KVKK standart sözleşme nasıl yapılır: yurt dışı LLM aktarımının operasyonel maliyeti

Uygun güvence yolu seçildi: kamu kurumu için hangi seçenek gerçekten açık

Kamu kurumları yurt dışında barındırılan bir dil modeli hizmeti aldığında, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 9 uncu maddesinin dördüncü fıkrasındaki dört uygun güvence türünden yalnızca ikisi pratikte kullanılabilir durumdadır. Madde 9, 2/3/2024 tarihli ve 7499 sayılı Kanunla değiştirilmiş, değişiklik 1 Haziran 2024'te yürürlüğe girmiştir.

Kanunun 9 uncu maddesinin dördüncü fıkrası, yeterlilik kararının bulunmadığı hallerde aktarımın hangi koşullarla yapılabileceğini şöyle belirler: “Kişisel veriler, yeterlilik kararının bulunmaması durumunda, 5 inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, aşağıda belirtilen uygun güvencelerden birinin taraflarca sağlanması halinde veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir.”

Dört güvence türünün ikisi kamu kurumunun ticari bir model sağlayıcısıyla kuracağı ilişkiye yapısal olarak uymaz. Kalan iki yol, standart sözleşme ve taahhütname, birbirinden çok farklı operasyonel maliyet üretir.

• (a) Uluslararası sözleşme niteliğinde olmayan anlaşma: yalnızca Türkiye'deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları ile yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar arasında kurulur ve ayrıca Kurul izni gerektirir.
• (b) Bağlayıcı şirket kuralları: ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketler için öngörülmüştür ve Kurul onayına tabidir. Kurum ile sağlayıcı aynı teşebbüs grubunda olmadığından kamu alımlarında dayanak oluşturmaz.
• (c) Standart sözleşme: Kurul tarafından ilan edilen metnin taraflarca imzalanmasıyla kurulur; ayrıca Kurul izni aranmaz, ancak Kuruma bildirim zorunludur.
• (ç) Taahhütname: yeterli korumayı sağlayacak hükümleri içeren yazılı metnin imzalanması ve Kurul tarafından aktarıma izin verilmesiyle kurulur. İzin alınmadan aktarıma başlanamaz.

Dört standart sözleşme tipi: kurum hangisini imzalayacak

Kişisel Verileri Koruma Kurulu, 4/6/2024 tarihli ve 2024/959 sayılı kararıyla farklı aktarım senaryolarını karşılayan 4 tip standart sözleşme metni kabul etmiş ve Kurumun internet sitesinde ilan etmiştir. Metinler 10 Temmuz 2024 tarihli kamuoyu duyurusuyla yayımlanmıştır ve tarafların kendi durumuna uyan tek bir tipi seçmesi gerekir.

Kanunun 9 uncu maddesinin dördüncü fıkrasının (c) bendi standart sözleşmenin içeriğini şöyle tanımlar: “Kurul tarafından ilan edilen, veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart sözleşmenin varlığı.”

Tip seçimi, tarafların Kanun kapsamındaki sıfatına göre yapılır. Bir kamu kurumu, kendi belirlediği amaçlar için model çağrısı yapıyor ve sağlayıcı yalnızca kurumun talimatıyla işliyorsa, tipik senaryo veri sorumlusundan veri işleyene aktarımdır.

• Taraflar yalnızca seçimlik veya alternatif içerikli maddeler üzerinde değişiklik yapabilir; metnin diğer kısımlarına ekleme, çıkarma veya değişiklik yapılmamalıdır.
• Metinde değişiklik yapılması veya taraflardan birinin geçerli imzasının bulunmaması halinde Kanunun 15 inci maddesi uyarınca Kurul tarafından inceleme yapılır.
• Standart sözleşme yabancı dilde de akdedilebilir; ancak Yönetmeliğin 14 üncü maddesinin üçüncü fıkrası uyarınca Türkçe metin esas alınır. Uygulamada çift sütunlu Türkçe-yabancı dil metin tercih edilmektedir.
• Sözleşme, aktarım taraflarının kendisi veya tarafları temsile ve imzaya yetkili kişilerce imzalanmalıdır.

