Son aylarda danışmanlık görüşmelerimizde aynı soruyu sık duyuyoruz: “Şirketimizde artık kendi kendine karar veren AI araçları var, biz bile fark etmedik — sorumluluk kimde?” Bu soru boşuna çıkmıyor. Yapay zeka artık sadece soruyu cevaplamıyor. Bugünün sistemleri bir hedef alıyor, kendi planını kuruyor, gerekirse başka yazılımlara bağlanıyor, koşullar değişince stratejisini güncelliyor. Çoğu zaman bunu insan onayı beklemeden yapıyor. Buna “Etken Yapay Zeka” ya da yaygın adıyla Agentic AI diyoruz.
Kişisel Verileri Koruma Kurumu da bu değişimi yakından izliyor. Kurum, 12 Mart 2026’da “Etken Yapay Zekâ (Agentic AI)” başlıklı bir rehber yayımladı. Rehber bağlayıcı bir yönetmelik değil. Ama Kurum’un konuya nasıl baktığını ve denetimlerde nelere bakacağını gösteriyor. Bu yazıda rehberi sadeleştiriyor ve asıl soruya odaklanıyoruz: bir otonom sistem hata yapınca ya da veri ihlaline yol açınca, kapıyı kim çalacak?
Etken Yapay Zeka Tam Olarak Ne, Eskisinden Farkı Ne?
Kurum’un tarifine göre etken yapay zeka, bir hedefe ulaşmak için çok adımlı süreçleri kendi başına yürütüyor. Çevresindeki koşulları okuyor, davranışını buna göre değiştiriyor. Farklı düzeylerde otonom şekilde eylem başlatabiliyor. Bu sistemlerin içinde görev planlayan, bilgi toplayan, başka sistemlerle konuşan bileşenler var. Bunlara “yapay zeka aracıları” (AI agents) diyoruz.
Aradaki fark basit: eski nesil yapay zeka “ne diyorsam onu yap” mantığıyla çalışıyordu. Etken yapay zeka ise “şu hedefe ulaş, yolunu sen bul” diyor. Kulağa pratik geliyor, öyle de. Ama bu özgürlük bir bedel getiriyor: sistem, baştan hiç planlanmamış verileri de işin içine çekebiliyor.
Bildiğimiz Uyum Mantığı Burada Neden Tutmuyor?
KOBİ’lerin de büyük şirketlerin de alıştığı KVKK uyum mantığı şöyle işliyordu: önce amacı belirlersiniz, aydınlatma metnini o amaca göre yazarsınız, açık rızayı o sınırlar içinde alırsınız. Sistem bu çerçevenin dışına çıkmaz. Etken yapay zekayla bu denklem sarsılıyor, çünkü işin doğası değişiyor.
Önce amaç sabit kalmıyor. Sistem hedefe ulaşmak için kendi kendine yeni alt görevler üretiyor. Bu sırada baştan planlanmamış veri kategorilerini de işin içine çekebiliyor. Bu durum, veri işlemenin dayandığı hukuki sebeple bağını koparma riski taşıyor. Şeffaflık da kolaylaşmıyor. Çok adımlı, çok aracılı bir yapıda hangi verinin hangi aşamada kullanıldığını takip etmek zor. Bu da aydınlatma yükümlülüğünü zorlaştırıyor.
Bir de “zincirleme hata” meselesi var. Sistemin bir adımındaki yanlış çıkarım, insan kontrolünden geçmeden sonraki adıma taşınabiliyor. Küçük bir hata fark edilmeden büyüyebiliyor. Son olarak, tek başına anlamsız görünen veri parçaları bile birleşince kişisel veriye, hatta özel nitelikli veriye dönüşebiliyor. “Biz zaten hassas veri toplamıyoruz” demek artık eskisi kadar güvenli değil.
Peki Sorumluluk Kimde? İşin En Can Alıcı Kısmı
Rehber bu soruyu özellikle vurguluyor: bir otonom sistem yüzünden zarar gören biri çıkarsa, hukuki muhatap kim olacak? Sistemi tasarlayan geliştirici mi? Sistemi satın alıp kendi operasyonuna entegre eden şirket mi? Yoksa sistemin otonom kararıyla devreye giren başka bir aktör mü?
