Şirkette yapay zeka ve KVKK: ChatGPT kullanmak yasal mı, veriler nereye gidiyor, kullanım politikası nasıl yazılır?

İş yerinde üretken yapay zekaya genel bir yasak yok. Belirli kullanımlar kanunla, meslek kurallarıyla veya kendi kurumunuzun politikasıyla sınırlanabilir. KVKK, Kasım 2025'te 15 soruda üretken yapay zeka ve kişisel verilerin korunması rehberini, 5 Mart 2026'da ise iş yerlerinde üretken yapay zeka araçlarının kullanımına ilişkin bir not yayımladı. Notun özü: iç politika, eğitim, erişim kontrolü, üçüncü taraf araçlara müşteri verisi ve ticari sır girilmemesi, insan incelemesi.

Yapay zekayı mevzuata uygun kullanmak doğru logoyu seçmek değil. Dört şey: kullandığınız plan, arkasındaki sözleşme, içine koyduğunuz veri ve insanlarınıza verdiğiniz kurallar. Bu rehber bunları tek tek ele alıyor. Türk KOBİ'lerinin sahipleri ve ofis yöneticileri için yazıldı, avukatlar için değil; hukuki tavsiye değildir.

Şirkette ChatGPT kullanmak yasal mı?

Buna karşı bir kural yok. KVKK hiçbir aracı adıyla anmaz. Her kişisel veri işlemesi için hukuki dayanak ve amaç olup olmadığını, sizin adınıza veri işleyenin yazılı sözleşmeyle bağlı olup olmadığını, güvenliğin yeterli olup olmadığını ve veri yurt dışına çıkıyorsa aktarım kurallarına uyulup uyulmadığını sorar. Her prompt kişisel veri içermez; bir vergi tarihi sorusu içermez. Bir müşterinin adını, durumunu veya belgelerini içeren prompt içerir.

Sağlayıcının rolü veriyle ne yaptığına bağlıdır. Kurumsal müşterilerin içeriği için bu rehberdeki dört sağlayıcı, sizin adınıza ve talimatınızla işleyen taraf olarak hareket ettiğini belirtiyor; yazılı sözleşmenin gerektiği yer burası. Başka işlemelerde aynı sağlayıcı amacı kendisi belirleyen bağımsız veri sorumlusu olabilir: Microsoft, örneğin, Copilot üzerinden yapılan Bing web sorgularında bağımsız veri sorumlusu olduğunu belirtiyor. KVKK'nın Mart 2026 notu iş yeri için çerçeveyi çiziyor: yazılı iç politika, çalışan eğitimi, erişim kontrolü, üçüncü taraf araçlara müşteri verisi ve ticari sır girilmemesi, çıktıların insan tarafından incelenmesi. İlk adım abonelik almak değil. Envanter: hangi araçlar, hangi kullanımlar, hangi veri.

Yazdığım veriye ne oluyor?

Plana bağlı ve fark büyük. ChatGPT'nin tüketici planlarında OpenAI, kapatmadığınız sürece içeriğin modelleri geliştirmek için kullanılabileceğini ve gönderdiğiniz geri bildirime bağlı içeriğin yine de kullanılabileceğini belirtiyor. Claude'un Free, Pro ve Max planlarında Anthropic, verinizin eğitimde yalnızca izin verirseniz, güvenlik incelemesi istisnalarıyla kullanıldığını ve iznin ilgili verinin saklanmasını beş yıla kadar uzattığını belirtiyor. Etkinlik kaydı açık kişisel Gemini'de Google, konuşmaların eğitimde kullanılabileceğini ve insanlar tarafından incelenebileceğini, saklama sürelerinin kendi sayfasında yazdığını belirtiyor.

Kurumsal planlarda varsayılan tersine döner: OpenAI, Anthropic, Microsoft ve Google kurumsal müşterilerin içeriğinin varsayılan olarak model eğitiminde kullanılmadığını belirtiyor ve her biri bir veri işleme sözleşmesi, yani DPA sunuyor; bu, sizinle sizin adınıza kişisel veri işleyen taraf arasındaki yazılı sözleşmedir. İki uyarı. Eğitim yok demek saklama yok ve insan erişimi yok demek değil; kayıtlar, kötüye kullanım izlemesi ve destek erişimi her sağlayıcının koşullarında ayrı cevapları olan ayrı sorular. Ve DPA bir sözleşmedir, hukuki dayanak değil: bir kullanımı tek başına hukuka uygun yapmaz.