Beş iş günü: KVKK bildirim yükümlülüğü, kim bildirir ve aykırılığın sonucu

Standart sözleşmenin imzalanması tek başına yeterli değildir; Kanun ayrı bir bildirim yükümlülüğü getirir. 6698 sayılı Kanunun 9 uncu maddesinin beşinci fıkrası şu şekildedir: “Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir.”

Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (Resmî Gazete, 10 Temmuz 2024, sayı 32598) bu süreyi imzaların tamamlanması anından başlatır ve bildirimin fiziki olarak, kayıtlı elektronik posta (KEP) adresi üzerinden ya da Kurul tarafından belirlenen diğer yöntemlerle yapılabileceğini düzenler. Kurulun 17/10/2024 tarihli ve 2024/1793 sayılı kararıyla Standart Sözleşme Bildirim Modülü kurulmuş, modül 25 Ekim 2024 tarihli kamuoyu duyurusuyla ilan edilmiştir.

Bildirimi kimin yapacağı sözleşmede kararlaştırılabilir. Yönetmelik, sözleşmede böyle bir belirleme yapılmaması halinde bildirimin veri aktaran tarafından yapılacağını hükme bağlamıştır. Bu nedenle bildirim yükümlüsünün sözleşmede açıkça yazılması, kamu alımlarında yüklenici ile kurum arasındaki sorumluluk sınırını netleştirir.

Bildirim yükümlülüğüne aykırılık için Kanunun 18 inci maddesinin birinci fıkrasının (d) bendinde idari para cezası öngörülmüştür. Bu bent, 7499 sayılı Kanunla 2024 yılında eklenmiştir. Kanun metnindeki taban tutarlar 50.000 Türk lirası ile 1.000.000 Türk lirasıdır; bu tutarlar her takvim yılı başında yeniden değerleme oranında artırılarak uygulanır. 2026 yılı için uygulanan aralık 90.308 TL ile 1.806.177 TL'dir ve güncelleme, 27 Kasım 2025 tarihli Resmî Gazete'de yayımlanan 585 Sıra No'lu Vergi Usul Kanunu Genel Tebliği ile belirlenen yüzde 25,49 oranındaki yeniden değerleme oranına dayanır.

Kamu kurumları açısından kritik ayrım Kanunun 18 inci maddesinin ikinci fıkrasındadır: “Birinci fıkranın (a), (b), (c) ve (ç) bentlerinde öngörülen idari para cezaları veri sorumlusu, (d) bendinde öngörülen idari para cezası veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır.” Aynı maddenin dördüncü fıkrası, fiilin kamu kurum ve kuruluşları bünyesinde işlenmesi halinde Kurulun yapacağı bildirim üzerine ilgili memurlar ve diğer kamu görevlileri hakkında disiplin hükümlerine göre işlem yapılacağını ve sonucun Kurula bildirileceğini düzenler.

Pratik sonuç şudur: bildirimi kurum adına yapması gereken taraf özel hukuk tüzel kişisi bir yüklenici ise idari para cezası doğrudan yükleniciye uygulanabilir. Bildirim yükümlüsü kurumun kendisi ise sonuç idari para cezası değil, ilgili personel hakkında disiplin sürecidir. Bu ayrım, hizmet alımı sözleşmesinde bildirim sorumluluğunun kime verildiğini teknik bir ayrıntı olmaktan çıkarır.

Süresinde ve usulüne uygun bir bildirimin içeriği ise şu belgelerden oluşur:

• Bildirimde aktarımın niteliğine uygun standart sözleşme metninin doldurulmuş ve imzalanmış nihai hâli yer alır.
• Bildirime, imzalayanların yetkili olduğunu gösterir belgeler eklenir.
• Yabancı dildeki belgelerin noter onaylı çevirisi sunulur; Yabancı Resmî Belgelerin Tasdiki Mecburiyetinin Kaldırılması Sözleşmesine taraf ülkelerde düzenlenen resmî belgelerde apostil şerhi aranır.
• Sözleşme bildirildikten sonra verilen bilgilerde değişiklik olması ya da sözleşmenin sona ermesi halinde Kuruma yeniden bildirim yapılır.
• SS-2 ve SS-3'te alt veri işleyenlerde, SS-1, SS-2 ve SS-3'te sonraki aktarım yapılacak alıcı veya alıcı gruplarında değişiklik olması halinde ekler güncellenir ve bu durum Kuruma bildirilir.

