Otomatik karar ve KVKK: yazılımın sonucuna misafir ve çalışan nasıl itiraz eder?

6698 sayılı Kanun'un 11. maddesi, münhasıran otomatik sistemlerle yapılan analiz sonucunda aleyhine bir sonuç çıkan kişiye itiraz hakkı tanır: insan değerlendirmesi olmadan, yalnızca yazılımın ürettiği bir sonuç. Veri sorumlusu talebi en kısa sürede ve en geç otuz gün içinde sonuçlandırır (Kanun No. 6698, mevzuat.gov.tr).

Bir özgeçmiş eşik altında puanlandı ve hiç açılmadı. Masadaki kimsenin açıklayamadığı bir risk kuralı bir rezervasyonu iptal etti. Her iki durumda da kişi yalnızca yazılımdan gelen bir sonuçla karşılaştı ve Türk veri koruma kanunu bu kişiye itiraz yolu açıyor. Oteller için KVKK'da otomatik karar geleceğin sorunu değil: bir otelde bugün risk kuralları, teklif seçimi ve eleme araçları çalışabilir ve her biri bir kişi hakkında sonuç üretebilir. Bu yazının sonunda bu sonuçların nerede ortaya çıktığını, "münhasıran otomatik" ifadesinin ne anlama geldiğini ve kararda bir insanı tutup bunu sonradan kanıtlayabileceğinizi bileceksiniz.

KVKK'nın 11. maddesi kişiye otelden ne sorma hakkı verir?#

Madde, herkesin veri sorumlusuna başvurarak neler isteyebileceğini sayar ve bu listedeki maddelerden biri, münhasıran otomatik sistemlerle yapılan analiz sonucunda aleyhine çıkan bir sonuca itiraz etme hakkıdır.

Veri sorumlusu oteldir. Başvuru oteline yapılır, yazılım tedarikçisine değil; ve otel, sistemlerinin yaptığı eylem için kendisi yanıt verir. Listelenen haklar arasında kişisel verisinin işlenip işlenmediğini ve amacını öğrenme, verinin yurt içinde ya da yurt dışında aktarıldığı üçüncü kişileri bilme hakları vardır. Eksik ya da yanlış işlenen verinin düzeltilmesini, silinmesini ya da yok edilmesini isteme hakkı da vardır.

İtiraz hakkı düzeltmeden ayrıdır: konu yanlış veri değil, kişinin geçerli olmaması gerektiğini söylediği bir sonuçtur. Veri sorumlusu talebi en kısa sürede ve en geç otuz gün içinde, işlem ayrıca bir maliyet gerektirmedikçe ücretsiz sonuçlandırır (Kanun No. 6698, mevzuat.gov.tr birleşik metni (yeni sekmede açılır), 01.11.2026).

Kurumun üretken yapay zekâ rehberi, “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)” (24 Kasım 2025), 11. madde haklarının üretken yapay zekâ sistemleri için de geçerli olduğunu, pratik güçlüklerin hakları uygulanamaz kılmadığını ve hakların eğitim verilerini, ince ayar verilerini, model çıktılarındaki bilgileri ve kullanıcı sorgularındaki içerikleri kapsadığını belirtir.

Bir otelde bu tür bir sonuç nerede ortaya çıkabilir?#

Yazılımın bir kişiyi puanladığı, sıraladığı, işaretlediği ya da seçtiği ve gerçek yetkisi olan hiç kimsenin sonucu değiştirmediği her yerde.

İşe alım en net örnektir: bir araç başvuruları sıralar ve en düşük puanlılar hiç açılmaz. Aday bir sayıyla elenir ve bir sayının varlığından belki hiç haberdar olmaz. Rezervasyon riski bir diğeridir: bir kural, kanal, fiyat örüntüsü ya da geçmiş iptal bilgisiyle bir rezervasyonu yüksek riskli işaretler ve otel rezervasyonu iptal eder ya da varıştan önce ön ödeme ister.

Teklifler ve oda yükseltmeleri de kapsama girebilir. Yazılım, hangi misafire hangi teklifi hangi fiyatla göstereceğine karar verir; hiç teklif almayan bir misafir, aynı konaklamayı yapan başka bir misafirden farklı muamele görmüştür. Çalışanlar da ilgili kişidir: vardiya ataması, kat hizmetlerinde iş dağıtımı ve performans puanları çalışanlar hakkında sonuç üretir. Misafir mesajlaşması, bir asistan bir şikâyete yanıt verip bir jest önerdiğinde sayılır; yanıt o misafir hakkında bir çıktıdır ve rehber, model çıktılarını hakların kapsadığı veriler arasında sayar.

