Kişisel Verileri Koruma Kurumu tarafından, kişisel verilerin korunması alanındaki ulusal ve uluslararası gelişmelerin derlendiği “Kişisel Verilerin Korunması ile İlgili Seçilmiş Güncel Gelişmeler-61” başlıklı bülten yayımlanmıştır. Bültende öne çıkan iki ulusal gelişme; Türkiye Yapay Zekâ Eylem Planı (2026-2030)’nın yürürlüğe girmesi ile Orta Vadeli Program (2027-2029)’da 6698 sayılı Kanun’un Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile uyumlaştırılmasına ilişkin bir takvim öngörülmesidir.

Bültende yer verilen uluslararası gelişmelerin ağırlıklı gündemi ise yapay zekâdır. Üretken ve etken (agentic) yapay zekâ sistemlerinde kişisel verilerin korunması, AB Yapay Zekâ Tüzüğü kapsamındaki şeffaflık yükümlülükleri, sentetik veri üretimi ve anonimleştirme uygulamaları ile veri koruma görevlisinin bağımsızlığı, farklı otoritelerin aynı dönemde ele aldığı başlıklar olarak öne çıkmaktadır.

Ulusal Gelişmeler

• Türkiye Yapay Zekâ Eylem Planı (2026-2030) yürürlüğe girdi. Plana ilişkin 2026/9 sayılı Cumhurbaşkanlığı Genelgesi, 18.08.2026 tarih ve 33344 sayılı Resmî Gazete’de yayımlanmıştır. Sanayi ve Teknoloji Bakanlığının koordinasyonunda kamu, özel sektör, üniversiteler ve sivil toplum kuruluşlarının iş birliğiyle hazırlanan ve “Fark Et, İstifade Et, Üret ve Yönet” temel ilkeleri üzerine inşa edilen Eylem Planı, Bakanlığın internet sitesinde erişime açılmıştır.
• Kanun’un GDPR ile uyumlaştırılması için 2027 üçüncü çeyrek hedefi belirlendi. 06.09.2026 tarih ve 33362 mükerrer sayılı Resmî Gazete’de yayımlanan Orta Vadeli Program (2027-2029)’da, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun Avrupa Birliği Genel Veri Koruma Tüzüğü ile uyumlaştırılması sürecinin 2027 yılının üçüncü çeyreğinde tamamlanacağı belirtilmiştir.
• Kamu tüzel kişiliğini haiz veri sorumlularına ilişkin İlke Kararı Resmî Gazete’de yayımlandı. Kişisel Verileri Koruma Kurulunun 01.07.2026 tarih ve 2026/1301 sayılı “Kamu Tüzel Kişiliğini Haiz Veri Sorumluları Tarafından Kişisel Verilerin İnternet Ortamında Paylaşılması Hakkında İlke Kararı”, 28.07.2026 tarih ve 33323 sayılı Resmî Gazete’de yayımlanmıştır.
• Kamu kurum ve kuruluşları için uyum rehberi yayımlandı. Kurum tarafından hazırlanan “Kamu Kurum ve Kuruluşları ile Kamu Kurumu Niteliğindeki Meslek Kuruluşları için Kişisel Verilerin Korunması Kanununa Uyum Rehberi” (KVKK Yayınları No: 114) erişime açılmıştır.
• Üç ayrı kamuoyu duyurusu yayımlandı. Bunlar; Üçüncü Kişilerden Elde Edilen Kişisel Verilerin Reklam Ve Pazarlama Amaçlı Kullanılmasına Ilişkin Duyuru (21.07.2026), Sadakat Kart Üyeliği Bulunan Bir Kişinin Cep Telefonu Numarasının Veya Sadakat Kart Numarasının Üçüncü Bir Kişi Tarafından Alışveriş Esnasında Kullanılması Hakkında İlke Kararında Veri Sorumluları Için Öngörülen Uyum Süresinin Uzatılmasına Ilişkin Duyuru (13.08.2026) ve 29.04.2026 Tarihli Ve 2026/921 Sayılı Mesai Takibi Amacıyla Biyometrik Veri Işlenmesi Hakkında İlke Kararına Ilişkin Görüş Talepleri Hakkında Duyurudur (27.08.2026).

