Yapay Zeka Risklerini Nasıl Yönetirsiniz? Yönetişim, KVKK ve EU AI Act

Ölçmek güvende olmak değildir. Risk ve uyum fazı

Serinin on birinci yazısında ölçümü ele aldım ve o yazıyı tek bir uyarıyla kapatmıştım. Bir sistemin değer ürettiğini ölçebilirsiniz, ama aynı sistem sizi bir veri ihlaline, bir hukuki sorumluluğa ya da bir itibar kaybına götürüyor olabilir. Ölçmek, güvende olmak değildir. Bu yazıyı tam da o güvenliğe, yani yönetişim, risk ve uyuma ayırdım.

Bu alanı çoğu yönetici en sona bırakır, çünkü kulağa hukukçuların ve uyum ekiplerinin işi gibi gelir. Bu, kurumsal yapay zekanın en pahalı yanılgılarından biridir. Yapay zeka yönetişimi bir bilgi işlem ya da hukuk departmanı konusu değil, doğrudan yönetim kurulunun konusudur. Çünkü bir yapay zeka yanlış bir karar verdiğinde, bir müşteriye yanlış söz verdiğinde ya da kişisel veriyi hatalı işlediğinde, faturayı ödeyen bilgi işlem değil, kurumun kendisi ve itibarıdır.

Bu yazının sonunda dört şeyi netleştirmiş olacaksınız. Yapay zekanızın söylediği ve yaptığı her şeyden neden hukuken sorumlu olduğunuzu. Türkiye'de KVKK'nın ve giderek yaklaşan Türk düzenlemesinin sizden ne beklediğini. AB Yapay Zeka Yasası'nın, Avrupa'da hiç ofisiniz olmasa bile sizi neden kapsayabileceğini. Ve bütün bunları somut bir sorumlu yapay zeka çerçevesine nasıl bağlayacağınızı. Baştan bir not. Bu yazı hukuki bilgi verir, hukuki tavsiye değildir; kurumunuza özel uyum için bir hukukçuyla çalışın.

Yapay zekanızın söylediği her şeyden siz sorumlusunuz

En önemli ilkeyi baştan, bir vakayla koyayım. 2024'te görülen bir dava bütün bu alanın özetidir. Bir havayolunun web sitesindeki sohbet botu, yakınını kaybeden bir yolcuya yas indirimi konusunda yanlış bilgi verdi; yolcu bu bilgiye güvenerek biletini aldı ve sonradan indirimin öyle işlemediğini öğrendi. Şirket, uyuşmazlığa bakan British Columbia Sivil Uyuşmazlık Çözüm Kurulu önünde ilginç bir savunma yaptı. Sohbet botunun "ayrı bir hukuki varlık" olduğunu, dolayısıyla onun söylediklerinden kendisinin sorumlu tutulamayacağını ileri sürdü. Kurul bu savunmayı açıkça reddetti ve şirketi, botunun yaptığı hatalı beyandan sorumlu tuttu.

Tazminatın büyüklüğü küçüktü, birkaç yüz dolar. Ama ilkenin büyüklüğü devasadır. Yapay zekanız bir araç değil, sizin adınıza konuşan bir temsilcinizdir. Müşterinize ne söylerse, sanki bir çalışanınız söylemiş gibi bağlayıcıdır. "Bunu ben demedim, yapay zeka dedi" diye bir hukuki kaçış yolu yoktur. Kararı veren ve sorumluluğu taşıyan, her zaman insandır ve kurumdur. Otomasyon, sorumluluğu devretmez; yalnız işi devreder.

Bu ilkeyi kavramak, yönetişimin neden bir lüks değil zorunluluk olduğunu da açıklar. Bir yapay zekayı müşterinizle, çalışanınızla ya da kamuyla konuşacak şekilde devreye aldığınız anda, onun her çıktısı için hukuken siz kefil oluyorsunuz. Yönetişim, bu kefaleti yönetilebilir kılmanın adıdır. Ne söyleyebileceğini sınırlamak, söylediğini denetlemek ve bir şey ters gittiğinde sorumluluğun kimde olduğunu önceden bilmek.

