KVKK ve Yapay Zeka Araçları 2026: Türk İşletmesi İçin Değerlendirme Rehberi + 8 Araç

TL;DR: Bir yapay zeka aracının "KVKK uyumlu" olup olmadığını dışarıdan ilan etmek mümkün değil — uyum, aracın özelliklerinin yanı sıra sizin onu nasıl kullandığınıza bağlı. Bu yazıda 8 aracı puanlamıyoruz; her biri için sağlayıcıdan hangi belgeleri istemeniz ve kendi tarafınızda neyi kurmanız gerektiğini listeliyoruz. FendyChat tarafında ne sunduğumuzu da açıkça yazıyoruz: otomatik veri maskeleme, saklama süresi sonunda otomatik silme, Türkçe aydınlatma metni şablonu ve imzalanabilir Türkçe veri işleyen sözleşmesi.

30 saniyede KVKK + AI özet

Soru	Cevap
KVKK ihlalinin yaptırımı ne?	İdari para cezaları KVKK Madde 18'de düzenleniyor ve tutarlar her yıl yeniden değerleme oranıyla güncelleniyor. Güncel tutarlar için Kurum'un yayınladığı tarifeye bakın.
Yabancı AI aracı kullanmak yasal mı?	Evet. Ancak veri işleyen sözleşmesi, yurt dışı aktarım için uygun mekanizma (Madde 9) ve aydınlatma metni sizin sorumluluğunuzda.
Yerli araç kullanmak işi kolaylaştırır mı?	Yurt dışına aktarım başlığını ortadan kaldırdığı veya basitleştirdiği için evet, süreç kısalır. Ama yerli olmak tek başına uyum anlamına gelmez.
AI verimi model eğitiminde kullanır mı?	Sağlayıcıya ve seçtiğiniz plana göre değişir. Bu ayarı her aracın kendi veri/gizlilik sayfasından kullanmadan önce kontrol edin.
Hangi araç "KVKK uyumlu" diye seçilir?	Böyle bir etiket yok. Aşağıdaki kontrol listesini her aday araca uygulayıp kendi kararınızı verin.

Not: Bu yazı hukuki görüş değildir. Kişisel veri işleyen bir kurguya geçmeden önce kendi hukuk danışmanınıza başvurun.

1. KVKK + AI nedir? Türk işletmesi için kritik 5 bilmek

1.1. KVKK'nın AI'a etkisi

KVKK (2016, güncellenmiş 2024), kişisel veri işleyen her sistemi kapsar:

AI chatbot (müşteri mesajları)
AI content tool (müşteri verisi prompt'a girerse)
AI analytics (kullanıcı davranışı analizi)
AI e-mail (müşteri segmentasyonu)

1.2. Türk işletmesi için yasal yükümlülükler

Yükümlülük	Açıklama
Aydınlatma metni	Müşteriye "veri nasıl işlenir" bildirimi
Açık rıza	Özel nitelikli veri için (sağlık, etnik köken, biyometrik vb.)
Veri lokasyonu	Veri Türkiye'de mi, AB'de mi, ABD'de mi tutuluyor?
Yurt dışına aktarım	Yurt dışı merkezli hizmet kullanıyorsanız Madde 9'daki mekanizmalardan birine dayanmalı
Veri işleyen sözleşmesi	Hizmet sağlayıcıyla imzalanır; kapsamı ve sorumluluk paylaşımı yazılı olmalı
Saklama süresi	Veri ne kadar tutulacak? Amaçla sınırlı ve yazılı bir politika gerekir
Silme hakkı	İlgili kişinin talebi mevzuattaki süre içinde karşılanmalı
VERBİS kayıt	Kurum'un belirlediği kriterleri aşan veri sorumluları için zorunlu — güncel eşikleri VERBİS sayfasından teyit edin

1.3. Yurt dışı merkezli mi, yerli mi?

İkisi de kullanılabilir; fark, hangi işin sizin üzerinizde kaldığında:

