Türkiye’de Yapay Zekâ Kullanım Politikası: AB AI Act ile Karşılaştırmalı Uyum Rehberi

Marka yönetimi, pazarlama ve kurumsal iletişim süreçlerinde yapay zekânın kullanımı; AB Yapay Zekâ Tüzüğü ile Türk hukuku arasındaki paralellikler, farklılıklar ve Türk şirketleri için uyum çerçevesi üzerine kapsamlı rehber.

1. Giriş: İki Hukuk Düzeninin Ayrı Yaklaşımı

Yapay zekâ; son on yıl içinde salt bir teknik araç olmaktan çıkıp, pazarlama süreçlerinden müşteri hizmetlerine, ürün geliştirmeden içerik üretimine kadar kurumsal yaşamın neredeyse tamamına sızan bir üretim katmanına dönüştü. Bu dönüşüm; özellikle marka yönetimi ve iletişim alanında telif, kişilik hakları, tüketici koruması, rekabet ve kişisel veri eksenleri üzerinde çok katmanlı bir hukuki sorumluluk haritasını da beraberinde getirdi.

Avrupa Birliği, bu karmaşayı tek bir çatı altında toplamak için 13 Haziran 2024 tarihli ve 2024/1689 sayılı Yapay Zekâ Tüzüğü‘nü (AI Act) kabul etti. Türkiye’de ise henüz yürürlüğe girmiş müstakil bir “yapay zekâ kanunu” bulunmuyor; düzenleme parçalı biçimde KVKK, FSEK, TTK, 6502 sayılı Kanun, TCK, 5651 sayılı Kanun ve sektörel düzenleyici tebliğler (BDDK, SPK, RTÜK) üzerinden yürüyor. Bu rehber; her iki rejimi karşılaştırıp Türkiye’de faaliyet gösteren ya da AB pazarına hitap eden bir şirketin hangi ilkeler çerçevesinde kendi iç politikasını kurması gerektiğini ortaya koymayı amaçlar.

2. Yasal Çerçevenin Yapısı

AI Act risk temelli bir sınıflandırma yapar: yasaklı sistemler (sosyal puanlama, manipülatif ikna, gerçek zamanlı biyometrik kimliklendirme — istisnalar dışında), yüksek riskli sistemler (istihdam, eğitim, kritik altyapı, kredi değerlendirme), sınırlı riskli sistemler (şeffaflık yükümlülüğü — chatbot, deepfake, üretken içerik) ve minimal risk. Şeffaflık ve etiketleme yükümlülükleri (m. 50) 2 Ağustos 2026 itibarıyla doğrudan uygulanır; yüksek riskli sistemlere ilişkin hükümler kademeli olarak 2 Ağustos 2027’ye kadar tamamlanır.

Türkiye’de benzer bir piramit yok; ancak KVKK’nın 2021 tarihli “Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler”i, BDDK’nın 2024 tarihli bankacılıkta yapay zekâ kullanımına ilişkin rehberi, TÜBİTAK Ulusal Yapay Zekâ Stratejisi ve Cumhurbaşkanlığı Dijital Dönüşüm Ofisi yayınları soft-law nitelikli bir çerçeve oluşturur. Hukuki bağlayıcılık için mevcut genel kanunlara başvurmak gerekir.

3. Etiketleme ve Şeffaflık Yükümlülüğü

3.1. AB AI Act m. 50

• Kullanıcıyla doğrudan etkileşim kuran yapay zekâ sistemleri (chatbot, sesli yanıtlayıcı) kullanıcının bir insanla değil bir sistemle konuştuğunu bildirmek zorundadır.
• Sentetik ses, görüntü veya metin üreten sistemlerin çıktıları makine-okunabilir bir biçimde işaretlenmelidir (metadata / watermark).
• Gerçek kişi, yer veya olaya benzer yapay görüntü/ses/video (deepfake) üreten içerikler için açık etiketleme zorunludur.
• Kamu yararına ilişkin bilgilendirici metinlerin yapay zekâ tarafından üretilip editörden geçmediği hallerde etiket zorunludur.

