KVKK ve Yapay Zeka: Üretken Yapay Zeka Rehberi, Yurt Dışı Aktarım ve GPU (2026)

Kısa cevap

KVKK'da yapay zekaya özel bir madde yoktur; Kurum'un Kasım 2025 rehberine göre Kanun teknolojiden bağımsızdır ve yapay zekanın eğitiminde, kullanımında ya da çıktısında kişisel veri varsa uygulanır. Kişisel veriyle yurt dışındaki bir GPU'da model eğitmek ya da veriyi yurt dışındaki bir yapay zeka API'sine göndermek kişisel verilerin yurt dışına aktarılmasıdır ve 6698 sayılı Kanun'un 9. maddesindeki şartlardan birine dayanmalıdır.

1 Haziran 2024'ten beri bu şartlar üç basamaklıdır:

1. Kurul'un yeterlilik kararı.
2. Uygun güvenceler. Uygulamada en yaygın yol, Kurul'un standart sözleşmesidir; imzalar tamamlandıktan sonra 5 iş günü içinde Kurum'a bildirilmesi gerekir.
3. Yalnızca düzenli olmayan, arızi durumlar için sınırlı istisnalar.

Veriyi Türkiye'deki bir sunucuda işlerseniz yurt dışı aktarım gündeme gelmez. Ancak veri güvenliği, veri işleyen sözleşmesi ve diğer KVKK yükümlülükleri aynen devam eder.

Bu yazı genel bilgi amaçlıdır, hukuki tavsiye değildir. Projenize özel değerlendirme için bir KVKK uzmanına danışın.

GPU sunucusunda model eğitmek KVKK'ya tabi mi?

Veri setiniz kişisel veri içeriyorsa evet. Müşteri yazışmaları, çağrı merkezi kayıtları, özgeçmişler, fotoğraflar, ses kayıtları ve sağlık verileri kişisel veridir. Bu verilerle model eğitmek, ince ayar yapmak, vektör veritabanına gömmek ya da modele girdi olarak vermek "işleme" sayılır.

Kişisel Verileri Koruma Kurumu'nun Kasım 2025 tarihli üretken yapay zeka rehberine göre kişisel veri; eğitim veri setinin oluşturulmasında, eğitim sırasında, model kullanıma açıldıktan sonra sisteme girilen verilerde ve üretilen çıktılarda işlenebilir. Model kişisel veri işlemeyi hedeflemese bile bu durum Kanun'un uygulanmasını engellemez. Yapay zekaya özgü bir kanun henüz yürürlükte olmadığı için bugün en somut çerçeve KVKK'dır.

Gerçekten anonim hale getirilmiş, yani kişiyle yeniden ilişkilendirilemeyen veriler KVKK kapsamında değildir. Dikkat: isimleri silmek ya da takma ad kullanmak çoğu zaman anonimleştirme sayılmaz, çünkü kişi başka bilgilerle yeniden tanınabilir.

KVKK'nın üretken yapay zeka rehberi ne diyor?

Kurum'un Kasım 2025'te yayımladığı "Üretken Yapay Zeka ve Kişisel Verilerin Korunması Rehberi (15 Soruda)" bir kanun değildir; Kanun'un üretken yapay zekaya nasıl uygulanacağını gösterir. Öne çıkanlar:

KVKK'nın yapay zeka alanındaki tavsiyeleri neler?

Kurum'un "Yapay Zeka Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler" dokümanı (sitedeki baskısı Nisan 2025) şu ilkeleri öne çıkarır:

• Yüksek risk öngörülüyorsa mahremiyet etki değerlendirmesi yapılmalı; sistemler tasarımdan itibaren veri koruma ilkesine göre geliştirilmeli.
• Aynı sonuca kişisel veri işlemeden ulaşılabiliyorsa anonim veri, ulaşılamıyorsa asgari veri kullanılmalı.
• Modelin doğruluğu izlenmeli; ayrımcılık ve ön yargı riski önlenmeli.
• Kullanıcıya veri işlemeyi durdurma ve verilerinin silinmesini ya da anonim hale getirilmesini isteme imkanı tanınmalı.
• Karar süreçlerinde insan müdahalesinin rolü tesis edilmeli.

Yurt dışındaki bir GPU'ya ya da yapay zeka API'sine veri göndermek neden aktarım sayılır?

Veri, işlenmek üzere Türkiye dışındaki bir sunucuya gönderildiği için. Sunucuyu saatlik bir bulut sağlayıcısından ya da yurt dışındaki bir GPU platformundan kiralamanız fark etmez. Veriyi oraya yüklediğiniz anda 9. madde devreye girer.

