Müşteri Verisini Yapay Zekâ Modelini Eğitmek İçin Kullanmak KVKK’ya Uygun mu? Amaç Değişikliği ve Fine-Tuning 2026

Bu yazıyla ilgili genel bir sorunuz mu var? Anonim soru sor

Yapay Zekâ Model Eğitimi ve Fine-Tuning Nedir?

Bir yapay zekâ modelinin eğitimi, örnek veri setlerinden örüntüler öğrenmesini sağlayan işlemler bütünüdür. Fine-tuning ise önceden eğitilmiş bir modelin belirli sektör, kurum veya görev için ek veriyle uyarlanmasıdır. Şirketler müşteri destek kayıtları, çağrı transkriptleri, satış e-postaları, şikâyetler, sözleşmeler veya kullanıcı davranışlarından yararlanarak kuruma özgü model geliştirmek isteyebilir.

Bu veri setinde gerçek kişiye ilişkin bilgi bulunduğu sürece KVKK uygulanır. Model eğitimi, veriyi yalnız depolamak değildir; verinin seçilmesi, temizlenmesi, etiketlenmesi, dönüştürülmesi, modele verilmesi, model ağırlıklarına etkisinin oluşması, değerlendirme setlerinde kullanılması ve çıktı testleri kişisel veri işleme zincirinin parçalarıdır.

Model eğitimi için veriyi dış sağlayıcıya yüklemek ayrıca aktarım oluşturur. Sağlayıcı yalnız şirket talimatıyla fine-tuning yapabilir veya aynı veriyi kendi genel modelini geliştirmek için de kullanabilir. Bu iki senaryonun taraf rolleri ve hukuki sonuçları aynı değildir.

Hizmet İçin Toplanan Müşteri Verisi Eğitim Verisine Dönüştürülebilir mi?

Müşterinin siparişini teslim etmek, destek talebini çözmek veya sözleşmesini yürütmek için toplanan veri belirli amaçla elde edilmiştir. Aynı verinin daha sonra “AI modelimizi geliştireceğiz” denilerek eğitim setine dönüştürülmesi yeni işleme amacıdır.

Yeni amaç için veri sorumlusu ilk olarak KVKK m.4’teki belirli, açık ve meşru amaç; amaçla bağlantılı, sınırlı ve ölçülü işleme ilkelerini uygular. İkinci olarak m.5 veya m.6’da somut model eğitimi faaliyetine uygun hukuki sebep bulunmalıdır. Üçüncü olarak m.10 aydınlatması gerçek işleme faaliyetini yansıtmalıdır.

“Veri zaten bizde” gerekçesi yeterli değildir. Bir müşteri e-postasının destek personeli tarafından okunması ile bu e-postanın binlerce kayıtla birlikte model parametrelerini etkileyen eğitim setine dönüştürülmesi farklı işlemlerdir.

Veri sorumlusu model eğitiminin gerçekten kişisel veri gerektirip gerektirmediğini de sorgulamalıdır. Aynı teknik hedef anonim, sentetik veya kişisel veri içermeyen örneklerle elde edilebiliyorsa gerçek müşteri verisini kullanmak ölçülülük bakımından zayıf hale gelir.

KVKK m.4: Model Eğitiminde Veri Minimizasyonu

KVKK m.4 gereği eğitim setine yalnız modelin gerçek amacı için gerekli veri alanları alınmalıdır. Müşteri şikâyetlerini konuya göre sınıflandıracak model için T.C. kimlik numarası, banka hesabı veya ev adresi gerekmiyorsa bu alanlar veri setinden çıkarılmalıdır.

Serbest metinler en yüksek riskli alanlardandır. Müşteri destek kaydında kişi kendi sağlık bilgisini, başka kişinin adını veya finansal ayrıntısını yazmış olabilir. Eğitim seti hazırlanırken yalnız tablo sütunlarını değil serbest metni de kişisel ve özel nitelikli veri bakımından taramak gerekir.

Veri doğruluğu ilkesi model eğitimi için de önemlidir. Hatalı müşteri etiketi veya yanlış şikâyet sonucu modele aktarılırsa model bu hatayı ölçekleyebilir. Eğitim verisi kaynağı, güncellik ve etiket kalitesi kayıt altına alınmalıdır.

Saklama süresi ayrıca belirlenmelidir. Model eğitimi tamamlandıktan sonra ham eğitim setinin süresiz tutulması otomatik olarak gerekli değildir. Modelin yeniden eğitilmesi, denetlenmesi veya hukuki yükümlülük için hangi kopyanın ne kadar süre tutulacağı ayrı yazılmalıdır.

