Yapay Zekâ Hakkınızda Yanlış Bilgi Üretirse Ne Yapabilirsiniz? KVKK m.11 Düzeltme, Silme ve İtiraz Hakkı 2026

Bu yazıyla ilgili genel bir sorunuz mu var? Anonim soru sor

AI Çıktısındaki Yanlış Bilgi Ne Zaman KVKK Konusudur?

Bir yapay zekâ sistemi bir kişi hakkında “şu şirkette çalışıyor”, “şu davada taraf”, “şu borcu var”, “şu hastalığa sahip” veya benzeri yanlış bir bilgi üretebilir. Her yanlış AI cümlesi otomatik olarak KVKK ihlali değildir. KVKK bakımından öncelikle kişisel verinin belirli veya belirlenebilir gerçek kişiyle ilişkilendirilmesi ve bir veri sorumlusu tarafından işlenmesi gerekir.

Bir şirket, AI çıktısını müşteri kaydına ekliyor, personel dosyasına yazıyor, risk puanında kullanıyor, başvuru değerlendirmesine dahil ediyor veya kullanıcı profilinde saklıyorsa bu kullanım kişisel veri işleme faaliyetinin bir örneğidir. Bu durumda veri doğruluğu ve ilgili kişi hakları uygulanır.

Modelin tek seferlik konuşmada ürettiği çıktı ile işletmenin bu çıktıyı kalıcı kayda alıp kararında kullanması; işleme faaliyeti, sorumlu aktör ve doğan sonuçlar bakımından ayrı ayrı değerlendirilir. Kalıcı kayıt bulunmaması, kişisel veri işlenmediği anlamına gelmez. Sağlayıcının kendi sisteminde kişi profili oluşturması, arama/hatırlama özelliğiyle veriyi saklaması veya başkalarına sunması da ayrıca veri işleme oluşturabilir.

KVKK m.4: Kişisel Veriler Doğru ve Gerektiğinde Güncel Olmalıdır

KVKK m.4 kişisel verilerin doğru ve gerektiğinde güncel olmasını temel ilke olarak düzenler. Veri sorumlusu kişisel veriyi bir AI sisteminden elde etmiş olsa bile “model böyle söyledi” diyerek doğruluk yükümlülüğünden kaçınamaz.

Yanlış verinin kişi hakkında önemli sonuç doğurabileceği süreçlerde doğrulama standardı yükselir. İşe alım, kredi, sigorta, disiplin, dolandırıcılık tespiti, sağlık veya hukuki değerlendirme gibi alanlarda AI çıktısı bağımsız kaynaklarla kontrol edilmelidir.

Doğruluk ilkesi yalnız ilk kayıt anında değil veri yaşam döngüsü boyunca uygulanır. Kişinin işyeri değişmiş, borcu kapanmış veya eski bir kayıt güncelliğini yitirmişse veri sorumlusu gerekli süreçlerde kaydı güncellemelidir.

AI tarafından türetilen “riskli müşteri”, “şikâyet eğilimli”, “işten ayrılma ihtimali yüksek” gibi skorlar da kişiyle ilişkilendirildiğinde veri niteliği taşır. Yanlış girdiye dayalı türetilmiş skorların da düzeltilmesi gerekir.

KVKK m.11 Kapsamındaki Haklar

KVKK m.11 ilgili kişiye kişisel verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işleme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme, yurt içi ve yurt dışındaki alıcıları bilme, yanlış veya eksik işlenen verinin düzeltilmesini isteme, Kanundaki şartlar çerçevesinde silme/yok etme isteme ve bu işlemlerin verinin aktarıldığı üçüncü kişilere bildirilmesini talep etme hakları tanır.

Madde 11/1-g ayrıca kişisel verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi sonucu kişinin kendisi aleyhine sonucun ortaya çıkmasına itiraz hakkını düzenler. AI tabanlı kredi, işe alım, müşteri risk skoru veya benzeri kararlar bu hüküm bakımından önemlidir.

Madde 11/1-ğ ise kişisel verilerin kanuna aykırı işlenmesi sebebiyle zarara uğranması halinde zararın giderilmesini talep etme hakkını düzenler. Tazminat ve yargı yolları somut zararın hukuki niteliğine göre ayrıca değerlendirilir.

Yanlış AI Verisi İçin Düzeltme Talebi Nasıl Yapılır?

