Avukatların Yapay Zekâ Kullanması KVKK’ya Uygun mu

Avukatın yapay zekâ aracı kullanması KVKK’ya aykırı değildir. 6698 sayılı Kanun hiçbir araç kategorisini yasaklamaz; belirli koşullar altında işlemeye izin verir. Cevabın koşullu olması bir kaçamak değil, kanunun kurgusudur ve koşullar bu yazının kendisidir. Avukat, dava dosyasındaki verilerin işlenme amacını ve vasıtasını belirlediği için veri sorumlusudur; kullandığı araç, kendi amacını belirlemediği sürece veri işleyendir. Bu ayrım, kimin neyden sorumlu olduğunu belirler. Üzerine dört katman biner: genel ilkeler, özellikle ölçülülük; işleme şartları, ki karşı taraf ve tanık verisinde açık rıza fiilen elde edilemez; dava dosyasında düzenli biçimde bulunan özel nitelikli veri; ve veri güvenliği yükümlülüğü. Avukatlar VERBİS’e kayıttan muaftır, fakat bu muafiyet KVKK muafiyeti değildir ve en sık karıştırılan nokta budur. 2026 yılında m.12 ihlalinin idari para cezası alt sınırı 256.357 TL’dir. Aşağıda her katman ayrı ayrı, sonda ise bir uyum kontrol listesi yer almaktadır.

Kısaca

• KVKK avukatı kapsar. m.28/1-d istisnası “yargı makamları veya infaz mercileri tarafından” işlenen veriye ilişkindir. Avukat yargı makamı değildir; tam anlamıyla veri sorumlusudur.
• Araç sağlayıcısı kural olarak veri işleyendir, ancak yüklenen içeriği kendi modelini eğitmek veya kendi analitiği için kullanıyorsa kendi amacını belirlemiş ve bağımsız veri sorumlusu hâline gelmiş olur.
• Pratikte en çok zorlayan ilke ölçülülüktür. m.4/2-ç, işlemenin amaçla bağlantılı, sınırlı ve ölçülü olmasını arar. Bir paragraf yeterliyken dosyanın tamamının araca verilmesi bu ilkeye takılır.
• Karşı taraf ve tanık verisinde açık rıza fiilen yoktur. Çalışan şartlar m.5/2-e (bir hakkın tesisi, kullanılması veya korunması) ve m.5/2-ç’dir.
• VERBİS muafiyeti KVKK muafiyeti değildir. Kurul’un 02/04/2018 tarihli 2018/32 sayılı kararı avukatları Sicile kayıttan muaf tutar; m.4, m.5, m.6, m.9 ve m.12 aynen uygulanır.
• Kurul avukatlara ceza vermiştir. 02/11/2021 tarihli 2021/1111 sayılı kararda bir avukata 75.000 TL idari para cezası uygulanmıştır. “Avukatım, dosya bende” bir işleme şartı değildir.

KVKK avukatı kapsıyor mu

Kapsar. Kanunun yargısal faaliyete ilişkin istisnası, avukatı değil yargı makamını hedefler.

6698 sayılı Kişisel Verilerin Korunması Kanunu 24/3/2016’da kabul edilmiş ve 7 Nisan 2016 tarihli, 29677 sayılı Resmî Gazete’de yayımlanmıştır. m.28/1-d şu hâli istisna tutar: “Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.”

Lafız açıktır. İstisna, verinin yargılamaya ilişkin olmasına değil, onu işleyen süjeye bağlanmıştır. İşleyen süje “yargı makamları veya infaz mercileri”dir. Avukat, savunmanın tarafıdır; yargı makamı değildir. Dolayısıyla bir dava dosyasını takip eden avukat, m.28/1-d kapsamına girmez.

m.28/2 farklı bir istisna kurar ve yalnızca üç yükümlülüğü, üstelik sınırlı hâllerde devre dışı bırakır: aydınlatma yükümlülüğünü düzenleyen m.10, zararın giderilmesini talep etme hakkı hariç ilgili kişinin haklarını düzenleyen m.11 ve Sicile kayıt yükümlülüğünü düzenleyen m.16. Bu fıkranın (c) bendi “kamu kurumu niteliğindeki meslek kuruluşlarınca” yürütülen denetleme, düzenleme ve disiplin faaliyetlerini anar. Bu bent barolara ve Türkiye Barolar Birliği’ne ilişkindir; tekil avukatın müvekkil dosyası işlemesine değil.

