Yapay Zekâ ile Otomatik Karar ve Profil Çıkarma Hukuka Uygun mu? KVKK m.11/1-g İtiraz Hakkı 2026
Otomatik Karar ve Profil Çıkarma Nedir?
Otomatik karar sistemi, kişisel verileri belirli kurallara veya yapay zekâ modeline göre analiz ederek insanın doğrudan karar vermediği sonuç üretir. Kredi skoru, dolandırıcılık riski, işe alım sıralaması, müşteri kaybı olasılığı, sigorta risk sınıfı, öğrenci başarı tahmini veya çalışan performans etiketi bu kapsamda olabilir.
Profil çıkarma ise bir kişinin davranışı, tercihi, ekonomik durumu, performansı, güvenilirliği, ilgi alanı veya gelecekteki hareketi hakkında mevcut verilerden değerlendirme üretmektir. Türk KVKK’da profil çıkarma için GDPR’daki gibi ayrı tanım maddesi bulunmasa da faaliyet kişisel veri işleme niteliğindedir.
Her skor otomatik karar değildir. Sistem yalnız çalışan veya uzmana bilgi sunabilir; nihai karar bağımsız insan incelemesiyle verilebilir. Ancak insan yalnız skoru görüp otomatik biçimde uyguluyorsa görünürde insan olsa bile fiilen algoritmik karar süreci devam eder.
KVKK m.11/1-g Ne Düzenler?
KVKK m.11/1-g, ilgili kişiye kişisel verilerinin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkı tanır. Hüküm üç temel unsuru birlikte arar: kişisel veri analizi, münhasıran otomatik sistem ve kişi aleyhine sonuç.
İtiraz hakkı yalnız “AI” etiketi taşıyan sistemlere özgü değildir. Kural tabanlı otomatik yazılım, puanlama motoru veya makine öğrenmesi modeli aynı şartları taşıyorsa m.11/1-g kapsamında değerlendirilir.
İlgili kişi hakkını m.13 uyarınca veri sorumlusuna başvurarak kullanır. Veri sorumlusu talebi en kısa sürede ve en geç otuz gün içinde sonuçlandırır.
“Münhasıran Otomatik” Ne Demektir?
Kararın gerçek anlamda insan incelemesi olmadan sistem tarafından belirlenmesi münhasır otomasyonun temel göstergesidir. İnsan kaynakları yazılımı 60 puan altındaki adayları otomatik reddediyor ve hiçbir çalışan dosyayı incelemiyorsa süreç açık biçimde otomatik niteliktedir.
Bir insanın ekranda yalnız “onayla” düğmesine basması otomasyonu mutlaka ortadan kaldırmaz. İnceleyen kişi temel verileri göremiyor, model sonucunu sorgulayamıyor veya sonucu değiştirme yetkisine sahip değilse müdahale şekli formal kalır.
Gerçek insan müdahalesinde yetkili kişi olayın esası üzerinde düşünmeli, modelin kullandığı temel bilgileri kontrol edebilmeli ve gerekçeli biçimde sistem önerisinin dışına çıkabilmelidir.
Kişi Aleyhine Sonuç Nedir?
Aleyhe sonuç yalnız para kaybı değildir. İşe alınmama, kredi reddi, hizmete erişimin kısıtlanması, yüksek riskli müşteri etiketi, sigorta fiyatının artması, hesabın kapatılması veya disiplin sonucu gibi kişinin hak ve menfaatlerini olumsuz etkileyen sonuçlar bu kapsamda değerlendirilebilir.
Daha dolaylı etkiler de önemlidir. Müşteri skoru düşük olduğu için çağrının sürekli düşük önceliğe alınması veya çalışan skorunun terfi listesine girmeyi engellemesi fiili olumsuz sonuç yaratabilir.
Sistem yalnız içerik önerisi sunuyor ve kişinin hukuki/ekonomik durumuna olumsuz etki doğurmuyorsa m.11/1-g unsurları bulunmayabilir; ancak m.4, m.5, m.10 ve m.12 gibi diğer KVKK hükümleri yine uygulanır.
İtiraz İncelemesinde İnsan Değerlendirmesi Nasıl Kurulabilir?
KVKK m.11/1-g insan müdahalesini ayrıca isimlendirilmiş bağımsız bir hak olarak düzenlemez. Buna rağmen veri sorumlusu itiraz sürecini anlamlı kılmak için otomatik sonucu yalnız tekrar etmek yerine, kararın dayandığı kişisel verileri ve somut itiraz nedenlerini değerlendirebilen bir insan incelemesi mekanizması kurabilir. İnceleyen kişinin verileri kontrol edebilmesi ve gerektiğinde farklı sonuca ulaşabilmesi bu mekanizmayı etkili hâle getirir.
İtiraz sürecinde yalnız aynı modeli tekrar çalıştırmak yeterli değildir. Yanlış veri, model sürümü, eşik değer, kural veya bağlam hatası insan tarafından değerlendirilmelidir.
Şirket prosedürü, hangi kararların insan onayı gerektirdiğini, incelemeyi kimin yapacağını, hangi bilgilere erişeceğini ve nihai gerekçenin nasıl kaydedileceğini belirlemelidir.
