Yapay Zekayla Birinin Yüzünü ve Sesini Kullanmak Suç mu? Deepfake'te KVKK, Reklamlarda Dijital Kopya Yasağı ve TCK Maddeleri

Kısa cevap: Türk hukukunda deepfake diye ayrı bir suç tipi yok, ama boşluk da yok. Bir içerik baştan sona yapay zekayla üretilmiş olsa bile içinde gerçek bir kişinin yüzü ya da sesi varsa, o kişi bakımından kişisel veri işlenmiş olur. Kişisel Verileri Koruma Kurumu bunu kendi yayınında açıkça söylüyor. Sonrası içeriğin ne olduğuna bağlı, çünkü müstehcen bir montaj ile bir reklam filmindeki sentetik sunucu aynı hükümlere tabi değil. Ceza tarafında Türk Ceza Kanunu'nun 134, 135, 136, 125, 107 ve 267. maddeleri sırayla devreye giriyor. İdari tarafta 6698 sayılı Kanun'un hukuka uygun işleme ve veri güvenliği yükümlülükleri var. Ticari tarafta ise 1 Ağustos 2026'dan beri yürürlükte olan yeni bir kural duruyor: gerçek bir kişinin yapay zekayla oluşturulmuş dijital kopyasının bir ürünü kullanıyormuş ya da tavsiye ediyormuş gibi gösterilmesi reklamlarda doğrudan yasak.

Kurumun konuya ayırdığı ilk resmi metin Deepfake Bilgi Notu. KVKK Yayınları arasında 75 numarayla, Nisan 2025'te çıktı. Kısa bir metin, ama meselenin özünü iyi yakalıyor. Bilgi notunda deepfake, insanların yüz, hareket ve sesini gerçeğe uygun olacak şekilde taklit etmek veya değiştirmek için fotoğrafların, videoların ya da seslerin yapay zeka teknikleriyle kullanılması olarak tanımlanıyor. Tehdit bölümündeki iki cümle hukuki tartışmanın kilidini açıyor: ses ve görüntü gibi kişisel veriler alınıp başka kişisel verilerle karıştırılarak gerçeklikten uzak bir kişisel veri ortaya çıkarılıyor, böylece gerçek olmayan ama içinde gerçek kişisel veri bulunduran karma bir içerik elde ediliyor. Yani bu video sahte, dolayısıyla ortada kişisel veri yok savunması çalışmıyor. 6698 sayılı Kanun'un 3. maddesi kişisel veriyi kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlıyor. Videodaki kişiyi tanıyorsanız belirlenebilirlik şartı zaten gerçekleşmiştir.

Sınırın nerede bittiğini Kurumun 24 Kasım 2025'te yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi gösteriyor. Rehber deep fake tanımını 2024/1689 sayılı AB Yapay Zekâ Tüzüğü'nden alıyor ve üretken yapay zekanın risk başlıklarından biri olarak sayıyor. İçindeki bir örnek, pratikte en çok işe yarayan ayrımı kuruyor. Bir grafik tasarım ajansı sosyal medya görselleri üretmek için üretken yapay zeka kullanıyor; sisteme verdiği istemler yaz indirimi temalı afiş ya da şehir silueti içeren manzara tasarımı gibi, hiçbir gerçek kişiye ilişkin bilgi içermiyor, çıktılarda da kimliği belirli veya belirlenebilir bir kişi yok. Rehber bu durumda kural olarak kişisel veri işlenmediğini söylüyor. Tamamen uydurma bir yüz üretmek ile gerçek bir kişinin yüzünü ödünç almak arasındaki fark tam burada. Girdiye de bakmak gerekiyor: modeli kendi müşteri veya çalışan fotoğraflarınızla ince ayardan geçirdiyseniz, çıktı sentetik görünse bile süreç baştan kişisel veri işleme olarak başlamıştır.

