Kredi Başvurumu Reddeden Algoritmaya İtiraz Edebilir miyim? KVKK'da Otomatik Karar Verme, Skorlama ve İnsan Müdahalesi

Kısa cevap: evet, itiraz edebilirsiniz. 6698 sayılı Kanun'un 11. maddesinin birinci fıkrasının (g) bendi, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkını açıkça sayıyor. Kredi başvurusunun bir skorla reddedilmesi, sigorta priminin risk motoruyla belirlenmesi, özgeçmişin yazılım tarafından elenmesi, e-ticarette kapıda ödeme seçeneğinin dolandırıcılık puanı yüzünden kapatılması bu bendin tipik örnekleri. İki koşul birlikte aranıyor: kararın insan değerlendirmesi olmaksızın yalnızca sistem tarafından üretilmiş olması ve sonucun kişinin aleyhine olması. Beklentiyi doğru kurmakta fayda var. Kanun, Avrupa'daki düzenlemenin yaptığı gibi otomatik kararı kural olarak yasaklamıyor, size itiraz hakkı tanıyor; itirazın kararı kendiliğinden ortadan kaldırdığı da yazılı değil. İzlenecek yol belli: önce veri sorumlusuna başvuru, en geç otuz gün içinde cevap, cevap gelmezse ya da yetersiz kalırsa Kurul'a şikâyet.

Hangi karar münhasıran otomatik sayılır? Ölçü, insanın süreçte görünmesi değil, gerçekten karar verebilmesi. Ekrandaki skoru okuyup onayla düğmesine basan bir operatör süreci otomatik olmaktan çıkarmaz. Sonucu değiştirebilecek, dosyayı yeniden değerlendirebilecek ve gerektiğinde sistemin çıktısını aşabilecek bir yetki varsa tablo başkadır. Kurumun yayınlarında da kısmen otomatik işleme ile münhasıran otomatik işleme arasındaki ayrıma dikkat çekiliyor, profil oluşturmada kullanılan kriterlerin olay bazında incelenmesi gerektiği söyleniyor. Şirketlerin çoğu bu ayrımı hiç yazıya dökmüyor. Bir başvuru geldiğinde kararı insan verdi demek yetmez; kimin, neye bakarak ve ne zaman verdiğini gösterebilmek gerekir.

Türkiye'de tartışmanın en somut örneği bir araç kiralama dosyasında görülüyor. Kurul'un 20 Temmuz 2023 tarihli ve 2023/1234 sayılı kararında şirket, ilk kez kiralama yapan yurt içi müşteriler için Karar Destek Skoru adını verdiği bir sistem kurmuştu. Sistem Findeks puanını, kredi başvurularını, ödeme performansını, borç oranını ve sosyoekonomik göstergeleri birlikte değerlendirip müşteriye araç verilip verilmeyeceğini belirliyordu. Kurul, Findeks raporunun işlenmesinin açık rızaya dayandırıldığını, ancak bu rızanın hizmetin ön koşulu hâline getirilmesi durumunda geçerli bir rıza sayılamayacağını, aydınlatmanın da yetersiz kaldığını tespit etti. Şirketin 11. madde kapsamındaki talebe gereği gibi cevap vermemesi de karara girdi. Sonuç 100.000 TL idari para cezası oldu.

İtirazın en güçlü hâli çoğu zaman kararın kendisine değil, karara giren veriye yöneliktir. Kanun'un 4. maddesi kişisel verinin doğru ve gerektiğinde güncel olmasını istiyor, 11. maddenin (d) bendi de eksik veya yanlış işlenmiş verinin düzeltilmesini talep etme hakkı veriyor. Kurul'un 2 Kasım 2021 tarihli ve 2021/1107 sayılı kararı bunun iyi bir örneği. Kredi kartı ödemelerinde gecikmesi bulunmadığını söyleyen müşteri, notunun tekrar tekrar düşürüldüğünü ve düzeltme taleplerinin sonuçsuz kaldığını şikâyet etti. Kurul, kredi kararları alan bir bankanın veri doğruluğu konusunda etkin bir özen yükümlülüğü taşıdığını, hatalı bilginin Risk Merkezi'ne bildirilmesini önleyecek tedbirlerin alınmadığını değerlendirdi ve 150.000 TL idari para cezası uyguladı. Skorunuz düştüyse ilk sorunuz algoritma neden böyle karar verdi değil, bu algoritmaya hangi bilgi girdi olmalı.

