Yapay Zekâ, Kişisel Veriler ve Algoritmik Ayrımcılık

Bu yazı, Yapay Zekâ ve Hukuk başlıklı beş bölümlük akademik serinin üçüncü bölümüdür. İlk iki bölümde yapay zekânın hukuki statüsü ve sorumluluk rejimi incelenmiş; Türk hukukunun sorununun maddi hukuk boşluğu değil, ispat düzeyindeki çöküş olduğu savunulmuştu. Bu bölümde aynı tez, kişisel verilerin korunması ve ayrımcılık yasağı alanında sınanmaktadır.

Kısa Cevap

Bu çalışma, 6698 sayılı KVKK’nın yapay zekâ model eğitimi bakımından işleyebilir bir çerçeve sunduğunu; ancak otomatik kararlara ilişkin tek hüküm olan m.11/1-(g)’nin, kişiye kararın mantığını öğrenme ve insan denetimi talep etme imkânı tanımadığı için içeriği eksik bırakılmış bir hak olduğunu savunur. Algoritmik ayrımcılıkla mücadelede gerekli ispat yükü yer değiştirme tekniği İş Kanunu m.5/son uyarınca Türk hukukunda zaten mevcuttur; eksiklik, bu tekniğin iş ilişkisi dışına genelleştirilmemiş olmasından kaynaklanır.

Öz

Bu çalışma, yapay zekâ sistemlerinin kişisel veriler üzerindeki etkisini iki ayrı eksende incelemektedir: verinin model eğitiminde girdi olarak kullanılması ve kişi hakkında çıktı üretilmesi. Çalışmada, 6698 sayılı Kanun’un model eğitimi bakımından işleyebilir bir çerçeve sunduğu; buna karşılık otomatik kararlara ilişkin tek hüküm olan m.11/1-(g)’nin, kişiye kararın mantığını öğrenme ve insan denetimi talep etme imkânı tanımadığı için içeriği eksik bırakılmış bir hak olduğu savunulmaktadır. Kişisel Verileri Koruma Kurulu’nun hükmü 2021/1303 sayılı kararında yorumladığı; ancak hükmün tek başına bir ihlal tespitine dayanak yapılmadığı tespit edilmektedir. Çalışmanın ikinci temel bulgusu, algoritmik ayrımcılıkla mücadelede gerekli olan ispat yükünün yer değiştirmesi tekniğinin, İş Kanunu m.5/son uyarınca Türk pozitif hukukunda hâlihazırda mevcut olduğu; eksikliğin bu tekniğin iş ilişkisi dışına genelleştirilmemiş olmasından kaynaklandığıdır.

Anahtar kelimeler: yapay zekâ, kişisel verilerin korunması, otomatik karar verme, profilleme, algoritmik ayrımcılık, biyometrik veri, ispat yükü.

1. Giriş: Verinin İki Rolü

Kişisel veri, yapay zekâ tartışmasında iki ayrı rolde karşımıza çıkar ve bu iki rolün karıştırılması analizi bozar.

Birinci rolde veri girdidir: modelin eğitilmesi için kullanılan ham malzemedir. Buradaki hukuki sorun, milyonlarca kişiye ait verinin hangi hukuka uygunluk sebebine dayanılarak işlendiğidir.

İkinci rolde veri çıktıdır: sistem, kişi hakkında bir değerlendirme, sınıflandırma veya tahmin üretir. Buradaki sorun ise bu değerlendirmenin kişinin hayatını etkileyen bir karara dönüşmesi ve kişinin bu karara karşı ne yapabileceğidir.

6698 sayılı Kişisel Verilerin Korunması Kanunu, birinci rol bakımından işleyebilir bir çerçeve sunar. İkinci rol bakımından ise düzenlemesi son derece incedir. Bu bölümün ana tezi şudur: KVKK’nın otomatik kararlara ilişkin tek hükmü olan m.11/1-(g), kişiye kararın mantığını öğrenme ve insan denetimi talep etme imkânı tanımadığı için içeriği eksik bırakılmış bir haktır; nitekim yürürlükte olduğu süre boyunca tek başına bir ihlal tespitine dayanak yapılmamıştır.

Yöntem notu. Aşağıdaki değerlendirmelerde mevzuat metinleri resmî kaynaktan tam metin olarak; Kurul kararları, Anayasa Mahkemesi ve Avrupa İnsan Hakları Mahkemesi kararları ise ilgili karar veri tabanları üzerinden Temmuz 2026 itibarıyla taranmıştır. Metinde yer alan olumsuz tespitler (“rastlanmamıştır” biçimindeki ifadeler) bu tarama kapsamıyla sınırlıdır ve tükenmişlik iddiası taşımaz.

2. Eğitim Verisi: Girdi Boyutu

2.1. Model eğitimi bir “işleme” faaliyetidir

Tartışmanın başlangıç noktası, model eğitiminin KVKK kapsamına girip girmediğidir. Kanun m.3/1-(e), kişisel verilerin işlenmesini tanımlarken “elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem”i saymaktadır.

Tanımda “sınıflandırılma” fiilinin açıkça yer alması, makine öğrenmesi bakımından belirleyicidir; zira denetimli öğrenmenin çekirdek işlemi tam olarak sınıflandırmadır. Ayrıca sayımın “gibi” edatıyla örnekleyici (numerus apertus) yapılmış olması, teknik olarak yeni sayılan işleme biçimlerinin de kapsama girmesini sağlar. Dolayısıyla model eğitimi, KVKK anlamında kişisel veri işleme faaliyetidir ve Kanun’un tüm yükümlülüklerine tâbidir.

2.2. Hukuka uygunluk sebebi sorunu

Eğitim faaliyeti için hangi hukuka uygunluk sebebine dayanılacağı ciddi bir sorundur. KVKK m.5/1 kural olarak açık rıza aramakta; m.5/2 ise rıza aranmayan hâlleri saymaktadır.

Açık rıza yolu pratikte kapalıdır. KVKK m.3/1-(a) açık rızayı “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” olarak tanımlar. İnternetten toplanan milyarlarca veri noktası bakımından bu üç unsurun hiçbiri sağlanamaz: rıza belirli bir konuya ilişkin değildir, veri sahibi bilgilendirilmemiştir, çoğu zaman verisinin toplandığından haberi dahi yoktur.

Meşru menfaat yolu tartışmalıdır. m.5/2-(f) uyarınca “ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması” hâlinde rıza aranmaz. Bu hüküm, ticari model eğitimi için sıklıkla ileri sürülmektedir. Ancak hükmün uygulanabilmesi bir denge testini gerektirir ve “zorunluluk” unsuru aranır. Aynı sonuca anonim veya sentetik veriyle ulaşılabiliyorsa zorunluluk unsuru karşılanmaz.

Alenileştirme yolu yanlış anlaşılmaktadır. m.5/2-(d) “ilgili kişinin kendisi tarafından alenileştirilmiş olması” hâlini düzenler. Bir kişinin sosyal medyada paylaşım yapması, o veriyi alenileştirdiği anlamına gelebilir; ancak Kurul uygulamasında yerleşik olan ölçüt, alenileştirmenin iradesine uygun kullanımdır. Bir fotoğrafı arkadaş çevresiyle paylaşan kişinin, o fotoğrafın bir yüz tanıma modelinin eğitiminde kullanılmasına yönelik bir alenileştirme iradesi bulunduğu söylenemez. Nitekim m.6/3-(d), özel nitelikli veriler bakımından bu ölçütü açıkça “alenileştirme iradesine uygun” olma biçiminde formüle etmektedir.

2.3. Amaç sınırlaması ve saklama ilkeleri

KVKK m.4/2 veri işlemenin genel ilkelerini sayar: hukuka ve dürüstlük kurallarına uygunluk; doğru ve güncel olma; belirli, açık ve meşru amaçlar için işlenme; işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma; gerekli süre kadar muhafaza edilme.

Bu ilkelerin her biri, temel model (foundation model) mantığıyla yapısal gerilim içindedir. Temel modelin tanımlayıcı özelliği çok amaçlılıktır; oysa m.4/2-(c) belirli amaç arar. Model, verilerden çıkardığı örüntüyü parametrelerinde saklar; oysa m.4/2-(d) veri minimizasyonu arar. Model eğitildikten sonra da parametrelerinde eğitim verisinin izini taşır; oysa m.4/2-(d) saklama süresinin sınırlanmasını arar.

Buradan doğan en zor sorulardan biri şudur: bir modelden kişisel veri “silinebilir” mi? KVKK m.11/1-(e) ilgili kişiye bu yönde talep hakkı tanır. Ancak eğitim verisi, modelin ağırlıklarına dağılmış istatistiksel bir izdir; klasik anlamda bir kayıttan silinir gibi çıkarılamaz.

Burada Kanun’un lafzı, ilk bakışta göründüğünden daha esnektir. m.7/1, kişisel verilerin “silinir, yok edilir veya anonim hâle getirilir” biçiminde üç seçenekli bir yükümlülük öngörür. Anonim hâle getirme, m.3/1-(b) uyarınca verilerin “başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi”dir. Model ağırlıkları bakımından tartışılması gereken soru, silmenin imkânsızlığı değil; modelin belirli bir kişiyi yeniden tanınabilir kılacak bir iz taşıyıp taşımadığıdır. Model, eğitim verisindeki bir kişiyi yeniden üretebiliyorsa (ezberleme hâli) anonimlik sağlanmamıştır ve yükümlülük doğar; taşımıyorsa veri zaten anonimleşmiş sayılabilir.

Dolayısıyla buradaki sorun, seri boyunca savunulan tezin farklı bir görünümüdür: hüküm uygulanamaz değildir, fakat uygulanıp uygulanmadığının denetlenmesi teknik olarak son derece güçtür. Bir modelin belirli bir kişiye ilişkin iz taşımadığını ilgili kişinin ispat etmesi beklenemez.

3. Otomatik Kararlar: KVKK m.11/1-(g)’nin Yetersizliği

3.1. Hükmün metni ve kapsamı

KVKK’da algoritmik kararlara ilişkin tek hüküm m.11/1-(g)’dir. Buna göre herkes, veri sorumlusuna başvurarak “işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme” hakkına sahiptir.

