Bu sayfa, Avrupa Birliği'nin (AB) 2024/1689 sayılı Yapay Zekâ Tüzüğü ile kişisel verilerin korunması hukukunun kesiştiği noktaları özetler. Sayfanın dayanağı, sonda listelenen Prof. Dr. Murat Volkan Dülger'in yayınlarıdır. Anılan mevzuat ve kararlar 1 Kasım 2026 tarihinde resmî kaynaklardan kontrol edilmiştir.

Yapay Zekâ Tüzüğü ve veri koruma hukuku birlikte uygulanır

Yapay Zekâ Tüzüğü, Avrupa Parlamentosu ve Konseyinin 13 Haziran 2024 tarihli ve (AB) 2024/1689 sayılı Tüzüğüdür. 1 Ağustos 2024'te yürürlüğe girmiş, hükümleri kademeli olarak uygulanmaya başlamıştır. Yapay Zekâ Tüzüğü'nün tekniği ürün güvenliği mevzuatına dayanır: Yapay zekâ sistemleri taşıdıkları riske göre sınıflandırılır; yükümlülükler, sistemi geliştirip piyasaya süren sağlayıcıya (provider) ve sistemi kendi yetkisi altında kullanan kullanıcıya (deployer) yüklenir.

Yapay Zekâ Tüzüğü, (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü'nü (GDPR) etkilemez (Yapay Zekâ Tüzüğü m. 2/7). Kişisel veri işleyen bir yapay zekâ sistemi iki rejime birden tabidir: Yapay Zekâ Tüzüğü sistemin kendisine ilişkin kuralları, GDPR ise o sistemle yapılan veri işlemeye ilişkin kuralları koyar. Bu ilkenin iki ayrık hâli, önyargının tespiti için özel nitelikli veri işlenmesine ilişkin 4a maddesi ile düzenleyici deneme ortamlarında (sandbox) veri işlenmesine ilişkin 59. maddedir.

Türkiye'deki şirketler bakımından kapsam

Yapay Zekâ Tüzüğü, AB'de piyasaya sürülen sistemlerin sağlayıcılarına yerleşim yerlerine bakılmaksızın uygulanır (m. 2/1-a). Üçüncü bir ülkede yerleşik sağlayıcı ve kullanıcılar da sistemin ürettiği çıktı AB'de kullanılıyorsa Yapay Zekâ Tüzüğü'ne tabidir (m. 2/1-c). Türkiye'de yerleşik bir şirket, yalnızca Türkiye'de kullandığı ve çıktısı AB'de kullanılmayan bir sistem bakımından Yapay Zekâ Tüzüğü'ne tabi değildir. AB pazarına sistem sunan ya da AB'deki müşterilerine, çıktısı orada kullanılan yapay zekâ destekli hizmet veren şirketler ise kapsama girer.

Yapay zekâyı yalnızca kişisel ve mesleki olmayan bir faaliyet için kullanan gerçek kişiler kullanıcı sayılmaz (m. 2/10, m. 3/4).

Yasaklanan uygulamalar

Yapay Zekâ Tüzüğü'nün 5. maddesindeki yasaklar 2 Şubat 2025'ten beri uygulanmaktadır. Bunların önemli bir kısmı doğrudan kişisel verilerle ilgilidir: internetten veya kamera kayıtlarından ayrım gözetmeksizin yüz görüntüsü toplanarak yüz tanıma veri tabanı oluşturulması ya da genişletilmesi; işyerlerinde ve eğitim kurumlarında duygu tanıma (tıbbi ve güvenlik amaçlı kullanım hariç); biyometrik verilerden ırk, siyasi görüş, sendika üyeliği, dinî veya felsefi inanç, cinsel hayat ya da cinsel yönelim çıkarımı yapan biyometrik sınıflandırma; bir kişinin suç işleme riskinin yalnızca profillemeye veya kişilik özelliklerine dayanılarak değerlendirilmesi; kolluk amacıyla kamuya açık alanlarda gerçek zamanlı uzaktan biyometrik tanımlama (dar istisnalar saklıdır).

Dijital Omnibus ile iki yasak eklenmiştir: tanımlanabilir bir kişiye ait cinsel içerikli gerçekçi görüntü, video veya sesin o kişinin açık rızası olmadan üretilmesi ya da manipüle edilmesi ile çocukların cinsel istismarı niteliğindeki içeriğin üretilmesi. Bu yasaklar 2 Aralık 2026'dan itibaren uygulanacaktır. Yasaklara aykırılığın yaptırımı 35 milyon avroya veya teşebbüsün dünya çapındaki yıllık cirosunun %7'sine kadar idari para cezasıdır; hangisi yüksekse o esas alınır (m. 99/3).