Aynı kural yurt dışındaki bir yapay zeka API'si için de geçerlidir. Kurum'un üretken yapay zeka rehberine göre yurt dışında yerleşik sağlayıcıların sistemleri üzerinden kişisel veri aktarılıyorsa aktarım 9. maddeye ve Yönetmelik'e uygun yapılmalıdır. İsteme yapıştırılan bir müşteri e-postası ya da yüklenen bir özgeçmiş de bu kapsama girer.

7499 sayılı Kanun'la yapılan değişiklik 1 Haziran 2024'te yürürlüğe girdi. Uygulama esasları da 10 Temmuz 2024'te yayımlanan yönetmelikle belirlendi. Yeni yapı şöyle:

Değişiklikten önce yurt dışına aktarımın ana dayanağı açık rızaydı. Eski kural geçiş hükmüyle 1 Eylül 2024'e kadar uygulandı. Bugün açık rıza yalnızca arızi aktarımlar için bir istisnadır; düzenli aktarımları açık rızaya dayandırmak artık mümkün değildir.

Standart sözleşme yolu nasıl işler?

Yurt dışındaki sağlayıcıyla Kurul'un ilan ettiği standart sözleşme metnini imzalarsınız. Metin dört farklı aktarım ilişkisi için hazırlanmıştır: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna. Seçimlik ve alternatif maddeler dışında metne ekleme, çıkarma ya da değişiklik yapılamaz.

Ardından sözleşmeyi imzaların tamamlanmasından itibaren 5 iş günü içinde Kurum'a bildirirsiniz: elden, posta ya da KEP ile veya Kurum'un belirlediği bildirim modülü üzerinden. Bildirim yükümlülüğünü yerine getirmeyenlere Kanun'un 18. maddesine göre idari para cezası uygulanır.

Yurt dışındaki sağlayıcılar çoğunlukla Avrupa Birliği'nin standart sözleşme maddelerini (SCC) sunar. Bu yol için ise Kurul'un ilan ettiği metin esas alınır; AB metnini imzalamış olmak, KVKK standart sözleşmesini imzalayıp bildirme yükümlülüğünü ortadan kaldırmaz.

Türkiye'deki bir GPU sunucusunda neler değişir?

Yurt dışına aktarım yükümlülükleri ortadan kalkar; diğer yükümlülükler kalır:

• Veri işleyen ilişkisi: Sunucu sağlayıcısı verileri sizin adınıza işliyorsa veri işleyendir. Kanun'un 12. maddesine göre veri sorumlusu, veri güvenliği tedbirlerinden veri işleyenle birlikte sorumludur. Bu yüzden yazılı bir veri işleme sözleşmesi yapılması önerilir.
• Teknik ve idari tedbirler: Disk şifreleme, SSH anahtarıyla erişim, en az yetki ilkesi, erişim kayıtları, güvenlik güncellemeleri. Kiraladığınız sunucunun yazılım tarafını genellikle siz yönetirsiniz; bu tedbirlerin önemli kısmı sizin elinizdedir.
• Aydınlatma ve hukuki sebep: Verileri hangi amaçla ve hangi hukuki sebebe dayanarak işlediğiniz, modeli eğitmeden önce netleşmeli.
• Saklama ve imha: Kiralama bittiğinde verilerin nasıl silineceğini baştan konuşun ve kayıt altına alın.

Sağlayıcının veriyi kendi tarafında yurt dışına aktarıp aktarmadığını da sorun. Kurum'un aktarım rehberine göre yurt dışından uzaktan erişim, veri yalnızca ekranda görüntülense bile aktarım sayılabilir. Yedekleme ya da teknik destek yurt dışından veriliyorsa, sunucu Türkiye'de olsa bile 9. madde gündeme gelebilir.

Yapay zeka projesi için KVKK kontrol listesi

1. Veri envanteri: Eğitim verisinde hangi kişisel veriler var? Sağlık, biyometrik veri gibi özel nitelikli veriler var mı? Yüz tanıma ve biyometrik veri kurallarını görüntü işleme sayfamızda özetledik.
2. Veriyi küçültün: İhtiyaç olmayan alanları atın; mümkünse anonimleştirin ya da en azından maskeleyin.
3. Hukuki sebep ve aydınlatma: Amaç ve dayanak belgelenmiş mi? Veriyle modeli de eğitecekseniz bunu ayrıca aydınlatın.
4. İşleme yeri: Veri yurt içinde mi işlenecek? Yurt dışındaysa 9. maddedeki hangi yola dayanıyorsunuz?
5. Sözleşmeler: Sağlayıcıyla veri işleme sözleşmesi, yurt dışı ise standart sözleşme ve 5 iş günlük bildirim.
6. Güvenlik: Şifreleme, erişim yönetimi, kayıt tutma, olay müdahale planı.
7. Model çıktıları: Kurum'un üretken yapay zeka rehberindeki uyarılar burada geçerli. Model eğitim verisindeki kişisel bilgileri tekrarlayabilir; çıktılarda halüsinasyon ve ön yargı olabilir. İnsan denetimi önerilir.
8. İmha: Proje ya da kiralama bittiğinde veri ve model kopyalarının silinmesi.

