KVKK’nın üretken yapay zekâ rehberi oteller için ne anlatıyor?

Kişisel Verileri Koruma Kurumu (Kurum), kişisel verilerin korunması kanununun (KVKK) düzenleyicisi, "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)" başlıklı rehberi 24 Kasım 2025'te yayımladı. Bu bir yönerge, yeni bir kural değil: var olan kişisel verilerin korunması kanununun üretken yapay zekâya nasıl uygulandığına dair 15 soru. Oteller 5, 9, 10, 11, 12 ve 13. soruları okumalı, kalanını danışmanına götürmeli.

Ön büro sorumlusu, kibar bir yanıt hazırlamak için misafirin şikâyetini bir sohbet aracına yapıştırır. Mesajda bir isim, oda numarası, konaklama tarihi ve bir sağlık bilgisi vardır. Tek bir eylem, rehberin tam olarak bu durum için yazıldığı sahnedir. Bu yazının sonunda rehberin 15 sorusundan hangilerinin otelinize dokunduğunu, her birinde rehberin ne dediğini ve hangi kararların size değil hukuk danışmanınıza ait olduğunu bileceksiniz.

KVKK üretken yapay zekâ rehberi nedir?#

Bir yönerge metnidir, yeni bir yasa değil. Kişisel Verileri Koruma Kurumu, rehberi internet sitesinde 24 Kasım 2025'te yayımladı; PDF kapağında "Yayın No: 113, Kasım 2025" yazıyor. Kurum, rehberi üretken yapay zekâ sistemlerinin yaşam döngüsü boyunca yürütülen kişisel veri işleme faaliyetlerinde veri sorumlusu konumundaki aktörlere yol göstermek için hazırladığını belirtir. Kaynağın tamamı: Kişisel Verileri Koruma Kurumu, rehber duyuru sayfası (24 Kasım 2025).

Biçim şöyle: "üretken yapay zekâ nedir" sorusundan "ebeveynler ne yapabilir" sorusuna kadar 15 numaralı soru, her biri düz metinle yanıtlanmış. Bir okuma metni, görev listesi değil. Yorumladığı yasa, 6698 sayılı Kanun, üretken yapay zekâdan önce geldi ve yapay zekâyı anmaz. Rehber bu kanunun nasıl uygulandığını açıklar; görev eklemez, izin vermez. Bu yazı boyunca "rehber şunu diyor" daima tam olarak bunu demektedir, asla "kanun artık şunu istiyor" değil.

Rehber, üzerinde inşa edildiği önceki belgeye dayanır: "Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler" (KVKK Yayınları No: 76, Nisan 2025). Kasım rehberi, yapay zekâ geliştiricisi ve yapay zekâ servis sağlayıcısı tanımlarında bu belgeye atıf yapar. Asıl metni açmak değerlidir; danışmanınız rıza, aktarım ve şeffaflık konularında rehberin kendi ifadesiyle çalışacaktır.

15 sorudan hangileri otelin günlük işine dokunuyor?#

Altısı dokunuyor: riskler konusunda 5. soru, hukuki sebep konusunda 9. soru, yurt dışına aktarım konusunda 10. soru, şeffaflık konusunda 11. soru, ilgili kişi hakları konusunda 12. soru ve güvenlik konusunda 13. soru. Kalanı teknolojiyi açıklar ya da veri sorumlularına değil bireylere seslenir.

Personel yanıt hazırlama örneğine dönelim. Bir sohbet aracına yapıştırılan mesaj isim, oda numarası, konaklama tarihi ve şikâyet içerebilir. Bu tek eyleme 6, 9, 10 ve 11. soruların hepsi dokunur; personel kuralının araç seçiminden daha önemli olmasının nedeni budur. Aynı mantık otelin web sitesindeki ya da misafir uygulamasındaki misafire açık asistana da uygulanır: 11. soru, sohbet botları gibi sistemlerle etkileşimde bulunan kişilerin bir üretken yapay zekâ sistemiyle iletişim kurduklarını açıkça bilmeleri gerektiğini belirtir.

Yinelenen sorunları bulmak için yorumların, OTA mesajlarının, şikâyet kayıtlarının ya da görüşme dökümlerinin analizi anonim görünür; ama 6. soru kişisel verinin fiilen işlenip işlenmediğini sorar ve serbest metin çoğu zaman tanımlayıcı bilgi taşır. Misafir fotoğraflarından, yorumlarından ya da personel malzemesinden pazarlama metni ya da görsel üretimi de kapsam dahilindedir: 9. soru, kişinin alenileştirdiği verilerin yalnızca alenileştirme iradesine uygun biçimde işlenebileceğini, herkesin erişebildiği verinin herkesin serbestçe işleyebileceği veri olmadığını belirtir.