Bu okumanın uygulamadaki karşılığı vardır. Kurul, avukatları veri sorumlusu sayarak idari para cezası uygulamıştır. 02/11/2021 tarihli ve 2021/1111 sayılı kararda, ilgili kişinin ceza mahkûmiyeti bilgisinin avukat olan veri sorumlusunca hukuka aykırı biçimde elde edilip mahkeme dosyasına sunulduğu tespit edilmiş, 75.000 TL idari para cezası ile verilerin silinmesine hükmedilmiştir. Sıfat tartışması bu kararla fiilen kapanmıştır.

Avukat veri sorumlusu, araç sağlayıcısı veri işleyen midir

Kural olarak evet, ancak bu dağılım otomatik değildir; sağlayıcının verilerle ne yaptığına bağlıdır.

Kanunun m.3 tanımları belirleyicidir. Veri sorumlusu, “kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi”dir. Veri işleyen ise “veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi”dir.

Avukat, dava takibi veya danışmanlık amacını kendisi belirler, hangi aracı kullanacağına kendisi karar verir. Bu iki unsur onu veri sorumlusu yapar. Yazılım sağlayıcısı, yalnızca avukatın talimatı doğrultusunda ve onun adına işlediği sürece veri işleyendir.

Ayrım burada kırılır. Sağlayıcı, avukatın yüklediği içeriği kendi modelini eğitmek, ürününü geliştirmek veya kendi analitiği için kullanıyorsa artık kendi amacını belirlemiş olur. O faaliyet bakımından veri işleyen değil, bağımsız bir veri sorumlusudur. Bunun sonucu teknik değil, hukukidir: ortada bir veri işleyene aktarım değil, üçüncü bir veri sorumlusuna açıklama vardır. Bu açıklamanın kendi işleme şartı ve yurt dışı söz konusuysa kendi aktarım rotası gerekir.

Kurum’un 24 Kasım 2025 tarihli Üretken Yapay Zekâ Rehberi de rollerin somut değerlendirmeyle belirlenmesi gerektiğini ve geliştirici ile kullanıcı ayrımının veri sorumlusu ile veri işleyen ayrımına doğrudan oturmayabileceğini ortaya koyar.

m.12/2 bu ilişkiden ne istiyor

m.12/2 müşterek sorumluluk kurar. Metnin kendisi yazılı sözleşme şartı getirmez; o şart Kurum rehberinden gelir ve bu ayrım önemlidir.

m.12/2 verbatim şudur: “Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur.”

Buradan iki sonuç çıkar. Birincisi, sağlayıcının aldığı tedbirlerin yetersizliği avukatın sorumluluğunu kaldırmaz. İkincisi, sorumluluk sözleşmeyle karşı tarafa devredilemez; sözleşme yalnızca iç ilişkide rücu imkânı yaratır.

Yazılı sözleşme yükümlülüğü ise Kurum’un Ocak 2018 tarihli Kişisel Veri Güvenliği Rehberi’nin veri işleyenlerle ilişkilerin yönetimine ayrılan bölümünden doğar. Rehber, sözleşmenin yazılı olmasını; işlemenin yalnızca veri sorumlusunun talimatları doğrultusunda ve sözleşmede belirtilen amaç ve kapsamla sınırlı yürütülmesini; veri işleyenin süresiz sır saklama yükümlülüğü altında olacağının sözleşmede yer almasını; ihlalin derhâl veri sorumlusuna bildirilmesini ve aktarılan veri kategorileri ile türlerinin belirtilmesini arar. Bu bir rehber içeriğidir, kanun metni değildir; ancak Kurul denetiminde ölçüt olarak kullanılan metin budur.

m.12/4 ise ödevi her iki tarafa birden yükler: veri sorumluları ile veri işleyen kişiler öğrendikleri kişisel verileri Kanuna aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamaz; bu yükümlülük görevden ayrıldıktan sonra da devam eder.