Peki yüz ve ses özel nitelikli veri midir? Buna refleksle evet demek yanlış olur. Kurumun biyometrik veri rehberindeki tanım, bir gerçek kişinin özgün bir şekilde teşhis edilmesini sağlayan veya teyit eden fiziksel, fizyolojik ya da davranışsal özelliklerine ilişkin, spesifik teknik işlemeden kaynaklanan kişisel verilerden söz ediyor. Sosyal medyadaki bir profil fotoğrafı tek başına bu tanıma girmez, sıradan kişisel veridir. Ama o fotoğraftan yüz geometrisi çıkarılıp bir model eğitiliyorsa ya da kişinin ses örneklerinden onu başkalarından ayıran bir ses modeli üretiliyorsa tablo 6. maddeye yaklaşır. Ayrımın pratik sonucu ağır. Özel nitelikli veri işleniyorsa 6. maddedeki şartların yanında Kurulun 31 Ocak 2018 tarihli ve 2018/10 sayılı ilke kararındaki yeterli önlemler de aranıyor: ayrı politika ve prosedür, kapsam ve süre olarak tanımlanmış erişim yetkisi, kriptografik yöntemlerle muhafaza, uzaktan erişimde iki kademeli kimlik doğrulama. Elinizde yüz ve ses örneği barındıran bir arşiv varsa onu sıradan bir pazarlama klasörü gibi yönetmek riskli.

İşletmeleri en doğrudan ilgilendiren kural geçen yaz geldi. Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliği'ndeki kapsamlı değişiklik 1 Temmuz 2026 tarihli ve 33297 sayılı Resmî Gazete'de yayımlandı, 1 Ağustos 2026'da yürürlüğe girdi. İki hüküm doğrudan bu konuya bakıyor. 18. maddeye eklenen fıkra, reklamlarda yapay zekanın tüketicilerin ekonomik davranışını önemli ölçüde etkileyecek şekilde kullanılması veya insandan ayırt edilemeyecek dijital karakterlere yer verilmesi halinde bunun açık, anlaşılır ve ayırt edilebilir şekilde belirtilmesini zorunlu kılıyor. 27. maddeye eklenen fıkra daha sert: gerçek bir kişinin yapay zeka kullanılarak oluşturulmuş dijital kopyasının, gerçeğe aykırı şekilde bir mal veya hizmeti kullandığı, deneyimlediği ya da tavsiye ettiği izlenimini veren reklamlar yapılamıyor. Buradaki incelik çoğu ajansın gözünden kaçıyor. İkinci hüküm bir etiketleme kuralı değil, bir yasak. Videonun köşesine yapay zeka ile üretilmiştir yazmak o reklamı hukuka uygun hale getirmiyor. Aynı içerik iki ayrı kapıdan ceza getirebilir: Reklam Kurulu, 6502 sayılı Tüketicinin Korunması Hakkında Kanun'un 77. maddesi uyarınca reklamın durdurulmasına, aynı yöntemle düzeltilmesine ve idari para cezasına karar verebiliyor. KVKK tarafının ölçüsü ise reklamın aldatıcı olup olmaması değil, kişinin verisinin hangi hukuki sebeple işlendiği. Bir kişinin yüzünü ya da sesini reklamda kullanmanın pratikte tek dayanağı açık rıza; üstelik o rıza her an geri alınabiliyor.

Şirketler için ikinci risk alanı reklam değil, muhasebe. Ses klonlama artık birkaç saniyelik örnekle çalışıyor ve dolandırıcılığın senaryosu hep aynı: finans sorumlusu genel müdürün sesiyle bir telefon ya da sesli mesaj alıyor, acil ve gizli bir ödeme talimatı veriliyor, teyit için verilen numara da saldırganın elinde oluyor. Ceza hukuku tarafında bu fiil nitelikli dolandırıcılık. Türk Ceza Kanunu'nun 158. maddesinin birinci fıkrasının (f) bendi bilişim sistemlerinin araç olarak kullanılmasını sayıyor; aynı maddede bu bentte hapis cezasının alt sınırının dört yıldan, adli para cezasının ise suçtan elde edilen menfaatin iki katından az olamayacağı yazıyor. Şirketin asıl meselesi faili bulmak değil. Ödeme onay akışınız tek kanalda duruyorsa, yani sesle verilen bir talimat ikinci ve bağımsız bir kanaldan doğrulanmadan işleme alınabiliyorsa, bu artık bir güvenlik açığıdır. Üst yönetimin yüksek çözünürlüklü konuşma videoları zaten internette duruyor. Korunacak olan ses değil, onay zinciri.

Üçüncü alan içeriden geliyor. Pek çok şirket eğitim videolarını, çağrı merkezi anonslarını ya da tanıtım avatarlarını artık kendi çalışanlarının yüz ve sesinden üretiyor. Buradaki hukuki sebep neredeyse her zaman açık rıza olmak zorunda, çünkü bu kullanımın iş sözleşmesinin ifasıyla doğrudan bağlantısı yok. İş ilişkisinde açık rızanın özgür iradeyle verildiğini savunmak ise zor; rızayı vermemenin çalışan aleyhine sonuç doğurabileceği bir ortamda rıza geçerliliğini kaybeder. Rıza alınsa bile kalıcı değil. Çalışan rızasını geri aldığında ya da işten ayrıldığında, o sesle üretilmiş içeriğin yayında kalması yeni bir veri işleme faaliyeti olarak değerlendirilir. Sözleşmeye süresiz ve geri alınamaz kullanım hakkı yazmak bunu değiştirmiyor. Yapılması gereken daha sade: kullanım amacını, mecrayı ve süreyi yazılı olarak sınırlamak, çıkış sürecine sentetik içeriğin kaldırılması adımını eklemek.

Mağdur tarafına geçelim, çünkü soru genellikle oradan geliyor. Hangi maddeden şikayetçi olunacağı içeriğin niteliğine göre değişiyor. Özel hayata ilişkin görüntü veya sesin hukuka aykırı ifşası 134. maddenin ikinci fıkrasında iki yıldan beş yıla kadar hapisle karşılanıyor. Kişisel verinin hukuka aykırı kaydedilmesi 135. maddede bir yıldan üç yıla, bir başkasına verilmesi, yayılması veya ele geçirilmesi 136. maddede iki yıldan dört yıla kadar hapis gerektiriyor. İçerik onur, şeref ve saygınlığa saldırı niteliğindeyse 125. madde üç aydan iki yıla kadar hapis ya da adli para cezası öngörüyor; fiil alenen işlenmişse ceza altıda biri oranında artıyor. Sahte içerik gösterilerek para veya başka bir çıkar isteniyorsa 107. madde şantajı bir yıldan üç yıla kadar hapis ve beşbin güne kadar adli para cezasıyla cezalandırıyor. Üretilen içerik müstehcense ve kullanılan görüntü bir çocuğa aitse 226. maddenin üçüncü fıkrası üretene beş yıldan on yıla kadar hapis cezası veriyor. Uydurma bir içerikle birine suç isnat edilip şikayet edilmişse 267. maddedeki iftira devreye girer ve maddi eser ve delillerin uydurulması halinde ceza yarı oranında artar.

Usul tarafında az bilinen iki ayrıntı işi kolaylaştırıyor. Birincisi 139. madde. Kişisel verilerin kaydedilmesi, hukuka aykırı olarak verilmesi veya ele geçirilmesi ile verileri yok etmeme suçları şikayete bağlı değil; yani 135 ve 136. maddelerden yürüyen bir soruşturma, mağdur şikayetinden vazgeçse de devam eder. Buna karşılık 134. maddedeki özel hayatın gizliliğini ihlal şikayete bağlı olduğundan orada süreyi kaçırmamak gerekiyor. İkincisi 137. madde: suç bir kamu görevlisi tarafından görevinin verdiği yetki kötüye kullanılarak ya da belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenmişse ceza yarı oranında artıyor. İçeriği üreten kişi bir ajansta, prodüksiyon şirketinde veya bilgi işlem biriminde çalışıyorsa bu fıkra tartışılabilir. 140. madde ise fiil bir tüzel kişinin faaliyeti çerçevesinde işlendiğinde tüzel kişilere özgü güvenlik tedbirlerine hükmolunacağını söylüyor.

Türkiye'de deepfake'i adıyla tanımlayan bir ceza hükmü hâlâ yok; Meclise sunulmuş kanun teklifleri komisyon aşamasını geçmedi. Boşluğu şimdilik mevcut hükümler ve düzenleyici kurumların hamleleri dolduruyor. Kurumun yakın tarihli bir adımı sorumluluğun nereye kaydığını gösteriyor. 11 Şubat 2026 tarihli kamuoyu duyurusunda Kurum, Grok adlı yapay zeka asistanının kişilerin rızası olmaksızın, çocuklar da dahil olmak üzere cinsel içerikli görüntü ve video üretmek ve bu içerikleri dolaşıma sokmak amacıyla kullanıldığının tespit edildiğini açıkladı; X Internet Unlimited Company ve X.AI Corporation hakkında re'sen inceleme başlatıldığını duyurdu. Dikkat çeken nokta incelemenin yönü. Kurum içeriği üreten kullanıcıya değil, geliştirme ve uygulama süreçlerinde 6698 sayılı Kanun kapsamında gerekli teknik ve idari tedbirlerin alınıp alınmadığına baktı. Ürününde yapay zeka özelliği bulunduran bir şirketseniz buradan çıkan mesaj açık: kötüye kullanımı sınırlamayan bir sistem tasarlamak, 12. madde anlamında başlı başına bir tedbir eksikliği olarak değerlendirilebiliyor. 2026 yılı için veri güvenliğine ilişkin yükümlülüklerin ihlalinde idari para cezası 256.357 TL ile 17.092.242 TL arasında, aydınlatma yükümlülüğünün ihlalinde 85.437 TL ile 1.709.200 TL arasında uygulanıyor.

Hedef olduysanız ilk gün yapılacaklar sıralı. Delili sabitleyin: ana sayfa adresi değil tam bağlantı, tarih ve saat görünen ekran görüntüsü, mümkünse bağımsız bir arşiv kaydı. Platforma bildirim yapın ve bildirim numarasını saklayın. İçerik özel hayatınızın gizliliğini ihlal ediyorsa 5651 sayılı Kanun'un 9/A maddesindeki hızlı yol açık, ancak talebin yirmi dört saat içinde sulh ceza hakiminin kararına sunulması zorunlu. Ceza şikayetini savcılığa yapın; 135 ve 136. maddeler için şikayet şartı aranmasa da ihbar süreci hızlandırır. İçeriği yayımlayan taraf bir veri sorumlusuysa 11. madde kapsamında silme talebi gönderin, otuz gün içinde cevap gelmezse ya da cevap yetersiz kalırsa Kurula şikayet yolu açılır. Türk Medeni Kanunu'nun 24 ve 25. maddeleri de saldırıya son verilmesi ile maddi ve manevi tazminat davalarının yolunu gösteriyor; bu dava asliye hukuk mahkemesinde açılıyor.

Şirket tarafında kendi tablonuzu çıkarmak için beş soru yeterli: reklam ve içerik üretim süreçlerinizde gerçek bir kişinin görüntüsü veya sesi yapay zekayla işleniyor mu, ajans sözleşmenizde bu işlemenin veri sorumlusu kim yazıyor, 1 Ağustos 2026'dan sonra yayına giren içeriklerinizde etiketleme ve dijital kopya kuralı gözetildi mi, ödeme ve yetkilendirme akışlarında ses veya görüntü tek başına doğrulama aracı olarak kullanılıyor mu, çalışan ses ve video arşivinize isim isim kimler erişiyor. Bunlardan birine net cevap veremiyorsanız, KVKK Danışman'ın ücretsiz ön değerlendirmesinde içerik üretim sürecinizi, ajans ve tedarikçi sözleşmelerinizi ve ödeme onay akışınızı birlikte gözden geçirip hangisinin düzeltilmesi hangisinin belgelenmesi gerektiğini çıkarabiliriz.

Randevu Al