Yapay Zekâya Veri Göndermeden Önce Anonimleştirme Nasıl Yapılır? KVKK’da Anonim Veri ve Takma Adlandırma 2026

Bu yazıyla ilgili genel bir sorunuz mu var? Anonim soru sor

KVKK’da Anonimleştirme Nedir?

6698 sayılı Kanun m.3 anonim hale getirmeyi, kişisel verilerin başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi olarak tanımlar. Bu tanım yüksek bir eşik koyar: yalnız doğrudan tanımlayıcının silinmesi yetmez; yeniden belirleme olasılığı da ortadan kaldırılmalıdır.

Anonim veri gerçek kişiyle bağını geri döndürülemeyecek şekilde kaybetmiştir. Kurum içindeki başka tablo, anahtar dosyası veya üçüncü taraf veri seti kullanılarak kişi yeniden bulunabiliyorsa veri anonim değildir.

Bu ayrım yapay zekâ kullanımında kritiktir. Şirket, “isimleri sildik, artık KVKK yok” diyerek müşteri kayıtlarını dış AI sistemine gönderebilir; ancak tarih, konum, meslek, müşteri numarası ve benzersiz olay ayrıntıları aynı kişiyi ortaya çıkarıyorsa aktarım hâlâ kişisel veri aktarımıdır.

Anonimleştirme ve Takma Adlandırma Arasındaki Fark

Takma adlandırma, doğrudan tanımlayıcıların bir kod veya rumuzla değiştirilmesi ve ek bilgi kullanılmadan kişinin doğrudan belirlenmesinin zorlaştırılmasıdır. Örneğin Ahmet Yılmaz yerine “Müşteri-1742” yazılması güvenlik bakımından yararlıdır; ancak şirket başka tabloda Müşteri-1742’nin kim olduğunu biliyorsa veri kişisel veri olmaya devam eder.

Gerçek anonimleştirmede ise veri sorumlusu dahil hiçbir makul tarafın başka verilerle eşleştirerek kişiyi yeniden belirleyememesi hedeflenir. Bu nedenle anonimleştirme veri koruma yükümlülüklerini sona erdirebilen bir dönüşümken, takma adlandırma esas olarak bir güvenlik tedbiridir.

Yapay zekâya veri aktarımında takma adlandırma yine güçlü bir tedbirdir; fakat m.5/m.6 hukuki sebep, m.9 yurt dışı aktarım, m.10 aydınlatma ve m.12 güvenlik yükümlülüklerini ortadan kaldırmaz.

Maskeleme Anonimleştirme midir?

Maskeleme, belirli veri alanlarını kısmen veya tamamen gizlemektir. Telefon numarasını “05** *** ** 12”, e-postayı “a***@sirket.com” veya kimlik numarasını kısmen kapalı göstermek veri güvenliğini artırabilir; ancak çoğu durumda anonimleştirme sağlamaz.

Verinin geri kalan bağlamı kişiyi tanımlamaya yeterliyse maskeleme sonucu kişisel veri niteliği devam eder. Örneğin küçük bir ekipte “42 yaşında, finans müdürü, Adana’da yaşayan çalışan” ifadesi isim olmadan da tek kişiyi gösterebilir.

AI promptuna belge yapıştırmadan önce maskeleme yararlıdır; ancak veri sorumlusu bunun gerçek anonimleştirme olup olmadığını ayrıca test etmelidir. Hukuki sınıflandırma uygulanan tekniğin adına değil yeniden belirleme riskine göre yapılır.

Yeniden Belirleme Riski Nasıl Oluşur?

Yeniden belirleme, doğrudan tanımlayıcılar çıkarılmış olsa bile kalan verilerin başka kaynaklarla birleştirilerek kişinin bulunmasıdır. Özellikle nadir olaylar ve serbest metin bu riski yükseltir.

Bir müşteri şikâyetinden isim ve telefon silinmiş olabilir; fakat “12 Ağustos’ta Mersin Limanı’ndan 2,7 milyon TL değerinde tek konteyner gönderen şirketin satın alma müdürü” şeklindeki ayrıntı kamuya açık ticaret veya sosyal medya verileriyle kişiyi belirleyebilir.

Benzer şekilde nadir hastalık, küçük ilçe, kesin yaş, görev unvanı ve olay tarihi birleştiğinde sağlık verisi kolayca yeniden belirlenebilir. K-anonimlik gibi teknik yöntemler bu riskleri azaltmak için kullanılabilir; ancak her veri seti için tek yöntem yeterli değildir.

AI Sistemlerinde Anonimleştirme Neden Özellikle Önemlidir?

Yapay zekâ sistemleri büyük veri setlerinden örüntü çıkarmada güçlüdür. İnsan gözüyle anonim görünen veri, model veya başka veri kaynaklarıyla birleştirildiğinde yeniden belirlenebilir. Bu nedenle AI’ya gidecek veri setinde dolaylı tanımlayıcılar daha sıkı değerlendirilmelidir.

