Yapay Zeka ve KVKK: Telefon Görüşmesi, Çağrı Kaydı ve İYS Arama İzni

Yapay zeka telefon asistanını kurmak teknik olarak artık zor değil. Zor olan, ilk gerçek müşteriyi aramadan önce akla gelen soru: "Bir yapay zekayla müşteriyi aradığımızda başımız yanar mı?"

Soru yerinde, ama kurallar yeni değil. KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) ve ticari elektronik ileti mevzuatı, telefonla yapılan her görüşmeye zaten uygulanıyor. Yapay zeka bunlara üç soru ekliyor: Görüşme verisi nereye gidiyor, ne kadar saklanıyor ve karşı taraf bir makineyle konuştuğunu biliyor mu?

Bu yazıda aydınlatma, açık rıza, çağrı kaydı, saklama süresi, yurt dışına aktarım, İYS izni ve şeffaflık başlıklarını sade bir dille anlattık; sonda kurulumdan önce kullanabileceğiniz bir kontrol listesi var. Sistemin genel işleyişi için yapay zeka çağrı merkezi nedir yazısına bakabilirsiniz.

Not: Bu yazı genel bilgilendirmedir, hukuki danışmanlık değildir. Mevzuat ve Kurul kararları değişebilir; kendi durumunuz için bir hukukçuya danışın.

Yapay zeka ile müşteri araması yasal mı?

Genel olarak evet: Yapay zekanın yaptığı arama, hukuken insan temsilcinin yaptığı aramayla aynı kurallara tabidir. Belirleyici olan aramayı kimin yaptığı değil; aramanın amacı, kimin arandığı ve görüşmeden çıkan verinin nasıl işlendiğidir.

Çizgi ince olabilir: Randevu teyidi yapan asistan bilgilendirme yapıyor; aynı cümlenin sonuna "bu ay size özel indirimimiz de var" eklediğinde ise ticari ileti gönderiyor olabilir. Bu yüzden her senaryonun amacı baştan yazılmalı. Giden arama senaryolarının nasıl yazıldığını, arama saatlerini ve tekrar deneme kurallarını otomatik müşteri arama sistemi yazısında anlattık.

Aydınlatma yükümlülüğü telefonda nasıl yerine getirilir?

Görüşmenin başında kısa bir anonsla, tam metni de web sitenizde erişilebilir tutarak. KVKK'nın 10. maddesi, kişisel veri elde edilirken kişinin bilgilendirilmesini ister: veri sorumlusunun kimliği, işleme amacı, verinin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi, hukuki sebebi ve kişinin hakları.

Telefonda bunların hepsini okumak mümkün değil; denerseniz karşı taraf telefonu kapatır. Bunu sahada gördük: Açılış uzadıkça görüşmede kalan kişi azalıyor. Uygulamada yaygın çözüm, katmanlı aydınlatmadır:

• İlk cümle: Kim olduğunuz, yapay zeka asistanı olduğunuz ve aramanın amacı.
• Kısa anons: Görüşmenin yazıya döküldüğü (ya da kaydedildiği) ve ayrıntıların nerede olduğu.
• Tam metin: Web sitenizdeki aydınlatma metni; isteyene görüşmeden sonra mesajla bağlantısı.

Aydınlatma metnini de güncelleyin: yapay zeka kullandığınızı, görüşmelerin yazıya döküldüğünü, veriyi hangi hizmet sağlayıcıların (ses modeli, santral, CRM, mesajlaşma) işlediğini ve bunların yurt dışında olup olmadığını açıkça yazın.

Hangi durumda açık rıza gerekir?

İşlemeniz KVKK'daki diğer hukuki sebeplerin hiçbirine dayanmıyorsa. Sözleşmenin kurulması veya ifası, hukuki yükümlülük, bir hakkın tesisi veya korunması ya da meşru menfaat gibi bir sebep varsa açık rızaya gerek kalmayabilir; örneğin mevcut müşterinin randevusunu teyit etmek, sözleşmenin ifasıyla doğrudan ilgilidir. Açık rıza tipik olarak şu durumlarda gündeme gelir:

• Görüşme kaydını reklam, tanıtım videosu ya da eğitim içeriği gibi asıl amacın dışında kullanmak.
• Sesi kimlik doğrulama (ses izi) için kullanmak; bu biyometrik veri sayılabilir ve daha sıkı kurallara tabidir.

