GRC PERSPEKTİF: VERİ KORUMA & UYUM BÜLTENİ– ŞUBAT 2026
TÜRKİYE’DE NELER OLUYOR?
Kurul’dan Dijital Platformlara ve Yapay Zekâ Sistemlerine Yönelik Re’sen İnceleme
Kişisel Verileri Koruma Kurumu (“Kurum”), Şubat ayı içerisinde yayımladığı üç ayrı kamuoyu duyurusu ile yapay zekâ sistemleri, sesli asistan uygulamaları ve sosyal medya platformları hakkında re’sen inceleme başlatıldığını duyurmuştur.
GROK Yapay Zekâ Asistanı Hakkında Re’sen İnceleme
X.AI Corporation tarafından geliştirilen Grok isimli yapay zekâ platformunun, çocuklar da dahil olmak üzere; kişilerin rızası olmaksızın cinsel içerikli görüntü ve video üretiminde kullanıldığı ve bu içeriklerin dolaşıma sokulduğuna ilişkin iddialar üzerine, Avrupa Komisyonu tarafından soruşturma başlatılmıştır. Bu gelişmeler doğrultusunda, söz konusu platformun geliştirilmesi ve uygulanması süreçlerinde 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” veya “Kanun”) kapsamında gerekli teknik ve idari tedbirlerin alınmadığı ve kişisel verilerin hukuka aykırı işlendiği şüphesiyle, X Internet Unlimited Company ve X.AI Corporation hakkında Kurul tarafından re’sen inceleme başlatılmasına karar verilmiştir.
Google Assistant Hakkında Re’sen İnceleme
Google’ın sesli asistan hizmeti Google Assistant’ın, yalnızca belirli tetikleme ifadeleriyle (“Hey Google/ Ok Google”) aktif olması gerekirken, yanlış tetiklemeler sonucunda kullanıcıların özel konuşmalarının izinsiz kaydedildiğine ve bu verilerin farklı amaçlarla kullanıldığına ilişkin haberler üzerine, Google LLC hakkında da re’sen inceleme başlatıldığı duyurulmuştur. Kurul, bu kapsamda KVKK çerçevesinde teknik ve idari tedbir yükümlülüklerinin yerine getirilip getirilmediğini değerlendirecektir.
Çocukların Sosyal Medya Kullanımı ve Platformlara Yönelik İnceleme
Kurul ayrıca, çocukların sosyal medya kullanımında kişisel verilerinin korunmasına ilişkin olarak; çocukların dijital ortamda karşılaşabilecekleri riskler ve platformların veri işleme pratikleri bakımından TikTok, Instagram, Facebook, YouTube, X ve Discord hakkında re’sen inceleme başlatmıştır. İncelemenin, çocukların yüksek yararı gözetilerek veri işleme süreçleri ve alınan teknik-idari tedbirler kapsamında yürütüleceği belirtilmiştir.
GRC LEGAL PERSPEKTİFİ
Çocukların kişisel verilerinin korunması, yalnızca veri koruma hukukunun değil; aynı zamanda çocuk hakları hukukunun ve kamu politikalarının merkezinde yer alan bir konudur. Dijital platformların çocuklar tarafından yoğun şekilde kullanıldığı bir dönemde, mahremiyetin korunması, rıza mekanizmalarının geçerliliği, profilleme faaliyetleri ve davranışsal yönlendirme gibi başlıklar, çocukların yüksek yararı ilkesi çerçevesinde ayrıca değerlendirilmelidir. Bu bağlamda, Şubat ayında yayımlanan kamuoyu duyurularında sosyal medya platformları ve yapay zekâ sistemlerine yönelik başlatılan re’sen incelemelerin, çocukların dijital ortamda korunmasına yönelik artan regülasyon refleksinin bir yansıması olduğu görülmektedir.
Nitekim bu yaklaşımın, 2026-2030 Dijital Dünyada Çocukların Güçlendirilmesine Yönelik Eylem Planı kapsamında öngörülen “Koruyucu ve Önleyici Mekanizmaların Geliştirilmesi” hedefiyle paralellik gösterdiği değerlendirilebilir. Kurul’un özellikle en çok ziyaret edilen sosyal medya platformları ile yapay zekâ uygulamalarını inceleme konusu yapması; çocukların maruz kalabileceği içerik riskleri, veri işleme pratikleri ve teknik-idari tedbirlerin yeterliliği bakımından daha proaktif bir denetim anlayışına işaret etmektedir.
Öte yandan, yapay zekâ teknolojilerinin gelişimiyle birlikte ortaya çıkan deepfake içerikler, izinsiz görüntü üretimi ve manipülatif dijital içerikler, çocuklar açısından çok daha ağır sonuçlar doğurabilecek niteliktedir. Bu tür riskler, yalnızca kişisel verilerin hukuka aykırı işlenmesi boyutunda değil; çocuğun onuru, güvenliği ve psikolojik bütünlüğü açısından da değerlendirilmelidir. Bu nedenle, mahremiyetin korunması ve veri güvenliğinin sağlanması, çocukların dijital dünyadaki varlığının korunmasının temel unsurlarından biri hâline gelmiştir.
Kanaatimizce Kurul’un son dönemdeki aktif ve tematik inceleme yaklaşımı, Türkiye’de veri koruma rejiminin özellikle çocuk verileri ve yapay zekâ uygulamaları bakımından daha sıkı bir gözetim dönemine girdiğini göstermektedir. Bu çerçevede, dijital platform sağlayıcılarının ve yapay zekâ geliştiricilerinin; çocuklara yönelik tasarım, veri minimizasyonu, yaş doğrulama ve içerik denetimi mekanizmalarını yeniden gözden geçirmeleri, yalnızca mevzuat uyumu değil, kurumsal sorumluluk açısından da önemini artırmaktadır.
Kurul’dan Yeni Doküman: QR Kodlarla Gelen Risk – Quishing
Kurum, “QR Kodlarla Gelen Risk: Quishing” başlıklı bir bilgilendirme dokümanı yayımlamıştır. Dokümanda, QR kodlar aracılığıyla gerçekleştirilen bir oltalama yöntemi olan quishing ayrıntılı şekilde ele alınmaktadır.
QR kodlar; restoran menülerine erişimden ödeme işlemlerine, internet sitelerine yönlendirmeden kampanya ve bilgilendirme içeriklerine kadar günlük yaşamın birçok alanında yaygın biçimde kullanılmaktadır. Bu yaygınlık ve mobil cihazlar üzerinden hızlıca taranabilmeleri, kötü niyetli kişiler açısından da yeni bir saldırı zemini oluşturmaktadır.
“Quishing”, sahte veya sonradan değiştirilmiş QR kodlar aracılığıyla kullanıcıların zararlı internet sitelerine yönlendirilmesini ifade etmektedir. Bu yöntemle kişiler sahte giriş sayfalarına yönlendirilebilmekte, kimlik ve ödeme bilgilerini paylaşmaya ikna edilebilmekte ya da cihazlarına zararlı yazılım indirmeye teşvik edilebilmektedir.
Dokümanda özellikle dinamik QR kodların riskine dikkat çekilmektedir. Görsel yapısı değişmeden yönlendirme adresi güncellenebilen bu kodlar, başlangıçta güvenilir görünen bir QR kodun sonradan kötü amaçlı bir içeriğe yönlendirilmesine imkân tanıyabilmektedir. Quishing saldırılarının hem fiziksel ortamlarda (afiş, broşür, kamuya açık alanlar) hem de dijital iletişim kanallarında (e-posta, kısa mesaj, sosyal medya) gerçekleştirilebildiği; özellikle aciliyet, panik veya merak duygusu uyandıran iletilerle desteklendiği vurgulanmaktadır.
