Toplantı Kaydını Yapay Zekaya Özetletmek KVKK'ya Uygun mu? Transkript, Not Alan Botlar ve Yurt Dışına Aktarım

Kısa cevap: kaydedebilirsiniz, ama kayıt tuşuna basmak teknik bir tercih değil, yeni bir kişisel veri işleme faaliyeti başlatmaktır ve üç sorunun cevabını aynı anda ister. Birincisi, kaydı 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 5. maddesindeki hangi işleme şartına dayandırdığınız. Çalışanların ya da müşterilerin masada olduğu bir toplantıda açık rıza sanıldığı kadar sağlam bir dayanak değildir. İkincisi, katılımcıların kayıttan haberi olup olmadığı; habersiz kayıt Türk Ceza Kanunu'nun 133. maddesi kapsamında suç doğurabilir. Üçüncüsü, transkripti ve özeti üreten aracın nerede çalıştığı. Sağlayıcı yurt dışındaysa Kanun'un 9. maddesindeki aktarım rejimi devreye girer ve çoğu şirketin hiç açmadığı bir dosya açılır. Bu üçünün cevabı hazır değilse toplantı kaydı bir verimlilik kazanımı değil, sessizce biriken bir uyum riskidir.

Kayıt tek bir veriden ibaret değil. Bir toplantıdan geriye en az dört çıktı kalır: ses ve görüntü kaydı, konuşulan cümleleri yazıya döken transkript, transkriptten türetilen özet ile yapılacaklar listesi, bir de katılımcı listesi, giriş çıkış saatleri, kimin ne kadar konuştuğu gibi metrikler. Aralarındaki fark pratikte büyük. Bir video kaydını izlemek için zaman ayırmanız gerekir; transkript ise aranabilir metindir. Kırk dakikalık bir satış görüşmesinin transkriptinde "fiyatı geçen yıl yüzde otuz artırmıştık" cümlesini kimin kurduğu, saatiyle birlikte yazılıdır. O metin kopyalanır, e-postayla dolaşır, bir gün bir dava dosyasına eklenir. Kaydı almak kolaydır, dolaşımını geri almak değil.

Hukuki sebep tarafında işletmeler genelde iki hatadan birine düşüyor: ya her şeyi açık rızaya bağlıyorlar ya da hiç düşünmeden kaydediyorlar. Kanun'un 5. maddesi açık rıza dışında da yollar sayar; sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma, hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi, kullanılması veya korunması ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati bunların başında gelir. Toplantı kaydı uygulamada çoğunlukla meşru menfaate dayandırılmaya çalışılıyor, ki bu dayanak bir test gerektiriyor: menfaat gerçekten var mı, kişisel veri işlemeden aynı sonuca ulaşmanın başka yolu var mı, işleme ölçülü mü? Kurulun 30 Kasım 2023 tarihli ve 2023/2007 sayılı kararı testin nasıl işlediğini net gösteriyor. Bir işveren güvenlik kulübesindeki kamerayla hem görüntü hem ses kaydı alıyor, kaydı sonradan bir dava dosyasına sunuyor. Kurul, güvenlik amacı için görüntü kaydının zaten yeterli olduğunu, üstüne ses kaydı alınmasında meşru menfaat bulunmadığını değerlendirdi; zorunluluk şartı yoktu ve aynı yarara başka yolla ulaşmak mümkündü. Karar 12. maddenin birinci fıkrasına aykırılıktan 125.000 TL idari para cezası ve hukuka aykırı ses verilerinin imhası talimatıyla bağlandı. Toplantı kaydı için çıkan ders şu: her ek veri katmanı kendi gerekçesini taşımak zorunda. "Not almak kolaylaşıyor" cümlesi kaydın zorunlu olduğunu göstermez, çünkü not toplantıdan sonra insan eliyle de yazılabilir.

Açık rızanın neden zayıf bir çözüm olduğunu görmek için tanımına bakmak yeterli: belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza. Özgür irade, iş ilişkisinde tartışmalı bir unsurdur. Toplantıya bağlandığında ekranda çıkan kutuda kabul etmekten başka seçeneği olmayan, reddetmesi hâlinde bunun kendisine olumsuz döneceğini bilen çalışanın rızası özgür sayılmaz. Rızanın her an geri alınabilmesi ikinci sorunu yaratır. Sekiz kişilik bir toplantının ortasında bir katılımcı rızasını geri çekerse kaydın o bölümünü ayrıştırmanız gerekir; tek parça bir dosyada bunu yapmak neredeyse imkânsızdır. Rızaya dayanan bir kayıt politikası ilk itirazda çöker. Dışarıdan katılan müşteri ya da iş ortağı bakımından tablo biraz farklıdır, orada rıza işleyebilir, ama yine belirli ve bilgilendirilmiş olmak zorundadır.