KVKK m.5: Model Eğitimi İçin Hukuki Sebep

Genel nitelikli kişisel verinin model eğitimi amacıyla işlenmesi için KVKK m.5’teki şartlardan uygun olan şart bulunmalıdır. Veri sorumlusunun meşru menfaati değerlendirmeye konu olabilir; ancak bu hüküm “şirket model geliştirmek istiyor” şeklinde otomatik gerekçe değildir.

Meşru menfaat kullanılacaksa amaç meşru olmalı, işleme bu amaç için gerekli olmalı ve ilgili kişinin temel hak ve özgürlükleriyle denge kurulmalıdır. Aynı model anonim veriyle eğitilebiliyorsa gerçek müşteri verisinin zorunluluğu zayıflar. Hassas içerik, beklenmeyen kullanım veya büyük ölçekli profil oluşturma denge testinde ilgili kişi aleyhine ağırlık yaratabilir.

Açık rızaya dayanılacaksa rıza belirli bir model eğitimi amacı için verilmelidir. “Verilerimi her türlü yapay zekâ geliştirmesinde kullanabilirsiniz” şeklindeki sınırsız ifade belirli konuya ilişkin rıza standardıyla bağdaşmaz.

Kanunda başka bir işleme şartına dayanılıyorsa bu şart kayıt altına alınmalı ve aydınlatmada gerçek hukuki sebep açıkça belirtilmelidir. 2026/347 sayılı Kurul İlke Kararı, hukuki sebebin muğlak ifadelerle sunulmaması gerektiğini vurgular.

Özel Nitelikli Veri Model Eğitiminde Kullanılabilir mi?

Sağlık, biyometrik, genetik, ceza mahkûmiyeti ve KVKK m.6’da sayılan diğer özel nitelikli kişisel veriler daha sıkı rejime tabidir. Genel müşteri veri setine yanlışlıkla sağlık raporu veya biyometrik şablon karışmışsa model eğitimi yalnız m.5 gerekçesiyle sürdürülemez.

Özel nitelikli veri için güncel m.6/3’teki şartlardan somut faaliyete uygun şart bulunmalı ve Kurulun belirlediği yeterli önlemler uygulanmalıdır. “Model performansını artırıyor” ifadesi tek başına m.6’da bir işleme şartı değildir.

Sağlık, finans veya insan kaynakları modelinde özel nitelikli veri gerçekten gerekliyse proje başında ayrı veri envanteri, erişim kontrolü, şifreleme, loglama ve test politikası kurulmalıdır. Bu veri test ortamına gelişigüzel kopyalanmamalıdır.

Anonimleştirme ile Takma Adlandırma Aynı Şey Değildir

KVKK m.3’e göre anonim hale getirme, verinin başka verilerle eşleştirilse dahi hiçbir surette belirli veya belirlenebilir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Gerçek anonimleştirme sağlandığında veri artık kişisel veri niteliğinde değildir.

İsim yerine müşteri ID’si koymak, e-posta adresini hashlemek veya “Müşteri A” yazmak çoğu durumda anonimleştirme değildir. Kurum başka kayıtla bu kodu gerçek kişiyle eşleştirebiliyorsa veri hâlâ belirlenebilir kişiye ilişkindir. Bu yöntem takma adlandırma/pseudonymization niteliğinde bir güvenlik tedbiri olabilir; KVKK yükümlülüklerini sona erdirmez.

Model eğitiminde anonimleştirme yapılırken nadir olaylar, tarih, konum, meslek, yüksek tutarlı işlem, benzersiz şikâyet metni ve başka birleştirilebilir alanlar yeniden belirleme riski taşır. Yalnız doğrudan tanımlayıcıları silmek yeterli olmayabilir.

Anonimleştirme kalitesi test edilmeli; mümkünse veri setine erişimi olmayan bağımsız ekip yeniden tanımlama riskini değerlendirmelidir.

AI Sağlayıcısı Müşteri Verisini Kendi Modeli İçin Kullanabilir mi?

Şirket müşterilerinin verisini bir yapay zekâ sağlayıcısına yalnız hizmet almak için gönderiyor olabilir. Sağlayıcı bu veriyi yalnız şirketin talimatıyla işliyorsa veri işleyen rolü gündeme gelir. Sağlayıcı veriyi kendi genel modelini geliştirmek, ürün performansını artırmak veya başka müşterilere hizmet sunmak için bağımsız amaçla kullanıyorsa bu faaliyet ayrıca değerlendirilir.