Dijital Omnibus ile değişen takvim

Yapay Zekâ Tüzüğü, Avrupa Parlamentosu ve Konseyinin 8 Temmuz 2026 tarihli ve (AB) 2026/1744 sayılı Tüzüğü (Dijital Omnibus) ile değiştirilmiştir. Değişiklik 24 Temmuz 2026'da AB Resmî Gazetesi'nde yayımlanmış, 27 Temmuz 2026'da yürürlüğe girmiştir. Ek III'te sayılan yüksek riskli sistemlere ilişkin yükümlülükler 2 Ağustos 2026 yerine 2 Aralık 2027'den, ürün mevzuatı kapsamındaki (Ek I) yüksek riskli sistemlere ilişkin yükümlülükler 2 Ağustos 2028'den itibaren uygulanacaktır. Şeffaflık yükümlülükleri (m. 50) 2 Ağustos 2026'dan beri uygulanmaktadır.

Yüksek riskli sistemler ve etki değerlendirmeleri

Ek III; biyometri, kritik altyapı, eğitim, istihdam, temel kamu ve özel hizmetlere erişim (kredi değerliliği ile hayat ve sağlık sigortası dâhil), kolluk, göç ve sınır yönetimi ile adalet ve demokratik süreçler alanlarındaki belirli kullanımları yüksek riskli sayar. Bu alanlar, kişisel verilerin yoğun biçimde işlendiği alanlardır.

Burada iki ayrı değerlendirme söz konusudur. Veri koruma etki değerlendirmesi GDPR m. 35'e dayanır; yüksek riskli sistem kullanıcıları bu değerlendirmeyi yaparken sağlayıcının m. 13 uyarınca verdiği bilgileri kullanır (m. 26/9). Temel haklar etki değerlendirmesi ise Yapay Zekâ Tüzüğü m. 27'de düzenlenmiştir ve her kullanıcı için değil, kamu hukuku tüzel kişileri, kamu hizmeti sunan özel kişiler ile kredi değerliliği ve hayat-sağlık sigortası alanında sistem kullanan kullanıcılar için öngörülmüştür. Dijital Omnibus'tan sonra kullanıcı, temel haklar etki değerlendirmesinde veri koruma etki değerlendirmesinin ilgili bölümlerine atıf yapabilir veya bu bölümleri değerlendirmeye ekleyebilir (m. 27/4).

6698 sayılı Kişisel Verilerin Korunması Kanunu'nda GDPR m. 35'e karşılık gelen bir yükümlülük yoktur. Kişisel Verileri Koruma Kurumu, Kasım 2025'te yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi'nde, Kanun'un bunu zorunlu tutmadığını belirterek, ilgili kişilerin hayatları üzerinde önemli sonuçlar doğurabilecek işlemeler bakımından veri koruma etki değerlendirmesi yapılmasını faydalı görmektedir (Rehber, s. 44).

Önyargının tespiti için özel nitelikli veriler

Dijital Omnibus, 10. maddenin 5. fıkrasını kaldırmış, yerine 4a maddesini getirmiştir. Buna göre yüksek riskli sistem sağlayıcıları, önyargının tespiti ve düzeltilmesi için kesinlikle gerekli olduğu ölçüde ve uygun güvenceler altında, istisnai olarak özel nitelikli kişisel veri işleyebilir. Şartlardan ilki, bu amacın sentetik veya anonim veriler dâhil başka verilerle etkili biçimde gerçekleştirilememesidir. Hüküm 27 Temmuz 2026'dan beri uygulanmaktadır.

Otomatik kararlar ve açıklama hakkı

GDPR m. 22, kişiye yalnızca otomatik işlemeye dayanan ve kendisi hakkında hukuki sonuç doğuran ya da onu benzer ölçüde önemli biçimde etkileyen bir karara tabi olmama hakkı tanır. Avrupa Birliği Adalet Divanı SCHUFA kararında (C-634/21, 7.12.2023), bir kredi bürosunun otomatik olarak ürettiği ödeme gücü skorunun, sözleşme kuracak üçüncü kişi bu skora büyük ölçüde dayanıyorsa, m. 22 anlamında otomatik karar olduğuna hükmetmiştir.