Bir kişiye bilgi veren sistemle bir kişi hakkında karar veren sistem arasına çizgiyi çizin. Yönetici için hazırlanan bir ciro raporu birincisidir; rezervasyonu engelleyen kural ikincisidir. Bunların hiçbiri yapay zekâ adı taşıyan bir şey gerektirmez: kural motorundaki bir eşik de otomatik analizdir.

"Münhasıran otomatik sistemlerle yapılan analiz" ne demektir?#

Kanun metni sonucun münhasıran otomatik sistemlerle yapılan analizden çıkmasını şart koşar; bu ifadenin kapsamını, bakıp bulabileceğiniz bir tanım değil, danışmanınıza soracağınız bir soru olarak ele alın.

İfade tasarım gereği dardır: bir kişi gerçekten sonucun içinde yer aldıysa itiraz hakkı doğru yol olmayabilir; düzeltme ya da 11. maddenin başka bir başlığı daha uygun düşebilir. Zor olan durum, puanı gören, onaylar'a tıklayan ve geçen gözden geçirendir; tıklamanın sorunu çözdüğünü varsaymayın. Danışmanınıza dört şey sorun: gözden geçiren girdiyi ve puanın gerekçesini görüyor mu; kimseye sormadan sonucu geri çevirebiliyor mu; kuralı kuran ekipten bağımsız mı; inceleme, karar etkili olmadan önce kayda geçiyor mu.

Rehber, itiraz hakkını önemli bir güvence olarak adlandırır ve düzenli kayıt, veri eşleştirme ve veri etiketlemeyi önerir; bu, sorunun sonradan yanıtlanabilir olmasını sağlayan şeydir. Rehber ayrıca Kanun'un veri koruma etki değerlendirmesini zorunlu kılmadığını, ancak işlemeler kişilerin hayatında önemli sonuçlar doğurabilecek sistemlerle yapıldığında böyle bir değerlendirmeyi faydalı bulduğunu yazar. Kimin elendiğine karar veren bir puanlama sistemi bu tanımın adayıdır. AB veri koruma hukukunda karşılaştırılabilir bir hüküm vardır; o Türk hukuku değildir ve Türk metnin nasıl okunacağını belirlemez.

Bu ve benzeri konularda danışmanınıza götürülecek sorular için yapay zekâ ve misafir verisi: KVKK danışmanınıza sorulacak sorular yazımıza bakabilirsiniz.

Kararda bir insanı nasıl tutarsınız ve bunu sonradan nasıl kanıtlarsınız?#

Bilgiyi, yetkiyi ve sonucu değiştirme görevini tek bir adı belli role verin ve kararı, etkili olmadan önce kayda geçirin.

Rol belirtin, ekip değil. "Rezervasyon sorumlusu"na ne olduğunu sorulabilir; "ön büro"ya sorulamaz. Gözden geçirene, sistemin ne gördüğünü ve neden böyle puanladığını gösterin: gerekçesiz bir puan gözden geçirilemez, yalnızca kabul edilebilir. O kişiye, üstüne çıkmadan sonucu geri çevirme yetkisi verin; kuralı kurana sormak zorunda kalan gözden geçiren karar vermiyor demektir.

Kimin incelediğini, ne zaman, ne gördüğünü, neyi değiştirdiğini ve nedenini kaydedin; rehberin izlenebilirlik araçları ve düzenli kayıt önerisi, KVKK dilinde aynı talimattır. İncelemeye bir süre koyun ki "beklemede" sessiz ve sahipsiz bir red olmasın. Yalnızca ürettiği tekil olayları değil, kuralın kendisini de planlı olarak gözden geçirin: yanlış bir kural, savunulabilir görünen kararlar üretmeye devam eder. İşe alımda aynı disiplin eleme listesine, mülakat sorularına ve sonradan tutulan notlara uygulanır; ayrıntılar için otel insan kaynaklarında yapay zekâ yazısına bakınız.

