EU AI Act ve KVKK Kapsamında Grok Örneği Üzerinden Doktrinsel Bir İnceleme
Av. Asutay Duhan Meydan
Attorney at Law | Artificial Intelligence Law and Technology Policy
Yapay zekâ sistemlerinin gerçek kişilere ait fotoğrafları kullanarak cinsel, mahrem veya aşağılayıcı nitelikte sentetik görüntüler üretmesi, klasik “zararlı içerik” tartışmasının ötesine geçen yeni bir sorumluluk alanı yaratmaktadır. Böyle bir olayda yalnızca görüntüyü ürettiren kullanıcı değil; modeli geliştiren şirketin, modeli işleten kuruluşun ve görüntünün yayımlandığı platformun da sorumluluğu gündeme gelebilir.
Grok hakkında Türkiye’de başlatılan inceleme bu tartışmanın güncel örneğini oluşturmaktadır. Kişisel Verileri Koruma Kurulu, Grok’un çocuklar dâhil kişilerin rızası olmadan cinsel içerikli görüntü ve video üretiminde kullanıldığı, bu içeriklerin dolaşıma sokulduğu ve sistemin geliştirilmesi ile uygulanması sırasında gerekli teknik ve idari tedbirlerin alınmamış olabileceği iddiaları üzerine X Internet Unlimited Company ve X.AI Corporation hakkında resen inceleme başlatıldığını açıklamıştır. Henüz kamuya açıklanmış kesin bir ihlal kararı bulunmadığından, olayın hukuken kanıtlanmış bir ihlal olarak değil, muhtemel sorumluluk yapısının incelenebileceği bir örnek vaka olarak ele alınması gerekir.
Bu makalede ele alınan varsayım şudur: Türkiye’de yaşayan bir kişiye ait fotoğraf, üçüncü bir kullanıcı tarafından yapay zekâ sistemine yüklenmekte; sistem, bu kişiyi gerçekte bulunmadığı cinsel veya mahrem bir bağlamda gösteren sentetik bir görüntü üretmekte ve görüntü daha sonra çevrim içi bir platformda yayımlanmaktadır.
Bu durumda mağdur, görüntüyü ürettiren kullanıcıyla birlikte yapay zekâ sağlayıcısına veya platform işletmecisine de dava açabilir mi?
Kanaatimizce bu sorunun cevabı, somut olayın ürün mimarisine, şirketlerin fiilî rollerine, alınan güvenlik önlemlerine ve zararla sistem arasındaki nedensellik bağına göre evet olabilir. Ancak bu davanın doğrudan ve yalnızca EU AI Act’e dayandırılması mümkün değildir. Esas hukuki temel; KVKK, kişilik hakkının korunması ve Türk haksız fiil hukukundan oluşacaktır.
1. AI Act doğrudan tazminat hükmü değil, özen standardı sunmaktadır
EU AI Act, yapay zekâ sağlayıcıları ve sistemi kullanan belirli aktörler bakımından ürün güvenliği, yönetişim, şeffaflık, teknik dokümantasyon ve risk yönetimi yükümlülükleri getiren düzenleyici bir çerçevedir. Tüzük, 2 Ağustos 2026 tarihinden itibaren kademeli uygulama hükümleri saklı kalmak kaydıyla genel olarak uygulanmaya başlamıştır.
Bununla birlikte AI Act içerisinde, GDPR’ın 82. maddesine benzer biçimde, her ihlal nedeniyle zarar gören kişiye doğrudan ve genel bir tazminat talebi veren özel bir hüküm bulunmamaktadır. Nitekim AI Act, mevcut veri koruma, tüketici ve ürün sorumluluğu hukukundan kaynaklanan tazminat haklarını ortadan kaldırmadığını; bu hakların ayrı olarak uygulanmaya devam edeceğini belirtmektedir.