• Türkiye Barolar Birliği avukatlar için yapay zekâ rehberi yayımladı. 28.08.2026 tarihli “Avukatlar için Yapay Zekâ Kullanımı Tavsiye Rehberi”nde; mesleki sırların korunması, kişisel verilerin güvenliği, insan denetimi, hukuki doğrulama ve avukatın nihai sorumluluğu başta olmak üzere yapay zekâ kullanımına ilişkin temel ilke ve uygulama ölçütleri ortaya konulmaktadır.
• “KVKK Çocuk” bölümüne iki yeni test eklendi. “Çocuğunuz Akıllı Telefon Kullanmaya Hazır Mı?” ve “Kişisel Verilerinin Kahramanı Olmaya Hazır Mısın?” başlıklı testler Kurumun internet sitesinde kullanıma sunulmuştur.

Uluslararası Gelişmeler

• Avrupa Komisyonu, Yapay Zekâ Tüzüğü’nün 50’nci maddesine ilişkin şeffaflık rehberlerini yayımladı. 20.07.2026 tarihli rehberler, belirli yapay zekâ sistemleri bakımından sağlayıcı ve uygulayıcılara getirilen şeffaflık yükümlülüklerinin uygulanmasına ilişkin açıklamalar içermekte olup buna ilişkin sıkça sorulan sorular sayfası da 24.07.2026 tarihinde güncellenmiştir.
• Singapur Kişisel Verileri Koruma Komisyonu (Personal Data Protection Commission – PDPC) üretken yapay zekâ rehberinin nihai versiyonunu yayımladı. 20.07.2026 tarihli rehber, üretken yapay zekânın yaşam döngüsünü geliştirme, kullanıma sunma ve kullanım sonrası olmak üzere üç aşamaya ayırmakta ve her aşama için ayrı yükümlülük setleri öngörmektedir. Geliştirme aşamasında öne çıkan başlık, model eğitiminde yaygın olarak başvurulan internet kazıma (web scraping) yöntemiyle elde edilen veri kümeleridir; rehberde, bu kümelerin kişisel veri içermesi hâlinde kuruluşların rıza yerine “kamuya açık veri istisnası”na dayanmayı değerlendirebileceği, ancak bunun otomatik bir muafiyet olmadığı belirtilmektedir. Kullanıma sunma aşamasında hesap verebilirlik, saklama süresinin sınırlandırılması, güvenlik ve amaçla bağlılık; kullanım sonrası aşamada ise ilgili kişilerin erişim ve düzeltme taleplerinin nasıl karşılanacağı ele alınmaktadır. Rehberin pratik değeri, sorumluluğun model sağlayıcı, sistem sağlayıcı ve uygulayıcı arasında nasıl paylaşılacağını netleştirmesindedir.
• PDPC, sentetik veri üretimine ilişkin rehberini güncelledi. Güncellenmiş rehber, sentetik veriyi mahremiyet artırıcı teknolojiler (PET) ailesinin bir üyesi olarak konumlandırmakta; diferansiyel gizlilik ve homomorfik şifreleme gibi veriyi gizleyen teknolojiler ile federe öğrenme, güvenli çok taraflı hesaplama ve sıfır bilgi ispatı gibi veriyi paylaşmadan içgörü akışına imkân veren teknolojilerin yanında ele almaktadır. Rehberde sentetik verinin tipik kullanım alanları güvenli analitik, model eğitimi ve yazılım testi olarak sıralanmakta; üretim yöntemlerindeki güncel gelişmelere, yeni vaka çalışmalarına ve yeniden kimliklendirme risklerine karşı alınabilecek iyi uygulamalar ile risk azaltıcı stratejilere yer verilmektedir. Buradaki temel mesaj, sentetik verinin “otomatik olarak kişisel veri olmaktan çıkmış veri” anlamına gelmediği, üretim yönteminin ve artık riskin ayrıca değerlendirilmesi gerektiğidir.
• İspanya Veri Koruma Otoritesi (Agencia Española de Protección de Datos – AEPD) yapay zekâda veri kalitesine ilişkin doküman yayımladı. Temmuz 2026 tarihli dokümanda; veri kalitesi ile GDPR’nin doğruluk ilkesinin birbiriyle yakından ilişkili olmakla birlikte eşdeğer kavramlar olmadığı, doğruluk ilkesinin yalnızca verinin gerçekliği veya güncelliğiyle sınırlı biçimde yorumlanamayacağı ve işleme amacına göre hassasiyet, ayrıntı düzeyi ya da güncellenme sıklığı gibi başka özelliklerin de aranabileceği belirtilmektedir.
• Etken yapay zekâ (agentic AI), iki ayrı otoritenin gündeminde yer aldı. Fransa Veri Koruma Otoritesi (Commission Nationale de l’Informatique et des Libertés – CNIL) ile Fransa Yapay Zekâ ve Dijital Teknoloji Konseyi (Conseil de l’IA et du Numérique – CIANum), Temmuz 2026 tarihli ortak notlarını “kullanıcılar için çok bilinmeyenli bir denklem” başlığıyla yayımlamıştır. Etken yapay zekâ, kullanıcının verdiği bir talimatı tek bir cevapla karşılamak yerine, hedefe ulaşmak için gereken işlem adımlarını kendi başına planlayıp sırayla yürüten sistemleri ifade etmektedir. Bu sistemlerde birden çok yapay zekâ ajanı, kendilerini yöneten bir ana sisteme (orkestratör) bağlanmakta ve görevi aralarında paylaşmaktadır. Notta, bu yapının kişisel verilerin işlenmesi ve kuruluşlar arasında dolaşımı bakımından önceki dönemden bir kopuş anlamına geldiği vurgulanmaktadır.

Notta iki risk öne çıkarılmaktadır. Birincisi, bu sistemlerin düzgün çalışabilmek için kullanıcıyı sürekli tanımaya ihtiyaç duyması ve kalıcı hafıza özelliği sayesinde geçmiş etkileşimleri saklayarak zamanla son derece ayrıntılı kullanıcı profilleri oluşturmasıdır; artan karar verme otonomisiyle birleştiğinde bu durum, kullanıcının kendi verileri üzerindeki kontrolünü kaybetmesi riskini doğurmaktadır. İkincisi, verinin çok sayıda farklı hizmet arasında ve çoğu zaman görünmeyen biçimde dolaşması nedeniyle, hangi aktörün hangi işlemeden sorumlu olduğunun tespitinin güçleşmesidir. Notta ayrıca, Yapay Zekâ Tüzüğü’nün tam olarak 2027’de uygulanacak olmasına rağmen tüzükte yapay zekâ ajanlarına özgü bir kural bulunmadığına dikkat çekilmektedir. Çözüm olarak hukuki düzlemde, sistemin kullanıcı adına yaptığı işlemler bakımından daha güçlü şeffaflık kuralları ve en kritik kararlarda mutlaka bir insanın onayının aranması (human in the loop); teknik düzlemde ise tasarım aşamasından itibaren ajanların hafızalarının birbirinden ayrılarak veri birikiminin önlenmesi önerilmektedir. Hong Kong Veri Koruma Otoritesi (Office of the Privacy Commissioner for Personal Data – PCPD) ise 25.08.2026 tarihinde, kuruluşların etken yapay zekâdan yararlanırken veri koruma mevzuatına uyum sağlamalarına yönelik pratik tavsiyeler içeren bir doküman yayımlamıştır.