Üretken AI ayrıca serbest metinden ad, konum, şirket, ilişki ve olay bağlantılarını çıkarabilir. Tablo sütunlarında doğrudan tanımlayıcı bulunmasa bile açıklama alanları kişiyi açığa çıkarabilir.

Anonimleştirme, m.4’teki veri minimizasyonunun güçlü uygulamasıdır. AI görevi kişisel veri gerektirmiyorsa en doğru yaklaşım veriyi kişiden ayırarak göndermektir. Böylece yurt dışı aktarım, saklama ve sağlayıcı riskleri de önemli ölçüde azalır.

Hangi Anonimleştirme Yöntemleri Kullanılabilir?

Tek bir anonimleştirme tekniği her veri setine uygun değildir. Veri yapısı, örneklem büyüklüğü ve yeniden belirleme riski birlikte değerlendirilir. Uygulamada şu yöntemler veya kombinasyonları kullanılabilir:

• Genelleştirme: kesin yaş yerine yaş aralığı, kesin adres yerine il düzeyi kullanmak.
• Değişken çıkarma: amaç için gereksiz yüksek riskli sütunları tamamen kaldırmak.
• Toplulaştırma: bireysel kayıt yerine grup toplamı veya ortalama kullanmak.
• Alt/üst sınır kodlama: çok nadir yüksek veya düşük değerleri kategori içinde toplamak.
• Karıştırma: bazı alanların aynı dağılım korunarak kayıtlar arasında yer değiştirilmesi.
• Gürültü ekleme: istatistiksel analiz için değerlerin belirli yöntemle değiştirilmesi.
• Yerel/global kayıt bastırma: yeniden belirleme riski yüksek kayıt veya alanların çıkarılması.

Yöntem seçimi verinin daha sonra hangi AI görevinde kullanılacağına göre yapılmalıdır. Metin üretimi için toplulaştırılmış veri işe yaramayabilir; buna karşılık istatistiksel modelde bireysel kayıt gerekmeyebilir.

Serbest Metin Nasıl Anonimleştirilir?

Serbest metin anonimleştirmesi tablo verisinden daha zordur. İsim, telefon, e-posta ve adres gibi açık alanların yanında işyeri, meslek, akrabalık, olay tarihi, dosya numarası ve benzersiz hikâye ayrıntıları da çıkarılmalıdır.

Otomatik NER (named entity recognition) araçları yardımcı olabilir; ancak tek başına güvenilmemelidir. Araç “Mersin 8. Aile Mahkemesi” veya çok nadir olay örüntüsünü kişi belirleme riski olarak görmeyebilir. Hukuki ve bağlamsal insan kontrolü gereklidir.

Bir dava dilekçesi veya sağlık raporu AI’ya gönderilecekse yalnız isimleri değiştirmek yerine olayın amacı için gereksiz mahkeme, dosya, tarih, işyeri, konum ve üçüncü kişi ayrıntıları da çıkarılmalıdır.

Özel Nitelikli Verilerde Anonimleştirme

Sağlık, biyometri, genetik, ceza mahkûmiyeti ve m.6’daki diğer özel nitelikli veriler yüksek risklidir. Bu verilerin anonimleştirilmesi sırasında nadirlik özellikle önem taşır.

Nadir hastalık + yaş + ilçe gibi üç alan kişiyi kolayca ortaya çıkarabilir. Bu nedenle sağlık verisinde genelleştirme ve toplulaştırma daha güçlü uygulanmalı; küçük hücreler bastırılmalıdır.

Gerçek anonimleştirme yapılana kadar veri m.6 özel nitelikli veri olarak değerlendirilir ve yeterli önlemler uygulanır. “Anonimleştirme sürecindeyiz” aşaması KVKK’dan muaf değildir.

Anonimlik Nasıl Test Edilir?

Anonimleştirme tek seferlik teknik işlem değil, risk testidir. Veri setine erişebilen tarafların hangi ek bilgi kaynaklarına sahip olabileceği düşünülmelidir. Kurum içi eşleştirme dosyası, açık internet kaynakları ve diğer veri setleri yeniden belirleme riskine dahil edilir.

Özellikle dış AI sağlayıcısına aktarım öncesi, sağlayıcının sahip olabileceği geniş veri kaynakları dikkate alınmalıdır. Veri şirket içinde anonim görünüyor olabilir ancak küresel sağlayıcının başka kaynaklarla eşleştirme kabiliyeti risk profilini değiştirebilir.

Periyodik yeniden test gerekir. Bugün anonim olan veri, gelecekte yeni kamuya açık veri kaynakları ortaya çıktığında yeniden belirlenebilir hale gelebilir. Uzun süre saklanan anonim veri setleri bu nedenle tekrar değerlendirilmelidir.

KVKK m.7 ile Anonimleştirmenin İlişkisi

KVKK m.7, işlenmesini gerektiren sebepler ortadan kalktığında kişisel verinin resen veya ilgili kişinin talebi üzerine silinmesi, yok edilmesi veya anonim hale getirilmesini düzenler. Anonimleştirme burada saklama süresi sonunda kullanılabilecek yöntemlerden biridir.