Dolayısıyla Türkiye’de açılacak davada AI Act, tek başına maddi hukuk anlamında dava sebebi olmayacaktır. Davanın esas dayanakları şunlardır:
- KVKK m.4 kapsamında temel veri işleme ilkeleri,
- KVKK m.5 ve m.6 kapsamında işleme şartları,
- KVKK m.11 kapsamında ilgili kişinin hakları,
- KVKK m.12 kapsamında teknik ve idari tedbir yükümlülüğü,
- Türk Medeni Kanunu m.24 ve m.25 kapsamında kişilik hakkının korunması,
- Türk Borçlar Kanunu m.49 kapsamında haksız fiil sorumluluğu,
- Türk Borçlar Kanunu m.58 kapsamında manevi tazminat.
AI Act’in asıl önemi, sağlayıcıdan beklenen özenin seviyesini somutlaştırmasında ortaya çıkmaktadır. Başka bir ifadeyle AI Act, Türk mahkemesinde doğrudan tazminat normu olarak değil; riskin öngörülebilirliği, mevcut teknik imkânlar, sentetik içeriklerin işaretlenmesi ve profesyonel bir yapay zekâ sağlayıcısından beklenebilecek güvenlik seviyesi bakımından güçlü bir karşılaştırmalı hukuk ölçütü olarak kullanılabilir.
Bu nedenle temel doktrinsel tez şu şekilde kurulabilir:
AI Act’in kamu hukuku ve ürün yönetişimi yükümlülükleri, KVKK ve Türk haksız fiil hukuku kapsamında değerlendirilecek özen yükümlülüğünün içeriğini belirleyen yardımcı bir normatif standart hâline gelebilir.
2. Sentetik görüntü kişisel veri sayılabilir mi?
İlk tartışma, gerçekte yaşanmamış bir olayı gösteren sentetik görüntünün kişisel veri niteliğinde olup olmadığıdır.
KVKK bakımından kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Veri işlemenin kapsamı yalnızca mevcut bir bilginin kaydedilmesiyle sınırlı değildir; verinin elde edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması ve erişilebilir hâle getirilmesi de veri işleme faaliyeti sayılmaktadır.
Bu çerçevede mağdurun yüzü, bedeni, adı veya diğer ayırt edici özellikleri kullanılarak üretilen bir sentetik görüntü, görüntü gerçek bir olayı göstermese dahi belirli kişiyle ilişkilendirilebiliyorsa kişisel veri niteliği taşıyabilir.
Burada görüntünün “doğru” olup olmamasından çok, belirli kişi hakkında bir anlam üretip üretmediği önemlidir. Sentetik görüntü, kişinin gerçekte bulunmadığı bir cinsel bağlamı onun kimliğiyle birleştirmekte; görüntüyü gören kişiler bakımından mağdurla ilgili yanlış, aşağılayıcı ve zarar verici bir temsil ortaya çıkarmaktadır.
Bu sonuç KVKK m.4’teki “doğru ve gerektiğinde güncel olma” ilkesi açısından da dikkat çekicidir. Kişisel veri işleme faaliyetinin kişi hakkında bir sonuç doğurduğu durumlarda, veri sorumlusunun doğruluğu sağlamaya yönelik aktif bir özen göstermesi gerektiği Kurul kararlarında da kabul edilmektedir.
Daha güç olan soru, sentetik cinsel görüntünün “cinsel hayata ilişkin özel nitelikli kişisel veri” sayılıp sayılmayacağıdır.
Dar yoruma göre görüntü, mağdurun gerçek cinsel hayatına ilişkin doğru bir bilgi içermediğinden özel nitelikli veri değildir. Görüntü tamamen yapaydır ve gerçek bir cinsel yaşam olgusunu açıklamamaktadır.