Kurul, QR kod taraması sonrasında yönlendirilen internet adresinin dikkatle incelenmesi, alan adının doğrulanması ve kişisel veri talep eden sayfalara karşı temkinli olunması gerektiğini belirtmektedir. Ayrıca beklenmeyen dosya indirme işlemlerine karşı dikkatli olunması, güçlü parola kullanımı ve mümkünse çok faktörlü kimlik doğrulama gibi temel güvenlik önlemlerinin önemine işaret edilmektedir. Doküman, QR kodların pratik bir araç olmakla birlikte bilinçsiz kullanım hâlinde kişisel veri güvenliği açısından ciddi riskler doğurabileceğini ortaya koymaktadır.
Sadakat Kartlarında Telefon Numarasının Üçüncü Kişilerce Kullanımı Hakkında İlke Kararı
Kişisel Verileri Koruma Kurulu’nun 28 Şubat 2026 tarihli Resmî Gazete’de yayımlanan “2026/266 sayılı İlke Kararı” ile, sadakat kartı üyeliği bulunan kişilerin cep telefonu numarası veya sadakat kart numarasının alışveriş esnasında üçüncü kişiler tarafından kullanılması ele alınmıştır.
Karar; alışveriş sırasında ilgili kişinin kasada bulunmamasına rağmen, cep telefonu numarası veya sadakat kart numarasının üçüncü kişilerce bildirilmesi suretiyle işlem yapılması, puan kazanımı sağlanması veya alışveriş kaydının ilgili kişi adına oluşturulması gibi uygulamalara ilişkindir. Bu kapsamda, ilgili kişinin bilgisi ve iradesi dışında adına fatura düzenlenmesi, işlem kaydı oluşturulması veya üyelik hesabının kullanılması gibi durumların kişisel veri ihlallerine yol açabileceği belirtilmiştir.
Kurul, bu tür veri işleme faaliyetlerinin KVKK’nın 5. maddesinde yer alan veri işleme şartlarından herhangi birine dayandırılamayacağını değerlendirmiştir. İlgili kişinin açık rızası bulunmaksızın ve hukuki bir işleme şartına dayanılmaksızın üçüncü kişiler tarafından telefon numarası veya sadakat kart numarası kullanılarak işlem gerçekleştirilmesinin Kanun kapsamında hukuka uygun bir veri işleme faaliyeti olarak kabul edilemeyeceği ifade edilmiştir.
Bu çerçevede Kurul, sadakat kartı kullanımında ilgili kişinin bilgisi ve iradesi dışında işlem yapılmasını engelleyecek doğrulama mekanizmalarının oluşturulması gerektiğini vurgulamış; SMS doğrulama, mobil uygulama üzerinden onay veya benzeri güvenli yöntemler gibi teknik ve idari tedbirlerin hayata geçirilmesi gerektiğini belirtmiştir. İlke Kararı uyarınca veri sorumlularına bu doğrultuda gerekli uyum çalışmalarının tamamlanması için 6 aylık süre tanınmıştır.
GRC LEGAL PERSPEKTİFİ
QR kodlara ilişkin yayımlanan doküman, Kurul’un yalnızca ihlal sonrası müdahaleye değil, önleyici farkındalık ve siber hijyen kültürünün geliştirilmesine de ağırlık verdiğini göstermektedir. QR kodların fiziksel ve dijital ortamın kesişiminde yer alması, klasik oltalama yöntemlerinden farklı ve daha az görünür riskler doğurmaktadır. Bu nedenle kurumlar açısından yalnızca teknik güvenlik önlemleri değil; çalışan ve müşteri farkındalığı, doğrulama alışkanlıkları ve güvenli kullanım rehberleri de veri güvenliği stratejisinin bir parçası haline gelmelidir.
Sadakat kartlarına ilişkin İlke Kararı ise konuyu doğrudan veri işleme faaliyetinin hukuki dayanağı ve veri güvenliği çerçevesinde ele almaktadır. Kurul’un yaklaşımı, üçüncü kişilerce telefon numarası veya sadakat kart numarası kullanılarak işlem yapılmasını yalnızca güvenlik zafiyeti olarak değil; doğrudan hukuka uygun veri işleme şartları bakımından ele almaktadır. İlgili kişinin bilgisi ve iradesi dışında adına işlem kaydı oluşturulması veya fatura düzenlenmesi, veri işleme faaliyetinin KVKK 5. maddesindeki şartlardan herhangi birine dayandırılamaması sonucunu doğurmaktadır.