Hangi genel ilke pratikte gerçekten sınırlıyor

Ölçülülük. m.4/2-ç, kişisel verilerin “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü” olmasını zorunlu tutar ve yapay zekâ kullanımında en sık ihlal edilen ilke budur.

m.4/2’nin saydığı ilkeler şunlardır: hukuka ve dürüstlük kurallarına uygun olma; doğru ve gerektiğinde güncel olma; belirli, açık ve meşru amaçlar için işlenme; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma; ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

Ölçülülüğün yapay zekâ bağlamındaki karşılığı somuttur. Bir dilekçedeki zamanaşımı def’inin ifade biçimi üzerinde çalışılıyorsa, aracın gördüğü veri o def’in dayandığı olgular olmalıdır. Dosyanın tamamının, eklerin, adli sicil kaydının, sağlık raporunun ve tanık listesinin tek seferde yüklenmesi, amaçla bağlantılı olmayan verinin işlenmesi anlamına gelir. Araç kullanmak ihlal değildir; gereğinden fazlasını vermek ihlaldir.

İkinci sırada saklama süresi ilkesi gelir. Bir aracın konuşma geçmişini süresiz tutması, silme talebine kapalı olması veya kayıtları farklı bir sistemde yedeklemesi, m.4/2-d bakımından değerlendirilmesi gereken bir durumdur. Bu, sözleşme öncesinde sorulacak bir sorudur; sonrasında düzeltilmesi güçtür.

Üçüncüsü doğruluk ilkesidir ve burada yapay zekâya özgü bir risk vardır. Model çıktısı bir müvekkil hakkında yanlış bir olgu üretip bu çıktı dosyaya veya büro kayıtlarına geçerse, artık yanlış bir kişisel veri işleniyor demektir. Çıktının insan denetimiyle doğrulanması, KVKK’nın Kasım 2025 rehberinde de vurgulanan bir noktadır.

Karşı taraf ve tanık verisi hangi şarta dayanır

m.5/2-e ile m.5/2-ç’ye. Açık rıza bu veri grupları için fiilen kullanılamaz ve bunun sebebi teknik değil, yapısaldır.

m.5/1 kuralı koyar: kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. m.5/2 ise açık rıza aranmayacak hâlleri sayar. Bunlar arasında kanunlarda açıkça öngörülmesi, sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması, veri sorumlusunun hukuki yükümlülüğü, ilgili kişinin kendisi tarafından alenileştirilmiş olması, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması ve meşru menfaat yer alır.

Karşı taraf verisinde açık rıza yoluna gidilemez, çünkü açık rıza m.3’te “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlanır. Hasım konumundaki kişiden, aleyhine yürütülen bir dava için özgür iradeyle rıza alınması gerçekçi değildir; alınsa dahi rızanın geri alınabilir olması, davanın ortasında işleme dayanağının ortadan kalkması riskini doğurur. Tanık verisi için de tablo benzerdir.

Bu nedenle avukatın çalışan iki dayanağı vardır. Birincisi m.5/2-e’dir: bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması. Dava takibi bu tanıma doğrudan oturur. İkincisi m.5/2-ç’dir: veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması. Avukatlık Kanunu, HMK ve CMK’dan doğan ödevler bu bent kapsamında değerlendirilir.

Burada bir uyarı gerekir. Dayanak, somut olayda gösterilmelidir. Kurul’un 2021/1111 sayılı kararı ile 17/08/2023 tarihli ve 2023/1414 sayılı kararı arasındaki fark tam olarak budur. 2023/1414’te özel nitelikli verinin avukat tarafından mahkemeye sunulması hukuka uygun bulunmuş ve işlem yapılmasına yer olmadığına karar verilmiştir; dayanak, Avukatlık Kanunu m.2 ve m.35 ile HMK m.219’un birlikte oluşturduğu çerçevedir. 2021/1111’de ise Kurul, Avukatlık Kanunu m.2’deki bilgi ve belge isteme yetkisinin Adli Sicil Kanunu m.7 karşısında özel hükmü aşamayacağını tespit etmiş ve avukatın hiçbir m.6 şartına dayanamadığı sonucuna varmıştır. Meslek sıfatı, tek başına bir işleme şartı değildir.

Dava dosyasındaki özel nitelikli veri ne yapar

Ceza mahkûmiyeti, sağlık ve sendika üyeliği verisi dosyalarda rutin olarak bulunur ve bulunduğu anda m.6/3 ile m.6/4 devreye girer.

m.6/1’in listesi kapalıdır: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler. Bu listede “avukatlık verisi”, “müvekkil verisi” veya “dava dosyası” gibi bir kategori yoktur. KVKK’da mesleğe bağlı bir hassaslık kurgusu bulunmaz.