Yapay Zekâ Tüzüğü buna bir hak daha ekler. Ek III'teki yüksek riskli bir sistemin çıktısına dayanılarak verilen ve kişiyi hukuken ya da benzer ölçüde önemli biçimde etkileyen kararlarda, ilgili kişi kullanıcıdan sistemin karar sürecindeki rolü ve kararın temel unsurları hakkında açık ve anlamlı bir açıklama isteyebilir (m. 86). Ek III'teki sistemlerle kişiler hakkında karar veren ya da karara yardımcı olan kullanıcılar, bu kişileri sistemin kullanıldığı konusunda bilgilendirmelidir (m. 26/11).

Türk hukukundaki karşılık, KVKK m. 11/1-(g)'de düzenlenen “işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme” hakkıdır. Kurum'un rehberi bu hakkı yalnızca sonuca karşı değil, kararın dayandığı temellerin yeniden değerlendirilmesini isteme imkânı olarak da yorumlamaktadır (Rehber, s. 52).

Model eğitimi ve web kazıma

Avrupa Veri Koruma Kurulu (EDPB), Aralık 2024 tarihli 28/2024 sayılı Görüşü'nde, kişisel verilerle eğitilmiş bir modelin her durumda anonim sayılamayacağını ve bunun somut olayda değerlendirileceğini belirtmiştir. Modelin anonim sayılabilmesi için, eğitimde kullanılan kişisel verilerin modelden doğrudan çıkarılması ve sorgular yoluyla elde edilmesi olasılığının önemsiz olması gerekir. Görüş, meşru menfaatin hukuki sebep olarak kullanılmasını üç aşamalı teste bağlar: meşru menfaatin belirlenmesi, işlemenin bu menfaat için gerekliliği ve ilgili kişilerin hak ve özgürlükleriyle dengelenmesi.

KVKK rehberine göre, kamuya açık sosyal medya içeriklerinin web kazıma yoluyla toplanıp bir dil modelinin eğitiminde kullanılmasında alenileştirme şartına (m. 5/2-d) dayanılamaz; çünkü ilgili kişiler bu verileri yapay zekâ modeli geliştirilmesi amacıyla alenileştirmemiştir. Verilerin herkese açık olması ise meşru menfaat şartındaki (m. 5/2-f) denge testinde dikkate alınabilir (Rehber, s. 44). Yurt dışında yerleşik hizmet sağlayıcıların üretken yapay zekâ sistemleri kullanılırken kişisel veriler yurt dışına aktarılıyorsa, aktarım m. 9'a ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'e uygun olmalıdır (Rehber, s. 48).

Türk hukukunda durum

Türkiye'de yapay zekâyı doğrudan düzenleyen bir kanun yoktur; TBMM'de kanun teklifleri bulunmaktadır. TBMM Yapay Zekâ Araştırma Komisyonu'nun Mart 2026'da açıklanan raporu, bir Türkiye Yapay Zekâ Kurumu kurulmasını önermiştir. Türkiye Yapay Zekâ Eylem Planı (2026-2030), 2026/9 sayılı Cumhurbaşkanlığı Genelgesi ile yürürlüğe konulmuştur (RG 18.08.2026, S. 33344). Avrupa Konseyi Yapay Zekâ Çerçeve Sözleşmesi (CETS No. 225) 5 Eylül 2024'te Vilnius'ta imzaya açılmıştır; 1 Kasım 2026 itibarıyla Türkiye Sözleşme'yi imzalamamıştır ve Sözleşme henüz yürürlüğe girmemiştir.

Yapay zekâ uygulamalarındaki kişisel veri sorunları bugün 6698 sayılı Kanun'la çözülmektedir: işleme şartları (m. 5, 6), yurt dışına aktarım (m. 9), aydınlatma (m. 10), ilgili kişinin hakları (m. 11) ve veri güvenliği (m. 12). Kurum'un 2021 tarihli Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeleri ile Kasım 2025 tarihli rehberi, bu hükümlerin yapay zekâ bağlamında nasıl uygulanacağını açıklar.

Değerlendirme

Prof. Dr. Murat Volkan Dülger, 2019 tarihli çalışmasında yapay zekâ ile veri koruma hukuku arasındaki gerilimi dört noktada toplamıştı: mümkün olduğunca fazla veri toplama eğilimi, mevcut veriden yeni veri türetilmesi, verinin baştan bilinmeyen amaçlarla işlenmesi nedeniyle amaçla sınırlılık ilkesinin zorlanması ve otomatik karar mekanizmalarının artması. Aynı çalışmada risk değerlendirmesinin yapay zekânın ve büyük verinin özellikleri gözetilerek yapılmasını, tasarımdan itibaren veri korumayı, gereksiz veri işlemeyi önlemek için sentetik verilerin kullanılmasını ve veri sorumlusunun kim olacağının en baştan belirlenmesini önermişti.

