Yapay Zekâ ve KVKK: Müşteri Hizmetlerinde Satıcı Kontrol Listesi

Yapay zekâ ve KVKK açısından satıcının bilmesi gereken ilk kural şu: Müşterinin WhatsApp, Instagram ya da Messenger'dan yazdığı mesaj kişisel veridir ve bu mesajları yapay zekâya yanıtlatmaya karar veren mağaza, veri sorumlusu olarak kalır. KVKK yapay zekâ asistanı kullanmayı tek başına yasaklamaz; ama hukuki dayanağı, aydınlatmayı, yurt dışı aktarımı ve silme taleplerini önceden kurmanız gerekir.

Kampanya mesajı, ticari ileti onayı ve İYS'yi arıyorsanız: WhatsApp ve İYS rehberi. Bu yazı, müşterinin sorusuna verilen yanıtın arkasındaki veri işlemeyi anlatır.

Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir; kendi durumunuz için hukuk danışmanınızla doğrulayın.

Yapay zekâ ve KVKK: müşteri mesajı kişisel veridir

Müşterinin adı, telefonu, sipariş numarası, adresi ve mesajın kendisi kişisel veridir. KVKK m.3 iki rolü ayırır: işlemenin amacını ve vasıtalarını belirleyen veri sorumlusu ve onun verdiği yetkiyle, onun adına işleyen veri işleyen. Müşteri hizmetinde tipik tablo şöyledir:

• Mağaza veri sorumlusudur. Mesajların hangi amaçla, hangi araçla yanıtlanacağına siz karar verirsiniz.
• Destek yazılımı sağlayıcısı çoğunlukla veri işleyendir. Veriyi sizin talimatınızla ve sizin adınıza işler.
• Yapay zekâ model sağlayıcısı, destek yazılımının yanıt üretmek için kullandığı hizmettir.

KVKK'nın Kasım 2025'te yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, rolü sözleşmedeki etiketin değil, tarafların fiili kontrolünün belirlediğini vurgular. Rehberin bir örneğinde, hazır bir dil modelini kendi işine entegre edip hangi verinin hangi amaçla işleneceğine karar veren şirket veri sorumlusu olarak değerlendirilebilir.

Bunun iki pratik sonucu var: Yazılım almak sorumluluğu devretmez; veri sorumlusu, güvenlik tedbirlerinden veri işleyenle birlikte müştereken sorumludur (m.12/2). Sağlayıcı verinizi kendi amacı için (kendi modelini eğitmek, reklam) kullanıyorsa, o işleme bakımından kendisi veri sorumlusu sayılabilir.

Açık rıza gerekir mi? Hukuki dayanaklar

KVKK'da kural açık rızadır (m.5/1), ama m.5/2 açık rızanın aranmadığı hâlleri sayar. Müşterinin "Siparişim nerede?" sorusunu yanıtlamak için mesajını ve sipariş kaydını işlemek, çoğu durumda sözleşmenin kurulması veya ifasıyla doğrudan ilgili işleme şartına (m.5/2-c) dayanabilir. KVKK rehberi de sohbet botlarının hizmeti sunmak için kullanıcı girdilerini işlemesini bu şarta dayandırılabilir sayar; aynı verinin model geliştirmek için kullanılmasını ise sözleşmeyle doğrudan ilgili görmez.

Kurul'un 2026/347 sayılı ilke kararı (Resmî Gazete, 24 Mart 2026) bu noktada nettir: İşleme başka bir hukuki sebebe dayanıyorsa müşteriye ayrıca açık rıza metni sunulmaz. "Her ihtimale karşı onay kutusu koyalım" yaklaşımı bu yüzden güvenli taraf değildir.

