Avukat ChatGPT’ye Müvekkil Bilgisi Girebilir mi?
Saat gece yarısını geçmiştir, dilekçenin yarını vardır. Dosyadaki bilirkişi raporunu kopyalayıp bir yapay zekâ sohbet penceresine yapıştırmak, “şunu özetle” demek yalnızca birkaç saniye sürer. O birkaç saniyede müvekkilin adı, dosya numarası, sağlık verileri ve olayın tamamı Türkiye dışındaki bir sunucuya gitmiş olur. Bu yazıda, avukatın yapay zekâ araçlarına müvekkil bilgisi girmesinin Avukatlık Kanunu, Türk Ceza Kanunu ve KVKK karşısındaki durumunu, güncel mevzuat metinleri üzerinden sade bir dille açıklıyoruz.
Kısa Cevap
Müvekkile ait bilgiler, kimliği belirlenebilir hâlde bir yapay zekâ aracına girilemez. Avukatlık Kanunu m. 36 avukatın görevi dolayısıyla öğrendiği hususları açığa vurmasını yasaklar; yasak yalnızca “sır” niteliğindeki bilgiyle sınırlı değildir. Verinin yurt dışındaki bir sağlayıcıya gitmesi ayrıca TCK m. 239 ve KVKK m. 9 bakımından sonuç doğurur. En kritik nokta şudur: 2024 değişikliğinden sonra yurt dışına aktarımda açık rıza yolu yalnızca “arızi” hâllerde kullanılabilir; günlük çalışma düzenine dönüşmüş bir kullanım arızi sayılmaz. Güvenli yol, veriyi hiç göndermemek ya da gerçek anlamda anonimleştirmektir.
Aynı veri koruma ölçütleri avukatlık mesleğine özgü değildir; işverenin çalışanına ilişkin verileri yapay zekâ araçlarıyla işlemesinde de aynı sınırlar geçerlidir. Karşılaştırma için işveren çalışanı yapay zekâ ile izleyebilir mi? yazımıza bakılabilir.
En Kritik Ayrım: “İsmi Sildim” Anonimleştirme Değildir
Uygulamada en yaygın savunma şudur: “Ben adı soyadı sildim, sorun yok.”
Bu, hukuken güvenli bir varsayım değildir. Bir veri, kimliği doğrudan göstermese bile başka verilerle birleştirildiğinde kişiyi belirlenebilir kılıyorsa hâlâ kişisel veridir. Bir dilekçede isim silinmiş olsa dahi geriye kalan mahkeme adı, esas numarası, olay tarihi, işyeri unvanı, kaza yeri ve tıbbi ayrıntılar çoğu zaman tek bir kişiye işaret eder.
- Maskeleme: İsim yerine “X” yazmak. Kişi hâlâ belirlenebilir olduğu için veri kişisel veri olmaya devam eder.
- Anonimleştirme: Verinin, hiçbir şekilde kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek hâle getirilmesi. Dosya bağlamı korunduğu sürece bu pratikte çok zordur.
Ayrım önemlidir, çünkü maskelenmiş veri hâlâ bir aktarımdır; anonimleştirilmiş veri ise KVKK kapsamı dışında kalır. Bir metni yapay zekâya vermeden önce sorulacak soru “isim var mı” değil, “bu metni okuyan biri kişiyi bulabilir mi” olmalıdır.
Avukatlık Kanunu m. 36: Yasak Ne Kadar Geniş?
Avukatlık Kanunu’nun 36. maddesi, avukatların “kendilerine tevdi edilen veya gerek avukatlık görevi, gerekse Türkiye Barolar Birliği ve barolar organlarındaki görevleri dolayısıyla öğrendikleri hususları açığa vurmalarını” yasaklar.
Metnin iki özelliği dikkat çeker.
Birincisi, yasak “sır” kavramıyla sınırlandırılmamıştır. Hüküm “öğrenilen hususlar” der. Yani bilginin gizlilik derecesi tartışılmadan, görev dolayısıyla öğrenilmiş olması yasağın kapsamına girmesi için yeterlidir.
İkincisi, maddede aracın niteliğine ilişkin bir ayrım yoktur. Bilginin bir meslektaşa sözlü olarak söylenmesi ile bir yazılım hizmetine yüklenmesi arasında metin bakımından fark bulunmaz. Belirleyici olan, bilginin avukatın tekelinden çıkıp üçüncü bir tarafın erişimine açılmasıdır.
Maddenin ikinci fıkrası, avukatın bu hususlarda tanıklık edebilmesini bile iş sahibinin muvafakatine bağlamış, üstelik muvafakat olsa dahi avukata çekinme hakkı tanımıştır. Kanun koyucunun mahkeme huzurunda dahi bu kadar dar tuttuğu bir açıklama yetkisinin, ticari bir hizmet sağlayıcısına veri yüklenmesi bakımından daha geniş yorumlanması beklenemez.
TCK m. 239: Sırrın Yurt Dışına Açıklanması
Türk Ceza Kanunu’nun 239. maddesi, sıfatı veya görevi, mesleği ya da sanatı gereği vakıf olduğu ticari sır, bankacılık sırrı veya müşteri sırrı niteliğindeki bilgi veya belgeleri yetkisiz kişilere veren ya da ifşa eden kişiyi, şikâyet üzerine bir yıldan üç yıla kadar hapis ve beş bin güne kadar adlî para cezası ile cezalandırır.
Maddenin üçüncü fıkrası bu konuda özellikle dikkat çekicidir:
“Bu sırlar, Türkiye’de oturmayan bir yabancıya veya onun memurlarına açıklandığı takdirde, faile verilecek ceza üçte biri oranında artırılır. Bu halde şikayet koşulu aranmaz.”
TCK m. 239/3
Şirket dosyalarıyla çalışan bir avukat bakımından bu hüküm doğrudan ilgilidir. Bir birleşme sözleşmesinin, fiyat listesinin ya da müşteri portföyünün yurt dışı merkezli bir hizmete yüklenmesi hâlinde iki sonuç birlikte doğar: ceza artar ve şikâyet şartı ortadan kalkar. Şikâyet şartının aranmaması, müvekkil şikâyetçi olmasa bile soruşturmanın yürüyebileceği anlamına gelir.
Bu maddenin yapay zekâ araçlarına uygulanıp uygulanmayacağı henüz yargı kararlarıyla netleşmemiştir. Ancak metnin lafzı, verinin yurt dışına çıkması olgusuna açık bir sonuç bağlamaktadır ve bu riskin baştan hesaba katılması gerekir.
Ayrıca kişisel verilerin hukuka aykırı olarak kaydedilmesi TCK m. 135, hukuka aykırı olarak verilmesi veya yayılması ise TCK m. 136 kapsamında ayrıca suç teşkil eder. Verinin sağlık durumuna veya cinsel yaşama ilişkin olması hâlinde TCK m. 135/2 uyarınca ceza yarı oranında artırılır — ceza dosyaları ve tazminat dosyaları bakımından bu fıkra sık gündeme gelebilecek niteliktedir.
KVKK m. 9: 2024’te Değişen Yurt Dışına Aktarım Rejimi
Kişisel Verilerin Korunması Kanunu’nun 9. maddesi, 2 Mart 2024 tarihli ve 7499 sayılı Kanun’la baştan yazılmıştır. Yeni rejim üç kademelidir:
- Yeterlilik kararı. Aktarımın yapılacağı ülke, o ülkedeki sektör veya uluslararası kuruluş hakkında Kurul tarafından verilmiş ve Resmî Gazete’de yayımlanmış bir yeterlilik kararı varsa aktarım yapılabilir (m. 9/1-2).
- Uygun güvenceler. Yeterlilik kararı yoksa; standart sözleşme, bağlayıcı şirket kuralları, taahhütname veya kurumlar arası anlaşma gibi güvencelerden biri sağlanmalıdır (m. 9/4). Standart sözleşme kullanılması hâlinde, imzalanmasından itibaren beş iş günü içinde Kuruma bildirim zorunludur (m. 9/5).
- Arızi hâller. Yeterlilik kararı da uygun güvence de yoksa, aktarım ancak arızi olmak kaydıyla ve maddede sayılan sınırlı hâllerde yapılabilir (m. 9/6).
Bir avukatın kişisel hesabıyla kullandığı yaygın bir yapay zekâ hizmetinde, birinci ve ikinci kademenin sağlanmış olması istisnadır. Kurumsal sözleşme yapılmadığı sürece ne standart sözleşme ne de bildirim söz konusu olur.
