Kişisel veri, günümüzün uluslararası parasıdır ve her ülke kendi darphanesini kurmuştur. Türkiye'de KVKK, Avrupa Birliği'nde GDPR, Amerika'nın tek tek eyaletlerinde mahalle mahalle değişen yasalar; üstüne yapay zekâ çağının kuralları eklenince tablo epey karmaşıklaşıyor. Oysa bunların çoğu aynı ilkenin farklı aksanlarıdır: kişinin kendi verisi üzerinde söz hakkı vardır ve o sözü alan, bunu hak ederek yapar.

Üç rejim, tek veri

KVKK, 6698 sayılı yasayla kişisel verilerin ancak açık rıza ve sınırlı istisnalarla işlenebileceğini temel alır; 2024'te yürürlüğe giren yabancı ülkeye veri aktarımı düzenlemesi, hukuki güvenlik koşulunu öne koydu. Avrupa'daki GDPR bu çerçevenin en sıkı örneği: açık rızaya ek olarak veri minimizasyonu, amaca bağlılık, taşınabilirlik, silme hakkı ve 72 saat içinde ihbar zorunluluğu getirir; cezalar dünya cirosunun yüzde dördüne kadar çıkabilir. Amerika tarafında ise federal tek yasa yok; Virginia, Kaliforniya gibi eyaletler kendi pencerelerini açmış durumda. Bu üç rejim aynı veri üzerinde birlikte yaşar, yani küresel bir ürün üç ayrı mevzuat setine birden uymak zorundadır. Pratikte bu, en katı rejime göre tasarımla çözülür: aynı kontrol panelinde hem çerez tercihi hem silme talebi hem de veri taşıma düğmesi bulunur.

Ötesi: yapay zekâ çağının kuralları

Yeni nesil düzenlemeler artık yalnızca veri tabanını değil, verinin neye dönüştüğünü de sorumluyor. Avrupa'daki yapay zekâ yasası, modellerin eğitim verisini hangi kaynaklardan aldığını ve hangi haklarla kullandığını şeffaflaştırma yükümlülüğü getirdi; yüksek riskli sayılan sistemlerde insan denetimi ve kayıt tutma zorunluluğu var. Türkiye'de yapay zekâ mevzuatı için çalışmalar sürüyor; KVKK Kurulu'nun kararları ise başta büyük modellerin Türkiye'den çekilmesi tartışmalarında ivme kazandı. Reklam tabanlı işleyen platformlar için ayrı bir başlık açıldı: hedefli reklam yapamayan dev platformların davranışsal reklamı uyumlu hâle getirme süreleri işletilerek para cezaları kesildi. Bütün bunların ortak mesajı basit: veri akışını tasarımdan sonra değil, tasarımla birlikte düşünen kazanır.

Pratikte uyum nasıl görünür?

Uyumun gerçek yüzü, yazılım ekibinin masasındadır: hangi alan hangi veriyi tutuyor, kaç yıl saklanacak, kim erişebilir, silinme talebi gelince hangi yedeklerden temizlenecek? Bu soruların yanıtı veri envanteri dediğimiz canlı bir belgede durur. Ayrıca veri yerleşimi maliyeti etkiler: bazı sektörlerde verinin ülke içinde kalması zorunludur, bu da bulut mimarisinde bölge seçimini baştan belirler. Küçük ekipler için pratik yol haritası üç maddeden kurulu: veri envanterini çıkarın, rıza akışını ürünün içinde tasarlayın, ihbar ve silme süreçlerini provasız bırakmayın. Gizlilik artık hukukçunun tek başına taşıdığı bir yük değil, yazılımın yapı taşıdır ve ürünün satılabilirliğini de belirler.

Ayrıca gizlilik, kullanıcı güveninin doğrudan bir ölçümüdür; gizlilik ayarlarını şeffaf kuran uygulamalar, rakiplerinden ayrışma avantajı elde ediyor. Bu yüzden uyum, yalnızca ceza riskinden kaçınma değil, pazarlama ve marka stratejisinin parçası. 2026'nın kazanan ürünleri, gizliliği özelliğe dönüştüren ürünler olacak; kalanlar ise mevzuat denetimi kapıya dayandığında geceyarısı revizyonu yapacak.