• Birleşik Krallık Veri Koruma Otoritesi (Information Commissioner’s Office – ICO) anonimleştirme ve psödonimleştirme taslak rehberini görüşe açtı. Araştırma bağlamına ilişkin taslak rehberde; anonimleştirme ve psödonimleştirmenin araştırma süreçlerindeki rolleri, uygun teknik ve idari tedbirler, güvenilir araştırma ortamlarının nasıl oluşturulacağı ve işletileceği ile sentetik verinin araştırma süreçlerinde nasıl kullanılabileceği ele alınmaktadır. Görüşler 19.10.2026 tarihine kadar iletilebilecektir.
• Fransa Veri Koruma Otoritesi (CNIL), veri koruma görevlisinin rolüyle bağlantılı çıkar çatışmalarına ilişkin içerik yayımladı. 10.08.2026 tarihli içerikte; GDPR uyarınca kuruluşların veri koruma görevlilerine başka görevler de verebileceği, ancak bu görevlerin veri koruma görevlisinin sorumluluklarını yerine getirmesini engellememesi veya çıkar çatışmasına yol açmaması gerektiği belirtilerek çatışmanın nasıl tespit edilebileceği ve giderilebileceği açıklanmaktadır.
• Avrupa Birliği Siber Güvenlik Ajansı (ENISA), KOBİ’ler için tasarımdan itibaren ve varsayılan olarak güvenlik rehberi yayımladı. 30.07.2026 tarihli rehberde; dijital unsurlar içeren modern ürünlerin tasarım aşamasından itibaren ve varsayılan olarak güvenli olmasının beklendiği, ancak özellikle KOBİ’lerin bu yaklaşımları tutarlı biçimde uygulamakta zorlandığı belirtilerek ürün yaşam döngüsü boyunca uygulanacak ilkeler ve somut yönlendirmeler ortaya konulmaktadır.
• Lüksemburg Veri Koruma Otoritesi (Commission Nationale pour la Protection des Données – CNPD) akıllı gözlüklere ilişkin bir dosya yayımladı. 26.08.2026 tarihli içerikte otoritenin çıkış noktası nettir: kamera veya kayıt sistemi içeren bir cihazın satın alınmasını ya da taşınmasını yasaklayan özel bir hüküm bulunmamakta, dolayısıyla akıllı gözlüklerin edinilmesi ve takılması kural olarak serbesttir; asıl mesele kayıt başladığı anda ortaya çıkmaktadır. CNPD, kişilerin tanınmasına imkân veren görüntülerin kişisel veri olduğunu hatırlatarak, kamusal veya ortak alanda kullanılan bir gözlük kamerasının pratikte bir güvenlik kamerası gibi değerlendirilebileceğini; buna karşılık yalnızca kişinin kendi konutunda ve tamamen kişisel amaçla yapılan kayıtların GDPR kapsamı dışında kalabileceğini belirtmektedir. Otoritenin altını çizdiği iki güçlük dikkat çekicidir: bir yandan kamusal alanda görüntü kaydeden bir bireyin geçerli bir hukuki sebebe dayanması güçtür; öte yandan cihazın sıradan bir gözlükten ayırt edilememesi nedeniyle çevredeki kişilerin önceden ve anlaşılır biçimde bilgilendirilmesi fiilen imkânsız hâle gelmekte, bu da işlemenin ilgili kişilerin haberi olmaksızın yürütülmesi sonucunu doğurmaktadır. Bazı modellerin yapay zekâ destekli özellikleri (çevrenin analizi, konuşmaların yazıya dökülmesi veya çevrilmesi, kaydın otomatik başlatılması) üçüncü kişilere ait ilave verilerin işlenmesine yol açmaktadır. CNPD ayrıca kişinin kendi görüntüsü üzerindeki hakkını hatırlatarak, görüntülerin özellikle sosyal medyada paylaşılmasının kadraja giren herkesin önceden rızasını gerektirdiğini ve ihlâl hâlinde tazminat ile tedbir talebiyle hukuk mahkemelerine başvurulabileceğini ifade etmektedir. Not olarak; yerleşik veri sorumlusunun bulunduğu ülke esas alındığından, örneğin Ray-Ban Meta gözlükleri bakımından yetkili otoritenin İrlanda Veri Koruma Komisyonu olduğu belirtilmektedir.

Konu Türkiye gündeminde de karşılık bulmuştur: Kurum, 09.09.2026 tarihinde kurumsal LinkedIn hesabından akıllı gözlük kullanımında kişisel verilerin korunmasına ilişkin bir bilgilendirme paylaşmıştır. Kamera ve mikrofon taşıyan, üstelik sıradan bir gözlükten ayırt edilmesi güç olan bu cihazların çevredeki kişiler bakımından doğurduğu “farkında olmadan kaydedilme” riski, iki otoritenin aynı günlerde konuya eğilmesiyle birlikte, yalnızca bir teknoloji tartışması değil yakın vadeli ve somut bir uyum gündemi hâline gelmiştir.

• Brezilya Veri Koruma Otoritesi (Autoridade Nacional de Proteção de Dados – ANPD) üretken yapay zekâ raporunun İngilizce versiyonunu yayımladı. 27.07.2026 tarihinde erişime açılan rapor, otoritenin teknoloji radarı serisi kapsamında hazırlanmış olup üretken yapay zekânın veri koruma boyutunu inceleyen çalışmanın uluslararası paylaşıma açılması anlamına gelmektedir.

Önerilen Adımlar

• Orta Vadeli Program’da öngörülen 2027 üçüncü çeyrek hedefi gözetilerek; aydınlatma metinleri, açık rıza süreçleri, kişisel veri işleme envanteri, saklama ve imha politikası ile yurt dışına aktarım mekanizmalarının GDPR standartlarıyla karşılaştırmalı olarak gözden geçirilmesi ve olası mevzuat değişikliğine yönelik bir hazırlık takviminin şimdiden oluşturulması.
• Kurum bünyesinde kullanılan veya kullanılması planlanan üretken ve etken yapay zekâ araçlarının envanterinin çıkarılması; her bir araç bakımından işleme amacının, hukuki sebebin, aktarılan veri kategorilerinin ve model sağlayıcısının tespit edilerek yapay zekâ kullanım politikasının ve insan denetimi mekanizmasının oluşturulması.
• Avrupa Birliği pazarına yönelik ürün veya hizmet sunan kuruluşlar bakımından Yapay Zekâ Tüzüğü’nün 50’nci maddesindeki şeffaflık yükümlülüklerinin değerlendirilmesi; yapay zekâ ile etkileşime ilişkin bildirimler ile üretilen içeriğin işaretlenmesine yönelik süreçlerin kurgulanması.
• Test, geliştirme ve analiz süreçlerinde gerçek kişisel veri yerine sentetik veya anonimleştirilmiş veri kullanılmasının değerlendirilmesi; yeniden kimliklendirme riskine karşı alınan teknik ve idari tedbirlerin hesap verebilirlik ilkesi gereği belgelendirilmesi.
• Kamu tüzel kişiliğini haiz veri sorumluları ile kamu kurumu niteliğindeki meslek kuruluşları bakımından 2026/1301 sayılı İlke Kararı ve KVKK Yayınları No: 114 sayılı Uyum Rehberi çerçevesinde internet ortamında yapılan yayımların ve mevcut uyum çalışmalarının gözden geçirilmesi.

Kamera ve mikrofon içeren giyilebilir cihazların (akıllı gözlük vb.) işyeri, mağaza, hastane gibi alanlarda kullanımına ilişkin bir kurum içi politika oluşturulması; ziyaretçi ve çalışanlar bakımından bilgilendirme ile gerektiğinde kullanım kısıtı öngörülmesi.