Yapay Zekâ ile Geliştirilen Uygulamalarda Yasal Yükümlülükler

Yapay zekâ ile geliştirilen uygulamalarda yasal yükümlülükler, kodu yapay zekâ araçlarının yardımıyla yazılan bir web sitesinin, mobil uygulamanın veya çevrim içi hizmetin kullanıcılara açılmadan önce karşılaması gereken hukuki gereklilikleri ifade eder. Bu gereklilikler uygulamanın hangi araçla yazıldığına göre değil; kişisel veri işleyip işlemediğine, ödeme alıp almadığına ve hangi pazarda sunulduğuna göre belirlenir.

Yapay zekâ destekli geliştirme, girişimlerin ürünlerini kısa sürede yayına almasını kolaylaştırmış; ancak hukuki hazırlığın sonraya bırakılmasına da yol açmıştır. Aydınlatma metni bulunmayan formlar, onaysız çalışan çerezler ve kullanıcı verisini yurt dışına ileten özellikler, yayından sonra düzeltilmesi daha zor sorunlardır.

Bu yazıda DRM Yayın Kurulu, yayın öncesinde gözden geçirilmesi gereken mevzuat başlıklarını ve bir kontrol listesini ele almaktadır. Yazı geliştirme tekniğini değil hukuki çerçeveyi konu alır; geliştirme sürecine ilişkin araçlar ve çalışma sırası YazılımaOrg'un öğrenme yolu rehberinde ele alınmaktadır.

Yapay zekâ ile geliştirilen bir uygulama hangi mevzuata tabidir?

Türk mevzuatında yapay zekâ ile yazılmış yazılımlara özgü ayrı bir yayın rejimi bulunmamaktadır. Uygulama, sunduğu hizmete ilişkin kuralların kapsamına girer:

• Kişisel veri işleniyorsa: 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK).
• Satış veya abonelik varsa: 6502 sayılı Tüketicinin Korunması Hakkında Kanun, Mesafeli Sözleşmeler Yönetmeliği ve 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun.
• Kampanya iletisi gönderilecekse: Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik.
• Yapay zekâ özelliği veya tanıtımı varsa: Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliği; AB kullanıcıları için AB Yapay Zeka Yasası.
• Kod ve içerik yapay zekâ ile üretildiyse: 5846 sayılı Fikir ve Sanat Eserleri Kanunu ve bileşen lisansları.

Sorumlu taraf, uygulamayı yayına alan kişi veya şirkettir; kodun yapay zekâ tarafından üretilmiş olması bu sorumluluğu ortadan kaldırmaz.

KVKK kapsamında yayın öncesinde neler yapılmalıdır?

Aydınlatma metni ve açık rıza nasıl kurgulanmalıdır?

Kanun'un 10. maddesi uyarınca veriler elde edilirken ilgili kişiye veri sorumlusunun kimliği, işleme amacı, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile 11. maddedeki hakları bildirilmelidir. Yapay zekâ ile oluşturulan form şablonlarında bu metin çoğunlukla bulunmaz; metin, uygulamanın gerçekte topladığı alanlara ve veri gönderdiği servislere göre hazırlanmalıdır.

Açık rıza, diğer işleme şartlarından hiçbiri bulunmadığında başvurulan bir hukuki sebeptir; aydınlatma metniyle birleştirilmemesi ve hizmetin ön koşulu yapılmaması önerilir. 11. madde ayrıca münhasıran otomatik analizle ortaya çıkan aleyhe sonuca itiraz hakkı tanır; otomatik karar üreten özelliklerde bu hakkın kullanım yolu gösterilmelidir.

Veri güvenliği yükümlülüğü neleri kapsar?

1. madde veri sorumlusunu, verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ve muhafazalarını sağlamak için gerekli her türlü teknik ve idari tedbiri almakla yükümlü kılar; barındırma hizmeti gibi adına veri işleyen kişilerle müştereken sorumludur. Veriler kanuni olmayan yollarla başkalarınca elde edilirse durum en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kurulu'na bildirilmelidir.

Açıkta bırakılmış API anahtarları, herkese açık veritabanı kuralları ve doğrulanmayan kullanıcı girdileri, yapay zekâ ile üretilen kodda sık görülen risklerdendir; teknik çözümleri yapay zekâ ile geliştirilen uygulamalarda güvenlik yazımızda incelenmektedir. Uygulamayı geliştirmeyi uygulamalı olarak öğrenmek isteyenler için DRM akreditasyonuna sahip YazılımaOrg, dört haftalık, canlı ve proje tabanlı bir yapay zeka ile yazılım geliştirme eğitimi sunmaktadır.

Barındırma ve yapay zekâ API'leri yurt dışı aktarım sayılır mı?