Koruyucu yoruma göre ise görüntü, mağdurun kimliğini cinsel bir bağlamla ilişkilendirmekte ve özel nitelikli veri rejiminin önlemeyi amaçladığı itibar, ayrımcılık, mahremiyet ve insan onuru zararlarını doğurmaktadır. KVKK’da cinsel hayata ilişkin bilgiler özel nitelikli kişisel veri olarak kabul edildiğinden, sentetik görüntünün gerçek dışı olması bu ağırlaştırılmış korumanın tamamen dışında kalmasını zorunlu kılmayabilir.
Bu konuda Türk hukukunda yerleşmiş bir içtihat henüz bulunmadığından kesin bir sonuç ileri sürmek güçtür. Ancak veri sorumlusunun uyum ve güvenlik bakımından sentetik cinsel görüntüleri yüksek hassasiyetli veri kategorisi olarak ele alması daha savunulabilir bir yaklaşım olacaktır. Raporda da bu ayrım korunmuş; sentetik görüntünün gerçek bir cinsel yaşam olgusunu açıklamadığı yönündeki savunmayla, mağduru cinsel bağlamda temsil ederek aynı korunan hukuki değerlere zarar verdiği yönündeki karşı görüş birlikte değerlendirilmiştir.
3. Davalı kim olacaktır: kullanıcı, sağlayıcı mı, platform mu?
Yapay zekâ kaynaklı zararların en önemli sorunlarından biri, tek bir görünür çıktının arkasında birden fazla şirket ve işleme faaliyetinin bulunmasıdır.
Bir sentetik görüntünün oluşumu sırasında şu işlemler ayrı ayrı gerçekleşebilir:
Kaynak fotoğraf sisteme yüklenir, yüz ve beden özellikleri analiz edilir, kullanıcı talimatı işlenir, sentetik çıktı oluşturulur, giriş ve çıktı verileri saklanır, görüntü platformda yayımlanır, başka kullanıcılara tavsiye edilir, güvenlik incelemesine alınır ve bazı durumlarda model geliştirme amacıyla yeniden kullanılır.
Bu işlemlerin tamamından aynı şirket sorumlu olmayabilir. Modeli geliştiren kuruluş, hizmeti tüketiciye sunan şirket ve içeriği yayımlayan platform farklı tüzel kişiler olabilir.
KVKK bakımından veri sorumlusu, kişisel verilerin işlenme amaç ve vasıtalarını belirleyen ve veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişidir. Aynı şirketler topluluğu içerisindeki her şirketin rolü, unvanına veya sözleşmedeki tanımına göre değil, somut veri işleme faaliyeti üzerindeki fiilî karar yetkisine göre belirlenmelidir.
Bu nedenle mahkeme öncelikle şu sorulara cevap aramalıdır:
Kaynak fotoğrafın işlenmesine kim karar verdi? Modeli ve güvenlik filtrelerini kim işletti? Görüntünün saklama süresini kim belirledi? İçeriğin platformda yayımlanmasını veya tavsiye edilmesini kim kontrol etti? Şikâyet üzerine görüntüyü kaldırma ve tekrar üretilmesini önleme yetkisi hangi şirketteydi?
Her şirketin her işlemden sorumlu tutulması doğru değildir. Buna karşılık aynı işlemenin amaç ve araçlarını birlikte belirleyen veya aynı zararın doğumuna farklı fiillerle katkıda bulunan birden fazla şirket bakımından birlikte sorumluluk tartışması gündeme gelebilir.
Türk Borçlar Kanunu m.61’e göre birden fazla kişinin birlikte bir zarara sebebiyet vermesi veya aynı zarardan farklı sebeplerle sorumlu olması hâlinde müteselsil sorumluluk hükümleri uygulanabilir. İç ilişkideki paylaşımda ise her sorumlunun kusurunun ağırlığı ve yarattığı tehlikenin yoğunluğu dikkate alınır.