Yapay Zekâ Tüzüğü bu önerilerin bir kısmını bağlayıcı kurala dönüştürmüştür. 4a maddesi, önyargı tespiti için özel nitelikli veri işlenmesini sentetik veya anonim verilerle yetinilemeyen hâllerle sınırlamaktadır; etki değerlendirmeleri de yüksek riskli sistemler bakımından zorunlu hâle gelmiştir. Dülger'e göre Türk hukukundaki sorun kural yokluğu değil, yapay zekâya özgü olmayan kuralların yapay zekâ uygulamalarına nasıl uygulanacağına ilişkin belirsizliktir. KVKK m. 11/1-(g)'deki itiraz hakkı da GDPR m. 22'nin ve SCHUFA kararının ulaştığı korumanın gerisindedir; zira kişiye otomatik karara tabi olmama hakkı değil, yalnızca aleyhe sonuca itiraz hakkı tanır.

Dülger'e göre Türkiye, ABD'nin piyasa odaklı, Çin'in devlet odaklı ve AB'nin hak odaklı modellerinden birini seçmek yerine kendi anayasal düzeni ve hukuk kavramları içinden bir çerçeve kurmalıdır. Bu, Yapay Zekâ Tüzüğü'nün etkisinin dışında kalınabileceği anlamına gelmez: AB pazarının ağırlığı ve Gümrük Birliği ilişkisi nedeniyle Yapay Zekâ Tüzüğü, AB'ye sistem sunan Türk şirketlerine fiilen uygulanacaktır. Atılması gereken ilk adım, hak temelli bir asgari zemin sağlayan Avrupa Konseyi Yapay Zekâ Çerçeve Sözleşmesi'nin imzalanması ve onaylanmasıdır.

Yapay Zekâ Tüzüğü ise Türk hukukuna olduğu gibi aktarılmamalıdır. Yapay Zekâ Tüzüğü bir iç pazar ve ürün güvenliği mevzuatıdır; risk temelli yaklaşımı, bazı temel hak müdahalelerini usul gereklilikleri yerine getirildiği sürece kabul edilebilir hâle getirir. Üstelik metin, uygulanmaya başlamadan önemli ölçüde değiştirilmiştir. Buna karşılık Yapay Zekâ Tüzüğü'nün hak temelli çekirdeği, yani insan onuruyla bağdaşmayan kullanımlara ilişkin dar bir yasak listesi, temel haklar etki değerlendirmesi ve etkili bir başvuru yoluyla desteklenen açıklama hakkı, Türk hukuku için yol gösterici olabilir. Ürün güvenliğine ilişkin kısım ise Gümrük Birliği çerçevesinde ayrıca ele alınmalıdır.

Dülger'in genel yaklaşımı yapay zekâyı yasaklamak değil, kontrollü ve denetime açık biçimde kullanılmasını sağlamaktır; çünkü yasaklanan bir teknoloji çoğu zaman denetim dışında kullanılmaya devam eder. Bu nedenle yasakların dar bir çekirdekle sınırlı tutulmasını, diğer riskli kullanımların izin, şart, kayıt, şeffaflık, itiraz ve bağımsız denetim araçlarıyla düzenlenmesini önerir. Kamuya açık alanlarda gerçek zamanlı yüz tanıma için önerisi de bir izin rejimidir: Kullanım amaçları kanunda sayılmalı, kullanım kural olarak hâkim kararıyla yapılmalı, acil durumlarda Cumhuriyet savcısının kararıyla başlatılıp yirmi dört saat içinde hâkim onayına sunulmalı ve her kullanım kayıt altına alınmalıdır.

Anılan düzenleme ve kaynakların Türkiye bakımından durumu

Bu sayfada anılan düzenleme ve kaynaklar, tam adları ve Türkiye bakımından hukuki durumlarıyla aşağıda gösterilmiştir. Türkiye'de yürürlükte olmayan metinlerin neden anıldığı ve hangi hâllerde Türkiye'deki kişileri bağlayabileceği de belirtilmiştir.

