Yapay zekaya meslek sırrı emanet edilir mi?

Kanun yapay zekayı ayrıca düzenlemiyor; sır saklama yükümlülüğü de kullanılan araca göre gevşemiyor. Kimliği belirlenebilir müvekkil bilgisi içeren bir ceza dosyasını yurt dışındaki bir bulut servisine yüklemek, bir yandan Avukatlık Kanunu m. 36 bakımından, öte yandan KVKK m. 9’daki aktarım şartları sağlanmadıkça kişisel veri hukuku bakımından ciddi bir risk taşıyor. Dosya avukatın kendi bilgisayarından hiç çıkmıyorsa aktarım sorusu doğmuyor; geriye o bilgisayarın güvenliği kalıyor.

Aşağıda bu cevabın dayanaklarını sırayla açıyoruz: kanun metni, bir dosyayı sohbet aracına yüklediğinizde verinin izlediği yol, KVKK’nın özel nitelikli veri ve yurt dışı aktarım kuralları ve Türkiye Barolar Birliği’nin Ağustos 2026’da yayımladığı rehber.

Avukatlık Kanunu m. 36 tam olarak ne diyor?

Sır saklama yükümlülüğünün dayanağı Av. K. m. 36/1:

“Avukatların, kendilerine tevdi edilen veya gerek avukatlık görevi, gerekse, Türkiye Barolar Birliği ve barolar organlarındaki görevleri dolayısiyle öğrendikleri hususları açığa vurmaları yasaktır.”

Hüküm açığa vurmayı yasaklıyor; bilginin hangi yolla ve hangi araçla dışarı çıktığını saymıyor. Maddenin ikinci fıkrası, avukatın bu hususlarda tanıklık edebilmesini bile iş sahibinin muvafakatine bağlıyor ve muvafakat olsa dahi tanıklıktan çekinme imkânını saklı tutuyor. Kanun koyucunun korumayı ne kadar geniş tuttuğu buradan okunabiliyor.

Bu yüzden bizce doğru soru “yapay zeka kullanmak yasak mı?” değil. Doğru soru şu: dosyayı bu araca vermek, bilgiyi avukatın denetimi dışındaki bir üçüncü kişinin eline bırakmak anlamına geliyor mu? Cevap, aracın veriyi nerede işlediğine ve orada ne yaptığına bağlı.

Dosyayı bir sohbet aracına yüklediğinizde veri nereye gidiyor?

En yaygın örnek olan ChatGPT üzerinden bakalım. OpenAI’nin ABD, Avrupa Ekonomik Alanı, Birleşik Krallık ve İsviçre dışındaki kullanıcılar için yayımladığı gizlilik politikası, veri sorumlusu olarak San Francisco’daki OpenAI OpCo, LLC’yi gösteriyor. Aynı politikaya göre kişisel veriler, ABD’deki tesis ve sunucular da dahil olmak üzere farklı ülkelerdeki sunucularda işleniyor ve saklanıyor.

Verinin orada ne kadar kaldığı ve ne için kullanıldığı hesap türüne göre değişiyor:

• Bireysel hesaplar. OpenAI’nin yardım sayfasına göre bireysel ChatGPT kullanımında içerik modellerin eğitiminde kullanılabiliyor. Bunu kapatmak için ayarlardaki “Improve the model for everyone” seçeneğinin kapatılması gerekiyor. Kapatıldıktan sonra da bir cevaba beğeni ya da beğenmeme bildirimi verilirse, o konuşmanın tamamı eğitimde kullanılabiliyor.
• Silinen konuşmalar. Gizlilik politikasına göre silinen veriler 30 gün içinde sistemlerden kaldırılıyor; ancak hukuki bir yükümlülük, güvenlik ya da kötüye kullanımla mücadele gibi sebeplerle daha uzun süre saklanabiliyor.
• Kurumsal hesaplar ve API. OpenAI’nin kurumsal gizlilik sayfasına göre ChatGPT Business, Enterprise, Edu ve API verileri varsayılan olarak eğitimde kullanılmıyor. API girdi ve çıktıları ise hizmetin sunulması ve kötüye kullanımın tespiti için 30 güne kadar saklanabiliyor.

Eğitim ayarını kapatmak ya da kurumsal bir plana geçmek, dosyanın modelin gelecekteki sürümlerine girip girmeyeceği sorusunu çözüyor. Dosyanın yurt dışındaki bir şirketin sunucusunda işlenip bir süre orada tutulduğu gerçeğini değiştirmiyor. Meslek sırrı ve KVKK bakımından asıl mesele de bu ikincisi.

