Kamu kurumu ChatGPT ve OpenAI API kullanabilir mi? KVKK yurt dışı aktarım çerçevesi

Kamu kurumu ChatGPT ve OpenAI API'sini hangi hukuki dayanakla kullanabilir?

Türk kamu kurumları ChatGPT, OpenAI API veya Anthropic API gibi yurt dışında barındırılan üretken yapay zekâ hizmetlerini kullanabilir. Ancak isteme (prompt) kişisel veri girildiği anda bu kullanım, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 9'uncu maddesi kapsamında bir yurt dışına aktarım işlemine dönüşür ve kurumun her sağlayıcı için ayrı bir hukuki dayanak kurması gerekir.

Kanun'un 9'uncu maddesi, 2 Mart 2024 tarihli 7499 sayılı Kanun'un 34'üncü maddesiyle bütünüyle değiştirilmiş ve değişiklik 1 Haziran 2024'te yürürlüğe girmiştir. Yeni metin, yurt dışına aktarımı üç kademeli bir yapıya oturtmaktadır: yeterlilik kararı, uygun güvenceler ve arızi haller. Kamu kurumları ile özel sektör arasındaki belirleyici fark bu üçüncü kademede ortaya çıkar.

Kişisel Verileri Koruma Kurumu, 24 Kasım 2025 tarihinde yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi'nde (Yayın No: 113) konuyu doğrudan ele almış ve yurt dışında yerleşik hizmet sağlayıcılar aracılığıyla üretken yapay zekâ sistemlerinin kullanılması hâlinde aktarımın 9'uncu madde ile ilgili Yönetmeliğe uygun yapılması gerektiğini belirtmiştir. Aşağıdaki bölümler bu çerçevenin kamu kurumu açısından ne anlama geldiğini adım adım açıklamaktadır.

• Kişisel veri içermeyen istemler (örneğin genel mevzuat özeti, kod üretimi, anonim metin düzenleme) 9'uncu madde kapsamına girmez; aktarım rejimi yalnızca kişisel veri söz konusu olduğunda devreye girer.
• Yurt dışı sağlayıcının sunucusuna gönderilen her istem, ayrı bir aktarım değil; süreklilik arz eden ve olağan iş akışı içinde gerçekleşen bir aktarım faaliyeti olarak değerlendirilir.
• Kamu kurumunun veri sorumlusu sıfatı, hizmeti bir yüklenici firma üzerinden alması hâlinde de devam eder; yüklenici çoğunlukla veri işleyen konumundadır.
• Bu yazı yalnızca 6698 sayılı Kanun'un yurt dışına aktarım rejimini ele alır. Kamu kurumları için ayrıca bilgi ve iletişim güvenliğine ilişkin düzenleme çerçevesi bulunmaktadır ve bu çerçeve kurum tarafından ayrıca değerlendirilmelidir.

KVKK'nın üç kademeli yurt dışına aktarım çerçevesi nasıl işliyor?

Kişisel Verileri Koruma Kurumu, yurt dışına aktarım rejimini kendi rehberinde açıkça kademeli bir yapı olarak tanımlamaktadır. Ocak 2025 tarihli Kişisel Verilerin Yurt Dışına Aktarılması Rehberi (KVKK Yayınları No: 48) bölümlerini birinci kademe (yeterlilik kararına dayalı aktarımlar), ikinci kademe (uygun güvencelere dayalı aktarımlar) ve üçüncü kademe (istisnai aktarımlar) olarak başlıklandırır. Kademeler sıralıdır: bir üst kademe sağlanamadığında bir alttakine geçilir.

Birinci kademe olan yeterlilik kararını Kanun'un 9'uncu maddesinin ikinci fıkrası uyarınca yalnızca Kişisel Verileri Koruma Kurulu verir, karar Resmî Gazete'de yayımlanır ve en geç dört yılda bir değerlendirilir. Yeterlilik kararı verilirken maddenin üçüncü fıkrasındaki altı ölçüt (karşılıklılık, ilgili ülkenin mevzuatı ve uygulaması, bağımsız veri koruma kurumunun varlığı, uluslararası sözleşmelere taraf olma, ortak kuruluşlara üyelik ve Türkiye'nin taraf olduğu sözleşmeler) dikkate alınır.

