesi yok. Ama düzenleme olmaması serbestlik anlamına gelmez. 36. madde zaten yürürlüktedir ve teknoloji değiştiği için kapsamı daralmaz.

Sık Karşılaşılan Üç Senaryo

Soyut kalmamak için uygulamada en çok rastlanan üç durumu ayrı ayrı ele alalım. Aynı araç, aynı kullanıcı, ama hukuki tablo tamamen farklı.

Birinci senaryo: mevzuat araştırması.

"Kira sözleşmesinde tahliye taahhüdünün geçerlilik şartları nelerdir" diye soruyorsunuz. Ortada müvekkil yok, dosya yok, isim yok. Kişisel veri işlenmiyor. KVKK bu işlemi kapsamıyor. Sır saklama yükümlülüğü de devreye girmiyor, çünkü mesleğiniz dolayısıyla öğrendiğiniz bir sırrı aktarmıyorsunuz.

Bu kullanımda hiçbir sakınca yok. Meslek mensuplarının büyük kısmı zaten yapay zekayı en çok burada kullanıyor ve doğru yapıyor.

İkinci senaryo: anonim hale getirilmiş olay anlatımı.

"Müvekkilim bir taşınmazı satın aldı, tapuda şerh çıktı, satıcı bunu bildirmemişti, hangi hukuki yollar açık" diye soruyorsunuz. İsim yok, tarih yok, yer yok.

Burada tablo gri. Eğer anlatım gerçekten belirlenebilirlik yaratmıyorsa kişisel veri işlenmiyor sayılabilir. Ama pratikte insanlar anlatıma detay eklemeye eğilimlidir, çünkü detay eklemeden iyi cevap alınmaz. İki cümle sonra ilçe adı, sonra tarih, sonra dosya numarası girer. O noktada ikinci senaryodan çıkıp üçüncüsüne geçmiş olursunuz.

Sınır burada bulanıklaşır ve bulanıklık aleyhinizedir.

Üçüncü senaryo: belgenin doğrudan yüklenmesi.

Sözleşme taslağını, bilirkişi raporunu, dava dilekçesini olduğu gibi yüklüyorsunuz. Kişisel veri var, çoğu zaman özel nitelikli veri de var, yurt dışına aktarım var.

Bu senaryoda hukuki dayanağınızın ne olduğu sorusuna hazır bir cevabınız olmalı. Yoksa risk gerçektir.

Uygulamada meslek mensuplarının çoğu birinci senaryoyla başlıyor, alışkanlık kazandıkça üçüncüsüne geçiyor ve geçişin farkında olmuyor. Sorun tek bir kararda değil, kaymada.

Açık Rıza Bir Çözüm mü

Sıkça duyulan bir öneri var: müvekkilden açık rıza alalım, sorun kalmasın.

Bu düşünüldüğü kadar güvenli bir çıkış yolu değil.

Açık rıza belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle açıklanmalıdır. Müvekkilinize "verilerinizin yapay zeka araçlarında işlenmesini kabul ediyor musunuz" diye sorup imza almanız, bu şartların hepsini karşılamaz. Hangi araç, hangi ülke, ne kadar süre, hangi amaç sorularının cevabı metinde yoksa bilgilendirmeye dayalı bir rıza yoktur.

Ayrıca vekalet ilişkisinde rızanın özgür iradeyle verilip verilmediği tartışmaya açıktır. Hizmeti almak için imzalamak zorunda kaldığı bir metin, özgür irade ölçütünü zorlar.

Daha önemlisi, açık rıza KVKK tarafını çözse bile Avukatlık Kanunu 36. maddeyi ortadan kaldırmaz. Sır saklama yükümlülüğü müvekkilin rızasıyla belirli ölçüde esneyebilir, ama bu yükümlülüğün kendiliğinden askıya alınacağı anlamına gelmez.

Yani rıza almak faydalı bir adımdır, tek başına yeterli bir kalkan değildir.

Yerel Çalışan Araçlar Neyi Değiştiriyor

Son yıllarda öne çıkan bir mimari var: işin bir kısmının kullanıcının kendi cihazında yapılması.

Burada iki farklı yaklaşımı ayırmak gerekir.