Açık rıza; belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır. Bu yüzden hizmetin ön şartı yapılmamalı ve aydınlatmadan ayrı alınmalıdır. Başka bir hukuki sebep varken "ne olur ne olmaz" diye açık rıza istemek de önerilmez; kişide yanlış bir izlenim yaratabilir.

Çağrı kaydı ve yazılı döküm kişisel veri mi?

Evet, ikisi de kişisel veridir. Ses kişiyi tanımlayabilir; döküm ise adı, numarayı ve konuşulan her şeyi içerir. Yani "ses kaydı tutmuyoruz" demek, KVKK'nın dışına çıkmak anlamına gelmez.

Yapay zeka, insan temsilciden çok daha fazla veri üretir: tam döküm, özet, sonuç etiketi, çıkarılan alanlar (ödeme tarihi, uygun saat) ve CRM notu. KVKK'nın genel ilkelerinden biri, verinin işleme amacıyla bağlantılı, sınırlı ve ölçülü olmasıdır. Kendinize şunu sorun: Görüşmeden sonra gerçekten neye ihtiyacım var? Çoğu işte cevap tam ses kaydı değil; iyi bir özet ve birkaç alandır.

Ses modeli, santral ve CRM sağlayıcıları, KVKK'nın diliyle sizin adınıza "veri işleyen" konumundadır; işletmeniz ise veri sorumlusudur ve veri güvenliği tedbirlerinden onlarla birlikte sorumludur. Sağlayıcının veriyi ne kadar sakladığını ve modelini eğitmek için kullanıp kullanmadığını sözleşmesinden kontrol edin.

Görüşme kayıtları ne kadar saklanmalı?

Kanun tek bir süre vermez: Kişisel veri, ilgili mevzuatta öngörülen ya da işlendiği amaç için gerekli olan süre kadar saklanır; sonra silinir, yok edilir veya anonim hâle getirilir. Süreyi siz belirlersiniz ama gerekçelendirebilmeniz gerekir. Yapay zeka görüşmelerinde veri türüne göre ayrı süreler belirlemek daha doğrudur:

• Ses kaydı: Gerekmiyorsa hiç tutmamak; gerekiyorsa en kısa süre.
• Tam döküm: Görüşmenin doğru anlaşıldığını kontrol etmeye ve itirazları çözmeye yetecek kadar.
• Özet ve alanlar: Müşteri ilişkisi ve yasal saklama gerekleri sürdükçe.

VERBİS'e (Veri Sorumluları Sicil Bilgi Sistemi) kayıt yükümlülüğünüz varsa bir saklama ve imha politikası da hazırlamanız gerekir; yeni arama sistemini veri envanterinize ekleyin. Silmeyi hatırlamaya bırakmayın, süresi dolan dökümleri kendiliğinden silen bir görev kurun. Görüşme verisinin CRM'de nasıl tutulduğunu çağrı merkezi CRM entegrasyonu yazısında anlattık.

Ses modeli yurt dışındaysa ne olur?

Görüşme sesi yurt dışındaki bir sunucuda işleniyorsa bu, KVKK açısından yurt dışına aktarımdır ve 2024'te değişen 9. maddedeki yollardan birine dayanması gerekir. Önce kullandığınız ses modelinin sunucularının nerede olduğunu öğrenin; bizim kullandığımız modelin sunucuları ABD'de. Değişen düzenleme üç yol tanıyor:

1. Yeterlilik kararı: Kişisel Verileri Koruma Kurulu, aktarımın yapılacağı ülke, sektör ya da uluslararası kuruluş için yeterlilik kararı vermişse, aktarım KVKK'daki işleme şartlarından birine dayanarak yapılabilir. Güncel kararları Kurum'un sitesinden kontrol edin.
2. Uygun güvenceler: Yeterlilik kararı yoksa, örneğin Kurul'un ilan ettiği standart sözleşme kullanılabilir; standart sözleşme imzalandıktan sonra 5 iş günü içinde Kurum'a bildirilir. Kurul onaylı bağlayıcı şirket kuralları ve Kurul izniyle verilen yazılı taahhütname de bu gruptadır.
3. İstisnai aktarım: İlk iki yol yoksa, yalnız arızi (düzenli olmayan, arada bir yapılan) aktarımlar için sayılmış istisnalar; muhtemel riskler anlatılarak alınan açık rıza bunlardan biridir. Her gün düzenli olarak görüşme gönderen bir sistemi bu yola dayandırmak zordur.

Hangi yolun size uyduğu teknik değil hukuki bir karardır; bunu bir hukukçuyla netleştirin. Beklerken de riski azaltabilirsiniz: Asistana yalnız görüşme için gereken bilgiyi verin, kimlik numarası gibi verileri talimata koymayın, kart ve IBAN bilgisini sesli görüşmeye hiç sokmayın. Özeti WhatsApp'a, e-postaya ya da bulut bir CRM'e gönderiyorsanız o akışları da aynı listeye ekleyin.

İYS izni olmadan müşteri aranabilir mi?

Bireylere yönelik tanıtım ya da satış aramalarında hayır; kural önceden onaydır. 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, telefon, çağrı merkezi ve otomatik arama makineleriyle ticari amaçla yapılan aramaları da ticari elektronik ileti sayar. Yani yapay zekanın yaptığı bir kampanya araması, SMS ya da e-posta kampanyasıyla aynı izin kuralına bağlıdır. Onayların kaydedildiği ve kişilerin onay verip geri alabildiği ulusal sistem İYS'dir (İleti Yönetim Sistemi).

• Önceden onay: Bireyleri tanıtım amacıyla aramadan önce onay alın, İYS'ye kaydedin ve her aramadan önce İYS'den kontrol edin.
• Esnaf ve tacir: İşletmelere tanıtım iletisi önceden onay alınmadan gönderilebilir; ama ret bildiren işletmeyi aramayı bırakmalısınız.
• Bilgilendirme: Mevcut müşteriye, kurulu ilişki kapsamında yapılan ve tanıtım içermeyen aramalar (randevu teyidi, teslimat, ödeme hatırlatma) genellikle onay gerektirmez.
• İspat: Onay aldığınızı ispat yükü sizdedir; onayın ne zaman, hangi kanaldan ve hangi metinle alındığını saklayın.
• Web formu: "Beni arayın" talebi, o talebe cevap vermek içindir. İleride kampanya araması yapacaksanız formda önceden işaretlenmemiş, ayrı bir onay kutusu kullanın.
• Ret: "Beni bir daha aramayın" diyen kişiyi aynı gün listeden çıkarın; asistanın özetine bunu ayrı bir alan olarak yazdırın.

Kayıt yükümlülüğünün kapsamı ve istisnalar zaman zaman değişebiliyor; aramaya başlamadan önce güncel durumu İYS'nin kendi sitesinden kontrol edin.

Karşı tarafa yapay zeka olduğunu söylemek zorunlu mu?

AB'deki kişilerle görüşüyorsanız büyük ölçüde evet; Türkiye'de ise KVKK'nın dürüstlük ilkesi ve aydınlatma yükümlülüğü de aynı yöne işaret eder. AB Yapay Zeka Yasası'nın (AI Act) şeffaflık kuralları 2 Ağustos 2026'dan itibaren uygulanıyor: İnsanlarla doğrudan etkileşen yapay zeka sistemleri, kişi bunu bağlamdan açıkça anlamıyorsa, bir yapay zekayla konuştuğunu ona bildirecek şekilde tasarlanmalı. AB'deki kişileri arıyor ya da onların aramalarını karşılıyorsanız bu kural sizi de ilgilendirebilir.

KVKK da verinin hukuka ve dürüstlük kurallarına uygun işlenmesini ister. İnsanmış gibi konuşan bir asistan, karşı tarafın kime ne anlattığını bilmeden konuşmasına yol açar. Kişi bunu er geç fark eder; o noktada kaybedilen güven, gizlemeyle kazanılan her şeyden pahalıya patlar. Biz bu yüzden her görüşmenin ilk cümlesinde söylüyoruz.