Müşteri sağlık bilgisi gibi özel nitelikli veri de yazabilir ("Hamileyim, bu ürün uygun mu?"). Bu veriler ayrı rejime tabidir (m.6); asistanın ayrıntı istememesi daha ihtiyatlı bir yoldur. Bir terim karışıklığına da dikkat: Asistanı mağaza bilgisi ve talimatla eğitmek, modeli müşteri verisiyle eğitmek demek değildir.

Aydınlatma: mesaj kanallarında nasıl yapılır?

Aydınlatma, hangi dayanağı kullanırsanız kullanın, veri işlemeye başlamadan önce yapılır. Metin kimliğinizi, işleme amacını, verinin kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebi, müşterinin m.11'deki haklarını içerir (m.10). Kurul'un 2026/347 sayılı ilke kararı ayrıca sade dil ister, başka şirketin metninin birebir kopyalanmasını kabul etmez ve açık rızaya dayalı işlemede iki metnin ayrı başlıklar altında durmasını şart koşar.

Yapay zekâ kullanan bir mağazanın aydınlatma metninde şunlar açıkça yer almalı:

• Müşteri mesajlarının yapay zekâ destekli bir yazılımla yanıtlandığı,
• İşlenen veriler: mesaj içeriği, ad, telefon ya da kullanıcı adı, sipariş bilgisi, gönderilen görseller,
• Aktarılan taraflar (destek yazılımı, model sağlayıcısı, kargo firması) ve verinin yurt dışında işlenip işlenmediği,
• Veriler model eğitiminde de kullanılıyorsa bunun ayrıca belirtilmesi (KVKK rehberi bunu önemli görür).

DM'de uzun metin göndermek pratik değildir; aydınlatma metnine Instagram biyografisinden, WhatsApp işletme profilinden ve ilk yanıttaki kısa bir cümleden link vermek uygulanabilir bir çözümdür. Bu bir uygulama önerisidir; Kurul'un DM kanallarına özgü bir kararına rastlamadık.

Yurt dışına veri aktarımı: 2024'ten beri ne değişti?

Veri Türkiye dışına aktarılıyorsa KVKK m.9 devreye girer; Avrupa'daki bir veri merkezi de yurt dışıdır. Madde 7499 sayılı Kanunla baştan yazıldı: Yeni hüküm 1 Haziran 2024'te yürürlüğe girdi, eski "açık rızayla aktarım" kuralı 1 Eylül 2024'e kadar yeni hükümle birlikte uygulandı. Bugün sıra şöyle:

1. Yeterlilik kararı. Kurul'un aktarılan ülke ya da sektör için verdiği karar. Yazı tarihi itibarıyla Resmî Gazete'de yayımlanmış bir karara rastlamadık; güncel durumu kvkk.gov.tr'den kontrol edin.
2. Uygun güvence. Karar yoksa Kurul'un ilan ettiği standart sözleşme, bağlayıcı şirket kuralları ya da Kurul izinli taahhütname gibi bir güvence gerekir. Standart sözleşme değiştirilmeden kullanılır ve imzalar tamamlandıktan sonra 5 iş günü içinde Kurum'a bildirilir; kimin bildireceği belirlenmemişse veriyi aktaran bildirir.
3. Arızi aktarım. İkisi de yoksa yalnızca istisnai hâller kalır; bunlar da "düzenli olmayan, tek veya birkaç sefer gerçekleşen" aktarımlar içindir (Yurt Dışı Aktarım Yönetmeliği m.16).

Her müşteri mesajında çalışan bir yapay zekâ hizmeti düzenli ve süreklidir; bu akışın "arızi" sayılması zor görünüyor. 2024 öncesinin "açık rıza alır, yurt dışına aktarırız" alışkanlığı, düzenli aktarım için artık tek başına yeterli görülmemeli. KVKK rehberi de yurt dışındaki sağlayıcılarla üretken yapay zekâ kullanılırken aktarımın m.9'a uygun yapılması gerektiğini hatırlatır.

