- Sağlık verisi KVKK'da özel nitelikli kişisel veridir; klinikte yapay zeka kullanmak bu statüyü değiştirmez, yalnızca işleme faaliyetinin hacmini ve muhatap sayısını büyütür.
- 7499 sayılı Kanun'la 1 Haziran 2024'te yürürlüğe giren değişiklik, sağlık verisi için açık rızayı tek yol olmaktan çıkardı; meslek sırrı istisnası artık genişletilmiş listenin bir bendi.
- Teşhis-tedavi amaçlı işleme ile pazarlama veya model eğitimi amaçlı işleme ayrı hukuki sebeplere dayanır; ikisini tek bir rıza metnine sıkıştırmak en sık görülen uyum hatasıdır.
- Bulut tabanlı bir yapay zeka aracı çoğu senaryoda yurt dışı aktarım doğurur; standart sözleşme, imzadan itibaren beş iş günü içinde Kuruma bildirilmek zorundadır.
- 2026'da veri güvenliği yükümlülüğünün ihlalinde idari para cezasının üst sınırı 17.092.242 TL; veri ihlali bildirimi için süre en geç 72 saattir.
Klinikte yapay zeka kullanımı ve KVKK uyumu, bir sağlık kuruluşunun hasta verisini içeren her otomatik karar, metin üretimi veya analiz sürecini 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun özel nitelikli veri rejimine oturtma çalışmasıdır. Kritik nokta şudur: yapay zeka, hukuken yeni bir kategori değildir. Kanun'un gözünde bir dil modeline hasta epikrizi girmek ile aynı epikrizi bir Excel dosyasına yapıştırmak aynı fiildir — kişisel veri işleme. Değişen tek şey, işlemenin ölçeği, aktarım zinciri ve denetlenebilirliğidir.
Hasta verisi neden "özel nitelikli kişisel veri" sayılır?
Sağlık verisi, KVKK m.6'da sınırlı sayıda sayılan özel nitelikli veri kategorileri arasındadır. Bu kategori kıyas yoluyla genişletilemez ama daraltılamaz da: hastanın tanısı, reçetesi, görüntüleme kaydı, laboratuvar sonucu ve hatta randevu aldığı branş bilgisi bu kapsama girer. Özel nitelikli veri, ihlal hâlinde daha ağır sonuç doğurduğu için Kanun ona daha dar bir işleme rejimi uygular.
Branş bilgisinin de sağlık verisi sayılması pratikte çok yanlış anlaşılır. "Sadece isim ve telefon tutuyoruz" diyen bir onkoloji merkezi, aslında randevu listesinin kendisiyle sağlık verisi işlemektedir.
2024 değişikliği sağlık verisinde neyi değiştirdi?
12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanun, KVKK m.6'yı yeniden yazdı ve değişiklik 1 Haziran 2024'te yürürlüğe girdi. Eski metinde sağlık ve cinsel hayat verileri diğer özel nitelikli verilerden ayrı tutuluyordu. Yeni metinde bu ayrım kaldırıldı; tüm özel nitelikli veriler için işleme şartları genişletildi ve sınırlı biçimde sayıldı.
Sağlık kuruluşları açısından sonuç şudur: meslek sırrı istisnası kaybolmadı, yer değiştirdi. Kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla, sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlar tarafından yapılan işleme, artık m.6/3'ün genişletilmiş listesindeki bentlerden biridir. İnternette dolaşan pek çok "KVKK ve sağlık verisi" içeriği hâlâ mülga metni aktarıyor; sağlık verisi için "tek yol açık rızadır" diyen bir kaynak okuyorsanız, o kaynak 2024 öncesine aittir.
Bir şart daha var ve sıklıkla atlanır: m.6'nın son fıkrası uyarınca özel nitelikli veri işlerken Kurul tarafından belirlenen yeterli önlemlerin alınması ayrıca şarttır. Hukuki sebebe sahip olmak tek başına yetmez; teknik ve idari tedbirler de kanıtlanabilir olmalıdır.
Açık rıza mı, meslek sırrı istisnası mı: hangisine dayanmalısınız?
