Avukatlar Yapay Zekâ Kullanırken KVKK'ya Nasıl Uyar?

Avukatlar yapay zekâ kullanırken KVKK'ya uymak için üç soruyu yanıtlamalıdır: gönderilen veri kişisel veya özel nitelikli kişisel veri mi (KVKK m.6), veri yurt dışına aktarılıyor mu (KVKK m.9) ve bu aktarım avukatın sır saklama yükümlülüğüyle (Avukatlık Kanunu m.36) bağdaşıyor mu. Pratikte bu; gereksiz veriyi göndermemek, yurt dışı aktarım için uygun hukuki dayanak ve güvenceyi sağlamak, hizmet sağlayıcıyla veri işleyen sözleşmesi yapmak ve hassas dosyaları yapay zekâdan uzak tutmak anlamına gelir.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş değildir. Somut durumlarda güncel mevzuatı, Kişisel Verileri Koruma Kurulu kararlarını ve rehberlerini ayrıca incelemenizi öneririz. Yapay zekâ araçlarına genel bakış için avukatlar için yapay zekâ uygulamaları yazımızı okuyabilirsiniz.

Avukatlık işinde yapay zekâ neden özel KVKK dikkati gerektirir?

Avukatlık dosyaları neredeyse her zaman kişisel veri, çoğu zaman da özel nitelikli kişisel veri içerdiği için yapay zekâ kullanımı sıradan bir yazılım kullanımından daha yüksek risk taşır. Bir bilirkişi raporu sağlık bilgisi, bir ceza dosyası mahkûmiyet ve güvenlik tedbiri bilgisi, bir iş davası sendika üyeliği bilgisi içerebilir.

Buna üç ek faktör eklenir:

• Yapay zekâ hizmetlerinin çoğu yurt dışındadır. Belgeyi özetletmek için gönderdiğinizde veri büyük olasılıkla Türkiye dışındaki bir sunucuda işlenir.
• Müvekkil dışındaki kişilerin verisi de vardır. Karşı taraf, tanıklar, çocuklar; bunların hiçbiriyle sizin doğrudan bir sözleşmeniz yoktur.
• Sır saklama yükümlülüğü KVKK'dan bağımsızdır. KVKK'ya uygun bir aktarım bile, sırrın ifşası niteliği taşıyorsa meslek kuralları açısından sorun doğurabilir.

KVKK m.6 özel nitelikli kişisel veri neleri kapsar?

6698 sayılı KVKK m.6'ya göre ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler özel nitelikli kişisel veridir.

2024 yılında 7499 sayılı Kanun ile m.6'da değişiklik yapılmış ve özel nitelikli verilerin hangi şartlarla işlenebileceği yeniden düzenlenmiştir. Değişiklikle sayılan işleme şartları arasında, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması da yer almaktadır. Bu şart avukatlık faaliyeti açısından önemlidir, ancak verinin bir yapay zekâ hizmetine, hele yurt dışına gönderilmesinin de bu zorunluluk kapsamında olup olmadığı ayrıca değerlendirilmelidir. Bir belgeyi özetletmek çoğu zaman "zorunlu" değil, "kolaylaştırıcı" bir işlemdir.

Ayrıca özel nitelikli veriler için Kurul'un belirlediği yeterli önlemlerin alınması gerekir.

Avukat için pratik sonuç

Ceza, sağlık, aile ve iş hukuku dosyalarında yapay zekâ kullanımını en aza indirmek, kullanılacaksa veriyi önce maskelemek en güvenli yoldur. Maskeleme yöntemi için müvekkil verisi maskeleme yazımıza bakabilirsiniz.

KVKK m.9 yurt dışı aktarım kuralları nasıl işler?

2024 değişikliğinden sonra KVKK m.9, kişisel verilerin yurt dışına aktarılmasını kademeli bir sisteme bağlar: önce yeterlilik kararı, yoksa uygun güvenceler, o da yoksa sınırlı istisnai durumlar. Değişiklik 7499 sayılı Kanun ile yapılmış ve 1 Haziran 2024'te yürürlüğe girmiştir.