  • Türk mevzuatı: 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK; RG 7.4.2016, S. 29677) ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (RG 10.7.2024, S. 32598). Türkiye'de yürürlüktedir ve bağlayıcıdır.
  • AB Yapay Zekâ Tüzüğü: Avrupa Parlamentosu ve Konseyinin 13 Haziran 2024 tarihli ve (AB) 2024/1689 sayılı Tüzüğü. AB'de 1 Ağustos 2024'ten beri yürürlüktedir. Türkiye AB üyesi olmadığından Türkiye'de yürürlükte değildir; Türk makamlarını ve mahkemelerini bağlamaz. Ancak sistemini AB'de piyasaya süren veya hizmete sokan ya da sisteminin çıktısı AB'de kullanılan Türkiye'deki sağlayıcı ve kullanıcılar için bağlayıcıdır (m. 2/1-a, c). Türkiye'nin AB'ye aday ülke olması ve Gümrük Birliği çerçevesinde ürünlere ilişkin teknik mevzuatı uyumlaştırma yükümlülüğü nedeniyle, Türk düzenlemeleri için de örnek olarak anılmaktadır.
  • Dijital Omnibus: Avrupa Parlamentosu ve Konseyinin 8 Temmuz 2026 tarihli ve (AB) 2026/1744 sayılı Tüzüğü. AB Yapay Zekâ Tüzüğü'nü değiştirir; AB'de 27 Temmuz 2026'dan beri yürürlüktedir. Türkiye bakımından durumu AB Yapay Zekâ Tüzüğü ile aynıdır.
  • Genel Veri Koruma Tüzüğü (GDPR): Avrupa Parlamentosu ve Konseyinin 27 Nisan 2016 tarihli ve (AB) 2016/679 sayılı Tüzüğü. AB'de 25 Mayıs 2018'den beri uygulanır; Türkiye'de yürürlükte değildir. AB'deki kişilere mal veya hizmet sunan ya da onların AB'deki davranışlarını izleyen Türkiye'deki şirketler için bağlayıcıdır (m. 3/2). KVKK AB veri koruma hukuku örnek alınarak hazırlandığından, GDPR ve AB içtihadı karşılaştırma ölçüsü olarak anılmaktadır.
  • Avrupa Birliği Adalet Divanı, SCHUFA kararı (C-634/21, 7.12.2023): GDPR m. 22'nin yorumuna ilişkindir; Türkiye'yi bağlamaz. KVKK m. 11/1-(g) ile karşılaştırma amacıyla anılmıştır.
  • Avrupa Veri Koruma Kurulu (EDPB; AB veri koruma otoritelerinden oluşan kurul), 28/2024 sayılı Görüş, Aralık 2024: AB'deki denetim makamlarına yöneliktir; Türkiye'yi bağlamaz. Aynı sorunlara Kişisel Verileri Koruma Kurumu'nun yaklaşımıyla karşılaştırmak için anılmıştır.
  • Kişisel Verileri Koruma Kurumu, Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda), Yayın No. 113, Kasım 2025; Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler, 2021: Türkiye'deki veri koruma otoritesinin yorumunu yansıtır. Kanun veya yönetmelik niteliğinde olmadığından bağlayıcı değildir; Kanun'un Kurul uygulamasında nasıl yorumlandığını göstermesi bakımından yol göstericidir.
  • Yapay Zekâ ve İnsan Hakları, Demokrasi ve Hukukun Üstünlüğüne İlişkin Avrupa Konseyi Çerçeve Sözleşmesi (CETS No. 225), 5 Eylül 2024'te imzaya açıldı: Henüz yürürlüğe girmemiştir; Türkiye imzalamamıştır. Bu nedenle Türkiye'yi bağlamaz. Türkiye'nin kurucu üyesi olduğu Avrupa Konseyi'nin yapay zekâya ilişkin ilk bağlayıcı uluslararası antlaşması olduğu için anılmıştır.
  • Türkiye Yapay Zekâ Eylem Planı (2026-2030) ile İlgili 2026/9 sayılı Cumhurbaşkanlığı Genelgesi (RG 18.8.2026, S. 33344): Yürürlüktedir; genelge olarak kamu idaresine yöneliktir, kişiler için doğrudan yükümlülük doğurmaz.
  • TBMM Yapay Zekâ Araştırma Komisyonu Raporu (Mart 2026) ve TBMM'deki yapay zekâ kanun teklifleri: Bağlayıcı değildir; Türkiye'deki düzenleme tartışmasının güncel durumunu göstermek için anılmıştır.

İlgili yayınlar

Mevzuat durumu: 1 Kasım 2026. Bu sayfa genel bilgi amaçlıdır; somut bir olaya ilişkin hukuki değerlendirmenin yerini tutmaz.