Avukat Müvekkil Dosyasını ChatGPT veya Yapay Zekâya Yükleyebilir mi? Avukatlık Kanunu m.36 ve KVKK 2026

Avukatlık Kanunu m.36: Müvekkil Sırrı Yapay Zekâya Aktarılamaz

1136 sayılı Avukatlık Kanunu m.36, avukatın görevi nedeniyle öğrendiği hususları açıklamasını yasaklayan temel meslek sırrı hükmüdür. Sır saklama yükümlülüğü yalnız mahkeme dosyasına sunulmuş belgelerle sınırlı değildir. Müvekkilin olay anlatımı, özel yazışmaları, ticari planı, aile bilgileri, sağlık kayıtları, şirket içi belgeleri, soruşturma bilgileri, strateji notları ve avukata güven ilişkisi içinde verdiği diğer bilgiler bu koruma alanına girer.

Üretken yapay zekâ aracına dosya yüklemek, bilginin yalnız avukatın bilgisayarında kalması değildir. Veri üçüncü taraf hizmet sağlayıcının teknik altyapısında işlenir. Bu nedenle “dosyayı yayımlamadım, sadece özetlettim” savunması meslek sırrı bakımından yeterli değildir. Aktarımın kime, hangi sözleşmeyle, hangi saklama ayarıyla ve hangi teknik mimariyle yapıldığı tespit edilir.

Avukatın dosya üzerinde çalışırken teknoloji kullanması başlı başına yasak değildir. Hukuki eşik, meslek sırrı ve kişisel verinin kontrolsüz biçimde üçüncü tarafa açılıp açılmadığıdır. Yerel cihazda çalışan ve veriyi dışarı göndermeyen bir sistem ile kullanıcı girdilerini dış sunucuda işleyen tüketici tipi yapay zekâ hizmeti aynı veri akışına sahip değildir.

Müvekkil Dosyası KVKK Bakımından Nasıl Değerlendirilir?

Müvekkil dosyasında gerçek kişiye ilişkin ad, telefon, adres, T.C. kimlik numarası, e-posta, banka hesabı, tapu bilgisi, ceza dosyası bilgisi, sağlık kaydı ve çok sayıda başka kişisel veri bulunur. Avukatlık bürosu, kendi mesleki faaliyeti kapsamında bu verilerin işlenme amaç ve araçlarını belirlediği ölçüde veri sorumlusu yükümlülüklerini taşır.

6698 sayılı Kanun m.4 gereği kişisel veri hukuka ve dürüstlük kurallarına uygun, belirli-açık-meşru amaçla, amaçla bağlantılı-sınırlı-ölçülü ve gerekli süreyle sınırlı işlenmelidir. Bir dilekçedeki yazım hatalarını düzeltmek için kimlik numarasını, banka hesabını ve karşı tarafın ev adresini yapay zekâ sistemine göndermek gerekli değildir. Önce veri minimizasyonu yapılır.

Genel nitelikli veride m.5’teki işleme şartlarından uygun olanı; özel nitelikli kişisel veride m.6’daki şartlardan uygun olanı bulunmalıdır. Avukatlık faaliyeti sırasında “bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması” birçok dosyada ilgili hukuki sebep olarak gündeme gelir; ancak bu sebep her üçüncü taraf teknoloji aktarımını otomatik olarak hukuka uygun hâle getirmez. Yapay zekâ sağlayıcısına aktarımın gerçekten gerekli ve ölçülü olup olmadığı ayrıca incelenir.

Hangi Müvekkil Dosyaları Daha Yüksek Risk Taşır?

Ceza, aile, sağlık, iş ve ticari sır içeren dosyalar yüksek hassasiyet taşır. Ceza dosyasındaki adli sicil ve güvenlik tedbiri bilgileri; boşanma dosyasındaki özel hayat, sağlık, çocuk ve mali bilgiler; iş dosyasındaki sağlık raporu veya sendikal bilgi; sağlık hukukundaki teşhis ve tedavi kayıtları; ticari davadaki müşteri listesi ve fiyatlama verileri ayrı koruma katmanları gerektirir.