Müşteri talepleri, veri ihlali ve cezalar

Müşteri DM'den "Verilerimi silin" ya da "Hakkımda ne tutuyorsunuz?" yazabilir. Bu talepler m.11'deki haklarla ilgilidir; veri sorumlusu başvuruları en geç 30 gün içinde ve kural olarak ücretsiz sonuçlandırır (m.13/2). Böyle bir mesajın kaybolmaması için asistanın konuyu yanıtlamaya çalışmak yerine insana devretmesi en temiz kurgudur. İade reddi gibi aleyhe kararlarda da ihtiyat gerekir: m.11/1-g, verilerin yalnızca otomatik sistemlerle analiz edilmesiyle kişi aleyhine çıkan sonuca itiraz hakkı tanır. Neyin otomasyona bırakılabileceğini e-ticaret müşteri hizmetleri otomasyonu rehberinde ele aldık.

Veri ihlali yaşanırsa veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirir (Kurul kararı 2019/10). VERBİS kaydı ise yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan, ana faaliyeti özel nitelikli veri işleme olmayan işletmeler için zorunlu değildir; bu istisna diğer yükümlülükleri kaldırmaz.

KVKK'nın 2026 idari para cezası tablosuna göre bu yazıyla ilgili başlıca aykırılıklar:

Son satırdaki ceza veri sorumlusuna da veri işleyene de uygulanabilir.

Sağlayıcınıza sormanız gereken 8 soru

Destek yazılımını seçerken bu soruların yanıtını yazılı isteyin; yanıtlar aydınlatma metninizin de malzemesidir:

1. Rolünüz ne? Verileri yalnızca bizim adımıza mı işliyorsunuz, yoksa kendi amaçlarınız (kendi modeliniz, reklam, profilleme) için de kullanıyor musunuz?
2. Verilerimiz nerede? Hangi bölgede tutuluyor, başka işletmelerin verisinden nasıl ayrılıyor?
3. Hangi model sağlayıcısını kullanıyorsunuz? Gönderilen veriler model eğitiminde kullanılıyor mu?
4. Yurt dışı aktarım hangi mekanizmaya dayanıyor? Standart sözleşme varsa hangi tipi, bildirimi kim yaptı?
5. Mağaza verisi kopyalanıyor mu? Müşteri ve sipariş kayıtları kalıcı saklanıyor mu, yoksa yalnızca gerektiğinde mi sorgulanıyor?
6. Silme nasıl işliyor? Silme talebinde ve sözleşme bittiğinde veriler ne kadar sürede siliniyor?
7. Hangi güvenlik tedbirleri var? Aktarımda ve depoda şifreleme, erişim anahtarlarının korunması, personel erişimi.
8. İhlali ne zaman bildiriyorsunuz? Sizin 72 saatlik süreniz ihlali öğrendiğiniz an başlar.

Distrivo Müşteri Destek Asistanı ile veri güvenliği

Distrivo Müşteri Destek Asistanı, WhatsApp, Instagram DM ve Messenger mesajlarını tek gelen kutusunda toplar ve mağaza verisiyle yapay zekâya yanıtlatır. Sorulardan bazılarına yanıtımız:

• Ayrı veritabanı. Her işletmenin verisi kendi ayrı veritabanında durur; başka bir mağazanın verisiyle karışması yapısal olarak engellenir.
• Avrupa bölgesi ve şifreleme. Veriler Google Cloud'un Avrupa bölgesinde tutulur; aktarımda TLS, depoda şifreleme kullanılır, erişim anahtarları ayrıca AES-256-GCM ile şifrelenir.
• Asgari veri. Mağazanın müşteri ve sipariş kayıtları kalıcı olarak kopyalanmaz; yalnızca yanıt anında sorgulanır.
• Yapay zekâ paylaşımı onaya bağlı. Siz panelde onay vermeden hiçbir veri yapay zekâya gönderilmez; onayı istediğiniz an geri alırsınız. Model sağlayıcısı, API verilerini model eğitiminde kullanmaz.
• Silme taahhüdü. Son müşteri silme talepleri ve sözleşmesi biten işletmenin verileri 30 gün içinde silinir; profilleme, reklam ya da veri satışı yapılmaz.
• Resmî bağlantı ve insana devir. Kanallar resmî bağlantıyla eklenir, şifre paylaşılmaz; müşteri yetkili istediğinde eskalasyon anında çalışır ve hiçbir ayarla kapatılamaz.