Ücretsiz veya Plus ile Business veya Enterprise arasında gerçekte ne değişir?

• ·Sözleşme: tüketici planları tüketici koşullarıyla çalışır; kurumsal planlar, sağlayıcının veri işleyen olarak verinizle ne yapabileceğini belirleyen bir DPA ile gelir.
• ·Eğitim: tüketici planları kapatmadığınız veya izin vermediğiniz sürece içeriğinizi eğitimde kullanabilir; kurumsal planlar varsayılan olarak kullanmaz.
• ·Yönetici kontrolü: kurumsal planlar kullanıcı açıp kapatmaya ve çalışma alanı kuralları koymaya izin verir; biri işten ayrıldığı gün bu önemlidir.
• ·Konum: veriyi AB'de tutma seçenekleri bazı kurumsal planlarda var, sağlayıcıya ve plana göre farklı ve değişiyor. Tabloya bakın.

ChatGPT, Claude, Copilot ve Gemini: sağlayıcılar ne söylüyor?

Uyum bir aracın özelliği değildir. Sağlayıcıların kendi yükümlülükleri var; sizin de yaptığınız kullanım için kendi yükümlülükleriniz var. Kontrol edebileceğiniz şey, her sağlayıcının resmi belgelerinde ne söylediği. Aşağıdaki bilgiler 12 Ekim 2026'da kontrol edildi ve kaynak listesinde sağlayıcının kendi sayfalarına bağlanıyor; yerleşim ve yönlendirme seçenekleri değişiyor, gerçekten alacağınız planın güncel sayfasını okuyun. Tablodaki çıkarım (inference), modelin prompt'unuza cevabı hesapladığı andır; verinin saklandığı yer ile çıkarımın yapıldığı yer farklı olabilir. Türkiye'deki bir şirket için bu tablo verinin nerede saklandığını ve yurt dışına aktarımın nereye yapıldığını görmek için önemli.

İki şey öne çıkıyor. Birincisi, DPA'lı bir kurumsal plan dört sağlayıcıda da taban; bir yükseltme değil, kişisel veri içeren iş kullanımı için asgari koşul. İkincisi, veriyi belirli bir bölgede tutmak hiçbirinde varsayılan değil: belirli planlardaki belirli bir seçenek, istisnaları ve yönlendirme kuralları ince yazıda; AB'de saklama, tüm işlemenin AB'de olduğu anlamına gelmez. Bir müşteriniz veya meslek kurallarınız belirli bir yerde işleme gerektiriyorsa o satırı satın almadan önce okuyun.

Veri işleme sözleşmesine ihtiyacım var mı?

Sağlayıcı sizin adınıza kişisel veri işliyorsa, evet: KVKK'nın 15 soruluk rehberi ve Mart 2026 notu, sağlayıcıyla ilişkinin yazılı olarak düzenlenmesini ve hangi verinin hangi araca girdiğinin kontrol edilmesini bekliyor. Yukarıdaki dört sağlayıcıda sözleşme kurumsal koşulların parçası; sizin işiniz aldığınız planın kapsamda olduğundan emin olmak, bir kopyasını saklamak ve aracı veri işleyen listenize eklemek. Tüketici planları DPA sunmaz. Bu, kişisel hesaptaki her kullanımı tek başına hukuka aykırı yapmaz, ama kişisel veri içeren her kullanımın gerekli sözleşmeden yoksun olduğu anlamına gelir; kişisel veri içeren işi kişisel hesaplardan uzak tutmak için yeterli bir neden.

Verim yurt dışına çıkıyor mu, istisnalar neler?

Türkiye'deki bir şirket için cevap neredeyse her zaman evet. Bu rehberin kaynaklarında dört sağlayıcının hiçbirinde Türkiye'de işleme seçeneği yer almıyor; güncel sayfalarına bakın. Claude verinin ABD'de saklandığını söylüyor; ChatGPT AB yerleşimini belirli planlarda sunuyor ve kademeli açıyor; Copilot'un EU Data Boundary'si bazı alt işleyen modeller, web sorguları ve bazı yönlendirme seçenekleri için istisna içeriyor; Workspace işlemeyi sürüme ve seçeneklere göre bölgeselleştiriyor.