Özel nitelikli kişisel veri m.6 kapsamındadır. Bu verinin işlenmesinde Kanundaki özel şartlar ve Kurulun yeterli önlem düzenlemeleri uygulanır. “Müvekkil bana verdi, istediğim araca yüklerim” yaklaşımı doğru değildir. Müvekkilin veriyi avukata vermesi, avukatın sınırsız üçüncü taraf paylaşım yetkisi bulunduğu anlamına gelmez.

Çocukların verisi, mağdur beyanları, cinsel hayata ilişkin kayıtlar ve sağlık belgeleri söz konusu olduğunda veri minimizasyonu daha da sıkı uygulanmalıdır. Dosya özetine ihtiyaç varsa kimliği belirleyen alanlar ile amaç için gerekmeyen hassas ayrıntılar çıkarılmalıdır.

Müvekkilin Adını Silmek Yeterli midir?

Hayır. Bir metinden ad-soyadı kaldırmak veriyi otomatik olarak anonim hâle getirmez. Dosya numarası, mahkeme adı, duruşma tarihi, şirket unvanı, tarafların görevi, olay yeri, tekil olay örgüsü veya başka veriler kişiyi yeniden belirlenebilir kılıyorsa KVKK uygulanmaya devam eder.

Örneğin “Mersin’deki aile mahkemesinde 2026 tarihli dosyada, şu şirkette çalışan 42 yaşındaki taraf…” biçimindeki ayrıntılar isim yazılmasa dahi belirli kişiye ulaşmayı kolaylaştırır. Güvenli maskeleme, yalnız isim yerine “A kişisi” yazmaktan daha geniş bir veri azaltma çalışmasıdır.

Gerçek anonimleştirmede kişinin ek bilgilerle dahi yeniden belirlenmesi engellenir. Avukatlık pratiğinde çoğu çalışma için tam anonimleştirme mümkün değilse, üçüncü taraf sisteme gönderilecek veri asgariye indirilir ve hizmetin hukuki-teknik koşulları ayrıca denetlenir.

Yapay Zekâ Sağlayıcısı Yurt Dışındaysa KVKK m.9

Hizmet sağlayıcı veya veri altyapısı yurt dışındaysa KVKK m.9’daki yurt dışına aktarım rejimi ayrıca uygulanır. 1 Haziran 2024’te yürürlüğe giren yeni sistem yeterlilik kararı, uygun güvenceler ve Kanunda sınırlı biçimde düzenlenen arızi aktarım halleri üzerinden işler.

Avukatlık bürosunun kurumsal teknoloji sözleşmesinde uygun standart sözleşme veya başka aktarım mekanizması bulunması gerekir. Standart sözleşme kullanılacaksa taraf rolleri doğru belirlenmeli ve mevzuattaki bildirim yükümlülüğü yerine getirilmelidir. Bir hizmete kredi kartıyla abone olmak, KVKK m.9 için aktarım mekanizması oluşturmaz.

Yurt dışı aktarım analizi yalnız ana şirket adresine bakılarak yapılmaz. Alt işleyenler, destek ekipleri, veri merkezleri ve teknik erişim noktaları incelenir. Sağlayıcının “veri şu bölgede tutulur” açıklaması, başka ülkeden uzaktan erişimi veya yedeklemeyi dışlamıyorsa veri haritası tamamlanmış sayılmaz.

Müvekkilin Onayı Alınırsa Dosya Yapay Zekâya Yüklenebilir mi?

Müvekkilin rızası tek başına bütün yükümlülükleri ortadan kaldırmaz. Öncelikle işleme ve aktarımın hangi hukuki sebebe dayandığı belirlenir. Açık rıza kullanılacaksa belirli konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olmalıdır. Buna rağmen KVKK m.4’teki ölçülülük ve veri minimizasyonu ilkeleri devam eder.

