KVKK'nın Avukatlar İçin Rehberi: Dosyayı Yapay Zekâya Yüklemek Yurt Dışına Aktarım Sayılabilir

Kişisel Verileri Koruma Kurumu, 22 Eylül 2026 tarihli duyurusuyla Avukatların Mesleki Faaliyetlerinde Kişisel Verilerin Korunmasına İlişkin Uygulama Rehberi'ni yayımladı. Duyuruya göre rehber, Türkiye Barolar Birliğinin görüş ve katkılarından yararlanılarak Kurum tarafından hazırlandı. Kitabın künye sayfasında "KVKK Yayınları No: 115" ve "Temmuz 2026, Ankara" kaydı yer alıyor; kamuya duyurulması ise 22 Eylül 2026'da oldu.

Rehber geniş bir alanı kapsıyor: avukatın, tevkil edilen avukatın ve büro çalışanlarının KVKK karşısındaki niteliği, veri işleme şartları, aktarım, genel ilkeler, veri sorumlusunun yükümlülükleri ve veri güvenliği. Bu yazı bunların içinden, avukatlık pratiğini bugün en çok değiştiren başlığa odaklanıyor: müvekkil dosyasının üretken yapay zekâ araçlarına yüklenmesi.

Bu konuyu daha önce avukatların yapay zekâ kullanımı ve verilerin nerede işlendiği sorusu üzerinden yazmış, sonradan Türkiye Barolar Birliği'nin tavsiye rehberini de o yazıya eklemiştik. Kurum'un yapay zekâya ilişkin genel dokümanları da yeni değil: rehber, Kurum'un daha önce yayımladığı Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler (Nisan 2025), Sohbet Robotları (ChatGPT Örneği) Hakkında Bilgi Notu (Haziran 2025), Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi – 15 Soruda (Kasım 2025) ve İşyerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı (Şubat 2026) metinlerinin dikkate alınması gerektiğini ayrıca belirtiyor. Yeni olan, veri koruma otoritesinin konuyu doğrudan avukatlık faaliyeti üzerinden ele alan bir uygulama rehberi yayımlamış olması.

Rehber yapay zekâ için ne diyor

Rehberin "Kişisel Verilerin Aktarılması" bölümünün (C) başlığı doğrudan bu konuya ayrılmış. Rehber örnek olarak ChatGPT (OpenAI OpCo, LLC), Claude (Anthropic) ve Gemini (Google LLC) adlarını anıyor ve şu tespiti yapıyor: avukatın müvekkil dosyalarını, dava evraklarını veya kişisel veri içeren belgeleri bu sistemlere yüklemesi hâlinde, verilerin hizmet sağlayıcının teknik altyapısı üzerinden işlenmesi gündeme gelir.

Rehberin kurduğu zincir üç halkalı:

1. Sağlayıcının yurt dışında mukim olması, sunucularının yurt dışında bulunması veya verilerin yurt dışındaki alt hizmet sağlayıcılar aracılığıyla işlenmesi ihtimalinde, kişisel verilerin 6698 sayılı Kanun'un 9. maddesi kapsamında yurt dışına aktarılması söz konusu olabilecektir.
2. Bu nedenle dosya yüklemek, rehberin ifadesiyle "yalnızca teknik destek alınması veya hukuki araştırma yapılması olarak değerlendirilmemeli"; aracın teknik altyapısı, veri saklama politikası, sağlayıcının mukim olduğu ülke, sunucuların ve alt sağlayıcıların konumu dikkate alınarak işlemin yurt dışına aktarım teşkil edebileceği göz önünde bulundurulmalıdır.
3. Değerlendirme sonunda yurt dışına aktarım tespit edilirse, Kanun'un 9. maddesindeki aktarım şartlarına uyum sağlanmalıdır.

Rehberin fiillerine dikkat etmek gerekiyor: metin "aktarımdır" demiyor, aktarım "söz konusu olabilecektir" ve "teşkil edebileceği göz önünde bulundurulmalıdır" diyor. Yani her kullanımı otomatik olarak yurt dışına aktarım sayan bir hüküm yok; buna karşılık rehber, dosya yüklenmeden önce aracın koşullarının incelenmesi gerektiğini açıkça yazıyor.

Rehber bu değerlendirme için neye bakılacağını da sayıyor: aracın kullanım şartları, gizlilik politikası, veri işleme koşulları, verilerin nerede saklandığına ve hangi ülkelerde işlendiğine ilişkin açıklamalar, alt işleyenlere ilişkin hükümler ve varsa yurt dışına aktarım mekanizmalarına dair düzenlemeler.