Sunucu yurt dışındaysa ya da kullanıcının girdiği metinler yurt dışındaki bir yapay zekâ modeline API üzerinden gönderiliyorsa, bu akış yurt dışına aktarım niteliği taşıyabilir. 7499 sayılı Kanun ile 2024'te değiştirilen 9. madde uyarınca aktarım öncelikle Kurul'un yeterlilik kararına dayanır. Yeterlilik kararı yoksa bağlayıcı şirket kuralları, Kurul'ca ilan edilen standart sözleşme veya Kurul izniyle yazılı taahhütname gibi uygun güvencelerden biri sağlanmalıdır. Standart sözleşme imzalanmasından itibaren beş iş günü içinde Kurum'a bildirilir; uygun güvence yoksa aktarım yalnızca arızi nitelikteki istisnai hâllerde mümkündür.

Bu nedenle her harici servis listelenmeli, verinin işlendiği ülke belirlenmeli ve API'ye gönderilen verinin model eğitiminde kullanılıp kullanılmadığı kontrol edilmelidir. Kişisel Verileri Koruma Kurumu'nun 24 Kasım 2025'te yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi bu konuda yol göstericidir.

Çerezler, gizlilik politikası ve kullanım koşulları nasıl ele alınmalıdır?

Yapay zekâ araçlarının ürettiği site şablonları analitik veya reklam ölçümü için çerezleri varsayılan olarak etkinleştirebilir. Kişisel Verileri Koruma Kurumu'nun 2022 tarihli Çerez Uygulamaları Hakkında Rehberi'ne göre kesinlikle gerekli çerezler dışındakiler için açık rıza alınmalı ve kabul ile ret seçenekleri eşit ağırlıkta sunulmalıdır. Çerez paneli, uygulamanın gerçekte yerleştirdiği çerezlerin taranmasıyla yapılandırılmalıdır; ayrıntılar KVKK çerçevesinde çerez kullanımı yazısında yer almaktadır.

6563 sayılı Kanun'un 3. maddesi, elektronik ortamda sözleşme kuran hizmet sağlayıcıların tanıtıcı bilgilerini, sözleşmenin kurulması için izlenecek teknik adımları ve uygulanan gizlilik kurallarını sözleşmeden önce sunmasını öngörür. Kullanım koşulları ise hesap kurallarını ve yapay zekâ çıktılarının hatalı olabileceğine ilişkin uyarıları düzenler. 6502 sayılı Kanun'un 5. maddesi uyarınca haksız şartlar kesin hükümsüz olduğundan genel şablonlar uyarlanmadan kullanılmamalıdır. Zorunlu sayfalar için e-ticaret sitelerinde bulunması gereken yasal metinler rehberine başvurulabilir.

Uygulama ödeme alıyorsa hangi ek yükümlülükler doğar?

Tüketicilere ürün, dijital içerik veya abonelik satan bir uygulama mesafeli sözleşme kurar. Mesafeli Sözleşmeler Yönetmeliği uyarınca 5. maddedeki bilgileri içeren ön bilgilendirme yapılmalı ve teyit edilmeli (m.7), sipariş adımında ödeme yükümlülüğü doğduğu açıkça belirtilmelidir (m.8). 1 Ocak 2026'dan itibaren ön bilgilendirmede tüketici hakem heyeti yanında, 6502 sayılı Kanun'un 73/A maddesi uyarınca arabulucuya başvuru şartıyla tüketici mahkemesi bilgisine de yer verilmelidir. Cayma süresi 14 gündür; elektronik ortamda anında ifa edilen hizmetler ve anında teslim edilen gayrimaddi mallar istisnalar arasında yer aldığından, istisnanın kapsamının açıkça gösterilmesi önerilir.

Bu iki belgenin satış modeline göre birlikte hazırlanması için BelgeBİS gibi belge otomasyonlarından yararlanılabilir; platform hukuk bürosu değildir ve hukuki danışmanlık vermez. Ticaret Bakanlığı açıklamalarına göre elektronik ticaret faaliyetinde bulunan hizmet sağlayıcılar, faaliyete başlamadan önce e-Devlet üzerinden Elektronik Ticaret Bilgi Sistemi'ne (ETBİS) kaydolmalıdır. Kayıtta alan adı ve mobil uygulama bilgileri de bildirildiğinden kaydın güncel tutulması önerilir.

Kullanıcılara kampanya iletisi gönderilecekse İYS kaydı gerekir mi?

Evet. Kampanya veya tanıtım içeren e-posta ve SMS'ler ticari elektronik iletidir. Gönderici İleti Yönetim Sistemi'ne (İYS) kaydolmalı ve yalnızca İYS'de onayı bulunan alıcılara ileti göndermelidir; sistem dışında alınan onaylar üç iş günü içinde İYS'ye kaydedilir. Şifre sıfırlama veya sipariş onayı gibi bilgilendirme iletileri, tanıtım içermedikçe onay gerektirmez. Ticari ileti onayı, KVKK kapsamındaki açık rızadan ayrı bir seçenek olarak sunulmalıdır; ayrıntılar ticari elektronik ileti ve İYS rehberimizde yer almaktadır.

Uygulamadaki yapay zekâ özelliği kullanıcıya açıklanmalı mı?

AB Yapay Zeka Yasası'nın 50. maddesi neyi öngörür?