Hüküm üç yönden dardır.

a) “Münhasıran” koşulu. Hak, yalnızca karar sürecinin tamamen otomatik olduğu hâllerde doğar. Sürece herhangi bir insanın dahil edilmesi hükmün uygulanmasını engeller. Uygulamada bu, kolayca aşılabilir bir eşiktir: sistemin ürettiği skoru onaylayan bir görevlinin bulunması, kararı “münhasıran otomatik” olmaktan çıkarır. Oysa gerçek koruma ihtiyacı, insanın sistemin çıktısını sorgulamadan onayladığı hâllerde doğar. Hüküm, tam da korunması gereken durumu kapsam dışında bırakma riski taşır.

b) “Aleyhe sonuç” koşulu. Hak, ancak kişi aleyhine bir sonuç doğduğunda kullanılabilir. Bir kişinin bir fırsattan haberdar edilmemesi, bir ilanın kendisine gösterilmemesi veya bir hizmete hiç davet edilmemesi gibi ihmal yoluyla dışlama hâllerinde, kişinin aleyhine bir “sonuç” doğduğunu ispat etmesi güçtür. Algoritmik ayrımcılığın en yaygın biçimi ise tam olarak budur.

c) Hakkın içeriği: yalnızca itiraz. En önemli eksiklik budur. Hüküm, kişiye yalnızca itiraz etme imkânı tanır. Şunları tanımaz:

• Kararın hangi ölçütlere dayandığının açıklanmasını isteme hakkı (açıklama hakkı),
• Kararın bir insan tarafından yeniden değerlendirilmesini isteme hakkı (insan müdahalesi),
• Belirli türden kararların tümüyle otomatik verilmesinin yasaklanması,
• Profilleme faaliyetine ilişkin özel bir rejim.

Bu tablo, Avrupa Birliği Genel Veri Koruma Tüzüğü’nün (GDPR) m.22 düzenlemesiyle karşılaştırıldığında belirginleşir. GDPR m.22, kural olarak kişinin münhasıran otomatik işlemeye dayalı ve kendisi bakımından hukuki sonuç doğuran veya benzer biçimde önemli ölçüde etkileyen bir karara tâbi tutulmama hakkı tanır; istisnai hâllerde dahi veri sorumlusuna insan müdahalesi talep edilebilmesi, görüş bildirilebilmesi ve karara itiraz edilebilmesi için uygun tedbirler alma yükümlülüğü yükler. KVKK ise yalnızca sonuncusunu, o da usulü belirlenmemiş biçimde düzenlemiştir.

3.2. İtiraz hakkının usulsüzlüğü

Hükmün pratik değerini düşüren ikinci nokta, itirazın sonucuna ilişkin düzenlemenin yetersizliğidir. Burada Kanun tümüyle sessiz değildir: m.13/2 uyarınca veri sorumlusu talebi “en kısa sürede ve en geç otuz gün içinde” sonuçlandırmak zorundadır; m.13/3 uyarınca ise “talebi kabul eder veya gerekçesini açıklayarak reddeder ve cevabını ilgili kişiye yazılı olarak veya elektronik ortamda bildirir.”

Dolayısıyla gerekçeli ret ve yazılı bildirim kanuni bir yükümlülüktür. Eksik olan, gerekçenin niteliğine ilişkin bir ölçüttür. Veri sorumlusunun “itirazınız değerlendirilmiş ve yerinde görülmemiştir” biçimindeki bir cevabı m.13/3’ün lafzını karşılar; ancak kişiye kararın hangi ölçüte dayandığını göstermez. Daha önemlisi, veri sorumlusunun itiraz üzerine kararı yeniden değerlendirme veya insan denetimine tâbi tutma yükümlülüğü düzenlenmemiştir. Hakkın zayıflığı, usulün yokluğundan değil, itirazın maddi sonucunun belirsizliğinden doğmaktadır.

3.3. Uygulamadaki yeri: yorumlanmış fakat işletilmemiş bir hüküm

Hükmün pratikteki ağırlığı, Kurul uygulamasından izlenebilir. Kişisel Verileri Koruma Kurulu, 23.12.2021 tarihli ve 2021/1303 sayılı kararında konuya ayrı bir başlık ayırmış; profillemeyi tanımlamış, m.11/1-(g)’nin ilgili kişiye itiraz hakkı tanıdığını belirtmiş ve münhasıran otomatik işleme ile kısmen otomatik işleme arasındaki ayrımı ortaya koymuştur. Karar, bir kişinin kara listeye alınması sonucunda hakkında otomatik bir karara varılması hâlinde bunun otomatik işleme sayılacağını kabul etmekte ve meşru menfaat denge testine ilişkin ölçütler geliştirmektedir.

Dolayısıyla hüküm tümüyle yorumsuz kalmış değildir. Buna karşılık dikkat çekici olan şudur: Kurul m.11/1-(g)’yi bu kararda tali biçimde ele almış; yapılan taramada hükmün tek başına bir ihlal tespitine ve yaptırıma dayanak yapıldığı bir Kurul kararına rastlanmamıştır. Aynı şekilde, taramada Anayasa Mahkemesi’nin doğrudan yapay zekâ, algoritma veya otomatik karar verme konulu bir kararına da ulaşılamamıştır.

Kişisel Verileri Koruma Kurumu’nun yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi ise, düzenleyicinin alana ilgisiz olmadığını göstermektedir. Ne var ki rehberler idari yorum değeri taşır; kanun hükmü gücünde değildir ve bireye doğrudan talep hakkı vermez.