Birincisi tam yerel çalışan modeller. Model bilgisayarınızda kurulu, hiçbir veri dışarı çıkmıyor. Hukuki açıdan en temiz senaryo budur, çünkü aktarım hiç gerçekleşmez. Bedeli ise donanımdır ve bugün masaüstü bilgisayarlarda çalışan modeller, bulut modellerinin gerisindedir.

İkincisi karma mimari. Dosyalarınız cihazda kalır, dışarı çıkan tek şey sorgu için gereken metindir, o da saklanmadan işlenir. Uygulamada en çok tercih edilen yaklaşım budur, çünkü performans ile korumayı dengeler.

İkisi arasında seçim yaparken sorulacak soru şudur: bu belge dışarı çıksa ve saklansa, altından kalkabilir miyim. Cevap hayırsa birinci yolu seçin. Evet ama tedirginim ise ikincisi yeterlidir.

Burada dikkat edilecek bir pazarlama tuzağı var. "Verileriniz güvende" cümlesi hiçbir şey ifade etmez. Anlamlı olan cümle şudur: veri saklanmıyor, eğitimde kullanılmıyor, işlem şu bölgede yapılıyor ve bu sözleşmeyle taahhüt altında. Bir sağlayıcı bu üçünü açıkça söylemiyorsa, söylemiyor olmasının bir sebebi vardır.

Bir İhlal Gerçekleşirse Ne Olur

Teorik kalmasın diye pratik tarafı da yazalım.

Kişisel Verileri Koruma Kurulu şikayet üzerine veya resen inceleme başlatabilir. İnceleme sonucunda veri güvenliğine ilişkin yükümlülüklerin ihlal edildiği tespit edilirse idari para cezası uygulanır ve ceza tutarları her yıl yeniden değerleme oranında artar.

Bunun yanında ilgili kişinin tazminat talebi gündeme gelebilir. Avukat söz konusuysa baro disiplin süreci ayrıca işler ve bu süreç idari cezadan bağımsızdır.

Ancak pratikte en ağır bedel çoğu zaman hukuki değildir. Müvekkilinizin dosyasının bir yapay zeka hizmetinde işlendiğini öğrenmesi ve bunu çevresine anlatması, herhangi bir para cezasından daha uzun süre etkisini gösterir. Serbest çalışan bir meslek mensubunun sermayesi itibarıdır.

Bu yüzden bu konuyu yalnızca uyum meselesi olarak görmek eksiktir. Aynı zamanda ticari bir meseledir.

Peki Ne Yapmalı

Yapay zeka kullanmayı bırakmak bir çözüm değil. İşin hacmi artıyor, süreler kısalıyor ve bu araçlar gerçekten iş görüyor. Mesele kullanmamak değil, nasıl kullandığınızı bilmek.

Pratik bir çerçeve:

Belgeyi sınıflandırın. Her belge aynı hassasiyette değildir. Mevzuat araştırması, dilekçe formatı, genel hukuki soru için hiçbir sakınca yoktur, çünkü ortada kişisel veri yoktur. Müvekkil bilgisi içeren belge ise ayrı bir kategoridir.

Kullandığınız hizmetin şartlarını bir kez okuyun. Aradığınız üç cümle var: içeriğim eğitimde kullanılıyor mu, ne kadar süre saklanıyor, sunucu nerede. Bu üç cevabı bilmiyorsanız o hizmete müvekkil verisi yazmayın.

Tüketici sürümü ile kurumsal sürümü ayırın. Aynı markanın iki sürümü arasında veri politikası açısından uçurum olabilir.

Sıfır veri saklama taahhüdü olan hizmetleri tercih edin. Bu taahhüt pazarlama cümlesi değil, sözleşmeye bağlanan bir yükümlülüktür ve sorulduğunda belgelenmesi gerekir.

Cihazda çalışan çözümleri değerlendirin. Dosyanın bilgisayarınızdan hiç çıkmadığı, yalnızca sorgu metninin işlendiği ve saklanmadığı mimariler bugün mevcut.

Aydınlatma metninizi güncelleyin. Veri sorumlusu sizsiniz. Müvekkil verisini bir hizmet sağlayıcı aracılığıyla işliyorsanız, aydınlatma yükümlülüğü bunu kapsamalıdır.

Kimin Sorumluluğunda

Bu soru sık soruluyor ve cevabı net.