Herkes kullanıyor, çok azı yönetiyor

Bu sorumluluk bu kadar ağırken, kurumlar buna hazırlıklı mı? Rakamlar tersini söylüyor. McKinsey'nin 2025'te 105 ülkeden 1.993 üst düzey yöneticiyle yaptığı küresel ankete göre kurumların %88'i en az bir iş biriminde yapay zeka kullanıyor; bir yıl önce bu oran %78'di. Yani kullanım neredeyse evrensel hale geldi. Dikkat edin, bu "işlerin %88'i yapay zekayla yapılıyor" demek değil; "kurumların %88'i en az bir yerde yapay zekaya dokundu" demek. Ama aynı kurumların çok azında bu kullanımı yöneten bir kural ve sorumluluk düzeni var. Kullanım hızla yayıldı, onu güvenli kılan çerçeve ise geride kaldı.

Bu boşluğun bedeli soyut değil, ölçülmüş. Danışmanlık firması EY'nin 2025'in ağustos ve eylül aylarında 21 ülkeden 975 üst düzey yöneticiyle yaptığı Sorumlu Yapay Zeka araştırması çarpıcı bir tablo veriyor. Kurumların %99'u yapay zeka kaynaklı risklerden bir tür mali kayıp yaşadığını söyledi; her üç kurumdan ikisi bu kaybın bir milyon doları aştığını bildirdi ve şirket başına ortalama kayıp, ihtiyatlı bir tahminle 4,4 milyon dolar olarak hesaplandı. En sık görülen riskin de tam bu yazının konusu olması manidar; düzenlemelere uyumsuzluk, katılımcıların %57'sinde ilk sırada.

Aynı araştırmanın belki en düşündürücü bulgusu şu. Üst düzey yöneticilere beş temel yapay zeka riskine karşı doğru kontrolleri sorduklarında, yalnızca %12'si hepsini doğru işaretleyebildi. Yani sorun yalnız kural eksikliği değil, kuralın ne olduğunu bilme eksikliği. Buradaki asıl mesele bir zihniyet meselesidir. Risk ve uyum çoğu kurumda en sona, iş büyüdükten ve bir kaza olduktan sonraya bırakılıyor. Oysa doğru sıra tersidir. Bir yapay zekayı devreye almadan önce, onun hangi kararları verebileceği, hangi veriye dokunabileceği ve bir hata durumunda kimin sorumlu olacağı yazılmış olmalı. İyi bir yönetişim, hızın freni değil güvenlik kemeridir. Kemer olmadan da hızlı gidebilirsiniz, ta ki ilk kazaya kadar.

KVKK. Kişisel veri kullanan her yapay zeka kapsamda

Türkiye'de yapay zeka uyumunun ilk ve en somut ayağı kişisel verilerin korunmasıdır. Buradaki temel gerçek şudur. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun yapay zeka için bir istisnası yoktur. Kişisel veri işleyen bir yapay zeka, tıpkı bir insan ekibi gibi kanunun tüm kurallarına tabidir. Açık rıza ya da başka bir hukuki dayanak, amaçla sınırlılık, veri güvenliği; hepsi aynen geçerlidir. Bir modeli müşteri verinizle eğitmek ya da çalışan verinizi bir yapay zeka aracına girmek, veri işleme faaliyetidir ve sorumluluğu kurumdadır.

Bu alan artık tahmin işi de değil, çünkü düzenleyici çerçeveyi somutlaştırdı. Kişisel Verileri Koruma Kurumu, yani KVKK, 24 Kasım 2025'te "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi" başlıklı, yaklaşık altmış dört sayfalık bir rehber yayımladı. Bu rehber, 6698 sayılı Kanun'un üretken yapay zekanın tüm yaşam döngüsüne nasıl uygulandığını anlatıyor. Modelin eğitilmesi ile günlük kullanımı arasındaki farkı, şeffaflık yükümlülüğünü, hangi hukuki dayanakların geçerli olduğunu, verinin yurt dışına aktarımını, deepfake gibi üretilmiş içerikleri ve çocukların korunmasını ele alıyor. Türkiye'de faaliyet gösteren bir kurum için bu rehber, en güçlü ve en somut yol gösterici birincil kaynaktır.

Pratik karşılığı basittir. Bir yapay zeka aracını devreye almadan önce sorun. Bu araç hangi kişisel veriye dokunuyor, bu veriyi işlemek için hukuki dayanağım ne, veri nereye gidiyor ve orada güvende mi, kişilere bu işlemeyi şeffaf biçimde anlattım mı? Özellikle yurt dışı merkezli bir yapay zeka hizmetine kurum verisi girmek, çoğu zaman bir yurt dışına veri aktarımıdır ve kendi kurallarına tabidir. Bu soruları yanıtlamadan atılan her adım, ölçülebilir bir uyum riskidir.

