KVKK–GDPR Uyumunda Takvim – Orta Vadeli Plan, KVKK, GDPR, Veri ve Yapay Zekâ Alanında Nasıl Bir Yol Haritası Çiziyor?
2027-2029 Orta Vadeli Program, KVKK’nın GDPR ile uyumlaştırılması için 2027 yılının üçüncü çeyreğini hedefliyor. Program ayrıca yapay zekâ mevzuatı, kamu verilerinin yapay zekâya hazırlanması, dijital devlet mimarisi ve veri yönetişimi için aşamalı bir takvim ortaya koyuyor. Bu içerikte hedeflerin şirketler açısından anlamını ve hazırlık alanlarını inceliyoruz.
6 Eylül 2026 tarihinde yayımlanan 2027-2029 Orta Vadeli Program (OVP), Türkiye’nin ekonomik hedeflerinin yanı sıra dijital dönüşüm, veri ekonomisi, kişisel verilerin korunması ve yapay zekâ alanında da dikkat çekici politika hedefleri ortaya koydu.
Programın özellikle kişisel verilerin korunması alanındaki en önemli başlıklarından biri, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile uyumlaştırılması sürecinin 2027 yılının üçüncü çeyreğinde tamamlanmasının öngörülmesi oldu.
Bu hedef, Türkiye’nin veri koruma mevzuatındaki dönüşümünün önümüzdeki dönemde yeniden hız kazanabileceğini gösterirken; OVP’nin aynı zamanda yapay zekâ, veri yönetişimi ve dijital devlet alanında ortaya koyduğu diğer hedefler konunun yalnızca KVKK ile sınırlı olmadığını gösteriyor.
KVKK’nın GDPR ile uyumlaştırılması ne anlama geliyor?
Türkiye’de kişisel verilerin korunmasına ilişkin temel düzenleme olan 6698 sayılı Kanun, 2016 yılında yürürlüğe girdi. Aradan geçen süreçte özellikle Avrupa Birliği’ndeki GDPR uygulamaları, uluslararası veri aktarımı, dijital ekonominin gelişimi ve yeni teknolojilerin ortaya çıkışı veri koruma hukukunda önemli dönüşümler yarattı.
OVP’de yer alan düzenlemeye göre KVKK’nın GDPR ile uyumlaştırılması sürecinin tamamlanması için 2027’nin üçüncü çeyreği hedefleniyor. Program bu çalışmayı “Kanun/İdari Düzenleme” kapsamında değerlendiriyor.
Burada önemli bir ayrım bulunuyor: OVP’deki takvim, mevzuat değişikliğinin bugün gerçekleştiği anlamına gelmiyor. Program, önümüzdeki döneme ilişkin politika hedefini ve öngörülen uygulama takvimini ortaya koyuyor.
Dolayısıyla şirketlerin mevcut yükümlülükleri bugün için yürürlükteki KVKK ve ikincil mevzuat çerçevesinde devam ederken, önümüzdeki dönemde yapılabilecek düzenlemelerin de yakından takip edilmesi gerekiyor.
Yapay zekâ mevzuatında AB uyumu gündemde
OVP’nin bir diğer önemli başlığı yapay zekâ.
Programda, “Yapay zekâ alanında Avrupa Birliği ile uyum gözetilerek ulusal mevzuat altyapısının geliştirileceği” açık biçimde ifade ediliyor. Öncelikli reform takviminde bu çalışma için 2027 yılının ilk çeyreği öngörülüyor.
Bu yaklaşım, Türkiye’de önümüzdeki dönemde yapay zekâ sistemlerinin geliştirilmesi ve kullanılmasına ilişkin hukuki çerçevenin daha belirgin hale gelebileceğine işaret ediyor.
Özellikle yapay zekâ sistemlerinde kullanılan kişisel veriler düşünüldüğünde, yapay zekâ mevzuatı ile veri koruma hukukunun giderek daha fazla iç içe geçmesi beklenebilir.
Bir yapay zekâ uygulamasının hangi verilerle eğitildiği, bu verilerin hangi hukuki dayanakla işlendiği, ne kadar süre saklandığı, üçüncü taraflarla nasıl paylaşıldığı ve otomatik karar mekanizmalarının kişiler üzerindeki etkileri, önümüzdeki dönemin önemli uyum başlıkları arasında olacaktır.
Veri ekonomisi için yeni yönetişim çerçevesi
OVP’de yalnızca kişisel verilerin korunması değil, verinin ekonomik bir değer olarak yönetilmesi de ayrı bir politika alanı olarak ele alınıyor. Program kapsamında veri ekonomisine geçişi hızlandırmak amacıyla; veri sahipliği, veri paylaşım sorumlulukları ve teknik yöntemleri kapsayan ulusal politika çerçevesinin hazırlanması ve veri yönetişimi çatı mevzuatı ile altyapısının oluşturulması hedefleniyor.
