Amazon Bedrock, OpenAI ve Gemini: Kurumsal Yapay Zekâda Veri Egemenliği, Sorumluluk ve KVKK m. 9 Açısından Hukuk Büroları İçin Rehber

TL;DR: Kurumsal yapay zekâ mimarisinde üç ayrı soru birbirine karıştırılmaktadır: modelin nerede çalıştığı, verinin hangi şirkete ulaştığı ve hukuken kimin sorumlu olduğu. Amazon Bedrock, müşteri girdilerini ve çıktılarını model sağlayıcılarıyla paylaşmayan, VPC/PrivateLink, şifreleme, IAM ve saklama kontrolleri sunan güçlü bir kurumsal veri mimarisidir; ancak AWS'nin model sağlayıcısının sorumluluğunu üstlendiği anlamına gelmez, "veri AWS dışına çıkmaz" ifadesi saklama ve cross-region ayarlarına bağlıdır ve en önemlisi "AWS dışına çıkmamak" ile "Türkiye dışına çıkmamak" aynı şey değildir. Frankfurt gibi bir bölgede çalışan bir Bedrock mimarisinde veri AWS içinde kalırken Türkiye'den yurt dışına aktarılmış olur ve KVKK^? m. 9 (1 Haziran 2024'ten itibaren yeniden düzenlenmiş hâliyle) ayrıca değerlendirilmelidir. Bedrock'ta Google'ın Gemini modelleri değil Gemma ailesi bulunur; Gemini'ye AgentCore üzerinden erişim ise Google API'sine bağlantı gerektirir. Bu nedenle hiçbir bulut sağlayıcısı tek başına KVKK uyumu veya sorumluluktan bağışıklık sağlamaz.

Yazar: Avukat Yusuf KILIÇKAN | Tarih: 2 Ekim 2026

Model Nerede Çalışıyor, Veri Kime Ulaşıyor, Kim Sorumlu?

Bu konudaki tartışmaların çoğu, birbirinden bağımsız üç sorunun tek bir soruymuş gibi cevaplanmasından kaynaklanır. Birincisi teknik bir sorudur: model hangi altyapıda ve hangi bölgede çalışıyor? İkincisi veri akışına ilişkindir: istem ve çıktı hangi şirkete ulaşıyor ve ne kadar süreyle saklanıyor? Üçüncüsü hukuki bir sorudur: bir zarar doğduğunda sorumluluk kimde? Bir hukuk bürosu için bu üçünün cevabı ayrı ayrı alınmadan sağlayıcı seçimi yapılmamalıdır.

Amazon Bedrock'un Sorumluluğu

Bedrock'ta sorumluluk üç katmana ayrılır: AWS altyapısının, güvenliğinin ve Bedrock hizmetinin işletilmesinden AWS; model teknolojisinden model sağlayıcısı veya AWS'nin kendisi; verinin hangi amaçla kullanıldığından ve yapay zekâ çıktısıyla ne yapıldığından ise müşteri sorumludur. Nitekim Bedrock üzerinden sunulan OpenAI hizmetlerine ilişkin 2026 tarihli OpenAI sözleşmesinde AWS'nin bu sözleşmenin tarafı olmadığı ve bu sözleşme kapsamında sorumluluk üstlenmediği, OpenAI'nin ise kendi modellerinden ve teknolojisinden sorumlu olduğu belirtilmektedir. Bu nedenle "OpenAI modelini Bedrock üzerinden kullandım, tüm hukuki sorumluluk Amazon'a geçtiği" sonucu çıkarılamaz. Daha doğru ifade şudur: Bedrock, veri güvenliği ve altyapı açısından AWS'nin sözleşmesel ve teknik taahhütlerini getirir; üçüncü taraf modelin kendisinden doğan sorumluluk ise model sağlayıcısı ile müşteri arasındaki ayrı sözleşme hükümlerine göre belirlenir. Ayrıca bu sözleşmelerde hizmet ve çıktıların doğruluğuna ilişkin garanti sınırlamaları ve "olduğu gibi" hükümleri bulunabilir.

Veri Mimarisi

AWS'nin Bedrock dokümanlarına göre platforma gönderilen girdiler ve üretilen çıktılar model sağlayıcılarıyla paylaşılmamakta, temel modelleri eğitmek veya geliştirmek için kullanılmamakta, AWS içinde şifrelenmekte ve AWS PrivateLink ile VPC'den internete çıkmadan platforma özel bağlantı kurulabilmektedir. Aşırı vurgu yapmamak gerekir: Bedrock'un cazibesi "Amazon hukuki sorumluluğu üstleniyor" olması değil, model sağlayıcısına doğrudan müşteri içeriği göndermeden, kontrollü bir altyapı üzerinden model kullanılabilmesidir.

"Veri AWS'den Hiç Çıkmaz" İfadesi

AWS'nin güncel veri saklama dokümantasyonunda sıfır kalıcı saklama, modele göre değişen varsayılan saklama ve bazı modeller için AWS'nin içerikleri inceleyebilmesine izin veren bir rejim ayrı ayrı tanımlanmıştır; bazı modellerde AWS içinde otuz güne kadar saklama ve AWS personeli tarafından inceleme gerekebilmektedir. AWS bu içeriklerin model sağlayıcısına gönderilmediğini belirtmektedir; ancak "model sağlayıcısına gitmiyor", "AWS'de hiç tutulmuyor" ve "hiçbir insan erişemiyor" birbirinden ayrı üç güvenlik seviyesidir. Bu nedenle hukuk büroları bakımından saklama ayarının kullanılacak model bazında ayrıca kontrol edilmesi gerekir. Ayrıca bazı modellerde tek bölge (in-region), coğrafi veya küresel cross-region çıkarım seçenekleri bulunabildiğinden, "seçtiğim tek veri merkezinden çıkmadı" demek de her zaman mümkün değildir.

Türkiye Açısından Asıl Kritik Nokta: AWS'den Çıkmamak Türkiye'den Çıkmamak Demek Değildir

Türkiye'deki bir büro verisini Frankfurt'taki bir AWS bölgesinde çalışan Bedrock üzerinden bir OpenAI modeline gönderirse, veri OpenAI'ye doğrudan gitmemiş ve AWS dışına çıkmamış olabilir; ancak Türkiye'den Almanya'ya aktarılmış olur. KVKK m. 9, 1 Haziran 2024'ten itibaren kişisel verilerin yurt dışına aktarılmasını tamamen yasaklamamakta; yeterlilik kararı, standart sözleşmeler dahil uygun güvenceler ve belirli arızi hâller üzerinden üç katmanlı bir sistem kurmaktadır; standart sözleşme imzalandıktan sonra beş iş günü içinde Kurula bildirilmelidir. KVKK'nın üretken yapay zekâya ilişkin rehberi de Türkiye'deki veri sorumlularının yurt dışındaki üretken yapay zekâ sağlayıcılarını kullanırken bu kurallara uyması gerektiğini açıkça belirtmektedir. Dolayısıyla "Bedrock kullanıyorum, veri AWS dışına çıkmıyor" demek KVKK bakımından tek başına yeterli bir savunma değildir; asıl soru "Türkiye'den yurt dışına bir kişisel veri aktarımı gerçekleşiyor mu ve m. 9 şartları sağlanmış mı" sorusudur.

Veri Sorumlusu Kimdir? AWS “Sorumluluk Almıyor” Değildir, Ama Üstlenmiyor da

Genel senaryoda işleme amaç ve vasıtalarını belirleyen hukuk bürosu veri sorumlusu, AWS ise veri işleyen veya hizmet sağlayıcı konumundadır; AWS de kendi GDPR belgelerinde müşterinin tipik olarak controller, kendisinin ise müşteri verisi bakımından processor olduğunu belirtmektedir, ancak gerçek sıfat işleme faaliyetinin somut yapısına göre belirlenir. Bu nedenle "AWS'ye verdim, sorumluluk Amazon'da" demek doğru değildir. Öte yandan veri işleyen de tamamen sorumsuz değildir: KVKK m. 12/4 veri sorumluları ile veri işleyenlerin öğrendikleri kişisel verileri hukuka aykırı biçimde açıklayamamasını ve işleme amacı dışında kullanamamasını öngörmekte, yurt dışı aktarımda standart sözleşmenin bildirilmemesine ilişkin idari yaptırım ise hem veri sorumlusu hem veri işleyen bakımından düzenlenmiştir. Klasik idari para cezalarının önemli kısmı ise doğrudan veri sorumlusuna yöneltilmiştir.

