Sivil Toplum için KVKK Çerçevesinde Sorumlu Yapay Zeka Kullanımı

Yapay zeka asistanları,  ister kurumsal ofis paketlerine gömülü olsun, ister tarayıcıdan açılan sohbet araçları olsun Türkiye’deki dernek ve vakıfların gündelik işlerine hızla girdi. Vaat ettikleri şey, sınırlı insan kaynağıyla çalışan kuruluşlar için son derece cazip: idari yükün hafiflemesi, raporların ve yazışmaların daha tutarlı hale gelmesi, ekibin zamanının asıl işe, yani savunuculuğa, hizmete ve topluluğa ayrılabilmesi.

Ne var ki bu faydalar kendiliğinden gelmiyor. Açık bir yönetişim çerçevesi olmadığında, aynı araçlar özellikle hassas yararlanıcı bilgisiyle çalışan kuruluşlarda mahremiyet, hukuka uygunluk ve güven sorunlarını büyütebiliyor. Başarıyı belirleyen, hangi aracın seçildiğinden çok, o aracın nasıl yönetildiği, nasıl yapılandırıldığı ve nasıl kullanıldığı; bir de kuruluşu yönetenlerin sorumlu kullanımın neye benzediğini gerçekten kavrayıp kavramadığı.

Bu yazı sivil toplum kuruluşlarının hangi araçla çalışırsa çalışsın sorması gereken soruları ve atması gereken adımları ele alıyor.

Güvenlik gerekli, yönetişim şart

Yönetim kurullarında sıkça duyulan soru şu: “Bu araç güvenli mi?” Sağlayıcının güvenlik özellikleri ve verdiği taahhütler elbette önemlidir; ama resmin yalnızca bir parçasıdır. Teknik kontroller sistemleri korur, fakat bilginin gündelik işleyişte nasıl kullanıldığını ve kimlerle paylaşıldığını belirlemez.  Hele ki çalışanlar işlerini hızlandırmak için yapay zekaya yönlendirildiğinde.

Hukuki ve kurumsal açıdan asıl önemli olan sorular şunlardır:

  1. Yapay zeka hangi bilgilere erişebiliyor?
  2. Çalışanların ve gönüllülerin aracı nasıl kullanması bekleniyor?
  3. Uygunsuz kullanımı  önleyen hangi kontroller var?
  4. Kullanım gerektiğinde gözden geçirilebiliyor, açıklanabiliyor ve durdurulabiliyor mu?

Bunlar teknik değil, yönetişim sorularıdır. Hesap verebilirliğe, davranışa ve gözetime dokunurlar; bir şeyler ters gittiğinde kuruluşun kendisine emanet edilen bilgiyi sorumlulukla koruduğunu gösterip gösteremeyeceğini belirlerler.

Kişisel veriler ve yapay zeka: KVKK ne bekliyor?

6698 sayılı Kişisel Verilerin Korunması Kanunu teknolojiden bağımsızdır: veri elle, geleneksel bir yazılımla ya da bir yapay zeka aracıyla işlensin, Kanun aynı biçimde uygulanır. Kişisel Verileri Koruma Kurumu’nun Kasım 2025’te yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi de bu ilkeyi açıkça vurgular; “yeni teknoloji” zayıf veri koruma pratikleri için bir mazeret sayılmaz.

Rehberden ve Kanun’dan sivil toplum için öne çıkan noktalar şunlar:

  • Yapay zeka aracına yüklenen kişisel veri Kanun kapsamında kalır. Bir yararlanıcının adını, vaka notunu ya da iletişim bilgisini bir sohbet kutusuna yapıştırmak, bir veri işleme faaliyetidir.
  • Yapay zekanın ürettiği çıktı da kişisel veri olabilir. Girdi kişisel veri içermese bile model bir kişi hakkında çıkarımda bulunabilir; bu çıkarım hatalı olsa dahi kişisel veri niteliği taşır.
  • Kuruluş, aracın amacına uygunluğunu güvence altına almalıdır. Veri sorumlusu kim, veri işleyen kim, işleme hangi hukuki sebebe dayanıyor. Bunların her kullanım alanı için ayrıca belirlenmesi gerekir.
  • Aydınlatma metinleri yapay zeka kullanımını yansıtmalıdır. Özellikle araç doğrudan yararlanıcılarla, üyelerle ya da kamuoyuyla etkileşime giriyorsa (örneğin bir başvuru sohbet robotu), bunun açıkça anlatılması gerekir.

