Son güncelleme: 2026-10-19
Toplantı daveti sıradan görünüyor: bir müşteriyle başlangıç görüşmesi, dört çalışma arkadaşı ve “Toplantı Asistanı” adında tanımadığınız bir katılımcı. Birisi zaman kazanmak için asistanı eklemiş. Görüşme başlamadan önce toplantıyı yöneten kişinin, asistanın kalıp kalamayacağına karar vermesi gerekiyor.
Yapay zekâ not asistanına ancak neden gerekli olduğunu, hangi bilgileri topladığını, bu bilgilerin nereye gittiğini ve çıktıyı kimlerin kullanabileceğini açıklayabildiğinizde izin verin. Belirli önlemler önerilen kullanımı kabul edilebilir hâle getiriyorsa kullanımı sınırlandırın. Gerekli bir hukuki şart, sağlayıcıya ilişkin bir bilgi veya güvence henüz netleşmemişse asistanı toplantıya almayın.
Bu karar ağacı, Türkiye'de faaliyet gösteren veya Türkiye ile çalışan ekipler için hazırlanmıştır. GDPR'ın uygulandığı durumlarda ayrıca bu düzenleme kapsamında değerlendirme yapılır. Trafik ışığı renkleriyle gösterilen sonuçlar, önerilen uygulama kurallarıdır; hukuki bir sınıflandırma veya düzenleyici kurum onayı değildir.
Soruları, yapılacak toplantı ve kullanılacak ürün özelliği için yanıtlayın. Bir video konferans platformunun kurum tarafından onaylanmış olması, tüm yapay zekâ özelliklerinin, entegrasyonların veya katılımcıların kişisel hesaplarının da onaylandığı anlamına gelmez.
“Durun”, aracı bu toplantıda mevcut öneriye göre kullanmayın demektir. Daha sonra yapılacak bir değerlendirme farklı bir sonuca varabilir.
“Haftalık ekip toplantısı”, bir çalışanın işe gelememe nedenini sağlık bilgileriyle açıkladığı bir görüşmeye dönüşebilir. “Müşteri demosu” sırasında canlı destek ekranında kimliği belirlenebilir kullanıcıların bilgileri görünebilir.
Toplantıdan önce hangi konuların konuşulmasının makul olarak beklenebileceğini belirleyin:
Bu gruplar operasyonel riski tarif eder. Ticari gizlilik ile özel nitelikli kişisel veri işleme farklı konulardır ve her biri önerilen kullanıma engel olabilir.
Toplantıya hiç katılmayacak kişileri de hesaba katın. Bir konuşma dökümü; müşterinin çalışanını, işe alınmayan bir adayı veya adı geçen bir çalışma arkadaşını belirlenebilir kılabilir. Toplantıdaki herkesin aracı kabul etmesi, diğer kişilerin verilerinin nasıl kullanılabileceği sorusunu çözmez.
Gündem görüşme sırasında değişirse devam etmeden önce asistanı duraklatın veya toplantıdan çıkarın. “Duraklat” komutunun gerçekte neyi durdurduğunu kontrol edin: canlı veri toplama, konuşmayı metne dönüştürme, kayıt alma ve açık olan diğer özelliklerin ayrı kontrolleri olabilir.
Aşağıdaki faaliyetlerden hangilerinin gerçekleştiğini sağlayıcıdan ve sistem yöneticinizden öğrenin:
Kayıt dosyası oluşturmayı kapatmak, hiçbir kişisel verinin işlenmediğini göstermez. Yeniden oynatılabilir bir kayıt saklanmasa bile özet üretmek için canlı sesin işlenmesi ve konuşma dökümü oluşturulması gerekebilir.
Öte yandan, bu faaliyetleri ayrı ayrı kontrol etmek her zaman altı farklı rıza formu veya altı farklı hukuki dayanak gerektirmez. Amaç, gerçekleşen işlemleri ve bunların amaçlarını belirlemek ve gerekçelendirmektir. Verilerin daha sonra çalışanları puanlamak için kullanılması ayrıca değerlendirilmelidir; proje görevleri oluşturmak için verilen onay bu kullanımı kendiliğinden kapsamaz.
