Yapay zeka, GDPR'ın gereklilikleri altında da kullanılabilir. Belirleyici olan, hangi verilerin işlendiği, bunun hangi amaçla yapıldığı, ilgili sağlayıcının hangi role sahip olduğu ve işlemenin, erişimlerin ve olası üçüncü ülke aktarımlarının nasıl düzenlendiğidir.
Hukuki danışmanlık değildir. Bu sayfa teknik ve organizasyonel kontrol noktalarını yerine oturtur. Somut durumda hangi hukuki dayanağın taşıdığı ve bundan hangi veri koruma yükümlülüklerinin doğduğu, veri koruma görevlisiyle veya bu alanda uzmanlaşmış bir hukuki danışmanlıkla incelenmelidir.
Veri koruma birçok şirket için merkezi bir dijitalleşme konusudur. Bitkom'un „Digitalisierung der Wirtschaft 2026“ araştırmasında, 20 ve üzeri çalışanı olan 604 şirketin %77'si veri koruma gerekliliklerini bir dijitalleşme engeli olarak sayıyor. %70'i nitelikli eleman eksikliğini, %61'i teknik güvenlik gerekliliklerini sayıyor.
Bitkom Research · Digitalisierung der Wirtschaft 2026 · 20 ve üzeri çalışanı olan 604 şirket
Kişisel verilerde, hangi amaçla işlendikleri ve işlemenin hangi hukuki dayanağa dayandığı belli olmalıdır. Ayrıca veri minimizasyonu ilkesi geçerlidir: yalnızca ilgili amaç için gerekli olan kişisel veriler işlenmelidir. Özel nitelikli kişisel veriler, örneğin sağlık verileri için ek gereklilikler geçerlidir.
Önce, somut işlemede şirketin ve ilgili sağlayıcının veri koruma hukuku açısından hangi role sahip olduğu netleştirilmelidir. Sağlayıcı kişisel verileri şirket adına işliyorsa, bunun için kural olarak GDPR Madde 28 uyarınca bir sözleşme gerekir. Bu yüzden sağlayıcı incelemesinde sözleşme koşulları, alt işleyenler ve girilen verilerin somut kullanımı da kontrol listesine girer.
Sunucu konumu önemli bir kontrol noktasıdır, ama tek nokta değildir. Kişisel verilerin bir üçüncü ülkeye aktarılıp aktarılmadığı ya da oradan erişilebilir olup olmadığı ve bu tür aktarımlar için hangi kuralların geçerli olduğu da önemlidir. Alt işleyenler ve diğer işleme adımları da bu incelemeye dahil edilmelidir, bakınız IT güvenliği.
İşletmede kullanım için hangi sistemlerin hangi amaçlarla kullanılabileceği, hangi verilerin girilebileceği, kimin erişim yetkisi alacağı ve sonuçlarla nasıl davranılacağı net biçimde düzenlenmelidir. Bunun yanında, işlemeye göre veri koruma hukukundan doğan bilgilendirme yükümlülükleri ile AI Act'in özel şeffaflık yükümlülükleri önem kazanabilir. Bunlar somut sisteme ve kullanım amacına bağlıdır.
Bir yapay zeka kullanımının veri koruma hukuku açısından caiz olup olmadığı, yalnızca aracın adından yanıtlanamaz. Diğerlerinin yanında amaç, veri türleri, taraflar, erişim yetkileri, teknik işleme ve olası veri aktarımları önemlidir.
Mitware teknik ve organizasyonel tarafta destek olur: veri akışlarını kaydetmek, rolleri ve yetkileri haritalamak, teknik önlemleri belgelemek ve sistem mimarisini, sonrasında veri koruma hukuku açısından değerlendirilebilecek biçimde hazırlamak. Hukuki değerlendirmenin kendisi, bundan sorumlu mercide kalır.
Veri korumanın dijitalleşme projelerinde düzenli olarak rol oynadığını Bitkom araştırması 2026 da gösteriyor: dijitalleşme engelleri arasında %77 anılma.
Bir yapay zeka aracının kullanımı, yalnızca yapay zeka kullandığı için caiz olmaktan çıkmaz. Belirleyici olan somut işlemedir. Kişisel verilerde diğerlerinin yanında amaç, hukuki dayanak, veri minimizasyonu, roller, sağlayıcı koşulları ve gerekiyorsa üçüncü ülke aktarımları incelenmelidir.
