Satışta Yapay Zeka Kullanırken KVKK Riskleri

Satışta yapay zekâ kullanırken en büyük KVKK riskleri beş başlıkta toplanır: hukuki dayanak olmadan kişisel veri işlemek, verileri yeterli güvence olmadan yurt dışındaki sunuculara aktarmak, ilgili kişiyi aydınlatmamak, gereğinden fazla veriyi gereğinden uzun saklamak ve yapay zekâ sağlayıcısıyla doğru sözleşmeyi kurmamak. B2B satışta muhatabınız bir şirket olsa bile, e-postasını, telefonunu, unvanını ya da görüşme kaydını işlediğiniz kişi gerçek bir insandır. Bu nedenle 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) doğrudan uygulanır. Yapay zekâ bu riskleri ortadan kaldırmaz. Aksine, veriyi daha hızlı, daha çok sistemde ve çoğu zaman daha görünmez biçimde işlediği için riskleri büyütür.

Bu yazıda, yapay zekâ destekli satış akışlarının hangi noktalarda kişisel veriye dokunduğunu, en sık yapılan hataları, ceza riskini ve KVKK'ya uygun bir süreci adım adım nasıl kurabileceğinizi anlatıyoruz. Yazı genel bilgilendirme amaçlıdır. Kendi süreçleriniz için bir KVKK uzmanından ya da avukattan görüş almanızı öneririz.

Satışta yapay zekâ hangi noktalarda kişisel veriye dokunuyor?

Riskleri yönetmenin ilk adımı, verinin nereden girip nereye gittiğini görmektir. Tipik bir B2B satış ekibinde yapay zekâ şu noktalarda kişisel veri işler:

Prospecting ve lead listesi oluşturma: Ad, soyad, unvan, kurumsal e-posta, telefon ve LinkedIn profil bağlantısı toplanır.
Veri zenginleştirme: Mevcut kayda yeni alanlar eklenir: kıdem, önceki şirketler, kullandığı teknolojiler, sosyal medya aktivitesi.
Kişiselleştirilmiş e-posta üretimi: Kişinin profili, paylaşımları ve şirket bilgisi bir dil modeline gönderilir, model ona özel bir metin yazar.
Görüşme kaydı ve transkripsiyon: Ses kaydı alınır, metne çevrilir, özetlenir ve CRM'e yazılır.
Lead scoring ve önceliklendirme: Kişiler ve şirketler, davranış verilerine göre otomatik olarak puanlanır.
Satış asistanları ve chatbotlar: Web sitesindeki ziyaretçiyle konuşan bot, ad, e-posta ve ihtiyaç bilgisi toplar.
Çalışanların bireysel kullanımı: Bir temsilcinin CRM'den aldığı 500 satırlık listeyi "bunları segmentlere ayır" diyerek genel amaçlı bir sohbet botuna yapıştırması.

Son madde genelde en az konuşulan ama en riskli olandır. Şirketin onayı, sözleşmesi ve kaydı olmadan yapılan bu tür kullanım "gölge yapay zekâ" (shadow AI) olarak adlandırılır. Hiçbir envanterde görünmez.

En sık karşılaşılan KVKK riskleri nelerdir?

1. Hukuki dayanak olmadan veri işlemek

KVKK'nın 5. maddesi, kişisel verinin ancak belirli şartlardan biri varsa işlenebileceğini söyler. Bu şartlar açık rıza, kanunlarda açıkça öngörülme, sözleşmenin kurulması veya ifası, hukuki yükümlülük, ilgili kişinin veriyi alenileştirmesi, bir hakkın tesisi ve veri sorumlusunun meşru menfaatidir.

Satış ekiplerinde en sık görülen yanılgı şudur: "LinkedIn'de herkese açık, o halde istediğim gibi kullanabilirim." Alenileştirme şartı, verinin alenileştirilme amacıyla sınırlı olarak işlenmesine izin verir. Bir kişinin profesyonel profilini iş bağlantısı kurmak için açması, o verinin otomatik olarak kazınıp zenginleştirilmesine, yapay zekâya analiz ettirilmesine ve toplu bir diziye eklenmesine sınırsız izin verdiği anlamına gelmez.