Araç seçerken 7. soru (veri sorumlusu ve veri işleyen) ile 10. soru (aktarım), sözleşmenin ne içermesi ve sağlayıcının neyi açıklaması gerektiğini belirler. Çerçeveyi doğru tutun: rehber bir yasak listesi değildir. Otelden, yapay zekâ için, kişisel verinin herhangi bir başka işlemesinde zaten yanıtladığı soruları yanıtlamasını ister. Personelin neyi paylaşabileceğini kendi yapay zekâ kullanım politikanıza yazın ve danışmanınıza inceletin.

Rehber hukuki sebep konusunda ne diyor?#

Rehber, üretken yapay zekâ sistemiyle yapılan işlemenin 6698 sayılı Kanun'un 5. maddesindeki (özel nitelikli veriler için 6. maddesindeki) sınırlı sayıdaki işleme şartlarından en az birine dayanması gerektiğini, şartlar arasında hiyerarşi olmadığını ve modelin geliştirilmesi, çalıştırılması ile çıktılarının kullanılması için ayrı ayrı şart belirlenmesi gerektiğini söylüyor. Başlangıç noktası açık: Kanun yapay zekâya atıf yapmaz, ama kullanılan teknolojiden bağımsız olarak uygulanır.

Üç faaliyet, üç şart. Model geliştirmek, çalıştırmak ve çıktılarını kullanmak her biri ayrı veri işleme faaliyeti olabilir; yalnızca araç kullanan bir otel, aracı inşa eden sağlayıcıdan daha dar bir soruyu yanıtlar. Kullanım için alınan açık rıza geliştirmeye uzanmaz: üretken yapay zekânın kullanımı için alınan açık rıza, sistemin geliştirilmesini kapsamaz.

Sözleşmenin ifası şartının bir sınırı vardır. Sohbet botu hizmeti sunmak için kullanıcı girdilerini işlemeyi kapsayabilir; kullanıcı verilerinin büyük dil modellerini geliştirmek ya da kişiselleştirilmiş reklam sunmak için kullanılmasını kapsamaz. Meşru menfaat ne son çare ne de torba şarttır; rehber iki aşamalı bir değerlendirme ve denge testi ister. Kanun veri koruma etki değerlendirmesini zorunlu tutmaz; rehber, işlemeler kişilerin hayatında önemli sonuçlar doğurabilecek sistemlerle yapıldığında böyle bir değerlendirmeyi faydalı bulur.

Avukatsız yapılabilecek olan şu: her yapay zekâ kullanımı için hangi verinin girdiğini, hangi çıktının üretildiğini, kimin aldığını ve hangi amaçla işlendiğini yazın. Bu tanım, danışmanınızın ihtiyaç duyduğu girdidir ve bu iş otelin işidir, danışmanın değil.

Rehber yurt dışına aktarım konusunda ne diyor?#

Rehber, yurt dışına aktarım için 5. ya da 6. maddedeki işleme şartlarından birinin ve yeterlilik kararının gerektiğini; yeterlilik kararı yoksa yine bir işleme şartının ve 9. maddenin 4. fıkrasındaki uygun güvencelerden birinin gerektiğini söylüyor. Güvence yolunda ilgili kişinin aktarılan ülkede de haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi şarttır. İkisi de yoksa yalnızca 6. fıkradaki arızi hâllerde aktarım yapılabilir. Aktarım ayrıca 10.07.2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'e tâbidir.

Otellere düşen cümle şu: Türkiye'de faaliyet gösteren veri sorumluları üretken yapay zekâ sistemlerini yurt dışında yerleşik hizmet sağlayıcılar aracılığıyla kullanıyorsa ve kişisel veriler bu sistemler aracılığıyla yurt dışına aktarılıyorsa, aktarım 9. maddeye ve bu Yönetmelik'e uygun yapılmalıdır. Birçok sohbet aracı Türkiye dışında işler; bu, sağlayıcıyla birlikte tespit edilecek bir olgudur, bu yazıda varılacak bir sonuç değil.

Satın alma sorusunu yeniden çerçeveleyin: "bu araç iyi mi" değil, "nerede işleniyor, kim tarafından, hangi sözleşmeyle, hangi güvence sunuluyor". Soruyu barındırma pazarlamasıyla karıştırmayın: bir sağlayıcının verileri şu ülkede sakladığını söylemesi, işlemenin nerede gerçekleştiğini ya da hangi alt yüklenicilerin devrede olduğunu yanıtlamaz. Belirli bir aracın ve belirli bir veri akışının bu çerçeveye uyup uymadığı hukuksal bir yargıdır ve danışmanınıza aittir.