Ancak m.7 kapsamında anonimleştirmenin gerçek ve geri döndürülemez olması gerekir. Şirket anonim veri setini tutarken eşleştirme anahtarını ayrı yerde saklıyor ve kişiyi yeniden bulabiliyorsa m.7 yükümlülüğünü anonimleştirme yoluyla yerine getirmiş sayılmaz.

AI model eğitimi için eski müşteri verisini saklamak isteniyorsa gerçek anonimleştirme, kişisel veri saklama riskini azaltabilir. Takma adlandırılmış veri ise hâlâ kişisel veridir ve saklama için hukuki sebep gerekir.

AI Öncesi 12 Maddelik Anonimleştirme Kontrolü

1. AI görevi için kişisel verinin gerçekten gerekli olup olmadığını belirleyin.
2. Doğrudan tanımlayıcıları çıkarın.
3. Dolaylı tanımlayıcıları ve nadir kombinasyonları belirleyin.
4. Serbest metindeki benzersiz olay ayrıntılarını temizleyin.
5. Gereksiz sütunları tamamen kaldırın.
6. Yaş, tarih, konum gibi alanları gerektiğinde genelleştirin.
7. Küçük grupları ve nadir kayıtları bastırın.
8. Eşleştirme anahtarı kalıyorsa veriyi anonim saymayın.
9. Dış veri kaynaklarıyla yeniden belirleme testi yapın.
10. Özel nitelikli veride daha sıkı eşik uygulayın.
11. Anonimleştirme yöntemini ve risk testini belgeleyin.
12. Uzun süre saklanan veri setlerini periyodik yeniden değerlendirin.

Sık Sorulan Sorular

1. İsimleri silmek anonimleştirme midir?

Tek başına değildir. Kişi başka alanlarla yeniden belirlenebiliyorsa veri kişisel veridir.

2. Müşteri numarası kullanmak anonimleştirme midir?

Şirket numarayı gerçek kişiyle eşleştirebiliyorsa hayır; bu takma adlandırmadır.

3. Hashlenmiş e-posta anonim midir?

Her durumda değil. E-posta tahmin edilip hash karşılaştırmasıyla yeniden bulunabiliyorsa kişisel veri niteliği sürebilir.

4. Maskeleme KVKK’yı ortadan kaldırır mı?

Genellikle hayır. Maskeleme güvenlik tedbiridir; gerçek anonimleştirme ayrı test gerektirir.

5. Anonim veri AI’ya yurt dışına gönderilebilir mi?

Gerçekten anonim hale gelmiş ve gerçek kişiyle ilişkilendirilemez veri artık kişisel veri değildir. Ancak anonimlik testi belgelemelidir.

6. Takma adlandırılmış veri yurt dışına gönderilirse m.9 uygulanır mı?

Evet. Veri kişisel veri niteliğini koruduğu için m.9 uygulanır.

7. Serbest metin nasıl anonimleştirilir?

İsim yanında konum, tarih, işyeri, dosya numarası ve benzersiz olay ayrıntıları da temizlenmelidir.

8. Sağlık verisi anonimleştirilebilir mi?

Evet; ancak nadirlik ve yeniden belirleme riski çok daha sıkı test edilmelidir.

9. Anonimleştirme geri alınabilir mi?

Gerçek anonimleştirme geri döndürülemez olmalıdır. Geri eşleştirme anahtarı varsa anonimleştirme gerçekleşmemiştir.

10. Sentetik veri anonim veri midir?

Gerçek kişiyle ilişkilendirilemiyorsa kişisel veri değildir; ancak gerçek kayıtlardan ezberlenmiş benzersiz unsurlar içermemelidir.

11. AI sağlayıcısı veriyi yeniden belirleyebilir mi?

Bu risk değerlendirilmelidir. Sağlayıcının elindeki diğer veri kaynakları ve teknik imkanlar anonimlik testinde dikkate alınır.

12. En güvenli yaklaşım nedir?

AI görevi kişisel veri gerektirmiyorsa gerçek anonim veya sentetik veri kullanmak ve yeniden belirleme testini belgelemektir.

Türkiye Geneli ve Mersin Uygulaması

Türkiye genelindeki veri sorumluları aynı anonimleştirme tanımına tabidir. Mersin’de lojistik, sağlık, eğitim, hukuk ve ticaret şirketleri AI projelerinde müşteri ve çalışan verisini dış servise göndermeden önce anonimleştirme ile takma adlandırma arasındaki farkı teknik olarak belgelemelidir.

Resmî Kaynaklar ve İlgili Yazılar

• KVKK – Anonim Hale Getirme
• KVKK – Üretken Yapay Zekâ Rehberi

İç bağlantılar: Müşteri verisiyle AI model eğitimi · ChatGPT’e kişisel veri yüklemek · Hasta dosyasını AI’ya yüklemek

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →