Telefonum Konuştuklarımı Dinliyor mu? Sesli Asistanlarda Yanlış Tetiklenme ve KVKK'nın Google Assistant İncelemesi

Kısa cevap: telefonunuzun gün boyu konuştuklarınızı kaydedip reklam için kullandığına dair ortaya konmuş bir bulgu yok. Ama soru tamamen yersiz de değil. Sesli asistanlar tanımı gereği mikrofonu açık tutar, çünkü "Hey Google", "Alexa" ya da "Hey Siri" ifadesini yakalamaları gerekir, ve bu bekleme hali zaman zaman yanlış tetiklenmeye dönüşür. Siz çağırmadığınız halde cihaz uyanır, uyandığı andan itibaren duyduklarını kaydeder ve çoğu üründe bunu buluta gönderir. Kişisel Verileri Koruma Kurulu 11 Şubat 2026 tarihli kamuoyu duyurusunda tam olarak bu iddiayı gündemine aldı. Duyuruda, Google Assistant'ın yanlış tetiklemeler sonucu kullanıcıların özel konuşmalarını izinsiz kaydettiği ve bu verilerin hedefli reklamcılık ile başka amaçlarla kullanıldığına ilişkin haberler üzerine Google LLC hakkında re'sen inceleme başlatıldığı bildirildi. Yani bu kayıtların hukuki durumu artık Türkiye'de de açık bir dosya.

Cihazın içinde iki ayrı aşama çalışıyor. Tetikleme ifadesini tanıyan küçük model cihazın kendi üzerinde durur, sürekli dinler ama duyduğunu saklamaz; saniyelerle ölçülen bir tamponun üzerine sürekli yeniden yazar. İfade yakalandığı anda asıl kayıt başlar, ses sunuculara gider, cevap oradan döner. Sorun tanımanın kasıtlı olarak esnek bırakılmasından çıkıyor. Ruhr Üniversitesi Bochum ile Max Planck Güvenlik ve Mahremiyet Enstitüsü araştırmacılarının 2020'de yayımladığı çalışma, piyasadaki asistanları saatlerce dizi diyaloğuna, haber bültenine ve konuşma kaydına maruz bıraktı ve bini aşkın yanlış tetikleyici ifade tespit etti. Alexa "unacceptable" kelimesiyle, Google Assistant "OK, cool" ile uyanabiliyordu. Araştırmacıların açıklaması da teknik olduğu kadar insani: cihazlar sahibini anlayabilsin diye, hiç uyanmamaktansa bir kez fazla uyanacak biçimde ayarlanıyor.

Hukuken buradan ne çıkıyor? Yanlış tetiklenmeyle alınan birkaç saniyelik kayıt, içinde belirli ya da belirlenebilir bir kişiye ait ses bulunduğu için 6698 sayılı Kanun'un 3. maddesi anlamında kişisel veridir. Kaydın içeriği kadar etrafındaki bilgi de öyle: hangi hesapla ilişkilendirildiği, hangi cihazdan geldiği, saati, pek çok üründe konumu. İkinci bir ayrım var ve sık karıştırılıyor. Ses kural olarak genel nitelikli bir kişisel veridir; mutfakta söylenen bir cümlenin kaydı özel nitelikli veri değildir. Ses, kişiyi tanımak ya da kimliğini doğrulamak amacıyla işlendiği anda biyometrik veriye dönüşür ve 6. maddenin çok daha katı rejimine girer. Kurumun biyometrik verilere ilişkin rehberi bu çizgiyi, ayırt edici özelliklerin veri işleme sonucunda ortaya çıkarılması ve kimliği tanımlamaya ya da doğrulamaya yaraması şartına bağlıyor.

Re'sen inceleme ne anlama geliyor? Kanun'un 15. maddesi Kurula, şikayet beklemeden, ihlal iddiasını öğrendiği hallerde kendiliğinden inceleme yetkisi veriyor. Bu bir ihlal tespiti değil, sürecin başlangıcı. İnceleme sonunda ihlal bulunursa 15. madde kapsamında hukuka aykırılığın giderilmesi istenebilir, 18. madde uyarınca idari para cezası uygulanabilir. 2026 yılında veri güvenliğine ilişkin yükümlülüklerin ihlali 256.357 TL ile 17.092.242 TL arasında bir cezaya konu oluyor. Aynı gün yayımlanan ikinci duyuru da bu tablonun parçası: Kurul, Grok yapay zeka asistanı üzerinden kişilerin rızası olmadan, çocuklar dahil, cinsel içerikli görsel ve video üretildiği iddiaları nedeniyle X Internet Unlimited Company ile X.AI Corporation hakkında da re'sen inceleme başlattı. İki duyuru arka arkaya gelince Kurulun yapay zeka destekli asistanları yakın takibe aldığı anlaşılıyor.

Bu alanın geçmişi Türkiye'den önce Avrupa'da yazıldı. 2019 yazında Belçika kamu yayıncısı VRT'ye, Google için çalışan bir yüklenici tarafından binden fazla Hollandaca ses kaydı sızdırıldı; kayıtların bir kısmında adresler, sağlık bilgileri ve zor durumdaki insanların sesleri vardı. Hamburg veri koruma otoritesi bunun üzerine GDPR'ın 66. maddesindeki acil usulü yürürlüğe girdiğinden bu yana ilk kez işletti ve kayıtların insanlar tarafından dinlenmesinin üç ay süreyle durdurulmasının önünü açtı. Apple aynı dönemde kalite değerlendirme programını askıya aldı, insan incelemesini isteğe bağlı hale getirdi. Amazon tarafında bedel parasal oldu: Federal Ticaret Komisyonu ile Adalet Bakanlığı'nın açtığı dava Mayıs 2023'te 25 milyon dolarlık uzlaşmayla kapandı; iddia, çocukların Alexa kayıtlarının süresiz saklanması, ebeveynlerin silme taleplerinin gereğinin yapılmaması ve bu kayıtların sistemi geliştirmek için kullanılmasıydı. Apple ise Siri'nin istem dışı tetiklenmelerle özel konuşmaları kaydettiği iddiasıyla açılan toplu davayı Ocak 2025'te 95 milyon dolar ödemeyi kabul ederek uzlaşmayla bitirdi, suçlamaları kabul etmediğini belirterek.

Peki "konuştuğum şeyin reklamı hemen karşıma çıkıyor" hissi nereden geliyor? Eylül 2024'te 404 Media'nın yayımladığı bir tanıtım sunumu bu tartışmayı alevlendirdi. Cox Media Group adlı pazarlama şirketi, cihaz mikrofonlarını dinleyerek gerçek zamanlı niyet verisi topladığını öne süren Active Listening adlı bir ürünü müşterilerine anlatıyordu. Haberin ardından Google şirketi iş ortakları sayfasından çıkardı, Amazon'un reklam birimi böyle bir programda hiç çalışmadığını açıkladı. Ortada kanıtlanmış bir dinleme değil, satılmaya çalışılan bir pazarlama vaadi kaldı. Reklamın isabeti genellikle daha sıkıcı bir yerden gelir: arama geçmişiniz, ziyaret ettiğiniz siteler, konumunuz, rehberinizdeki kişiler, aynı ağa bağlı cihazlar ve satın alınan hedef kitle listeleri. Yanınızdaki kişi o ürünü aradıysa reklam pekâlâ size de düşebilir. Mikrofon efsanesinin en sinir bozucu yanı da bu; asıl veri akışının ne kadar geniş olduğunu gölgede bırakıyor.

Evdeki akıllı hoparlör için hukuki tablo ilk bakışta rahatlatıcı. Kanun'un 28. maddesi, kişisel verilerin üçüncü kişilere verilmemesi ve veri güvenliğine ilişkin yükümlülüklere uyulması kaydıyla, gerçek kişilerin tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetleri kapsamında yaptığı işlemeyi Kanun'un dışında bırakıyor. Mutfakta sesle müzik açmanız bu kapsamda kalır. İstisna iki yerde biter. Birincisi kaydı dışarı taşıdığınızda: misafirinizin, temizliğe gelen kişinin ya da komşunuzun sesini içeren bir kaydı paylaştığınız anda üçüncü kişiye veri vermiş olursunuz ve istisnanın şartı düşer. İkincisi kasıt: cihazı birilerini kaydetmek için konumlandırmak bambaşka bir alandır. Türk Ceza Kanunu'nun 133. maddesi, aralarında geçen konuşmaları taraflardan birinin rızası olmadan kaydedeni cezalandırıyor. Cihazın kendi kendine uyanmasıyla oluşan kaza ile kurgulanmış bir kayıt arasındaki fark tam olarak burada.

İşletmeler için ev istisnası diye bir şey yok. Toplantı odasına koyduğunuz akıllı hoparlör, resepsiyondaki asistan, otel odasındaki sesli cihaz, servis aracındaki sesli komut sistemi; hepsinde şirket veri sorumlusudur ve üç soruya cevap vermesi beklenir. Kaydı 5. maddedeki hangi işleme şartına dayandırıyorsunuz, odaya giren çalışanı ve müşteriyi nasıl aydınlatıyorsunuz, ses nerede işleniyor. Üçüncüsü çoğu şirkette hiç açılmamış bir dosyadır: popüler asistanların sunucuları yurt dışında olduğundan her kayıt 9. madde kapsamında bir aktarımdır ve standart sözleşme gibi bir dayanak ister. Kurul ses kaydını görüntü kaydına kıyasla daha müdahaleci bir yöntem sayıyor; 12 Mart 2020 tarihli ve 2020/212 sayılı kararında bu değerlendirmeyi açıkça yaptı. Pratik kural sade tutulabilir. Müşterinin ya da çalışanın mahrem konuştuğu odalarda tetiklemeyle çalışan cihaz bulundurmayın. Bulunduracaksanız mikrofonu fiziksel düğmesinden kapatın, kayıt saklamayı devre dışı bırakın ve o cihazı kişisel veri envanterinize yazın.