Kademe	Ne demek?	Avukat açısından not
1. Yeterlilik kararı	Kurul'un bir ülke, sektör veya uluslararası kuruluş için yeterli koruma bulunduğuna karar vermesi	Yeterlilik kararı yoksa bu yol kullanılamaz
2. Uygun güvenceler	Standart sözleşme, bağlayıcı şirket kuralları, kamu kurumları arası anlaşmalar, taahhütname	Yapay zekâ sağlayıcısıyla en olası yol standart sözleşmedir
3. Arızi istisnalar	Açık rıza (riskler hakkında bilgilendirilerek), sözleşmenin ifası, bir hakkın tesisi gibi durumlar	Yalnız arızi (düzenli olmayan) aktarımlar için; sürekli kullanılan bir yazılım için dayanak olması tartışmalıdır

Standart sözleşme ve 5 iş günü bildirimi

Uygun güvence olarak standart sözleşme kullanılıyorsa, sözleşme Kurul'un ilan ettiği metne uygun olmalı ve imzalandıktan sonra 5 iş günü içinde Kurul'a bildirilmelidir. Kurul, farklı aktarım senaryoları için (veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene gibi) ayrı standart sözleşme metinleri yayımlamıştır. Bu metinlerin değiştirilmeden kullanılması gerekir.

Açık rıza neden tek başına yeterli değil?

Değişiklikten sonra açık rıza, yalnız arızi aktarımlarda ve ilgili kişi olası riskler hakkında bilgilendirilmişse dayanak olabilir. Ayrıca bir belgedeki karşı taraf veya tanıkların rızasını almak pratikte mümkün değildir. Bu nedenle "müvekkilden rıza aldım" demek, belgedeki diğer kişilerin verisi için çözüm sunmaz.

Veri sorumlusu ve veri işleyen ayrımı avukat için ne ifade eder?

Avukat (veya avukatlık bürosu), müvekkil dosyalarındaki kişisel veriler açısından genellikle veri sorumlusudur; yapay zekâ hizmeti veya büro yazılımı sağlayıcısı ise avukat adına veri işleyen konumundadır. Bu ayrım, yükümlülüklerin kimde olduğunu belirler.

• Veri sorumlusu (avukat): İşleme amacını ve aracını belirler; aydınlatma yükümlülüğü, veri güvenliği, gerekiyorsa VERBİS kaydı ve yurt dışı aktarım şartlarının sağlanması onun sorumluluğundadır.
• Veri işleyen (sağlayıcı): Veriyi yalnız veri sorumlusunun talimatıyla işler; güvenlik önlemlerinden veri sorumlusuyla birlikte müştereken sorumludur (KVKK m.12/2).

Pratikte bir avukat, kullandığı yazılım veya yapay zekâ hizmetiyle yazılı bir veri işleme sözleşmesi (DPA) bulunduğundan, verinin nerede saklandığından ve alt işleyenlerin kimler olduğundan emin olmalıdır. Sağlayıcının kendi amacı için (ör. model eğitimi) veriyi kullanması, veri işleyen rolünün dışına çıkması anlamına gelebilir.

Avukatın sır saklama yükümlülüğü yapay zekâ kullanımını nasıl etkiler?

Avukatlık Kanunu m.36, avukatın kendisine tevdi edilen veya avukatlık görevi nedeniyle öğrendiği hususları açığa vurmasını yasaklar; bu yükümlülük KVKK uyumundan ayrı ve ondan daha geniş bir yükümlülüktür. Sır yalnız kişisel veriyi değil, müvekkilin ticari bilgisini, stratejisini ve dosyadaki her türlü bilgiyi kapsayabilir.