Veri sorumlusu sizsiniz. Kullandığınız yapay zeka hizmeti veri işleyen konumundadır. Bir ihlal gerçekleştiğinde Kurul karşısında muhatap sizsiniz. Sağlayıcıya karşı sözleşmesel talep hakkınız doğabilir, ama idari yaptırım size uygulanır.

Bu yüzden "onlar halleder" yaklaşımı çalışmaz. Hizmeti seçen sizsiniz, seçimin sorumluluğu da sizde.

Mali Müşavir ve Diğer Meslekler İçin Durum

Bu yazı avukat merkezli ilerledi ama sorun avukatlara özgü değil.

Mali müşavir mükellefin beyannamesini, bilançosunu, banka hareketlerini görür. Bu bilgiler hem kişisel veri hem ticari sırdır ve 3568 sayılı Kanun meslek mensubuna sır saklama yükümlülüğü getirir. Bir mizanı yapay zekaya yüklemek, hukuken bir sözleşme yüklemekle aynı kategoridedir.

Hekim için tablo daha ağırdır. Sağlık verisi özel nitelikli kişisel veridir ve işlenmesi çok daha dar şartlara bağlıdır. Bir tetkik raporunu özetletmek masum bir işlem gibi görünür, oysa kanunun en korumalı kategorisine dokunur.

Sigorta eksperi, gayrimenkul danışmanı, insan kaynakları uzmanı, muhasebeci. Listeyi uzatmak mümkün. Ortak nokta şudur: başkasının bilgisini mesleği gereği elinde tutan herkes aynı üç soruyla karşı karşıyadır.

Kontrol Listesi

Yazıyı kapatmadan önce, masanızın kenarında durabilecek bir liste.

Yüklemeden önce sorun: bu belgede kimliği belirlenebilir bir kişi var mı.

Varsa sorun: kullandığım hizmet bu içeriği saklıyor mu.

Saklamıyorsa sorun: bunu nereden biliyorum, sözleşmesinde yazıyor mu.

Yazıyorsa sorun: işlem hangi ülkede yapılıyor.

Ve son olarak sorun: bu belge yarın bir yerde görünse, ne derim.

Beş soru, iki dakika. Bu iki dakikayı harcamayan meslek mensubu sayısı, bugün Türkiye'de sandığınızdan çok daha fazla.

Sonuç

ChatGPT'ye ya da benzeri bir araca sözleşme yüklemek kendiliğinden ihlal değildir. İhlal, kişisel veri içeren bir belgeyi, saklama ve aktarım rejimini bilmediğiniz bir hizmete, hukuki dayanak kurmadan göndermektir.

Aradaki fark, birkaç dakikalık bir kontroldür.

Bugün Türkiye'de bu üç soruyu sorup cevabını alabildiğiniz araçlar var. Sorunun kendisi araçlarda değil, sormamış olmakta.

Kaynaklar ve uyarı

Bu yazıda atıf yapılan hukuki dayanaklar yürürlükteki resmi metinlerden alınmıştır: 6698 sayılı Kişisel Verilerin Korunması Kanunu (özellikle 3, 6 ve 7499 sayılı Kanun ile değişik 9 uncu maddeler); Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (RG 10.07.2024, 32598); 1136 sayılı Avukatlık Kanunu'nun 36 ncı maddesi; 5237 sayılı Türk Ceza Kanunu'nun 239 uncu maddesi; 3568 sayılı Serbest Muhasebeci Mali Müşavirlik ve Yeminli Mali Müşavirlik Kanunu.

Bu yazı yalnızca genel bilgilendirme amaçlıdır. Hukuki görüş, hukuki danışmanlık veya herhangi bir konuda tavsiye niteliği taşımaz. Yazar avukat değildir ve bu metin bir avukatın veya yetkili bir uzmanın değerlendirmesinin yerine geçmez.

Mevzuat değişir. Burada aktarılan hükümler yazının hazırlandığı tarihte yürürlükteki metinlere dayanmaktadır; sonradan değişmiş olabilir. Yeterlilik kararları başta olmak üzere Kurul kararları da zaman içinde değişebilir. Somut bir durumda işlem yapmadan önce mevzuatın güncel halini birincil kaynağından teyit ediniz: mevzuat.gov.tr, resmigazete.gov.tr ve kvkk.gov.tr.