AB Yapay Zeka Yasası. Avrupa'da ofisiniz olmasa bile kapsayabilir

Sıradaki katman, çoğu Türk yöneticinin kendisini muaf sandığı ama sanmaması gereken bir düzenlemedir. Avrupa Birliği'nin Yapay Zeka Yasası, yani EU AI Act, dünyanın ilk kapsamlı yapay zeka kanunudur ve kritik bir özelliği vardır. Etkisi Avrupa sınırlarında bitmez. Yasa, çıktısı Avrupa Birliği içinde kullanılan yapay zeka sistemlerini, o sistemi işleten kurum nerede olursa olsun kapsar. Bu, kişisel veride alışık olduğumuz "Avrupalıyı hedefliyor musun" ölçütünden daha düşük bir eşiktir. Ürettiğiniz bir skor, bir karar ya da bir metin bir Avrupalı kullanıcıya ulaşıyorsa, Avrupa'da hiç ofisiniz olmasa bile kapsama girebilirsiniz.

Yasa riski dört kademeye ayırır ve yükümlülüğü riske göre ağırlaştırır. Bu kademeleri aşağıdaki görselde topladım. En üstte, tümüyle yasaklı uygulamalar var; örneğin sosyal puanlama ya da işyerinde duygu tanıma gibi. Altında, insanların hakları üzerinde ciddi etkisi olan yüksek riskli sistemler; bunlar en ağır yükümlülüklere tabi. Sonra yalnız şeffaflık isteyen sınırlı riskli sistemler; bir sohbet botuyla konuştuğunu ya da bir içeriğin yapay zeka ürünü olduğunu kullanıcıya bildirmek gibi. En altta ise kurumsal kullanımın büyük çoğunluğunu oluşturan minimal riskli sistemler.

Takvim konusunda 2026'da önemli bir gelişme oldu ve bunu doğru okumak gerekiyor. Yasa 2024'te yürürlüğe girdi; yasaklı uygulamalar ve yapay zeka okuryazarlığı 2025 başında, genel amaçlı modellere ilişkin kurallar ve cezalar ise 2025 ortasında uygulanmaya başladı. Cezalar caydırıcı düzeyde; yasaklı uygulamalarda küresel cironun %7'sine kadar. Temmuz 2026'da yürürlüğe giren "Digital Omnibus" düzenlemesiyle yüksek riskli sistemlerin en ağır yükümlülükleri ertelendi. Bağımsız yüksek riskli sistemler için yeni tarih 2 Aralık 2027, ürüne gömülü sistemler için 2 Ağustos 2028. Ama buradaki incelik kritiktir. Ertelenen yalnız yüksek-risk yükümlülükleridir; yasaklar, okuryazarlık, genel amaçlı model kuralları ve cezalar bugün yürürlüktedir. Erteleme bir rahatlama daveti değil, hazırlık için verilmiş bir zamandır.

Türkiye'nin kendi düzenlemesi de yolda

Şu ana kadar Türkiye'de yürürlükte olan çerçeve, ağırlıkla mevcut kişisel veri kanunu ve KVKK rehberidir; Türkiye'nin yapay zekaya özel, yürürlükte bir kanunu henüz yoktur. Ama bu boşluk kapanıyor ve yönü şimdiden bellidir. Kasım 2025'te Türkiye Büyük Millet Meclisi'ne sunulan bir kanun teklifi, yapay zekayı ayrı bir kanunla değil, mevcut kanunları değiştirerek düzenlemeyi öneriyor. İnternet kanunundan Türk Ceza Kanunu'na, kişisel veri kanunundan siber güvenliğe kadar birçok metne dokunuyor.