Yapay zekâ açısından bu şu soruları doğurur:

1. Belgeyi işleyen sağlayıcı, sırrı öğrenen üçüncü kişi sayılır mı, yoksa avukatın yardımcı aracı mıdır?
2. Sağlayıcı, gönderilen içeriği saklıyor, insan incelemesine açıyor veya eğitimde kullanıyor mu?
3. Sözleşmede gizlilik yükümlülüğü ve silme taahhüdü var mı?

Bu konuda Türkiye Barolar Birliği veya baroların yayımladığı rehber ve tavsiyeleri izlemenizi öneririz. Yaklaşım olarak, sağlayıcıyı bir "yardımcı" gibi düşünüp sözleşmeyle gizlilik altına almak ve gereksiz bilgiyi hiç göndermemek makul bir çizgidir.

Avukatlar için yapay zekâ KVKK uyum kontrol listesi

Aşağıdaki 10 adım, bir büronun yapay zekâ kullanımını KVKK ve sır saklama açısından düzenlemesine başlangıç sağlar.

1. Envanter çıkarın: Büroda hangi yapay zekâ araçlarının, kim tarafından, hangi veriyle kullanıldığını listeleyin.
2. Veri minimizasyonu uygulayın: İşin gerektirmediği ad, TCKN, adres, sağlık bilgisi gibi verileri göndermeyin.
3. Hassas dosyaları ayırın: Ceza, sağlık ve aile dosyalarını varsayılan olarak yapay zekâ dışında tutun.
4. Sunucu konumunu öğrenin: Verinin hangi ülkede işlendiğini sağlayıcıya yazılı sorun.
5. Aktarım dayanağını belirleyin: Yurt dışı aktarım varsa m.9 kapsamındaki dayanağı (çoğunlukla standart sözleşme) belgeleyin.
6. Bildirimi takip edin: Standart sözleşme imzalandıysa Kurul'a süresi içinde bildirim yapıldığını kontrol edin.
7. Veri işleyen sözleşmesi yapın: Gizlilik, alt işleyenler, silme ve ihlal bildirimi maddelerini içersin.
8. Aydınlatma metnini güncelleyin: Müvekkil aydınlatma metninde hizmet sağlayıcılara ve yurt dışı aktarıma yer verin.
9. Erişimi sınırlayın: Büro içinde kimin hangi dosyayı yapay zekâya gönderebileceğini rollerle belirleyin.
10. Çıktıyı doğrulayın: Yapay zekâ çıktısını kaynak değil taslak sayın; bkz. yapay zekâ ve uydurma içtihat riski.

Av. Asistan yapay zekâ özelliklerinde gizliliği nasıl ele alıyor?

Av. Asistan, UYAP ve UETS verisini tarayıcı eklentisiyle otomatik aktaran, Türk avukatlar için yapay zekâ destekli büro yönetim uygulamasıdır. Av. Asistan yapay zekâ asistanı; belge özeti, aynı belge üzerinde soru sorma, OCR ve emsal aramada sorgu geliştirme işlerini yapar. Bu işlerde aşağıdaki kontroller uygulanır:

Kontrol	Nasıl çalışır?	Hangi riski azaltır?
İlk kullanımda açık onay	Yurt dışı aktarım bilgilendirmesi gösterilir; onay yoksa istek sunucuda reddedilir	Bilgilendirilmeden aktarım
Ceza dosyalarında kapalı	Yapay zekâ ceza dosyalarında sunucu tarafında devre dışıdır	Mahkûmiyet ve güvenlik tedbiri gibi özel nitelikli veri
Tebligatlar hariç	Tebligatlar ve ekleri hiçbir koşulda yapay zekâya gitmez	Tebligat eklerindeki yoğun kişisel veri
Dosya bazlı işaret	Herhangi bir dosya "yapay zekâya gönderme" olarak işaretlenebilir	Hassas dosyaların yanlışlıkla gönderilmesi
Çıktı kaynak değildir	Kullanıcıya çıktının doğrulanması gerektiği hatırlatılır	Hatalı özete veya alıntıya dayanma

Bu kontroller avukatın kendi KVKK yükümlülüklerini ortadan kaldırmaz; ancak yukarıdaki kontrol listesindeki minimizasyon ve hassas dosya ayrımı adımlarını uygulamayı kolaylaştırır. Yapay zekâ asistanı hukuki görüş vermez, süre hesaplamaz ve dilekçe yazmaz.