Bu iş için hangi GPU sunucusu?

Sunucularımız İstanbul Bağcılar'daki kendi tesisimizde çalışır; verileriniz Türkiye'de kalır. Kiraladığınız GPU yalnızca size ayrılır, başka bir müşteriyle paylaşılmaz.

• Qwen3-32B gibi 32B sınıfı modelleri FP8'de çalıştırmak (VRAM hesaplayıcıya göre 8K bağlamda yaklaşık 37,6 GB) ya da QLoRA ile ince ayar yapmak (yaklaşık 25,1 GB) için L40S (48 GB). Aylık $900.
• Llama 3.3 70B'yi FP8'de çalıştırmak (yaklaşık 77,8 GB) ya da eğitim ile servisi aynı kartta tutmak için RTX PRO 6000 Blackwell (96 GB). Aylık $1.600.
• Büyük ölçekli eğitim için H100 ve H200.

Kiralamalar aylıktır, en az 1 aydır; fiyatlar GPU başına, dolar cinsinden ve KDV hariçtir. Fatura, fatura tarihindeki TCMB döviz satış kuruyla Türk lirası olarak kesilir; yıllık kiralamada %20 indirim uygulanır. Sözleşme ve güvenlik konusunda sağlayıcıya sormanız gereken sorular kurumsal GPU kiralama güvenlik rehberimizde, bellek ihtiyacının hesabı VRAM hesaplayıcıda. Verisi Türkiye'de kalan şirket içi bir yapay zeka asistanının yapı taşlarını kurumsal yapay zeka sayfamızda, bankacılık ve ödeme sektörünün yurt içi sistem kurallarını finans ve fintech sayfamızda özetledik.

KVKK'da yakında ne değişebilir?

Kurum'un Eylül 2026 bültenine göre Orta Vadeli Program (2027–2029), Kanun'un AB Genel Veri Koruma Tüzüğü (GDPR) ile uyumlaştırılmasının 2027'nin üçüncü çeyreğinde tamamlanmasını öngörüyor. Değişiklik yürürlüğe girene kadar bu yazıdaki kurallar geçerlidir. Ağustos 2026'da yayımlanan Yapay Zeka Eylem Planı ise bir genelgedir; KVKK yükümlülüklerini değiştirmez.

Özet

• Kişisel veriyle yurt dışındaki bir GPU'da çalışmak ya da veriyi yurt dışındaki bir yapay zeka API'sine göndermek KVKK'ya göre yurt dışına aktarımdır.
• 1 Haziran 2024'ten beri sıra şöyledir: yeterlilik kararı, uygun güvenceler, arızi istisnalar. Düzenli aktarımlar açık rızaya dayandırılamaz.
• En yaygın yol standart sözleşmedir; imzadan sonra 5 iş günü içinde Kurum'a bildirilmelidir.
• Türkiye'de işlemek yurt dışı aktarımı ortadan kaldırır. Veri işleyen sözleşmesi ve güvenlik yükümlülükleri kalır.
• Gerçek anonimleştirme, KVKK yükünü en çok azaltan adımdır; maskeleme anonimleştirme değildir.

Kaynaklar

• Kişisel Verileri Koruma Kurumu: Kişisel Verilerin Yurt Dışına Aktarılması Rehberi
• 6698 sayılı Kişisel Verilerin Korunması Kanunu (mevzuat.gov.tr)
• Resmi Gazete, 12 Mart 2024: 7499 sayılı Kanun
• Resmi Gazete, 10 Temmuz 2024: Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik
• Kişisel Verileri Koruma Kurumu: Üretken Yapay Zeka ve Kişisel Verilerin Korunması Rehberi (Kasım 2025)
• Kişisel Verileri Koruma Kurumu: Yapay Zeka Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler
• Kişisel Verileri Koruma Kurumu: Yurt Dışına Aktarım Rehberi (PDF)
• Kişisel Verileri Koruma Kurumu: Seçilmiş Güncel Gelişmeler-61 (Eylül 2026)