Ayrıca karar, veri sorumlusunun Kanun’un 12. maddesi kapsamında kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önleme yükümlülüğünü somutlaştırmaktadır. Üçüncü kişilerce kolaylıkla işlem yapılabilmesine imkân tanıyan bir sistem kurgusu, teknik ve idari tedbirlerin yeterliliği bakımından değerlendirilmektedir. Bu bağlamda doğrulama mekanizmalarının bulunmaması, veri güvenliği yükümlülüğünün gereği gibi yerine getirilmemesi sonucunu doğurabilecektir.
Sonuç olarak İlke Kararı, sadakat programlarının kendisini değil; bu programlar kapsamında yürütülen veri işleme süreçlerinin KVKK 12. maddesindeki veri güvenliği yükümlülüğü çerçevesinde yapılandırılması gerektiğini ortaya koymaktadır. Kurul tarafından veri sorumlularına uyum için tanınan 6 aylık süre, özellikle geniş müşteri ağına sahip zincir işletmeler bakımından teknik dönüşüm ve süreç revizyonu açısından kritik bir geçiş dönemi niteliğindedir. Bu sürenin sonunda doğrulama mekanizması kurulmayan sistemler bakımından denetim ve yaptırım riskinin artması muhtemeldir.
AYM’den Kişisel Veriler ve Basın Özgürlüğüne İlişkin Önemli Karar
Anayasa Mahkemesi, Bireysel Başvuru No: 2022/58084, 16.09.2025 tarihli kararında, bir internet haber sitesine Kurum tarafından KVKK kapsamında uygulanan idari para cezasına yapılan itirazı incelemiştir. Mahkeme, somut olayda ifade ve basın özgürlüğünün ihlal edilmediğine hükmetmiştir.
Olayın arka planında; bir internet haber sitesinde üniversite yerleştirme sonuçlarına ilişkin yayımlanan haberde, bir öğrencinin sınav sonuç belgesine yer verilmiş; belgede öğrencinin ad-soyadı, fotoğrafı, yerleştiği üniversite ve program ile yerleştirme puanı açık şekilde paylaşılmıştır. İlgili kişinin şikâyeti üzerine KVKK tarafından 30.000 TL idari para cezası uygulanmış; yapılan itirazlar Sulh Ceza Hâkimliklerince reddedilmiş ve konu bireysel başvuru yoluyla Anayasa Mahkemesi’ne taşınmıştır.
Başvurucu, yayının basın ve ifade özgürlüğü kapsamında değerlendirilmesi gerektiğini, belgedeki bazı alanların karartıldığını ve içeriğin başka bir internet sitesinde zaten yayımlandığını ileri sürmüştür. Buna karşılık Kurum, ilgili kişinin verileri kendisi tarafından alenileştirilmediğini; kişisel verilerin hukuka aykırı şekilde ele geçirilerek yayımlandığını ve haberin ilgili kişinin başvurusuna rağmen derhal kaldırılmadığını belirtmiştir.
Anayasa Mahkemesi, somut olayda haberin bir öğrencinin başarısını konu almakla birlikte, kamusal tartışmaya anlamlı bir katkı sunmadığını değerlendirmiştir. Ayrıca, ilgili kişiye ait ad-soyad, fotoğraf, üniversite ve puan bilgisinin açık şekilde yayımlanmasının zorunlu olmadığı ve bu verilerin paylaşımına ilişkin yeterli bir gerekçe ortaya konulmadığı tespit edilmiştir.
Mahkeme, ifade özgürlüğüne müdahale bulunduğunu kabul etmekle birlikte, uygulanan idari para cezasının meşru amaca dayalı, gerekli ve orantılı olduğu sonucuna ulaşmış; ifade ve basın özgürlüğünün ihlal edilmediğine hükmetmiştir. Kararın, kişisel verilerin korunması hakkı ile basın özgürlüğü arasında kurulması gereken denge bakımından önemli bir içtihat niteliği taşıdığı değerlendirilmektedir.