Kurum burada açık bir uyarı yapıyor. Veri işleme faaliyeti farklı aktörler ve otonom araçlar arasında dağıldıkça, mağdurun başvurusunu kime yönlendireceği belirsizleşiyor. Pratikte bu şu anlama geliyor: sistemi devreye almadan önce kimin veri sorumlusu, kimin veri işleyen olacağını sözleşmeyle netleştirin. Hata durumunda kimin ne ölçüde sorumlu olacağını da yazıya dökün. Aksi halde bu belirsizlik kriz anında karşınıza çıkar, önceden değil.
İşbirliği yapıları için de bir hatırlatma var. Kurum, tüzel kişiliği olmayan iş ortaklığı, konsorsiyum ya da adi ortaklık gibi yapıların kendi adına ayrı bir VERBİS kaydı açmasına gerek olmadığını belirtiyor. Sorumluluk, bu yapıyı oluşturan ortaklara ait. Bir AI sistemini birkaç tarafın birlikte işlettiği senaryolarda da aynı mantık geçerli.
Rehber Ne Öneriyor?
KVKK’nın Rehber’i kısaca şunları söylüyor. Sistemin otonomisi ile insan kontrolü arasında bir denge kurun. Hangi kararın hangi veriye dayandığını izleyebilecek bir altyapı oluşturun. Sistemin sınırların dışına çıkmasını engelleyecek teknik kontrolleri devreye alın. Sistemin erişebileceği veri kategorilerini ve başlatabileceği işlemleri en başta tanımlayın, düzenli aralıklarla gözden geçirin. Geliştirici, dağıtıcı ve kullanıcı arasındaki rol paylaşımını sözleşmeyle yazılı hale getirin. Teorik gibi dursa da her biri somut bir operasyonel adım.
Şirketinizde Yarın Ne Yapmalısınız?
Etken yapay zeka kullanan ya da kullanmayı planlayan şirketler için birkaç başlık var. Önce mevcut durumu görün: hangi süreçlerde, hangi amaçla bu araçlar kullanılıyor? Bunu kişisel veri envanterinize işleyin. Çoğu zaman envanter çıkarırken bile farkında olmadığınız kullanım alanları ortaya çıkar. Otonom karar verme kapasitesi yüksek sistemler için bir DPIA (Veri Koruma Etki Değerlendirmesi) yapmayı ciddi şekilde değerlendirin.
Aydınlatma metinlerinizi de gözden geçirin. Sistem zamanla amacını genişletebiliyorsa, metinler bu esnekliği yansıtmalı. Özellikle bireyler hakkında sonuç doğuran ya da özel nitelikli veri içeren kararlarda, sistem son adımda mutlaka insan onayından geçsin. Bu mekanizmaya “human-in-the-loop” diyoruz ve hem hukuki hem operasyonel açıdan en pratik güvenlik katmanı bu.
Tedarikçi sözleşmelerinizi de unutmayın. AI agent sağlayan üçüncü taraflarla yapılan anlaşmalarda veri sorumlusu ve veri işleyen rolleri net olsun. Belki en kritik adım şu: çalışanlarınızı bilgilendirin. Çünkü risk çoğu zaman üst yönetimin onayladığı büyük projelerden gelmiyor. Risk, bir ekibin kendi başına, onaysız şekilde devreye aldığı küçük bir AI agent’tan geliyor.
Etken yapay zeka, doğru kurgulandığında gerçek bir verimlilik kazancı sunuyor. Bunu inkar etmek anlamsız olur. Ama kişisel veriler söz konusu olunca, “sistemi kurdum, gerisini o halleder” yaklaşımı artık işe yaramıyor. KVKK’nın Mart 2026 Rehberi henüz bağlayıcı bir kural getirmiyor. Fakat Kurum’un ileride nelere bakacağına dair net bir resim çiziyor. Sorumluluk ilişkilerini bugünden netleştirin. İnsan gözetim noktaları kurun. Veri işleme süreçlerinizi şeffaf biçimde belgeleyin. Bu üç adım hem olası bir denetimde işinizi kolaylaştırır hem de teknolojiyi daha güvenli kullanmanızı sağlar.
KVKK uyum sürecinizde etken yapay zeka uygulamalarının yarattığı riskleri değerlendirmek ve uyumlu bir yol haritası oluşturmak için Garanti KVK Danışmanlık ile iletişime geçebilirsiniz.
Bu içerik bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımamaktadır. Güncel mevzuat ve kurul kararlarının teyit edilmesi önerilir.