Yapay Zekâ Yanlış Cevap Verirse Bulut Sağlayıcısı Sorumlu Olur mu?

Genellikle olmaz. Bir avukat müvekkil belgesini Bedrock üzerindeki bir modele yükleyip yanlış bir hukuki analiz alır ve bunu kontrol etmeden kullanırsa, müvekkile karşı mesleki ilişkinin tarafı Amazon değil avukattır. Bulut sağlayıcısı kullanmak, yapay zekâ çıktısının hukuki doğrulama sorumluluğunu otomatik olarak kullanıcıdan almaz; bu, avukatlık mesleğinde 1136 sayılı Kanun m. 34'teki özen ve doğruluk yükümlülüğü bakımından özellikle önemlidir.

OpenAI Doğrudan Kullanımı ile Bedrock Üzerinden Kullanım Aynı Şey Değildir

ChatGPT veya OpenAI API doğrudan kullanıldığında veri OpenAI'nin kendi hizmet ortamında işlenir. OpenAI'nin kurumsal politikasına göre Business, Enterprise ve API verileri varsayılan olarak model eğitiminde kullanılmamaktadır; ancak bu, verinin Amazon'da kaldığı anlamına gelmez. OpenAI'nin veri yerleşimi seçenekleri arasında Türkiye ayrı bir bölge olarak yer almamakta, ayrıca bölge içi çıkarım seçilse dahi bazı yönlendirme, kimlik doğrulama ve entegrasyon işlemleri seçilen bölgenin dışında gerçekleşebilmektedir. OpenAI'nin belirli modelleri 2026 itibarıyla ise Amazon Bedrock üzerinde AWS tarafından yönetilen altyapıda sunulmaktadır; bu durumda içerik model sağlayıcısıyla paylaşılmamakta, ancak bölge, çıkarım modu ve saklama ayarları ayrıca incelenmelidir. Tarafların sözleşmesinde yalnızca "AWS üzerinde" yazması yeterli değildir; hizmet, model, bölge, çıkarım modu, saklama modu, ajan araçları ve dış entegrasyonlar birlikte değerlendirilmelidir.

Gemini ve Gemma

Amazon Bedrock'ın Google model kataloğunda Gemini değil, Google'ın Gemma modelleri (örneğin Gemma 3 ve Gemma 4 aileleri) yer almaktadır. Gemini'ye AWS Bedrock AgentCore üzerinden erişilebilmesi mümkündür; ancak bunun için Google API anahtarı gerekmekte ve çağrı Google'a gitmektedir. Dolayısıyla AgentCore üzerinde Gemini kullanmak "Gemini AWS içinde kaldı" anlamına gelmez; bu senaryoda verinin AWS'den Google'a geçmesi mimarinin doğal bir parçasıdır. Benzer bir ayırt edicilik Google tarafında da gerekir: Vertex AI üzerindeki kurumsal Gemini kullanımı, ücretli Gemini API ve ücretsiz tüketici sürümleri farklı veri rejimlerine tabidir; ücretli hizmetlerde Google'ın istem ve yanıtları ürünlerini geliştirmek için kullanmadığı belirtilse de kötüye kullanım izleme nedeniyle sınırlı loglama bulunabilmektedir.

Verilen Teminatlar Yargısal Emirlerle Askıya Alınabilir

Sözleşmesel veri imha taahhütleri mahkeme emirleri karşısında sınırsız değildir. 2025 yılında ABD'de görülen New York Times v. OpenAI telif davasında mahkeme, delil saklama amacıyla OpenAI'ye kullanıcı loglarını silmeme yönünde ihtiyati bir emir vermiştir; bu, sözleşmesel imha garantilerinin yargısal emirlerle geçici olarak aşılabileceğini göstermesi bakımından önemlidir. Benzer bir gerilim, Avrupa'da tutulan verilerde dahi sağlayıcının ABD menşeli olması hâlinde ABD yargı makamlarının erişim talebi (CLOUD Act) ile GDPR arasındaki yetki çatışmasında da görülür.

Gölge Yapay Zekâ

Bedrock gibi kapalı bir mimari kurulması, kurum içindeki sızıntı riskini kendiliğinden sona erdirmez. Güvenli bir kurum içi araç bulunmadığında veya kullanımı zor olduğunda çalışanlar kişisel ChatGPT, Claude veya Gemini hesaplarına yönelmekte, müşteri bilgileri veya sözleşme taslakları denetimsiz sunuculara aktarılmaktadır. Bu durum, kişisel veri içeriği bakımından KVKK m. 9 kapsamında yetkisiz sınır ötesi aktarım sorusunu gündeme getirir. Hukuk büroları bakımından KVKK'nın Eylül 2026'da yayımladığı Avukatların Mesleki Faaliyetlerinde Kişisel Verilerin Korunmasına İlişkin Uygulama Rehberi üretken yapay zekâ araçlarının kullanımını, yurt içi/yurt dışı veri aktarımını ve veri güvenliğini doğrudan ele almaktadır; bu nedenle "bu alanda özel hiçbir düzenleyici kaynak yok" demek artık doğru değildir.

Türkiye'de Genel Bir Yapay Zekâ Kanunu Var mı?

2 Ekim 2026 itibarıyla AB Yapay Zekâ Yasasına benzer, kapsamlı ve yürürlükte olan bir Türkiye Yapay Zekâ Kanunu bulunmamaktadır. TBMM kayıtlarında 2024 tarihli 2/2234 sayılı teklif başta olmak üzere çeşitli yapay zekâ düzenleme teklifleri komisyon aşamasındadır. Bu nedenle uygulamada KVKK, TCK, FSEK, TBK, tüketici ve ticaret mevzuatı ile Kurum rehberleri birlikte uygulanmaktadır; KVKK'nın Kasım 2025 tarihli Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi bu alandaki en doğrudan kaynaklardan biridir.

Hukuk Bürosu İçin Kontrol Listesi

Bir hukuk bürosu müvekkil dosyasını Bedrock veya benzeri bir mimaride işlemeden önce en az şu soruları yanıtlamalıdır: dosyada kişisel veri var mı ve KVKK m. 5/6 kapsamında işleme şartı mevcut mu; Türkiye'den hangi AWS bölgesine yurt dışı aktarımı yapılıyor ve m. 9 şartları sağlanmış mı; AWS veri işleme sözleşmesi uygun mu; geo veya küresel cross-region çıkarım açık mı; istem ve çıktı saklanıyor mu; hangi model kullanılıyor ve model sağlayıcısının sözleşmesi ne diyor; ajan dış API'lere, web aramasına veya dış araçlara erişiyor mu; IAM/RBAC, KMS şifreleme, loglama, yedekleme ve VPC uç noktaları nasıl yapılandırılmış. İdeal mimari değil, kontrol edilebilir bir mimari hedeflenmelidir: doğrudan OpenAI/Gemini API'leri, tüketici sürümleri ve denetimsiz dış araçlar yerine VPC, PrivateLink, KMS, IAM/RBAC, bölge kısıtlaması, saklama kontrolü, denetim logları ve insan gözetiminin birlikte uygulandığı bir yapı.

Sonuç

"Bedrock en güvenli hukuki seçenektir" yerine daha isabetli ifade şudur: Bedrock, hassas verilerin model sağlayıcısına doğrudan aktarılmasını önleyen, VPC/PrivateLink, şifreleme, IAM ve saklama kontrolleri sağlayan güçlü bir kurumsal veri mimarisi sunar; ancak tek başına KVKK uyumu veya hukuki sorumluluktan bağışıklık sağlamaz. "Veri Amazon'un dışına çıkmıyor mu?" sorusunun cevabı OpenAI için Bedrock'ta büyük ölçüde evet, AgentCore üzerinden Gemini için hayırdır; "Türkiye dışına çıkmıyor mu?" sorusunun cevabı ise her iki durumda da genellikle hayırdır ve KVKK bakımından asıl belirleyici olan ikinci sorudur.

Avukat Yusuf KILIÇKAN

2 Ekim 2026

Sıkça Sorulan Sorular

1. Amazon Bedrock kullanırsam hukuki sorumluluk Amazon'a mı geçer?

Hayır, AWS altyapı ve güvenlikten, model sağlayıcısı kendi modelinden, müşteri ise verinin kullanımından ve çıktıyla yaptığı işlemden sorumludur.

2. Bedrock'ta veri AWS dışına hiç çıkmaz mı?

Girdi ve çıktılar model sağlayıcılarıyla paylaşılmaz; ancak saklama ayarı, cross-region çıkarım ve harici araçların kullanımı veri akışını etkileyebilir.

3. Veri AWS'de kalıyorsa KVKK açısından sorun biter mi?

Hayır, AWS bölgesi Türkiye dışındaysa veri yurt dışına aktarılmış olur ve KVKK m. 9 ayrıca değerlendirilir.

4. Gemini Amazon Bedrock'ta mevcut mu?

Hayır, Bedrock'taki Google modelleri Gemma ailesindendir; Gemini'ye AgentCore üzerinden erişim Google API'sine bağlantı gerektirir.

5. OpenAI'yi doğrudan kullanmak ile Bedrock üzerinden kullanmak aynı mı?

Hayır, veri mimarisi farklıdır; doğrudan kullanımda veri OpenAI ortamında, Bedrock'ta ise AWS yönetimli altyapıda işlenir.

6. Yapay zekâ yanlış cevap verirse bulut sağlayıcısı sorumlu olur mu?

Genellikle hayır; çıktının doğrulanması ve müvekkile karşı sorumluluk avukattadır.

7. Hukuk bürosu KVKK açısından veri sorumlusu sayılır mı?

Genel senaryoda evet; işleme amaç ve vasıtalarını belirleyen büro veri sorumlusu, bulut sağlayıcısı ise veri işleyen konumunda olabilir.

8. Türkiye'de genel bir yapay zekâ kanunu var mı?

Hayır, birden fazla teklif komisyonda beklemekte; mevcut mevzuat ve KVKK rehberleri uygulanmaktadır.

9. Gölge yapay zekâ neden risklidir?

Çalışanların kişisel hesaplara veri yaptırması kurumsal kontrolü ortadan kaldırır ve kişisel veri içeriyorsa yurt dışı aktarım sorusunu gündeme getirir.

10. Bedrock en güvenli hukuki seçenek midir?

Hayır, güçlü bir kurumsal veri mimarisi sunar ancak tek başına KVKK uyumu veya sorumluluktan bağışıklık sağlamaz.

Yazar Hakkında

Av. Yusuf Kılıçkan | Avukat & Hukuki Danışman

Serbest avukatlık ve hukuki danışmanlık faaliyetlerini sürdürmektedir. Mesleki çalışmalarında geleneksel dava süreçleri, sözleşme tasarımı ve uyuşmazlık çözümü ile yapay zekâ ve bilişim hukuku gibi gelişen alanları bütüncül bir yaklaşımla ele almaktadır. Yayınlarında, yerel yüksek yargı içtihatları ile küresel regülasyonları analitik, veri temelli ve sistematik bir yöntemle incelemektedir. Hukuki yazılarına yusufkilickan.av.tr adresinden ulaşabilirsiniz.

📧 av.yusufkilickan@gmail.com

Yasal Uyarı

Bu yazı yalnızca genel bilgilendirme amacıyla hazırlanmıştır, hukuki danışmanlık niteliği taşımaz. AWS, OpenAI ve Google hizmetlerine ilişkin teknik ve sözleşmesel bilgiler sağlayıcıların güncel dokümantasyonuna dayanmakta olup sık değişebilir; KVKK ve ilgili mevzuata ilişkin değerlendirmeler yazının hazırlandığı tarih itibarıyla günceldir. Somut bir mimari tercih öncesinde bir bilişim güvenliği uzmanına ve KVKK danışmanına başvurulması önerilir.