Düzeltme talebi soyut “AI beni yanlış tanıyor” cümlesiyle değil, mümkün olduğunca somut kayıtla yapılmalıdır. Hangi veri yanlış, doğru bilgi nedir, yanlış veri hangi sistemde veya kararda kullanılmıştır ve destekleyici belge varsa hangi belge doğruluğu göstermektedir açıkça belirtilmelidir.

Örneğin AI sistemi kişiyi yanlış şirkette çalışıyor gösteriyorsa güncel çalışma kaydı; kapanmış borcu açık gösteriyorsa ödeme veya kapama belgesi; yanlış doğum tarihi kullanıyorsa kimlik kaydı sunulabilir. Veri sorumlusu başvuruyu değerlendirirken yalnız modeli yeniden çalıştırmakla yetinmemeli; kaynağı ve türetilmiş sonuçları birlikte kontrol etmelidir.

Yanlış temel veri düzeltilmiş olsa bile bundan türeyen skor, etiket veya otomatik karar eski haliyle kalmışsa düzeltme tamamlanmış sayılmaz. Türetilmiş verilerin de yeniden hesaplanması gerekir.

Silme, Yok Etme ve Anonim Hale Getirme

KVKK m.7’ye göre Kanun ve diğer ilgili kanun hükümlerine uygun işlenmiş olmasına rağmen işlenmesini gerektiren sebepler ortadan kalkarsa kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hale getirilir.

Her yanlış veride tek çözüm silme değildir. Veri hukuken saklanmak zorundaysa doğru bilgiyle düzeltilmesi gerekebilir. Buna karşılık işleme amacı ve hukuki sebep tamamen sona ermişse silme/yok etme gündeme gelir.

AI sistemlerinde silme teknik olarak karmaşık olabilir. Veri bir vektör veritabanına, önbelleğe, konuşma geçmişine, arama indeksine veya fine-tuning veri setine kopyalanmış olabilir. Veri sorumlusu yalnız ana CRM kaydını silip diğer kopyaları bırakmamalıdır.

Üçüncü kişilere aktarılmış yanlış veri varsa ilgili kişi m.11 kapsamında düzeltme veya silme işleminin bu alıcılara bildirilmesini talep edebilir. Bu nedenle veri aktarım kayıtları tutulmalıdır.

AI Kararı Aleyhinize Sonuç Doğurursa KVKK m.11/1-g

Bir sistem kişisel verilerinizi tamamen otomatik biçimde analiz ederek sizi işe alımda eliyor, kredi talebinizi reddediyor, müşteri hesabınızı yüksek riskli sınıfa alıyor veya hizmet koşullarınızı olumsuz etkiliyorsa m.11/1-g kapsamındaki itiraz hakkı gündeme gelir.

Bu hakkın amacı kişiyi yalnız algoritmanın sonucuna mahkûm etmemektir. Veri sorumlusu itiraz üzerine gerçek insan incelemesi yapmalıdır. İnsan incelemesi, sistemin aynı skorunu tekrar ekrana getirip onaylamak değildir; kullanılan veriler, kriterler ve olumsuz sonucun doğruluğu bağımsız biçimde değerlendirilmelidir.

AI sonucunun yanlış veriye dayandığı tespit edilirse hem temel veri düzeltilmeli hem de karar yeniden değerlendirilmelidir. Yanlış girdiyle verilen otomatik kararın sadece açıklanması yeterli değildir.

KVKK m.13 Uyarınca Veri Sorumlusuna Başvuru

İlgili kişi m.11’deki haklarını kullanmak için önce KVKK m.13 uyarınca veri sorumlusuna başvurur. Veri sorumlusu başvuruyu talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırır; işlemin ayrıca maliyet gerektirmesi halinde Kurulca belirlenen tarifedeki ücret alınabilir.

Başvuruda kimliğin doğrulanmasını sağlayan bilgiler, talebin konusu ve varsa destekleyici belgeler yer almalıdır. Şirketin internet sitesinde ilgili kişi başvuru yöntemleri açıklanmışsa bu yöntemler kullanılabilir.

AI sistemi üçüncü taraf tedarikçiden alınmış olsa bile ilgili kişi kendi verisini işleyen veri sorumlusuna başvurur. Veri sorumlusu “yazılım bizim değil” diyerek başvuruyu tedarikçiye yönlendirip sorumluluktan çıkamaz; tedarikçiyle iş birliği yaparak talebi sonuçlandırmalıdır.