Peki Müvekkilden Açık Rıza Alsam Olmaz mı?
Bu, en çok sorulan sorudur ve cevabı çoğu kişinin beklediği gibi değildir.
Açık rıza, yurt dışına aktarımda artık bağımsız bir dayanak değildir. Kanun onu altıncı fıkraya, yani yeterlilik kararı ve uygun güvencelerin bulunmadığı hâllere ait bir istisna olarak yerleştirmiştir. Fıkranın girişindeki kayıt açıktır: bu hâller ancak “arızi olmak kaydıyla” uygulanır.
Arızi, süreklilik göstermeyen, olağan iş akışının parçası hâline gelmemiş durumu anlatır. Her dilekçe taslağının, her bilirkişi raporunun aynı araca yüklendiği bir çalışma düzeni arızi değildir; olağan yöntemdir. Bu durumda müvekkilden alınmış bir açık rıza metni de aktarımı hukuka uygun hâle getirmez.
Ayrıca m. 9/6-a uyarınca açık rıza, ancak ilgili kişinin muhtemel riskler hakkında bilgilendirilmesi kaydıyla geçerlidir. Verinin hangi ülkeye gideceği, orada ne kadar saklanacağı ve model eğitiminde kullanılıp kullanılmayacağı anlatılmadan alınan bir rıza, bu şartı karşılamaz.
Veri güvenliği yükümlülüğü de bağımsız olarak işler: KVKK m. 12 veri sorumlusuna verilere hukuka aykırı erişimi önlemek için gerekli her türlü teknik ve idari tedbiri alma zorunluluğu yükler ve verinin başkası tarafından işlenmesi hâlinde müşterek sorumluluk öngörür.
Uygulamada Ne Yapmalı?
Yapay zekâ araçlarını kullanmamak zorunlu değildir; veriyi göndermeden kullanmak mümkündür.
- Soyutlayarak sorun. Dosyayı yapıştırmak yerine hukuki soruyu sorun: “Kısmi ödeme zamanaşımını keser mi?” Bu soruda müvekkil verisi yoktur.
- Kurgusal veriyle çalışın. Bir metnin dilini düzelttirecekseniz, gerçek isim, tarih ve tutarları kurgusal olanlarla değiştirin, çıktıyı kendi dosyanıza siz uyarlayın.
- Kurumsal ve sözleşmeli hizmet kullanın. Veri işleme sözleşmesi bulunan, girdilerin model eğitiminde kullanılmadığı taahhüt edilen kurumsal sürümler ile kişisel hesaplar aynı şey değildir.
- Büro içi yazılı kural koyun. Hangi araçların kullanılabileceği, neyin asla girilemeyeceği ve stajyer ile sekreterin yetkisi yazılı olmalıdır. Sır saklama yükümlülüğü büro çalışanlarının fiilleri bakımından da avukatı ilgilendirir.
- Çıktıyı asla doğrulamadan kullanmayın. Yapay zekâ araçları var olmayan karar ve madde üretebilir. Kullanılan her künye kaynağından teyit edilmelidir.
- Kayıt tutun. Hangi aracın hangi amaçla kullanıldığına dair basit bir kayıt, ileride bir tartışma çıktığında sizi korur.
Yargıtay Ne Diyor?
Bu konuda doğrudan bir Yargıtay içtihadı bulunmamaktadır ve bunun yapısal bir sebebi vardır: avukatın sır saklama yükümlülüğüne aykırılığı öncelikle baro disiplin soruşturması yoluyla ele alınır. Disiplin kurulu kararlarına karşı Türkiye Barolar Birliği ve ardından idari yargı yolu işler; uyuşmazlık çoğu zaman Yargıtay önüne hiç gelmez.
Ceza boyutunda ise hüküm metinlerinin kendisi yol göstericidir. TCK m. 135 ve m. 136, fiilin “hukuka aykırı olarak” işlenmiş olmasını yeterli görür; ayrıca bir zarar verme veya menfaat sağlama saiki aramaz. Bu yönüyle yapay zekâ araçlarına veri girilmesi hâlinde tartışılacak olan, avukatın iyi niyeti veya işi hızlandırma amacı değil, verinin fiilen üçüncü kişinin erişimine açılıp açılmadığıdır.