AB Yapay Zeka Yasası (Tüzük (AB) 2024/1689), AB'de yapay zekâ sistemi sunan sağlayıcıları yerleşim yerlerine bakılmaksızın kapsar; çıktının AB'de kullanıldığı durumlarda üçüncü ülkelerdeki sağlayıcı ve uygulayıcılar da kapsama girebilir. Kendi adıyla sohbet asistanı sunan bir geliştirici, harici bir modeli API ile kullansa dahi sağlayıcı sayılabilir. 50. maddenin başlıca yükümlülükleri (gayriresmî özet):

• Etkileşim bildirimi (m.50/1): Gerçek kişilerle doğrudan etkileşen sistemler, kişinin yapay zekâ ile etkileşimde olduğunu öğreneceği biçimde tasarlanmalıdır; durum bağlamdan açıkça anlaşılıyorsa bu yükümlülük aranmaz.
• İçeriğin işaretlenmesi (m.50/2): Sentetik ses, görsel, video veya metin üreten sistemlerin çıktıları makine tarafından okunabilir biçimde işaretlenmelidir.
• Derin sahte içerik (m.50/4): Uygulayıcılar, derin sahte içeriklerin ve kamuoyunu bilgilendirme amacıyla yayımlanan yapay zekâ üretimi metinlerin yapay olarak üretildiğini açıklamalıdır; editoryal sorumluluk altındaki metinler için istisna vardır.

Bilgilendirme en geç ilk etkileşim veya maruz kalma anında, açık ve ayırt edilebilir biçimde yapılmalıdır (m.50/5).

Şeffaflık yükümlülükleri ne zamandan itibaren uygulanıyor?

24 Temmuz 2026'da AB Resmî Gazetesi'nde yayımlanıp 27 Temmuz 2026'da yürürlüğe giren Dijital Omnibus Tüzüğü (AB) 2026/1744, 2 Ağustos 2026 olan genel uygulama tarihini değiştirmemiştir; 50. madde bu tarihten itibaren uygulanmaktadır. Yasa'nın 111. maddesine eklenen hükme göre, 2 Ağustos 2026'dan önce piyasaya sunulmuş sentetik içerik üreten sistemlerin sağlayıcıları işaretleme yükümlülüğüne 2 Aralık 2026'ya kadar uyum sağlamalıdır. Omnibus sonrası takvim AB Yapay Zeka Yasası ve yapay zekâ okuryazarlığı yazımızda ayrıca incelenmektedir.

Türkiye'de reklamda yapay zekâ kullanımına ilişkin kural nedir?

1 Temmuz 2026 tarihli ve 33297 sayılı Resmî Gazete'de yayımlanan değişiklikle Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliği'nin 18. maddesine eklenen fıkra uyarınca, 1 Ağustos 2026'dan itibaren reklamlarda tüketicinin ekonomik davranışını önemli ölçüde etkileyecek şekilde yapay zekâ kullanılması veya insandan ayırt edilemeyecek dijital karakterlere yer verilmesi açık, anlaşılır ve ayırt edilebilir şekilde belirtilmelidir. 27. maddeye eklenen fıkra ise gerçek bir kişinin yapay zekâ ile oluşturulmuş dijital kopyasıyla gerçeğe aykırı kullanım veya tavsiye izlenimi veren reklamları yasaklar.

Yapay zekâ ile üretilen kod ve içeriğin hakları kime aittir?

5846 sayılı Fikir ve Sanat Eserleri Kanunu eseri sahibinin hususiyetini taşıyan fikir ve sanat ürünü, eser sahibini ise eseri meydana getiren kişi olarak tanımlar; bilgisayar programları ilim ve edebiyat eserleri arasında sayılır. Yapay zekâ çıktılarının eser niteliği ve sahipliği Kanun'da ayrıca düzenlenmemiş olup tartışmalıdır. Bu belirsizlik karşısında şu adımlar önerilir:

1. Kullanılan aracın kullanım koşullarındaki çıktı haklarına ve ticari kullanıma ilişkin hükümler incelenmelidir.
2. Mimari kararlar, düzenleme ve kod incelemesi gibi insan katkısı sürüm kontrolü kayıtlarıyla belgelenmelidir.
3. Açık kaynak bağımlılıkların lisansları kontrol edilmelidir; izin verici lisanslar genellikle lisans bildiriminin korunmasını, copyleft lisanslar ise dağıtım hâlinde kaynak kodun aynı lisansla sunulmasını gerektirebilir.
4. Kod asistanlarının kamuya açık kodla benzer öneriler üretebileceği dikkate alınarak eşleşme filtreleri ve lisans tarama araçlarından yararlanılmalıdır.

Yatırım veya devir süreçlerinde kodun hak durumu sorgulanabileceğinden uzman görüşü alınması yararlı olur.

Yayın öncesi yasal kontrol listesi nasıl uygulanır?

Aşağıdaki tablo, ele alınan başlıkları yayın öncesinde gözden geçirilecek tek bir liste hâlinde özetlemektedir.

Liste genel niteliktedir; sektöre özgü ek yükümlülükler doğabilir.

Sıkça Sorulan Sorular

Kaynaklar

Hata veya güncelleme bildirimleri için iletişim sayfasını kullanabilirsiniz.