Karara konu olan Kurul kararına buradan ulaşabilirsiniz.
DÜNYADA NELER OLUYOR?
İtalya Veri Koruma Otoritesinden İşverenlere Telematik Sistem Uyarısı: Araç Takibi Hukuka Aykırı Bulundu!
İtalya Veri Koruma Otoritesi, bir işverenin şirket araçlarına yerleştirilen uydu tabanlı telematik sistem aracılığıyla çalışanların sürüş davranışlarını izlemesini hukuka aykırı bularak toplanan verilerin silinmesine ve €120.000 idari para cezası uygulanmasına karar vermiştir.
Somut olayda Pioneer Hi-Bred Italia şirketinin araçlarına yerleştirdiği telematik cihazlar aracılığıyla çalışanlarının sürüş bilgilerini takip ettiği; ancak çalışanlara sunduğu aydınlatma metninde, veri sorumlusunu, veri alıcılarını, işleme amaçlarını ve hukuki dayanağı açık şekilde belirtmediği, dolayısıyla şeffaf ve eksiksiz bir aydınlatma gerçekleştirmediği tespit edilmiştir. Bir çalışanın şikâyeti üzerine başlatılan incelemede, şirketin veri işleme faaliyetini meşru menfaat hukuki sebebine dayandırdığı; ancak çalışanların temel hak ve özgürlükleri ile şirket menfaatleri arasında gerekli denge testini yapmadığı ve yeterli bir Veri Koruma Etki Değerlendirmesi (DPIA) gerçekleştirmediği belirlenmiştir.
Ayrıca çalışan verilerinin grup şirketlerindeki yöneticiler ve idari personelle, herhangi bir veri işleyen sözleşmesi veya yazılı talimat olmaksızın paylaşıldığı; bunun da Genel Veri Koruma Tüzüğü (“General Data Proteciton Regulation”, “GDPR”)’nün 6 ve 28. maddelerine aykırılık teşkil ettiği değerlendirilmiştir. Bunun yanında, sürüş verilerinin 13 ay boyunca saklanmasının, amaçla sınırlılık ve veri minimizasyonu ilkeleriyle bağdaşmadığı sonucuna varılmıştır.
Otorite, bu gerekçelerle veri işlemenin hukuka aykırı olduğuna hükmederek telematik sistemler aracılığıyla toplanan tüm verilerin silinmesine ve şirkete €120.000 idari para cezası uygulanmasına karar vermiştir.
WhatsApp Grubunda İstifa Mesajının Paylaşılması: DPA’dan İşverene Uyarı
Belçika veri koruma otoritesi, bir yöneticinin çalışanın istifa mesajını işyeri WhatsApp grubunda paylaşması üzerine işveren hakkında inceleme başlatmış ve veri sorumlusuna uyarı kararı vermiştir.
Somut olayda, bir çalışan (öğrenci), yöneticisine WhatsApp üzerinden istifasını iletmiş; ancak yönetici bu yazışmanın ekran görüntülerini işyeriyle bağlantılı bir WhatsApp grubunda paylaşmıştır. Ekran görüntülerinde çalışanın adı ve yazışma içeriği açık şekilde yer almaktadır. İlgili kişi, söz konusu paylaşım için herhangi bir rıza vermediğini belirterek otoriteye şikâyette bulunmuştur.
Otorite, ekran görüntüsünü paylaşan kişinin veri sorumlusunun çalışanı olduğunu ve GDPR m.29 uyarınca çalışanların gerçekleştirdiği veri işleme faaliyetlerinin, kural olarak veri sorumlusunun yetkisi ve denetimi altında gerçekleşmiş sayılacağını belirtmiştir. Bu nedenle, ilgili yöneticinin eyleminin veri sorumlusundan bağımsız değerlendirilemeyeceği ifade edilmiştir.
Yapılan incelemede, veri sorumlusunun gerekli teknik ve idari tedbirleri aldığını beyan etmesine rağmen, söz konusu paylaşımın GDPR m.6(1) kapsamında geçerli bir hukuki işleme şartına dayanmadığı tespit edilmiştir. Ayrıca otorite, veri sorumlusunun hesap verebilirlik yükümlülüğü (m.5/2) ve uygun teknik-idari tedbir alma yükümlülüğü (m.24/1) bakımından risk altında olduğunu değerlendirmiştir.