Yurt dışına aktarım yapıldığında, 7499 sayılı Kanun ile değişen KVKK'nın 9. maddesi (1 Haziran 2024'ten itibaren) şu yolları tanıyor: yeterlilik kararı; uygun güvenceler, bunların arasında Kurul'a beş iş günü içinde bildirilen standart sözleşme, bağlayıcı şirket kuralları ve taahhütname; ya da arızi aktarım. Pratikte bu, kurumsal bir yapay zeka planı alan ve veriyi yurt dışına aktaran şirketin aktarım dayanağını belirlemesi, standart sözleşme yolunu seçiyorsa sağlayıcıyla imzalayıp beş iş günü içinde Kurul'a bildirmesi gerektiği anlamına geliyor. İstisnalar başlıktan daha önemli: bir özellik hariç AB'de barındırılan bir ürün, o özellik için AB'de barındırılmıyor.

Yapay zeka aracına ne girilmemeli? Önerdiğimiz bir sınıflama

Aşağıdaki üç renkli sınıflama, iç politika için bizim önerimizdir. Yasal bir standart değildir ve KVKK'nın değildir; KVKK'nın Mart 2026 notundaki 'üçüncü taraf araçlara müşteri verisi ve ticari sır girilmez' ilkesi kırmızı rengin özüdür. Renkleri şirketiniz belirler; arkasındaki yükümlülükleri kanun.

• ·Yeşil, onaylı araçlarda serbest: kişisel veri içermeyen metin, genel sorular, kimseyi tanımlamayan kendi taslaklarınız. Dikkat: kamuya açık kişisel veri yine kişisel veridir, açık olduğu için yeşile geçmez.
• ·Sarı, yalnızca DPA'lı onaylı kurumsal planda, onaylı kullanım senaryosu içinde ve çıktı insan incelemesinden geçerek: sınırlı kişisel veri içeren iç belgeler, müşteri adı geçen rutin yazışmalar, kendi dosyalarınızın özetleri.
• ·Kırmızı, politikaya göre bulut yapay zeka araçlarında yasak, belgelenmiş bir değerlendirme belirli bir kullanımı onaylamadıkça: sağlık verisi, meslek sırrı kapsamındaki veri, müşterileri tanımlayan mali kayıtlar, iş iletişim bilgisi dışındaki çalışan verisi, erişim bilgileri, ticari sırlar, bir müşteri sözleşmesinin paylaşmanızı yasakladığı her şey. Kişisel hesapları her kullanım için kırmızı saymak birçok şirketin politikasında yaptığı bir tercihtir, yasal zorunluluk değil; kişisel hesaplarda DPA olmadığı için öneriyoruz.

Risk değerlendirmesine ihtiyacım var mı?

Şirket büyüklüğüne göre bir muafiyet yok. KVKK'nın 15 soruluk rehberi, yüksek riskli kullanımlarda işleme başlamadan önce risk değerlendirmesini ve veri sorumlusunun yükümlülüklerini öne çıkarıyor; sağlık verisi gibi hassas veriyle yeni bir teknolojinin birleşmesi değerlendirme gereğini güçlendirir. Kişisel veri içermeyen genel yazılar hazırlayan bir ofisin değerlendirecek bir işlemesi yok. Hasta raporlarını yapay zeka aracıyla özetlemek isteyen bir klinik, hassas veriyle yeni teknolojiyi birleştiriyor ve başlamadan önce değerlendirmeli. İki uç arasında, aracın ne yapacağını, hangi veriyi göreceğini ve riskin neden kabul edilebilir olduğunu yazın; bir denetçinin veya müşterinin isteyeceği kayıt budur.

AB Yapay Zeka Tüzüğü 2026'da küçük bir şirketten ne istiyor?

AB'deki müşterilere yapay zeka destekli hizmet sunan Türk şirketleri için ilgili; yalnızca Türkiye'de çalışan bir ofis için değil. Manşetlerin söylediğinden azı: (AB) 2026/1744 sayılı Dijital Omnibus Tüzüğü 27 Temmuz 2026'da yürürlüğe girdikten sonra 4. madde, sağlayıcı ve kullanıcılardan çalışanlarının yapay zeka okuryazarlığını destekleyecek önlemler almasını istiyor; bir seviye şart koşmuyor. Kısa bir eğitim ve yazılı bir politika küçük bir şirketin aldığı olağan önlemlerdir; yeterli olup olmadığı yapay zekayı nasıl kullandığına bağlıdır ve önlemler kullanıma uymalıdır. Bir chatbot veya indirilmiş model kullanan şirket, Tüzük'te kullanıcı (deployer) konumundadır.