Sağlayıcı yurt içindeyse sorun biter mi

Bitmiyor. Rehber, sağlayıcının yurt içinde mukim olduğu ve verilerin yurt içinde işlendiği hâlde de kişisel veri içeren dosyaların bu sağlayıcıya iletilmesinin Kanun kapsamında veri aktarımı niteliği taşıyabileceğini söylüyor. Bu durumda yurt içi aktarıma ilişkin 8. maddeye uygun hareket edilmesi; aktarımın hukuki sebebinin, amacının, aktarılan veri kategorilerinin ve ölçülülüğünün ayrıca değerlendirilmesi tavsiye ediliyor.

Kanun'un 8. maddesinin birinci fıkrası kuralı koyuyor: kişisel veriler ilgili kişinin açık rızası olmaksızın aktarılamaz. İkinci fıkra istisnayı düzenliyor: 5. maddenin ikinci fıkrasındaki şartlardan birinin, özel nitelikli verilerde ise yeterli önlemler alınmak kaydıyla 6. maddenin üçüncü fıkrasındaki şartlardan birinin bulunması hâlinde açık rıza aranmaksızın aktarım yapılabilir. Özel nitelikli veriler için bu atıf dikkatle okunmalıdır: 7499 sayılı Kanun'la değişen 6. maddenin üçüncü fıkrası bu verilerin işlenmesini kural olarak yasaklar ve istisnaları sayar; istisnalardan biri ilgili kişinin açık rızasının kendisi, bir diğeri bir hakkın tesisi, kullanılması veya korunması için zorunluluktur. Dördüncü fıkra da ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınmasını şart koşar. Dava dosyalarında sağlık veya ceza mahkûmiyeti gibi verilerin sık bulunduğu düşünülürse bu kısım avukatlar için özellikle önemlidir. Dolayısıyla "sunucu Türkiye'de" cevabı, sorunun yalnız bir kısmını karşılıyor.

Yurt dışı aktarım olursa hangi şartlar aranır

Rehber de yurt dışına aktarımı ayrı bir başlıkta (VIII.B) ele alıyor; aşağıdaki özet doğrudan madde metninden. Kanun'un 9. maddesi, 7499 sayılı ve 2 Mart 2024 tarihli Kanun'la değiştirilmiştir; bugünkü hâli üç kademeli bir düzen kuruyor:

• Birinci fıkra: 5. veya 6. maddedeki işleme şartlarından birinin varlığı ve aktarım yapılacak ülke, sektör veya uluslararası kuruluş hakkında Kurul'un yeterlilik kararı bulunması.
• Dördüncü fıkra: yeterlilik kararı yoksa, yine 5. veya 6. maddedeki şartlardan biri, ilgili kişinin aktarım yapılacak ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânı ve fıkrada sayılan uygun güvencelerden birinin sağlanması (ör. ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketler için Kurul tarafından onaylanan bağlayıcı şirket kuralları, Kurul tarafından ilan edilen standart sözleşme ya da Kurul'un aktarıma izin verdiği yazılı taahhütname). Beşinci fıkraya göre standart sözleşme imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilir.
• Altıncı fıkra: yeterlilik kararının bulunmaması ve uygun güvencelerden herhangi birinin sağlanamaması durumunda, yalnız arızi olmak kaydıyla fıkrada sayılan hâllerden biri; bunlar arasında (d) bendindeki "bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu olması" da var.

"Arızi" kelimesi de tanımsız değil. Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'in 16. maddesine göre "Düzenli olmayan, tek veya birkaç sefer gerçekleşen, süreklilik arz etmeyen ve olağan faaliyet akışı içinde bulunmayan aktarımlar arızi niteliktedir." Avukatın gündelik iş akışında düzenli olarak kullandığı bir araç bu tanıma uymaz; böyle bir kullanım için dayanak altıncı fıkra değil, birinci veya dördüncü fıkradaki yollardır. Dokuzuncu fıkra ayrıca, Türkiye'nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda aktarımı, ilgili kamu kurum veya kuruluşunun görüşü alınarak verilecek Kurul iznine bağlıyor.

Maddenin sekizinci fıkrası, yurt dışına aktarılan verilerin sonraki aktarımları ve uluslararası kuruluşlara aktarımlar bakımından da Kanun'daki güvencelerin sağlanmasını ve 9. madde hükümlerinin uygulanmasını istiyor. Fıkra alt sağlayıcıları adıyla anmıyor; aracın sağlayıcısı veriyi yurt dışında kendi alt sağlayıcılarına aktarıyorsa, bu aktarımın da sonraki aktarım olarak bu kurala tabi olacağı düşünülmelidir. KVKK'dan bağımsız olarak Avukatlık Kanunu'nun 36. maddesindeki sır saklama yükümlülüğü de yürürlükte: avukatların kendilerine tevdi edilen veya görevleri dolayısıyla öğrendikleri hususları açığa vurmaları yasaktır.