3.2. Türk Hukukundaki Muadil

Türkiye’de “AI tarafından üretildi” etiketi için doğrudan bir kanun maddesi yok. Ancak fonksiyonel olarak aynı sonuca birden çok kapı üzerinden varılır:

• 6502 sayılı Kanun m. 61 ve Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliği m. 7: reklamın dürüst, doğru ve tüketiciyi yanıltmayacak biçimde yapılması.
• TTK m. 55/1-a: aldatıcı ilan ve açıklamayla haksız rekabet.
• Reklam Kurulu kararları: abartılı ürün render’ları, sentetik influencer/testimonial kullanımı, gerçek kişi benzeri sentetik görsel paylaşımlarında idari para cezası.
• RTÜK / 6112 sayılı Kanun: yayıncı ortamlar için doğruluk ve tarafsızlık ilkeleri.

Pratik sonuç: Türkiye’de etiketleme; ispat yükü ve idari yaptırım bakımından AB’den farklı işler. Reklam Kurulu önüne gelen vakada “tüketici yanıldı mı / yanıltılma ihtimali var mı” değerlendirmesi yapar; AB ise etiket yokluğunu başlı başına ihlal sayar.

4. Telif Koruması: AI Çıktısı Eser Midir?

Hem AB hem Türk hukuku aynı noktaya çıkar: yapay zekânın tek başına ürettiği çıktı üzerinde telif koruması yoktur. AB’de bu sonuç Infopaq (C-5/08) ve Painer (C-145/10) içtihatları ile kurulan “yazarın kendi entelektüel yaratımı” kriterinden çıkar. Alman UrhG § 2/2 “kişisel zihinsel yaratım” şartını açıkça koyar.

Türk hukukunda FSEK m. 1/B “sahibinin hususiyetini taşıyan” eser tanımı aynı anlamı üretir. İnsan müellifinin yaratıcı katkısı olmaksızın üretilen içerik eser sayılmaz; dolayısıyla FSEK m. 13 kapsamında mali veya manevi hak doğmaz. Yargıtay’ın henüz AI çıktılarına özgü yerleşik içtihadı oluşmadı; ancak 11. Hukuk Dairesi’nin “tipik ve yaratıcılık içermeyen” içeriklere ilişkin kararları aynı sonuca işaret eder.

Bu, şu soruyu doğurur: Markanın AI ile ürettiği kampanya görseli korunamayacaksa rakip nasıl engellenir?

• Marka hukuku: 6769 sayılı SMK ile tescilli marka unsurları barındıran içerik marka hakkı kapsamında korunur.
• Haksız rekabet: TTK m. 54-55 çerçevesinde iltibas ve emek/yatırım sömürüsü yasağı devreye girer.
• Sözleşmesel koruma: Ajans / içerik üreticisi ile yapılan sözleşmelerde gizlilik, tam zamanlı bildirim, kullanım tekeli gibi klozlar eserle aynı koruma etkisini üretebilir.
• Veri tabanı koruması: Büyük AI eğitim veri setleri için FSEK m. 6/11 “özgün olmayan veri tabanları” sui generis koruması değerlendirilebilir.
• İnsan katkısıyla melezleme: Prompt mühendisliği, editoryal seçim, düzenleme gibi yaratıcı insan müdahalesi kanıtlanırsa hibrit eser FSEK korumasına girebilir.

5. Kişisel Veri, Otomatik Karar ve Biyometrik Kısıt

GDPR ve KVKK arasındaki yakınsama yüksek olsa da, iki nokta pratikte ayrışır.

5.1. Otomatik Bireysel Karar

GDPR m. 22 veri öznesine “yalnızca otomatik işlemeye dayanan ve kendisi hakkında hukuki sonuç doğuran karara tâbi tutulmama” hakkını açıkça verir; istisnaları sınırlıdır. KVKK m. 11/ğ ise yalnızca “münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin aleyhine bir sonucun ortaya çıkmasına itiraz etme” hakkı getirir ve kapsamı daha dardır. Uygulamada Kurul bu hükmü kredi skorlaması, otomatik istihdam elemesi, segmentasyon gibi alanlarda genişletici biçimde yorumlamaktadır ancak açık usul güvencesi AB’ye göre zayıftır.