Kurumun Ocak 2025 tarihli rehberinde, Kanun'un değişiklik öncesi hükmü uyarınca öngörülen yeterli korumanın bulunduğu ülkelerin henüz Kurul tarafından belirlenmediği ifade edilmektedir. Kurumlar, kendi değerlendirme tarihleri itibarıyla ilgili ülke, sektör veya uluslararası kuruluş hakkında Resmî Gazete'de yayımlanmış bir yeterlilik kararı bulunup bulunmadığını ayrıca teyit etmelidir. Uygulamada ağırlık, ikinci ve üçüncü kademede toplanmaktadır.

Üç kademenin uygulanmasına ilişkin usul ve esaslar, 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ile belirlenmiştir.

Arızi hallerin üç bendi kamu kurumlarına neden uygulanmıyor?

Kişisel Verileri Koruma Kurumu, üretken yapay zekâ rehberinin 47'nci sayfasında, üçüncü kademedeki arızi hallerin kamu kurumları bakımından sınırlandığını açık biçimde ifade etmektedir. Rehberin ilgili cümlesi şudur: “Ancak mezkur (6) numaralı fıkranın (a), (b) ve (c) bentlerinde sayılan arızi haller kamu kurum ve kuruluşlarının kamu hukukuna tâbi faaliyetlerine uygulanmaz.”

Bu ifade rehbere özgü bir yorum değildir; doğrudan kanun hükmünün tekrarıdır. 6698 sayılı Kanun'un 9'uncu maddesinin yedinci fıkrası aynı kuralı şöyle düzenler: “Altıncı fıkranın (a), (b) ve (c) bentleri, kamu kurum ve kuruluşlarının kamu hukukuna tâbi faaliyetlerine uygulanmaz.”

Kapsam dışı bırakılan üç bent, özel sektörün pratikte en çok kullandığı üç dayanaktır: ilgili kişinin muhtemel riskler hakkında bilgilendirilerek verdiği açık rıza, ilgili kişi ile veri sorumlusu arasındaki sözleşmenin ifası ve ilgili kişi yararına yapılacak bir sözleşmenin kurulması veya ifası. Bir kamu kurumu, kamu hukukuna tâbi faaliyetleri bakımından yurt dışı bir yapay zekâ hizmetine veri aktarımını vatandaştan alınan açık rızaya dayandıramaz.

Geriye kalan dört bent dardır ve rutin bir yapay zekâ entegrasyonunu taşımaz. Bunun ötesinde üçüncü kademenin kendisi arızi olma şartına bağlıdır. Kurumun Ocak 2025 tarihli yurt dışına aktarım rehberi arızi kavramını tek seferlik veya birkaç kez gerçekleşen, süreklilik arz etmeyen ve olağan iş akışı içinde bulunmayan aktarımlar olarak açıklamaktadır. Günlük iş süreçlerine yerleştirilmiş bir üretken yapay zekâ entegrasyonu tanımı gereği süreklidir ve olağan iş akışının parçasıdır.

• Kamu kurumuna kapalı bentler: (a) açık rıza, (b) ilgili kişi ile veri sorumlusu arasındaki sözleşmenin ifası veya sözleşme öncesi tedbirler, (c) ilgili kişi yararına üçüncü kişiyle yapılacak sözleşmenin kurulması veya ifası.
• Kamu kurumuna açık kalan bentler: (ç) aktarımın üstün bir kamu yararı için zorunlu olması, (d) bir hakkın tesisi, kullanılması veya korunması için zorunlu olması, (e) fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumdaki kişinin hayatı veya beden bütünlüğünün korunması, (f) kamuya veya meşru menfaati bulunan kişilere açık bir sicilden aktarım.
• Sınırlama yalnızca kamu hukukuna tâbi faaliyetler için geçerlidir; kurumun özel hukuka tâbi faaliyetleri bakımından bu bentler kapalı değildir. Ayrımı kurumun hukuk müşavirliği yapmalıdır.
• Sonuç: kamu kurumu için üçüncü kademe, süreklilik arz eden bir yapay zekâ kullanımının hukuki dayanağı olarak kurgulanamaz.