Tedarikçi sözleşmesinde “customer content”, “service data”, “usage data”, “training data” gibi farklı veri kategorileri ayrı ayrı okunmalıdır. “İçerik eğitimde kullanılmaz” hükmünün telemetri veya hata loglarını kapsayıp kapsamadığı kontrol edilmelidir.

Kurumsal plan ile bireysel/ücretsiz planın veri kullanım şartları farklı olabilir. Şirket çalışanlarının kişisel hesap kullanması, şirketin kurumsal sözleşmede elde ettiği model-eğitimi kısıtlarını devre dışı bırakabilir.

Fine-Tuning ve Yurt Dışına Veri Aktarımı

Eğitim seti, model API’si veya alt işleyen yurt dışındaysa KVKK m.9 uygulanır. Model eğitimi için binlerce müşteri kaydının tek seferde yurt dışına gönderilmesi yüksek hacimli veri aktarımıdır ve aktarım mekanizması proje başlamadan kurulmalıdır.

Önce m.5 veya m.6 işleme şartı, sonra m.9 aktarım yöntemi değerlendirilir. Standart sözleşme kullanılacaksa tarafların veri sorumlusu-veri işleyen rolüne uygun şablon seçilir ve mevzuattaki bildirim yerine getirilir.

Model sağlayıcısı başka ülkedeki GPU/bulut altyapısını veya alt işleyenleri kullanıyorsa tüm zincir çıkarılır. Ana sağlayıcının şirket merkezinin bulunduğu ülke tek başına veri işleme coğrafyasını göstermez.

Model Eğitiminde İlgili Kişinin Hakları

KVKK m.11 kapsamında ilgili kişi verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içi/yurt dışı alıcıları bilme, yanlış verinin düzeltilmesini isteme, şartları oluştuğunda silme/yok etme talep etme ve kanuna aykırı işlemeden doğan zararın giderilmesini isteme haklarına sahiptir.

Model kişinin verisinden otomatik profil veya puan üretiyor ve kişi aleyhine sonuç doğuruyorsa m.11/1-g itiraz hakkı ayrıca değerlendirilir. Model eğitiminin kendisi ile model çıktısının karar sürecinde kullanılması iki ayrı aşamadır.

Şirket ilgili kişi başvurularını yanıtlayabilmek için hangi eğitim setinin hangi model sürümünde kullanıldığını, veri kaynağını, aktarım zincirini ve silme imkânını belgelemelidir. Veri envanteri olmadan başvuruya doğru cevap vermek zorlaşır.

Kişisel Veriyi Modelden Silmek Neden Ayrı Planlanmalıdır?

Ham eğitim kaydını veritabanından silmek ile eğitilmiş model üzerindeki etkisini gidermek aynı işlem değildir. Bazı model mimarilerinde belirli kaydın etkisini tek tek geri çıkarmak teknik olarak mümkün olmayabilir ve yeniden eğitim gerekebilir. Bu nedenle veri silme yükümlülüğü proje başlamadan teknik tasarıma dahil edilmelidir.

Veri sorumlusu “modelden artık çıkarılamıyor” sonucunu baştan öngörülebilir bir teknoloji tercihiyle yaratmamalıdır. Saklama, model sürümü, eğitim veri seti ve yeniden eğitim stratejisi birlikte planlanmalıdır.

Modelin kişisel veriyi ezberleyip çıktıda tekrar üretme riski de test edilmelidir. Eğitim verisindeki telefon, e-posta, adres veya benzersiz metin promptla geri çağrılabiliyorsa bu durum veri güvenliği ve amaçla sınırlılık bakımından ayrıca müdahale gerektirir.

Şirket İçin 12 Adımlı Model Eğitimi Kontrol Listesi

1. Model eğitiminin somut amacını yazın.
2. Gerçek kişisel verinin gerçekten gerekli olup olmadığını test edin.
3. Mümkünse anonim veya sentetik veri kullanın.
4. Eğitim setindeki veri kategorilerini ve serbest metni envanterleyin.
5. m.5 veya özel nitelikli veri varsa m.6 hukuki sebebini belirleyin.
6. Aydınlatmayı model eğitimi amacını açıkça içerecek şekilde düzenleyin.
7. Takma adlandırmayı anonimleştirme olarak göstermeyin.
8. Tedarikçinin veriyi kendi modeli için kullanmasını sözleşmede kontrol edin.
9. Yurt dışı aktarım varsa m.9 mekanizmasını kurun.
10. Ham eğitim seti, model sürümü ve çıktı logları için ayrı saklama süreleri belirleyin.
11. İlgili kişi silme/düzeltme taleplerini teknik tasarıma dahil edin.
12. Modelin eğitim verisini ezberleyip ifşa edip etmediğini düzenli test edin.