Emsal karar tarafında, emsal karar arama sorguları saklanmaz. UYAP ve UETS tarafında e-imza ve PIN tarayıcıdan çıkmaz; ayrıntılar UYAP entegrasyonu sayfasında ve UYAP entegre avukat programları yazımızda yer alıyor.

ChatGPT gibi genel araçları kullanırken KVKK açısından ne yapmalısınız?

Genel bir yapay zekâ aracına müvekkil verisi girmeden önce veriyi maskelemeli, kurumsal sürümün veri koşullarını okumalı ve yurt dışı aktarım dayanağını değerlendirmelisiniz. Kişisel veri içermeyen işlerde (anonim metin düzeltme, kavram açıklaması) risk çok daha düşüktür.

• Ad, TCKN, adres, telefon, dosya numarası ve plaka gibi tanımlayıcıları çıkarın.
• Sağlık, ceza ve aile bilgisi içeren metinleri genel araçlara hiç göndermeyin.
• Sohbet geçmişi ve eğitim ayarlarını kontrol edin.
• Büro hesaplarını kişisel hesaplardan ayırın.

İki yaklaşımın karşılaştırması için ChatGPT mi, hukuka özel yapay zekâ mı yazımıza bakabilirsiniz.

Ayrıca okuyun: Avukatlık Bürosunda Rol ve Yetki: Sekreter ve Stajyer Neyi Görmeli?, Hukuk Bürosu İçin Siber Güvenlik: 12 Temel Önlem

Sık Sorulan Sorular

Müvekkilden açık rıza alırsam yapay zekâ kullanmam serbest mi?

Tek başına yeterli olmayabilir. 2024 değişikliğinden sonra açık rıza yurt dışı aktarımda yalnız arızi durumlar için dayanaktır; belgedeki karşı taraf ve tanıkların verisi için de çözüm sunmaz. Ayrıca sır saklama yükümlülüğü ayrıca değerlendirilmelidir.

Yapay zekâ sağlayıcısıyla standart sözleşme yapmak kimin işi?

Aktarımı yapan taraf veri sorumlusu veya veri işleyen olabilir; senaryoya göre farklı standart sözleşme metni kullanılır. Bir büro yazılımı üzerinden yapay zekâ kullanıyorsanız, yazılım sağlayıcısına alt işleyenle hangi sözleşmenin yapıldığını ve Kurul'a bildirim yapılıp yapılmadığını sorun.

Standart sözleşme Kurul'a ne zaman bildirilmelidir?

Standart sözleşmenin imzalanmasından itibaren 5 iş günü içinde Kurul'a bildirilmesi gerekir.

Ceza dosyasında yapay zekâ kullanabilir miyim?

Ceza dosyaları mahkûmiyet ve güvenlik tedbiri gibi özel nitelikli veri içerdiği için yüksek risklidir. Av. Asistan'da yapay zekâ ceza dosyalarında sunucu tarafında kapalıdır. Genel araçlarda ise bu tür metinleri göndermemenizi öneririz.

Yapay zekâ çıktısını saklamak da kişisel veri işleme midir?

Evet. Bir özet veya analiz kişisel veri içeriyorsa, onu dosyada saklamak da işlemedir ve dosyanın kendisiyle aynı güvenlik ve saklama kurallarına tabi olmalıdır.

KVKK ihlali olursa kim sorumlu olur?

Veri sorumlusu olarak avukat birincil sorumludur; veri işleyen, güvenlik önlemleri bakımından veri sorumlusuyla birlikte müştereken sorumludur (KVKK m.12/2). Bu nedenle sağlayıcıyla yapılan sözleşmede ihlal bildirimi ve sorumluluk maddeleri açık olmalıdır.