Veri yönetişimi artık yalnızca “kişisel verilerin korunması” perspektifinden değil; verinin doğruluğu, sahipliği, erişilebilirliği, paylaşımı, güvenliği ve ekonomik değere dönüştürülmesi açısından bütüncül biçimde ele alınıyor. Şirketler açısından bu dönüşümün karşılığı ise yalnızca bir KVKK dokümantasyon çalışması değil; kurum çapında uygulanabilen bir veri yönetişimi modelinin oluşturulması olacaktır.
Kamu verileri yapay zekâya hazırlanacak
Programın yapay zekâ açısından stratejik başlıklarından biri de kamu kurumlarında tutulan veriler.
OVP’ye göre kamu kurum ve kuruluşlarında bulunan verilerin yapay zekâ uygulamalarında kullanılabilecek standartlara uygun şekilde hazırlanmasına yönelik süreçlerin oluşturulması hedefleniyor. Bu düzenleme için öngörülen tarih 2027 yılının ikinci çeyreği.
Bu hedef yapay zekâ projelerinin yalnızca algoritma veya model geliştirmekten ibaret olmadığını da ortaya koyuyor.
Yapay zekânın etkin şekilde kullanılabilmesi için verilerin kaliteli, sınıflandırılmış, erişilebilir, birlikte çalışabilir ve hukuka uygun biçimde yönetiliyor olması gerekiyor.
Dolayısıyla önümüzdeki dönemde veri kalitesi ve veri yönetişimi, yapay zekâ dönüşümünün temel altyapı unsurlarından biri haline gelebilir.
KVKK, veri yönetişimi ve yapay zekâ aynı resmin parçaları
OVP’nin farklı bölümlerinde yer alan bu düzenlemeler birlikte değerlendirildiğinde önemli bir yönelim ortaya çıkıyor:
Kişisel verilerin korunması, yapay zekâ regülasyonu, veri ekonomisi ve dijital dönüşüm artık birbirlerinden ayrı politika alanları olarak değil, aynı veri ekosisteminin parçaları olarak ele alınıyor.
Bu nedenle kurumların önümüzdeki dönemde veri uyumuna yaklaşımının da değişmesi gerekebilir.
Sadece aydınlatma metni, açık rıza veya VERBİS yükümlülüklerinin yerine getirilmesi yeterli olmayabilir. Kurumların hangi veriye sahip olduklarını, verinin nerede tutulduğunu, kimlerin eriştiğini, hangi sistemler arasında aktarıldığını, hangi yapay zekâ uygulamalarında kullanıldığını ve yaşam döngüsünün nasıl yönetildiğini bütüncül biçimde takip edebilmesi giderek daha önemli hale geliyor.
Şirketler bugünden ne yapmalı?
2027 takvimini beklemek yerine şirketlerin bugünden mevcut yapılarını değerlendirmeleri faydalı olacaktır.
Özellikle kişisel veri işleme envanteri, veri aktarım süreçleri, hukuki işleme şartları, açık rıza mekanizmaları, saklama ve imha süreçleri, üçüncü taraf veri paylaşımları, kullanılan yapay zekâ çözümleri ve kurumsal veri yönetişimi yapısının birlikte değerlendirilmesi önemli hale geliyor.
GDPR ile yapılacak olası uyum değişikliklerinin kapsamı ise ancak mevzuat çalışmaları somutlaştıkça kesinleşecektir. Bu nedenle şirketlerin mevcut mevzuata uyumu sürdürürken yeni düzenlemeleri de yakından izlemesi gerekecektir.
Yönetici Özeti:
2027-2029 Orta Vadeli Program, Türkiye’nin önümüzdeki dönemde veri odaklı ve yapay zekâ destekli dijital ekonomiye geçişini mevzuat, altyapı ve yönetişim boyutlarıyla birlikte ele alma niyetini açık biçimde ortaya koyuyor.
KVKK’nın GDPR ile uyumlaştırılmasının 2027’nin üçüncü çeyreği için planlanması ise veri koruma alanında önümüzdeki dönemin en önemli gündem maddelerinden biri olmaya aday, ancak belki de daha önemli mesaj şu:
Yeni dönemde “KVKK uyumu”, yalnızca kişisel verilerin korunmasına ilişkin hukuki bir süreç olmaktan çıkıp veri yönetişimi, yapay zekâ, bilgi güvenliği ve kurumsal dijital dönüşümle birlikte yönetilmesi gereken çok daha geniş bir yapıya dönüşüyor.
Bu nedenle 2027 yalnızca yeni düzenlemelerin takip edileceği bir yıl değil; şirketlerin veriyi nasıl yönettiğini yeniden düşünmesi gereken bir dönüşüm dönemi olabilir.
Kaynak: T.C. Cumhurbaşkanlığı Strateji ve Bütçe Başkanlığı, Orta Vadeli Program (2027-2029), Eylül 2026. SBB, programın 2027-2029 dönemi için yayımlandığını da resmî yayınlar sayfasında doğruluyor.