Konu	Yurt dışı merkezli araç	Yerli araç
Veri lokasyonu	Sağlayıcının belirlediği bölge — kendi sayfasından teyit edin	Türkiye seçeneği sunulabilir
Yurt dışına aktarım	Madde 9 kapsamında ayrıca değerlendirilmesi gerekir	Aktarım yoksa bu başlık gündeme gelmez
Aydınlatma metni	Türkçe metni siz hazırlarsınız	Türkçe şablonla gelebilir
Sözleşme dili	Genelde İngilizce	Türkçe imzalanabilir
Veri silme	Sağlayıcının sunduğu akışa bağlı	Ürüne gömülü olabilir
Maskeleme	Aracın sunduğu kadar	Ürüne gömülü olabilir

Buradaki mesele "yerli güvenli, yabancı riskli" değil. Yurt dışı merkezli araçların çoğu ciddi güvenlik programları yürütüyor. Mesele şu: aktarım başlığı ve Türkçe dokümantasyon işi sizin üzerinizde kalıyor. Ekipte bunu takip edecek biri varsa sorun değil; yoksa yerli bir araç süreci kısaltır.

1.4. Hassas veri nedir? (Türk işletmesi için pratik)

KVKK Madde 6 — hassas veri:

Sağlık (eczane, klinik, estetik — KRİTİK)
Cinsel hayat
Etnik köken, din, siyaset
Biyometrik veri
Ceza mahkumiyeti

AI tool bu verilere dokunuyorsa → açık rıza zorunlu, ceza üst limit.

1.5. AI kullanırken en sık gözden kaçan risk noktaları

Aşağıdakiler somut ceza dosyaları değil; kurgu aşamasında sık atlanan noktalar. Kendi akışınızı bunlara karşı gözden geçirin:

Sağlık bağlamında çalışan bir botun, insan onayı olmadan tıbbi yorum yapabilecek şekilde kurgulanması
Müşteriden gelen TC kimlik veya IBAN gibi verilerin maskelenmeden kaydedilmesi ya da ekranda görünmesi
Belge/görsel eklerinin (örneğin reçete fotoğrafı) tanımlı bir saklama süresi olmadan sistemde kalması
Verinin hangi üçüncü taraflara aktarıldığının aydınlatma metninde yer almaması

Bu dördü, aracın hangisi olduğundan bağımsız olarak sizin kurgunuzun sorumluluğu.

2. 8 Yapay Zeka Aracı — Ne Sorulmalı, Neye Bakılmalı?

Aşağıdaki araçlara "KVKK uyum puanı" vermiyoruz. Böyle bir puanı dışarıdan verebilecek konumda değiliz ve yanlış bir puan sizi gerçek bir zarara sokabilir. Her araç için kendi güvenlik/uyum sayfasından teyit etmeniz gereken başlıkları ve kendi tarafınızda kurmanız gerekenleri yazdık.

#1 FendyChat (Fendy Chat) — Instagram + DM müşteri hizmetleri

Kendi ürünümüz; dolayısıyla burada tarafsız değiliz. Aşağıdakiler iddia değil, ürünün kapsamı — sözleşmede de yazılı:

✅ Türkiye merkezli şirket; veriler Frankfurt + İstanbul'da
✅ Otomatik veri maskeleme (TC, telefon, e-posta, IBAN)
✅ Saklama süresi sonunda (30 gün) otomatik silme
✅ Türkçe aydınlatma metni şablonu
✅ İmzalanabilir Türkçe veri işleyen sözleşmesi (DPA)
✅ Enterprise tier'da Türkiye'de veri tutma opsiyonu
✅ İlgili kişinin silme talebi için tanımlı akış

Sektör uygulamaları:

Eczane: TC + telefon otomatik maskeleme, sağlık bilgi insan onayına
Klinik: Doktor onayı zorunlu (hibrit mod), randevu verisi 6 ay
E-ticaret: Sipariş verisi 2 yıl (vergi yükümlülüğü), kişisel veri 6 ay