Sivil topluma özgü iki kritik nokta. Birincisi, Kanun’un 6. maddesi dernek, vakıf ve sendika üyeliğini; sağlık, din, siyasi düşünce, felsefi inanç, ceza mahkumiyeti gibi bilgilerle birlikte özel nitelikli kişisel veri sayar. Yani pek çok STK için bir üye listesi, bir gönüllü havuzu ya da bir kampanya destekçileri tablosu bile en sıkı korumayı gerektiren veri sınıfındadır. Göçmenlerle, LGBTİ+ bireylerle, şiddet mağdurlarıyla, hasta ya da engelli bireylerle çalışan kuruluşlarda bu risk artar.

İkincisi, yaygın yapay zeka araçlarının büyük bölümü yurt dışındaki sunucularda çalışır. Bu da araca girilen kişisel verinin çoğu durumda yurt dışına aktarım sayılması demektir. 7499 sayılı Kanun’la 1 Haziran 2024’te yürürlüğe giren düzenlemeden bu yana aktarım kademeli bir rejime tabidir: önce yeterlilik kararı, yoksa standart sözleşme gibi uygun güvenceler, o da yoksa sınırlı arızi haller. Standart sözleşme imzalandığında beş iş günü içinde Kurum’a bildirilmesi gerekir; bildirim yapmamanın 2026 için öngörülen idari para cezası 90.308 TL ile 1.806.377 TL arasındadır. Bireysel ya da ücretsiz sürümlerin çoğu bu tür bir sözleşme imkanı sunmadığından, pratikteki en güvenli kural basittir: kişisel veri, hukuki zemini netleştirilmemiş bir yapay zeka aracına girilmez.

Yapay zeka yeni bir veri koruma rejimi yaratmıyor; ama mevcut yükümlülüklerin ağırlığını belirgin biçimde artırıyor.

Yapay zeka kullanımı neden bir yönetim kurulu meselesidir?

Türkiye’de derneklerin işleyişini Türk Medeni Kanunu ve 5253 sayılı Dernekler Kanunu, vakıflarınkini ise Türk Medeni Kanunu ve 5737 sayılı Vakıflar Kanunu çerçeveler. Bu çerçevede dernek ve vakıfların işlerini yürütmek ve temsil etmek yönetim organlarına, bu işlerin mevzuata ve tüzüğe uygunluğunu gözetmek ise denetim organlarına düşer. KVKK bakımından da veri sorumlusu, kuruluşun kendisidir; yani kişisel verilerin hukuka uygun işlenmesinin hesabı, en son kertede kuruluşu yönetenlerden sorulur.

Yapay zeka araçları bilgiye erişimi hızlandırır. Açık sınırlar çizilmediğinde, iyi niyetle hareket eden çalışanlar bile farkında olmadan bilginin amacı dışında kullanılmasına ya da gereğinden geniş bir çevreyle paylaşılmasına yol açabilir.

Sivil toplumda bu meselenin hukuki olduğu kadar varoluşsal bir boyutu da vardır. STK’ların en değerli sermayesi güvendir: bir şiddet mağdurunun başvurusunu, bir bağışçının kimliğini ya da bir hak savunucusunun iletişim bilgisini emanet eden kişi, bu bilginin nereye gittiğini bilmek ister. Uluslararası fon sağlayıcılar da proje başvurularında veri koruma ve yapay zeka politikalarını giderek daha sık soruyor. Bu nedenle yönetim kurullarının ve yürütmenin, yapay zeka kullanımının bilinçli, belgelenmiş ve gözetim altında olmasını sağlama sorumluluğu vardır.

Güvenli benimseme için dört aşamalı bir yol

Hangi aracı seçerse seçsin, bir STK’nın izleyebileceği pratik bir yol dört aşamadan oluşur. Aşamalar kuruluşun büyüklüğüne göre ölçeklenir: beş kişilik bir dernekte bir sayfalık bir yönerge, büyük bir vakıfta ise kapsamlı bir politika olabilir.

