Mali Müşavirlik Bürosunda KVKK ve Yapay Zeka: Mükellef Verisini Güvenle Kullanmak

Yapay zeka sohbet araçları mali müşavirlik bürolarına hızla girdi. Bir sözleşmeyi özetletmek, bir özelgeyi sadeleştirmek ya da karışık bir ekstreyi sınıflandırmak için bu araçlara belge yüklemek cazip görünür. Ancak yüklenen her fatura, bordro ya da ekstre başka bir kişiye ait bilgileri taşır ve büro bu bilgilerden hem 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) hem de 3568 sayılı Kanun kapsamında sorumludur. Bu yazı, aracı yasaklamadan riski yönetmenin yolunu ve büroya uyarlanabilir bir iç politika şablonunu anlatır.

Mükellef dosyasında kişisel veri nerede durur?

KVKK'nın 3. maddesine göre kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Tüzel kişi mükellefin unvanı ve vergi numarası tek başına kişisel veri sayılmaz; fakat bir şirket dosyası bile gerçek kişi verisiyle doludur. Şahıs işletmesinin vergi kimlik numarası, ortakların ve yetkililerin bilgileri, bordrodaki çalışan adları ve ücretleri, ekstredeki havale açıklamalarında geçen karşı taraf isimleri bunlara örnektir.

Büroda sık dolaşan belgeleri kişisel veri yoğunluğuna göre şöyle gruplamak işe yarar:

Sağlık bilgisi, KVKK'nın 6. maddesinde özel nitelikli kişisel veri olarak sayılır. Bordro ekindeki bir istirahat raporu bu nedenle en dikkatli korunacak belgelerdendir.

Büro veri sorumlusu mu, veri işleyen mi?

Kanun veri sorumlusunu işleme amaçlarını ve vasıtalarını belirleyen, veri işleyeni ise veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen kişi olarak tanımlar. Kişisel Verileri Koruma Kurumu'nun Haziran 2025 tarihli "Veri Sorumlusu ve Veri İşleyen" yayını mali müşavirleri ayrıca ele alır: Kurum'a göre mali müşavir, müşterisinin hesaplarına ilişkin kayıtları tutarken bu kayıtlardaki kişisel veriler bakımından veri sorumlusudur. Gerekçe, mesleğin müşteri talimatına bağlı olmayan yasal yükümlülükler taşımasıdır. Yayın, bu yükümlülüklerin sözleşmeyle müşteriye devredilemeyeceğini de belirtir.

Meslekte bu görüşe katılmayanlar da vardır. Karşı görüş, mali müşavirin mükellef adına ve onun verdiği iş kapsamında çalıştığını, bu yüzden pek çok işlemde veri işleyen gibi hareket ettiğini savunur. Hangi görüşü benimserseniz benimseyin, iki pratik sonuç değişmez: Büro kendi çalışanları ve kendi müşteri ilişkisi için zaten veri sorumlusudur ve KVKK'nın 12. maddesindeki veri güvenliği tedbirlerini almak zorundadır. Ayrıca 12. maddeye göre veri sorumlusu, veriyi kendi adına işleyen başka bir kişiyle güvenlik tedbirleri bakımından müştereken sorumludur. Büronun kullandığı bulut yazılımı, e-posta hizmeti ya da yapay zeka aracı bu "başka kişi" konumuna girebilir.

Aydınlatma yükümlülüğünü işe bağlamak

KVKK'nın 10. maddesi, veri elde edilirken ilgili kişiye veri sorumlusunun kimliğini, işleme amacını, verinin kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini ve 11. maddedeki haklarını bildirmeyi şart koşar. Büro için bunun anlamı şudur: Hizmet sözleşmesinin yanında verilen aydınlatma metni, kullanılan bulut ve yapay zeka hizmetlerini "aktarım yapılan alıcı grupları" arasında açıkça göstermelidir. Metinde yer almayan bir aktarım, sonradan açıklanması zor bir aktarımdır.

