Şirket içi ChatGPT kurulabilir mi? KVKK ve şirket içi LLM için karar rehberi

Kısa cevap: ChatGPT'nin kendisi şirket sunucusuna kurulamıyor; "şirket içi ChatGPT" denince üç farklı seçenekten biri kastediliyor: yurt dışındaki bir sağlayıcının kurumsal hizmeti, bulut üzerinden bir model API'si ya da açık ağırlıklı bir modelin şirketin kendi altyapısına kurulması. KVKK açısından belirleyici soru, kişisel verinin yurt dışına çıkıp çıkmadığı. Çıkıyorsa Kanun'un 9. maddesindeki aktarım kuralları uygulanıyor; çıkmıyorsa yük, kurulumu ve işletmeyi üstlenen şirkete geçiyor.

Bu soru boşuna sorulmuyor. TÜİK'in 2 Ekim 2026 tarihli Yapay Zeka İstatistikleri'ne göre yapay zeka kullanmayı düşünen ama henüz kullanmayan girişimlerin %66,4'ü hukuki belirsizliği, %65,4'ü veri koruma ve gizlilik endişesini gerekçe olarak gösteriyor. Bu yazı, kararı bu iki başlık etrafında netleştirmek için bir çerçeve. Hukuki görüş değildir; kendi durumunuz için KVKK danışmanınızla birlikte değerlendirin.

İlk adım: hangi veri gidecek?

Karar modelden değil, veriden başlıyor. Asistana gönderilecek içeriği üç sınıfa ayırmak çoğu tartışmayı kısaltıyor:

• Kişisel veri: Müşteri, çalışan ya da tedarikçi kişilere ait bilgi. KVKK doğrudan uygulanıyor.
• Ticari sır ve gizli bilgi: Reçeteler, fiyatlar, sözleşmeler, teklif dosyaları. KVKK'nın konusu değil ama sızması en az o kadar maliyetli.
• Genel teknik içerik: Kamuya açık standartlar, ürün kataloğu, genel yazışma taslakları.

Üçüncü sınıf için bulut hizmeti çoğu zaman sorun değil. İlk iki sınıf asistanın ana kullanım alanıysa, aşağıdaki seçeneklerin farkı belirginleşiyor.

Üç seçenek

	Kurumsal hizmet (yurt dışı)	Bulut model API'si	Şirket içi kurulum
Veri nerede işleniyor	Sağlayıcının altyapısında	Seçilen bulut bölgesinde	Şirketin kendi altyapısında
KVKK yurt dışı aktarım	Genellikle evet	Bölgeye bağlı	Hayır
Model kalitesi	En güncel ticari modeller	En güncel ticari modeller	Açık ağırlıklı modeller
Kurulum ve bakım yükü	Düşük	Orta (entegrasyon şirkette)	Yüksek
Maliyet yapısı	Kullanıcı başına abonelik	Kullanım başına ödeme	Donanım ve işletme

Pratikte çoğu kurum tek bir seçenekte kalmıyor: genel içerik için bulut hizmeti, kişisel veri ve gizli doküman üzerinde çalışan asistan için şirket içi kurulum.

Veri yurt dışına çıkıyorsa: KVKK'nın sırası

Kişisel Verileri Koruma Kurumu'nun 24 Kasım 2025'te yayımladığı Üretken Yapay Zeka rehberi bu durumu açıkça ele alıyor: yurt dışında yerleşik bir sağlayıcının hizmeti kullanılıyor ve veri yurt dışına aktarılıyorsa, Kanun'un 9. maddesine ve 10 Temmuz 2024 tarihli aktarım yönetmeliğine uyulması gerekiyor. 1 Haziran 2024'te yürürlüğe giren değişiklikle bu maddenin sırası şöyle:

1. Yeterlilik kararı: Kurul'un aktarımın yapılacağı ülke, sektör ya da uluslararası kuruluş için verdiği karar. Kurul'un yayımlanmış karar listelerinde Kasım 2026 itibarıyla bir yeterlilik kararı göremedik.
2. Uygun güvenceler: Yeterlilik kararı yoksa sırasıyla kamu kurumları arasındaki anlaşmalar, bağlayıcı şirket kuralları, standart sözleşme ve yazılı taahhütname. Özel sektör için en pratik yol standart sözleşme.
3. Arızi aktarım istisnaları: Ancak uygun güvence de sağlanamıyorsa ve aktarım arızi ise. Açık rıza bu istisnalardan biri; tek başına bir aktarım yolu değil.

İki ayrıntı sık atlanıyor. Birincisi, standart sözleşme imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilmek zorunda; bildirmemenin 2026 için idari para cezası aralığı 90.308 TL ile 1.806.177 TL arası. İkincisi, yönetmelik "arızi" aktarımı düzenli olmayan, tek ya da birkaç sefer gerçekleşen ve olağan faaliyet akışında bulunmayan aktarım olarak tanımlıyor. Çalışanların her gün kullandığı bir asistanın bu tanıma uyması zor; bu yüzden açık rızayla çözme yaklaşımı genellikle işlemiyor.