Fiyat: 0-3.499+ ₺/ay (Free 0 ₺ / Temel 499 ₺ / Pro 999 ₺ / İşletme 1.999 ₺ / Enterprise ₺3.499'dan)

Web: fendychat.com

#2 OpenAI ChatGPT (Plus / Enterprise) — yazılı içerik

Sağlayıcıdan teyit edin: Verinizin model eğitiminde kullanılıp kullanılmadığı (bu ayar plana göre değişiyor), imzalanabilir bir veri işleyen sözleşmesi sunulup sunulmadığı, verinin hangi bölgede işlendiği ve hangi güvenlik denetimlerinden geçtiği. Bu başlıkların güncel durumu OpenAI'ın kendi güvenlik ve gizlilik sayfalarında yayımlanıyor; buraya kopyalamıyoruz çünkü değişiyor.

Sizin tarafınızda: Türkçe aydınlatma metnini siz hazırlarsınız.

Pratik kullanım: Müşteri verisini prompt'a girmeyin. Anonim içerik üretimi için kullanın (blog yazısı, ürün açıklaması, e-posta metni).

#3 Anthropic Claude (Pro / Enterprise) — uzun içerik

Sağlayıcıdan teyit edin: Eğitim verisi kullanımına ilişkin varsayılan davranış, veri saklama süresi, kurumsal planlarda veri işleyen sözleşmesinin kapsamı ve işleme bölgesi.

Sizin tarafınızda: Türkçe aydınlatma metni ve saklama politikası.

Pratik kullanım: Uzun metin ve doküman işlerinde güçlü. Müşteri verisiyle çalışmanız gerekiyorsa önce yukarıdaki başlıkları netleştirin.

#4 Klaviyo — e-posta pazarlama

Sağlayıcıdan teyit edin: Veri barındırma bölgesi seçeneği sunulup sunulmadığı, veri işleyen sözleşmesinin kapsamı ve alt işleyen listesi.

Sizin tarafınızda: Çift opt-in akışı, abonelikten çıkma, veri dışa aktarma ve silme taleplerinin işletilmesi; Türkçe aydınlatma metni.

#5 Brevo (eski Sendinblue) — e-posta + SMS + chat

Doğrulanabilir olgu: Fransa merkezli bir şirket ve Türkçe arayüz sunuyor.

Sağlayıcıdan teyit edin: Veri barındırma bölgesi, veri işleyen sözleşmesi ve SMS tarafında Türkiye'ye özgü izin kurallarının (İYS) nasıl karşılandığı.

Sizin tarafınızda: Türkçe destek kapsamı sınırlı olabilir; kritik süreçlerde bunu hesaba katın.

#6 Google Analytics 4 + Google Tag Manager

Sağlayıcıdan teyit edin: Veri işleme şartları, işleme bölgesi ve saklama süresi ayarlarının güncel karşılıkları.

Sizin tarafınızda — bu araçta iş yükünün çoğu burada: Consent Mode yapılandırması, veri saklama süresinin kısaltılması ve çerez rızası akışının sitenizde doğru kurulması. Varsayılan ayarlarla bırakmayın; bilinçli olarak yapılandırın.

#7 Cookiebot / Iubenda — çerez ve rıza yönetimi

Ne işe yarar: Çerez taraması, rıza banner'ı, tercih kaydı ve Türkçe çerez politikası şablonu üretimi. Rıza kayıtlarını saklamaları, ilerideki bir denetimde ispat açısından işinizi kolaylaştırır.

Sağlayıcıdan teyit edin: Rıza kayıtlarının ne kadar süreyle ve nerede tutulduğu, hangi mevzuat setleri için şablon sunulduğu.

Sizin tarafınızda: Şablonu olduğu gibi bırakmayın — kendi veri akışınıza göre düzenleyin.

#8 Crisp — web chat

Doğrulanabilir olgu: Fransa merkezli bir şirket, Türkçe arayüz sunuyor ve veri saklama süresi yapılandırılabiliyor.