Kendiliğinden değil. GDPR Madde 28 uyarınca bir sözleşme, sağlayıcı kişisel verileri şirket adına veri işleyen sıfatıyla işlediğinde gerekir. Bu yüzden önce somut hizmet için veri koruma hukuku açısından rol dağılımı incelenmelidir. Birçok sağlayıcı standart bir sözleşme sunar. Bunun kendi kullanım senaryonuz için yeterli olup olmadığı tek tek incelenecek bir konudur.
Avukatlarda, mali müşavirlikte ve bağımsız denetimde GDPR'a ek olarak meslek hukukundan doğan sır saklama yükümlülükleri gelir; diğerlerinin yanında § 203 StGB açısından. Bir işlemenin caiz olup olmadığı ve hangi koşullarda caiz olduğu, somut hizmete, rol dağılımına, sözleşme koşullarına ve hizmet sağlayıcıların nasıl dahil edildiğine bağlıdır. Bu sorular önceden ilgili meslek odasıyla ya da meslek hukukunda uzmanlaşmış bir danışmanlıkla netleştirilmelidir.
Sağlık verileri, GDPR Madde 9 uyarınca özel nitelikli kişisel veriler arasındadır ve yükseltilmiş gerekliliklere tabidir. Bundan, belirli bir barındırma biçiminin veya belirli bir sağlayıcının kendiliğinden caiz olacağı sonucu çıkmaz. Diğerlerinin yanında hukuki dayanak, gereklilik, rol dağılımı, erişimler, saklama ve teknik koruma önlemleri incelenmelidir. Organizasyonel kullanım senaryoları, örneğin dokümantasyon ve yönetim, tıbbi değerlendirmeden net biçimde ayrılabilir.
Sunucu konumu bir kontrol noktasıdır, ama eksiksiz bir incelemenin yerine geçmez. Üçüncü ülkelere aktarımlar GDPR'ın V. Bölümüne tabidir ve ileri aktarımları da kapsayabilir. Bu yüzden sağlayıcı ve şirketler topluluğu yapısı, kullanılan alt işleyenler, teknik erişim olanakları ve kullanılan aktarım mekanizması da ele alınmalıdır.
Anlamlı olan, gerçek kullanımı önce organizasyonel olarak kaydetmektir: hangi araçlar kullanımda ve hangi işler için. Bunun üzerine onaylanmış sistemler ve izin verilen veri türleri belirlenebilir, erişimler ve sorumluluklar tanımlanabilir, çalışanlar buna göre bilgilendirilebilir veya eğitilebilir. Gerçek ihtiyaca yönelik onaylanmış bir araç bu arada özel hesap kullanma eğilimini azaltır.
Onaylanmış sistemleri, amaçları, veri türlerini, sorumlulukları ve kontrol yollarını kayda geçirmek için iç bir düzenleme anlamlı olabilir. Hangi dokümantasyonun hukuken gerekli olduğu somut kullanıma bağlıdır. Pratik amacı her şeyden önce ilgililer için hareket güvenliğidir.
AI Act, GDPR'dan ayırt edilmelidir: o, yapay zeka sistemlerinin kullanımını düzenler, kişisel verilerin işlenmesini değil. Hangi yükümlülüklerin geçerli olduğu şirketin rolüne ve ilgili sisteme bağlıdır. Yalnızca şirket büyüklüğü nedeniyle bir istisna yoktur. Diğerlerinin yanında Madde 4 uyarınca yapay zeka yetkinliğine yönelik önlemler ile belirli sistemler ve kullanım durumları için Madde 50 uyarınca şeffaflık yükümlülükleri önem kazanabilir; örneğin insanlarla doğrudan etkileşen sistemlerde, bir telefon asistanında. Bundan her yapay zeka destekli süreç için genel bir işaretleme yükümlülüğü doğmaz.
Ne yerel işleme ne de bulut kullanımı kendiliğinden doğru çözümdür. Diğerlerinin yanında veri türleri, erişimler, güvenlik önlemleri, bakım yapılabilirliği, sağlayıcı rolleri ve olası aktarımlar belirleyicidir. Yerel bir işletim tek başına veri koruma uyumluluğu yaratmaz, yalnızca incelenecek noktaların bir kısmını değiştirir.
Hayır. Sayfa genel teknik ve organizasyonel kontrol noktalarını açıklar. Somut kullanımın bağlayıcı hukuki değerlendirmesi, bundan sorumlu veri koruma ya da hukuk danışmanlığı tarafından yapılmalıdır.
Veri akışlarını, erişim yetkilerini, sistem mimarisini, teknik koruma önlemlerini ve ilgili dokümantasyonu kaydediyoruz; böylece somut kullanım ardından veri koruma hukuku açısından değerlendirilebilir.
Görüşme talep et → Whitepaper'ı indir (PDF) →