Kamu kurumuna pratikte açık kalan yol: 9'uncu maddenin dördüncü fıkrasındaki uygun güvenceler

Kamu kurumları için yurt dışı bir üretken yapay zekâ hizmetinin sürdürülebilir hukuki dayanağı, Kanun'un 9'uncu maddesinin dördüncü fıkrasındaki uygun güvencelerdir. Bu fıkra dört ayrı güvence türü sayar ve hepsi için ortak ön şart aynıdır: 5'inci veya 6'ncı maddedeki işleme şartlarından birinin bulunması ve ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması.

Dört güvence türünden birincisi, (a) bendinde düzenlenen ve doğrudan kamu kurumları için yazılmış olan seçenektir: yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye'deki kamu kurum ve kuruluşları ya da kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan, uluslararası sözleşme niteliğinde olmayan bir anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi. Bu bent, karşı tarafın bir ticari şirket olduğu durumlarda kullanılamaz; OpenAI veya Anthropic gibi özel hukuk tüzel kişileriyle yapılacak aktarımlarda geriye standart sözleşme ve taahhütname seçenekleri kalır.

Standart sözleşme, Kurul izni beklemeden işleyen tek seçenektir ve bu nedenle uygulamada en çok tercih edilen yoldur. Kurul'un 4 Haziran 2024 tarihli ve 2024/959 sayılı kararıyla farklı aktarım senaryolarına karşılık gelen dört tip standart sözleşme metni kabul edilmiştir. Kanun'un 9'uncu maddesinin beşinci fıkrası uyarınca standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir.

Taahhütname yolunun pratik yükünü gösteren sayılar Kurumun kendi rehberindedir. Kanun'un yürürlüğe girdiği 7 Nisan 2016 tarihinden 7499 sayılı Kanun'un 34'üncü maddesinin yürürlüğe girdiği 1 Haziran 2024 tarihine kadar Kurul'a 86 taahhütname başvurusu yapılmış, bunlardan yalnızca 10'u kabul edilmiştir. Aynı dönemde yapılan 3 bağlayıcı şirket kuralı başvurusunun tamamı usul ve esasa ilişkin eksiklikler nedeniyle kabul edilmemiştir. Kurul izni gerektiren yolları planlayan bir kurumun takvimini bu oranlara göre kurması gerekir.

Bildirim yükümlülüğünün yaptırımı bakımından kamu kurumları özel bir konumdadır. Kanun'un 18'inci maddesinin birinci fıkrasının (d) bendi, 9'uncu maddenin beşinci fıkrasındaki bildirim yükümlülüğünü yerine getirmeyenler için 50.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası öngörür; bu tutarlar yeniden değerleme oranıyla güncellenir ve 2026 yılı için 90.308 TL ilâ 1.806.177 TL olarak uygulanmaktadır. Ancak aynı maddenin ikinci fıkrası bu cezanın yalnızca gerçek kişiler ile özel hukuk tüzel kişilerine uygulanacağını belirtir. Dördüncü fıkra uyarınca, fiilin bir kamu kurum veya kuruluşu bünyesinde işlenmesi hâlinde Kurulun bildirimi üzerine ilgili kamu görevlileri hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir.

• Kurul izni gerektiren üç seçenekte, izin çıkmadan aktarıma başlanamaz; Kurumun rehberi, değerlendirme sürerken yapılan aktarımın hukuka aykırı olacağını belirtmektedir.
• Standart sözleşme birden çok dilde düzenlenebilir, ancak Kurul tarafından kabul edilen Türkçe metin esas alınır.
• Bildirim; fiziki olarak, kayıtlı elektronik posta (KEP) üzerinden veya Kurul tarafından belirlenen Standart Sözleşme Bildirim Modülü gibi yöntemlerle yapılabilir.
• Her sağlayıcı ayrı bir tüzel kişidir. OpenAI, Anthropic ve Google için tek bir belge yeterli olmaz; üç ayrı hukuki işlem gerekir.

