Çağrı kaydı ve yapay zeka asistanları: KVKK’da nelere dikkat edilmeli?

Çağrı kaydı KVKK’ya göre kişisel veri işleme midir?

Evet. Arayanın sesi, telefon numarası, görüşmede söyledikleri ve bunlardan üretilen döküm ile özet, kimliği belirli ya da belirlenebilir bir kişiye ait bilgilerdir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) bu bilgilerin elde edilmesini, kaydedilmesini, saklanmasını ve silinmesini veri işleme olarak tanımlar. Yapay zeka ile yazıya dökme ve özetleme de bu işlemenin bir parçasıdır.

Rolleri doğru ayırmak gerekir. Bir işletme kendi müşterilerinin çağrılarını bir yazılım hizmeti üzerinden karşılıyorsa, o çağrılar için veri sorumlusu kural olarak işletmenin kendisidir; hizmet sağlayıcı ise veri işleyendir. Aydınlatma gibi yükümlülüklere ilişkin idari para cezaları veri sorumlusuna yöneltilir; veri işleyen ise veri güvenliği tedbirlerinden veri sorumlusuyla birlikte sorumludur. Bu nedenle hizmet sağlayıcınızla yazılı bir veri işleme sözleşmesi yapılması önerilir.

Aydınlatma ne zaman ve nasıl yapılmalı?

KVKK’nın 10. maddesi aydınlatmanın veri elde edilirken yapılmasını ister. Kişisel Verileri Koruma Kurulu’nun 18 Şubat 2026 tarihli 2026/347 sayılı ilke kararı, aydınlatmanın hukuki sebep ne olursa olsun işleme başlamadan önce yapılması gerektiğini açıkça vurgular. Telefonda bunun pratik anlamı, kayıt ve yazıya dökme başlamadan, görüşmenin ilk cümlelerinde bilgi vermektir.

Kurul katmanlı aydınlatmayı kabul etmektedir: telefonda kısa bir ilk katman söylenir, ayrıntılı metne giden yol gösterilir. Ancak Kurul, 2024/1361 sayılı kararında 10. maddenin asgari unsurlarını karşılamayan kısa bir uyarıyı aydınlatma saymamış ve ceza vermiştir. Bu yüzden kısa anons mutlaka tam metne nasıl ulaşılacağını, örneğin bir web adresini ya da SMS ile gönderilecek bir bağlantıyı söylemelidir. Arayan başka bir dilde konuşuyorsa anonsun o dilde ve sade bir dille tekrarlanması da yerinde olur. Aydınlatma yükümlülüğüne aykırılık için 2026 yılında uygulanan idari para cezası 85.437 TL ile 1.709.200 TL arasındadır.

• Örnek ilk katman: "[Firma adı] adına yapay zeka asistanıyım. Görüşmemiz hizmet kalitesi ve talebinizin karşılanması için kaydedilip yazıya dökülüyor. Ayrıntılı bilgi [web adresi] adresinde."
• Kimin adına konuşulduğu (veri sorumlusu) açıkça söylenmeli
• Kaydın ve yazıya dökmenin amacı belirtilmeli
• Tam aydınlatma metnine ulaşma yolu gösterilmeli
• Anons, kayıt başlamadan önce ve arayanın anlayacağı dilde yapılmalı

Kayıt anonsu ceza hukuku açısından neden önemli?

Türk Ceza Kanunu’nun 133. maddesinin ikinci fıkrası, katıldığı aleni olmayan bir söyleşiyi diğer konuşanların rızası olmadan kaydeden kişiyi altı aydan iki yıla kadar hapis veya adli para cezasıyla cezalandırır. Bu şekilde elde edilen kaydın hukuka aykırı olarak ifşa edilmesi ise üçüncü fıkrada daha ağır yaptırıma bağlanmıştır.

Bu konuda Yargıtay içtihadı tek yönlü değildir. Uygulamada en çok başvurulan savunma, kayıt anonsunu duyduktan sonra görüşmeye devam eden kişinin örtülü olarak rıza gösterdiğidir. Bu savunma ancak anons gerçekten yapılmışsa mümkündür. Dolayısıyla görüşmenin başında kaydın açıkça söylenmesi hem KVKK hem de ceza hukuku açısından ilk ve en ucuz önlemdir.

Açık rıza mı, aydınlatma mı: hangisi gerekir?

Aydınlatma ile açık rıza farklı kavramlardır ve 2026/347 sayılı ilke kararı bu ayrımı netleştirmiştir. Aydınlatma metni bilgi verir; bu metne "onay" alınmaz, en fazla "okudum, anladım" ifadesi kullanılır. Rıza gerektirmeyen bir işlem için rıza istenmez. Rıza gereken bir işlem varsa, bunun için ayrı başlıklı ve ayrı beyanlı bir rıza metni kullanılır.

Çağrı kaydının hangi hukuki sebebe dayanacağı, örneğin meşru menfaat mi yoksa açık rıza mı olacağı, işletmenin faaliyetine ve kaydın amacına göre değişen bir yorum sorusudur. Bu kararı bir avukatla birlikte vermek ve aydınlatma metnini buna göre yazmak gerekir. Sağlık bilgisi gibi özel nitelikli veriler görüşmede sıkça geçiyorsa, KVKK’nın 6. maddesindeki ek şartlar ve önlemler de ayrıca değerlendirilmelidir.

Yapay zeka asistanı kendini tanıtmak zorunda mı?

Satış amacıyla tüketiciyi arayan taraf, Mesafeli Sözleşmeler Yönetmeliği’nin 8. maddesinin ikinci fıkrası uyarınca görüşmenin başında kimliğini, başkası adına arıyorsa o kişinin kimliğini ve görüşmenin ticari amacını açıklamalıdır. 6563 sayılı Kanun da iletinin kimin adına yapıldığının belirtilmesini ister. 1 Temmuz 2026’da Resmî Gazete’de yayımlanıp 1 Ağustos 2026’da yürürlüğe giren reklam yönetmeliğinin 18. maddesinin sekizinci fıkrası ise tüketicinin kararını önemli ölçüde etkileyen yapay zeka kullanımının ve insandan ayırt edilemeyecek dijital karakterlerin açıkça belirtilmesini zorunlu tutar.

Gelen müşteri hizmetleri çağrısında yapay zekanın açıklanmasını doğrudan zorunlu kılan genel bir hükme rastlanmasa da, asistanı bir insan adıyla tanıtmak dürüstlük ilkesi ve aldatıcı ticari uygulama yasağı açısından risk taşır. Pratikte en güvenli yol, hem gelen hem giden çağrıda asistanın yapay zeka olduğunu ve kimin adına konuştuğunu ilk cümlede söylemesidir. Bu tek cümle aydınlatma, kayıt rızasının delili, kimlik ve amaç açıklaması ile yapay zeka bildirimini birlikte karşılar.

Yapay zeka ile giden aramalarda İYS ve izin kuralları nelerdir?

6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, ticari elektronik ileti tanımına telefon, çağrı merkezi, otomatik arama makineleri ve akıllı ses kaydedici sistemlerle yapılan sesli iletileri de açıkça dahil eder. Yapay zeka asistanının yaptığı tanıtım amaçlı aramalar da bu kapsama girer. Tüketicilere bu tür aramalar için önceden onay alınmış olması ve onayın İleti Yönetim Sistemi’nde (İYS) kayıtlı olması gerekir.

Esnaf ve tacirler için önceden onay aranmaz; ancak tacir numaralarının da gönderimden önce İYS’ye tacir tipiyle kaydedilmesi ve ret kontrolünden geçirilmesi gerekir. Ret bildirimleri üç iş günü içinde işlenmelidir. Muayenehanesi olan hekim, avukat ya da mali müşavir gibi serbest meslek sahiplerinin bu istisnaya girip girmediği yorum gerektirir ve avukata teyit ettirilmelidir. Randevu teyidi ya da ödeme bilgilendirmesi gibi tanıtım içermeyen bildirimler onaysız yapılabilir; ama içine bir kampanya ya da indirim cümlesi eklendiğinde ticari iletiye dönüşür.

Kayıtlar nasıl saklanmalı, silinmeli ve korunmalı?

Kayıtlar ve dökümler yalnızca işlendikleri amaç için gerekli olan süre boyunca tutulmalı, amaç ortadan kalkınca silinmeli, yok edilmeli ya da anonim hale getirilmelidir. Silme, Yok Etme veya Anonim Hale Getirme Yönetmeliği periyodik imhanın en fazla altı ayda bir yapılmasını ve imha kayıtlarının en az üç yıl saklanmasını öngörür. İşleme şartları ortadan kalkan veriyi silmemek, KVKK’nın 17. maddesi yoluyla Türk Ceza Kanunu’nun 138. maddesi kapsamında suç oluşturabilir. İlgili kişilerin başvurularının da en geç otuz gün içinde sonuçlandırılması gerekir.

Veri güvenliği tarafında kayıtlara erişim yetkiyle sınırlanmalı ve erişimler kayıt altına alınmalıdır. Bir veri ihlali olursa Kurul’a 72 saat içinde bildirim yapılmalıdır. Kayıtlar ya da dökümler yurt dışındaki bir hizmete aktarılıyorsa, düzenli aktarımlar için Kurul’un standart sözleşmesi imzalanmalı ve imzadan sonra beş iş günü içinde Kurul’a bildirilmelidir; açık rıza yalnızca arızi aktarımlara dayanak olabilir. Asistanda gerçek bir kişinin klonlanmış sesi kullanılıyorsa, ses tınısının biyometrik veri sayılabileceği görüşü nedeniyle ses sahibinden doğrudan açık rıza almak ihtiyatlı yoldur.

Xaly kullanan işletmeler için bazı uygulama noktaları şöyledir: giden arama kampanyalarında asistan kimin adına aradığını ve yapay zeka olduğunu görüşmenin başında söyler, liste yüklenirken önceden izin beyan edilir ve ticari aramalar için İYS kontrolü gerekir. Geri aramalarda deneme sayısı sınırlıdır; aranmak istemeyen kişiler listeye alınır ve bir daha aranmaz. Canlı dinleme müşteriye duyulmaz, kayıtlara yalnızca yetki verdiğiniz kişiler erişir ve kayıt ile saklama kuralları kurulumda sizinle birlikte belirlenir. Karşılama cümlesine kayıt ve yapay zeka bilgilendirmesini eklemenizi öneririz.

• Saklama süresini amaca göre belirleyin ve yazılı bir saklama-imha politikasına bağlayın
• Kayıtlara erişimi kişi bazında yetkilendirin, erişimleri kayıt altına alın
• Hizmet sağlayıcınızla veri işleme sözleşmesi yapın, alt işleyenleri öğrenin
• Yurt dışı aktarım varsa standart sözleşme ve beş iş günlük bildirim yükümlülüğünü takip edin
• Çalışanları da canlı dinleme ve kayıt incelemesi konusunda ayrıca aydınlatın