B2B outbound'da daha savunulabilir dayanak genellikle meşru menfaattir. Ancak meşru menfaat, kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla geçerlidir. Bu dengeyi kurduğunuzu gösteren yazılı bir değerlendirme yapmadıysanız, denetimde elinizde bir şey yoktur.

2. Yurt dışına veri aktarımı

Satışta kullanılan yapay zekâ araçlarının büyük kısmı, verileri Türkiye dışındaki sunucularda işler. Bir dil modeline gönderdiğiniz her prompt, içinde kişisel veri varsa, yurt dışına aktarım sayılabilir.

KVKK'nın 9. maddesi 2024'te 7499 sayılı Kanun ile köklü biçimde değişti ve yeni düzen 1 Haziran 2024'te yürürlüğe girdi. Artık yurt dışı aktarım temel olarak üç yoldan yapılabiliyor:

Yeterlilik kararı: Kurul'un ilgili ülke için verdiği karar. Bu yazının hazırlandığı tarihe kadar uygulamada yaygın bir yeterlilik kararı bulunmuyordu. Güncel durumu ayrıca kontrol edin.
Uygun güvenceler: Bunların başında Kurul'un yayımladığı standart sözleşmeler gelir. Bağlayıcı şirket kuralları ve taahhütname de bu kapsamdadır. Standart sözleşme imzalandıktan sonra 5 iş günü içinde Kurum'a bildirilmesi gerekir.
Arızi aktarım istisnaları: Açık rıza gibi istisnalar artık yalnızca arızi, yani düzenli olmayan aktarımlar için kullanılabilir.

Pratikte bunun anlamı şudur: Her gün düzenli olarak müşteri verisini işleyen bir yapay zekâ aracı için "kullanıcıdan açık rıza aldık" demek artık yeterli bir çözüm değildir. Sağlayıcıyla standart sözleşme imzalanması ve bunun bildirilmesi gerekir. Pek çok küresel SaaS sağlayıcısı Türkiye'ye özgü standart sözleşmeyi henüz kendiliğinden sunmuyor. Bu yüzden konuyu satın alma aşamasında masaya koymak gerekiyor.

3. Sağlayıcıyla eksik sözleşme ve verinizle model eğitimi

Yapay zekâ aracını kullanan şirket kural olarak veri sorumlusu, aracı sağlayan şirket ise veri işleyen konumundadır. KVKK'nın 12. maddesi, veri işleyenin de güvenlik tedbirlerinden veri sorumlusuyla birlikte sorumlu olduğunu söyler. Bu ilişkinin yazılı bir sözleşmeyle tanımlanması gerekir.

Burada özellikle iki soruya dikkat edin:

Gönderdiğiniz veriler modeli eğitmek için kullanılıyor mu? Bazı ücretsiz ve bireysel planlarda varsayılan ayar bu yöndedir. Kurumsal planlarda genellikle kapalıdır, ama sözleşmede ve ayarlarda teyit etmek gerekir.
Veriler ne kadar süre saklanıyor ve kimler erişebiliyor? Kötüye kullanım denetimi amacıyla prompt'ların belirli bir süre tutulması yaygındır. Bu sürenin ve erişim kapsamının yazılı olması gerekir.

Bireysel hesapla açılmış, şirket kartıyla ödenen ve kimsenin sözleşmesini okumadığı bir yapay zekâ aboneliği, sizin adınıza veri işleyen ama hiçbir yükümlülüğü tanımlanmamış bir üçüncü taraf demektir.

4. Aydınlatma yükümlülüğünü atlamak

KVKK'nın 10. maddesine göre, kişisel veriyi işlediğiniz kişiye kim olduğunuzu, veriyi hangi amaçla işlediğinizi, kime aktardığınızı, toplama yöntemini ve hukuki sebebi ve kişinin haklarını bildirmeniz gerekir. Veriyi kişinin kendisinden değil de bir veri sağlayıcıdan ya da açık kaynaktan aldıysanız, bu yükümlülük ortadan kalmaz.