Dolayısıyla davada üç ayrı sorumluluk halkası kurulabilir:
Birinci halka, görüntüyü kötü niyetle ürettiren ve yayan kullanıcıdır. İkinci halka, öngörülebilir kötüye kullanımı engelleyecek güvenlik sistemlerini tasarlayan veya işletmesi gereken AI sağlayıcısıdır. Üçüncü halka ise içeriğin yayımlanması, çoğaltılması ve algoritmik olarak görünür hâle getirilmesi üzerinde kontrol sahibi platformdur.
4. Davanın merkezi KVKK m.12’deki güvenlik yükümlülüğü olacaktır
Yapay zekâ şirketi bakımından davanın en güçlü hukuki noktası, görüntünün bizzat şirket çalışanları tarafından oluşturulması değil; öngörülebilir kötüye kullanım karşısında yeterli teknik ve idari tedbirlerin alınıp alınmadığı olacaktır.
KVKK m.12 uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak ve uygun güvenlik seviyesini temin etmek amacıyla gerekli teknik ve idari tedbirleri almak zorundadır. Verilerin başka bir kişi tarafından veri sorumlusu adına işlenmesi hâlinde tedbirler bakımından müşterek sorumluluk da gündeme gelmektedir.
Bir kullanım politikasında “gerçek kişilerin cinsel görüntülerini üretmek yasaktır” denilmesi tek başına yeterli olmayacaktır. Yargısal inceleme, kâğıt üzerindeki yasağın fiilen çalışıp çalışmadığına yönelmelidir.
Bu kapsamda özellikle şu hususlar önem kazanır:
- Gerçek kişiye ait fotoğraf algılandığında sistem ek güvenlik kontrolü uyguluyor muydu?
- Türkçe, argo veya örtülü talimatlarla filtreler aşılabiliyor muydu?
- Yaşı belirsiz kişiler bakımından ihtiyatlı çocuk güvenliği engeli bulunuyor muydu?
- Aynı kullanıcı tekrar tekrar benzer üretimler gerçekleştirebiliyor muydu?
- Kaldırılan içerik tekrar üretilebiliyor veya yeniden yüklenebiliyor muydu?
- Sentetik çıktı doğrudan platformda yayımlanabiliyor muydu?
- Şikâyet sonrasında müdahale süresi ne kadardı?
- Model, sınıflandırıcı ve güvenlik politikalarının olay tarihindeki sürümleri saklanmış mıydı?
- Önceki olaylar nedeniyle risk şirket açısından öngörülebilir hâle gelmiş miydi?
EU AI Act’in sağlayacağı katkı burada ortaya çıkar. Tüzüğün 50. maddesi, sentetik görüntü, ses, video veya metin üreten sistemlerin çıktılarının makine tarafından okunabilir şekilde işaretlenmesini ve yapay olarak üretildiğinin veya manipüle edildiğinin tespit edilebilir olmasını öngörmektedir. Deepfake içeriği kullanan belirli aktörlerin de içeriğin yapay şekilde üretildiğini veya değiştirildiğini açıklaması gerekir.
Ancak bir görüntünün “AI tarafından üretilmiştir” şeklinde etiketlenmesi, içeriğin hukuka uygun olduğu anlamına gelmez. Etiket aldatılma riskini azaltabilir; fakat mağdurun görüntüsünün rızası dışında işlenmesini, cinsel bağlama yerleştirilmesini veya kişilik hakkına saldırıyı ortadan kaldırmaz.
AI Act ayrıca bazı düzenlemelerinde bilinen ve makul olarak öngörülebilen kötüye kullanımların risk yönetimine dâhil edilmesine önem vermektedir. Bu hükümler her generatif görüntü sistemi bakımından doğrudan aynı yükümlülüğü yaratmasa da, güncel teknoloji seviyesi ve öngörülebilir kötüye kullanım kavramının içeriğinin belirlenmesinde Türk mahkemesine yardımcı olabilir.
5. Kullanıcının kasıtlı davranışı sağlayıcının sorumluluğunu keser mi?
AI sağlayıcısının temel savunması, zararın kötü niyetli kullanıcının bağımsız ve kasıtlı davranışından doğduğu olacaktır.