Ancak tipik bir dosya bu kategorilerin birkaçını birden taşır. Tazminat, iş kazası ve boşanma dosyalarında sağlık verisi ve adli tıp raporu; adli sicil kaydında ceza mahkûmiyeti verisi; işçilik alacağı dosyalarında sendika üyeliği; babalık davasında genetik veri bulunur. Dosyayı bir bütün olarak bir araca yüklemek, çoğu zaman özel nitelikli veriyi yüklemek anlamına gelir.

7499 sonrası m.6/3, özel nitelikli verinin işlenebileceği hâlleri kapalı biçimde sayar. Avukat bakımından işlevsel bent (d)’dir: bir hakkın tesisi, kullanılması veya korunması için zorunlu olması. m.6/4 ise ayrıca “Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır” der. Bu bir tavsiye değil, şarttır.

Söz konusu yeterli önlemler, Kurul’un 31/01/2018 tarihli ve 2018/10 sayılı ilke kararında belirlenmiştir. Elektronik ortamda tutulan özel nitelikli veri bakımından anılan tedbirler arasında verilerin kriptografik yöntemler kullanılarak muhafaza edilmesi, kriptografik anahtarların güvenli ve farklı ortamlarda tutulması, veriler üzerinde gerçekleştirilen tüm hareketlerin işlem kayıtlarının güvenli olarak loglanması ve uzaktan erişimde iki kademeli kimlik doğrulama yer alır. Bir dosya PDF’inin bulut tabanlı bir araca yüklenmesi, bu ölçütleri m.12’nin yanında ayrıca karşılamayı gerektirir.

Aydınlatma yükümlülüğü yapay zekâda neyi kapsar

Aydınlatma metni, verinin kimlere aktarılabileceğini kapsamak zorundadır; bu, harici bir yapay zekâ aracı kullanıldığında doğrudan bir açıklama ödevi doğurur.

m.10, verilerin elde edilmesi sırasında ilgili kişiye veri sorumlusunun kimliği, işleme amacı, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile m.11’deki haklar konusunda bilgi verilmesini zorunlu kılar.

Uygulama esasları, 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete’de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’de düzenlenmiştir. Tebliğin m.5’i şu noktaları içerir: açık rızaya veya diğer işleme şartlarına dayanılan her durumda aydınlatma yapılmalıdır; işleme amacı değiştiğinde aydınlatma ayrıca yerine getirilmelidir; aydınlatma yükümlülüğü ilgili kişinin talebine bağlı değildir; yükümlülüğün yerine getirildiğinin ispatı veri sorumlusuna aittir; açık rızaya dayanılıyorsa aydınlatma ile rıza alma işlemleri ayrı ayrı yapılmalıdır; ve hukuki sebepten kasıt, verinin m.5 ile m.6’daki hangi şarta dayanılarak işlendiğidir.

Yapay zekâ bakımından iki sonuç doğar. Birincisi, alıcı grubu açıklaması gerçeği yansıtmalıdır: müvekkil verisi bir yazılım sağlayıcısına gidiyorsa, aydınlatma metni bu alıcı kategorisini içermelidir. Aktarım yurt dışına yapılıyorsa bu da metinde yer almalıdır. İkincisi, ispat yükü avukattadır; metnin ne zaman, hangi içerikle sunulduğunun kaydı tutulmalıdır.

KVKK’nın Kasım 2025 tarihli rehberinde açık rıza bakımından ayrıca yüksek bir eşik konulmuştur: kullanıcıya yalnızca üretken bir sistemin kullanıldığının söylenmesi geçerli açık rıza sayılmaz; sistemin türü, işleme amacı, ortaya çıkacak verinin niteliği ve üçüncü taraflarca görülebilirliği açıklanmalıdır.

Veri güvenliği yükümlülüğü buluta ne diyor

m.12/1 uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbiri arar; bulut kullanımına ilişkin ölçütler ise ayrı bir bulut rehberinde değil, Kişisel Veri Güvenliği Rehberi’nin içindedir.