Yapay zeka aracına belge yüklemek yurt dışına aktarım olabilir

KVKK'nın 9. maddesi 7499 sayılı Kanunla 2024 yılında yeniden yazıldı ve uygulama esasları 10 Temmuz 2024 tarihli Resmi Gazete'de yayımlanan "Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik" ile düzenlendi. Yeni sistem üç kademelidir:

1. Yeterlilik kararı: Kurul'un ilgili ülke, sektör ya da uluslararası kuruluş için verdiği ve Resmi Gazete'de yayımlanan karar. Hukuki işleme şartlarından biri de bulunmalıdır.
2. Uygun güvenceler: Yeterlilik kararı yoksa, ilgili kişinin karşı ülkede de hak arama imkanı bulunması kaydıyla, Kurul'un ilan ettiği standart sözleşme, bağlayıcı şirket kuralları veya Kurul izniyle yazılı taahhütname gibi güvenceler. Standart sözleşme imzalandıktan sonra beş iş günü içinde Kurum'a bildirilir; bu bildirimi yapmamak 18. maddede ayrı bir idari para cezasına bağlanmıştır.
3. Arızi aktarım: İlk iki yol yoksa, yalnız arızi olmak kaydıyla, örneğin riskler anlatılarak alınan açık rıza gibi sınırlı haller.

Kurum'un Kasım 2025 tarihli "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)" yayını, Türkiye'deki veri sorumlularının yurt dışında yerleşik hizmet sağlayıcılar üzerinden üretken yapay zeka kullanması halinde aktarımın 9. madde ve bu yönetmeliğe uygun yapılması gerektiğini açıkça belirtir. Kısacası sunucusu yurt dışında olan bir sohbet aracına mükellef belgesi yüklemek, düzenli ve arızi olmayan bir aktarım alışkanlığına dönüşür. Arızi aktarım istisnası bu tür rutin kullanıma dayanak olmaz.

Genel amaçlı sohbet araçlarında üç somut risk

• Saklama ve eğitim: Girilen içerik hizmet sağlayıcının sistemlerinde tutulabilir ve hizmet koşullarına göre model geliştirmede kullanılabilir. Kurum rehberi, kullanıcı istemlerinde paylaşılan kişisel ve kurumsal bilgilerin açığa çıkmasını ayrı bir güvenlik riski olarak sayar.
• Hesap paylaşımı: Büroda tek bir kişisel hesabın birkaç kişi tarafından kullanılması, kimin hangi belgeyi yüklediğinin izini kaybettirir.
• Hatalı çıktı: Araç bir hesap kodunu ya da tutarı ikna edici biçimde yanlış verebilir. Çıktı bir öneri olarak görülmeli, karar ve imza meslek mensubunda kalmalıdır.

Anonimleştirme ve maskeleme: pratikte ne yapılır?

Kanun anonim hale getirmeyi, verinin başka verilerle eşleştirilerek dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi olarak tanımlar. Bu çıta yüksektir: Yalnız adı silmek yetmez, vergi kimlik numarası, IBAN, adres ve tutar ile tarih birleşimi de kişiyi gösterebilir. Gerçekten anonim veri KVKK kapsamı dışında kalır; kısmen maskelenmiş veri ise hala kişisel veridir.

Örnek: Personel, bir mükellefin ekstresindeki 40 satırlık hareket listesini sınıflandırtmak istiyor. Doğru yol, listeyi araca vermeden önce şu üç adımı uygulamaktır:

1. Ad, unvan, IBAN, kimlik ve vergi numarası sütunlarını tamamen silin.
2. Açıklamalardaki kişi isimlerini "KİŞİ-1", "KİŞİ-2" gibi takma adlarla değiştirin; eşleşme tablosu büroda kalsın.
3. Tutarları yuvarlayın ya da çıkarın, tarihleri yalnız ay olarak bırakın. Sınıflandırma için "kira ödemesi", "POS tahsilatı" gibi açıklama türü çoğu zaman yeterlidir.