Üç sağlayıcı, kaç sözleşme: yurt dışına veri aktarımında tekrar eden yük

Bir kamu kurumu yurt dışında barındırılan üç ayrı model sağlayıcısı kullanıyorsa, standart sözleşme yükü sağlayıcı sayısıyla doğru orantılı artar. Standart sözleşme veri aktaran ile veri alıcısı arasında akdedildiği için, her yurt dışı alıcı ayrı bir sözleşme ve ayrı bir bildirim anlamına gelir; tek bir çerçeve sözleşmeyle üç sağlayıcı kapsanamaz.

Aşağıdaki tablo, her sağlayıcının ayrı bir veri alıcısı olduğu varsayımıyla hazırlanmıştır. Sözleşme sayıları Kanunun ve Yönetmeliğin kurduğu yapıdan çıkarılmıştır, ölçülmüş bir istatistik değildir; kurumun kendi aktarım haritasına göre değişebilir.

Tablodaki her satırın arkasında görünmeyen bir iş kalemi vardır: doğru sözleşme tipinin belirlenmesi, eklerin doldurulması, imza yetkisinin tevsiki, yabancı dildeki belgelerin noter onaylı çevirisi, beş iş günlük sürenin takvime bağlanması ve arşivlenmesi. Bu adımlar her sözleşme için ayrı ayrı tekrarlanır.

• Yük tek seferlik değildir: sözleşme imzalandıktan sonra da değişiklik ve sona erme bildirimleriyle devam eder.
• Sağlayıcı sayısı arttıkça hukuk müşavirliği incelemesi, imza süreci ve arşiv yükü doğrusal olarak çoğalır.
• Model çeşitliliğini artırma isteği ile uyum yükünü sabit tutma isteği aynı projede karşı karşıya gelir.
• Bu yol yasaldır ve uygulanabilir; imkânsız değildir. Ancak kalıcı bir süreç yükü doğurur ve süreklilik gerektirir.

Taahhütname yolu: Kurul izni ve öngörülmeyen süre

Taahhütname, standart sözleşmeden farklı olarak Kurul iznine tabidir ve izin alınmadan aktarıma başlanamaz. Kişisel Verilerin Yurt Dışına Aktarılması Rehberi (KVKK Yayınları No: 48, Ocak 2025) bunu açıkça belirtir: “taahhütname taraflarca imzalandıktan sonra, Kurul henüz söz konusu taahhütnameyi değerlendirme sürecindeyken, taraflar kendiliğinden veri aktarımına başlayamaz. Başlanırsa, bu hukuka aykırı bir veri aktarımı olacaktır.”

Ne 6698 sayılı Kanunda ne de Yönetmelikte, Kurulun taahhütname izin başvurusunu sonuçlandırması için bir süre öngörülmemiştir. Bu nedenle taahhütname yolunu seçen bir kurum, hizmetin ne zaman başlayabileceğini planlarken kesin bir tarihe dayanamaz.

Geçmiş uygulama başvuru hacmi ve kabul oranı hakkında fikir verir. KVKK'nın kendi rehberine göre, Kanunun 7 Nisan 2016'da yürürlüğe girdiği tarihten 7499 sayılı Kanunun 34 üncü maddesinin yürürlüğe girdiği 1 Haziran 2024 tarihine kadar Kurula 86 adet taahhütname başvurusu yapılmış, bunlardan 10 tanesi kabul edilmiştir. Aynı dönemde yapılan 3 adet bağlayıcı şirket kuralı başvurusu ise usul ve esasa ilişkin eksiklikler nedeniyle kabul edilmemiştir.