Misafir işaretleri ve kara listeler: kayıtta ne yazmalı, kim görebilmeli?#

Bir işaret, bir kişi hakkında ileri sürülen bir iddiadır; bu yüzden belirtilmiş bir gerekçe, adı belli bir sahip, bir saklama süresi ve görmesine izin verilen kısa bir kişi listesi ister.

Olguyu yorumdan ayırın. "14 Mart ve 2 Nisan'da iki rezervasyon iptal etti" bir olgudur; "sorunlu misafir" bir yorumdur ve kimin yazdığıyla birlikte yorum olarak etiketlenmelidir. Gerekçeyi, bir meslektaşınızın ne demek istediğinizi sormadan rezervasyon geçmişiyle karşılaştırabileceği biçimde yazın.

Özel nitelikli verileri kayıttan uzak tutun. Sağlık, din, siyasi düşünce, sendika üyeliği ve cinsel hayat 6. madde altında daha sıkı koşullar ister ve bunlar en çok serbest metin not alanında yanlışlıkla yer bulur. Bir bitiş tarihi belirleyin: süresi olmayan bir işaret, kendisinden haberi olmayan bir kişiye uygulanan kalıcı bir yargıya dönüşür. Erişim listesini kısa tutun, gözden geçirin ve hangi çalışanların kaydı açtığını söyleyebilin. Misafir sorarsa otel, otuz günlük süre içinde işaretin varlığını, dayanağını ve nereden geldiğini açıklayabilmelidir. Hangi işaretlerin otomatik bir sonucu beslediğini önceden belirleyin, çünkü itiraz hakkının ulaşabileceği olanlar onlardır. Profile neyin girip girmemesi gerektiği için misafir profili: ne kaydedilir, ne asla kaydedilmez yazısına bakınız.

Bu hakkı başvuru prosedürünüze nasıl eklersiniz?#

Bir kabul sorusu, bir adı belli sorumlu ve bir kayıt satırı ekleyin; hak, politikadaki bir paragraftan çıkıp otelin gerçekten yanıtlayabileceği bir şeye dönüşür.

Kabul aşamasında form ya da e-posta şablonuna "bu karar yalnızca yazılımla mı verildi?" sorusunu ekleyin ve ilgili sistemin adını kaydedin. Başvuruyu ön büroya değil, o sistemin sorumlusuna yöneltin; büro başvuruyu alabilir ama bir puanlama kuralını açıklayamaz.

Yanıtı düz bir dille verin: sistem ne yaptı, insan hangi rolde oynadı, sonuçta ne değişti. Rehber, üretken yapay zekâ işlenmesi hakkında kişileri bilgilendirme konusunda da sade dil ister. Otuz günlük süreyi başvurunun ulaştığı gün başlatın ve görünür tutun; süre dosyanın doğru masaya ulaştığı andan değil, başvurunun alındığı andan işler. Yanıt, karara hiçbir kişinin katılmadığıysa kararı bir kişiyle yeniden işleyin, yeni sonucu kaydedin ve yanıtta bunu belirtin.

Başvuru türünü kaydedin ki otomatik sonuçlara itirazların seyrek mi rutin mi olduğunu görebilin. Rutin bir örüntü hukuksal değil, tasarım sorunudur. Gizlilik metnini güncelleyin: rehber, üretken yapay zekâ sistemiyle işleme ve sistem ve model geliştirmek için işleme hakkında ayrı ve açık aydınlatma yapılmasını ister ve sohbet botuyla etkileşen kişilerin üretken yapay zekâ sistemiyle konuştuğunu açıkça bilmeleri gerektiğini söyler. Genel prosedür için misafirin KVKK başvurusu nasıl yanıtlanır yazısına bakınız.

Şimdi ne yapmalı#

Bu hafta başvuru prosedürünüzü açın ve bir satır ekleyin: "bu karar yalnızca yazılımla mı verildi?" Sonra, gerekçeleri gören ve sonucu geri çevirebilen bir gözden geçireni olmadan kişi hakkında sonuç üretebilen her sistemi listeleyin. O liste gerçek riskinizdir ve aynı zamanda iş planınızdır: her satır için adı belli bir gözden geçiren, kayda geçmiş bir karar ve otuz günlük bir yanıt. "Münhasıran" okumasını ve kendi durumunuzu, dayanmadan önce bir hukuk danışmanıyla teyit edin.