Bu yöntem takma ad kullanımıdır ve büro eşleşme tablosunu tuttuğu sürece veri kişisel veri olmayı sürdürür. Yine de dışarı giden içerik kişiyi göstermediği için risk belirgin biçimde düşer. Kurum rehberi de bireylere isim, tarih ve konum yerine soyut ve genel anlatım kullanmayı önerir.

Meslek sırrı KVKK'dan daha geniştir

3568 sayılı Kanun'un 43. maddesine göre meslek mensupları ve yanlarında çalışanlar, işleri dolayısıyla öğrendikleri bilgi ve sırları ifşa edemez. Hüküm yalnız gerçek kişileri değil, tüzel kişi mükellefin ciro, kar, müşteri ve tedarikçi bilgilerini de korur. Bu yüzden KVKK açısından anonim sayılabilecek bir şirket bilançosu bile meslek sırrı kapsamında kalabilir. Madde, suç teşkil eden hallerin yetkili mercilere bildirilmesini ve adli veya idari incelemeleri saklı tutar; tanıklık da sırrın ifşası sayılmaz. Hükmün "yanlarında çalışanlar" ifadesi, stajyer ve personelin de aynı yükümlülük altında olduğunu gösterir.

Büro içi temel kurallar: şifreler ve erişim

• Portal şifreleri kişiye özeldir. İnteraktif vergi dairesi, SGK ve e-fatura portalı şifreleri ortak bir kağıtta ya da mesajlaşma grubunda dolaşmamalı; büro tarafından yönetilen bir parola yöneticisinde, yetki bazında saklanmalıdır.
• İki adımlı doğrulama: E-posta, bulut depolama ve yapay zeka hesaplarında açılmalıdır. Telefon değişikliği veya personel ayrılışında yeniden kurulmalıdır.
• Ayrılan personel: Aynı gün tüm hesaplar kapatılmalı, bildiği ortak şifreler değiştirilmelidir. KVKK'nın 12. maddesine göre veriyi açıklamama yükümlülüğü görevden ayrıldıktan sonra da sürer.
• İhlal halinde: Kurul'un 2019/10 sayılı kararı, Kanun'daki "en kısa sürede" ifadesini 72 saat olarak yorumlar. Kayıp bir dizüstü bilgisayar ya da yanlış kişiye giden bir bordro e-postası için kimin neyi yapacağı önceden yazılmalıdır.

Uyarlanabilir büro politikası şablonu

Aşağıdaki metin bir başlangıç taslağıdır; büronun yapısına ve hukuk danışmanının görüşüne göre uyarlanmalıdır.

1. Kapsam: Bu politika büro ortakları, çalışanları ve stajyerlerinin mükellef verisiyle yaptığı tüm işlemlerde uygulanır.
2. Onaylı araçlar: Yalnız büro yönetiminin listeye aldığı yazılım ve yapay zeka hizmetleri kullanılır. Listeye alınmadan önce hizmetin sunucu yeri, veri saklama süresi, eğitimde kullanım ayarı ve sözleşme güvencesi incelenir.
3. Yasak içerik: Bordro, kimlik belgesi, sağlık bilgisi, portal şifresi ve maskelenmemiş ekstre hiçbir genel amaçlı yapay zeka aracına girilmez.
4. Maskeleme zorunluluğu: Diğer belgeler ancak kişi ve şirket tanımlayıcıları çıkarıldıktan sonra kullanılır; eşleşme tablosu büro dışına çıkmaz.
5. Hesaplar: Her çalışan kendi kurumsal hesabını kullanır; hesap paylaşılmaz, iki adımlı doğrulama zorunludur.
6. Çıktı kontrolü: Yapay zeka çıktısı kayda girmeden önce sorumlu meslek mensubunca kontrol edilir.
7. Bildirim: Yanlışlıkla yapılan yükleme ya da şüpheli erişim aynı gün büro sorumlusuna bildirilir.
8. Gözden geçirme: Politika ve onaylı araç listesi yılda en az bir kez güncellenir; personel imzayla bilgilendirilir.