Sağlayıcıdan teyit edin: Veri işleme dokümanı, barındırma bölgesi ve sözleşme dili.

Sizin tarafınızda: Türkçe aydınlatma metni ve saklama politikası.

3. Özet Tablo

#	Araç	Kategori	Sizin tarafınızda kalan asıl iş
#1	FendyChat (Fendy Chat)	Instagram + DM	Aydınlatma metnini yayımlamak (şablon hazır geliyor)
#2	ChatGPT (Plus/Enterprise)	Yazılı içerik	Müşteri verisini prompt'a sokmamak; aydınlatma metni
#3	Claude (Pro/Enterprise)	Uzun içerik	Saklama ve eğitim ayarlarını netleştirmek; aydınlatma metni
#4	Klaviyo	E-posta	Çift opt-in ve silme/dışa aktarma taleplerinin işletilmesi
#5	Brevo	E-posta + SMS	SMS tarafında İYS ve izin yönetimi
#6	Google Analytics 4	Web analitiği	Rıza ve saklama ayarlarının doğru yapılandırılması
#7	Cookiebot / Iubenda	Çerez	Şablonu kendi veri akışınıza uyarlamak
#8	Crisp	Web chat	Aydınlatma metni ve saklama politikası

Fiyatlar: FendyChat tarafında Free 0 ₺ / Temel 499 ₺ / Pro 999 ₺ / İşletme 1.999 ₺ / Kurumsal 3.499 ₺'dan (KDV dahil, sabit TL). Diğer araçların güncel fiyatlarını ve plan kapsamlarını kendi sayfalarından kontrol edin.

4. Türk işletmesi için KVKK + AI 5 adımlı checklist

Adım 1: Aydınlatma metni hazırla (2 saat, 1 kez)

KVKK Madde 10 uyumlu Türkçe metin
Hangi AI tool'lar kullanılıyor listele
Veri lokasyonu (TR / AB / ABD) bildir
Saklama süresi bildir
Müşteri hakları listele

Araç: Cookiebot/Iubenda şablon üretebilir; FendyChat'te Türkçe şablon dahil geliyor. Şablonu kendi veri akışınıza göre düzenleyin.

Adım 2: Veri işleyen sözleşmelerini topla (1 hafta)

Kullandığınız her araç için sağlayıcının veri işleme dokümanını (DPA) bulun, kapsamını okuyun ve dosyalayın. Çoğu sağlayıcı bunu kendi hukuki dokümanlar sayfasında yayımlıyor; bazıları imza gerektiriyor, bazıları kullanım şartlarına dahil ediyor. Yurt dışına aktarım varsa Madde 9 kapsamında hangi mekanizmaya dayandığını da not edin.

FendyChat tarafında imzalanabilir Türkçe DPA veriyoruz.

Adım 3: Veri maskeleme aç

AI prompt'larına giden içerikte hassas veriyi filtreleyin
TC kimlik, telefon, IBAN gibi alanları modele göndermeden maskeleyin
FendyChat'te bu otomatik

Adım 4: Veri silme süreci kur

Web sitenizde "verimi sil" talebi için bir kanal açın
Kullandığınız her araçta silme talebinin nasıl işletileceğini önceden öğrenin
Başvuruları mevzuattaki süre içinde sonuçlandırın (KVKK Madde 13 — güncel süreyi kanun metninden teyit edin)
FendyChat'te saklama süresi sonunda silme otomatik

Adım 5: VERBİS kaydını kontrol et

verbis.kvkk.gov.tr → kayıt yükümlülüğü kriterlerini kontrol edin
Kayıt eşikleri (çalışan sayısı, mali bilanço büyüklüğü vb.) Kurul kararlarıyla belirleniyor ve güncellenebiliyor — güncel eşiği Kurum'un sitesinden teyit edin
Yükümlüyseniz veri işleme envanterinizi (kullandığınız araçlar dahil) hazırlayın

5. KVKK denetimi geldi — ne yapmalı?

Hazırlık checklist (önceden)