Ocak 2018 tarihli bu rehberin kişisel verilerin bulutta depolanmasına ayrılan bölümü, bulut kullanımının veriyi veri sorumlusunun kendi bilgi teknolojileri ağından ayırdığını ve bunun risk doğurduğunu tespit eder. Rehbere göre bulut hizmeti sağlayıcısınca alınan güvenlik önlemlerinin yeterli ve uygun olup olmadığının veri sorumlusunca değerlendirilmesi gerekir. Ayrıca bulutta depolanan verilerin neler olduğunun detaylıca bilinmesi, yedeklenmesi, senkronizasyonun sağlanması, uzaktan erişimde iki kademeli kimlik doğrulama; verilerin kriptografik yöntemlerle şifrelenmesi ve bulut ortamlarına şifrelenerek atılması; mümkün olan yerlerde her bir bulut çözümü için ayrı şifreleme anahtarları kullanılması; hizmet ilişkisi sona erdiğinde şifreleme anahtarlarının tüm kopyalarının yok edilmesi aranır.

Bulut bilişime özel bağımsız bir Kurul ilke kararı veya ayrı bir Bulut Bilişim Rehberi bulunduğu kamuya açık kaynaklarda teyit edilememiştir. Bir hukuk bürosunun bulut veya SaaS tabanlı bir hukuk teknolojisi ürünü kullanmasına ilişkin bir Kurul karar özeti de tespit edilememiştir. Bu, konunun düzenlenmemiş olduğu anlamına gelmez; genel hükümlerin uygulandığı anlamına gelir.

m.12/5 ayrıca ihlal bildirimi kurar: işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurul’a bildirir. Sağlayıcı tarafında yaşanan bir ihlalde bildirim ödevi, veri sorumlusu sıfatıyla avukatta kalır. Sözleşmede sağlayıcının derhâl bildirim yapacağının yazması bu yüzden teknik bir ayrıntı değildir.

Avukatlar VERBİS’e kayıt olmak zorunda mı

Hayır. Muafiyet meslek temellidir, eşik temelli değildir; ancak bu muafiyet KVKK’dan muafiyet değildir.

Kişisel Verileri Koruma Kurulu’nun 02/04/2018 tarihli ve 2018/32 sayılı kararı, Veri Sorumluları Siciline kayıt yükümlülüğünden istisna tutulacak veri sorumlularını belirlemiştir. Karar 15 Mayıs 2018 tarihli ve 30422 sayılı Resmî Gazete’de yayımlanmıştır. İstisna metninde geçen ifade “1136 sayılı Avukatlık Kanunu uyarınca faaliyet gösteren avukatlar”dır.

Muafiyetin sınırı m.28/2’de yazılıdır. Devre dışı kalabilecek yükümlülükler yalnızca m.10, kısmen m.11 ve m.16’dır. Muaf bir avukat m.4 genel ilkelerine, m.5 ve m.6 işleme şartlarına, m.9 yurt dışına aktarım rejimine ve m.12 veri güvenliği yükümlülüğüne tam olarak tabidir. “Avukatlar VERBİS’ten muaftır, dolayısıyla KVKK yükümlülüğü yoktur” cümlesi hatalıdır.

Bir not gerekir: avukatlık ortaklığı bir şirket yapısı içinde örgütlenmişse veya bir hukuk teknolojisi şirketi söz konusuysa, meslek temelli istisna değil, eşik temelli istisna değerlendirilir. Ölçütler, Kurul’un 04.09.2025 tarihli ve 2025/1572 sayılı kararıyla yeniden belirlenmiştir: ana faaliyet konusu özel nitelikli veri işleme olmayanlar için yıllık çalışan sayısı 50’den ve yıllık mali bilanço toplamı 100.000.000 TL’den az olmalıdır. Karar 1 Ekim 2025 tarihli ve 33034 sayılı Resmî Gazete’de yayımlanmıştır.

KVKK’nın yapay zekâya dair yayımladığı belgeler neler

Üç belge vardır ve üçü de bağlayıcı bir ilke kararı değil, rehber veya duyuru niteliğindedir.

Bu üçü içinde bir hukuk bürosu için en doğrudan kullanılabilir olan 5 Mart 2026 tarihli duyurudur. Duyuru, çalışanların kurumsal yönlendirme olmaksızın üçüncü taraf üretken yapay zekâ araçlarını kullanmasını “Gölge Yapay Zekâ” olarak adlandırır ve bunun veri güvenliği, denetlenebilirlik ve hukuki uyum bakımından risk doğurduğunu belirtir. Sayılan risk başlıkları arasında denetlenebilirlik ve hesap verebilirlik, karar kalitesi ve doğruluk, fikri mülkiyet, itibar riski, bilgi ve siber güvenlik ile kişisel veri koruma uyumu vardır. Aranan tedbirler ise hangi araçların kullanılabileceğini ve hangi veri türlerinin girilemeyeceğini belirleyen açık bir kurumsal politika, erişim kontrolü, farkındalık eğitimi, çıktıların insan denetimi ve mümkün olan yerde anonimleştirilmiş veya genelleştirilmiş veri kullanımıdır.