Doğru cevap amaca göre değişir. Aynı klinik, aynı hasta için farklı faaliyetlerde farklı hukuki sebeplere dayanmak zorundadır. Tedavi amaçlı işleme için açık rıza aramak gereksizdir ve hatta yanıltıcıdır; çünkü hasta rızasını geri çekerse tedavi kaydını silmek zorunda kalmazsınız — bu, rızanın sahte bir seçenek olduğu anlamına gelir.
| Faaliyet | Dayanılabilecek hukuki sebep | Pratik not |
|---|---|---|
| Teşhis, tedavi, bakım kaydı | m.6/3 sağlık bendi (sır saklama yükümlülüğü altındaki kişiler) | Açık rıza aranmaz; hekim ve sağlık personeli kapsamdadır |
| Yapay zeka ile ön triyaj veya karar desteği | Aynı bent, tedavi zincirinin parçası olmak kaydıyla | Tedarikçi sır saklama yükümlüsü değilse veri işleyen konumundadır |
| Randevu hatırlatma ve ön büro otomasyonu | Sağlık verisi içermiyorsa genel m.5 şartları | Branş bilgisi eklendiği anda özel nitelikli veriye döner |
| Pazarlama, kampanya, hasta memnuniyeti aramaları | Açık rıza (ayrı, özgür iradeyle, ayrıştırılmış) | Tedavi rızasıyla aynı metne konulamaz |
| Modelin hasta verisiyle eğitilmesi | Ayrı değerlendirme; kural olarak anonimleştirme ya da açık rıza | En riskli başlık; anonimleştirme gerçekten geri döndürülemez olmalı |
Ön büro tarafındaki otomasyonların hangi noktada sağlık verisine dokunduğunu ayrıştırmak, uygulamada işin en zor kısmıdır; özel klinikte randevuya gelmeyen hasta oranını düşürme yazısındaki akış, bu sınırın nerede çizildiğini somut bir senaryo üzerinden gösteriyor.
Aydınlatma metnine yapay zeka kullanımı eklenmeli mi?
Evet. Aydınlatma yükümlülüğü, işlemenin amacını, yöntemini ve aktarılan tarafları kapsar. Hasta verisi bir karar destek sistemine giriyorsa bu, yöntem ve aktarım bakımından yeni bir unsurdur ve metinde yer alması gerekir. Genel bir "teknolojik altyapılar kullanılabilir" cümlesi, belirlilik ilkesini karşılamaz.
Metne eklenmesi gereken asgari unsurlar: hangi süreçte yapay zeka desteği kullanıldığı, kararın nihai olarak hekim tarafından verildiği, verinin hangi tür tedarikçiye ve hangi ülkeye aktarıldığı, saklama süresi ve ilgili kişi hakları. Metinleri sürüm numarasıyla saklayın; hangi hastaya hangi sürümün gösterildiğini ispatlayamazsanız metnin varlığı sizi korumaz.
Bulut tabanlı bir yapay zeka aracı yurt dışı aktarım doğurur mu?
Çoğu durumda evet. Sunucusu yurt dışında olan bir servise hasta verisi göndermek KVKK m.9 anlamında yurt dışına aktarımdır ve ayrı bir hukuki temel gerektirir. Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, 10 Temmuz 2024 tarihli Resmî Gazete'de yayımlanarak bu rejimi ayrıntılandırdı.
| Aktarım yolu | Ne gerekir | Klinik için pratik anlamı |
|---|---|---|
| Yeterlilik kararı | Kurul'un ilgili ülke, sektör veya kuruluş için karar vermiş olması | Yayımlanmış bir liste bulunmadığı sürece bu yola dayanılamaz |
| Standart sözleşme | Kurul'un yayımladığı metnin değiştirilmeden imzalanması | İmzadan itibaren beş iş günü içinde Kuruma bildirim zorunlu |
| Bağlayıcı şirket kuralları | Kurul onayı | Çok uluslu grup yapıları için; tek kliniğe pratik değil |
| Taahhütname | Kurul izni | Süreç uzundur, tekil projeler için ağır kalır |
| Arızi hâller | İstisnai ve dar yorumlanır | Süreklilik arz eden bir hizmete dayanak yapılamaz |
Standart sözleşmede en sık yapılan hatalar Kurum duyurularında sayılmıştır: metnin üzerinde değişiklik yapılması, imza tarihlerinin yazılmaması ve çift dilli sözleşmede Türkçe nüshada imza bulunmaması.
Aktarımı hiç doğurmamak da bir seçenektir. Modeli kurum içinde çalıştırma kararının maliyet ve performans dengesini on-premise yapay zeka ve KVKK veri egemenliği rehberi yazısında mimari düzeyde ele aldık; bu yazı o kararın sağlık sektörüne özgü sonuçlarına odaklanıyor.
Hangi veri buluta çıkabilir, anonimleştirme nereye kadar korur?
Anonimleştirilmiş veri KVKK kapsamı dışındadır; ancak anonimleştirme, adı ve kimlik numarasını silmek değildir. Nadir bir tanı, doğum tarihi ve ilçe bilgisi bir arada kaldığında kişi yeniden tanımlanabilir hâle gelir. Geri döndürülebilen bir işlem anonimleştirme değil, olsa olsa maskelemedir; maskelenmiş veri ise hâlâ kişisel veridir.
Pratik ayrım şudur: serbest metin alanları (hekim notu, şikâyet açıklaması) güvenle anonimleştirilemez, çünkü içinde beklenmedik tanımlayıcılar barındırır. Yapısal alanlar (yaş aralığı, işlem kodu, süre) ise uygun tekniklerle kapsam dışına çıkarılabilir. Buluta yalnızca ikinci grubu göndermek, çoğu klinik için gerçekçi bir orta yoldur.
HBYS ve e-Nabız akışında erişim kuralları nasıl işliyor?
Kişisel Sağlık Verileri Hakkında Yönetmelik, 21 Haziran 2019 tarihli Resmî Gazete'de yayımlandı ve 3 Aralık 2025 tarihli Resmî Gazete'de yayımlanan yönetmelikle önemli ölçüde değiştirildi. Bu değişiklik, sağlık verilerine erişimi doğrudan KVKK m.6/3'teki işleme şartlarıyla sınırladı ve erişim sürelerini netleştirdi.
Güncel çerçeveye göre hekimin erişimi muayene ve danışmanlık dönemiyle, yatan hastada ise taburculuğa kadar olan süreyle sınırlıdır; kayıtlı aile hekimi ise süre sınırı olmaksızın erişebilir. Yönetmeliğe "bakım veren kişi" tanımı eklendi ve e-Nabız üzerindeki güvenlik tercihi mekanizması yeniden düzenlendi.
Bunun yapay zeka projesine doğrudan etkisi vardır: HBYS üzerinden veri çeken bir entegrasyon, ilgili personelin o an erişim yetkisinin bulunduğu veri kümesiyle sınırlı kalmalıdır. "Sistem yöneticisi hesabıyla tüm arşivi çekelim, model daha iyi öğrensin" yaklaşımı, teknik olarak kolay ama yönetmelik karşısında savunulamaz.
Personel hasta özetini genel bir sohbet botuna yapıştırırsa ne olur?
Bu, sağlık kuruluşlarındaki en yaygın ve en sessiz ihlal biçimidir. Kurumsal denetimden geçmemiş, ücretsiz bir hesap üzerinden yapılan tek bir yapıştırma; hukuki sebebi olmayan bir işleme, sözleşmesiz bir veri işleyen ilişkisi ve büyük ihtimalle bildirilmemiş bir yurt dışı aktarımı aynı anda doğurur.
Kişisel Verileri Koruma Kurumu bu alanda yayın üretmeye devam ediyor: Nisan 2025'te yayımlanan yapay zeka tavsiyeleri asgari veri kullanımı, tasarımdan itibaren mahremiyet ve hesap verebilirlik ilkelerini öne çıkarırken, 24 Kasım 2025 tarihli üretken yapay zeka rehberi konuyu doğrudan üretken sistemler bağlamında ele alıyor. Tavsiyelerdeki bir vurgu klinik yönetimi açısından özellikle önemli: kişisel verilerin korunması sorumluluğu yalnızca teknik ekiplere bırakılamaz.