Ceza boyutu çoğu zaman gözden kaçıyor. Türk Ceza Kanunu'nun 133. maddesinin ikinci fıkrası, katıldığı aleni olmayan bir söyleşiyi diğer konuşanların rızası olmadan ses alma cihazıyla kayda alan kişiye altı aydan iki yıla kadar hapis veya adli para cezası öngörüyor. Kapalı bir şirket toplantısı aleni değildir. Konuşmanın tarafı olmayan birinin kaydı alması hâlinde ölçü ağırlaşıyor; birinci fıkra iki yıldan beş yıla kadar hapis diyor. Kaydın hukuka aykırı biçimde ifşası ise üçüncü fıkrada iki yıldan beş yıla kadar hapis ve dört bin güne kadar adli para cezasıyla karşılanıyor. Sahada görülen senaryo genellikle şu: bir katılımcı kendi hesabındaki yapay zeka asistanını toplantıya sokuyor, kimse fark etmiyor, üretilen özet günler sonra başka bir yazışmada ortaya çıkıyor. Şirket bunu verimlilik sanırken çalışan ceza riskinin içine girmiş oluyor.

Araçların gösterdiği "bu toplantı kaydediliyor" bandı bir uyarıdır, aydınlatma değildir. Kanun'un 10. maddesi veri sorumlusunun kimliğini, işleme amacını, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini, 11. maddedeki hakları içeren bir metin ister. Kurul, işlemenin açık rızaya dayandığı hâllerde bile aydınlatmanın ayrıca yapılması gerektiğini 2018/90 sayılı kararıyla ortaya koymuştu. En temiz uygulama iki adımlı: kayıt alınacak toplantının davetine aydınlatma metninin bağlantısını koymak ve toplantının ilk yarım dakikasında kimin kaydettiğini, niçin kaydettiğini, kaydın ne kadar saklanacağını sözlü olarak söylemek. Dışarıdan gelen müşteri, aday ya da tedarikçi için bu daha da gerekli, çünkü onlar sizin aydınlatma metninizi başka hiçbir yerde görmemiştir.

Transkript, ne konuşulduğunu seçmez. Bir proje toplantısında biri ameliyat olacağını söyler, bir başkası sendika temsilcisiyle görüştüğünü anlatır, bir üçüncüsü hakkındaki soruşturmadan bahseder. O cümleler metne düştüğü anda elinizde sağlık verisi, sendika üyeliğine ilişkin veri ya da ceza mahkûmiyetiyle ilgili veri olur. Kanun'un 6. maddesi bunları özel nitelikli kişisel veri sayar ve Kurulun 31 Ocak 2018 tarihli, 2018/10 sayılı kararındaki yeterli önlemler gündeme gelir. Kayıt politikasında bu yüzden bir de "kaydedilmeyecek toplantılar" listesi bulunmalı: performans ve disiplin görüşmeleri, işten çıkarma görüşmeleri, işyeri hekimiyle yapılan görüşmeler, etik ihbar ve çalışan şikâyeti görüşmeleri. Kaydetmemek, sonradan özel nitelikli veriyi ayıklamaya çalışmaktan hem ucuz hem güvenlidir.

Aracı sağlayan şirketin rolü, sözleşmenin başlığına bakarak belirlenmiyor. Kurumun 24 Kasım 2025 tarihli Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, veri sorumlusu ile veri işleyen ayrımında sözleşmesel ifadelerin tek başına belirleyici olmadığını, asıl ölçütün tarafların faaliyet üzerindeki fiili kontrolü ve karar alma yetkisi olduğunu söylüyor. Toplantıyı kaydeden, hangi verinin girileceğine ve çıktının nasıl kullanılacağına karar veren şirket veri sorumlusudur; sağlayıcı çoğu senaryoda veri işleyendir ve 12. maddenin ikinci fıkrası uyarınca veri güvenliğinde müşterek sorumluluk sizde kalır. Sözleşmede aranacak dört başlık var: verinin model eğitiminde kullanılmayacağı, alt işleyenlerin kimler olduğu ve nerede bulunduğu, ilişki bittiğinde kayıt ile transkript ve özetlerin silineceği, ihlal hâlinde size yapılacak bildirimin süresi.