Bir hukuk bürosu için bunun karşılığı, izin verilen araçların listelendiği, girilmesi yasak veri türlerinin sayıldığı ve doğrulama ödevinin yazıya döküldüğü bir iç yapay zekâ kullanım politikasıdır. Anonimleştirmenin nasıl yapılacağı kümedeki müvekkil verisi ve anonimleştirme yazısında ayrıntılandırılmaktadır.

İdari para cezası riski ne kadar

2026 yılında m.12 veri güvenliği yükümlülüğünün ihlali için idari para cezası 256.357 TL ile 17.092.242 TL arasındadır.

m.18/1’deki nominal tutarlar 2016 tarihlidir ve her yıl yeniden değerleme oranıyla güncellenir. 2026 için uygulanan oran yüzde 25,49’dur; bu oran 27 Kasım 2025 tarihli ve 33090 sayılı Resmî Gazete’de yayımlanan 585 Sıra No.lu Vergi Usul Kanunu Genel Tebliği ile belirlenmiştir. Güncel tutarlar 31.12.2025’te yayımlanmış ve 01.01.2026’dan itibaren uygulanmaya başlamıştır. Tutarları belirleyen Kurul kararının numarası kamuya açık kaynaklarda teyit edilememiştir; aşağıdaki rakamlar birbirini doğrulayan ikincil kaynaklara dayanmaktadır.

(d) bendi 7499 sayılı Kanun ile eklenmiştir ve doğrudan yurt dışına aktarımı ilgilendirir: standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmemesi başlı başına bir ceza sebebidir. Yurt dışı rejiminin tamamı kümedeki yurt dışına veri aktarımı yazısında ele alınmaktadır.

Kurul kararlarından üç örnek konuyu somutlaştırır; ilk ikisi doğrudan avukatlara ilişkindir. 28/05/2020 tarihli ve 2020/429 sayılı kararda, icra takibi yapan bir avukatın borçlunun ağabeyine ve iş arkadaşlarına borç bilgisi içeren SMS göndermesi ve TCKN ile GSM abonelik sorgulaması yapması nedeniyle 125.000 TL idari para cezası uygulanmıştır. 02/11/2021 tarihli ve 2021/1111 sayılı kararda ceza 75.000 TL’dir. 16/09/2021 tarihli ve 2021/925 sayılı kararda ise sendika üyeliği bilgisinin hukuka aykırı elde edilmesi ve paylaşılması ele alınmıştır; bu karar avukatlara özgü olmayıp özel nitelikli veri bakımından ölçüyü göstermesi nedeniyle buraya alınmıştır. Karardaki ceza tutarı kamuya açık kaynaklarda teyit edilememiştir.

Uyum kontrol listesi

Aşağıdaki tablo bir zorunluluk listesi değildir. Her satır, yürürlükteki bir hükme veya Kurum belgesine karşılık gelir; uygulaması büronuzun dosya yapısına ve kullandığı araca bağlıdır. Son sütun, o satırın kaynağının bağlayıcı mevzuat mı yoksa rehber mi olduğunu gösterir; ikisi aynı ağırlıkta değildir.

Bu listenin dışında kalan ve KVKK’dan bağımsız işleyen bir rejim daha vardır: Avukatlık Kanunu m.36’daki sır saklama yükümlülüğü. İki rejim paralel yürür ve iki ayrı yaptırım doğurur. Ayrıntı kümedeki sır saklama ve bulut yazısındadır.

Sık sorulan sorular

Yapay zekâ aracını yalnızca dilekçe taslağı yazdırmak için kullanıyorum. Yine de KVKK uygulanır mı?

Uygulanır, çünkü belirleyici olan aracın işlevi değil, ona verilen içeriktir. Taslak talebinde müvekkilin adı, dosya esas numarası veya olay örgüsü yer alıyorsa kişisel veri işlenmektedir. Buna karşılık tamamen soyut, hiçbir gerçek kişiyle ilişkilendirilemeyen bir hukuki soru sorulması hâlinde ortada kişisel veri işleme bulunmaz. Ayrım, sorunun içeriğindedir.

Sağlayıcı verilerin eğitim için kullanılmadığını söylüyorsa yeterli midir?

Beyan tek başına yeterli değildir, çünkü m.12/2 uyarınca veri güvenliğine ilişkin sorumluluk veri sorumlusu ile veri işleyen arasında müşterektir ve bir denetimde alınan tedbirleri ortaya koymak veri sorumlusuna düşer. Taahhüdün sözleşme metninde yer alması, hangi verilerin hangi süreyle saklandığının belirtilmesi ve ayarın ürün içinde doğrulanabilir olması gerekir. Sözlü veya pazarlama materyalinde kalan bir beyan, Kurul denetiminde savunma değeri taşımaz.

Avukatlar VERBİS’e kayıt yaptırmadığına göre Kurul denetimi de olmaz mı?

Olur. Sicile kayıt, denetimin ön şartı değildir. Kurul, şikâyet veya resen inceleme yoluyla avukatlar hakkında karar vermiş ve idari para cezası uygulamıştır. 2020/429 ve 2021/1111 sayılı kararlar bunun örneğidir. Sicil kaydı bir bildirim mekanizmasıdır; yükümlülüklerin kaynağı değildir.

Dava dosyasındaki veriler zaten mahkemede. Alenileşmiş sayılmaz mı?

Sayılmaz. m.5/2-d’deki alenileştirme, verinin ilgili kişinin kendisi tarafından kamuya açılmasını ifade eder. Dosyanın mahkemeye sunulmuş olması, verinin ilgili kişi tarafından alenileştirildiği anlamına gelmez. Duruşmaların aleniliği ilkesi de usul hukukuna ilişkindir ve KVKK bakımından bir işleme şartı yaratmaz.

Özel nitelikli veri içeren bir dosyayı hiçbir yapay zekâ aracına veremez miyim?

Kanun mutlak bir yasak koymaz; ağırlaştırılmış şart koyar. m.6/3’e göre bir hakkın tesisi, kullanılması veya korunması için zorunlu olması hâlinde işleme mümkündür. Ancak m.6/4 uyarınca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır. 2018/10 sayılı ilke kararındaki şifreleme, anahtar yönetimi, loglama ve iki kademeli kimlik doğrulama ölçütleri bu kapsamda değerlendirilir.

Yerli bir araç kullanırsam KVKK sorunları ortadan kalkar mı?

Kalkmaz, ancak bir katman azalır. Verinin yurt içinde işlendiği ve yurt dışına aktarılmadığı doğrulanabiliyorsa m.9 rejimi devreye girmez. m.4 genel ilkeleri, m.5 ve m.6 işleme şartları, m.10 aydınlatma ve m.12 güvenlik yükümlülükleri aynen uygulanmaya devam eder. Ayrıca aracın arkasındaki alt işleyicilerin nerede bulunduğu ayrıca sorulmalıdır.

Büroda tek çalışan benim. Yazılı politika yapmam gerçekten gerekli mi?

Kanunda büro büyüklüğüne göre bir eşik yoktur. KVKK’nın 5 Mart 2026 tarihli duyurusu kurumsal politikayı bir tedbir olarak sayar; bu bir duyuru içeriğidir, kanun hükmü değildir. Pratik değeri ise ispattadır: m.12 kapsamında alınan tedbirlerin gösterilebilmesi, yazılı bir metnin varlığına bağlıdır. Tek kişilik bir büroda bu metin bir sayfa olabilir.

Kaynakça

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu (Kabul 24/3/2016; RG 7 Nisan 2016, S.29677), m.3, m.4, m.5, m.6, m.9, m.10, m.12, m.16, m.18, m.28. Konsolide metin: kisiselverilerinkorunmasi.org/6698-sayili-kanun (Erişim: 13 Ağustos 2026)
2. 7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun (Kabul 2/3/2024; RG 12 Mart 2024, S.32487). alomaliye.com/2024/03/12/7499-sayili-ceza-muhakemesi-kanunu-ile-bazi-kanunlarda-degisiklik-yapilmasina-dair-kanun/ (Erişim: 13 Ağustos 2026)
3. Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, RG 10 Mart 2018, S.30356. kvkk.gov.tr/Icerik/5443/AYDINLATMA-YUKUMLULUGUNUN-YERINE-GETIRILMESINDE-UYULACAK-USUL-VE-ESASLAR-HAKKINDA-TEBLIG (Erişim: 13 Ağustos 2026)
4. Kişisel Verileri Koruma Kurumu, Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler), Ocak 2018, Ankara, ISBN 978-975-19-6834-0; “Kişisel Verilerin Bulutta Depolanması” bölümü. kvkk.gov.tr/yayinlar/veri_guvenligi_rehberi.pdf (Erişim: 13 Ağustos 2026)
5. Kişisel Verileri Koruma Kurulu, 31/01/2018 tarih ve 2018/10 sayılı İlke Kararı, “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler”. kvkk.gov.tr/Icerik/4110/2018-10 (Erişim: 13 Ağustos 2026)
6. Kişisel Verileri Koruma Kurulu, 02/04/2018 tarih ve 2018/32 sayılı Karar, “Veri Sorumluları Siciline Kayıt Yükümlülüğünden İstisna Tutulacak Veri Sorumluları”, RG 15 Mayıs 2018, S.30422. kvkk.gov.tr/Icerik/4233/2018-32 (Erişim: 13 Ağustos 2026)
7. Kişisel Verileri Koruma Kurulu, 28/05/2020 tarih ve 2020/429 sayılı Karar Özeti. kvkk.gov.tr/Icerik/6778/2020-429 (Erişim: 13 Ağustos 2026)
8. Kişisel Verileri Koruma Kurulu, 16/09/2021 tarih ve 2021/925 sayılı Karar Özeti. kvkk.gov.tr/Icerik/7142/2021-925 (Erişim: 13 Ağustos 2026)
9. Kişisel Verileri Koruma Kurulu, 02/11/2021 tarih ve 2021/1111 sayılı Karar Özeti. kvkk.gov.tr/Icerik/7266/2021-1111 (Erişim: 13 Ağustos 2026)
10. Kişisel Verileri Koruma Kurulu, 17/08/2023 tarih ve 2023/1414 sayılı Karar Özeti. kvkk.gov.tr/Icerik/7780/2023-1414 (Erişim: 13 Ağustos 2026)
11. Kişisel Verileri Koruma Kurumu, “Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler”, 15 Eylül 2021. kvkk.gov.tr/SharedFolderServer/CMSFiles/25a1162f-0e61-4a43-98d0-3e7d057ac31a.pdf (Erişim: 13 Ağustos 2026)
12. Kişisel Verileri Koruma Kurumu, “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)”, 24 Kasım 2025. kvkk.gov.tr/Icerik/8547/uretken-yapay-zeka-ve-kisisel-verilerin-korunmasi-rehberi-15-soruda (Erişim: 13 Ağustos 2026)
13. Kişisel Verileri Koruma Kurumu, “İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı” duyurusu, 05 Mart 2026. kvkk.gov.tr/Icerik/8674/is-yerlerinde-uretken-yapay-zeka-araclarinin-kullanimi (Erişim: 13 Ağustos 2026)
14. Kişisel Verileri Koruma Kurulu, 04.09.2025 tarih ve 2025/1572 sayılı Karar, RG 1 Ekim 2025, S.33034; uygulama esaslarına ilişkin kamuoyu duyurusu. kvkk.gov.tr/Icerik/8577/kisisel-verileri-koruma-kurulunun-04-09-2025-tarihli-ve-2025-1572-sayili-kararinin-uygulama-esaslarina-iliskin-kamuoyu-duyurusu (Erişim: 13 Ağustos 2026)
15. Vergi Usul Kanunu Genel Tebliği (Sıra No: 585), RG 27 Kasım 2025, S.33090 (yeniden değerleme oranı yüzde 25,49). alomaliye.com/2025/11/27/vergi-usul-kanunu-genel-tebligi-sira-no-585/ (Erişim: 13 Ağustos 2026)
16. 2026 yılı KVKK idari para cezası tutarları. koksalpartners.com/tr/kvkk-cezalari (Erişim: 13 Ağustos 2026)
17. 1136 sayılı Avukatlık Kanunu, m.36. app.e-uyar.com/madde/index/23f9aeb9-228e-488f-86d4-2adbc36d42f0 (Erişim: 13 Ağustos 2026)

Son güncelleme: 13 Ağustos 2026.

---

Bu yazı, Türk hukukuna özel yapay zekâ altyapısı geliştiren Hammurabi ekibi tarafından hazırlanmıştır. hammurabi.tr