Bu tablo şöyle okunmalıdır: m.11/1-(g) bilinmeyen bir hüküm değildir; fakat kişiye kararın mantığını öğrenme ve insan denetimi talep etme imkânı vermediği için uyuşmazlık üretecek bir hak hâline gelememiştir. Kredi skorlaması, sigorta primi belirleme, işe alım ön eleme ve reklam hedefleme uygulamalarının yaygınlığı karşısında bu durum, otomatik kararların azlığıyla değil, hakkın işletilebilir bir içeriğinin bulunmamasıyla açıklanabilir.

4. Şeffaflık ve Aydınlatma: Açıklanamayan Sistemin Açıklanması

KVKK m.10, veri sorumlusuna aydınlatma yükümlülüğü yükler: kimliği, işleme amacı, aktarılabileceği kişiler, toplama yöntemi ve hukuki sebebi ile m.11’deki haklar bildirilmelidir.

Buradaki güçlük kavramsaldır. Aydınlatma yükümlülüğü, veri sorumlusunun kendi işleme faaliyetini bildiğini varsayar. Oysa opak bir modelde, veri sorumlusu belirli bir çıktının hangi girdi özelliğinden kaynaklandığını çoğu zaman bilmez. “Verileriniz kredi değerlendirmesi amacıyla işlenecektir” biçimindeki bir metin, m.10’un lafzını karşılar; ancak kişiye hangi özelliğinin aleyhine sonuç doğurduğunu göstermez.

Kanaatimizce Türk hukukunda açıklama yükümlülüğünün dayanağı, m.10’un lafzından çok m.4/2-(a)’daki dürüstlük kuralıdır. Dürüstlük kuralı, kişinin kendisi hakkında verilen kararın mantığını anlamasını sağlayacak asgari bilgiyi almasını gerektirir. Bu yorum, Anayasa m.20/3’ün “kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme” hakkını açıkça güvence altına almasıyla da desteklenir. Ne var ki bu, kanun hükmünden doğrudan çıkan değil, yorum yoluyla ulaşılan bir sonuçtur ve kanun koyucunun açık düzenleme yapması gereğini ortadan kaldırmaz.

5. Biyometrik Veri: Kurul’un Etkin Olduğu Tek Alan

5.1. Rejim

KVKK m.6/1, 7499 sayılı Kanun’la yapılan değişiklik sonrasında da biyometrik ve genetik verileri özel nitelikli kişisel veri saymaktadır. m.6/3, bu verilerin işlenmesini kural olarak yasaklamakta; sayılan istisnalar dışında işlemeye izin vermemekte ve m.6/4 uyarınca Kurulca belirlenen yeterli önlemlerin alınmasını şart koşmaktadır.

5.2. Kurul içtihadının gelişimi

Kişisel Verileri Koruma Kurulu, biyometrik veri alanında istikrarlı bir uygulama geliştirmiştir. Spor salonlarına girişte avuç içi ve parmak izi kullanımına ilişkin kararlarında (örneğin 2019/81 ve 2019/165 sayılı kararlar ile 2020/167 sayılı karar), alternatif bir yöntem mevcutken biyometrik veri işlenmesinin m.4’teki ölçülülük ilkesine aykırı olduğu sonucuna varılmıştır. Belediyede memurun parmak iziyle mesai takibine ilişkin 2020/915 sayılı kararı da aynı yöndedir. 2020/649 sayılı kararda fizyolojik ve davranışsal biyometri ayrımı yapılmış; 2022/662 sayılı kararda el geometrisinin biyometrik veri olduğu kabul edilmiştir.

İşyerinde yüz tanıma sistemine ilişkin 2022/797 sayılı karar da bu çizgiyi teyit etmektedir: Kurul, açık rızanın unsurlarının karşılanmadığını, biyometrik verinin kanunda açık bir düzenleme bulunmaksızın işlenemeyeceğini ve açık rıza bulunsa dahi söz konusu işlemenin genel ilkelere aykırılık teşkil ettiğini belirtmiştir. Kurul’un biyometrik veri uygulaması, bu yönüyle istikrarlıdır.

5.3. 2026 tarihli İlke Kararı ve açık rızanın sınırı

Alandaki en güncel ve yapay zekâ tartışması bakımından en verimli düzenleme, Kurul’un mesai takibi amacıyla biyometrik veri işlenmesine ilişkin 29.04.2026 tarihli ve 2026/921 sayılı İlke Kararı‘dır. Karara göre, işçi-işveren ilişkisinde mevcut olan yapısal güç dengesizliği, açık rızanın özgür iradeye dayanıp dayanmadığı konusunda ciddi tereddütler doğurmakta; mesai takibinde biyometrik verinin yalnızca açık rızaya dayanılarak işlenmesi kural olarak yeterli bir hukuki zemin oluşturmamaktadır. Kurul, amaca uygunluk, alternatiflerin tüketilmesi ve müdahalenin boyutu şeklinde üçlü bir ölçüt kurmuş; bu ölçütleri karşılamayan bir uygulamanın ilgili kişinin açık rızası bulunsa dahi hukuka aykırı sayılacağını belirtmiştir.

Kararın sonucu, bir ölçüt koymakla sınırlı değildir. Kurul, mesai takibi amacıyla biyometrik veri işlenmesinin m.6/3’te sayılan işleme şartlarından hiçbirine dayanmadığını tespit etmiş; bu amacın şifreli kart, PIN, RFID-NFC tabanlı sistemler veya imza çizelgesi gibi alternatif yöntemlerle sağlanması gerektiğini belirtmiştir. Dolayısıyla karar, uygulamada kategorik bir yasağa yakın bir sonuç doğurmaktadır.