• Yönetmeliğin 15 inci maddesi taahhütnamenin asgari unsurlarını sayar; metin bu unsurların tamamını karşılamalıdır.
• Asgari unsurlar arasında veri alıcısının Türk mahkemelerinin yargı yetkisini tanımayı kabul ettiğine yönelik taahhüt yer alır; bu, standart ticari şartlarla çalışan bir sağlayıcıyla müzakerede ayrıca ele alınması gereken bir başlıktır.
• Taahhütnamede sonraki aktarımlara ilişkin kısıtlamalar ile fesih halinde verilerin yedekleriyle birlikte geri gönderilmesi veya tamamen yok edilmesi taahhüdü bulunmalıdır.
• Taahhütname Türk hukukuna tabidir; farklı dillerde akdedilse dahi ihtilaf halinde Türkçe metin esas alınır.
• İzin başvurusu, veri sorumlusu veya veri işleyeni temsil ve ilzama yetkili kişilerce yapılır; vekil aracılığıyla yapılan başvurularda vekâletname aslı veya onaylı örneği aranır.

LLMTR bu yükü nerede azaltıyor, nerede azaltmıyor

LLMTR, kamu kurumunun 6698 sayılı Kanun kapsamındaki yükümlülüklerini ortadan kaldırmaz. Fark, aktarımın gerçekleşip gerçekleşmediğindedir: veri Türkiye sınırları içinde barındırılan bir modelde işlendiğinde ortada yurt dışına aktarım bulunmaz ve Kanunun 9 uncu maddesindeki aktarım rejimi devreye girmez. Standart sözleşme seçimi, beş iş günlük bildirim ve Kurul izni adımları da bu durumda doğmaz.

Kurum global bir model seçtiğinde durum değişmez. O çağrı bakımından yurt dışına aktarım gerçekleşir; yeterlilik kararı, uygun güvence veya arızi hal değerlendirmesi kurumun kendi sorumluluğunda kalır. LLMTR bu değerlendirmeyi yapmaz ve kurumun yerine geçmez. Kanunun 4, 5, 6, 10 ve 12 nci maddelerindeki genel ilkeler, işleme şartları, aydınlatma ve veri güvenliği yükümlülükleri ise her iki durumda da aynen geçerlidir.

Teknik tarafta LLMTR, OpenAI uyumlu tek bir /v1 yüzeyi sunar. Türkiye'de barındırılan modeller ile global sağlayıcı modelleri aynı katalogdan çağrılır; model değişimi base URL ve model kimliği değişiminden ibarettir. Bu, uyum kararı değiştiğinde entegrasyonun yeniden yazılmasını gerektirmez.

• Türkiye'de barındırılan modeller arasında llmtr/gemma-4, llmtr/qwen3-6-35b, llmtr/medgemma-4b, llmtr/trendyol-7b ve llmtr/embeddinggemma-300m bulunur; bu modellerde veri yurt içinde işlenir.
• Global model gerektiğinde entegrasyon değişmez; hangi çağrının hangi modele gittiği kullanım raporlarından izlenebilir, bu da hangi aktarımın gerçekleştiğini belgelemeyi kolaylaştırır.
• Her birim ayrı API anahtarı, kendi rate limit'i, tavanı ve kullanım raporu alabilir; böylece hangi birimin hangi modeli kullandığı ayrıştırılır.
• Kullanıcı promptları ve model yanıt gövdeleri kullanım ve faturalama veritabanına yazılmaz.
• Müşteri API anahtarları SHA-256 hash olarak saklanır, düz metin tutulmaz; sağlayıcı API anahtarları yalnızca environment variable'da bulunur.
• Kredi yüklemede %8 platform marjı uygulanır; model fiyatlarına marj eklenmez.

Model değişimi tek alanla yapılır; aktarım rejimi ise seçilen modele göre değişir.

from openai import OpenAI

client = OpenAI(base_url="https://llmtr.com/v1", api_key="LLMTR_API_KEY")

# Türkiye'de barındırılan model: veri yurt içinde işlenir,
# Kanunun 9 uncu maddesindeki aktarım rejimi devreye girmez.
yanit = client.chat.completions.create(
    model="llmtr/gemma-4",
    messages=[{"role": "user", "content": "Dilekce ozetini cikar."}]
)

# Global model: entegrasyon aynı kalır, ancak bu çağrı için
# yurt dışına aktarım gerçekleşir ve uygun güvence kurumun sorumluluğundadır.
yanit = client.chat.completions.create(
    model="openai/gpt-5.5",
    messages=[{"role": "user", "content": "Dilekce ozetini cikar."}]
)

Kaynaklar

Bu yazıdaki mevzuat referansları aşağıdaki birincil kaynaklardan doğrulanmıştır. Son kontrol: 13 Ağustos 2026.