Aydınlatma metni güncel ve web sitesinde görünür
Kullanılan her aracın veri işleme dokümanı dosyada
Veri envanteri (hangi araç, hangi veri, ne kadar süre)
İlgili kişi başvuru ve silme talebi kayıtları
Çerez rızası kayıtları
VERBİS kaydı (yükümlüyseniz) güncel

Denetim sırasında

Talep edilen evrakı verilen süre içinde eksiksiz sunun
Araçlardaki gizlilik/saklama ayarlarının ekran görüntülerini hazır bulundurun
Veri akış diyagramınızı sunun

İhlal varsa

Kurul'a bildirim: "en kısa sürede" ve Kurul kararında belirtilen süre içinde (uygulamada 72 saat olarak anılıyor — güncel düzenlemeyi teyit edin)
Etkilenen ilgili kişilere bildirim
Süreci ve alınan önlemleri belgeleyin

Sıkça Sorulan Sorular (SSS)

Bir aracın "KVKK uyumlu" olduğunu nasıl anlarım?

Kısa cevap: bir aracı tek başına "uyumlu" diye etiketleyemezsiniz. Uyum, aracın sunduğu imkânlarla sizin kurgunuzun birleşiminden doğar. Aracın tarafında bakacağınız beş şey: (1) hassas veriyi maskeleyebiliyor mu, (2) saklama süresi ayarlanabiliyor mu, (3) silme talebi için işleyen bir akış var mı, (4) veri işleyen sözleşmesi sunuluyor mu, (5) verinin işlendiği bölge biliniyor mu. Kalanı sizin tarafınızda: aydınlatma metni, rıza yönetimi ve envanter.

Yerli mi, yurt dışı merkezli mi seçmeliyim?

Yerli araç, yurt dışına aktarım başlığını ve Türkçe dokümantasyon işini büyük ölçüde ortadan kaldırdığı için süreci kısaltır. Ama "yerli" tek başına uyum garantisi değil — yukarıdaki beş başlığı yerli araçlara da sorun. Yurt dışı merkezli araç kullanmak da yasaldır; sadece aktarım tarafını doğru kurmanız gerekir.

Genel amaçlı bir sohbet asistanına müşteri verisi girebilir miyim?

Alışkanlık haline getirmeyin. Özel nitelikli veriyi (sağlık gibi) ve TC kimlik, IBAN benzeri tanımlayıcıları genel amaçlı araçlara girmeyin. İçerik üretimi için anonimleştirilmiş veriyle çalışın. Kurumsal planlarda veri kullanımına ilişkin ayarlar farklılaşabiliyor; kullanacağınız planın gizlilik ayarlarını sağlayıcının kendi dokümanından kontrol edin.

Eczane / klinik için ne önerirsiniz?

Sağlık verisi özel nitelikli veridir ve daha ağır koşullara tabidir. Buradaki en önemli kural teknik değil operasyonel: tıbbi içerikli hiçbir yanıt insan onayından geçmeden gitmesin. FendyChat'te eczane ve klinik şablonları hibrit modla geliyor (tıbbi soru insan onayına düşer) ve TC/telefon otomatik maskeleniyor. Hangi aracı seçerseniz seçin, bu akışı kurmadan sağlık bağlamında otomasyon açmayın ve kurguyu hukuk danışmanınıza doğrulatın.

Veri işleme dokümanına (DPA) nasıl ulaşırım?

Sağlayıcının hukuki dokümanlar veya güvenlik sayfasında yayımlanır. Bazıları kullanım şartlarına dahildir, bazıları ayrıca imza ister. Bulamıyorsanız satış veya destek ekibine yazılı olarak sorun — yazılı cevabı da saklayın.

KVKK cezası ne kadar?

İdari para cezaları KVKK Madde 18'de düzenleniyor ve tutarlar her yıl yeniden değerleme oranıyla güncelleniyor. Bu yüzden burada sabit bir rakam vermiyoruz; güncel tarifeyi Kurum'un sitesinden kontrol edin. Cezanın ağırlığı ihlalin niteliğine ve etkilenen kişi sayısına göre değişiyor.