Avrupa bölgesi de Türkiye açısından yurt dışıdır; listedeki 4. soruyu Distrivo'ya da sorun ve aydınlatma metninizi yanıta göre hukuk danışmanınızla yazın. Yetenekler ve fiyatlandırma için destek asistanını inceleyin.

Sık sorulan sorular

Chatbot kullanmak için müşteriden açık rıza almak gerekir mi?

Çoğu durumda gerekmeyebilir. Sipariş, kargo ya da iade sorusunu yanıtlamak için veri işlemek sözleşmenin ifası şartına (KVKK m.5/2-c) dayanabilir; Kurul'un 2026/347 sayılı ilke kararına göre başka bir dayanak varken ayrıca açık rıza metni sunulmaz. Veriyi model eğitimi ya da pazarlama profili gibi ek amaçlarla kullanacaksanız değerlendirme değişir.

Yapay zekâya müşteri verisi göndermek KVKK'ya aykırı mı?

KVKK bunu tek başına yasaklamaz; risk dayanaksız işlemeden, eksik aydınlatmadan, yetersiz güvenlikten ya da kurala uymayan yurt dışı aktarımdan doğar. Sağlayıcının veriyi yalnızca sizin adınıza işlediğini ve kendi modelini eğitmek için kullanmadığını yazılı olarak doğrulayın.

Aydınlatma metnine ne yazılmalı?

Kimliğiniz, işleme amacı, aktarılan taraflar ve aktarım amacı, toplama yöntemi, hukuki sebep ve müşterinin m.11'deki hakları. Ayrıca mesajların yapay zekâ destekli yazılımla yanıtlandığını, verinin yurt dışında işlenip işlenmediğini ve model eğitiminde kullanılıp kullanılmadığını yazın.

Veriler yurt dışında tutulursa ne olur?

Yasak değildir, ama KVKK m.9'daki sıraya uymanız gerekir: yeterlilik kararı, yoksa standart sözleşme gibi uygun bir güvence, o da yoksa yalnızca arızi aktarım. Sürekli çalışan bir yapay zekâ hizmeti arızi sayılmaya elverişli görünmez; imzalanan standart sözleşme 5 iş günü içinde Kurum'a bildirilir.

Müşteriye yapay zekâyla konuştuğunu söylemek zorunlu mu?

Türkiye'de destek sohbeti için bunu açıkça zorunlu kılan bir hüküm tespit edemedik (reklamlarda ise 1 Ağustos 2026'dan beri, tüketicinin ekonomik davranışını önemli ölçüde etkileyecek şekilde yapay zekâ kullanıldığında bunun açıkça belirtilmesi gerekir: Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliği m.18/8); yapay zekâya özgü kanun teklifi (2/2234) TBMM'de komisyonda bekliyor, KVKK rehberi ise bildirimi bağlayıcı olmayan bir tavsiye olarak önemli görür. AB'ye satıyorsanız AB Yapay Zekâ Yasası m.50, 2 Ağustos 2026'dan beri bunun (açıkça belli değilse) en geç ilk etkileşimde bildirilmesini ister; kural, çıktısı AB'de kullanılan üçüncü ülke işletmelerini de kapsayabilir. Meta'nın Messenger ve Instagram politikası da bildirimi en iyi uygulama olarak önerir; en düşük riskli yol, ilk yanıtta kısa bir cümledir. Kanal kuralları için: WhatsApp'ta yapay zekâ yasak mı?