Teklifin getirdikleri, yaklaşan düzenleyici havayı gösteriyor. Bir yapay zeka sistemi tanımı, sivil ve cezai sorumluluk, yapay zekayla üretilmiş ve deepfake içeriğin zorunlu etiketlenmesi, deepfake içerik için çok kısa bir kaldırma süresi ve veri kümelerinde ayrımcılığı önleyen kurallar. Yürütme yeni bir yapay zeka kurumuna değil, mevcut kurumlara, yani Bilgi Teknolojileri ve İletişim Kurumu ile KVKK'ya bırakılıyor. Dikkat çeken bir başka nokta, öngörülen cezaların sabit tutarlı Türk lirası olarak belirlenmesidir; örneğin deepfake içeriğin etiketlenmemesi için 500.000 ile 5.000.000 lira arası. Türkiye, düzenlemesini yine de Avrupa'nın şeffaflık ve hesap verebilirlik çizgisiyle uyumlu kurmaya çalışıyor.

Bu, tek tek maddeleri ezberlemeniz gerektiği anlamına gelmez; teklif hâlâ mecliste ve değişebilir. Anlamı şudur. Yapay zeka için "kural yok, o yüzden serbest" dönemi kapanıyor. Türkiye'nin de, Avrupa'nın da yönü aynı; şeffaflık, hesap verebilirlik ve insan sorumluluğu. Bugün gönüllü olarak kurduğunuz iyi bir düzen, yarın zorunlu olacak uyumun provasıdır. Emsal de oluşmaya başladı; Reklam Kurulu daha 12 Eylül 2023 tarihli toplantısında, ChatGPT çıktısına dayalı üstünlük iddiası içeren üç dosyada reklamların durdurulmasına karar vermiş ve bu çıktıların güvenilir sayılamayacağını belirtmişti.

Sorumlu yapay zeka. Kuraldan pratiğe

Kuralları saydık. Şimdi bunları bir kurumun gerçekten uygulayabileceği bir çerçeveye indirgeyeyim. Sorumlu yapay zeka, kulağa soyut gelen bir slogan değil, birkaç somut alışkanlığın toplamıdır. Bunları bir sıra olarak düşünebilirsiniz.

Birincisi, envanter. Kurumunuzda hangi yapay zeka araçlarının, kim tarafından, hangi veriyle kullanıldığını bilmeden hiçbir şeyi yönetemezsiniz; görmediğiniz gölge kullanım en büyük risktir. İkincisi, risk sınıflaması. Her kullanımı yukarıdaki kademelere yerleştirin; müşteriyle konuşan ya da bir insan hakkında karar veren bir sistem, iç bir özet aracıyla aynı kefeye konmaz. Üçüncüsü, insan hesap verebilirliği. Her önemli yapay zeka kullanımının bir insan sahibi olmalı; sistemin çıktısından o kişi sorumludur ve yüksek etkili kararlarda insan denetimi zorunludur. Karar veren insandır; yapay zeka öneri getirir, sorumluluğu taşımaz.

Dördüncüsü, şeffaflık. Kullanıcı bir yapay zekayla konuştuğunu ya da bir içeriğin yapay zeka ürünü olduğunu bilmeli; bu hem yaklaşan kuralın gereği hem de güvenin temelidir. Beşincisi, tedarikçi denetimi. Bir çözüm sağlayıcının aracını devralırken, onun veriyi nasıl işlediğini, nerede sakladığını ve hangi uyum taahhütlerini verdiğini sorun; sorumluluk sizde kaldığına göre, sağlayıcının iddialarını sağlıklı bir şüpheyle sınamak sizin işinizdir. Bu beş alışkanlık, en gelişmiş uyum ekibine sahip olmayan bir kurumun bile bugün kurabileceği asgari sorumlu yapay zeka zeminidir.

Yönetişimi karar belgesine bağlamak

Serinin boyunca her fazın sonunda bir karar belgesi kurduk; hazırlık, süreç, temin, maliyet, kültür ve ölçüm. Şimdi bu belgeye risk ve uyum sütununu ekliyoruz. Bu sütun, bir yapay zeka girişiminin yalnız değer üretmesini değil, kurumu bir hukuki ya da itibar felaketine sürüklememesini güvenceye alır.

Bu sütunu birkaç soruyla doldurabilirsiniz. Bu kullanım hangi kişisel veriye dokunuyor ve KVKK açısından hukuki dayanağım net mi? Çıktısı Avrupa'daki bir kullanıcıya ulaşıyor mu, yani AB Yasası kapsamına girer miyim? Bu kullanımı risk kademelerine yerleştirdim mi ve yüksek etkili kararlarda insan denetimi var mı? Kullanıcılar bir yapay zekayla muhatap olduğunu biliyor mu? Ve bir şey ters gittiğinde, bu sistemin çıktısından hangi insan sorumlu? Bu soruların cevabı boşsa, o girişim değer üretse bile güvenli değildir.