50. maddedeki şeffaflık, yani kişilere bir yapay zeka sistemiyle etkileşimde olduklarını söyleme yükümlülüğü, 2 Ağustos 2026'dan itibaren genel olarak geçerli; 2 Aralık 2026'ya geçiş yalnızca piyasada bulunan belirli sistemlerin sağlayıcılarının işaretleme yükümlülüklerini ilgilendiriyor. Ek III'e bağlı yüksek riskli sistem yükümlülükleri (Bölüm III, Kısım 1 ila 3) 2 Aralık 2027'ye ertelendi.

Yapay zeka kullanım politikası nasıl yazılır? Uyarlayabileceğiniz bir taslak

KVKK'nın Mart 2026 iş yeri notu bir iç politika, eğitim, erişim kontrolü ve insan incelemesi bekliyor. İspanya veri koruma otoritesi AEPD'nin Aralık 2025'te kendi idaresi için yayımladığı iç politika da iyi bir yapı veriyor: araç envanteri, kullanım senaryosu başına onay, sözleşme kontrol listesi, kayıtsız araç yasağı. Aşağıdaki maddeler bu yapının küçük bir şirket için bizim uyarlamamızdır. Kendi belgeniz için bir başlangıç noktasıdır, hukuki tavsiye değildir; içindeki tercihler, örneğin yıllık eğitim veya kişisel hesapların dışlanması, yasal zorunluluk değil kurumsal tercihtir.

• ·Kapsam: bu politika her cihazda iş için kullanılan her yapay zeka aracını kapsar. Kişisel hesaplar, kişisel veya gizli veri içeren iş için kullanılmaz.
• ·Onaylı araçlar: yalnızca şirket envanterindeki araçlar, şirket hesaplarıyla kullanılır. Envanter her araç için planı, DPA'yı, veri konumunu ve yurt dışı aktarım dayanağını (gerekiyorsa Kurul bildirimi dahil), prompt ve çıktıların saklama süresini ve erişimi kimin yönettiğini belirtir.
• ·Amaç ve kullanım başına onay: her kullanım senaryosu (örneğin müşteri dosyalarını özetlemek) başlamadan önce sorumlu kişi tarafından; amacı, içerdiği veri, rengi ve kişisel veri için hukuki dayanak notuyla onaylanır.
• ·Veri minimizasyonu: kullanıcılar yalnızca işin gerektirdiği veriyi girer. Adları silmek anonimleştirme değildir; hâlâ bir kişiyle ilişkilendirilebilen dosya kişisel veridir.
• ·Veri kuralları: kırmızı kategori veri, belgelenmiş bir değerlendirme belirli kullanımı onaylamadıkça bulut yapay zeka araçlarına girilmez. Sarı veri yalnızca onaylı kurumsal planlarda, onaylı senaryo içinde.
• ·Erişim: hesaplar kişiye özeldir, kişi ayrıldığı gün kapatılır, roller değişince gözden geçirilir.
• ·Saklama ve silme: sohbet geçmişleri ve yüklenen dosyalar envanterde her araç için belirlenen süre içinde ve her halde kullanım senaryosu bitince silinir.
• ·İlgili kişi hakları: verisi bir araçta kullanılan kişilerin başvurularını, hangi aracın neyi tuttuğunu bilen sorumlu kişi yürütür.
• ·İnsan incelemesi: yapay zeka çıktısı şirketten çıkmadan veya üzerinde işlem yapılmadan önce bir kişi tarafından kontrol edilir. Gönderen kişi sorumludur.
• ·Sözleşme kontrol listesi: bir araç eklenmeden önce şirket DPA'yı, eğitim varsayılanını, kayıtları ve saklamayı, veri konumunu ve aktarımları, Kurul bildirimini ve kullanıcıların nasıl silindiğini kontrol eder ve kaydeder.
• ·Eğitim: her kullanıcı erişimden önce bu politika hakkında kısa eğitim alır; yenileme aralığını şirket belirler ve katılımı kaydeder.
• ·Olaylar: girmemesi gereken veriyi giren veya kişisel veri içeren beklenmedik bir çıktı gören herkes gecikmeden, adı belirlenmiş olay sorumlusuna bildirir; ihlal prosedürünün uygulanıp uygulanmayacağına o karar verir.
• ·Gözden geçirme: bu politika ve envanter belirlenen aralıkla ve bir araç, plan veya sağlayıcı koşulu değiştiğinde gözden geçirilir.

Şirketinizde yapay zeka kullanımını değerlendirmek için on adım

• ·1. Çalışanlarınızın bugün kullandığı, kişisel hesaplar dahil her yapay zeka aracını ve kullanımı, her kullanımın içerdiği veriyle birlikte listeleyin.
• ·2. Kişisel veri içeren işi DPA'lı kurumsal planlara taşıyın.
• ·3. Her DPA'nın kopyasını saklayın, her aracı veri işleyen listenize ekleyin.
• ·4. Her aracın veriyi nerede sakladığını ve işlediğini, hangi istisnaların geçerli olduğunu ve aktarım dayanağını kontrol edin; yazın.
• ·5. Yurt dışına aktarım yapılıyorsa dayanağı belirleyin; standart sözleşme yolunu seçiyorsanız beş iş günü içinde Kurul'a bildirin.
• ·6. Kullanımlarınızı sınıflayın; şirketinizin kırmızı verisini adlandırın.
• ·7. Hangi kullanımların risk değerlendirmesi gerektirdiğine, o kullanımlar başlamadan karar verin.
• ·8. Kullanım politikasını yazın; yukarıdaki taslak başlangıç noktası.
• ·9. Herkesi yapay zekayı kullanma biçimiyle orantılı eğitin ve kaydedin; şirketten çıkan her şey için insan incelemesini kural yapın.
• ·10. Araçları, planları ve politikayı belirlenen aralıkla ve bir sağlayıcı koşullarını değiştirdiğinde gözden geçirin.

Hukuk büroları: sır saklama yükümlülüğü önce gelir

Müvekkil dosyaları, strateji notları ve yazışmalar meslek sırrı kapsamındadır; bu yükümlülük bir aracın DPA'sı olduğu için ortadan kalkmaz ve verinin belirli bir bölgede işlenmesi de tek başına çözmez. Soru, avukatın bir müvekkil belgesinin nerede ve kim tarafından işlendiğinin hesabını verebilip verememesi ve meslek kurallarının o işlemeye izin verip vermediğidir. Belgeden müvekkil adını silmek, konu hâlâ bir kişiyle ilişkilendirilebiliyorsa anonimleştirme değildir. Bir büro, hangi iş kategorilerinin bulut aracına dokunabileceğine ve hangilerinin kendi sistemlerinde kalacağına yazılı olarak karar vermeli ve bu kararı bir müvekkile veya baroya gösterebilmeli.

Klinikler: sağlık verisi en hassas veridir

KVKK'nın 15 soruluk rehberi, hassas veri içeren kullanımlarda veri sorumlusunun yükümlülüklerini ve risk değerlendirmesini öne çıkarıyor; sağlık verisi bu kapsamın merkezinde. Bir klinik, hasta verisiyle her yapay zeka kullanımını başlamadan önce parçaları yerinde bir proje olarak ele almalı: hukuki dayanak, sağlayıcıyla sözleşme ve aktarım dayanağı, risk değerlendirmesi, insan incelemesi. Hasta içermeyen idari işler yine çalışan verisi içerebilir; o da kişisel veridir. Daha düşük risk, sıfır risk değil.

Peki özel veya yerel bir yapay zeka?

Kırmızı kategorisi günlük işinin çoğunu oluşturan şirketler için dördüncü bir seçenek var: kendi ofisinizdeki bir makinede çalışan açık bir model; model işlemesi binanızda olur. Kendi maliyetleri vardır, makineden sorumlu biri gerekir ve şirketi tek başına uyumlu yapmaz; yukarıdaki kurallar geçerliliğini korur ve ona uzaktan bakan taraf sizin adınıza sözleşme altında veri işler. Kime uyduğunu ve neleri kapsadığını Private AI hizmet sayfasında anlatıyoruz; değerlendirmemiz çoğu zaman kurumsal bir bulut planı önermekle bitiyor.

Sık sorulan sorular

• ·İşte ChatGPT kullanmak güvenli mi? DPA'lı kurumsal planda, politikanızın izin verdiği veriyle, insan incelemesiyle ve aktarım dayanağı belirlenmişse, sizin adınıza veri işleyen diğer yazılımlar gibi aynı kontrollerle kullanılabilir. Müşteri verisiyle kişisel hesapta gerekli sözleşme eksiktir.
• ·KVKK yapay zekayı yasakladı mı? Hayır. KVKK bir rehber ve bir iş yeri notu yayımladı; hiçbir aracı yasaklamadı.
• ·Copilot Microsoft olduğu için uyumlu mu? Copilot'un DPA'sı ve istisnaları belirtilmiş bir EU Data Boundary'si var. Uyum yine verinize, politikanıza, aktarım dayanağınıza ve kullanımınıza bağlı.
• ·Ne zaman bir uzmana danışmalı? Bir kullanım hassas veri içerdiğinde, bir müşteri sözleşmesi işlemeyi kısıtladığında, risk değerlendirmesi muhtemel olduğunda veya yukarıdaki on adımı güvenle cevaplayamadığınızda.