“Verimliliği artırmak”, hangi ayarların seçileceğini belirlemek için fazla geniş bir ifadedir. Daha somut bir amaç şöyle olabilir: “Bu uygulama toplantısı için, belirlenen proje ekibinin kontrol edeceği bir görev listesi taslağı hazırlamak.”
KVKK kapsamında, özel nitelikli olmayan kişisel veriler için 5. maddede yer alan hangi işleme şartının uygulanacağını belirleyin. Açık rıza seçeneklerden biridir; gerekli koşullar sağlanıyorsa diğer işleme şartlarına da dayanılabilir. Meşru menfaate dayanıyorsanız işlemenin neden zorunlu olduğunu ve ilgili kişilerin temel hak ve özgürlüklerine zarar vermeme koşulunun nasıl sağlandığını açıklayın. İşin kolaylaşması tek başına bu soruyu yanıtlamaz.
GDPR uygulanıyorsa 6. madde kapsamındaki ilgili hukuki dayanağı da belirleyin. İmzalanmış bir hizmet veya iş sözleşmesi, her konuşmanın kaydedilmesini sözleşmenin ifası için gerekli hâle getirmez.
Rızaya dayanıyorsanız kişiye gerçek bir seçim hakkı ve reddetmek ya da rızasını geri çekmek için uygulanabilir bir yol sunun. İsteğe bağlı bir not asistanı için bu, aynı toplantıya bir kişinin not tutmasıyla devam etmek olabilir. Sessizlik, toplantıya katılmak veya daveti kabul etmek, rızayı gösteren olumlu bir beyan olarak değerlendirilmemelidir.
Sağlık bilgileri, sendika üyeliği ve KVKK'nın 6. maddesinde sayılan diğer veri kategorileri için uygulanabilir bir özel nitelikli kişisel veri işleme şartı bulunmalı ve Kurulun belirlediği yeterli önlemler alınmalıdır.
Yürürlükteki 6. madde; istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olan işlemeyi de kapsar. Bu hüküm, her İK toplantısının içeriğinin bir yapay zekâ sağlayıcısına gönderilebileceği anlamına gelmez. Önerilen veri toplama ve paylaşma faaliyetleri yine ilgili şartın kapsamına girmeli ve ölçülü olmalıdır.
GDPR uygulanıyorsa özel nitelikli verilerin işlenmesi için 6. maddedeki hukuki dayanağın yanında 9. madde kapsamındaki bir istisna da bulunmalıdır. İki düzenlemedeki özel nitelikli veri kategorileri birebir aynı değildir.
Hastalık nedeniyle devamsızlığın konuşulduğu bir görüşmede, çalışanın tüm açıklamasını kaydetmek yerine üzerinde anlaşılan işyeri düzenlemesinin sınırlı biçimde not edilmesinin ihtiyacı karşılayıp karşılamayacağını değerlendirin.
Türkiye'de Türk Borçlar Kanunu'nun 419. maddesi, özel kanun hükümleri saklı kalmak üzere, işverenin işçiye ait kişisel verileri ancak işçinin işe yatkınlığıyla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabileceğini düzenler.
İletişim kanallarının denetlenmesine ilişkin güncel bir karar da dikkate alınmalıdır. Kurulun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı, işverenin iş amaçlı iletişim kanallarını denetlemesini ele alır. Hukuka uygun işleme, çalışanların somut biçimde bilgilendirilmesi, ölçülülük ve daha az müdahaleci yöntemler bakımından değerlendirme yapılmasını gerektirir.
Bu karar doğrudan yapay zekâ not asistanları hakkında verilmiş değildir. Toplantı verilerinin toplanması veya sonradan analizi çalışan denetimi işlevi görüyorsa kararın bu kullanımla ilişkisi değerlendirilmelidir. Rutin özetleri disiplin veya performans incelemesi için aranabilir bir arşive dönüştürmek, önerilen kullanımın niteliğini önemli ölçüde değiştirir.
Taraflar arasındaki güç dengesizliği nedeniyle çalışan rızası da dikkatle ele alınmalıdır. GDPR kapsamında, çalışanların olumsuz sonuçlarla karşılaşmadan reddedemediği durumlarda rıza, iş ilişkisi kapsamındaki veri işleme için genellikle uygun bir hukuki dayanak olmayacaktır. Uygulanabilir ulusal iş hukuku kuralları ve toplu iş sözleşmeleri ek gerekler getirebilir.
Hukuka uygunluğu tartışmalı çalışan denetimi, hassas İK görüşmeleri veya kayıt ve gizlilik kurallarına ilişkin belirsizlik varsa veri toplamayı etkinleştirmeden önce ilgili alanda yetkin bir avukattan görüş alın.
Satın alınan paket, etkinleştirilen özellik ve gerçekten kullanılan hesap için kanıt toplayın. Sağlayıcının kurumsal ürününe ilişkin internet sitesi açıklaması, bir çalışanın takvimine bağladığı ücretsiz hesabı tarif etmeyebilir.
Kısa bir onay dosyasında şu belgeleri tutun:
Silme, ilgili kişi haklarının kullanılması ve olayların ele alınması konusunda sözleşmede öngörülen desteği kontrol edin. GDPR kapsamında sizin adınıza veri işleyen sağlayıcıyla yapılan sözleşme, 28. maddenin gereklerini karşılamalıdır. İşletmeniz de bir müşteri adına veri işliyorsa hizmeti eklemeden önce müşterinin talimatlarını ve alt veri işleyen kullanımı için gerekli yetkilendirmeyi kontrol edin.
“Model eğitiminde kullanılmaz” açıklaması sorunun yalnızca bir bölümünü yanıtlar. Örneğin Zoom'un toplantı özeti belgelerinde, iletişim niteliğindeki müşteri içeriklerinin Zoom'un veya üçüncü tarafların yapay zekâ modellerini eğitmek için kullanılmadığı belirtilir. Aynı belgeler, özelliğin sunulması için ilgili verilerin üçüncü taraf modellere gönderilebileceğini ve ABD'deki veri merkezlerinde işlenebileceğini de açıklar. Konuşma dökümlerine ilişkin ayrı ayarlar, saklanan dökümlerin ve sonraki kullanımların neden ayrıca kontrol edilmesi gerektiğini gösterir.
Bu örnek farklı veri işleme faaliyetlerini açıklamak içindir; ürün tavsiyesi değildir. Kendi kararınızı verirken belgeleri ve yapılandırmayı doğrulayın.
KVKK'nın 9. maddesine tabi aktarımlarda önce ilgili veri işleme şartını belirleyin. Ardından uygulanabilir bir yeterlilik kararı veya uygun güvence bulunup bulunmadığını kontrol edin. Yeterlilik kararı yoksa uygun güvenceye dayalı aktarım için ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi gerekir.
Uygun güvencelerden biri, tarafların veri sorumlusu ve veri işleyen rollerine uygun Kurul standart sözleşmesidir. Genel bir veri işleme sözleşmesi veya AB standart sözleşme maddeleri, tek başına Türkiye'deki bu sözleşmenin yerini tutmaz. Kurulun standart sözleşmesine dayanılıyorsa imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirim yapılmalıdır.
Diğer yolların kullanılamadığı durumlar için öngörülen istisnalar, belirli şartlarla arızi aktarımlara yöneliktir. Tekrarlanan bir toplantının rutin olarak yurt dışında işlenmesi, genel bir aktarım rızası kutucuğuna dayanacak şekilde tasarlanmamalıdır.
Yalnızca saklamayı haritalamakla yetinmeyin. Yurt dışındaki modellerle işleme ve ayrı bir yurt dışı destek sağlayıcısının erişimi de önem taşıyabilir. Model sağlayıcılarına ve diğer alt veri işleyenlere yapılan sonraki aktarımları inceleyin. Verilerin yurt içinde saklanmasına ilişkin bir ayar, tüm aktarım meselelerini tek başına çözmez.
GDPR da uygulanıyorsa V. Bölümdeki aktarım gereklerini ayrıca değerlendirin. Bir düzenleme kapsamında kabul edilebilir olan aktarım düzenlemesi, diğerini kendiliğinden karşılamaz.
Toplantıyı yöneten kişinin, ürünün belirli bir şekilde çalıştığını varsayan bir politikadan öte, uygulayabileceği bir yapılandırmaya ihtiyacı vardır.
Veri toplanmadan önce uygun aydınlatmayı yapın. Veri sorumlusu kuruluşu, amacı, toplama yöntemini, hukuki sebebi, alıcıları ve ilgili hakları açıklayın. KVKK kapsamındaki aydınlatma yükümlülüğü, işleme açık rıza dışındaki bir şarta dayansa da geçerlidir. Davette ilgili ayrıntılı aydınlatma metnine bağlantı verin; geç katılanlar veya önceden öngörülmeyen katılımcılar için görüşmenin başında özelliği yeniden açıklayın.
Kişilerin ihtiyaç duyacağı pratik bilgileri de belirtin: sesin saklanıp saklanmayacağı, notların kimlere gönderileceği, her bir çıktının ne kadar tutulacağı ve bir endişenin nasıl iletilebileceği. Platformun genel “Yapay zekâ etkin” bildirimi gerekli bilgileri sağlamayabilir.
Paylaşımı kontrol edin. Erişimi, belirlenmiş sınırlı bir kişi grubuyla başlatın. Otomatik paylaşımın davet edilen herkesi, dış katılımcıları veya toplantıya katılmayan kişileri kapsayıp kapsamadığını kontrol edin. Herkese açık bağlantıları ve gerekli olmayan CRM, sohbet veya bilgi tabanı aktarımlarını kapatın. Konuşma dökümünü kimlerin görüntüleyebileceğinin yanında kimlerin indirebileceğine de karar verin.
Her çıktı için saklama süresini belirleyin. Ham kayıt, konuşma dökümü ve kontrol edilmiş görev listesinin saklanma ihtiyaçları farklı olabilir. Araç izin veriyor diye üçünü de mümkün olan en uzun süreyle tutmayın. Çöp kutusunu, sağlayıcının yedeklere ilişkin işlemlerini ve dışa aktarılan kopyaları da kapsayacak şekilde silmeyi test edin. Hukuki bir süreç nedeniyle delil olarak korunması veya başka bir saklama yükümlülüğü gereği tutulması gereken içeriği muhafaza edin.
Kontrol edecek bir kişi belirleyin. İsimlerin, kimin ne söylediğinin, tutarların, son tarihlerin ve bir öneri üzerinde gerçekten anlaşmaya varılıp varılmadığının kontrol edilmesini sağlayın. İncelenene kadar yapay zekâ özetini taslak olarak ele alın. Düzeltme talep edilebilecek bir yol sunun ve gerektiğinde sonraki sistemlerdeki kopyaları da güncelleyin. Doğrulanmamış bir cümlenin müşteriye verilmiş taahhüde veya çalışan performansına ilişkin tespite dönüşmesine izin vermeyin.
GDPR kapsamındaki bir kullanımın kişilerin hak ve özgürlükleri açısından yüksek risk doğurması muhtemelse işleme başlamadan önce veri koruma etki değerlendirmesi yapın. Yükümlülük, önerilen işleme ve uygulanabilir ölçütlere bağlıdır; bir yapay zekâ özelliğinin kullanılması tek başına bu değerlendirmenin sonucunu belirlemez.
Düzenli yapılan bir uygulama toplantısında proje görevleri ele alınıyor. Kuruluş; sağlayıcıyı, hukuki dayanakları ve aktarımları önceden değerlendirmiş. Katılımcılara uygun bilgilendirme yapılıyor, erişim sınırlı, saklama ayarları yapılmış ve bir proje sorumlusu notları kontrol ediyor.
Toplantıyı yöneten kişi, görüşmenin bu onay kapsamına girdiğini teyit ederek kararlaştırılan özelliği açıyor. Yeşil sonuç, bu önlemlerin uygulanmaya devam etmesine bağlıdır.
Müşteriyle başlangıç görüşmesinin bir bölümünde kimliği belirlenebilir kullanıcılarla ilgili sorun giderme çalışması yapılacak. Sağlayıcı ve hukuki ön koşullar bakımından değerlendirme tamamlanmış; ancak gündemin tamamına ilişkin veri toplamak belirlenen kapsamı aşacak.
Ekip hassas bölümü ayırıyor, bu sırada asistanı kapalı tutuyor, dışarıya otomatik paylaşımı devre dışı bırakıyor ve yalnızca kontrol edilmiş görev listesini onaylanan alıcılarla paylaşıyor. Sarı sonuç, bu önlemler uygulandıktan ve doğrulandıktan sonra geçerlidir.
Bir çalışan, kişisel aboneliğiyle kullandığı asistanı bir çalışan şikâyetinin görüşüleceği toplantıya getiriyor. Kuruluş; alıcıları, saklama koşullarını veya aktarım düzenlemesini doğrulayamıyor ve gerekli işleme şartlarını belirlememiş.
Asistanı toplantıdan çıkarın ve onaylanmış alternatifi kullanın. Daha sonraki bir kullanımı değerlendirmeden önce eksik kanıtları ve hukuki soruları çözüme kavuşturun.
Bu örnekler varsayımsaldır. Toplantının başlığı tek başına sonucu belirlemez.
Gündemi sınırlı ve öngörülebilir olan düzenli bir toplantı seçin. Önce gerçek kişilere ait olmayan, oluşturulmuş örnek içerikle ayarları ve silme işlevini test edin. Ardından ön koşullar sağlandığında onaylanmış yapılandırmayı seçtiğiniz toplantıda kullanın.
Kısa bir karar kaydı tutun: toplantının amacı, işlenmesine izin verilen veriler, araç ve özellik, işleme şartı, aktarım mekanizması, aydınlatma, alıcılar, saklama süresi, kontrol sorumlusu ve sonuç. Ek kısıtlamaları ve bunlardan kimin sorumlu olduğunu belirtin.
Pilot uygulamadan sonra notların iş yükünü azaltıp azaltmadığını, beklenmeyen bilgilerin toplanıp toplanmadığını ve paylaşım, düzeltme ile silmenin beklendiği gibi çalışıp çalışmadığını kontrol edin. Gündem, katılımcılar, sağlayıcı koşulları veya ayarlar değiştiğinde yeniden değerlendirin.
Başarılı bir pilot, benzer toplantıların onaylanmasına dayanak sağlayabilir. İşe alım, sağlık veya disiplin görüşmeleri için uygunluğu göstermez.
Bu çalışma; sağlayıcıya ilişkin kanıtlarda, aydınlatma metinlerinde veya veri akışlarının haritalanmasında eksikler ortaya çıkarıyorsa Kooch'un KVKK ve GDPR Boşluk Analizi hizmeti, mutabık kalınan uygulamaları değerlendirmeye ve iyileştirmeleri önceliklendirmeye yardımcı olabilir. Toplantı iş akışını ve ihtiyaç duyduğunuz desteğin kapsamını görüşmek için Kooch ile iletişime geçin.
Kaynakların inceleme tarihi: 19 Ekim 2026. Karar ağacı ve örnekler, aşağıdaki kaynakların uygulanmasına yönelik pratik önerilerdir; düzenleyici kurumun yayımladığı resmî bir test değildir.