VERBİS kaydı kimin için zorunlu?

Kayıt yükümlülüğü ve muafiyet kriterleri (çalışan sayısı, yıllık mali bilanço büyüklüğü, faaliyet konusu gibi) Kurul kararlarıyla belirleniyor ve zaman içinde güncelleniyor. Kendi durumunuzu verbis.kvkk.gov.tr üzerinden güncel kriterlerle kontrol edin.

Çerez yönetimini nasıl kurmalıyım?

Hazır bir rıza yönetimi aracı (Cookiebot, Iubenda vb.) kullanmak işi hızlandırır: otomatik tarama, Türkçe metin ve rıza kayıtlarının saklanması. Rıza kayıtlarının saklanması, ileride ispat gerektiğinde en çok işinize yarayacak parçadır. Şablonu olduğu gibi bırakmayın, kendi çerezlerinize göre düzenleyin.

Müşteri "verimi sil" derse ne yapmalı?

Başvuruyu KVKK Madde 13'te öngörülen süre içinde sonuçlandırmanız gerekir. Önemli olan, bu talebin kullandığınız her araçta nasıl işletileceğini önceden belirlemiş olmanız. FendyChat'te saklama süresi sonunda silme otomatik; diğer araçlarda sağlayıcının sunduğu akışı önceden öğrenin.

"Verim model eğitiminde kullanılmasın" nasıl sağlanır?

Her aracın gizlilik/veri kontrolleri bölümünde bu ayar farklı yerde ve varsayılanı plana göre değişebiliyor. Doğru yöntem: kullanacağınız aracın kendi veri kontrolleri sayfasını açıp ayarı görerek doğrulamak ve ekran görüntüsünü dosyalamak. FendyChat tarafında müşteri verisi model eğitimine gönderilmez.

Web analitiğinde nelere dikkat etmeliyim?

Analitik araçlarını varsayılan ayarlarla bırakmayın. Sırasıyla: rıza yönetimini (consent mode benzeri) devreye alın, veri saklama süresini ihtiyacınız kadarına indirin, veri işleme şartlarını kabul edip dosyalayın ve çerez rızası banner'ını bunlarla uyumlu kurun. Ayarların güncel adları ve varsayılanları değişiyor; sağlayıcının dokümanından ilerleyin.

Yurt dışı merkezli araçtan yerliye geçmek mantıklı mı?

Yurt dışına aktarım başlığıyla uğraşmak istemiyorsanız ve Türkçe sözleşme/destek sizin için değerliyse mantıklı. Global müşteriye hizmet veriyorsanız veya ekibinizde bu süreci yönetecek biri varsa yurt dışı merkezli araçlarda kalmak da gayet makul. Bu bir uyum değil, operasyonel tercih meselesi.

Sonuç

KVKK uyumu bir ürün etiketi değil, kurduğunuz sürecin bir özelliği. Bu yüzden bu yazıda araçlara puan vermek yerine, her biri için sağlayıcıdan neyi isteyeceğinizi ve sizde ne kalacağını ayırdık.

Kategori bazında değerlendirme listesi:

Müşteri hizmetleri (Instagram + DM): FendyChat — yerli sözleşme, otomatik maskeleme ve saklama
Çerez ve rıza yönetimi: Cookiebot veya Iubenda
Yazılı içerik: genel amaçlı asistanlar — yalnızca anonimleştirilmiş veriyle
E-posta: Klaviyo veya Brevo — veri işleme dokümanını dosyalayarak
Web chat: Crisp (bizde web chat Q3 2026 yol haritasında)

Hangisini seçerseniz seçin, üç şeyi kendi tarafınızda kurmadan başlamayın: aydınlatma metni, saklama süresi politikası ve silme talebi akışı.

🌸 fendychat.com ücretsiz planla Instagram müşteri yönetimini başlatın — kredi kartı gerekmez.