Sağlayıcı yurt dışındaysa iş 9. maddeye gelir. Aktarımın yapılacağı ülke hakkında yeterlilik kararı varsa aktarım bu karara dayanır; yoksa standart sözleşme, bağlayıcı şirket kuralları ya da taahhütname gibi uygun güvencelerden biri gerekir. Standart sözleşme yolunu seçtiyseniz imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirim zorunlu; usul ve esaslar 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'te düzenlendi. Arızi haller bu tablonun dar istisnasıdır; her hafta düzenli biçimde yurt dışına akan toplantı kayıtları arızi sayılmaz. Kurumun rehberi de noktayı açıkça koyuyor: Türkiye'de faaliyet gösteren veri sorumluları yurt dışında yerleşik sağlayıcılar aracılığıyla üretken yapay zeka sistemlerini kullanıyor ve bu yolla kişisel veri yurt dışına aktarılıyorsa, aktarımın 9. madde ile Yönetmelik'e uygun yapılması gerekir. Kamu kurumlarında ayrıca 2019/12 sayılı Cumhurbaşkanlığı Genelgesi'nin gizlilik dereceli veri paylaşımına ilişkin sınırı hesaba katılmalı.

Varsayılan ayarların kendisi de bir karardır. Ücretsiz ya da bireysel planlarda sağlayıcılar içeriği model geliştirme ve iyileştirme süreçlerinde kullanabiliyor. Kurumun 5 Mart 2026'da duyurduğu İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı dokümanı bu riski adıyla sayıyor: üçüncü taraf araçlarla paylaşılan bilgiler bazı durumlarda model geliştirme veya iyileştirme süreçlerinde kullanılabiliyor, bazı durumlarda yetkisiz kişilerce erişilebilir hâle geliyor. Aynı doküman, bu araçlarla paylaşılan içerikler arasında toplantı notlarını da açıkça sayıyor. İkinci sınır amaç tarafında duruyor. Kaydı toplantı özeti çıkarmak için aldıysanız, sonradan aynı kayıttan çalışanın konuşma süresini ölçüp performans değerlendirmesine girdi üretmek yeni bir amaçtır ve 4. maddedeki işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkesini zorlar.

Kaydın ömrü de yazılı olmalı. Bir toplantıdan geriye kayıt dosyası, transkript, özet ve çoğu zaman katılımcılara otomatik giden bir e-posta kalır; bunlar ayrı yerlerde durur, ayrı ayrı silinir. Saklama süresini belirleyip saklama ve imha politikanıza, veri envanterinize ve VERBİS bildiriminize işlemezseniz dosyalar süresiz birikir. İki kaza sık görülüyor. Birincisi, asistanın özeti toplantıdaki herkese, yani dışarıdan katılan müşteriye de göndermesi; iç değerlendirme cümleleri karşı tarafa böyle geçiyor. İkincisi, bir katılımcının 11. maddeye dayanarak kaydın veya transkriptin kopyasını istemesi; içinde başka kişilerin verisi bulunduğundan talebi karşılarken üçüncü kişilerin haklarını da gözetmek gerekiyor. Birinci durum bir kişisel veri ihlaline dönüştüğünde 12. maddenin beşinci fıkrasındaki bildirim süreci işler ve Kurulun yerleşik yaklaşımına göre süre yetmiş iki saattir.

Uygulamaya dönük liste kısa tutulabilir. Kimlerin kayıt açabileceğini ve hangi toplantıların kaydedilmeyeceğini yazın; onaylı araçların listesini belirleyip bunun dışındaki asistanların toplantıya katılmasını teknik olarak engelleyin; davet ve toplantı açılışındaki aydınlatmayı standart hâle getirin; dış katılımcılı görüşmelerde kayıt kararını baştan bildirin; sağlayıcıyla veri işleyen sözleşmesini ve yurt dışı aktarım dosyasını tamamlayın; kayıt, transkript ve özet için ayrı saklama süreleri tanımlayıp imhayı kayıt altına alın. Rakamlar işin ciddiyetini anlatıyor: 2026 tutarlarıyla aydınlatma yükümlülüğüne aykırılık 85.437 TL ile 1.709.200 TL, veri güvenliği yükümlülüklerine aykırılık 256.357 TL ile 17.092.242 TL arasında idari para cezası demek. KVKK Danışman'ın ücretsiz ön değerlendirmesinde toplantı kaydı ve yapay zeka asistanı kullanımınızı, aydınlatma metinlerinizi, sağlayıcı sözleşmelerinizi ve saklama sürelerinizi birlikte gözden geçiriyoruz.

Randevu Al