1. Kabul edilebilir kullanımı tanımlayın

Ayarlara ve araç seçimine geçmeden önce, yapay zekanın nasıl kullanılabileceğini ve nasıl kullanılamayacağını yazılı hale getirin:

  • Asla girilmeyecek bilgiler: ayrıntılı yararlanıcı kayıtları, vaka notları, sağlık bilgileri, üye ve bağışçı listeleri, kimlik numaraları, hak ihlali tanıklıkları.
  • Kabul edilebilir kullanım alanları: taslak yazma, kişisel veri içermeyen metinleri özetleme, çeviri, kamuya açık verilerle iç analiz, eğitim materyali hazırlama.
  • İnsan onayı gereken noktalar: kamuoyuyla, fon sağlayıcılarla ya da yararlanıcılarla paylaşılacak her çıktı; hak temelli ya da hukuki iddia içeren her metin.

Yazılı bir çerçeve, aydınlatma yükümlülüğüyle doğrudan örtüşür ve ekibe net bir beklenti sunar. Net sınırlar çalışanlara güven de verir; insanlar aracı ya tamamen reddetmek ya da riskli biçimde kullanmak arasında sıkışmaz.

2. Erişimleri ve yetkileri hizalayın

E-posta, paylaşılan sürücü ya da belge kütüphanesiyle bütünleşen yapay zeka asistanları, kullanıcının mevcut erişim yetkileri içinde çalışır. Bir çalışan ihtiyacından fazla bilgiye erişebiliyorsa, yapay zeka bu erişimi devralır ve büyütür: daha önce kimsenin açmadığı bir klasör, artık tek bir soruyla özetlenebilir hale gelir. Bağımsız sohbet araçlarında ise “yetki”, kişinin araca yapıştırdığı ya da yüklediği her şeydir.

Bu aşamada:

  • Paylaşılan sürücüleri, ortak klasörleri ve kurumsal e-posta gruplarını gözden geçirin; “bağlantıya sahip herkes” ayarıyla paylaşılmış belgeleri kapatın.
  • Ayrılan çalışanların, proje süresi biten gönüllülerin ve danışmanların eski erişimlerini kaldırın.
  • Hassas veri depolarına sınırlı erişim tanımlayın ve her birinin açık bir sorumlusu olsun.
  • Kurumsal iş için kişisel hesaplar yerine kurumsal hesapları tercih edin; böylece verinin nerede tutulduğu ve kimin elinde kaldığı kuruluşun kontrolünde olur.

Bu adımlar KVKK’nın 12. maddesindeki veri güvenliğine ilişkin teknik ve idari tedbir yükümlülüğüyle de doğrudan ilişkilidir.

3. İzleme ve hesap verebilirliği sağlayın

Sorumlu kullanım görünürlük gerektirir. Kuruluşun şunları yapabilmesi gerekir:

  • Yapay zekanın hangi işler için, kimler tarafından kullanıldığını bilmek.
  • Riskli davranış örüntülerini fark etmek (örneğin hassas içeriğin tekrar tekrar araca girilmesi).
  • Bir sorun çıktığında bir kararın ya da çıktının nasıl oluştuğunu yeniden kurabilmek.

Ne olduğunu, ne zaman ve neden olduğunu anlayabilmek; bir şikayete, Kurum’un bir incelemesine, bir fon sağlayıcının sorusuna ya da bir veri ihlaline yanıt verirken hayati önem taşır. Küçük kuruluşlar için bu, gelişmiş bir izleme yazılımı değil; hangi aracın hangi amaçla kullanıldığını gösteren basit bir kayıt ve şüpheli bir durumda kime haber verileceğini bilen bir ekip olabilir.

4. Gözetimi kurumsal yapıya yerleştirin

Yapay zeka yönetişimi mevcut yapıların yanında değil, içinde yer almalıdır. Yönetim ve denetim organları:

  • Yapay zeka kullanımını kuruluşun risk değerlendirmesine ve kişisel veri envanterine dahil etmeli.
  • Kabul edilebilir kullanım sınırlarını düzenli aralıklarla, örneğin yılda bir, gözden geçirmeli.
  • Yazılım sağlayıcıları ve danışmanlarla yapılan anlaşmalarda veri işleme sorumluluğunun kimde olduğunu açıkça tanımlamalı.