Yüksek etkili süreçlerde iki kademeli inceleme kullanılabilir. Örneğin otomatik dolandırıcılık sistemi hesabı geçici olarak durdurabilir; kalıcı kapatma yetkili uzman tarafından ayrı delil incelemesiyle verilebilir.
KVKK m.4: Otomatik Kararda Veri Kalitesi
KVKK m.4 kişisel verinin doğru ve gerektiğinde güncel olmasını, belirli-açık-meşru amaçla ve ölçülü biçimde işlenmesini gerektirir. Otomatik sistem yanlış veriyi yüksek hızda yanlış karara dönüştürebileceği için doğruluk ilkesi kritik hale gelir.
Eski adres, kapanmış borç, yanlış iş unvanı, başka kişiye ait kayıt veya modelin hatalı çıkardığı özellik skoru etkiliyorsa temel veri düzeltilmeden karar güvenilir değildir.
Veri minimizasyonu da profil çıkarma için geçerlidir. Sistemin teknik olarak erişebildiği tüm geçmiş verilerin skora dahil edilmesi meşru değildir. Pozisyon, kredi veya hizmet amacıyla bağlantısız veri alanları çıkarılmalıdır.
KVKK m.5: Profil ve Otomatik Kararın Hukuki Sebebi
Genel nitelikli kişisel verinin işlenmesi için m.5’teki şartlardan somut faaliyete uygun olan şart bulunmalıdır. Sözleşmenin ifasıyla doğrudan bağlantılı zorunluluk, hukuki yükümlülük, bir hakkın tesisi-kullanılması-korunması veya temel haklara zarar vermemek kaydıyla meşru menfaat bazı süreçlerde gündeme gelebilir.
Meşru menfaat kullanılıyorsa veri sorumlusunun ekonomik verimlilik arzusu tek başına yeterli değildir. İşlemenin gerekliliği ve kişinin temel haklarıyla denge değerlendirilmelidir.
Özel nitelikli kişisel veri kullanılıyorsa m.6 uygulanır. Sağlık, biyometri veya ceza mahkûmiyeti gibi veri türlerinin otomatik skora dahil edilmesi yalnız m.5 gerekçesiyle yapılamaz.
Aydınlatma ve Şeffaflık
KVKK m.10 gereği ilgili kişi veri sorumlusunun kimliği, işleme amaçları, alıcılar, toplama yöntemi ve hukuki sebep ile m.11 hakları konusunda aydınlatılır. Otomatik karar gerçek bir işleme faaliyeti ise aydınlatma metni bunu görünmez bırakmamalıdır.
“Verileriniz hizmet kalitesi için analiz edilir” cümlesi hesabın otomatik risk skoru nedeniyle kapatılabileceğini açıklamıyorsa şeffaflık eksik kalır. Skorun temel amacı, karar sürecindeki rolü ve itiraz kanalı anlaşılır şekilde belirtilmelidir.
Kaynak kodun açıklanması gerekmez; ancak kişinin kendi verisinin hangi amaçla ve hangi kategori mantığıyla kullanıldığını anlayabilmesi ve yanlış veriyi düzeltebilmesi gerekir.
Sektörlere Göre Otomatik Karar Örnekleri
İşe alım
CV puanı eşik altında olduğu için aday otomatik eleniyorsa m.11/1-g değerlendirmesi gerekir. 6701 sayılı Kanun kapsamındaki ayrımcılık yasağı da ayrıca uygulanır.
Finans ve ödeme
Dolandırıcılık skoru veya kredi risk modeli hesabı bloke ediyor ya da talebi reddediyorsa kullanılan verinin doğruluğu ve insan inceleme mekanizması bulunmalıdır.
Sigorta
Risk skoru prim veya kabul kararını otomatik değiştiriyorsa kişinin veri kaynağı ve itiraz mekanizması açık olmalıdır.
E-ticaret ve müşteri hizmetleri
Müşteri profiline göre farklı hizmet seviyesi, fiyat veya iade kararı veriliyorsa otomasyonun kişi aleyhine etkisi incelenir.
Çalışan yönetimi
Performans, devamsızlık veya iletişim verisinden otomatik terfi/fesih önerisi üreten sistemlerde iş hukuku ve KVKK birlikte uygulanır.
Otomatik Karara Nasıl İtiraz Edilir?
İlgili kişi veri sorumlusuna yazılı veya Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’deki yöntemlerle başvurabilir. Başvuruda hangi otomatik kararın aleyhe sonuç doğurduğu, karar tarihi ve varsa yanlış veriler belirtilmelidir.
Kişi, kişisel verilerinin hangi amaçla işlendiğini, aktarıldığı kişileri, yanlış verinin düzeltilmesini ve otomatik analiz sonucu aleyhe sonuca itirazını birlikte talep edebilir.
Veri sorumlusu m.13 kapsamındaki başvuruyu gerekçeli biçimde sonuçlandırmalıdır. Yalnız “algoritma doğru çalışmıştır” şeklinde soyut cevap vermek yerine, somut itirazın ve kullanılan kişisel verilerde hata iddiasının değerlendirilmesi gerekir; bu değerlendirme anlamlı insan incelemesiyle desteklenebilir.