Bu riskin davranışsal boyutunu ve engelleme yollarını ChatGPT, KVKK ve gölge yapay zeka yazısında ayrıntılı ele aldık.
Ceza riski ve VERBİS yükümlülüğü ne düzeyde?
Kurum'un 2026 yılı için açıkladığı ve 1 Ocak 2026'da yürürlüğe giren tutarlar, riski soyut olmaktan çıkarıyor. Ayrıca veri ihlali öğrenildiğinde gecikmeksizin ve en geç 72 saat içinde Kurul'a bildirim yapılması gerekir.
| Yükümlülük | Alt sınır | Üst sınır |
|---|---|---|
| Aydınlatma yükümlülüğü (m.10) | 85.437 TL | 1.709.200 TL |
| Veri güvenliği tedbirleri (m.12) | 256.357 TL | 17.092.242 TL |
| Kurul kararlarına uymama (m.15) | 427.263 TL | 17.092.242 TL |
| VERBİS kayıt ve bildirim (m.16) | 341.809 TL | 17.092.242 TL |
| Standart sözleşme bildirimi | 90.308 TL | 1.806.177 TL |
VERBİS tarafında sağlık kuruluşlarının özel bir durumu vardır: çalışan sayısı ve bilanço eşiklerine göre tanınan istisna, ana faaliyet konusu özel nitelikli kişisel veri işlemek olan veri sorumlularına uygulanmaz. Küçük bir muayenehane bile bu nedenle kayıt yükümlüsü olabilir.
Maliyet tarafı yalnızca idari para cezasından ibaret değildir. IBM'in 2025 tarihli Cost of a Data Breach raporuna göre sağlık, üst üste 14. yıl veri ihlalinin en pahalıya mal olduğu sektör oldu; ortalama ihlal maliyeti 7,42 milyon dolar ve ihlalin tespit edilip kontrol altına alınması ortalama 279 gün sürüyor. İtibar kaybı ve hasta güveninin aşınması ise bu tabloda hiç görünmüyor.
Klinik içi yapay zeka kullanım politikasında ne bulunmalı?
Yazılı bir politika, hem hesap verebilirlik ilkesinin gereği hem de personel davranışını yönetmenin tek gerçekçi yoludur. Sağlık kuruluşuna özgü asgari başlıklar şunlardır:
- Onaylı araç listesi ve kurumsal hesap zorunluluğu; kişisel hesapla kullanım açık yasak.
- Serbest metin hekim notunun kurum dışı hiçbir servise yapıştırılmaması kuralı.
- Hangi rolün hangi veri kümesine erişebileceğinin, yönetmelikteki erişim süreleriyle uyumlu tanımı.
- Tedarikçi değerlendirme kontrol listesi: veri işleyen sözleşmesi, sunucu konumu, alt işleyenler, verinin model eğitiminde kullanılıp kullanılmadığı.
- İhlal şüphesinde 72 saatlik süreyi işletecek iç bildirim akışı ve sorumlu kişi.
- Yıllık gözden geçirme ve personel eğitimi kaydı.
Politikanın genel iskeletini ve bölüm başlıklarını şirket içi yapay zeka kullanım politikası şablonu yazısında paylaşmıştık; klinikler bu iskeleti yukarıdaki sağlık maddeleriyle genişletmelidir.
Nereden başlamalı?
Sıralama önemlidir. Önce hangi süreçte hangi verinin işlendiğini çıkarın, sonra her süreç için hukuki sebebi yazın, ardından aktarım zincirini ve sözleşmeleri kurun; teknoloji seçimi en sonda gelir. Ters sıralama, yani önce aracı satın alıp sonra uyum aramak, projelerin yarıda kalmasının en yaygın nedenidir. Kurumsal düzeyde başlangıcın genel çerçevesi için KOBİ'ler için yapay zeka rehberi iyi bir çıkış noktasıdır; kliniğiniz için uyumlu bir mimariyi konuşmak isterseniz yapay zeka çözümleri sayfamızdan ön görüşme talep edebilirsiniz.
Son bir hatırlatma: bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir. Kuracağınız yapıyı ve hazırlayacağınız metinleri yürürlükteki mevzuat karşısında avukatınıza doğrulatın.