Outbound'da pratik çözüm çoğu zaman, ilk temas e-postasının altına kısa bir bilgilendirme ve aydınlatma metnine bağlantı eklemektir. Bu metinde yapay zekâ ile işleme ve yurt dışı aktarım açıkça yer almalıdır. Soğuk e-postanın hukuki çerçevesini ve ticari elektronik ileti mevzuatıyla kesiştiği noktaları KVKK'ya uygun B2B soğuk e-posta ve yasal sınırlar yazımızda ayrıntılı anlattık.

5. Görüşme kayıtları ve özel nitelikli veri

Yapay zekâ not alıcılar büyük zaman kazandırır, ama risk de taşır. İlk risk, karşı tarafı bilgilendirmeden kayıt almaktır. Görüşmenin başında kaydın alındığını, ne amaçla kullanılacağını ve yapay zekâ ile işleneceğini söylemek temel gerekliliktir.

İkinci risk, görüşme içeriğinde kendiliğinden ortaya çıkan özel nitelikli kişisel verilerdir. Bir satın almacı "geçen ay ameliyat oldum, o yüzden süreç gecikti" dediğinde sağlık verisi transkripte, oradan özete, oradan CRM'e geçer. KVKK'nın 6. maddesi bu veri kategorisi için çok daha sıkı şartlar öngörür. Ses kaydı kişinin kimliğini tespit etmek amacıyla işlenirse biyometrik veri tartışması da gündeme gelebilir.

Pratik önlem şudur: Özetleme talimatına "sağlık, din, siyasi görüş gibi kişisel bilgileri özete alma" kuralı ekleyin, ham kayıtların saklama süresini kısa tutun ve CRM'e yalnızca iş bağlamındaki bilgileri yazın. Bu akışın teknik tarafını satış görüşme notlarını yapay zekâyla otomatikleştirme yazımızda adım adım ele aldık.

6. Otomatik puanlama ve profil çıkarma

KVKK'nın 11. maddesi, ilgili kişiye "işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme" hakkı tanır. B2B lead scoring çoğu zaman bir kişinin aleyhine ciddi bir sonuç doğurmaz. Yine de yapay zekâ ile kişinin sosyal medya davranışından kişilik analizi çıkarmak, "karar verme tarzı" gibi etiketler üretmek ya da ölçülülük sınırını aşan profiller oluşturmak, KVKK'nın 4. maddesindeki "amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesiyle çatışabilir.

Puanlamayı mümkün olduğunca şirket düzeyindeki sinyallere (sektör, büyüklük, teknoloji kullanımı, işe alım hareketleri) dayandırmak, kişisel davranış verisini ise sınırlı tutmak daha güvenli bir yaklaşımdır. Model kurarken bu dengeyi B2B lead scoring modeli kurma rehberimizdeki kriterlerle birlikte düşünebilirsiniz.

7. Aşırı veri toplama ve süresiz saklama

Yapay zekâ ile zenginleştirme o kadar kolaylaştı ki, ekipler "nasılsa bir gün işe yarar" diyerek her kayda onlarca alan ekliyor. Oysa KVKK'nın temel ilkelerinden biri verinin işlendiği amaç için gerekli olan süre kadar muhafaza edilmesidir. Bir yıl önce yanıt vermemiş, ICP'nize artık uymayan, şirketten ayrılmış kişilerin verilerini zenginleştirilmiş halde tutmanın meşru bir gerekçesi yoktur.

Zenginleştirmede hangi alanların gerçekten satış kararına katkı sağladığını belirlemek hem uyum hem verimlilik açısından önemlidir. Bu konuda B2B veri zenginleştirmenin Türkiye'de nasıl yapılacağını anlattığımız yazı iyi bir başlangıç noktası sunar.

Ceza riski ne kadar?

KVKK'nın 18. maddesi kapsamındaki idari para cezaları her yıl yeniden değerleme oranıyla güncellenir. Bu yüzden sabit bir rakam vermek yanıltıcı olur. Güncel tutarlar özellikle VERBİS kaydı ve veri güvenliği yükümlülükleri için milyonlarca liraya ulaşabilen üst sınırlara sahiptir. 2024 değişikliğiyle birlikte standart sözleşmenin Kurum'a bildirilmemesi de ayrı bir ceza konusu haline geldi.

Ancak doğrudan para cezası tek risk değildir:

İtibar kaybı: Kurul kararları yayımlanır. "Satış ekibinin kullandığı araç üzerinden veri sızdı" başlığı, özellikle kurumsal müşterilere satan bir şirket için ciddi bir güven sorunudur.
Satış döngüsünün uzaması: Büyük şirketlerin satın alma ve hukuk ekipleri artık tedarikçilerine yapay zekâ kullanımı ve veri aktarımı hakkında ayrıntılı sorular soruyor. Cevap veremeyen şirketin süreci haftalarca uzayabilir. Bu da zaten uzun olan B2B satış döngüsünün Türkiye'deki süresini daha da uzatır.
İlgili kişi başvuruları ve şikâyetler: Tek bir rahatsız alıcının Kurul'a şikâyeti, tüm süreçlerinizin incelenmesine yol açabilir.
Veri ihlali bildirimi: Bir ihlal olduğunda Kurul'a en kısa sürede bildirim yapılması gerekir. Kurul bu süreyi uygulamada 72 saat olarak yorumlar. Hangi aracın hangi veriyi tuttuğunu bilmeyen bir ekibin bu sürede bildirim hazırlaması neredeyse imkânsızdır.

KVKK'ya uygun yapay zekâ destekli satış süreci nasıl kurulur?

Aşağıdaki adımlar, 5 kişilik bir satış ekibinden 50 kişilik bir organizasyona kadar uyarlanabilir.

Yapay zekâ envanteri çıkarın. Ekipte kullanılan tüm yapay zekâ araçlarını listeleyin. Buna tarayıcı eklentileri, bireysel sohbet botu hesapları, not alıcılar ve CRM içindeki yapay zekâ özellikleri dahildir. Her biri için hangi veriyi işlediğini, verinin nerede saklandığını ve kimin hesabıyla kullanıldığını yazın. Bu çalışma genellikle 1-2 haftada tamamlanır ve sürprizlerle doludur.

Veri akış haritası çizin. Kişisel verinin kaynağını (veri sağlayıcı, web formu, LinkedIn, görüşme), uğradığı araçları ve son durağını (CRM, e-posta aracı, arşiv) tek sayfada gösterin.

Her işleme için hukuki dayanak belirleyin. "Soğuk outbound için meşru menfaat", "demo sonrası takip için sözleşme öncesi süreç" gibi eşleştirmeleri yazılı hale getirin. Meşru menfaat kullandığınız yerlerde kısa bir denge testi notu ekleyin.

Yurt dışı aktarımları tespit edip güvenceye alın. Her araç için sunucu konumunu öğrenin. Yurt dışı aktarım varsa standart sözleşme sürecini başlatın ve 5 iş günlük bildirim süresini takvimlendirin. Sağlayıcı bunu desteklemiyorsa, alternatif bir araç ya da kişisel veriyi göndermeyen bir kullanım şekli düşünün.

Veri işleyen sözleşmelerini tamamlayın. Model eğitimi, saklama süresi, alt işleyenler, ihlal bildirimi ve veri silme konularını yazılı hale getirin. Bireysel hesapları kurumsal hesaplara taşıyın.

Prompt'larda veri minimizasyonu uygulayın. E-posta kişiselleştirmesi için modele kişinin e-posta adresini ya da telefonunu göndermenize genellikle gerek yoktur. Unvan, sektör ve şirket bilgisi çoğu zaman yeterlidir. Mümkün olan yerlerde ad ve iletişim bilgisini maskeleyip çıktıyı sonradan birleştirin.

Aydınlatma metnini güncelleyin. Yapay zekâ ile işleme, profil oluşturma ve yurt dışı aktarım bilgilerini ekleyin. Outbound e-postalarına ve görüşme davetlerine bu metnin bağlantısını koyun.

Saklama ve imha kuralı belirleyin. Örneğin: Yanıt vermeyen kişilerin zenginleştirilmiş verileri 12 ay sonra silinsin, ham görüşme kayıtları 30-90 gün sonra imha edilsin, özetler fırsat kapandıktan sonra belirli bir süre tutulsun. Süreleri iş ihtiyacınıza göre belirleyin. Önemli olan yazılı ve otomatik uygulanan bir kuralın olmasıdır.

Erişimi sınırlayın. Her temsilcinin tüm veritabanını dışa aktarabildiği bir yapı, gölge yapay zekâ riskinin kaynağıdır. Dışa aktarma yetkisini rol bazlı kısıtlayın.

Ekibi eğitin ve kısa bir kullanım politikası yazın. Bir sayfalık bir "Yapay zekâya ne yapıştırılmaz" listesi bile ciddi fark yaratır. Bu listede müşteri iletişim bilgileri, sözleşme metinleri, fiyat teklifleri ve görüşme kayıtları onaylı araçlar dışında yer almamalıdır.

Bu adımları otomasyon kurulumunun başında düşünmek, sonradan düzeltmekten çok daha ucuzdur. Kendi sunucunuzda çalıştırabildiğiniz araçlar veri konumunu kontrol etmenizi kolaylaştırır. Örneğin n8n ile B2B satış otomasyonu kurarken iş akışını Türkiye'deki bir sunucuda barındırmak ve yapay zekâ adımına yalnızca maskelenmiş veri göndermek mümkündür.

Somut bir örnek: Aynı outbound akışının iki versiyonu

Yazılım satan, 8 kişilik bir satış ekibi düşünelim. Hedefleri üretim sektöründeki operasyon müdürleri.

Riskli versiyon:

Bir temsilci, LinkedIn'den bir eklentiyle 300 kişilik liste çıkarıyor.
Listeyi kişisel sohbet botu hesabına yapıştırıp "her biri için kişisel e-posta yaz" diyor. Listede ad, e-posta, telefon ve profil özeti var.
Bir zenginleştirme aracı her kişiye özel telefon numarası ve kişisel sosyal medya hesapları ekliyor.
E-postalarda aydınlatma bilgisi yok, abonelikten çıkma seçeneği yok.
Yanıt vermeyenler süresiz olarak CRM'de bekliyor.

Bu akışta en az beş ayrı sorun var: belirsiz hukuki dayanak, sözleşmesiz ve muhtemelen yurt dışına giden veri, model eğitimi riski, aydınlatma eksikliği ve süresiz saklama.

Daha güvenli versiyon:

Liste, kaynağı ve toplama yöntemi belgelenmiş bir veri platformundan, yalnızca ICP kriterlerine uyan kişilerle çıkarılıyor.
Kişiselleştirme, şirket adı, sektör, unvan ve şirket haberleri gibi verilerle, kurumsal planda ve model eğitimi kapalı bir dil modeliyle yapılıyor. E-posta adresi ve telefon modele hiç gönderilmiyor.
Zenginleştirme yalnızca kurumsal iletişim bilgisi ve şirket düzeyindeki alanlarla sınırlı.
İlk e-postada gönderenin kimliği, verinin nasıl elde edildiği ve aydınlatma metni bağlantısı yer alıyor. Kolay bir ret seçeneği sunuluyor.
3 adımlık dizi bittikten sonra yanıt vermeyenler 12 ay içinde otomatik olarak siliniyor.

İkinci versiyon da tamamen risksiz değildir. Ama denetimde ne yaptığınızı ve neden yaptığınızı gösterebilirsiniz. KVKK uyumunda belirleyici olan budur. Üstelik ikinci versiyon, daha dar ve daha isabetli bir hedeflemeyle genellikle daha iyi yanıt oranı getirir.

Yapay zekâ aracı seçerken hangi soruları sormalısınız?

Satın alma ya da deneme aşamasında sağlayıcıya şu soruları yazılı olarak sorun:

Veriler hangi ülkelerde, hangi sağlayıcıların altyapısında işleniyor ve saklanıyor?
Gönderdiğimiz veriler modelinizi eğitmek için kullanılıyor mu? Bu varsayılan olarak kapalı mı?
Prompt'lar ve çıktılar ne kadar süre saklanıyor? Talep edersek silebiliyor musunuz?
Alt işleyenlerinizin listesini paylaşabilir misiniz?
KVKK kapsamındaki standart sözleşmeyi imzalamaya hazır mısınız?
Bir veri ihlalinde bizi ne kadar sürede bilgilendirirsiniz?
Rol bazlı erişim, denetim kaydı (audit log) ve tek oturum açma (SSO) destekleniyor mu?