Bu gerekçelerle veri sorumlusuna gelecekte GDPR’ın 5/2 ve 24/1 maddelerine uygunluğun sağlanması yönünde resmi bir uyarı kararı verilmiştir.
GRC LEGAL PERSPEKTİFİ
Her iki karar birlikte değerlendirildiğinde, işverenlerin çalışanlarına ilişkin veri işleme faaliyetlerinde “kurumsal kontrol alanı”nın sınırlarının oldukça geniş yorumlandığı görülmektedir. Gerek telematik araç takip sistemleri gerekse WhatsApp üzerinden yapılan paylaşımlar bakımından, çalışan eylemleri veri sorumlusundan bağımsız değerlendirilmeyerek doğrudan şirket organizasyonunun sorumluluğu kapsamında ele alınmıştır.
Özellikle meşru menfaat dayanağının kullanıldığı durumlarda, denge testinin somut ve belgelendirilebilir şekilde yapılmaması ciddi bir uyum riski olarak karşımıza çıkmaktadır. Bunun yanında, veri saklama süreleri, grup şirket aktarımları ve iç iletişim kanallarının kontrolü gibi alanlarda “alışkanlıkla yürüyen uygulamaların” veri koruma mevzuatı karşısında savunulabilir olmadığı açıkça görülmektedir.
Kanaatimizce bu kararlar, işverenlerin yalnızca politika yayımlamakla yetinmemesi; iç iletişim araçları, lokasyon sistemleri ve mesajlaşma grupları gibi günlük operasyonel pratikleri de kapsayan aktif bir veri yönetişimi ve denetim mekanizması kurması gerektiğini göstermektedir. Hesap verebilirlik ilkesi, artık soyut bir prensip değil; somut organizasyonel kontrol beklentisine dönüşmüş durumdadır.
Bu noktada, Avrupa Birliği veri koruma otoritelerinin kararlarının, her ne kadar doğrudan bağlayıcı olmasa da uygulama pratiği ve yorum yöntemi bakımından Türk veri koruma rejimi açısından önemli bir referans niteliği taşıdığı unutulmamalıdır. Özellikle hesap verebilirlik, meşru menfaatin sınırları ve teknik-idari tedbirlerin yeterliliği konularında ortaya konulan yaklaşımın, Kişisel Verileri Koruma Kurumu uygulamaları bakımından da yol gösterici bir çerçeve sunduğu değerlendirilmektedir.
AB’de “Omnibus” Tartışması: EDPB ve EDPS’ten Ortak Görüş
Avrupa Komisyonu tarafından hazırlanan AI Digital Omnibus Regulation (2025/0359/EU) taslağı (“Taslak”), Avrupa Birliği’nin Yapay Zekâ Tüzüğü (“AI Act”) başta GDPR ve NIS2 gibi önemli düzenlemeleri kapsamında getirilen bazı yükümlülüklerin sadeleştirilmesini ve uygulamada ortaya çıkan idari yüklerin azaltılmasını amaçlayan bir değişiklik paketidir.
“Omnibus” olarak anılan taslak, AI Act’in çeşitli hükümlerinde eş zamanlı değişiklikler öngörmekte; özellikle yüksek riskli sistemler, kayıt yükümlülükleri, denetim yetkileri, yapay zekâ okuryazarlığı ve uygulama takvimi gibi başlıklarda düzenleme getirmeyi hedeflemektedir.
Bu taslağa ilişkin olarak European Data Protection Board (“EDPB”) ve European Data Protection Supervisor (“EDPS”) tarafından kabul edilen Joint Opinion 1/2026, veri koruma perspektifinden en kritik risk alanlarını ortaya koymaktadır.
Her iki kurum da taslağın genel sadeleştirme amacını desteklemekle birlikte, bazı değişikliklerin temel hakların korunmasını zayıflatabileceği ve hukuki belirsizlik yaratabileceği yönünde önemli uyarılarda bulunmuştur.