Veri sınıflandırması yapılmadan model seçimi yapılamaz

Kamu kurumları için doğru sorunun ne olduğu çoğu zaman yanlış kurulur. Soru, kurumun yapay zekâ kullanıp kullanamayacağı değil; hangi veri sınıfının hangi mimaride işleneceğidir. 6698 sayılı Kanun'un 9'uncu maddesi yalnızca kişisel veri aktarımını düzenler; kişisel veri içermeyen bir istem için yurt dışı aktarım rejimi devreye girmez. Dolayısıyla ilk adım hukuki değil, veri envanteri ve sınıflandırma adımıdır.

Sınıflandırma tamamlandığında pratikte üç mimari seçenek kalır. Birincisi, kişisel veri içeren iş yüklerinin Türkiye'de barındırılan modellerle işlenmesidir; bu durumda yurt dışına aktarım gerçekleşmediği için 9'uncu madde uygulanmaz. İkincisi, yurt dışı modelin kullanılacağı hâllerde ilgili sağlayıcı için uygun güvence kurulmasıdır. Üçüncüsü ve kamu kurumlarının çoğu için en gerçekçi olanı, ikisinin veri sınıfına göre birlikte kullanılmasıdır.

Karma mimarinin işleyebilmesi için teknik ve idari tarafın aynı ayrımı kullanması gerekir. Satın alma dokümanlarında yapay zekâ yazılımı kiralama veya yapay zekâ hizmet alımı olarak tanımlanan iş, teknik şartnamede model kimliği, uç nokta adresi, token tüketimi ve API anahtarı düzeyinde ayrıştırılmadığında, uyum biriminin kurduğu veri sınıfı ayrımı üretimde uygulanamaz hâle gelir. Şartnameye, hangi veri sınıfının hangi model kimliğiyle çağrılacağının ve bu ayrımın nasıl kayıt altına alınacağının yazılması gerekir.

Özel nitelikli kişisel veriler bakımından ayrıca dikkat gerekir. Kurumun üretken yapay zekâ rehberi, bu verilerin niteliğinden kaynaklı olarak ilgili kişinin mağduriyetine veya ayrımcılığa maruz kalmasına yol açabilecek sonuçların ortaya çıkabileceğini belirtmekte ve risklerin dikkatle değerlendirilmesi gerektiğini vurgulamaktadır.

• Kişisel veri içermeyen sınıf: mevzuat özetleme, şablon metin üretimi, kod üretimi, kamuya açık doküman çevirisi. Yurt dışı model kullanımı 9'uncu madde kapsamına girmez.
• Kişisel veri içeren sınıf: vatandaş başvuru metinleri, personel özlük bilgileri, yazışma içerikleri. Türkiye'de barındırılan model veya uygun güvence gerektirir.
• Özel nitelikli kişisel veri sınıfı: sağlık, biyometrik, ceza mahkûmiyeti verileri. Kurum içinde ayrı bir risk değerlendirmesi ve ek tedbir kararı gerektirir.
• İdari dil ile teknik dilin eşlenmesi: yapay zekâ hizmet alımı ve yapay zekâ yazılımı kiralama başlıklı satın alma kalemleri, teknik tarafta model kimliği, uç nokta ve API anahtarı ayrımına karşılık gelmelidir.

LLMTR bu ihtiyaca nasıl karşılık veriyor?

LLMTR, veri sınıfına göre farklı modele yönlendirme ihtiyacını tek bir OpenAI uyumlu API yüzeyi üzerinden karşılar. Kurum, kişisel veri içeren iş yükünü Türkiye'de barındırılan bir modele, kişisel veri içermeyen iş yükünü ise global bir sağlayıcının modeline gönderirken yalnızca model kimliğini değiştirir; taban adres, kimlik doğrulama ve istek gövdesi aynı kalır. Bu, uyum biriminin kurduğu veri sınıfı ayrımının kod tarafında tek satırlık bir karara indirgenmesi anlamına gelir.