Buradaki çerçeveyi bir cümlede toplayayım. Uyum, yeniliğin düşmanı değildir; kontrolsüz riskin panzehiridir. En hızlı büyüyen kurumlar, kuralları görmezden gelenler değil, kuralları erken içselleştirip onu bir rekabet avantajına çevirenlerdir. Müşterinin, düzenleyicinin ve çalışanın güvenini kazanmak, uzun vadede herhangi bir kısa yoldan daha değerlidir. Yönetişim, bu güveni sistemli biçimde üretmenin adıdır.

Kural çerçeveyi verir, sahne dersi verir. Sıradaki adım

Bu yazıyı üç cümlede toplayayım. Yapay zekanızın söylediği ve yaptığı her şeyden hukuken siz sorumlusunuz ve bu sorumluluk, yönetişimi bir bilgi işlem değil yönetim kurulu meselesi yapar. Türkiye'de KVKK ve onun yeni üretken yapay zeka rehberi bugünün çerçevesini, yaklaşan Türk kanunu ile çıktısı Avrupa'ya ulaşan kurumlar için AB Yapay Zeka Yasası ise yarının çerçevesini çiziyor. Ve sorumlu yapay zeka, envanterden risk sınıflamasına, insan hesap verebilirliğinden tedarikçi denetimine uzanan birkaç somut alışkanlıkla bugün kurulabilir.

Karar belgenize bu fazın risk ve uyum sütununu ekleyin. Hangi kişisel veriye dokunuyoruz ve dayanağımız ne? AB kapsamına giriyor muyuz? Kullanımı risk kademesine yerleştirdik mi, insan denetimi var mı? Kullanıcı yapay zekayla konuştuğunu biliyor mu? Ve çıktıdan hangi insan sorumlu?

Kurallar çerçeveyi verir, ama gerçek dersler sahada öğrenilir. Bir kuralı okumak başka şey, onu görmezden gelen bir kurumun başına geleni görmek başka şeydir. Serinin son yazısını, yani bu on üç parçalık yolculuğun kapanışını, tam da buna ayırdım. Dünyadan somut vakalara bakacağım; yapay zekayı gerçekten işe yaratan kurumlara ve pahalı biçimde başarısız olanlara. Başkalarının milyon dolarlık hatalarından bedavaya öğrenmenin tam zamanı.

Kaynaklar ve yöntem notu

Bu yazıda kullandığım üçüncü taraf rakamlarının künyesi ve yöntem sınırları. Bir rakamı nasıl ölçtüklerini bilmeden o rakama güvenmek, yönetici masasında alınabilecek en pahalı kısayoldur.

McKinsey, Kasım 2025. The State of AI. 105 ülkeden 1.993 katılımcı, saha 25 Haziran ile 29 Temmuz 2025 arası. Rakamlar katılımcı beyanıdır.

EY, Ekim 2025. Responsible AI Pulse. 21 ülkeden 975 üst düzey yönetici, saha Ağustos ve Eylül 2025. Kayıp tutarları katılımcı tahminidir, denetlenmiş mali veri değildir.

KVKK, 24 Kasım 2025. Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi. Rehber bağlayıcı bir yönetmelik değil, kurumun yorum ve yol gösterme belgesidir.

Air Canada kararı. Moffatt v. Air Canada, 2024 BCCRT 149, 14 Şubat 2024. Kararı veren merci bir mahkeme değil, British Columbia Sivil Uyuşmazlık Çözüm Kurulu'dur.

Avrupa Birliği Yapay Zeka Yasası. Regulation (EU) 2024/1689. Takvim, 27 Temmuz 2026'da yürürlüğe giren Digital Omnibus düzenlemesiyle (Regulation (EU) 2026/1744) değişti.

TBMM kanun teklifi. Kasım 2025, esas no 2/3358. Teklif henüz yasalaşmadı, komisyon aşamasındadır.

Kaynaklar 26 Temmuz 2026'da birincil kaynaklardan yeniden doğrulandı.

Yazar

Cem Ünsal

Dijital Girişimci · Yazar · Antrenör

Yapay zekâ ve kişisel güvenlik üzerine yazıyor. Şirketlerin yapay zekâ dönüşümünde karar vericilere yön veriyor.

Hakkımda