Meslek sırrı bakımından da “müvekkil izin verdi” cümlesi dosyanın tamamını sınırsız şekilde üçüncü taraf servise aktarma yetkisi olarak yorumlanmamalıdır. İzin verilen bilgi, amaç ve alıcı somutlaştırılmalıdır. Avukatın mesleki özen ve veri güvenliği yükümlülüğü devam eder.

Özellikle karşı tarafa, tanığa, çocuğa veya üçüncü kişilere ait verilerde yalnız müvekkilin onayı bu üçüncü kişilerin verisi için bağımsız hukuki sebep oluşturmaz. Dosya çok taraflı kişisel veri içerdiği için veri haritası kişi bazında düşünülmelidir.

Avukatlık Bürosunda Alınması Gereken Teknik ve İdari Tedbirler

KVKK m.12 kapsamında hukuk bürosu, yapay zekâ kullanımını yazılı ve teknik tedbirlerle yönetmelidir. En az şu kontroller gerekir:

• Onaylı yapay zekâ hizmetlerinin ve hesap türlerinin belirlenmesi;
• Kişisel tüketici hesaplarından müvekkil belgesi yüklemenin yasaklanması;
• Özel nitelikli veri için ayrı onay ve güvenlik süreci;
• Belge yüklemeden önce maskeleme ve veri minimizasyonu;
• Model eğitimi, sohbet geçmişi ve veri saklama ayarlarının kurumsal düzeyde yönetilmesi;
• İki faktörlü kimlik doğrulama ve rol bazlı erişim;
• Alt işleyen ve yurt dışı aktarım kontrolü;
• Stajyer, sekreter, avukat ve dış hizmet sağlayıcılar için eğitim;
• Yanlış yükleme halinde olay müdahale prosedürü;
• Dosya sonunda saklama ve silme kurallarının uygulanması.

Politika, günlük iş akışını karşılamalıdır. “AI kullanmayın” şeklindeki genel yasak pratikte ihlal ediliyorsa gerçek kontrol sağlamaz. Hangi kullanımın izinli, hangi verinin yasak ve hangi aracın onaylı olduğu açıkça gösterilmelidir.

Hukuka Daha Uygun Yapay Zekâ Kullanım Modeli

Bir hukuk bürosu yapay zekâdan yararlanacaksa ilk tercih, kişisel veri içermeyen veya yeterli biçimde maskelenmiş metinlerle çalışmaktır. Örneğin hukuki konu başlığı, anonim olay şeması ve kanun maddesi üzerinden araştırma taslağı hazırlatmak; gerçek dava dilekçesini bütün kimlik ve olay ayrıntılarıyla yüklemekten farklıdır.

Dosya özeti gerekiyorsa önce verinin yerel ortamda maskelenmesi, gereksiz eklerin çıkarılması ve yalnız iş için gerekli bölümün gönderilmesi gerekir. Sağlayıcının kurumsal sözleşmesi, veri kullanım politikası ve aktarım mekanizması kontrol edilir. Çıktı hiçbir zaman doğrudan müvekkile veya mahkemeye gönderilmez; avukat hukuki doğruluk, atıf ve güncellik kontrolünü bizzat yapar.

Yapay zekânın halüsinasyon riski mesleki özen bakımından ayrı konudur. Var olmayan karar, yanlış kanun maddesi veya uydurma içtihat doğrudan dosyaya yazılmamalıdır. Her kanun maddesi güncel mevzuattan, her içtihat resmî veya güvenilir karar veri tabanından doğrulanmalıdır.

Yanlışlıkla Müvekkil Dosyası Yüklenirse Ne Yapılır?

Dosya yanlış hesaba veya onaysız yapay zekâ sistemine yüklendiğinde işlem derhal durdurulur. Sohbet ve dosya silinir; sağlayıcının silme/retention mekanizması incelenir; hesap ve paylaşım bağlantıları kapatılır. Hangi verinin, kaç kişiye ilişkin olarak, hangi tarihte ve hangi sistemde işlendiği kayıt altına alınır.