Türkiye'de barındırılan tarafta llmtr/gemma-4, llmtr/qwen3-6-35b, llmtr/medgemma-4b, llmtr/trendyol-7b, llmtr/magibu-11b-v8, llmtr/ornith-1-35b, llmtr/qwen3-5-4b ve llmtr/embeddinggemma-300m modelleri bulunur. Aynı katalogdan OpenAI, Anthropic, Google, xAI, Qwen ve Mistral gibi global sağlayıcıların modelleri de çağrılabilir. Global bir model çağrıldığında hukuki değerlendirme değişmez: istemde kişisel veri varsa bu bir yurt dışına aktarımdır ve kurumun ilgili sağlayıcı için uygun güvenceyi kurmuş olması gerekir. LLMTR bu yükümlülüğü ortadan kaldırmaz; hangi iş yükünün hangi tarafa gittiğini ayrıştırılabilir ve raporlanabilir hâle getirir.

Platform tarafında iki nokta kamu kurumlarının denetim ve belgelendirme ihtiyacını doğrudan ilgilendirir. Birincisi, kullanıcı istemleri ile model yanıt gövdeleri kullanım ve faturalama veritabanına yazılmaz; kayıt altına alınan veri, kullanım ve maliyet raporlaması için gereken üstverilerdir. İkincisi, müşteri API anahtarları SHA-256 hash olarak saklanır ve düz metin tutulmaz; sağlayıcı API anahtarları ise yalnızca ortam değişkeninde bulunur.

Kurum içi yetkilendirme bakımından her birim ayrı bir API anahtarı alabilir; her anahtarın kendi hız sınırı, harcama tavanı ve kullanım raporu bulunur. Bu, bir daire başkanlığının yalnızca Türkiye'de barındırılan modellere erişmesini, başka bir birimin ise kişisel veri içermeyen iş yükleri için global modelleri kullanmasını aynı hesap altında ayrıştırmayı mümkün kılar. Ticari tarafta kredi yüklemesinde %8 platform marjı uygulanır; model fiyatlarına marj eklenmez, sağlayıcı liste fiyatı üzerinden tüketilir.

LLMTR'nin herhangi bir resmî onayı, akreditasyonu veya sertifikasyonu bulunduğu iddia edilmemektedir. Platform, kurumun hukuki değerlendirmesini yapmaz; kurumun verdiği karara teknik olarak uyulmasını kolaylaştırır.

Veri sınıfına göre model seçimi: taban adres ve istemci aynı kalır, yalnızca model kimliği değişir

import os

from openai import OpenAI

client = OpenAI(
    base_url="https://llmtr.com/v1",
    api_key=os.environ["LLMTR_API_KEY"],
)

# Kurumun veri sınıflandırma kararı, tek bir eşleme tablosunda tutulur.
MODEL_BY_DATA_CLASS = {
    # Kisisel veri iceren istemler: Turkiye'de barindirilan model.
    "kisisel_veri": "llmtr/gemma-4",
    # Kisisel veri icermeyen istemler: global model de kullanilabilir.
    "kamuya_acik": "gpt-5.3",
}

def sor(data_class: str, prompt: str) -> str:
    yanit = client.chat.completions.create(
        model=MODEL_BY_DATA_CLASS[data_class],
        messages=[{"role": "user", "content": prompt}],
    )
    return yanit.choices[0].message.content

Kaynaklar

Bu yazıdaki mevzuat referansları aşağıdaki birincil kaynaklardan doğrulanmıştır. Son kontrol: 13 Ağustos 2026.

Bu içerik bilgilendirme amaçlıdır, hukuki görüş niteliği taşımaz. Nihai değerlendirme kurumun uyum ve hukuk birimlerinin kararıdır.

• 6698 sayılı Kişisel Verilerin Korunması Kanunu, madde 9 (Değişik: 2/3/2024-7499/34) — mevzuat.gov.tr
• 6698 sayılı Kişisel Verilerin Korunması Kanunu, madde 18 (Ek ve Değişik: 2/3/2024-7499/35) — mevzuat.gov.tr
• Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda), Yayın No: 113, Kasım 2025, 10'uncu soru, sayfa 47 — kvkk.gov.tr
• Kişisel Verilerin Yurt Dışına Aktarılması Rehberi, KVKK Yayınları No: 48, Ocak 2025 — kvkk.gov.tr
• Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete — resmigazete.gov.tr
• Kişisel Verileri Koruma Kurulu'nun 4 Haziran 2024 tarihli ve 2024/959 sayılı kararı (dört tip standart sözleşme metni) — kvkk.gov.tr
• 6698 sayılı Kanun kapsamında 2026 yılı idari para cezası tutarları (yeniden değerleme oranı yüzde 25,49) — kvkk.gov.tr

Kamu kurumunda yurt dışı üretken yapay zekâ kullanımı için hukuki dayanak kurma adımları

Bir kamu kurumunun ChatGPT, OpenAI API veya benzeri yurt dışı bir üretken yapay zekâ hizmetini 6698 sayılı Kanun'un 9'uncu maddesine uygun biçimde devreye alması için izlemesi gereken adımlar.