1- Özel Nitelikli Verilerin Önyargının Tespiti ve Düzeltilmesi Amacıyla İşlenmesi
Taslak, ayrımcılığın tespiti ve giderilmesi amacıyla özel nitelikli verilerin işlenmesine ilişkin hukuki dayanağı genişletmektedir. EDPB ve EDPS, bu genişletmeyi ilke olarak desteklemekle birlikte, yalnızca “strictly necessary” durumlarda sınırlandırılması ve GDPR m.6 ile m.9 bakımından daha net bir çerçeve çizilmesi gerektiğini belirtmektedir.
2- Yüksek Riskli Sistemlerde Kayıt Yükümlülüğü
Bazı sağlayıcıların AB veri tabanına kayıt zorunluluğunun kaldırılması önerilmektedir. Görüşte, bu değişikliğin hesap verebilirliği azaltabileceği ve istisnanın geniş yorumlanmasına yol açabileceği ifade edilmektedir.
3- KOBİ’lere Tanınan Ayrıcalıkların Orta Ölçekli Şirketlere Genişletilmesi
Taslak’ta küçük ve orta ölçekli işletmelere tanınan bazı idari kolaylıkların KOBİ niteliğini aşan orta ölçekli (small mid-cap) şirketlere de tanınması önerilmektedir. EDPB ve EDPS, şirket büyüklüğünün tek başına potansiyel riskle doğru orantılı olmadığı uyarısında bulunmaktadır.
4- AB Düzeyinde AI Regulatory Sandbox’lar
Taslak, ulusal düzeydeki sandbox’lara ek olarak AB seviyesinde bir yapay zekâ düzenleyici deney alanı mekanizması öngörmektedir. EDPB ve EDPS bu yaklaşımı prensip olarak olumlu karşılamakla birlikte, hukuki belirliliğin sağlanabilmesi için bazı yapısal boşlukların giderilmesi gerektiğini belirtmektedir.
5- AI Literacy Yükümlülüğü
Sağlayıcı ve deployer’ların çalışanlarına yönelik AI okuryazarlığı yükümlülüğünün kaldırılması önerilmektedir. Görüşte, bu yükümlülüğün korunması gerektiği savunulmaktadır.
6-Yüksek Riskli Sistemler ve Şeffaflık Yükümlülüklerinde Takvim Değişikliği
Taslak, yüksek riskli yapay zekâ sistemlerine ilişkin yükümlülüklerin yürürlüğe giriş süresinin en fazla 16 ay ertelenmesini öngörmektedir. EDPB ve EDPS, uygulamadaki hazırlık zorluklarını kabul etmekle birlikte, bu ertelemenin daha fazla sistemin AI Act kapsamı dışında kalmasına yol açabileceği, bunun da temel hak korumasını zayıflatma ve hukuki belirsizlik yaratma riski taşıdığı uyarısında bulunmaktadır.
GRC LEGAL PERSPEKTİFİ
AI Digital Omnibus taslağı, şirketlerin uyum maliyetlerini ve uygulama sürecinde karşılaştıkları idari zorlukları azaltmayı hedefleyen bir sadeleştirme paketi niteliğindedir. Özellikle yüksek riskli sistemler, kayıt yükümlülükleri ve uygulama takvimi gibi başlıklarda esneklik sağlayarak regülasyonun operasyonel yükünü hafifletmeyi amaçlamaktadır.
Ortak görüşte ise, yükümlülüklerin hafifletilmesinin temel haklar üzerindeki olası etkilerine özellikle dikkat çekilmektedir. Görüşte, sadeleştirme amacının meşru olduğu kabul edilmekle birlikte; hesap verebilirlik, hukuki belirlilik ve veri koruma standartlarının zayıflatılmaması gerektiği vurgulanmaktadır.