Bu ilke kararının yapay zekâ bakımından değeri, biyometrik veriyle sınırlı değildir. Kurul’un, iş ilişkisindeki yapısal güç dengesizliğinin açık rızanın özgürlüğünü tartışmalı kıldığı yönündeki yaklaşımı, algoritmik uygulamaların büyük çoğunluğuna aktarılabilir niteliktedir. Kullanıcının hizmeti alabilmek için tek seçeneği olarak sunulan bir onay kutusuna tıklaması, bu ölçüt karşısında geçerli açık rıza sayılmayabilecektir. Kanaatimizce Kurul’un bu yaklaşımı, m.11/1-(g)’nin bıraktığı boşluğu kısmen doldurabilecek en umut verici içtihadi gelişmedir.

5.4. Avrupa İnsan Hakları Mahkemesi ölçütü

Yüz tanıma teknolojisi bakımından AİHM’in ilk esaslı kararı Glukhin/Rusya kararıdır (B.No 11519/20, 04.07.2023). Mahkeme, metroda canlı yüz tanıma sistemiyle teşhis ve yakalamanın Sözleşme m.8 anlamında müdahale oluşturduğunu; yüz tanıma uygulamasında kapsamı düzenleyen ayrıntılı kurallar ve kötüye kullanıma karşı güçlü güvenceler bulunması gerektiğini, canlı yüz tanımada bu ihtiyacın daha da büyüdüğünü belirtmiş ve ilgili ulusal hukukun kanunilik ölçütünü karşılamadığı sonucuna varmıştır. Kararda ayrıca, barışçıl bir protestoya katılım gibi siyasi görüş açığa vuran verilerin hassas veri kategorisinde olduğu vurgulanmıştır.

Mahkeme’nin daha eski fakat kurucu nitelikteki S. ve Marper/Birleşik Krallık kararında (B.No 30562/04 ve 30566/04, 04.12.2008), beraat edenlerin DNA ve parmak izi kayıtlarının süresiz saklanması m.8’e aykırı bulunmuş; modern bilimsel tekniklerin “her ne pahasına olursa olsun” kullanılmasının m.8 korumasını kabul edilemez ölçüde zayıflatacağı belirtilmiştir. Bu ölçüt, teknolojik imkânın tek başına hukuka uygunluk gerekçesi olamayacağını ifade etmesi bakımından yapay zekâ tartışmasının merkezindedir.

6. Algoritmik Ayrımcılık

6.1. Olgunun niteliği

Algoritmik ayrımcılık, çoğu zaman kötü niyetten değil, veriden doğar. Model, geçmiş kararların örüntüsünü öğrenir; geçmiş kararlar ayrımcılık içeriyorsa, model bu ayrımcılığı istatistiksel bir kurala dönüştürerek geleceğe taşır. Üstelik korunan özellik (cinsiyet, etnik köken, din) modelden çıkarılsa dahi, bu özellikle bağıntılı vekil değişkenler (ikamet edilen mahalle, mezun olunan okul, ad) aynı sonucu üretmeye devam edebilir. Bu nedenle algoritmik ayrımcılık tipik olarak dolaylı ayrımcılık biçiminde ortaya çıkar.

6.2. Anayasal çerçeve ve sınırı

Anayasa m.10, herkesin dil, ırk, renk, cinsiyet, siyasi düşünce, felsefi inanç, din, mezhep ve benzeri sebeplerle ayırım gözetilmeksizin kanun önünde eşit olduğunu düzenler ve son fıkrasında devlet organları ile idare makamlarının bütün işlemlerinde kanun önünde eşitlik ilkesine uygun hareket etmek zorunda olduklarını belirtir.

Hükmün lafzı, doğrudan devlet organları ve idare makamlarını muhataptır. İdarenin algoritmik karar araçları kullanması hâlinde m.10 doğrudan uygulanır. Buna karşılık özel hukuk kişilerinin algoritmik uygulamaları bakımından m.10’un doğrudan yatay etkisi tartışmalıdır; bu alanda 6701 sayılı Türkiye İnsan Hakları ve Eşitlik Kurumu Kanunu ile iş hukuku ve borçlar hukukunun genel hükümleri devreye girer. Türk hukukunda algoritmik ayrımcılığa özgü bir düzenleme bulunmamaktadır.

6.3. İspat sorunu ve Türk hukukundaki hazır çözüm: İş Kanunu m.5

Ayrımcılık iddiasında bulunan kişi, kural olarak farklı muameleye tâbi tutulduğunu ispat etmek zorundadır. Algoritmik kararda bu, imkânsıza yakındır: kişi yalnızca kendi sonucunu bilir, başkalarına ne yapıldığını bilmez; karşılaştırma yapabileceği veri kümesine erişimi yoktur.