Gerçekten de hukuka aykırı talimatı veren, görüntüyü ürettiren ve yayan kullanıcı doğrudan sorumludur. Bununla birlikte kullanıcının kusuru, sağlayıcının veya platformun sorumluluğunu her durumda ortadan kaldırmaz.
Belirleyici soru, kullanıcının davranışının tamamen olağan dışı ve öngörülemez olup olmadığıdır. Sistem daha önce gerçek kişilerin çıplaklaştırılması veya cinselleştirilmesi amacıyla kullanılmışsa, güvenlik filtrelerinin kolayca aşılabildiği biliniyorsa ve ürün bu görüntünün doğrudan geniş kitlelere yayımlanmasına imkân sağlıyorsa, üçüncü kişinin kötü niyetli davranışı sağlayıcı açısından bütünüyle beklenmedik bir olay olarak değerlendirilemeyebilir.
Bu durumda kullanıcı ve sağlayıcının farklı fiilleri aynı zarara katkıda bulunabilir: Kullanıcı kasıtlı talimatı vermiş; sağlayıcı ise öngörülebilir kötüye kullanımı önleyecek makul güvenlik tedbirlerini kurmamış olabilir.
Haksız fiil sorumluluğu bakımından davacı kural olarak hukuka aykırı fiili, zararı, kusuru ve uygun nedensellik bağını ispatlamalıdır. TBK m.50 bu ispat yükünü zarar görene yüklemekle birlikte, zararın miktarının tam olarak kanıtlanamaması hâlinde hâkime olayların olağan akışı ve hakkaniyet çerçevesinde değerlendirme yetkisi vermektedir.
AI davalarında delillerin önemli bölümü davalı şirketlerin kontrolünde bulunacaktır. Model sürümleri, sistem talimatları, güvenlik sınıflandırıcıları, olay kayıtları, şikâyet süreleri, Türkçe red-team testleri ve tekrar üretimi önleyen mekanizmalar davacının doğrudan ulaşabileceği bilgiler değildir.
Bu nedenle delillerin korunması, davanın sonucunu belirleyecek temel meselelerden biri olacaktır. Silinen loglar, değiştirilen model sürümleri veya birbiriyle çelişen şirket açıklamaları, savunmayı ciddi biçimde zayıflatabilir. Hazırlanan Grok risk raporunda da kanıtların korunması, şirket ve veri akışının haritalanması ile olay tarihindeki teknik kontrollerin belgelenmesi öncelikli meseleler arasında gösterilmiştir.
6. Mağdur hangi taleplerde bulunabilir?
KVKK m.11, kişisel verileri hukuka aykırı işlenen kişiye verilerin işlenip işlenmediğini öğrenme, işleme amacı ve aktarılan üçüncü kişiler hakkında bilgi isteme, verilerin düzeltilmesini, silinmesini veya yok edilmesini talep etme ve hukuka aykırı işleme nedeniyle zarara uğraması hâlinde zararın giderilmesini isteme hakkı tanımaktadır.
Bunun yanında Türk Medeni Kanunu m.24’e göre kişilik hakkına hukuka aykırı şekilde saldırılan kişi hâkimden korunma isteyebilir. Rıza, üstün özel veya kamusal yarar ya da kanunun verdiği bir yetki bulunmadıkça kişilik hakkına yapılan saldırı hukuka aykırıdır.
TMK m.25 kapsamında mağdur;
- saldırı tehlikesinin önlenmesini,
- devam eden saldırıya son verilmesini,
- etkileri süren saldırının hukuka aykırılığının tespitini,
- kararın yayımlanmasını veya üçüncü kişilere bildirilmesini,
- hukuka aykırı saldırıdan elde edilen kazancın kendisine verilmesini
talep edebilir. Maddi ve manevi tazminat hakları da saklıdır.