Veri güvenliği tarafında rehberin saydığı önlemler

Rehberin veri güvenliği bölümü yapay zekâya ayrıca dönüyor ve 12. maddeye bağlıyor. 12. maddenin birinci fıkrası veri sorumlusuna, kişisel verilerin hukuka aykırı işlenmesini ve bunlara hukuka aykırı erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri alma yükümlülüğü getiriyor; ikinci fıkra, verinin veri sorumlusu adına başka bir kişi tarafından işlenmesi hâlinde bu tedbirler bakımından müşterek sorumluluk öngörüyor.

Rehber bu çerçevede, üretken yapay zekâ kullanımında önem taşıyan önlemleri şöyle sıralıyor:

• kişisel verilerin mümkün olduğunca maskelenmesi veya anonimleştirilmesi,
• özel nitelikli kişisel verilerin sisteme yüklenmesinden kaçınılması,
• yalnızca amaç için gerekli asgari verinin paylaşılması,
• kullanılan aracın veri saklama, model eğitimi, insan incelemesi, alt veri işleyen ve güvenlik politikalarının incelenmesi,
• bu araçların kullanımına ilişkin büro içi kuralların belirlenmesi.

Listenin ilk maddesi "mümkün olduğunca" kaydıyla yazılmış; maskelemeyi tek başına yeterli bir güvence olarak sunmuyor, saydığı önlemlerden biri olarak konumluyor.

Tavsiyeler bölümünden iki not

Rehberin son bölümündeki tavsiyelerden ikisi yapay zekâ dışında da bürolar için doğrudan uygulamaya dönük:

Sorgu yazılımları. Rehber, hukuka aykırı olarak elde edilen veriler üzerinden vatandaşların kimlik ve iletişim bilgileri gibi kişisel verilerinin sorgulanmasına imkân tanıyan yazılım, program ve uygulamalara ilişkin Kurul'un 18.10.2019 tarihli ve 2019/308 sayılı ilke kararını hatırlatıyor ve avukatın kişisel verilere erişim için bu tür uygulamaları kullanmaması gerektiğini yazıyor.

Kayıt tutma. Rehbere göre avukatlar, Kurul'un 02.04.2018 tarihli ve 2018/32 sayılı kararı uyarınca Veri Sorumluları Siciline kayıt yükümlülükleri bulunmasa da hangi kişisel verilerin işlendiği, işleme amacı ve verinin kimlere aktarıldığı gibi hususlarda Kanun kapsamında talep edildiğinde ilgili kişiye ve Kurum'a tam ve doğru bilgi sunabilmek için gerekli teknik ve idari tedbirleri almalıdır. Rehber bu tavsiyede yapay zekâyı ayrıca anmıyor; ancak bir yapay zekâ sağlayıcısına veri aktarıldıysa, "kimlere aktarıldığı" sorusunun cevabı bu sağlayıcıyı da kapsayacaktır.

Müvekkil açısından ne değişiyor

Rehber avukatlara hitap ediyor; müvekkilin hakları ise doğrudan Kanun'dan geliyor. 11. madde herkese, veri sorumlusuna başvurarak kişisel verisinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme ve yurt içinde veya yurt dışında kişisel verilerinin aktarıldığı üçüncü kişileri bilme hakkı tanıyor. Avukatınız dosyanızdaki veriler bakımından veri sorumlusu konumundaysa, dosyanızın bir yapay zekâ aracında işlenip işlenmediğini ve hangi sağlayıcıya aktarıldığını ona sormak bu hakların doğal bir uzantısı. Verilerin hangi ülkede işlendiği ve belgelerin maskelenip maskelenmediği ise 11. maddede adıyla sayılmıyor; bunlar (b) bendindeki bilgi talebi içinde sorulabilir, ayrıca rehberin avukattan yapmasını beklediği incelemenin konusu olduğu için, avukatınızla konuşulabilecek makul sorulardır.

Bu süreçte bilinmesi gerekenler

Kişisel Verileri Koruma Kurumu'nun 22 Eylül 2026'da duyurduğu avukatlar rehberi (KVKK Yayınları No: 115, Temmuz 2026), müvekkil dosyalarının ve kişisel veri içeren belgelerin ChatGPT, Claude, Gemini gibi üretken yapay zekâ araçlarına yüklenmesini yalnız teknik destek veya hukuki araştırma saymıyor. Sağlayıcının, sunucuların veya alt sağlayıcıların yurt dışında olması ihtimalinde bu işlemin KVKK m.9 kapsamında yurt dışına aktarım teşkil edebileceğini, bu durumda 9. maddedeki şartlara uyum sağlanması gerektiğini; sağlayıcı yurt içindeyse de m.8'in gündeme gelebileceğini yazıyor. Veri güvenliği bakımından maskeleme veya anonimleştirme, özel nitelikli veriyi yüklememe, asgari veri, araç politikalarının incelenmesi ve büro içi kurallar sayılıyor. Rehber ayrıca hukuka aykırı sorgu yazılımlarının kullanılmaması gerektiğini Kurul'un 2019/308 sayılı ilke kararına atıfla hatırlatıyor.