Prospecting ve iletişim verisi platformlarında bu sorulara bir soru daha ekleyin: Veriler nasıl toplanıyor ve kaynakları belgelenebiliyor mu? Örneğin Apollo.io gibi küresel bir veri platformu kullanıyorsanız, yurt dışı aktarım ve veri kaynağı konularını sözleşme aşamasında netleştirmek ve dışa aktardığınız alanları ihtiyacınızla sınırlamak gerekir. Genel değerlendirme çerçevesi için satış için yapay zekâ aracı seçerken dikkat edilecek 6 kriter yazımıza da göz atabilirsiniz.

Outbound süreçlerini içeride kurmak yerine dışarıdan destek almayı düşünüyorsanız, hizmet sağlayıcınızın da veri işleyen sıfatıyla aynı kurallara tabi olduğunu unutmayın. Örneğin B2B SaaS şirketleri için outbound ve lead generation yürüten SAAS Corner gibi bir ekiple çalışırken de veri kaynağı, saklama ve aktarım konularının sözleşmede tanımlanması gerekir.

Sık sorulan sorular

B2B satışta da KVKK geçerli mi?

Evet. KVKK, tüzel kişilerin değil gerçek kişilerin verilerini korur. Ancak B2B satışta işlediğiniz ad, kurumsal e-posta, telefon ve unvan bilgileri gerçek kişilere aittir. Bu nedenle muhatabınızın bir şirket çalışanı olması kanunun uygulanmasını engellemez.

ChatGPT gibi bir araca müşteri listesi yüklemek KVKK ihlali midir?

Tek başına otomatik olarak ihlal sayılmaz. Ancak hukuki dayanak, yurt dışı aktarım güvencesi, veri işleyen sözleşmesi ve aydınlatma yoksa ciddi bir risk oluşturur. Bireysel bir hesapla, model eğitimine açık bir planda ve şirketin bilgisi dışında yapılıyorsa ihlal riski çok yüksektir.

Açık rıza alırsam tüm sorunlar çözülür mü?

Hayır. Açık rıza, özgür iradeyle ve belirli bir konuya ilişkin verilmelidir ve her an geri alınabilir. 2024 değişikliğinden sonra yurt dışına düzenli veri aktarımı için açık rıza artık temel yöntem de değildir. Satış süreçlerinde çoğu zaman meşru menfaat ve standart sözleşme gibi araçlarla doğru kurgulanmış bir yapı daha sürdürülebilirdir.

Yapay zekâ ile yazılan soğuk e-postalar için ayrıca izin gerekir mi?

E-postanın yapay zekâyla yazılmış olması ek bir izin gerektirmez. Belirleyici olan, ticari elektronik ileti mevzuatı ve KVKK kapsamında alıcıya ileti gönderme hakkınızın olup olmadığıdır. Yapay zekâ kullanımı ise aydınlatma metninde ve sağlayıcı sözleşmelerinde ayrıca ele alınmalıdır.

Sonuç

Satışta yapay zekâ kullanmak KVKK'ya aykırı değildir. Riskli olan, verinin nereye gittiğini, hangi dayanakla işlendiğini ve ne kadar saklandığını bilmeden kullanmaktır. Yapay zekâ envanterini çıkarmak, yurt dışı aktarımları güvenceye almak, prompt'lara yalnızca gerekli veriyi göndermek, aydınlatma metnini güncellemek ve saklama sürelerini otomatikleştirmek riskin büyük kısmını yönetilebilir hale getirir. Bu adımlar aynı zamanda daha temiz bir veri tabanı, daha isabetli hedefleme ve kurumsal müşterilerin güvenlik sorularına hazır bir satış ekibi anlamına gelir.

Yapay zekâ destekli satış otomasyonunuzu baştan KVKK'yı gözeten bir mimariyle kurmak ya da mevcut akışlarınızı gözden geçirmek istiyorsanız, Sales Corner ekibiyle bir görüşme planlayın. Hangi verinin nereye aktığını birlikte haritalayıp güvenli ve verimli bir yapı kuralım.