Ceza dosyası KVKK’da neden ağır bir yerde duruyor?

KVKK m. 6/1, bazı veri türlerini özel nitelikli sayıyor. Liste şöyle bitiyor: “[…] sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.” Sıradan bir ceza dosyasında adli sicil kaydı, doktor ve adli tıp raporları, parmak izi ya da DNA incelemesi aynı klasörde durur. Yani ceza dosyası, kişisel verinin en sıkı korunan türüyle doludur. Bu verilerin işlenmesi m. 6/3 uyarınca kural olarak yasak, yalnızca maddede sayılan hallerde mümkün.

Avukat bu veriler bakımından çoğu zaman veri sorumlusu konumundadır. Kanunun m. 3/1-ı tanımına göre veri sorumlusu, “kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen” kişidir. Dosyayı hangi araçla işleyeceğine karar veren de avukattır. TBB rehberi bu rolün her kullanımda ayrıca belirlenmesini öneriyor; hizmet sağlayıcının veri işleyen mi, veri sorumlusu mu olduğu somut kullanıma göre değişebilir.

Veri sorumlusunun KVKK m. 12’deki yükümlülüğü, verilere hukuka aykırı erişimi önlemek için “gerekli her türlü teknik ve idari tedbirleri” almaktır. Veri başka bir kişi tarafından onun adına işleniyorsa, m. 12/2 bu tedbirler bakımından ikisini “müştereken sorumlu” tutar. Bu yükümlülüğe aykırılık için m. 18/1-b idari para cezası öngörüyor. Bir sohbet aracına dosya yüklemek, yükümlülüğü sağlayıcıya devretmiyor; sorumluluğa bir ortak ekliyor.

Yurt dışına aktarım hangi şartlarla mümkün?

KVKK m. 9, 7499 sayılı Kanunla değişti ve yeni hali 1 Haziran 2024’te yürürlüğe girdi. Uygulama esasları, 10 Temmuz 2024 tarihli Resmî Gazete’de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ile belirlendi. Madde üç yol tanıyor.

1. Yeterlilik kararı (m. 9/1). Kurul, verinin gideceği ülke, sektör veya uluslararası kuruluş için yeterlilik kararı verirse, m. 5 veya m. 6’daki işleme şartlarından biri de varsa aktarım yapılabilir. Kurum’un yurt dışına aktarım sayfasında, bu yazının güncellendiği tarihte “Bu konuda Kurul tarafından henüz bir belirleme yapılmamıştır.” ifadesi yer alıyor.
2. Uygun güvenceler (m. 9/4). Yeterlilik kararı yoksa, işleme şartlarından birinin varlığı ve ilgili kişinin aktarılan ülkede de haklarını kullanabilmesi kaydıyla, maddede sayılan güvencelerden biri sağlanmalı. Bir avukat bürosu için gerçekçi olan seçenek, Kurul’un ilan ettiği standart sözleşme. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kurum’a bildiriliyor (m. 9/5); bildirmemek m. 18/1-d uyarınca ayrıca idari para cezası sebebi.
3. Arızi aktarım (m. 9/6). İlk iki yol yoksa, “arızi olmak kaydıyla” sayılı hallerden birine dayanılabilir. Bunlardan biri, ilgili kişinin muhtemel riskler hakkında bilgilendirilerek aktarıma açık rıza vermesi.

Bir avukatın bireysel bir sohbet hesabına ceza dosyası yüklemesini bu üç yoldan birine oturtmak bizce kolay değil. Yeterlilik kararı yok. Standart sözleşme yolu, Kurul’un ilan ettiği metnin sağlayıcıyla imzalanmasını ve Kurum’a bildirilmesini gerektiriyor; hesap açarken kabul edilen genel kullanım koşulları bu metin değil. Arızi aktarım ise adı üstünde, tekrar eden bir iş akışına dayanak olmak için tasarlanmamış. Üstelik dosyada yalnızca müvekkilin değil, müştekinin, tanıkların ve diğer şüphelilerin verileri de var; hepsinden bilgilendirilmiş açık rıza almak ceza dosyasında pratikte düşünülemez.

İsimleri karartmak yetmez mi?

Anonimleştirme sık önerilen bir çıkış yolu, ama KVKK’daki tanım dar. KVKK m. 3/1-b’ye göre anonim hale getirme, “kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi”dir.