Bu açmazın çözümü, sanılanın aksine yalnızca uluslararası içtihatta değil, Türk pozitif hukukunda da mevcuttur. 4857 sayılı İş Kanunu’nun eşit davranma ilkesini düzenleyen 5. maddesinin son fıkrası şu hükmü içerir:

“20 nci madde hükümleri saklı kalmak üzere işverenin yukarıdaki fıkra hükümlerine aykırı davrandığını işçi ispat etmekle yükümlüdür. Ancak, işçi bir ihlalin varlığı ihtimalini güçlü bir biçimde gösteren bir durumu ortaya koyduğunda, işveren böyle bir ihlalin mevcut olmadığını ispat etmekle yükümlü olur.“

Bu hüküm, ispat yükünün yer değiştirmesi tekniğinin Türk hukukuna yabancı olmadığını göstermekle kalmaz; algoritmik ayrımcılık bakımından doğrudan işletilebilir bir araç sunar. İşe alım veya terfi süreçlerinde algoritmik bir araç kullanan işveren karşısında işçinin, sonucun belirli bir grup aleyhine sistematik biçimde farklılaştığını güçlü bir ihtimal düzeyinde göstermesi yeterlidir; bundan sonra ihlalin bulunmadığını ispat yükü işverene geçer. İşveren bu yükü ancak sistemin işleyişine ilişkin belge ve kayıtları sunarak karşılayabilir — yani hükmün doğal sonucu, algoritmik şeffaflıktır.

Ayrıca m.5/6 uyarınca işçi, dört aya kadar ücreti tutarında bir tazminattan başka yoksun bırakıldığı hakları da talep edebilir. Dolayısıyla iş ilişkisi bakımından hem ispat kolaylığı hem yaptırım mevcuttur. Türk hukukunun eksiği, tekniğin bulunmaması değil; bu tekniğin iş ilişkisi dışındaki algoritmik kararlara (kredi, sigorta, kamu hizmetine erişim) genelleştirilmemiş olmasıdır.

6.4. Uluslararası ölçüt: dolaylı ayrımcılıkta istatistiksel ispat

Aynı teknik, Avrupa İnsan Hakları Mahkemesi içtihadında da yerleşiktir. D.H. ve Diğerleri/Çek Cumhuriyeti kararında (B.No 57325/00, 13.11.2007) Büyük Daire, görünüşte nötr bir uygulamanın belirli bir grup üzerinde orantısız olumsuz etki doğurmasının dolaylı ayrımcılık oluşturabileceğini; bu etkinin istatistiksel verilerle ortaya konulabileceğini ve bu takdirde ispat yükünün karşı tarafa geçerek uygulamanın nesnel ve makul gerekçesini göstermesi gerektiğini kabul etmiştir. Biao/Danimarka kararı (B.No 38590/10, 24.05.2016) da görünüşte nötr bir kuralın dolaylı etnik ayrımcılık doğurabileceğini teyit etmiştir.

Bu doktrin, algoritmik ayrımcılık için doğrudan uygulanabilir niteliktedir; zira algoritmanın ayrımcı etkisi tam olarak istatistiksel bir olgudur. Etnik profilleme iddiasının etkili biçimde soruşturulmamasını m.14 ile m.8’in birlikte ihlali sayan Basu/Almanya kararı (B.No 215/19, 18.10.2022) da, profillemeye dayalı uygulamalarda devletin usuli yükümlülüğünü ortaya koyar.

Bununla birlikte, yapılan taramada AİHM’in doğrudan algoritmik ayrımcılık konulu bir kararına rastlanmamıştır; anılan kararlar analojik dayanaklardır. Türk hukuku bakımından ise dolaylı ayrımcılıkta istatistiksel ispat ve ispat yükünün yer değiştirmesi doktrini henüz yerleşmiş değildir. Kanaatimizce algoritmik ayrımcılıkla mücadelenin anahtarı, yeni bir yasak ihdas etmekten çok, bu ispat tekniğinin Türk yargı uygulamasına aktarılmasıdır.

7. Türk Yargısında Veriye Dayalı Etiketleme: Mevcut Emsaller

Anayasa Mahkemesi’nin, otomatik karar konulu olmamakla birlikte, kamu veri sistemlerinde üretilen hatalı ve damgalayıcı etiketlere ilişkin kararları algoritmik uygulamalar bakımından doğrudan emsal değeri taşır.

K.B.A. başvurusunda (B.No 2020/7358, 03.10.2024), UYAP kayıtlarında hakkında şikâyet bulunmamasına rağmen kişinin “şikâyet edilen” olarak görünmesi ve bu kaydın silinmemesi, kişisel verilerin korunmasını isteme hakkı ile etkili başvuru hakkının ihlali sayılmıştır. K.Y. başvurusunda (B.No 2019/27389, 20.12.2022), SGK kayıt sorgulama belgesinde “kamu kurumundan ihraç edilmiştir” ibaresinin yer alması ihlal olarak değerlendirilmiştir.

Bu iki karar, bir veri sisteminin ürettiği etiketin kendi başına temel hak ihlali oluşturabileceğini göstermesi bakımından önemlidir. Algoritmik risk skorları da nihayetinde birer etikettir; bu içtihat çizgisinin onlara uzatılması hukuken mümkündür. Benzer şekilde, güvenlik soruşturmasında kişisel veri kullanımına ilişkin kararlar (örneğin Orhan Özkan ve Diğerleri, B.No 2019/19102, 04.10.2023) profillemeye dayalı idari kararların denetimi bakımından kullanılabilir. Sağlık verisine dayalı ayrımcılık yönünden ise T.A.A. başvurusu (B.No 2014/19081, 01.02.2017) özel nitelikli veri ile eşitlik ilkesinin kesişimini göstermektedir.