Kişisel Verileri Koruma Kuruluna Şikâyet

Veri sorumlusuna başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi halinde KVKK m.14’teki şartlar ve süreler çerçevesinde Kurula şikâyet yolu kullanılabilir. Kurula başvuru, kural olarak veri sorumlusuna başvuru yolundan sonra gelir.

Şikâyet dosyasında veri sorumlusuna yapılan başvuru, cevap, yanlış AI çıktısının kayıtları ve hukuki iddiayı destekleyen belgeler bulunmalıdır. Model çıktısının zamanla değişebilmesi nedeniyle ekran görüntüsü ve tarih/saat kaydı önemlidir.

Kişilik hakkı, itibar veya maddi zarar bakımından özel hukuk ve diğer yargı yolları KVKK başvurusundan ayrı olarak gündeme gelebilir. Somut uyuşmazlıkta hangi yolun kullanılacağı ihlalin niteliğine göre belirlenir.

Arama Motoru, Chatbot ve Kurumsal AI Kaydı Aynı Değildir

Arama motorunda eski bir haberin görünmesi, chatbotun yanlış cevap vermesi ve şirketin AI ile oluşturduğu yanlış müşteri profili hukuken aynı veri işleme senaryosu değildir. Arama motorlarında unutulma hakkına ilişkin Kurul kriterleri ayrı bir değerlendirme alanıdır.

Kurumsal AI sisteminde ise veri sorumlusu daha doğrudan belirlenebilir. Şirket kendi CRM’inde kişiye ilişkin yanlış AI notu saklıyor veya skor kullanıyorsa m.4 ve m.11 düzeltme hakları doğrudan işletilebilir.

Genel amaçlı chatbotta sağlayıcının veri sorumlusu rolü; somut kişisel veri işleme faaliyetinin amaç ve vasıtalarını kimin belirlediği, kullanılan hizmetin özellikleri, verinin kaynağı ve kullanım biçimi dikkate alınarak değerlendirilir. Çıktının saklanması bu incelemede önem taşıyabilir; ancak kalıcı saklama şart değildir. İlk adım, belirli veya belirlenebilir bir gerçek kişiye ilişkin bilginin hangi faaliyette, kim tarafından ve nasıl işlendiğini tespit etmektir.

Yanlış Yapay Zekâ Çıktısı Nasıl Belgelenir?

AI çıktıları dinamik olabilir; aynı soru daha sonra farklı cevap verebilir. Bu nedenle yanlış kişisel veri görüldüğünde ekran görüntüsü, tarih-saat, hesap türü, sohbet bağlantısı veya konuşma kimliği, kullanılan prompt ve mümkünse dışa aktarma kaydı saklanmalıdır.

Kurumsal karar söz konusuysa ret e-postası, risk puanı ekranı, müşteri hizmetleri cevabı veya personel değerlendirme belgesi de korunmalıdır. Bu kayıtlar yanlış verinin yalnız model içinde kalmadığını, gerçek kararda kullanıldığını gösterebilir.

Delil toplarken başka kişilerin kişisel verileri gereksiz şekilde çoğaltılmamalıdır. Başvuru için gerekli bölüm alınmalı, üçüncü kişi verileri mümkünse maskelenmelidir.

Şirketler İçin AI Veri Düzeltme Prosedürü

1. AI tarafından üretilen türetilmiş veri ve skorları veri envanterine ekleyin.
2. İlgili kişinin hangi kanaldan düzeltme talep edeceğini açıkça gösterin.
3. Yanlış temel verinin kaynağını tespit edin.
4. Ana kaydı ve kopyaları birlikte düzeltin.
5. Yanlış veriden türeyen skor ve profilleri yeniden hesaplayın.
6. Otomatik olumsuz kararı insan incelemesine açın.
7. Düzeltmeyi veri aktarılan üçüncü kişilere bildirin.
8. Silme şartları oluşmuşsa m.7 sürecini işletin.
9. Model/indeks/vektör veritabanındaki kopyaları kontrol edin.
10. Başvuruya en geç otuz gün içinde gerekçeli cevap verin.
11. Yanlışlığın tekrarını önlemek için veri kaynağı ve model kontrolünü düzeltin.
12. Tüm işlem adımlarını denetim izi olarak kaydedin.

