Yapay zekâ etki değerlendirmesi, kişisel veri işleyen bir yapay zekâ projesinin risklerini proje başlamadan önce belirleyip tedbire bağlayan yazılı bir analizdir. KVKK bunu genel olarak zorunlu tutmasa da Kişisel Verileri Koruma Kurumu, yüksek risk öngörülen projelerde değerlendirme yapılmasını tavsiye eder. Değerlendirme veri akışını çıkarmak, riskleri puanlamak, tedbirleri seçmek ve sonucu onaylatmak adımlarından oluşur.
Riskleri Proje Başlamadan Görmek
Bir yapay zekâ projesi çoğu zaman bir pilot çalışma olarak başlar: bir ekip, müşteri taleplerini sınıflandıran bir model dener ya da aday özgeçmişlerini özetleyen bir araç kurar. Pilot başarılı olunca sistem hızla yaygınlaşır ve hangi kişisel verinin nereden geldiği, nereye gittiği ve ne kadar saklandığı sorusu ancak bir şikâyet ya da denetim gündeme geldiğinde sorulur.
Yapay zekâ etki değerlendirmesi bu sırayı tersine çevirir. Bu rehberde değerlendirmenin hangi projelerde gerektiğini, eğitim verisinden loglara kadar veri akışının nasıl haritalanacağını, risklerin nasıl tanımlanacağını, hangi tedbirlerin seçilebileceğini ve değerlendirmenin nasıl onaylanıp güncel tutulacağını adım adım anlatıyoruz. Yazının sonunda kendi projelerinize uyarlayabileceğiniz bir şablon da yer alıyor.
Etki değerlendirmesi hangi yapay zekâ projelerinde gerekir?
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Avrupa Birliği Genel Veri Koruma Tüzüğü'ndeki (GDPR) gibi genel bir veri koruma etki değerlendirmesi zorunluluğu içermez. Bununla birlikte Kişisel Verileri Koruma Kurumu'nun “Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler” dokümanı, kişisel veri işleme temelli yapay zekâ çalışmalarında yüksek risk öngörülüyorsa mahremiyet etki değerlendirmesi uygulanmasını ve işlemenin hukuka uygunluğuna bu çerçevede karar verilmesini önerir.
Kurum'un 24.11.2025'te yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi de aynı yönde ilerler: rehbere göre etki değerlendirmesi Kanun'da zorunlu tutulmamış olsa da, özellikle meşru menfaate dayanan ve kişilerin hayatı üzerinde önemli sonuçlar doğurabilecek işlemelerde faydalıdır ve yaşam döngüsü boyunca risklerin yönetilmesi için iyi uygulama örneğidir. Rehberin öne çıkan başlıklarını Üretken Yapay Zekâ Rehberi yazımızda özetledik.
Uygulamada aşağıdaki işaretlerden biri varsa değerlendirme yapılması önerilir:
AB Yapay Zekâ Tüzüğü'nün Türk şirketlerini hangi durumlarda kapsadığını eu ai act türkiye yazımızda ele aldık. Tüzük, belirli yüksek riskli sistemleri kullanan kuruluşlar için ayrıca temel haklar etki değerlendirmesi öngörür ve bu değerlendirmenin daha önce yapılmış bir veri koruma etki değerlendirmesiyle birlikte yürütülebileceğini kabul eder.
Değerlendirmeyi gerektiren işaretler
Özel nitelikli veri: Biyometrik, sağlık veya ceza mahkûmiyeti gibi KVKK'nın 6. maddesindeki verilerin eğitimde ya da kullanımda yer alması.
Kişiler hakkında karar: İşe alım, performans, kredi, fiyatlama veya hizmete erişim gibi kişiyi doğrudan etkileyen sonuçlar üretilmesi.
Otomatik karar: Çıktının insan incelemesi olmadan uygulanması; KVKK'nın 11. maddesi otomatik analiz sonucu aleyhe çıkan sonuca itiraz hakkı tanır.
Geniş ölçek ve izleme: Çalışanların, müşterilerin veya ziyaretçilerin sistematik olarak izlenmesi ya da çok sayıda kişinin verisinin birleştirilmesi.
Yurt dışındaki sağlayıcı: Modelin veya altyapının yurt dışında çalışması ya da sağlayıcının verilere uzaktan erişmesi.
AB bağlantısı: Sistemin AB pazarında kullanılması; bu durumda GDPR'ın 35. maddesi ve AB Yapay Zekâ Tüzüğü'nün yüksek riskli sistemlere ilişkin hükümleri de gündeme gelebilir.
Veri akışı: eğitim verisi, girdi, çıktı, log
Değerlendirmenin ilk ve en çok emek isteyen adımı, sistemin yaşam döngüsü boyunca hangi kişisel verinin nereden gelip nereye gittiğini çizmektir. Yapay zekâ projelerinde veri dört noktada karşımıza çıkar ve her biri ayrı soru gerektirir.
Haritada her akış için veri kategorisi, ilgili kişi grubu, amaç, KVKK'nın 5. veya 6. maddesindeki hukuki sebep, alıcılar ve saklama süresi belirtilmelidir. Eğitim verisi için özel bir dikkat gerekir: başka bir amaçla toplanmış veriyi model eğitiminde kullanmak, KVKK'nın 4. maddesindeki amaçla sınırlılık ilkesi bakımından ayrıca değerlendirilmelidir. Test ortamlarında gerçek müşteri verisinin kullanılması da aynı soruyu doğurur.
Kurum içi kullanılan sohbet tabanlı araçlarda girdi ve log aşaması genellikle en zayıf halkadır. Çalışanların istemlere müşteri verisi kopyalaması, değerlendirmenin en sık ortaya çıkardığı bulgulardandır. Bu riski ChatGPT kurumsal kullanım riskleri yazımızda ayrıntılı ele aldık.
Dört aşamalı veri akışı haritası
Yapay zekâ projesinde veri dört aşamada ele alınır; her aşama için sorulacak temel sorular:
| Aşama | Örnek | Sorulacak soru |
|---|---|---|
| Eğitim ve ince ayar verisi | Geçmiş müşteri yazışmaları, çağrı kayıtları, özgeçmiş arşivi | Veri hangi amaçla toplanmıştı, yeni amaç bununla bağdaşıyor mu, hukuki sebep ne? |
| Girdi | Kullanıcının yazdığı istem (prompt), yüklenen belge, bağlanan veri tabanı | Kullanıcı hangi veriyi girebilir, hangi veri girişi engellenmeli? |
| Çıktı | Özet, sınıflandırma, puan, öneri, üretilen metin veya görsel | Çıktı yeni bir kişisel veri ya da kişi hakkında çıkarım üretiyor mu? |
| Log ve kayıtlar | İstem geçmişi, hata kayıtları, sağlayıcı tarafında tutulan kayıtlar | Kim erişiyor, ne kadar saklanıyor, sağlayıcı modeli bu kayıtlarla eğitiyor mu? |
Risklerin tanımlanması: ayrımcılık, çıkarım, sızıntı, yurt dışı aktarım
Veri akışı çıkarıldıktan sonra her akış için “ne ters gidebilir ve kimi nasıl etkiler?” sorusu sorulur. Yapay zekâ projelerinde öne çıkan risk türleri şunlardır:
Her risk için olasılık ve etki düşük, orta ve yüksek olarak puanlanır. Etki puanı verirken kişinin işini, finansal durumunu, itibarını veya hizmete erişimini etkileyen sonuçlar yüksek kabul edilmelidir. Risklerin bu şekilde sıralanması, sınırlı kaynağın önce en yüksek riskli akışlara ayrılmasını sağlar.
Yapay zekâ projelerinde öne çıkan risk türleri
Ayrımcılık ve önyargı: Eğitim verisindeki dengesizlikler belirli grupları sistematik olarak dezavantajlı duruma düşüren çıktılara yol açabilir. Kurum'un tavsiyeleri, veri işlemenin her aşamasında ayrımcılık riskinin ve önyargıların önlenmesini ister.
Çıkarım: Model, açıkça verilmemiş bilgileri tahmin edebilir; örneğin alışveriş veya konum örüntüsünden sağlık durumu ya da inanç gibi özel nitelikli bir bilgiye ulaşabilir. Çıkarılan bilgi de kişisel veridir.
Sızıntı ve ezberleme: Üretken modeller eğitim verisindeki kişisel verileri çıktılarında yeniden üretebilir; Üretken Yapay Zekâ Rehberi bunun veri sızıntısı ve gizlilik ihlaline yol açabileceğini belirtir. İstemlerde paylaşılan bilgilerin açığa çıkması da aynı risk grubundadır.
Yurt dışı aktarım: Modelin yurt dışındaki bir sağlayıcıda çalışması, KVKK'nın 9. maddesindeki yeterlilik kararı, uygun güvence veya arızi aktarım kademelerinden birine dayanmayı gerektirir.
Doğruluk: Hatalı ya da gerçek dışı çıktılar (halüsinasyon), KVKK'nın 4. maddesindeki doğru ve güncel olma ilkesiyle çelişir; kişi hakkında yanlış kayıt oluşmasına yol açabilir.
Amaç dışı kullanım: Bir amaç için kurulan modelin zamanla başka bir amaçla kullanılmaya başlanması.
Tedbirler: minimizasyon, anonimleştirme, insan denetimi
Tedbirler, belirlenen her riske karşılık gelmeli ve değerlendirmede “risk – tedbir – kalan risk” biçiminde eşleştirilmelidir. Sık kullanılan tedbirler şunlardır:
Yapay zekâ projelerinde sık kullanılan tedbirler
Veri minimizasyonu: Modelin amacı için gerekmeyen alanların eğitim ve girdi aşamasında çıkarılması. Kurum'un tavsiyeleri, verinin kalitesi, kaynağı ve miktarı değerlendirilerek asgari veri kullanılmasını önerir.
Anonimleştirme ve takma ad: Aynı sonuca kişisel veri işlenmeden ulaşılabiliyorsa anonim veri tercih edilmelidir. Takma ad (pseudonymization) kişiyi doğrudan göstermez ama ek bilgiyle yeniden tanımlamaya izin verdiği için anonimleştirme değildir; veri kişisel veri olmaya devam eder.
Sentetik veri: Gerçek verinin istatistiksel özelliklerini taklit eden yapay veri, özellikle test ve geliştirme aşamasında gerçek kişisel veri ihtiyacını azaltabilir.
İnsan denetimi: Kişiyi etkileyen kararlarda modelin çıktısının bir öneri olarak kalması ve son kararın yetkili bir kişi tarafından gerekçelendirilerek verilmesi.
Erişim ve log yönetimi: İstem ve çıktı kayıtlarına erişimin sınırlandırılması, saklama süresinin belirlenmesi ve sürenin sonunda imha.
Sağlayıcı sözleşmesi: Veri işleyen niteliğindeki sağlayıcıyla KVKK'nın 12. maddesine uygun güvenlik yükümlülüklerinin, verinin modeli eğitmek için kullanılıp kullanılmayacağının ve yurt dışı aktarım mekanizmasının yazılı hale getirilmesi.
Şeffaflık ve itiraz: Aydınlatma metninin yapay zekâ kullanımını kapsayacak şekilde güncellenmesi ve otomatik sonuca itiraz için erişilebilir bir kanal açılması.
Değerlendirme şablonu ve onay akışı
Etki değerlendirmesinin kurum içinde karşılaştırılabilir olması için her projede aynı şablon kullanılmalıdır. Pratik bir şablon şu bölümlerden oluşur:
Onay akışı risk düzeyine göre kademelendirilmelidir. Düşük kalan riskte proje sahibi ile KVKK sorumlusunun imzası yeterli olabilir; orta riskte bilgi güvenliği ve hukuk birimleri dahil edilir; tedbirlere rağmen yüksek kalan riskte karar üst yönetime çıkarılmalı ve gerekirse proje yeniden tasarlanmalıdır.
Değerlendirmeyi kim yaparsa yapsın, proje ekiplerinin temel kavramları bilmesi sonucun kalitesini belirler. Çalışan farkındalığının neden kritik olduğunu çalışan farkındalığı yazımızda, eğitim yükümlülüğünü ise KVKK eğitimi zorunlu mu yazımızda ele aldık.
Bu şablon kvkkrehberi.com tarafından uygulama kolaylığı için hazırlanmıştır; resmî bir form değildir. Somut olay özelinde hukuki değerlendirme alınmalıdır.
Etki değerlendirmesi şablonunun bölümleri
Her projede aynı yapıda doldurulacak şablonun bölümleri ve sorumluları:
| Bölüm | İçerik | Hazırlayan |
|---|---|---|
| 1. Proje tanımı | Amaç, kapsam, kullanıcılar, sistemin geliştirildiği mi tedarik edildiği mi | Proje sahibi |
| 2. Gereklilik ve ölçülülük | Aynı amaca daha az veriyle veya yapay zekâ olmadan ulaşılıp ulaşılamayacağı | Proje sahibi ve KVKK sorumlusu |
| 3. Veri akışı haritası | Eğitim, girdi, çıktı ve log aşamalarında veri kategorisi, hukuki sebep, alıcı, saklama süresi | Veri / yapay zekâ ekibi |
| 4. Risk tablosu | Her risk için olasılık, etki ve toplam puan | KVKK sorumlusu ve bilgi güvenliği |
| 5. Tedbir planı | Riske karşılık gelen tedbir, sorumlu ve termin | İlgili ekipler |
| 6. Kalan risk ve karar | Tedbir sonrası risk düzeyi; devam, değişiklikle devam veya durdurma kararı | Onay makamı |
| 7. Gözden geçirme planı | Değerlendirmeyi yeniden açacak tetikleyiciler ve sonraki kontrol tarihi | KVKK sorumlusu |
Değerlendirmenin güncel tutulması
Yapay zekâ sistemleri sabit değildir; model sürümü değişir, yeni veri kaynakları bağlanır ve kullanım amacı genişler. Üretken Yapay Zekâ Rehberi de risklerin dinamik yapısı nedeniyle risk değerlendirmelerinin düzenli olarak gözden geçirilmesini ve gerektiğinde güncellenmesini önerir.
Değerlendirmeyi yeniden açacak tetikleyiciler önceden yazılmalıdır:
Modelin veya sağlayıcının değişmesi, yeni bir model sürümüne geçilmesi; Yeni bir veri kaynağının eklenmesi ya da yeni bir ilgili kişi grubunun kapsama girmesi; Kullanım amacının genişlemesi, örneğin destek amaçlı bir aracın değerlendirme amaçlı kullanılmaya başlanması; Bir şikâyet, itiraz veya veri ihlali yaşanması; Mevzuatta ya da Kurul kararlarında konuyu etkileyen bir değişiklik olması.
Tetikleyici olmasa bile yılda en az bir kez gözden geçirme yapılması iyi bir uygulamadır. Gözden geçirmede tedbirlerin gerçekten uygulanıp uygulanmadığı, örneğin log saklama süresinin sistemde tanımlı olup olmadığı, belgeyle değil sistem üzerinden kontrol edilmelidir. Müşteriye dönük sohbet robotlarında bu kontrollerin nasıl yapılacağını müşteri hizmetleri chatbot yazımızda anlattık.
Sonuç ve sonraki adım
Yapay zekâ etki değerlendirmesi, kişisel veri işleyen projelerde riskleri sistem yaygınlaşmadan görmeyi ve tedbirleri tasarımın parçası haline getirmeyi sağlar. KVKK genel bir zorunluluk getirmese de Kurum'un yayımladığı tavsiyeler ve rehberler, yüksek riskli projelerde bu değerlendirmeyi açıkça önerir.
İlk adım olarak şirketinizdeki yapay zekâ projelerini listeleyip yukarıdaki işaretlere göre hangilerinin değerlendirme gerektirdiğini belirleyebilirsiniz. Ardından en yüksek riskli proje için şablonu doldurmak, yöntemin kurum içinde oturmasını hızlandırır.
Sık sorulan sorular
Aracı geliştirmeseniz bile kendi verilerinizi o araçla işliyorsanız, kendi kullanımınız bakımından veri sorumlusu olursunuz. Bu nedenle aracın hangi veriyle ve hangi amaçla kullanılacağı, sağlayıcının veriyi nasıl sakladığı ve yurt dışı aktarım durumu kendi değerlendirmenizde ele alınmalıdır.
Değerlendirmeyi proje sahibi yürütür; veri ve yapay zekâ ekibi, KVKK sorumlusu, bilgi güvenliği ve hukuk birimleri katkı verir. Tek bir birimin masa başında doldurduğu değerlendirme, veri akışındaki gerçek uygulamaları kaçırma riski taşır.
KVKK'da etki değerlendirmesinin Kurum'a bildirilmesine ilişkin genel bir yükümlülük bulunmaz. Değerlendirme kurum içinde saklanır ve bir inceleme veya şikâyet halinde alınan tedbirlerin kanıtı olarak kullanılabilir.
Süre projenin büyüklüğüne ve veri akışının ne kadar belgelenmiş olduğuna bağlıdır. Veri akışı haritası hazır olan küçük bir proje kısa sürede tamamlanabilirken, çok sayıda veri kaynağı ve sağlayıcı içeren projelerde değerlendirme birkaç çalışma oturumu gerektirebilir.
Yapay zekâ projelerinizi değerlendirme ile başlatın
Veri akışı haritası, risk puanlaması ve tedbir planını kurum içi yapay zekâ yönetişimiyle birleştirmenin yollarını hizmet sayfamızda inceleyin.
Şablonu ücretsiz indirinKaynaklar
- Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler — Kişisel Verileri Koruma Kurumu
- Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda) — Kişisel Verileri Koruma Kurumu (2025-11-24)
- 6698 sayılı Kişisel Verilerin Korunması Kanunu — Mevzuat Bilgi Sistemi
- Regulation (EU) 2024/1689 (Artificial Intelligence Act) — EUR-Lex (2024-07-12)