1. Veri envanteri ve sınıflandırma yapın. Yapay zekâ ile işlenecek iş yüklerini kişisel veri içermeyen, kişisel veri içeren ve özel nitelikli kişisel veri içeren olmak üzere sınıflandırın. Kişisel veri içermeyen iş yükleri için 9'uncu maddedeki yurt dışına aktarım rejimi uygulanmaz; bu sınıfı ayırmak sonraki adımların kapsamını daraltır.
2. Yeterlilik kararı olup olmadığını teyit edin. Aktarım yapılacak ülke, ülke içerisindeki sektör veya uluslararası kuruluş hakkında Kişisel Verileri Koruma Kurulu tarafından verilmiş ve Resmî Gazete'de yayımlanmış bir yeterlilik kararı bulunup bulunmadığını kontrol edin. Yeterlilik kararı varsa 5'inci veya 6'ncı maddedeki işleme şartlarından birinin varlığı yeterlidir.
3. Arızi hallerin kapalı olduğunu kayda geçirin. 6698 sayılı Kanun'un 9'uncu maddesinin yedinci fıkrası uyarınca altıncı fıkranın (a), (b) ve (c) bentleri kamu kurum ve kuruluşlarının kamu hukukuna tâbi faaliyetlerine uygulanmaz. Açık rızaya veya sözleşmenin ifasına dayanan bir kurgunun bu faaliyetler için kullanılamayacağını değerlendirme dosyasına yazın ve kalan dört bendin süreklilik arz eden kullanımı karşılamadığını gerekçelendirin.
4. Uygun güvence türünü seçin ve belgeyi kurun. Dördüncü fıkradaki dört seçenekten kurumun durumuna uygun olanı belirleyin. Karşı taraf bir ticari şirketse (a) bendi kullanılamaz; standart sözleşme veya taahhütname değerlendirilir. Standart sözleşmede Kurul tarafından ilan edilen dört tipten aktarım senaryosuna uygun olanı seçin ve Türkçe metni esas alın.
5. Kuruma bildirimi süresinde yapın. Standart sözleşme yolunu seçtiyseniz, imzaların tamamlanmasından itibaren beş iş günü içinde bildirimi fiziki olarak, kayıtlı elektronik posta üzerinden veya Kurul tarafından belirlenen bildirim modülü aracılığıyla Kuruma iletin. Kurul izni gerektiren yollarda izin çıkmadan aktarıma başlamayın.
6. Teknik ayrımı şartnameye ve üretime taşıyın. Veri sınıfı ile model kimliği eşlemesini teknik şartnameye yazın, her birim için ayrı API anahtarı tanımlayın ve kullanım raporlarını denetlenebilir biçimde saklayın. Hukuki değerlendirmenin üretim ortamında uygulandığını gösteren kayıt, sonraki denetimlerde kurumun temel savunma belgesidir.

Sık sorulan sorular

Kamu kurumu personeli ChatGPT'yi işinde kullanabilir mi?

Kişisel veri içermeyen istemler için 6698 sayılı Kanun'un 9'uncu maddesindeki yurt dışına aktarım rejimi devreye girmez; mevzuat özetleme veya şablon metin üretimi gibi kullanımlar bu kapsamdadır. Vatandaş başvurusu, personel özlük bilgisi veya yazışma içeriği gibi kişisel veri içeren istemler ise yurt dışına aktarım sayılır ve kurumun ilgili sağlayıcı için uygun güvence kurmuş olması gerekir. Kurumun bu ayrımı yazılı bir kullanım politikasıyla belirlemesi ve personele duyurması beklenir.

Kamu kurumu vatandaşın açık rızasını alarak verisini OpenAI'a aktarabilir mi?