Araç seçimi tarafı için personel için yapay zekâ aracı seçimi kontrol listemize bakın.

Rehber şeffaflık, misafir hakları ve güvenlik konusunda ne istiyor?#

Rehber, otelden üretken yapay zekâ sisteminin kullanılmasına yönelik işlemeler ile sistem ve modellerin geliştirilmesine yönelik işlemeler hakkında ayrı ve açık aydınlatma yapmasını, kişilere bir üretken yapay zekâ sistemiyle konuştuklarını bildirmesini ve Kanun'daki hakların uygulamada işler kalmasını ister. Aydınlatma yükümlülüğü uygulanır; rehber 10.03.2018 tarihli ve 30356 sayılı Resmî Gazete'de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'i anar.

İki aydınlatma, tek değil. Rehber, sistemi ya da arayüzünü kullanmak için yapılan işlemeler ile sistem ve modellerin geliştirilmesi için yapılan işlemeler hakkında ayrı ve açık aydınlatma yapılmasının önemli olduğunu, işleme amacı değişirse yeniden aydınlatma yapılması gerektiğini söyler. Açık rızaya dayanan işlemelerde aydınlatma ve açık rıza ayrı ayrı, sade bir dille yerine getirilmelidir; bir rıza onay kutusu aydınlatma metninin yerine geçmez.

Erişilebilirlik ve açıklık önemlidir. Aydınlatma metni sistem arayüzünde kolayca erişilebilir olmalı, sohbet botuyla etkileşen kişi bir üretken yapay zekâ sistemiyle iletişim kurduğunu açıkça bilmelidir. Veriler ilgili kişiden elde edilmediyse, örneğin iletilen bir mesaj ya da herkese açık bir yorum söz konusuysa, makul bir süre içinde aydınlatma yapılması beklenir.

Haklar konusunda rehber, 11. maddedeki hakların üretken yapay zekâ sistemleri için de geçerli olduğunu ve pratik güçlüklerin bu hakları uygulanamaz kılmadığını belirtir. Münhasıran otomatik sistemlerle analiz sonucu kişinin aleyhine çıkan sonuca itiraz hakkını öne çıkarır. Haklar eğitim verilerini, ince ayar verilerini, model çıktılarındaki bilgileri ve kullanıcı sorgularındaki içerikleri de kapsar. Rehberin pratik önerileri: düzenli kayıt, veri eşleştirme ve veri etiketleme gibi izlenebilirlik araçları, tasarımdan itibaren ve varsayılan olarak mahremiyet. Güvenlik konusundaki 13. soru aynı gruptadır. Bu yükümlülüklerin ardındaki geniş çerçeve için otellerde KVKK rehberimize bakın.

Otelin KVKK dosyası için tek sayfalık okuma notuna ne girer?#

Üç bölümlük tek bir sayfa: rehberin ne olduğu, hangi sorularının otelin kendi yapay zekâ kullanımlarına dokunduğu ve danışmanın yanıtlaması gereken açık sorular. Bir okuma ve olgu kaydıdır, hukuksal görüş değil.

Başlıkta rehberin adı, yayımlayan kurum, 24 Kasım 2025 yayım tarihi, 113 yayın numarası ve kvkk.gov.tr adresi yer alır ki sonradan okuyan kişi aynı metni bulabilsin. Gövdede otelin bugünkü yapay zekâ kullanımlarının envanteri olur: her biri için giren veriler, araç, işlemenin yapıldığı yer ve otel içinde kimin kullanabileceği. Her kullanım için rehberin ilgili soruları ve otelin bugünkü yanıtı ya da "açık" yazılır. Dürüst bir "açık", uydurulmuş bir yanıttan değerlidir.

Danışmana giden açık sorular tarihlenerek yazılır, yanıt geldiğinde geri yazılır. Not böylece kimsenin açmadığı bir belge olmak yerine canlı kalır. Takvim tarihi yerine bir gözden geçirme tetiği kullanın: bir kullanım değiştiğinde, yeni bir araç alındığında ya da sağlayıcı koşullarını değiştirdiğinde notu güncelleyin. Olmaması gerekenler: "uyumluyuz" bildirimi, danışmanın vermediği hukuksal sonuç, sertifika iddiası. Rehber bir yönergedir; not da öyle okunmalı.

Şimdi ne yapmalı#

Kurumun sitesindeki rehber PDF'ini (yeni sekmede açılır) açın, otelin yapay zekâ kullanımlarını her biri için veri, araç ve işleme yeriyle tek sayfada listeleyin ve bu sayfayı danışmanınıza götürün. Soruları rehber, olguları otel, yargıyı danışman sağlar; bu çalışmadan çıkan iki belge, personel kuralı ve danışmanınıza sorulacak KVKK soru listesidir.