5.2. Biyometrik ve Özel Nitelikli Veri

AI Act m. 5/1/d ile gerçek zamanlı uzaktan biyometrik kimliklendirme kamusal alanda kural olarak yasaktır. Türkiye’de KVKK m. 6’nın biyometrik veriyi “özel nitelikli veri” sayması ve Kurul’un 2021 tarihli biyometrik veri rehberi ile bu tür işleme için açık rıza ya da kanuni sebep zorunludur; kameraya dayalı yüz tanıma uygulamaları büyük ölçüde sınırlanır. Böylece iki rejim farklı yollardan benzer sonuca varır.

5.3. Veri İhlali Bildirimi

GDPR m. 33 ve KVKK Kurulu’nun 24.01.2019 tarih 2019/110 sayılı kararı: veri ihlali 72 saat içinde bildirilir. Bu konuda tam paralellik vardır. Yapay zekâ sistemi üzerinden ihlal doğmuşsa (ör. modelden eğitim verisinin sızması), her iki rejimde de doğrudan uygulanır.

6. Kişilik Hakları: Sentetik Avatar, Ses Klonu, Deepfake

Yapay zekânın gerçek kişiye ait yüz, ses, tavır gibi özellikleri üretmesi, kişilik hakkı ihlalinin en güncel biçimidir. Burada AB-Türkiye çerçevesi büyük ölçüde örtüşür ve hatta Türk hukuku bazı noktalarda daha sert yaptırım getirir.

7. Deepfake ve Gerçeğe Yakın Sentetik İçerik

AB AI Act m. 50/4, deepfake’i “gerçek bir kişi, yer, obje ya da olay gibi görünen, ancak yapay olarak üretilmiş veya manipüle edilmiş içerik” olarak tanımlar ve açık etiketleme zorunluluğu getirir. Almanya’da StGB § 201a 2021 reformuyla gerçeğe yakın sentetik görüntüleri de kapsam dahiline aldı.

Türkiye’de deepfake müstakil bir suç tipi değil; ancak fiil çoğu kez aşağıdaki suçların kesişiminde yer alır:

• TCK m. 134/2 — özel görüntünün hukuka aykırı yayılması (2-5 yıl hapis).
• TCK m. 136 — kişisel verilerin hukuka aykırı şekilde ele geçirilmesi, yayılması.
• TCK m. 125-131 — nitelikli hakaret (özellikle internet üzerinden).
• TCK m. 226/3 — müstehcenlik (çocuk içerikli deepfake ağır ceza).
• TCK m. 267 — iftira.
• 6698 sayılı KVKK m. 17 ile bağlantılı idari ve cezai sonuçlar.
• 5651 sayılı Kanun m. 9/A — özel hayata ilişkin deepfake’lerin 4 saat içinde URL bazlı erişim engeli.

Uygulamada fark: AB idari uyum + etiketleme yoluyla önlemeye çalışır; Türkiye ise ceza hukuku + idari kaldırma kombinasyonuyla hem önler hem cezalandırır. AB’deki idari para cezalarının tavanı (AI Act m. 99 çerçevesinde 15 milyon EUR veya küresel cironun %3’ü) Türkiye’de KVKK idari para cezaları ve Reklam Kurulu ceza tavanlarına göre parçalı bir yapı gösterir; ancak Türk ceza mevzuatı hapis cezasıyla eşlik ettiği için caydırıcılık kompozisyonu farklıdır.

8. Haksız Rekabet, Yanıltıcı Reklam ve Platform Manipülasyonu

AI Act bu alanı doğrudan düzenlemez; konu UWG (Almanya) ve AB Tüketici Koruma Direktifleri üzerinden akar. Türkiye’de ise koruma üç eksenli işler.

8.1. TTK m. 54-55

Dürüst ve bozulmamış rekabet düzeninin korunması. AI ile üretilen sahte yorum, sentetik influencer testimonial’i, gerçek dışı “kullanıcı deneyimi” videoları TTK m. 55/1-a “yanıltıcı açıklama” kapsamında haksız rekabet doğurur. Kusur aranmaz; maddi ve manevi tazminat + tespit ve men davası açılabilir.

8.2. Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliği m. 7, 9

Reklamın dürüst, doğru, yanıltıcı olmaması; ortalama tüketicinin algısına göre değerlendirilir. Reklam Kurulu, özellikle 2023-2025 döneminde AI ile üretilen abartılı ürün görselleri, hayali özellikler vaat eden çekiliş görselleri ve gerçekçi deepfake testimonial’ları için idari para cezaları verdi.

8.3. 6502 sayılı Kanun m. 61

Ticari reklamlarda aldatıcı olmama yükümlülüğü; ihlali aynı zamanda tüketici işlemleri bakımından sözleşmenin iptali sonucunu doğurabilir.

9. Çalışan ve İç İletişimde AI

Almanya’da BetrVG § 87/1-6 ve § 90 çerçevesinde AI sistemlerinin çalışan üzerine etkileri için işyeri konseyinin katılımı zorunludur. Sistemin seçilmesi, parametrelendirilmesi, sonuçlarının çalışan aleyhine kullanılması hallerinde ortak karar hakkı işler.

Türkiye’de denk bir yapısal katılım mekanizması yoktur. İşyeri düzeyindeki korumalar şunlardan oluşur:

• 4857 sayılı İş Kanunu m. 75 — özlük dosyası ve veri saklama.
• KVKK m. 5-6 — işçi verilerinin işlenmesinde hukuki sebep; biyometrik veri için açık rıza; Kurul’un 2021 rehberi.
• İş sözleşmesi veya Toplu İş Sözleşmesi ile AI’ın izleme, değerlendirme, video eğitim gibi alanlardaki kullanımının sınırlandırılması.
• 6331 sayılı İSG Kanunu — psikososyal risk değerlendirmesine AI izleme etkileri girebilir.

Sonuç: Türkiye’de işveren AI’yı daha esnek biçimde devreye alabilir; ancak açık rıza, şeffaflık ve İş K. genel hükümleri eksik kalırsa işe iade davalarında ve KVKK idari para cezalarında ciddi riskler doğar.

10. Dokümantasyon, İzlenebilirlik ve Saklama Süreleri

AI Act m. 12, 18 ve 72 yüksek riskli sistemlere loglama ve dokümantasyon yükümlülüğü getirir. Pazarlamada kullanılan “sınırlı riskli” üretken sistemler için teknik dokümantasyon yükümlülüğü AI sağlayıcısındadır ancak kurumsal kullanıcıya da kullanım kayıtlarını saklama sorumluluğu düşer.

Türkiye’de parçalı saklama süreleri aşağıdaki çerçevede oluşur:

AI-spesifik bir “minimum log” seti için aşağıdaki kalemlerin arşivlenmesi tavsiye edilir:

• Kullanılan araç / sürüm / üretici.
• Verilen prompt (ve gerekli ise sistem talimatı).
• Üretilen çıktı (hash, screenshot veya dosya).
• Kontrol eden kişi, tarih ve onay yöneticisi.
• Kullanılan kaynaklar, eğitim verisine ilişkin biliniyorsa kısıtlar.
• Yayın / kullanım yeri ve çekildiği tarih.

11. Olay Yönetimi ve Kriz Müdahalesi

AB tarafında AI Act m. 73 yüksek riskli sistemlerde ciddi olay bildirimini piyasa gözetim otoritesine 15 gün içinde yapma yükümlülüğü getirir. Pazarlama-içerik alanındaki olaylar için GDPR m. 33 (72 saat veri ihlali), DSA m. 16 (bildirim-tepki) ve platform kuralları devreye girer.

Türkiye’de AI kaynaklı içerik krizinde izlenmesi gereken zincir:

1. İçeriğin yayından kaldırılması / gizlenmesi (ilk 24 saat).
2. Ekran görüntüleri, loglar, prompt geçmişi ve çıktıların delil olarak saklanması.
3. Veri ihlali söz konusuysa KVKK m. 12 çerçevesinde 72 saat içinde Kurul bildirimi.
4. Marka ya da sözleşmeden doğan zararlar için Hukuk Müşavirliği / bağımsız avukat bildirimi.
5. Tüketici veya rakip zararı doğmuşsa 6502 sayılı Kanun ve TTK m. 54-55 çerçevesinde pozisyon alma.
6. Özel hayat ihlali ya da deepfake söz konusuysa BTK / Sulh Ceza Hâkimliği’ne 5651 s.K. m. 9 / 9/A başvurusu.
7. Kök neden analizi: model, prompt, süreç veya insan kontrolü hangi aşamada yanlıştı; iç yönerge güncellemesi.

12. Tedarikçi, Ajans ve İçerik Üreticisi Sözleşmeleri

Marka yönetimi ve pazarlamada AI kullanımı çoğunlukla dış ajanslar ve freelancer içerik üreticileri üzerinden işler. Bu ilişki için AB’de AI Act ve GDPR zemini üzerine inşa edilen model sözleşmeler mevcut (AB Komisyonu 2023 MCC AI örnek metinleri). Türkiye’de henüz standart bir AI sözleşme şablonu yok; ancak aşağıdaki kloz setlerini birleştirerek işlevsel bir metin hazırlanabilir.

12.1. Temel Kloz Seti (Türk hukuku uyarlaması)

• Araç ve kullanım tanımı: hangi AI araçlarının hangi süreçlerde kullanılacağı açık yazılır; liste dışındaki araçlar izne bağlanır.
• FSEK hakların devri (m. 48-52): Yazılı şekil; süre, yer, kapsam açıkça belirtilir. Kusur arı/eser olmayan çıktıların hakları tartışmalı olduğundan “kullanım tekeli + geri alma yasağı” ek olarak yazılır.
• Üçüncü kişi haklarına müdahale etmeme taahhüdü: telif, marka, kişilik, rekabet ihlalinden doğan zararın ajans sorumluluğunda olması; caydırıcı cezai şart (TBK m. 179-182).
• KVKK Veri İşleyen Sözleşmesi (m. 12): Kurul’un 2018/10 sayılı kararı ile belirlenen asgari unsurları içerir; alt işleyene aktarım yasağı veya rıza şartı.
• Etiketleme ve şeffaflık: AI üretilmiş her çıktının belirlenmiş formatta etiketlenmesi ve müşteriye bildirilmesi.
• Gizlilik ve ticari sır: TBB meslek kurallarının ötesinde sözleşmesel gizlilik + ceza; ajansın kendi modelini eğitmek için müşteri verisini kullanmama taahhüdü.
• Denetim hakkı: Müşterinin ajans süreçlerinde log, prompt, çıktı ve onay kayıtlarına erişimi.
• Tazminat ve rücu: KVKK m. 14, TBK m. 49, Reklam Kurulu cezası rücu, TTK m. 56 haksız rekabet tazminatı rücusu.
• Uyuşmazlık çözümü: Türk Mahkemeleri veya tahkim; uygulanacak hukuk; acil durumlar için ihtiyati tedbir yetkisi.

13. Türk Şirketleri İçin Uyum Çerçevesi (Özet Checklist)

• Onaylı AI araç listesini belirleyin; bu listeye girmeyen araçların kullanımı yasaklansın.
• Her kullanım için “amaç → kanal → risk seviyesi → onay” zincirini kurgulayın.
• İnsan denetimi (human-in-the-loop) zorunluluğunu tüm dış yayınlar için şart koşun.
• Dört göz prensibi; ürün, reklam, kampanya ve kriz iletişiminde zorunlu.
• Etiketleme standardını yazılı politikaya bağlayın: “Bu içerik yapay zekâ ile üretilmiş/desteklenmiştir.”
• Deepfake ve gerçek kişi taklitlerini kesin biçimde yasaklayın; gerekli hallerde yazılı rıza + iptal edilebilirlik.
• KVKK veri ihlali prosedürünüzü AI olaylarını da kapsayacak biçimde güncelleyin.
• Ajans ve freelancer sözleşmelerinize AI kloz setini ekleyin.
• Log ve dokümantasyon sistemi kurun; minimum kayıt kalemlerini standartlaştırın.
• Kriz müdahale planı; 24 saat içinde yayın durdurma, delil saklama, KVKK bildirimi, Hukuk Müşavirliği tetikleme.
• AB pazarına yönelik faaliyet varsa AI Act m. 50 etiket standardını 2 Ağustos 2026 öncesinde hayata geçirin.
• Yıllık bir kez politika revizyonu; yeni Kurul ve Reklam Kurulu kararlarına göre güncelleme.

14. Pratik Senaryolar

15. Sıkça Sorulan Sorular