8. Değerlendirme ve Öneriler

Bu bölümde ulaşılan sonuçlar şunlardır:

1. Model eğitimi KVKK anlamında veri işlemedir; ancak internetten toplanan veriyle eğitim için uygun bir hukuka uygunluk sebebi bulmak güçtür.
2. Otomatik kararlara ilişkin tek hüküm olan m.11/1-(g), açıklama hakkı ve insan müdahalesi güvencesi içermediğinden içeriği eksik bırakılmış bir haktır. Kurul hükmü 2021/1303 sayılı kararında yorumlamış; ancak yapılan taramada hüküm tek başına bir ihlal tespitine dayanak yapılmamıştır.
3. Biyometrik veri, Kurul’un yapay zekâya en yakın alanda istikrarlı içtihat ürettiği alandır. 2026/921 sayılı İlke Kararı’nda benimsenen, iş ilişkisindeki güç dengesizliğinin açık rızayı tartışmalı kıldığı yaklaşımı, algoritmik uygulamaların geneline aktarılabilecek bir ölçüt sunmaktadır.
4. Algoritmik ayrımcılığa özgü bir düzenleme bulunmamakla birlikte, ispat yükünün yer değiştirmesi tekniği İş Kanunu m.5/son’da zaten pozitif hukukun parçasıdır. Eksik olan, bu tekniğin iş ilişkisi dışına genelleştirilmemiş olmasıdır.

Öneriler: (i) KVKK m.11/1-(g), açıklama hakkı ve insan müdahalesi talep etme hakkını içerecek biçimde yeniden düzenlenmelidir. (ii) “Münhasıran” ölçütü, insan onayının biçimsel kaldığı hâlleri de kapsayacak şekilde etkili insan gözetimi ölçütüne dönüştürülmelidir. (iii) Yüksek etkili otomatik kararlarda gerekçe bildirimi zorunlu kılınmalı; m.13/3’teki gerekçeli ret yükümlülüğü, kararın dayandığı başlıca ölçütlerin bildirilmesini kapsayacak biçimde somutlaştırılmalıdır. (iv) İş Kanunu m.5/son’daki ispat yükü kuralı, iş ilişkisi dışındaki yüksek etkili algoritmik kararlar bakımından da genel bir hükümle benimsenmelidir.

Sık Sorulan Sorular (SSS)

Hakkımda tamamen bilgisayar tarafından verilen bir karara itiraz edebilir miyim?

KVKK m.11/1-(g) uyarınca, verilerinizin münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonuç doğmuşsa veri sorumlusuna başvurarak itiraz edebilirsiniz. Ancak Kanun, kararın gerekçesinin açıklanmasını veya bir insan tarafından yeniden değerlendirilmesini isteme hakkını açıkça düzenlememiştir.

Yapay zekâ şirketleri verilerimi eğitimde kullanabilir mi?

Ancak KVKK’daki bir hukuka uygunluk sebebine dayanmaları hâlinde. İnternette paylaşılmış olmak, tek başına her türlü kullanıma izin verildiği anlamına gelmez; alenileştirme, kişinin alenileştirme iradesine uygun kullanımla sınırlıdır.

İşyerinde parmak izi veya yüz tanıma ile mesai takibi yapılabilir mi?

Kurul’un 2026/921 sayılı İlke Kararı uyarınca, işçi-işveren ilişkisindeki güç dengesizliği nedeniyle yalnızca açık rızaya dayanmak kural olarak yeterli değildir. Amaca uygunluk, alternatiflerin tüketilmiş olması ve müdahalenin ölçülülüğü aranır; bu ölçütler karşılanmıyorsa açık rıza bulunsa dahi uygulama hukuka aykırıdır.

Bir algoritmanın bana ayrımcılık yaptığını nasıl ispat edebilirim?

İş ilişkisi bakımından İş Kanunu m.5/son doğrudan bir kolaylık sağlar: işçi bir ihlal ihtimalini güçlü biçimde gösteren bir durumu ortaya koyduğunda, ihlalin bulunmadığını ispat yükü işverene geçer. İş ilişkisi dışındaki algoritmik kararlarda ise böyle genel bir hüküm bulunmamaktadır; bu hâllerde AİHM’in dolaylı ayrımcılıkta istatistiksel ispatı kabul eden içtihadına dayanılması gerekir.

Sonuç

Kişisel verilerin korunması alanı, serinin tezini destekler; ancak beklenenden daha karmaşık bir tabloyla. KVKK, otomatik kararlar bakımından bir hüküm içermektedir ve bu hüküm Kurul tarafından yorumlanmıştır da. Buna karşılık hüküm, kişiye kararın mantığını öğrenme ve insan denetimi talep etme imkânı vermediğinden uyuşmazlık üretecek bir hak hâline gelememiştir. Sorun hükmün yokluğu değil, içeriğinin eksikliğidir.

Aynı alan, çözümün nereden geleceğini de göstermektedir; hem de iki ayrı yerden. Birincisi, Kurul’un biyometrik veri içtihadında geliştirdiği ölçülülük testi ve açık rızanın güç dengesizliği karşısında sakatlanabileceği yaklaşımıdır. İkincisi ve daha önemlisi, İş Kanunu m.5/son’daki ispat yükü kuralıdır: Türk hukuku, algoritmik ayrımcılıkla mücadele için gereken ispat tekniğini zaten üretmiştir; onu yalnızca dar bir alanda tutmaktadır. Bu tespit, serinin genel tezini bir yönüyle sınırlandırmaktadır — çöküş her alanda aynı derinlikte değildir.