Bununla beraber, Avrupa Komisyonu’nun 20 Ocak 2026 tarihinde açıkladığı siber güvenlik paketi kapsamında, NIS2 (“Şebeke ve Bilgi Güvenliği”) Direktifi, ve Cybersecurity Act (Siber Güvenlik Yasası) çerçevesinde de fazlaca değişiklik öngörülmektedir. Özellikle kritik altyapı, tedarik zinciri güvenliği ve sertifikasyon mekanizmalarına ilişkin yeni düzenlemeler, Omnibus gelişmeleriyle birlikte yorumlandığında AB’nin siber dayanıklılık ve veri yönetişimi mimarisini yeniden yapılandırma eğiliminde olduğunu göstermektedir.
Türkiye bakımından bu gelişmeler ayrıca dikkatle izlenmelidir. Mart 2025’te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu sonrasında ikincil mevzuatın bir yıl içerisinde tamamlanması beklenirken, Avrupa Birliği’nin model alınan düzenlemelerinde kapsamlı revizyonlara gitmesi; düzenleyici çerçevenin halen dinamik ve evrilen bir yapıda olduğunu göstermektedir.
İsviçre’de Kritik Altyapı İçin Yeni Dönem
18 Şubat 2026 tarihinde İsviçre Federal Konseyi, ülkenin kritik altyapısının dayanıklılığını ve veri güvenliğini artırmaya yönelik yeni bir yasal düzenleme sürecini başlattığını açıkladı.
Yapılacak düzenlemelerle;
- Kritik altyapı işletmecileri için bağlayıcı dayanıklılık ve güvenilirlik standartları getirilecek,
- Federal hükümet, kantonlar ve kritik altyapı operatörlerinin elindeki güvenlik açısından kritik dijital verilerin korunmasına yönelik yükümlülükler netleştirilecek,
- Mevcut sektörel boşluklar giderilerek daha bütüncül bir siber güvenlik çerçevesi oluşturulacak.
Elektrik, sağlık ve telekomünikasyon gibi toplumun işleyişi açısından temel sektörleri kapsayan düzenlemenin, 2026 yılı sonuna kadar iki ayrı yasa taslağı halinde hazırlanması planlanıyor.
AYIN GRC KAVRAMI
Shadow Data
Shadow data (Gölge Veri), merkezi ve güvenli veri yönetimi çerçevesinin dışında oluşturulan, saklanan veya paylaşılan her türlü veriyi ifade eder. Kurumsal bağlamda ise; resmî veri envanterinde, kayıt sistemlerinde veya BT’nin doğrudan kontrolünde yer almayan, çalışanlar/departmanlar ya da üçüncü taraf araçlar aracılığıyla fiilen üretilen ve dağınık şekilde farklı ortamlarda bulunan veri kümeleri olarak karşımıza çıkar.
Shadow Data, çalışanların kolaylık amacıyla veri aktarması sonucu kişisel cihazlarda, güvenlik önlemleri uygulanmadan bulut depolama alanlarında veya bir veri tabanında gözden kaçmış tablolar içerisinde ortaya çıkabilir.
- Veri envanterinde yer almayan işleme faaliyetleri (görünürlük kaybı)
- Saklama süresi ve imha kontrolünün dışında kalan dosyalar
- Yetkisiz erişim ve siber saldırıya açık üçüncü taraf platformlar
- Veri ihlali halinde kapsamın ve etkinin hızlı tespit edilememesi (müdahale süresi/ maliyet artışı)
Bu durum yalnızca bir siber güvenlik sorunu değil; veri koruma mevzuatı bakımından hesap verebilirlik ve veri güvenliğine ilişkin tedbir yükümlülüğü ile de doğrudan ilişkilidir.
Bu sebeplerle şirketlerin yalnızca politika ve sözleşme düzeyinde değil, fiilî uygulama bakımından da veri akışlarını görünür kılması kritik önem taşımaktadır. Bu kapsamda;
- Güncel ve yaşayan bir veri envanteri oluşturulması ve düzenli olarak gözden geçirilmesi,
- Erişim yetkilerinin periyodik olarak gözden geçirilmesi ve saklama-imha süreçlerinin fiilen uygulanması
Shadow Data riskinin azaltılması açısından temel adımlar arasında yer almaktadır.