Şirketler İçin 12 Maddelik Otomatik Karar Kontrolü
- AI/algoritmanın karar süreçlerini envanterleyin.
- Kişi aleyhine sonuç doğuran kararları işaretleyin.
- Kararın tamamen otomatik olup olmadığını belirleyin.
- Kullanılan veri alanlarını m.4 bakımından azaltın.
- m.5 veya gerekiyorsa m.6 hukuki sebebini belirleyin.
- Aydınlatmada otomatik karar kullanımını açıklayın.
- Yanlış veri düzeltme kanalı kurun.
- m.11/1-g itiraz mekanizması oluşturun.
- Gerçek insan incelemesi yapacak yetkili atayın.
- Model sürümü, veri kaynağı ve karar loglarını kaydedin.
- Önyargı ve ayrımcı etki testleri yapın.
- Model değiştiğinde etki değerlendirmesini yenileyin.
Sık Sorulan Sorular
1. KVKK otomatik kararları yasaklıyor mu?
Hayır. m.11/1-g, münhasıran otomatik analiz sonucu kişi aleyhine sonuca itiraz hakkı tanır; diğer KVKK şartları da uygulanır.
2. İnsan ekranda onay verirse karar otomatik olmaktan çıkar mı?
Her zaman değil. İnsan gerçek inceleme yapmıyor ve sonucu değiştirme yetkisine sahip değilse müdahale formal kalabilir.
3. Profil çıkarma kişisel veri işleme midir?
Gerçek kişiyle ilişkilendirilen skor ve değerlendirmeler kişisel veri işleme faaliyetidir.
4. Kredi skoru m.11/1-g kapsamında olabilir mi?
Tamamen otomatik analiz kişi aleyhine kredi sonucu doğuruyorsa hüküm değerlendirilir.
5. İşe alım algoritması adayı otomatik eleyebilir mi?
Aleyhe otomatik sonuçta m.11/1-g itiraz hakkı doğar; ayrıca ayrımcılık ve iş hukuku kuralları uygulanır.
6. Kaynak kodu isteme hakkım var mı?
KVKK kaynak kodu talep hakkı düzenlemez; ancak veri işleme amacı, veri kategorileri, alıcılar ve otomatik aleyhe sonuca itiraz gibi haklar vardır.
7. Yanlış veriye dayalı skor düzeltilmeli mi?
Evet. Temel veri düzeltilmeli ve türetilmiş skor/karar yeniden hesaplanmalıdır.
8. Açık rıza alınırsa otomatik karar serbest mi?
Açık rıza m.4 ilkelerini, m.11 haklarını veya ayrımcılık yasağını ortadan kaldırmaz.
9. Karara nereye itiraz edilir?
Önce KVKK m.13 kapsamında veri sorumlusuna başvuru yapılır.
10. Veri sorumlusu kaç günde cevap verir?
En kısa sürede ve en geç otuz gün içinde.
11. AI yalnız öneri sunuyorsa m.11/1-g uygulanır mı?
Gerçek bağımsız insan değerlendirmesi varsa “münhasıran otomatik” unsurunun bulunup bulunmadığı somut süreçte incelenir.
12. En güvenli tasarım nedir?
Yüksek etkili kararlarda asgari veri, açıklanabilir süreç, yanlış veri düzeltme, anlamlı insan müdahalesi ve etkin itiraz mekanizması birlikte kullanılmalıdır.
Türkiye Geneli ve Mersin Uygulaması
Otomatik karar ve profil çıkarma sistemleri Türkiye genelinde aynı KVKK hükümlerine tabidir. Mersin’de lojistik, sağlık, perakende, çağrı merkezi, finansal hizmet ve işveren uygulamalarında müşteri/çalışan skorlarının gerçek insan kontrolü olmadan hak kaybına dönüşmemesi için m.11/1-g prosedürü kurulmalıdır.
Resmî Kaynaklar ve İlgili Yazılar
İç bağlantılar: AI ile CV puanlama · CRM profil ve skorlama · AI yanlış kişisel veri düzeltme
Hukukçu İncelemesi ve E-E-A-T
Bu içerik 11 Eylül 2026 tarihinde 6698 sayılı Kanunun m.4, m.5, m.10, m.11, m.12 ve m.13 hükümleri ile Kişisel Verileri Koruma Kurumunun üretken yapay zekâ rehberi esas alınarak hazırlanmıştır.
Yazar: Av. Halil BAKIRCI – Mersin Barosu Sicil No: 3472
İnceleyen: Av. Emirhan Keskin
Son mevzuat kontrolü: 11 Eylül 2026
(E-İMZALIDIR)
Hukuki konu hakkında iletişim
İlk iletişimde konuyu, bulunduğunuz ülke veya ili ve varsa tebliğ ya da son işlem tarihini kısaca belirtebilirsiniz. T.C. kimlik numarası, sağlık verisi veya kişisel belge göndermeyiniz. Mesajlaşma tek başına hukuki görüş veya avukatlık ilişkisi oluşturmaz.