Sesin kimlik doğrulama için kullanıldığı yerde eşik yükseliyor. Çağrı merkezinde müşteriyi ses iziyle tanıyan bir sistem kuruyorsanız bu biyometrik veri işlemedir; 6. madde gereği kural olarak açık rıza arar ve Kurumun rehberi, rıza vermeyen kişilere ek maliyet ya da kısıtlama olmadan alternatif bir doğrulama yöntemi sunulmasını bekler. Ses arşivlerinin bugün taşıdığı ikinci risk daha yeni. Temiz kaydedilmiş birkaç saniyelik konuşma, ses klonlama araçları için yeterli olabiliyor; bu da sesle doğrulama yapan sistemlerin kendi kayıtlarını saldırganın eğitim verisi haline getirmesi anlamına geliyor. Ses kayıtlarını bir e-posta arşivi gibi değil, kimlik verisi gibi koruyun: erişim yetkisini daraltın, şifreleyin, saklama süresini yazın ve süresi dolanı gerçekten silin.

Çocuk odasındaki cihaz ayrı bir başlık. Amazon dosyasında Federal Ticaret Komisyonu'nun asıl itirazı kaydın alınması değil, çocuklardan toplanan seslerin varsayılan ayarla süresiz saklanması ve silme taleplerine rağmen sistemde kalmasıydı. Türkiye'de çocuğun kişisel verisi söz konusu olduğunda işin içine velinin rızası ve çocuğun ayırt etme gücü girer, cihazın kolay kullanımı bu çerçeveyi değiştirmez. Akıllı oyuncak, bebek odası kamerası, çocuk saati ya da çocuk odasındaki hoparlör almadan önce dört soruyu sorun: kayıtlar nerede saklanıyor, ne kadar süreyle duruyor, üretici bunları model geliştirmek için kullanıyor mu, hesap kimin adına açılıyor. Üreticinin gizlilik metni bu dördüne net cevap vermiyorsa cihaz çocuk odasına değil, iade kutusuna gitmelidir.

Kurum konuya bu yıl ayrı bir yayın ayırdı. KVKK Bülteni'nin Mayıs-Eylül 2026 dönemini kapsayan 12. sayısı Akıllı Cihazlar ve Dijital Mahremiyet başlığını taşıyor ve akıllı cihaz kullanıcılarına on temel öneri veriyor. Özetle: cihazın hangi veriyi hangi amaçla işlediğini ve ne kadar sakladığını öğrenin, kamera, mikrofon, konum ve rehber için gereksiz izin vermeyin, gizlilik ve veri paylaşımı ayarlarını düzenli gözden geçirin, her hesapta güçlü ve farklı parola kullanın, destekleniyorsa çok faktörlü doğrulamayı açın, işletim sistemi ve uygulama güncellemelerini geciktirmeyin, kullanmadığınız uygulamaları kaldırın ve gereksiz hesapları kapatın, cihazlar ile servisler arasındaki veri paylaşımını kontrol edin, cihazı satmadan ya da devretmeden önce oturumu kapatıp verileri silin ve mümkünse fabrika ayarlarına döndürün, istenen verinin hizmet için gerçekten gerekli olup olmadığını sorun. Bültenin altını çizdiği nokta ise tek başına kullanıcı tedbirlerine güvenilemeyeceği: mahremiyet tasarım aşamasından itibaren kurulmalı. Aynı sayı, çevredeki konuşmaları fark edilmeden kaydedebilen akıllı gözlükleri de aynı başlık altında tartışıyor.

Bugün yarım saat ayırıp yapabileceğiniz kontroller var. Google hesabınızda ses kayıtlarının saklanması yeni hesaplarda 2020'den beri varsayılan olarak kapalı geliyor, ama eski hesaplarda açık kalmış olabilir; Web ve Uygulama Etkinliği ayarından durumu görüp otomatik silme süresini seçebilir, geçmiş kayıtları dinleyip silebilirsiniz. iPhone'da Siri ve Dikte Geçmişi tek dokunuşla silinir, ayarlardan Siri'nin ses ifadesiyle uyanması tamamen kapatılabilir. Amazon tarafında bir ayarın kaybolduğunu bilmek işe yarar: Echo cihazlarındaki ses kayıtlarını buluta göndermeme seçeneği Mart 2025'te kaldırıldı, artık istekler bulutta işleniyor. Telefonunuzda mikrofon izni olan uygulamaların listesini çıkarın, son bir haftada mikrofona hangi uygulamanın eriştiğine bakın, iOS ve Android'in ekranın üstünde gösterdiği turuncu veya yeşil noktayı kullanmayı alışkanlık haline getirin. Akıllı hoparlörde mikrofonu kapatan fiziksel düğmeyi toplantı ve misafir zamanlarında kullanın. İş yerinde sesli asistan, toplantı botu ya da sesle doğrulama kullanıyorsanız ve bunların hukuki dayanağı, aydınlatma metni ve yurt dışı aktarım tarafı yazılı değilse, KVKK Danışman'ın ücretsiz ön değerlendirmesinde bu cihazların envanterini ve eksik adımları birlikte çıkarabiliriz.

Randevu Al