Her itirazın işe yaramadığı bir alan da var. Bankaların müşteri risk bilgilerini Kredi Kayıt Bürosu'na ve 5411 sayılı Bankacılık Kanunu'nun ek 1. maddesiyle kurulan Risk Merkezi'ne bildirmesi kanundan doğan bir yükümlülük. Kurul'un 31 Ağustos 2023 tarihli ve 2023/1509 sayılı kararında müşteri, verilerinin büroya aktarılmasına ilişkin rızasını geri çektiğini bildirmiş, banka talebi reddetmişti. Kurul aktarımın 5. maddedeki kanuni yükümlülük şartına dayandığını, dolayısıyla ortada geri çekilebilecek bir rıza bulunmadığını belirtti ve bankaya ceza vermedi. Yine de bir uyarı çıktı: başvuruyu reddeden veri sorumlusu ret gerekçesini açıklamak zorunda. Gerekçesi yazılmamış bir talebiniz uygun görülmemiştir cevabı, tek başına ayrı bir ihlal başlığı olabilir.

Şirket tarafında yapılacak işin listesi kısa, ihmal edilen tarafı ise geniş. Aydınlatma metniniz skorlama ya da otomatik değerlendirme yapıldığını, bunun hangi veri kaynaklarına dayandığını ve kişi açısından doğurabileceği sonucu anlaşılır biçimde söylemeli. İşlemeyi 5. maddedeki şartlardan birine oturtmanız gerekir. Sözleşmenin kurulması veya ifası için zorunlu olma ile meşru menfaat en sık dayanılanlar, ancak meşru menfaate dayanıyorsanız denge testini önceden ve yazılı olarak yapmış olmanız beklenir. Sağlık verisi ya da sendika üyeliği gibi özel nitelikli veri modele giriyorsa 6. madde devreye girer ve alan ciddi biçimde daralır. Bir de itiraz kanalı kurun: kararı gözden geçirecek kişinin kim olduğu, hangi sürede baktığı ve neye göre karar verdiği kayıt altında olsun.

Avrupa ile aradaki fark burada belirginleşiyor. GDPR'ın 22. maddesi, hukuki sonuç doğuran veya kişiyi benzer biçimde önemli ölçüde etkileyen münhasıran otomatik kararları kural olarak yasaklıyor; sözleşme için zorunluluk, hukuken izin verilmiş olma ve açık rıza dışında istisna tanımıyor. İstisna hâllerinde bile insan müdahalesi talep etme, görüşünü bildirme ve karara itiraz etme güvenceleri şart. 6698 sayılı Kanun'da böyle bir yasak yok, insan müdahalesi hakkı da açıkça yazılmadı; profilleme kavramının tanımı Kanun metninde hiç geçmiyor. Avrupa Birliği'ndeki kişilere hizmet veriyorsanız iki rejime birlikte bakmanız gerekir, çünkü sizin için geçerli ölçü orada daha katı.

Skoru kimin ürettiği ayrı bir sorumluluk sorusu. Avrupa Birliği Adalet Divanı 7 Aralık 2023 tarihli SCHUFA kararında (C-634/21), bir kredi bilgi kuruluşunun ürettiği ödeme gücü olasılık değerinin, bu değeri alan bankanın kararında belirleyici ağırlık taşıması hâlinde tek başına otomatik bireysel karar sayılacağını söyledi. Sorumluluk yalnızca krediyi reddeden bankada kalmıyor, skoru üreten kuruluşta da doğuyor. Karar Türkiye'de bağlayıcı değil. Ama skor sağlayıcısıyla skoru kullanan şirket arasındaki sorumluluk paylaşımı bizde de aynı biçimde tartışılıyor ve biz sadece dışarıdan aldığımız puana baktık savunması gittikçe zayıflıyor.

Kurumun yapay zekâ alanındaki yaklaşımı adım adım şekillendi. Eylül 2021'de yayımlanan Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler; tasarımdan itibaren veri koruma, veri minimizasyonu, ayrımcılık ve olumsuz önyargı riskinin engellenmesi ile insan müdahalesinin korunmasını öne çıkarıyordu. Üzerine 24 Kasım 2025 tarihli Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, 5 Mart 2026 tarihli iş yerlerinde üretken yapay zekâ araçlarının kullanımına ilişkin doküman ve 12 Mart 2026 tarihli Etken Yapay Zekâ rehberi eklendi. Son doküman, özerk çalışan sistemlerde kara kutu sorununu ve çok adımlı karar süreçlerinde hesap verebilirliği ayrıca işaret ediyor. Bu belgeler bağlayıcı düzenleme değil, Kurul'un bir şikâyette neye bakacağını gösteren beklenti metinleri.

Mevzuat tarafında Türkiye'de yapay zekâyı doğrudan düzenleyen özel bir kanun hâlâ yürürlükte değil. Meclise sunulmuş kanun teklifleri ve komisyon çalışmaları tartışmayı ilerletti, 18 Ağustos 2026 tarihli Resmî Gazete'de yayımlanan 2026/9 sayılı Cumhurbaşkanlığı Genelgesi ile Türkiye Yapay Zekâ Eylem Planı (2026-2030) yürürlüğe girdi. Plan bir kanun değil, dört eksen üzerine kurulmuş bir eylem ve yönetişim çerçevesi. Yani bir modeli üretime aldığınızda bugün hesap vereceğiniz metin yine 6698 sayılı Kanun. Yeni bir kanun bekleyip uyumu ertelemek pratikte işe yaramıyor, Kurul'un elindeki maddeler zaten yeterli.

Bireysel tarafta izlenecek adımlar net. Başvurunuzu veri sorumlusuna yazılı olarak, kayıtlı elektronik posta, güvenli elektronik imza ya da veri sorumlusunun sisteminde kayıtlı e-posta adresiniz üzerinden iletin; Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ kimlik bilgileri, talep konusu ve adres gibi asgari içeriği sayıyor. Talebinizde somut olun. Hangi kararın hangi tarihte verildiğini, kararın münhasıran otomatik olup olmadığını ve hangi verilere dayandığını açıkça sorun, yanlış olduğunu düşündüğünüz veriyi düzeltme talebiyle birlikte belirtin. Veri sorumlusu en geç otuz gün içinde ve kural olarak ücretsiz cevap verir, işlem ayrıca bir maliyet gerektiriyorsa Kurul tarifesi uygulanabilir. Cevap olumsuzsa veya hiç gelmezse cevabı öğrendiğiniz tarihten itibaren otuz, her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul'a şikâyet edebilirsiniz. Başvuru yolu tüketilmeden şikâyet edilemiyor; zararınız varsa genel hükümlere göre tazminat hakkınız saklı.

Yaptırım tarafı da soyut değil. Aydınlatma yükümlülüğünü yerine getirmemek 2026 yılında 85.437 TL ile 1.709.200 TL arasında, 12. maddedeki veri güvenliği yükümlülüklerini ihlal etmek 256.357 TL ile 17.092.242 TL arasında idari para cezasına konu olabilir. Skorlama kuran şirketlerde bu iki başlık genellikle birlikte geliyor: metinde hiç anlatılmamış bir otomatik değerlendirme ve girdisi denetlenmeyen bir model. Şirketinizde bir skorlama, otomatik eleme ya da risk motoru varsa üç soruyu bugün cevaplayabilmeniz gerekir. Hangi hukuki sebebe dayanıyor, aydınlatma metninde yazıyor mu, itiraz geldiğinde kararı gerçekten gözden geçirecek bir insan var mı. KVKK Danışman'ın ücretsiz ön değerlendirmesinde bu üç başlığı mevcut süreçlerinizle karşılaştırıp eksikleri ve öncelik sırasını çıkarıyoruz.

Randevu Al