Serinin dördüncü bölümünde, üretken yapay zekânın ürettiği çıktının FSEK anlamında eser sayılıp sayılamayacağı ve eğitim verisinin telif hukuku karşısındaki durumu incelenecektir.

Kaynakça

Doktrin

• BADUR, Emel: “Yapay Zeka Sistemleri Kullanılarak Yapılan İşleme Faaliyetlerinde Kişisel Verilerin Korunması”, Selçuk Üniversitesi Hukuk Fakültesi Dergisi, 2024, s. 2525-2560. DOI: 10.15337/suhfd.1522309
• BOZKURT GÜMRÜKÇÜOĞLU, Yeliz / YAKACAK, Gülnihal Ahter: “Yapay Zekanın İşe Alım Süreçlerinde Kullanımı ve Algoritmik Ayrımcılık”, Ankara Üniversitesi Hukuk Fakültesi Dergisi, 2023, s. 1701-1757. DOI: 10.33629/auhfd.1403311
• BÜYÜKSAĞIŞ, Erdem: “Yapay Zeka Karşısında Kişisel Verilerin Korunması ve Revizyon İhtiyacı”, Yeditepe Üniversitesi Hukuk Fakültesi Dergisi, 2021, s. 529-541.
• ÇANKAYA, Yiğitcan: “Algoritmik Yönetim Kapsamında İşçinin İzlenmesi”, Terazi Hukuk Dergisi, 2024, s. 39-48.
• ÇETİN, Belgin / KÖSEOĞLU, Nihan: “Avrupa’da Dijital Etik, İnsan Hakları Bağlamında Yapay Zekâ ve Algoritmik Ayrımcılık”, Kastamonu Üniversitesi İktisadi ve İdari Bilimler Fakültesi Dergisi, 2024, s. 69-83. DOI: 10.21180/iibfdkastamonu.1384167
• OĞUZ, Özgür: “Çalışma Hayatında Algoritmik Ayrımcılık”, Süleyman Demirel Üniversitesi Hukuk Fakültesi Dergisi, 2024, s. 1851-1886. DOI: 10.52273/sduhfd..1581436
• UGAN ÇATALKAYA, Deniz / HEPER, Hande / GÜZEL, Ali: “İş Hukukunun Yapay Zeka ile Buluşması: İşverenin Algoritmik Yönetimi”, Hukuk ve Adalet Eleştirel Hukuk Dergisi, 2023, s. 25-110.

Mevzuat: 6698 sayılı Kişisel Verilerin Korunması Kanunu (7499 sayılı Kanun ile değişik hâliyle) · 4857 sayılı İş Kanunu · 6701 sayılı Türkiye İnsan Hakları ve Eşitlik Kurumu Kanunu · 2709 sayılı Türkiye Cumhuriyeti Anayasası.

Kurul kararları: KVKK Kurulu 2021/1303, 2019/81, 2019/165, 2020/167, 2020/649, 2020/915, 2022/662, 2022/797 sayılı kararları ve 29.04.2026 tarihli 2026/921 sayılı İlke Kararı. Ayrıca Kişisel Verileri Koruma Kurumu, Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi.

Yargı kararları: AYM, K.B.A., B.No 2020/7358, 03.10.2024 · AYM, K.Y., B.No 2019/27389, 20.12.2022 · AYM, T.A.A., B.No 2014/19081, 01.02.2017 · AYM, Orhan Özkan ve Diğerleri, B.No 2019/19102, 04.10.2023 · AİHM, Glukhin/Rusya, B.No 11519/20, 04.07.2023 · AİHM, S. ve Marper/Birleşik Krallık, B.No 30562/04 ve 30566/04, 04.12.2008 · AİHM, D.H. ve Diğerleri/Çek Cumhuriyeti, B.No 57325/00, 13.11.2007 · AİHM, Biao/Danimarka, B.No 38590/10, 24.05.2016 · AİHM, Basu/Almanya, B.No 215/19, 18.10.2022.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş niteliği taşımaz. Her uyuşmazlığın kendine özgü koşulları vardır; somut olayınız için mutlaka bir avukata danışınız.

Yararlanılan Mevzuat

• Türkiye Cumhuriyeti Anayasası m.10
• Türkiye Cumhuriyeti Anayasası m.20
• 4857 sayılı İş Kanunu m.5
• 6698 sayılı Kişisel Verilerin Korunması Kanunu m.3
• 6698 sayılı Kişisel Verilerin Korunması Kanunu m.4
• 6698 sayılı Kişisel Verilerin Korunması Kanunu m.5
• 6698 sayılı Kişisel Verilerin Korunması Kanunu m.6
• 6698 sayılı Kişisel Verilerin Korunması Kanunu m.10
• 6698 sayılı Kişisel Verilerin Korunması Kanunu m.11

Yayın tarihi: 30.07.2026 · Son güncelleme: 30.07.2026

Hazırlayan: Av. Şerafettin Kaya · Gebze / Kocaeli · +90 534 545 23 32 · www.serafettinkaya.av.tr