Olay hem Avukatlık Kanunu m.36 hem KVKK m.12 yönünden incelenir. Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi durumu oluşmuşsa m.12/5 kapsamındaki ilgili kişi ve Kurul bildirimi değerlendirilir. Özel nitelikli veri veya ceza dosyası bilgisi varsa risk seviyesi yükselir.

Hata gizlenmemeli, olay müdahale kaydı oluşturulmalıdır. İç soruşturma, hangi çalışan hesabının kullanıldığını, verinin neden maskelenmediğini ve hangi kontrolün çalışmadığını belirlemelidir. Aynı tip olayın tekrarını önleyen teknik tedbir alınmadan yalnız çalışan uyarısı ile dosya kapatılmamalıdır.

Sık Sorulan Sorular

1. Avukat ChatGPT kullanamaz mı?

Yapay zekâ kullanımı başlı başına yasak değildir. Müvekkil sırrı ve kişisel verinin üçüncü taraf sisteme hangi şartlarda aktarıldığı belirleyicidir.

2. Dilekçeyi isimsiz yüklemek güvenli midir?

İsim silmek tek başına anonimleştirme değildir. Dosya numarası, olay tarihi, mahkeme, şirket ve benzersiz olay ayrıntıları kişiyi belirlenebilir kılıyorsa KVKK uygulanır.

3. Müvekkil “yükleyebilirsiniz” derse sorun biter mi?

Hayır. Ölçülülük, veri güvenliği, üçüncü kişi verileri ve yurt dışı aktarım yükümlülükleri devam eder.

4. Sağlık raporu yapay zekâya yüklenir mi?

Sağlık verisi özel nitelikli kişisel veridir. KVKK m.6 şartı, yeterli önlemler ve varsa m.9 aktarım rejimi kurulmadan üçüncü taraf sisteme yüklenmemelidir.

5. Ceza dosyası daha mı hassastır?

Ceza mahkûmiyeti ve güvenlik tedbiri bilgileri m.6 kapsamında özel nitelikli kişisel veridir. Ayrıca soruşturma gizliliği ve meslek sırrı boyutları bulunur.

6. Kurumsal yapay zekâ hesabı yeterli mi?

Hayır. Kurumsal hesap yalnız güvenlik ve yönetim aracı sağlar; hukuki sebep, minimizasyon, aktarım ve sır saklama ayrıca uygulanır.

7. Avukatlık Kanunu m.36 sadece avukatı mı bağlar?

Avukatın mesleki sır saklama yükümlülüğü doğrudan avukata aittir. Büro çalışanlarının veri erişimi ise gizlilik, iş hukuku ve KVKK tedbirleriyle ayrıca sınırlandırılmalıdır.

8. Yapay zekâ çıktısı mahkemeye sunulur mu?

Çıktı ancak avukat tarafından hukuki ve olgusal doğruluğu doğrulandıktan sonra kullanılmalıdır. Var olmayan karar veya yanlış mevzuat atfı mesleki sorumluluk doğurur.

9. Yanlış yükleme veri ihlali bildirimi gerektirir mi?

KVKK m.12/5 şartları somut veri akışı üzerinden değerlendirilir. Üçüncü tarafın veriyi kanuni olmayan yolla elde ettiği durumlarda bildirim rejimi uygulanır.

10. En güvenli yöntem nedir?

Gerçek dosya verisini üçüncü taraf sisteme taşımadan, anonim veya kişisel veri içermeyen olay şemasıyla çalışmak; gerektiğinde onaylı kurumsal sistem ve belirlenmiş aktarım-güvenlik mekanizmasını kullanmaktır.

Resmî Kaynaklar ve İç Bağlantılar

• KVKK – Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi
• KVKK – Yurt Dışına Aktarım
• Türkiye Barolar Birliği

İç bağlantılar: ChatGPT’e kişisel veri yüklemek · Yapay zekâda veri sorumlusu ve veri işleyen · Çalışanın kişisel ChatGPT hesabına müşteri verisi yüklemesi

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →