KVKK Etken YZ Rehberi şirketinizden ne bekliyor?

Kişisel Verileri Koruma Kurumu, Şubat 2026'da doğrudan yapay zeka ajanlarını ele alan “Etken Yapay Zeka (Agentic AI)” rehberini yayımladı. Bu, Türkiye'de ajan kullanan her şirket için bir dönüm noktası: artık “bu alan düzenlenmemiş” denemez. İyi haber, rehber bir ceza aracı değil — bir yol haritası. Altı bölümünü, doğrudan yapılabilecek işlere çevirelim.

Rehber neyi kapsıyor?

Altı bölüm: (1) Etken YZ sistemleri nedir, (2) YZ Aracıları, (3) kullanım durumları, (4) genel riskler, (5) kişisel veri riskleri ve (6) alınabilecek tedbirler. Kurum ayrıca “Etken YZ = sistem (baş şef)”, “YZ Aracısı = bileşen (aşçı)” ayrımını ve dört karakteristik unsuru (otonomi, uyarlanabilirlik, öğrenme, orkestrasyon) tanımlıyor.

Kurumun işaret ettiği riskler

Beşinci bölüm, ajanlara özgü kişisel veri risklerini sıralıyor. Şirket diline çevrildiğinde:

• Öngörülemeyen kapsam genişlemesi — ajan, amacını aşan veriye uzanır.
• İşleme şartının geçerliliğini yitirmesi — kapsam kayınca hukuki dayanak kopar.
• Profilleme ve çıkarım — masum veriler birleşip hassas sonuçlar üretir.
• Kara kutu — hangi ajanın neyi neden yaptığı izlenemez.
• Halüsinasyon — uydurma çıktı, zincirde yayılarak veri doğruluğunu bozar.
• Genişleyen saldırı yüzeyi — girdi manipülasyonuyla veri ifşası.

Kurumun beklediği tedbirler

Altıncı bölüm, somut beklentileri veriyor. Her biri sahada bir uygulamaya denk geliyor:

• İnsan merkezli yaklaşım + üç aşamalı insan gözetimi (geliştirme / kullanıma alma / kullanım sonrası).
• Şeffaflık ve açıklanabilirlik — uygun düzeyde.
• Veri doğruluğunun sürekli gözetimi.
• Aktör rollerinin netleştirilmesi (geliştirici / yerleştirici).
• Tasarımdan itibaren + varsayılan mahremiyet, PET.
• Risk temelli yaklaşım + veri koruma etki değerlendirmesi (VKED).
• Personel bilinçlendirme ve eğitim.

“Bağlayıcı değil” tuzağı

Rehber teknik anlamda bir kanun değil. Ama Kurum, yürürlükteki KVKK'yı bu rehber ışığında yorumluyor; müfettiş de aynı metni açıyor. Üstelik ilkelerin çoğu zaten m.4, m.5, m.6, m.10 ve m.12'nin ajanlara uygulanmış hâli. Bugün rehbere gönüllü uyan şirket, yarın kanuna bedavaya uyumlu çıkar.

Nereden başlamalı? Görünürlükten. Önce envanter, sonra yetki daraltma, sonra insan onayı ve kayıt, en son belge katmanı. Rehberi bir öz denetim tablosuna çevirin: her risk ve tedbir için “bizde var mı?” — ve her “var” için “kanıtı nerede?”