TBB rehberi de aynı noktaya dikkat çekiyor: anonimleştirme “yalnızca isim ve kimlik numarası silmekten ibaret değildir; olay tarihi, yer, tutar, şirket unvanı, dava türü, ilişki ağı ve benzersiz vakıalar da değerlendirilir.” Yerel basına yansımış bir olayın tarihi, ilçesi ve ele geçirilen miktarı yerinde duran bir iddianame, isimler silinse bile çoğu zaman kimliği belirlenebilir kalır. Yapay zekadan asıl beklenen de zaten bu ayrıntılar üzerinde çalışmasıdır; onları çıkardığınızda aracın işe yararlığı büyük ölçüde düşer.

Türkiye Barolar Birliği bu konuda ne söylüyor?

TBB, 28 Ağustos 2026’da “Avukatlar İçin Yapay Zekâ Kullanımı Tavsiye Rehberi”ni yayımladı. Rehber kendini tavsiye niteliğinde bir metin olarak tanımlıyor, yani bağlayıcı bir düzenleme değil. Yine de ceza avukatı için yönü açık. Yasak kullanımlar arasında sayılan 1.5 numaralı başlık şöyle:

“Özel nitelikli kişisel veri içeren ceza, aile hukuku, çocuk hukuku, sağlık, göç-sığınma, vergi, finans, sermaye piyasası veya ticari sır niteliğindeki dosyalarda, açık sistem niteliğindeki yapay zekâ araçları kullanılmamalıdır.”

Rehber bulut hizmetleri için de ayrıca bir tespit yapıyor: “Bulut tabanlı dil modeli hizmetlerinde veri çoğunlukla yurt dışındaki altyapılarda işlenir.” Bu durumda KVKK m. 9’daki yollardan biri değerlendirilmeden kişisel veri içeren girdinin kullanılamayacağını belirtiyor. Rehberin ceza dosyaları bakımından ayrıntılı bir okumasını ayrı bir yazıda yaptık.

Model avukatın bilgisayarında çalışırsa ne değişir?

Dosya cihazdan çıkmıyorsa, işleme yurt dışında değil avukatın kendi bilgisayarında yapılıyorsa, yurt dışına aktarım sorusu doğmuyor. Dosya içeriğini tutan ve onu kendi politikasına göre saklayan bir üçüncü kişi de ortada yok. Meslek sırrı bakımından tablo, dosyanın büroda bir klasörde durmasından farklı değil.

Bu, avukatın yükümlülüklerini ortadan kaldırmıyor. Avukat veri sorumlusu olmaya devam ediyor ve m. 12’deki güvenlik tedbirleri artık doğrudan o bilgisayarın güvenliğine bağlı: disk şifreleme, ekran kilidi, cihazın başkasıyla paylaşılmaması. Modelin ürettiği her cümlenin dosyayla karşılaştırılması gerekliliği de aynen duruyor; TBB rehberi, yapay zekadan alınan hiçbir mevzuat hükmünün, içtihadın veya maddi vakıanın resmî ve güvenilir kaynaktan teyit edilmeden mahkemeye sunulamayacağını yazıyor.

tiro’yu bu nedenle modelin avukatın bilgisayarında çalıştığı bir yapıda kurduk. İnternet yalnızca ilk kurulumda ve kullanıcı onay verdiğinde yeni model sürümünü indirirken gerekiyor; dosya ekleme, soru sorma ve yazma işlemleri çevrimdışı yapılıyor. Ayrıntılarını gizlilik sayfasında anlattık.

Mesele yapay zekanın kendisinde değil, dosyanın gittiği yerde düğümleniyor. Av. K. m. 36 açığa vurmayı yasaklıyor, KVKK m. 6 ceza dosyasındaki verilerin büyük kısmını özel nitelikli sayıyor, m. 9 ise yurt dışına aktarımı şu an pratikte sözleşme ve bildirim gerektiren güvencelere bağlıyor. Bu çerçevede bir ceza dosyasını bireysel bir bulut hesabına yüklemenin hukuki dayanağını kurmak zor görünüyor. Yerel çalışan bir araç ise bu soruyu tümüyle kaldırmıyor, ama onu avukatın zaten denetlediği bir alana, kendi bilgisayarının güvenliğine taşıyor. Barolar ve Kurul’un bu alanı nasıl yorumlayacağını önümüzdeki dönemde göreceğiz.