Bir de otomatik kararlar var: KVKK, yalnız otomatik sistemlerle yapılan analiz sonucunda kişinin aleyhine çıkan bir sonuca itiraz hakkı tanır. Asistanın "ilgilenmiyor" ya da "ödeme sözü vermedi" gibi çıkarımları, bir insan bakmadan kişi aleyhine bir işleme dönüşmemeli. Tahsilatta itirazın ve tutulmayan ödeme sözünün nasıl bir insana devredildiğini yapay zeka ile tahsilat araması yazısında anlattık.

Kurulumdan önce hangi kontrol listesi uygulanmalı?

Aşağıdaki on madde, hukukçunuzla yapacağınız görüşmeye hazırlık için de iyi bir başlangıç:

1. Aramaları ayırın: Gelen, bilgilendirme, tanıtım, tahsilat; her biri için hukuki sebebi yazın.
2. Aydınlatma metnini güncelleyin: Yapay zeka kullanımı, döküm, sağlayıcılar, yurt dışına aktarım, saklama süresi ve haklar.
3. Açılış cümlesini yazın: Kimin adına arandığı, yapay zeka olduğu, amaç ve ayrıntıların nerede olduğu; kısa tutun.
4. Kayıt kararını verin: Ses kaydı gerçekten gerekli mi; asıl amaç dışı kullanım için açık rıza alın.
5. Saklama sürelerini belirleyin: Ses, döküm ve özet için ayrı süre ve otomatik silme.
6. Sağlayıcıları inceleyin: Sözleşme, sunucu konumu, saklama ve model eğitimi koşulları.
7. Yurt dışı aktarım yolunu seçin: Yeterlilik kararı, standart sözleşme ya da diğer yollar; hukukçuyla.
8. İYS düzenini kurun: Onay, kayıt, arama öncesi kontrol ve onay kanıtı.
9. Ret ve başvuru akışını kurun: "Aramayın" diyenin aynı gün çıkarılması; bilgi ve silme taleplerine kimin cevap vereceği.
10. Sınırları koyun: Kart ve IBAN bilgisini sesle almamak, üçüncü kişiye kişisel bilgi vermemek, erişimi kısıtlamak.

Gurizon'da bu kuralları nasıl uyguluyoruz?

Eylül 2026'da kendi işimiz için bir yapay zeka telefon sistemi kurduk ve her gün kullanıyoruz; bu başlıklarla ilk elden uğraştık:

• İlk cümlede yapay zeka: Asistan her görüşmenin başında yapay zeka olduğunu söylüyor, insanmış gibi davranmıyor. Açılışı kısa tutuyoruz; uzun açılışta karşı tarafın kapattığını gördük.
• Ses kaydı yerine yazılı döküm: Varsayılan olarak ses kaydı tutmuyoruz; yalnız yazılı döküm ve özet kalıyor. Bir video için kayıt gerekirse karşı taraftan açık izin istiyoruz.
• Hassas bilgi sesle dolaşmıyor: Asistan IBAN ya da kart bilgisini sesle okumuyor, IBAN'ı WhatsApp'tan gönderiyor. Para istemesi ve acil durum uydurması yasak.
• Numarayı tanımak kimliği doğrulamak değil: Gelen aramada asistan arayanı numarasından tanısa bile borç bilgisi paylaşmıyor.

Ses modelinin sunucuları ABD'de olduğu için yurt dışına aktarımı, sistemi açmadan önce netleştirilmesi gereken ilk konulardan biri sayıyoruz ve kurulum yaptığımız işletmelere kendi hukukçularıyla değerlendirmelerini öneriyoruz. Teknik korumaları yapay zeka çağrı merkezi kurulumu yazısında anlattık.

Sonuç

Yapay zeka ile telefon görüşmesi, KVKK ve İYS açısından yeni bir yasaktan çok mevcut kuralları görünür kılıyor. Aydınlatmayı kısa ve katmanlı yapın, yapay zeka olduğunuzu ilk cümlede söyleyin, gerekmeyen kaydı tutmayın, süresi dolanı silin, yurt dışına aktarımın yolunu bir hukukçuyla seçin ve bireylere tanıtım aramasını onaysız başlatmayın. Son kararı kendi durumunuza bakan bir hukukçuyla verin.

Bu kurallarla çalışan bir telefon asistanını Yapay Zeka Asistan sayfamızda inceleyebilir, ihtiyacınızı kısa formdan ya da WhatsApp üzerinden iletebilirsiniz.