Bu içerik bilgilendirme amaçlıdır, hukuki görüş niteliği taşımaz. Nihai değerlendirme kurumun uyum ve hukuk birimlerinin kararıdır.

• 6698 sayılı Kişisel Verilerin Korunması Kanunu, madde 9 ve madde 18 — mevzuat.gov.tr
• 6698 sayılı Kanun, Geçici Madde 3 (1/9/2024 tarihine kadar geçiş) — mevzuat.gov.tr
• 7499 sayılı Kanun ile yapılan değişiklik, Resmî Gazete 12 Mart 2024, sayı 32487 — resmigazete.gov.tr
• Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, Resmî Gazete 10 Temmuz 2024, sayı 32598 — resmigazete.gov.tr
• Kişisel Verilerin Yurt Dışına Aktarılması Rehberi, KVKK Yayınları No: 48, Ocak 2025 — kvkk.gov.tr
• Standart Sözleşmeler ve Bağlayıcı Şirket Kurallarına İlişkin Dokümanlar Hakkında Kamuoyu Duyurusu, Kurul kararı 4/6/2024, 2024/959 — kvkk.gov.tr
• Standart Sözleşme Bildirim Modülü Hakkında Kamuoyu Duyurusu, Kurul kararı 17/10/2024, 2024/1793 — kvkk.gov.tr
• Yurt Dışına Aktarım bilgi sayfası — kvkk.gov.tr
• 585 Sıra No'lu Vergi Usul Kanunu Genel Tebliği (2026 yeniden değerleme oranı), Resmî Gazete 27 Kasım 2025 — resmigazete.gov.tr

Yurt dışı model sağlayıcısı için standart sözleşme hazırlama ve Kuruma bildirme

Uygun güvence olarak standart sözleşme yolunu seçen bir kurumun izleyeceği adımlar. İmzaların tamamlanmasından sonra Kuruma bildirim için kanuni süre beş iş günüdür.

1. Tarafların sıfatını belirleyin ve doğru tipi seçin. Aktarımda kurumun ve yurt dışındaki alıcının Kanun kapsamında veri sorumlusu mu veri işleyen mi olduğunu tespit edin ve Kurulun ilan ettiği SS-1, SS-2, SS-3 veya SS-4 metinlerinden yalnızca kendi senaryonuza uyanı seçin.
2. Metni değiştirmeden doldurun. Kurul tarafından ilan edilen metin üzerinde yalnızca seçimlik veya alternatif içerikli maddelerde değişiklik yapın. Diğer hükümlere ekleme, çıkarma veya değişiklik yapılması halinde Kanunun 15 inci maddesi uyarınca Kurul incelemesi gündeme gelir.
3. Ekleri eksiksiz tamamlayın. Aktarılan kişisel veri kategorilerini, aktarım amaçlarını, alıcı ve alıcı gruplarını, veri alıcısının alacağı teknik ve idari tedbirleri ve özel nitelikli kişisel veriler için alınan ek önlemleri eklerde eksiksiz belirtin. Ekler sözleşmenin ayrılmaz parçasıdır.
4. Türkçe metni esas alarak imzalayın. Sözleşmeyi Türkçe olarak, gerekirse çift sütunlu Türkçe-yabancı dil biçiminde hazırlayın. Tarafların kendisi veya temsile ve imzaya yetkili kişiler imzalar; imza yetkisini gösterir belgeleri hazır bulundurun.
5. Beş iş günü içinde Kuruma bildirin. İmzaların tamamlanmasından itibaren beş iş günü içinde bildirimi fiziki olarak, KEP adresi üzerinden veya Standart Sözleşme Bildirim Modülü aracılığıyla yapın. Bildirime imzalı nihai metni, yetki belgelerini ve yabancı dildeki belgelerin noter onaylı çevirisini ekleyin.
6. Değişiklik ve sona erme takibini kurun. Verilen bilgilerde değişiklik olması, alt veri işleyen veya sonraki aktarım alıcılarının güncellenmesi ya da sözleşmenin sona ermesi hallerinde Kuruma yeniden bildirim yapılması gerekir. Bu takibi sağlayıcı bazında bir sorumluya bağlayın.