Sık yapılan hatalar

• "Ben sadece soru soruyorum" diyerek belgenin tamamını sohbet penceresine yapıştırmak.
• Adı silip vergi numarasını ve IBAN'ı bırakmayı anonimleştirme saymak.
• Aydınlatma metninde bulut ve yapay zeka hizmetlerine hiç yer vermemek.
• Tüzel kişi verisini KVKK kapsamı dışında diye korumasız bırakmak; meslek sırrını unutmak.

Mekanik işlerde yapay zekayı genel amaçlı bir sohbet penceresi yerine işe özel araçlarla kullanmak riski daraltır. BEF (Banka Eczane Fatura Çevirici), banka ekstrelerini ve alış faturalarını okuyup her satıra hesap kodu önerir ve kontrol edilen fişleri Luca veya Mikro'ya aktarır; hangi kodun kullanılacağına yine mali müşavir karar verir. Ayrıntılar için banka ekstreleri ve muhasebe programları sayfalarına bakabilirsiniz. Hangi aracı seçerseniz seçin, bu yazıdaki kuralların aynı titizlikle uygulanması gerekir.

Sık sorulan sorular

Mali müşavir KVKK karşısında veri sorumlusu mudur?

Kişisel Verileri Koruma Kurumu'nun 2025 tarihli yayınına göre mali müşavir, müşterisinin hesaplarına ilişkin kayıtlardaki kişisel veriler bakımından veri sorumlusudur; meslekte mükellef adına yapılan işlerde veri işleyen sayılması gerektiğini savunan karşı görüş de bulunmaktadır.

Yurt dışında çalışan bir yapay zeka aracına mükellef belgesi yüklemek yasak mı?

Kendiliğinden yasak değildir, ancak kişisel veri içeriyorsa KVKK'nın 9. maddesindeki yeterlilik kararı, uygun güvence veya sınırlı arızi aktarım şartlarından birine dayanmak gerekir; rutin kullanım için arızi aktarım istisnası yeterli değildir.

Belgeden yalnız adı silmek anonimleştirme sayılır mı?

Hayır. Vergi numarası, IBAN, adres ya da tutar ve tarih birleşimi kişiyi hala belirlenebilir kılıyorsa veri kişisel veri olmaya devam eder; anonimlik için başka verilerle eşleştirilerek dahi kişiye ulaşılamaması gerekir.

Tüzel kişi mükellefin bilançosu için de dikkat etmem gerekir mi?

Evet. Bilanço KVKK kapsamında kişisel veri içermese bile 3568 sayılı Kanun'un 43. maddesindeki meslek sırrı yükümlülüğü kapsamındadır ve izinsiz üçüncü kişilere açıklanamaz.

Büroda bir veri ihlali olursa ne kadar sürede bildirim yapılır?

Kişisel Verileri Koruma Kurulu'nun 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrendikten sonra gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirir; etkilenen kişilere de makul süre içinde bilgi verilir.

Stajyer ve çalışanlar da meslek sırrı yükümlülüğü altında mı?

Evet. 3568 sayılı Kanun'un 43. maddesi yükümlülüğü meslek mensuplarının yanında çalışanları da kapsayacak şekilde düzenler; bu yüzden büro politikası tüm personele imzayla duyurulmalıdır.

Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (mevzuat.gov.tr)
• 3568 sayılı Serbest Muhasebeci Mali Müşavirlik ve Yeminli Mali Müşavirlik Kanunu (mevzuat.gov.tr)
• KVKK, Veri Sorumlusu ve Veri İşleyen, Yayın No 106, Haziran 2025
• KVKK, Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda), Kasım 2025
• KVKK, Kişisel Veri İhlali Bildirim Usul ve Esasları (2019/10 sayılı Kurul kararı)

Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş yerine geçmez. Somut durumda güncel mevzuat, Kurul kararları ve özelgeler esas alınmalıdır.