Türk Borçlar Kanunu m.49, kusurlu ve hukuka aykırı fiille başkasına zarar veren kişinin bu zararı gidermesini öngörmektedir. TBK m.58 ise kişilik hakkı zedelenen kişiye manevi tazminat talep etme hakkı tanımaktadır. Hâkim para ödenmesinin yanında saldırıyı kınayan bir karar verilmesine veya kararın yayımlanmasına da hükmedebilir.
Sentetik görüntünün gerçek olduğuna toplumun tamamının inanması manevi zararın doğması için zorunlu değildir. Kişinin yüzünün ve kimliğinin iradesi dışında cinsel bir temsile dönüştürülmesi, bu görüntünün onunla ilişkilendirilmesi ve dolaşıma sokulması başlı başına özel hayat, insan onuru, itibar ve kişisel bütünlük üzerinde ağır bir müdahale oluşturabilir.
Somut olayın koşullarına göre mağdur; kullanıcıya, sağlayıcıya ve platforma karşı içeriğin kaldırılması, yeniden üretilmesinin ve yayımlanmasının önlenmesi, işleme kayıtlarının korunması, verilerin silinmesi, maddi ve manevi tazminat ile ihtiyati tedbir taleplerini birlikte ileri sürebilir.
Sonuç
Sentetik cinsel görüntülerden doğan sorumluluk, yalnızca “kullanıcı kötü niyetliydi” denilerek çözülemeyeceği gibi, AI sisteminin her çıktısından sağlayıcının otomatik olarak sorumlu tutulmasıyla da çözülemez.
Doğru hukuki yöntem, zararı oluşturan sürecin parçalarına ayrılmasıdır. Kaynak görüntünün işlenmesi, sentetik çıktının oluşturulması, saklanması, yayımlanması, tavsiye edilmesi ve şikâyet üzerine kaldırılması ayrı ayrı incelenmeli; her işlem bakımından kontrol sahibi gerçek veya tüzel kişi belirlenmelidir.
Türkiye’de açılabilecek davanın maddi hukuk temeli esas olarak şu yapı üzerine kurulacaktır:
KVKK’ya aykırı kişisel veri işleme + kişilik hakkına saldırı + teknik ve idari tedbir eksikliği + haksız fiil sorumluluğu.
EU AI Act ise bu yapının doğrudan tazminat normu değil, teknolojik özen standardını somutlaştıran tamamlayıcı unsuru olacaktır. Sentetik içeriklerin işaretlenmesi, öngörülebilir kötüye kullanımın değerlendirilmesi, risk yönetimi ve mevcut teknoloji seviyesine uygun güvenlik çözümleri, sağlayıcının kusurunun belirlenmesinde önem taşıyabilir.
Bu nedenle yapay zekâ sağlayıcısının sorumluluğu açısından sorulması gereken asıl soru, sistemin hiçbir zaman zararlı çıktı üretip üretmediği değildir. Asıl soru şudur:
Şirket, öngörülebilir ve ağır nitelikteki kötüye kullanımı önlemek, tespit etmek, sınırlandırmak ve meydana gelen zararı hızla durdurmak için kendisinden makul olarak beklenebilecek tedbirleri almış mıdır?
Bu soruya verilecek cevap, gelecekte Türkiye’de görülebilecek yapay zekâ kaynaklı kişisel veri ve kişilik hakkı davalarının merkezini oluşturacaktır.
Hukuki Not
Bu makale, kamuya açık bilgiler ve genel hukuki değerlendirmeler temelinde hazırlanmıştır. Devam eden incelemelerin herhangi bir şirket bakımından kesinleşmiş bir ihlal oluşturduğu ileri sürülmemektedir. Somut olay hakkında kesin bir değerlendirme; ürün mimarisi, şirketlerin fiilî rolleri, model ve güvenlik sistemi sürümleri, olay kayıtları, veri akışları ve ilgili sözleşmeler incelendikten sonra yapılabilir.