Sık sorulan sorular

KVKK standart sözleşme nasıl yapılır?

Taraflar önce Kanun kapsamındaki sıfatlarını belirler ve Kurulun ilan ettiği dört tipten kendi durumuna uyanı seçer. Metin, yalnızca seçimlik veya alternatif içerikli maddeler üzerinde değiştirilerek doldurulur; ekler eksiksiz tamamlanır ve taraflar veya temsile yetkili kişiler tarafından imzalanır. İmzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirim yapılır.

Kaç tip standart sözleşme var ve hangisini seçmeliyim?

Kurulun 4/6/2024 tarihli ve 2024/959 sayılı kararıyla dört tip kabul edilmiştir: SS-1 veri sorumlusundan veri sorumlusuna, SS-2 veri sorumlusundan veri işleyene, SS-3 veri işleyenden veri işleyene, SS-4 veri işleyenden veri sorumlusuna aktarım içindir. Kurum kendi belirlediği amaçlarla model çağrısı yapıyor ve sağlayıcı yalnızca kurumun talimatıyla işliyorsa tipik seçim SS-2 olur.

Standart sözleşmeyi Kuruma bildirmezsek ne olur?

Kanunun 18 inci maddesinin birinci fıkrasının (d) bendinde idari para cezası öngörülmüştür; 2026 yılı için uygulanan aralık 90.308 TL ile 1.806.177 TL'dir. Ancak bu ceza, aynı maddenin ikinci fıkrası uyarınca gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır. Fiil kamu kurumu bünyesinde işlenmişse dördüncü fıkra uyarınca ilgili kamu görevlileri hakkında disiplin hükümlerine göre işlem yapılır ve sonuç Kurula bildirilir.

Üç farklı yurt dışı model sağlayıcısı kullanırsak kaç sözleşme gerekir?

Standart sözleşme veri aktaran ile veri alıcısı arasında akdedildiği için her yurt dışı sağlayıcı ayrı bir sözleşme gerektirir. Üç sağlayıcı için üç ayrı sözleşme ve üç ayrı bildirim yapılır; her bildirim kendi beş iş günlük süresine tabidir. Sağlayıcı değiştiğinde yeni sözleşme ve yeni bildirim, sona eren sözleşme için de ayrıca bildirim gerekir.

Taahhütname yolunda Kurul izni ne kadar sürer?

Kanunda ve Yönetmelikte Kurulun taahhütname izin başvurusunu sonuçlandırması için bir süre öngörülmemiştir. İzin alınmadan aktarıma başlanamaz; başlanması halinde aktarım hukuka aykırı olur. KVKK'nın kendi rehberine göre 7 Nisan 2016 ile 1 Haziran 2024 arasında yapılan 86 taahhütname başvurusundan 10 tanesi kabul edilmiştir.

Türkiye'de barındırılan model kullanmak bu yükümlülükleri ortadan kaldırır mı?

Yurt dışına aktarım rejimini devreye sokmaz, çünkü veri Türkiye sınırları içinde işlendiğinde ortada bir aktarım bulunmaz; standart sözleşme, bildirim ve Kurul izni adımları doğmaz. Ancak Kanunun genel ilkeleri, işleme şartları, aydınlatma ve veri güvenliği yükümlülükleri aynen geçerlidir. Kurum global bir model seçtiğinde 9 uncu madde değerlendirmesi yeniden kurumun sorumluluğuna girer.

İlgili yazılar

• Kamu kurumu ChatGPT ve OpenAI API kullanabilir mi? KVKK yurt dışı aktarım çerçevesi
• KVKK kamu kurumları uyum rehberi ve yapay zeka: Mart 2026 rehberi projeye nasıl uygulanır

• KVKK Aydınlatma Metni
• Model kataloğu
• Güvenlik dokümantasyonu
• Kullanım raporları