Hiçbir araç bir şirketi uyumlu yapmaz ve kimse bir yapay zeka modelinin ne cevap vereceğine söz veremez. Bir şirketin yapabileceği şey kullanımlarını bilmek, planı seçmek, sözleşmeyi elinde tutmak, aktarım dayanağını belirlemek, veri çizgisini çekmek, riskli kullanımları değerlendirmek ve insanlarını yapay zekayı kullanma biçimiyle orantılı eğitmek.

Kaynaklar

• ·KVKK, Üretken Yapay Zeka ve Kişisel Verilerin Korunması Rehberi (15 Soruda), Kasım 2025: https://www.kvkk.gov.tr/Icerik/8547/uretken-yapay-zeka-ve-kisisel-verilerin-korunmasi-rehberi-15-soruda
• ·KVKK, İş Yerlerinde Üretken Yapay Zeka Araçlarının Kullanımı, 5 Mart 2026: https://www.kvkk.gov.tr/Icerik/8674/is-yerlerinde-uretken-yapay-zeka-araclarinin-kullanimi
• ·KVKK, Yurt Dışına Aktarım (7499 sayılı Kanun ile değişik 9. madde, 1 Haziran 2024'ten itibaren): https://www.kvkk.gov.tr/Icerik/2053/Yurtdisina-Aktarim
• ·AEPD, üretken yapay zeka kullanım politikası (iç politika): https://www.aepd.es/documento/politica-iag-aepd.pdf ; uygulama eki, 12 Aralık 2025: https://www.aepd.es/documento/anexo-implementacion-politica-iag-aepd.pdf ; İngilizce özet, Ocak 2026: https://www.aepd.es/en/guides/summary-recommendations-iag-aepd.pdf
• ·(AB) 2026/1744 sayılı Tüzük (Dijital Omnibus), 27 Temmuz 2026'dan itibaren yürürlükte: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=OJ:L_202601744
• ·OpenAI, Enterprise privacy, 8 Ocak 2026'da güncellendi: https://openai.com/enterprise-privacy/ (12 Ekim 2026'da kontrol edildi)
• ·OpenAI, Data residency and inference residency for ChatGPT: https://help.openai.com/en/articles/9903489-data-residency-and-inference-residency-for-chatgpt (12 Ekim 2026'da kontrol edildi)
• ·OpenAI, How your data is used to improve model performance: https://help.openai.com/en/articles/5722486-how-your-data-is-used-to-improve-model-performance (12 Ekim 2026'da kontrol edildi)
• ·Anthropic, ticari koşullar ve DPA: https://www.anthropic.com/legal/commercial-terms ve https://www.anthropic.com/legal/data-processing-addendum (12 Ekim 2026'da kontrol edildi)
• ·Anthropic, Is my data used for model training, 18 Ağustos 2026: https://privacy.claude.com/en/articles/7996868-is-my-data-used-for-model-training
• ·Anthropic, Where is my data stored, 15 Haziran 2026: https://privacy.claude.com/en/articles/7996890 ; bölgesel işleme: https://claude.com/regional-compliance
• ·Anthropic, Updates to consumer terms, 28 Ağustos 2025: https://www.anthropic.com/news/updates-to-our-consumer-terms
• ·Microsoft, Microsoft 365 Copilot privacy, 18 Ağustos 2026: https://learn.microsoft.com/en-us/microsoft-365/copilot/microsoft-365-copilot-privacy ; Copilot privacy and protections, 24 Ağustos 2026: https://learn.microsoft.com/en-us/copilot/privacy-and-protections
• ·Google, Generative AI in Google Workspace privacy hub: https://knowledge.workspace.google.com/admin/generative-ai/generative-ai-in-google-workspace-privacy-hub ; data covered by data regions, 9 Ekim 2026: https://knowledge.workspace.google.com/admin/compliance/data-covered-by-data-regions ; Gemini Apps gizlilik: https://support.google.com/gemini/answer/13594961 (12 Ekim 2026'da kontrol edildi)