Hayır. 6698 sayılı Kanun'un 9'uncu maddesinin yedinci fıkrası, altıncı fıkranın (a), (b) ve (c) bentlerinin kamu kurum ve kuruluşlarının kamu hukukuna tâbi faaliyetlerine uygulanmayacağını düzenler. Açık rıza, kapsam dışı bırakılan (a) bendidir. Kamu kurumu, kamu hukukuna tâbi faaliyetleri bakımından yurt dışı aktarımı açık rızaya dayandıramaz; yeterlilik kararı veya uygun güvence yoluna gitmesi gerekir.

Standart sözleşme imzalandıktan sonra Kurul iznini beklemek gerekir mi?

Hayır. 6698 sayılı Kanun'un 9'uncu maddesinin dördüncü fıkrasının (c) bendindeki standart sözleşme, dört uygun güvence türü içinde ayrı bir Kurul izni gerektirmeyen tek seçenektir. Ancak maddenin beşinci fıkrası uyarınca standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir. Anlaşma, bağlayıcı şirket kuralları ve taahhütname yollarında ise Kurul izni veya onayı çıkmadan aktarıma başlanamaz.

Bildirim yükümlülüğü yerine getirilmezse kamu kurumuna idari para cezası verilir mi?

6698 sayılı Kanun'un 18'inci maddesinin birinci fıkrasının (d) bendi bu ihlal için 50.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası öngörür ve 2026 yılı için uygulanan tutarlar 90.308 TL ilâ 1.806.177 TL'dir. Ancak maddenin ikinci fıkrası bu cezanın yalnızca gerçek kişiler ile özel hukuk tüzel kişilerine uygulanacağını belirtir. Fiil bir kamu kurumu bünyesinde işlenmişse dördüncü fıkra uyarınca Kurulun bildirimi üzerine ilgili kamu görevlileri hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir. Kuruma hizmet veren yüklenici firma özel hukuk tüzel kişisi olduğundan idari para cezası muhatabı olabilir.

Hangi ülkeler için yeterlilik kararı verilmiştir?

Yeterlilik kararını Kişisel Verileri Koruma Kurulu verir ve karar Resmî Gazete'de yayımlanır; karar en geç dört yılda bir yeniden değerlendirilir. Kurumun Ocak 2025 tarihli Kişisel Verilerin Yurt Dışına Aktarılması Rehberi'nde, Kanun'un değişiklik öncesi hükmü uyarınca öngörülen yeterli korumanın bulunduğu ülkelerin henüz Kurul tarafından belirlenmediği ifade edilmektedir. Kurumlar, aktarım yapacakları ülke, sektör veya uluslararası kuruluş hakkında kendi değerlendirme tarihleri itibarıyla yayımlanmış bir yeterlilik kararı bulunup bulunmadığını Resmî Gazete üzerinden ayrıca teyit etmelidir.

Türkiye'de barındırılan model kullanmak yurt dışına aktarım sorununu tamamen çözer mi?

Kişisel verinin yurt dışına çıkmadığı bir mimaride 6698 sayılı Kanun'un 9'uncu maddesindeki aktarım rejimi uygulanmaz; bu, hukuki yükün en önemli bölümünü ortadan kaldırır. Ancak kurumun diğer yükümlülükleri devam eder: 5'inci veya 6'ncı maddedeki işleme şartlarından birine dayanılması, 10'uncu maddedeki aydınlatma yükümlülüğü ve 12'nci maddedeki veri güvenliği tedbirleri Türkiye'de barındırılan modeller için de geçerlidir. Ayrıca kamu kurumları için bilgi ve iletişim güvenliğine ilişkin ayrı düzenleme çerçevesi bulunmakta olup bu çerçeve kurum tarafından ayrıca değerlendirilmelidir.

İlgili yazılar

• KVKK standart sözleşme nasıl yapılır: yurt dışı LLM aktarımının operasyonel maliyeti
• Kamu verisi bulutta saklanabilir mi? 2019/12 sayılı Genelge ve yapay zeka

• KVKK ve veri işleme
• Model kataloğu
• Güvenlik dokümantasyonu
• API anahtarı yönetimi