Sık Sorulan Sorular

1. Müşteri verisini AI eğitimi için kullanmak yasak mı?

Başlı başına yasak değildir; ancak model eğitimi için ayrıca m.4, m.5 veya m.6, m.10, m.9 ve m.12 şartları kurulmalıdır.

2. Veri zaten CRM’deyse model eğitiminde kullanabilir miyiz?

CRM’de bulunması yeni eğitim amacı için otomatik hukuki sebep değildir. Yeni amaç ayrıca değerlendirilir.

3. İsimleri silmek anonimleştirme midir?

Hayır. Kişi başka alanlarla yeniden belirlenebiliyorsa veri kişisel veri olarak kalır.

4. Müşteri ID’si kullanmak yeterli mi?

Şirket ID’yi gerçek kişiyle eşleştirebiliyorsa bu genellikle takma adlandırmadır; KVKK uygulanmaya devam eder.

5. Fine-tuning için açık rıza şart mı?

Her durumda değil. Somut faaliyette m.5 veya m.6’daki hangi işleme şartının bulunduğu belirlenir. Açık rıza kullanılacaksa özgür, belirli ve bilgilendirilmiş olmalıdır.

6. Sağlık verisiyle model eğitilebilir mi?

Ancak m.6’daki özel nitelikli veri işleme şartı ve yeterli önlemler bulunuyorsa; yurt dışı aktarım varsa m.9 da ayrıca uygulanır.

7. AI sağlayıcısının müşteri girdilerini kendi modeline katması serbest mi?

Bu bağımsız işleme amacı sözleşme, rol, hukuki sebep ve şeffaflık bakımından ayrıca değerlendirilir. Kurumsal müşteri bu kullanımı açıkça kontrol etmelidir.

8. Model eğitimi yurt dışında yapılabilir mi?

KVKK m.9’daki güncel aktarım mekanizması kurulursa yapılabilir.

9. Eğitim tamamlanınca ham veri silinmeli mi?

Ham verinin artık gerekli olmadığı noktada m.4 ve m.7 gereği silme/yok etme politikası uygulanmalıdır. Denetim veya yeniden eğitim için ihtiyaç varsa süre somut olarak belirlenmelidir.

10. Modelden kişisel veri nasıl silinir?

Teknik mimariye göre yeniden eğitim, unlearning veya başka yöntem gerekebilir. Bu nedenle silme kabiliyeti sistem satın alınmadan önce değerlendirilmelidir.

11. Sentetik veri KVKK dışında mıdır?

Sentetik veri gerçek kişiyle ilişkilendirilemiyorsa kişisel veri değildir. Ancak sentetik set gerçek eğitim verisini ezberleyip kişiyi yeniden ortaya çıkarıyorsa risk ayrıca incelenir.

12. En güvenli yöntem nedir?

Gerçek müşteri verisini varsayılan eğitim kaynağı yapmamak; önce anonim/sentetik seçenekleri kullanmak, zorunlu gerçek veride ise asgari veri, açık hukuki sebep, kısa saklama ve sözleşmesel-teknik kontrolleri birlikte kurmaktır.

Türkiye Geneli ve Mersin Uygulaması

Türkiye genelindeki teknoloji, perakende, çağrı merkezi, lojistik, finans, sağlık ve profesyonel hizmet şirketleri model eğitimi projelerinde aynı KVKK kurallarına tabidir. Mersin’de müşteri destek, lojistik ve dış ticaret verileriyle AI geliştiren işletmeler gerçek müşteri yazışmalarını test/eğitim ortamına kopyalamadan önce ayrı veri koruma değerlendirmesi yapmalıdır.

Resmî Kaynaklar ve İlgili Yazılar

• KVKK – Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi
• KVKK – Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber
• KVKK – Kişisel Verilerin Yurt Dışına Aktarılması

İç bağlantılar: CRM ve yapay zekâ müşteri skorlama · AI’da veri sorumlusu ve veri işleyen · ChatGPT’e kişisel veri yüklemek

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →