Kişisel Verileri Koruma Kurumu Etken Yapay Zekâ (Agentic AI) Rehberi Yayımladı!

Kurum 12 Mart 2026 tarihinde resmi internet sitesinden paylaştığı kamuoyu duyurusu ile birlikte Etken Yapay Zekâ (Agentic AI) Rehberi’ni (“Rehber”) yayımladığını bildirmiştir. Rehber, etken yapay zekâ sistemlerine ve bu sistemlerde kullanılan yapay zekâ aracılarına (AI agents) ilişkin bilgilendirme ve örnekler, etken yapay zekanın kullanımı ile ilgili genel ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında oluşabilecek riskeler ve etken yapay zekâ sistemlerinde kişisel verilerin korunması bakımından dikkate alınabilecek hususlara ilişkin değerlendirmeler barındırmaktadır.

Etken Yapay Zekâ ve Yapay Zekâ Aracıları

i. Etken Yapay Zekâ (Agentic AI) ve Geleneksel Yapay Zekâ (Traditional AI)

Rehber’de, etken yapay zekâ sistemlerinin, eylem süreçlerini sürekli insan yönlendirmesine ihtiyaç duymaksızın yürütebilen ve belirli görevlerin yerine getirilmesinden ziyade belirlenen hedeflerin gerçekleştirilmesine odaklanan yapılar olduğu ifade edilmektedir. Bu sistemlerde görevlerin tanımlanabildiği, planlama yapılabildiği ve değişen koşullara göre eylemlerin koordine edilebildiği belirtilmektedir. Ek olarak, etken yapay zekâ sistemlerinin önceden tanımlı veri ve kurallarla çalışan geleneksel yapay zekâ sistemlerinden ayrıldığı ve daha yüksek otonomi, hedef yönelimi ve çevreyle etkileşim kapasitesine sahip olduğu ifade edilmektedir.

ii. Yapay Zekâ Aracıları (AI agents) ve Çoklu Yapay Zekâ Aracısı Sistemleri (multi-agent systems)

Rehber’de etken yapay zekâ sistemlerinin karar alma ve eylem süreçlerini “yapay zekâ aracıları” adı verilen yazılımsal bileşenler aracılığıyla yürüttüğü belirtilmektedir. Yapay zekâ aracıları çevresini algılayabilen, tepki verebilen ve belirlenen hedefler doğrultusunda eylem gerçekleştiren otomatik yazılımlar olarak tanımlanmaktadır. Etken yapay zekâ sistemleri ise bu aracılara görev ve yetki atayan, karar ve eylem süreçlerini daha geniş bir sistem mantığında yöneten üst düzey yapılar olarak tanımlanmaktadır.

Birden fazla hedef veya geniş görev kapsamı söz konusu olduğunda çoklu yapay zekâ aracısı sistemlerinin kullanılması mümkündür. Bu sistemlerde farklı aracılar görev paylaşımı ve eşgüdüm ile karmaşık süreçleri etkin ve esnek biçimde yürütebilmektedir.

Etken Yapay Zekâ Sistemlerinin Potansiyel Kullanım Durumları

Rehber, uygulamada etken yapay zekâ sistemlerinin kullanılabildiği çeşitli durumlara örnek vermekte olup, bazı örnekler aşağıdaki tabloda özetlenmektedir:

Etken Yapay Zekâ Sistemlerinin Kullanılmasına İlişkin Riskler

Rehber’de, etken yapay zekâ sistemlerinin hedef yönelimli, çok adımlı ve farklı otonomi düzeylerine sahip yapısı nedeniyle risklerin ortaya çıkış biçiminin karmaşık hale geldiği ifade edilmektedir. Başlıca riskler şunlardır:

• Otonomi düzeyinin artması, sistemlerin insan müdahalesi olmaksızın eylem başlatabilmesine imkân tanımakta ve sistem davranışlarının öngörülebilirliğini zorlaştırmaktadır.

• Şeffaflık ve açıklanabilirlik eksiklikleri, özellikle çok adımlı ve çok aracılı yapılarla karar süreçlerinin izlenmesini güçleştirmekte, hataların zincirleme şekilde yayılmasına ve sorumluluk ilişkilerinin belirlenmesinin zorlaşmasına neden olmaktadır.

• Geniş veri kümeleri üzerinde önyargı ve ayrımcılık riskleri oluşabilmektedir.

• Teknik tasarım ve sistem mimarisine ilişkin aksaklıklar güvenlik ve güvenilirlik sorunlarına yol açmakta, çok adımlı veri işleme süreçleri nedeniyle kişisel verilerin gizliliği ve güvenliği bakımından ek riskler oluşabilmektedir.

Kişisel Verilerin Korunması Kapsamında Oluşabilecek Riskler

• Amaçla sınırlılık ve veri minimizasyonu ilkesi: Çoklu yapay zekâ aracısı sistemlerinde veri işleme faaliyetleri birlikte değerlendirildiğinde geniş sonuçlar doğurabilmektedir. Ayrıca sistemlerin yeni veriler işlemesi başlangıçta öngörülmeyen veri kümelerinin kullanılmasına yol açabileceğinden veri işlemenin gereken hallerle sınırlandırılması gerekmektedir.

• Veri işleme kapsamının değişmesi ve hukuki sebebin korunması: Sistemlerin süreçte yeni kişisel veri kümelerini işlemeye başlaması veya mevcut verileri farklı amaçlarla kullanması veri işleme faaliyetlerinin başlangıçta belirlenen amaçlardan farklı şekilde ve farklı hukuki sebeplerle işlenmesine sebebiyet verebilecektir.

• Özel nitelikli veriler, çıkarım ve profil oluşturma riskleri: Etken yapay zekâ sistemleri verileri analiz edebilmekte ve bu analizler sonucunda yeni çıkarımlar üretebilmektedir. Bu durumda tek başına değerlendirildiğinde kişisel veri niteliği taşımayan bilgilerin başka verilerle ilişkilendirilmek suretiyle KVKK kapsamında kişisel veri haline gelebilmesi mümkündür.

• Şeffaflık, açıklanabilirlik ve izlenebilirlik: Veri işleme faaliyetlerinde hangi verinin hangi amaçla işlendiğinin belirlenmesi güçleşmektedir; bu durum veri sorumlularının aydınlatma yükümlülüğü bakımından da risk oluşturmaktadır.

• Sorumluluk ve hesap verebilirlik: Etken yapay zekâ sistemlerinde veri işleme faaliyetleri genellikle geliştiriciler, kullanıcılar ve diğer aktörler arasında paylaşıldığından, ihlal veya hukuka aykırı sonuçlar doğan durumlarda sorumluluğun belirlenmesi zorlaşmaktadır.

• Güvenlik, veri gizliliği ve sistem dayanıklılığı: Etken yapay zekâ sistemleri birden fazla veri kaynağı ve dijital sistemle entegre şekilde çalıştığından, ilgili sistemlerde bulunan girdilerin manipüle edilmesi güvenlik risklerinin oluşmasına sebebiyet verebilecektir.

• Otonomi ve insan gözetiminin azalması: İnsan gözetiminin sınırlanması, talimatların net olmadığı durumlarda sistemlerin öngörülmeyen veri kullanım yollarını tercih etmesine ve kişisel veri risklerinin artmasına yol açabilmektedir.

Rehber’de Kişisel Verilerin Korunması Bakımından Dikkate Alınması Tavsiye Edilen Hususlar

Yukarıda özetlenen risklere istinaden Rehber aşağıdaki önerilerde bulunmaktadır:

• İnsan gözetimi mekanizmalarının tanımlanması ve otonomi ile kontrol arasındaki dengenin kurulması.

• Çok katmanlı ve dağıtık yapıya sahip etken yapay zekâ sistemlerinde açıklanabilirlik ve izlenebilirliğin sağlanması.

• Sistemlerin belirlenen amaç ve sınırlar dışında hareket etmesini önlemek için teknik kısıtlamalar, kontrol mekanizmaları ve davranış izleme araçlarının kullanılması.

• Sistemlerinin kullandığı verilerin güncelliğinin ve bağlama uygunluğunun gözetilmesi ve bu kapsamda girdi olarak kullanılan verilerden kaynaklanan hataların önlenmesi.

• Etken yapay zekâ sistemlerinin geliştirilmesi ve kullanımı sürecinde yer alan aktörlerin görev, yetki ve sorumluluklarının açık şekilde tanımlanması.

• Etken yapay zekâ sistemlerinin yaşam döngüsü boyunca ortaya çıkabilecek risklerin sistematik şekilde değerlendirilmesi ve gerekli durumlarda veri koruma etki değerlendirmesi yapılması.

• Yalnızca teknik tedbirlerin değil yönetişim mekanizmalarının da güncellenmesi, kullanım sınırlarının belirlenmesi ve sistemle ilgili kişiler için eğitim ve farkındalık çalışmalarının yürütülmesi.

Sonuç

Bu kapsamda, Türkiye’de yapay zekâ geliştiren ve kişisel veri işleyen şirketlerin KVKK uyum süreçlerini gecikmeksizin tamamlaması önem taşımaktadır. Rehber ile birlikte; veri minimizasyonu, amaçla sınırlılık, hukuki sebebin korunması, açıklanabilirlik, insan gözetimi, güvenlik tedbirleri ve hesap verebilirlik gibi başlıklarda uyum beklentileri daha görünür hâle gelmiştir. Bu nedenle şirketlerin, yapay zekâ temelli veri işleme faaliyetlerini risk temelli bir yaklaşımla gözden geçirmesi ve teknik/idari uyum mekanizmalarını güncellemesi gerekmektedir.

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.