Bu yaklaşım, yönetişim çabasını kuruluşun büyüklüğü, faaliyetleri ve risk profiliyle orantılı tutar.

Türkiye’deki çerçeve pratikte ne anlama geliyor?

Ekim 2026 itibarıyla Türkiye’de yalnızca yapay zekayı düzenleyen, yürürlükte bir kanun yok. TBMM’ye Haziran 2024’te ve Eylül 2025’te sunulan kanun teklifleri gündemde; 18 Ağustos 2026’da Resmi Gazete’de yayımlanan 2026/9 sayılı Cumhurbaşkanlığı Genelgesi ile de Türkiye Yapay Zekâ Eylem Planı (2026–2030) uygulamaya konuldu. Bugün STK’ların dayanması gereken zemin ise esas olarak KVKK ve Kurum’un bağlayıcı olmayan ama yol gösterici belgeleri:

Avrupa Birliği partnerleriyle ya da AB fonlarıyla çalışan kuruluşlar için AB Yapay Zeka Yasası ve GDPR da dolaylı ama gerçek bir beklenti çerçevesi oluşturuyor: proje ortakları ve fon sağlayıcılar, Türkiye’deki ortaklarından benzer bir özen bekliyor.

Bu belgelerin ortak paydası, yapay zekayı bir kerelik bir teknoloji kararı değil, süregelen bir yönetişim disiplini olarak görmek. Buna göre kuruluşlar:

  • Yapay zeka kullanımı için hesap verebilirliği belirli kişilere ve organlara atamalı.
  • Kullanımın etkilerini, özellikle yararlanıcılar ve kırılgan gruplar üzerindeki etkilerini anlamalı ve değerlendirmeli.
  • Yapay zeka risklerini diğer kurumsal riskler gibi yönetmeli.
  • Kararlar üzerinde insan denetimini korumalı; özellikle hizmetten yararlanma, başvuru değerlendirme ya da destek önceliklendirme gibi kişileri doğrudan etkileyen kararlarda.

Yapay zeka, “teknoloji erişilebilir” olduğu için değil; kuruluşun risk profiline, yükümlülüklerine ve amaçlanan kullanıma uygun düştüğü için devreye alınmalıdır.

Ölçülü benimseme güven inşa eder

Güvenli yapay zeka kullanımı yeniliği kısıtlamak anlamına gelmiyor; hassas bilgiyi korurken ve güveni muhafaza ederken, faydalı ve düşük riskli kullanımın önünü açmak anlamına geliyor. Sınırlarını tanımlayan, erişimlerini hizalayan, kullanımı izleyen ve gözetimi kurumsal yapısına yerleştiren STK’lar; hem Kurum’a, hem fon sağlayıcılara, hem de hizmet verdikleri topluluklara kendilerine emanet edileni sorumlulukla koruduklarını gösterebilecek konumdadır.

Akılda kalması gerekenler

  • Sorumlu yapay zeka teknolojiyle değil, yönetişimle başlar. Başarı, aracın güvenlik özelliklerinden çok; yapay zekanın nasıl kullanılacağının, hangi bilgilere erişeceğinin ve risklerin nasıl yönetileceğinin açıkça tanımlanmasına bağlıdır.
  • Yapay zeka mevcut veri koruma yükümlülüklerini ağırlaştırır. Üyelik bilgisinin bile özel nitelikli veri sayıldığı bir alanda, kişisel verinin korunması, yurt dışına aktarımın hukuki zemini ve aydınlatma yükümlülüğü politikalara ve gündelik işleyişe yansımalıdır.
  • Ölçülü benimseme riski azaltır, güveni artırır. Kabul edilebilir kullanım sınırları çizen, yetkileri düzenleyen, kullanımı izleyen ve gözetimi mevcut yapılara yerleştiren kuruluşlar, yapay zekanın faydalarından yararlanırken topluluklarının güvenini de korur.

ının yayım tarihindeki güncel değerlerle kontrol edilmesi önerilir.

Kaynaklar

© 2026 Dijital Pro