Bu alanda içtihat oluşana kadar ölçü, mevzuat metninin kendisidir. Avukatlık Kanunu m. 36’nın lafzı, tereddüt hâlinde açıklamama yönünde bir tercih ortaya koymaktadır.
Sık Sorulan Sorular
Müvekkilin adını sildim, dosya numarasını bıraktım. Sorun olur mu? Dosya numarası tek başına kişiyi belirlenebilir kılar; UYAP üzerinden erişimi olan biri için doğrudan kimlik bilgisidir. Bu bir anonimleştirme değil, maskelemedir ve veri kişisel veri olmaya devam eder.
Yapay zekâya sadece hukuki soru sormak da yasak mı? Hayır. Müvekkile ait hiçbir bilgi içermeyen soyut hukuki sorular sır saklama yükümlülüğü kapsamına girmez. Sorun, dosyanın kendisinin aktarılmasıdır.
Kurumsal sürüm kullanırsam sorun tamamen çözülür mü? Kurumsal sürüm riski azaltır ancak tek başına yeterli değildir. Yurt dışına aktarım söz konusuysa KVKK m. 9’daki yeterlilik kararı veya uygun güvence şartı ayrıca aranır; standart sözleşme kullanılıyorsa beş iş günü içinde Kuruma bildirim yapılmalıdır.
Stajyerim veya sekreterim yaparsa sorumluluk kimde? Sır saklama yükümlülüğü büronun işleyişini de kapsar. Büro içinde yazılı kural koymamış olmak, denetim yükümlülüğünün yerine getirilmediği yönünde değerlendirilebilir. Bu kuralın her büronun kendi başına üretmesi gereken bir metin olmaktan çıkıp baro düzeyinde ortak bir rehbere dönüşmesi tartışması için baroda yapay zekâ çalışma grubu kurulması başlıklı yazımıza bakabilirsiniz.
Yapay zekânın ürettiği kararı dilekçeye koydum, karar çıkmadı. Ne olur? Var olmayan bir karara atıf yapmak, dosyada güven kaybına ve disiplin sorumluluğuna yol açabilir. Kullanılacak her künye kaynağından doğrulanmalıdır.
Sonuç
Yapay zekâ araçları avukatlık mesleğinin dışında kalmayacaktır; mesele kullanılıp kullanılmayacağı değil, verinin dışarı çıkarılıp çıkarılmayacağıdır. Avukatlık Kanunu m. 36’nın “öğrenilen hususlar” ifadesi geniştir ve gizlilik derecesi tartışmasına girmeden uygulanır. 2024’te değişen KVKK m. 9 ise açık rıza yolunu arızi hâllerle sınırlamış, günlük çalışma düzenine dönüşmüş aktarımları bu yolun dışında bırakmıştır. Pratik ölçü sadedir: metni gönderdikten sonra kişiyi bulabilecek biri varsa, o metin gönderilmemelidir. Her uyuşmazlık kendi somut koşullarında değerlendirilmelidir.
Dayanak Mevzuat ve Kararlar
- 1136 sayılı Avukatlık Kanunu m. 36 — sır saklama
- 5237 sayılı Türk Ceza Kanunu m. 135 — kişisel verilerin kaydedilmesi
- 5237 sayılı Türk Ceza Kanunu m. 136 — verileri hukuka aykırı olarak verme veya ele geçirme
- 5237 sayılı Türk Ceza Kanunu m. 239 — ticari sır, bankacılık sırrı veya müşteri sırrı niteliğindeki bilgi veya belgelerin açıklanması
- 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 9 — kişisel verilerin yurt dışına aktarılması (Değişik: 2/3/2024-7499/34 md.)
- 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 12 — veri güvenliğine ilişkin yükümlülükler
Bu yazı yalnızca genel bilgilendirme amaçlıdır; hukuki görüş veya vekâlet ilişkisi doğurmaz. Her uyuşmazlık kendi somut koşullarında değerlendirilmelidir.
Yayın tarihi: 10.09.2026 · Son güncelleme: 10.09.2026
Hazırlayan: Av. Şerafettin Kaya · Gebze / Kocaeli · 0534 545 23 32 · www.serafettinkaya.av.tr