Aktarım tek konu değil

Rehber, veri yurt içinde kalsa da geçerli olan yükümlülükleri yaşam döngüsü boyunca ele alıyor. Uygulamada en çok iş çıkaranlar:

• Rol tespiti: Hangi işlemede şirketin veri sorumlusu, sağlayıcının veri işleyen olduğu yazılı olmalı.
• Aydınlatma: Sistemin kullanımı için yapılan işleme ile modelin eğitimi için yapılan işleme ayrı ayrı anlatılmalı. Kullanıcıya bir yapay zekayla etkileşimde olduğu bildirilmeli.
• İlgili kişi hakları: Rehbere göre haklar eğitim verisini, kullanıcı istemlerini ve çıktıları da kapsıyor. İstemlerin nerede, ne kadar süre saklandığı bu yüzden önemli.
• Güvenlik: Kanun'un 12. maddesindeki teknik ve idari tedbirler bu sistemler için de geçerli.

Şirket içi kurulumun teknik bileşenleri

Veriyi içeride tutmak sorunun yarısı. Diğer yarısı, sistemi gerçekten kullanılabilir ve güvenli kurmak:

• Model seçimi ve Türkçe ölçüm: Açık ağırlıklı modellerin Türkçe başarısı birbirinden çok farklı. Seçimi genel kıyaslama tablolarına değil, şirketin kendi dokümanlarından hazırlanmış bir değerlendirme setine göre yapıyoruz; neden ayrı bir set gerektiğini Türkçe değerlendirme setleri yazımızda anlattık.
• Donanım boyutlandırma: Model boyutu, niceleme düzeyi, aynı anda kaç kullanıcının bekleneceği ve kabul edilebilir yanıt süresi, gereken GPU belleğini belirliyor. Bu hesap kurulumdan önce yapılıyor.
• Doküman yetkileri: Asistan şirket dokümanları üzerinde çalışıyorsa (RAG), bir kullanıcı yalnızca zaten erişebildiği dokümanlardan cevap alabilmeli. Yetki kontrolü arama katmanında yapılmazsa asistan, erişim kısıtlarını fiilen ortadan kaldırıyor.
• Kayıt ve saklama: Kim, ne zaman, hangi soruyu sordu ve hangi kaynaklardan cevap aldı. Bu kayıtlar hem güvenlik hem de ilgili kişi başvuruları için gerekli; saklama süresi baştan belirlenmeli.
• Güncelleme: Yeni model sürümü aynı değerlendirme setinde ölçülmeden devreye alınmamalı.

Bu başlıklardaki çalışmalarımızı Üretken Yapay Zeka ve LLM ve Yapay Zeka Güvenliği sayfalarında anlatıyoruz.

Yasaklamak neden işe yaramıyor?

Kontrollü bir kanal sunmadan yapay zeka kullanımını yasaklayan kurumlarda kullanım çoğu zaman durmuyor; çalışanların kişisel hesaplarına kayıyor. Bu, şirketin hiçbir sözleşmesinin, kaydının ve yetki kontrolünün olmadığı en kötü senaryo. Gerçekçi yaklaşım, hangi verinin hangi kanaldan işlenebileceğini yazılı hâle getirip her sınıf için onaylı bir araç sunmak.

Sık sorulan sorular

ChatGPT'yi şirket sunucusuna kurabilir miyiz? Hayır, ChatGPT'de çalışan modellerin ağırlıkları dağıtılmıyor. Şirket altyapısına kurulabilenler, OpenAI dahil çeşitli geliştiricilerin yayımladığı açık ağırlıklı modeller. Türkçe başarıları modele göre değiştiği için kendi verinizle ölçülmeleri gerekiyor.

Kurumsal sürüm kullanıyoruz, veri eğitimde kullanılmıyor. KVKK sorunu kalkar mı? Eğitimde kullanılmaması önemli bir güvence ama yurt dışı aktarım sorusunu ortadan kaldırmıyor. Veri yurt dışında işleniyorsa 9. madde kapsamında bir aktarım yolu gerekiyor.

Çalışanlardan açık rıza alsak yeterli mi? Genellikle hayır. Açık rıza yalnızca arızi aktarımlar için öngörülmüş; düzenli kullanılan bir hizmet bu tanıma uymuyor.

Şirket içi kurulum her zaman daha mı güvenli? Veri yurt dışına çıkmıyor; ama erişim kontrolü, kayıt ve güncelleme sorumluluğu tamamen şirkete geçiyor. Bunlar kurulmazsa şirket içi sistem de risk taşıyor.

Kaynaklar

• KVKK, Üretken Yapay Zeka ve Kişisel Verilerin Korunması Rehberi (15 Soruda), 24 Kasım 2025
• 6698 sayılı Kişisel Verilerin Korunması Kanunu
• Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, Resmî Gazete 10 Temmuz 2024, Sayı 32598
• KVKK, 2026 yılı idari para cezası tutarları
• TÜİK, Yapay Zeka İstatistikleri 2026, 2 Ekim 2026