Sık Sorulan Sorular

1. ChatGPT benim hakkımda yanlış bilgi verirse KVKK başvurusu yapabilir miyim?

Yanlış bilginin belirli veya belirlenebilir bir gerçek kişiye ilişkin olup olmadığı ve hangi veri sorumlusunun hangi işleme faaliyetiyle bağlantılı olduğu değerlendirilmelidir. KVKK kapsamındaki kişisel veri işleme faaliyetlerinde m.11 hakları, ilgili hakkın şartlarına göre kullanılabilir; kalıcı saklama ön şart değildir. Verinizin işlenip işlenmediğini öğrenmeyi de isteyebilirsiniz. Her yanlış AI çıktısı kendiliğinden KVKK ihlali sayılmaz.

2. Şirket AI skorunu yanlış hesapladıysa ne isteyebilirim?

Yanlış temel verinin düzeltilmesini, türetilmiş skorun yeniden hesaplanmasını ve tamamen otomatik aleyhe sonuca m.11/1-g kapsamında itiraz etmeyi talep edebilirsiniz.

3. Veri sorumlusu kaç günde cevap verir?

KVKK m.13’e göre başvuru talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılır.

4. Yanlış veri mutlaka silinir mi?

Hayır. Saklama için hukuki sebep devam ediyorsa doğru veriyle düzeltilir. İşleme sebebi ortadan kalkmışsa m.7 kapsamında silme/yok etme/anonimleştirme gündeme gelir.

5. AI kararı insan tarafından hiç incelenmediyse ne olur?

Kişisel verinin münhasıran otomatik analizi sonucu kişi aleyhine sonuç varsa m.11/1-g itiraz hakkı uygulanır.

6. Veri üçüncü kişilere aktarılmışsa düzeltme onlara da gider mi?

İlgili kişi m.11 kapsamında düzeltme veya silme işlemlerinin verinin aktarıldığı üçüncü kişilere bildirilmesini isteyebilir.

7. AI çıktısının ekran görüntüsü yeterli mi?

Önemli bir delildir; tarih, hesap, prompt, konuşma kimliği ve karar belgesi gibi ek kayıtlarla desteklenmesi daha güçlüdür.

8. Şirket “AI sağlayıcısı yaptı” diyebilir mi?

Kendi işleme faaliyeti bakımından veri sorumlusu ilgili kişi başvurusunu sonuçlandırmak zorundadır; tedarikçi kullanması sorumluluğu otomatik olarak kaldırmaz.

9. Yanlış AI bilgisi itibarımı zedelerse tazminat isteyebilir miyim?

KVKK m.11 kanuna aykırı işlemeden doğan zararın giderilmesini isteme hakkı tanır; özel hukuk yolları somut zarara göre ayrıca değerlendirilir.

10. Arama motorundaki eski sonuçla AI halüsinasyonu aynı mı?

Hayır. Arama motoru ve unutulma hakkı ayrı kriterlere, kurumsal AI kayıtları ise veri doğruluğu ve ilgili kişi haklarına göre değerlendirilir.

11. Model yanlış veriyi tekrar üretmeye devam ederse ne yapılır?

Veri kaynağı, indeks, vektör veritabanı, model hafızası ve diğer kopyalar teknik olarak incelenmeli; düzeltme yalnız ana kayıtta bırakılmamalıdır.

12. İlk başvuru nereye yapılır?

KVKK m.13 uyarınca kişisel veriyi işleyen veri sorumlusuna yapılır; Kurula şikâyet m.14 koşullarıyla sonraki aşamada gündeme gelir.

Türkiye Geneli ve Mersin Uygulaması

AI tabanlı müşteri skoru, işe alım, risk analizi ve belge özetleme sistemleri Türkiye genelinde aynı KVKK doğruluk ve ilgili kişi haklarına tabidir. Mersin’de faaliyet gösteren şirketler de AI çıktısını insan kontrolü olmadan müşteri veya çalışan kayıtlarına kalıcı veri olarak eklememelidir.

Resmî Kaynaklar ve İlgili Yazılar

• KVKK – İlgili Kişinin Hakları
• KVKK – Veri Sorumlusuna Başvuru
• KVKK – Üretken Yapay Zekâ Rehberi

İç bağlantılar: CRM’de AI profil ve skorlama · İşe alımda AI CV puanlama · ChatGPT’e kişisel veri yüklemek

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →