Yapay Zekâ Sistemlerinin Eğitiminde Kullanılan Web Kazımanın KVKK ve GDPR Açısından Değerlendirilmesi

Öz

Bu çalışma, yapay zekâ sistemlerinin eğitiminde kullanılan web kazıma yöntemlerinin Türkiye’de 6698 Sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) çerçevesinde değerlendirilmesini amaçlamaktadır. Web kazıma, kamuya açık çevrimiçi içeriklerin otomatik araçlarla toplanması süreci olup, hukukun çizdiği sınırlara tabidir. Çalışma, web kazıma açısında temel veri koruma ilkeleri, meşru menfaat hukuki sebebi ve alınması gereken ek tedbirleri karşılaştırmalı hukuk perspektifiyle ele almaktadır. GDPR uygulamasında veri koruma otoriteleri, web kazımanın uygulanabilir tek hukuki sebep olan meşru menfaate dayanmak için amaç–gereklilik–denge testinin yapılmasını, ilgili kişilerin haklarının kullanılmasının kolaylaştırılmasını, ek teknik-idari tedbirlerin alınmasını ve gerektiğinde veri koruma etki değerlendirmesi yapılması gerektiğini vurgulamaktadır. Ancak web kazıma uygulamalarında meşru menfaatin değerlendirilmesi oldukça yoruma açık olduğundan daha net düzenlemelere ihtiyaç vardır. Ülkemiz uygulaması açısından ise, KVKK ve GDPR arasındaki farklılıklar web kazımanın değerlendirilmesi açısından belirgin şekilde ortaya çıkmaktadır. Çalışmamızda, KVKK’nın GDPR ile uyumlu hale getirilmesi, veri koruma etki değerlendirmesi zorunluluğu ve erişim sınırlama protokollerine yasal bağlayıcılık getirilmesi önerilmiştir. Böylece, inovasyon ile bireylerin temel haklarının dengelendiği, öngörülebilir ve denetlenebilir bir hukuk düzeni hedeflenmektedir.

Anahtar Kelimeler

• Yapay zekâ
• web kazıma
• kişisel verilerin korunması
• GDPR
• meşru menfaat

Evaluation of Web Scraping Used in Training Artificial Intelligence Systems Under the KVKK and GDPR

Öz

This study aims to evaluate the use of web scraping in the training of artificial intelligence systems within the framework of Türkiye’s Personal Data Protection Law No. 6698 (KVKK) and the European Union General Data Protection Regulation (GDPR). Web scraping, defined as the automated collection of publicly available online content, is subject to legal boundaries. The study examines the fundamental data protection principles, the legal basis of legitimate interest, and the additional safeguards required in web scraping practices from a comparative law perspective. In the context of the GDPR, data protection authorities emphasize that legitimate interest—the only potentially applicable legal basis for web scraping—requires a thorough purpose-necessity-balance test, facilitation of data subject rights, implementation of additional technical and organisational measures, and, where appropriate, the completion of a data protection impact assessment. However, because the assessment of legitimate interest in web scraping remains highly open to interpretation, clearer regulatory guidance is needed. In Türkiye, the differences between the KVKK and the GDPR become particularly visible when assessing the legality of web scraping. In this study, it is recommended that the KVKK be harmonised with the GDPR, that data protection impact assessments be made mandatory, and that access-limitation protocols (such as robots.txt/ai.txt) be given binding legal effect. Through these measures, a predictable and accountable legal framework is envisioned—one that balances technological innovation with the fundamental rights of individuals.

Anahtar Kelimeler

• Artificial intelligence
• web scraping
• personal data protection
• GDPR
• legitimate interest.

Kaynakça

1. ACLU. ACLU v. Clearview AI, Inc., No. 2020 CH 04346 (Illinois Eyaleti, Cook County Mahkemesi, 9 Mayıs 2022). Erişim: 5 Ekim 2025. adres: https://www.aclu.org/cases/aclu-v-clearview-ai
2. Article 29 Data Protection Working Party. (2007). Opinion 4/2007 on the concept of personal data (WP 136; 01248/07/EN). Erişim: 26.01.2026 https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2007/wp136_en.pdf
3. Article 29 Data Protection Working Party. (2014). Opinion 06/2014 on the notion of legitimate interests of the data controller under Article 7 of Directive 95/46/EC (WP 217). European Commission. Erişim: 7 Kasım 2025, https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp217_en.pdf
4. Aşıkoğlu, Ş. İ. (2019). Veri Sorumlularının Aydınlatma Yükümlülüğü -Avrupa Birliği ve Türk Hukukunda-. Kişisel Verileri Koruma Dergisi, 1(2), 41-65. https://izlik.org/JA27JM42BK
5. Atlı, T. (2019). Kişisel verilerin önleyici, koruyucu ve istihbarî faaliyetler amacıyla işlenmesi. Necmettin Erbakan Üniversitesi Hukuk Fakültesi Dergisi, 2(1), 1–26. Erişim: 5 Ekim 2025.
6. Autoriteit Persoonsgegevens. (2024). Decision: Fine on Clearview AI for illegal data collection for facial recognition. Erişim: 5 Ekim 2025. https://www.autoriteitpersoonsgegevens.nl/en/current/dutch-dpa-imposes-a-fine-on-clearview
7. Aykol Uzunalı, İ. (2025). Kişisel verilerin korunmasında veri koruma etki değerlendirmesi. İçinde Kişisel verilerin korunmasına uzman bakış-2: Uzmanlık tezleri derleme çalışması, s 457,. Ankara: Kişisel Verileri Koruma Kurumu Yayınları.
8. Badur, E. (2024). Yapay zekâ sistemleri kullanılarak yapılan işleme faaliyetlerinde kişisel verilerin korunması. Selçuk Üniversitesi Hukuk Fakültesi Dergisi, 32(4), 2525–2554. Erişim: 8 Kasım 2025. https://doi.org/10.15337/suhfd.1522309

9. Baumgartner, U. (2025, 11 Aralık). EU digital omnibus: What the proposed changes to the concept of personal data mean in practice. IAPP. erişim tarihi: 26. Ocak 2026, https://iapp.org/news/a/eu-digital-omnibus-what-the-proposed-changes-to-the-concept-of-personal-data-mean-in-practice
10. Bayram, Ö. B. (2022). Bir Uyum Aracı Olarak Veri Koruma Etki Analizinin Türk Hukuku Bakımından Değerlendirilmesi. Kişisel Verileri Koruma Dergisi, 4(1), 38-53.
11. Brown, M. A., Gruen, A., Maldoff, G., Messing, S., Sanderson, Z., & Zimmer, M. (2024). Web scraping for research: Legal, ethical, institutional, and scientific considerations. arXiv. Erişim: 5 Ekim 2025. https://doi.org/10.48550/arXiv.2410.23432
12. Bu-Pasha, S. (2022). Legal aspects, public interest, and legitimate interest in processing personal data to operate autonomous buses in the regular transportation system. Security and Privacy, 5(5), e247. https://doi.org/10.1002/spy2.247
13. CNIL. (2022). La recherche sur internet de fuites d’informations (RIFI). Erişim: 7 Kasım 2025. https://www.cnil.fr/fr/la-recherche-sur-internet-de-fuites-dinformations-rifi
14. CNIL. (2024a). The legal basis of legitimate interests: Focus sheet on measures to implement in case of data collection by web scraping. Erişim: 12 Ekim 2025. https://www.cnil.fr/fr/focus-interet-legitime-collecte-par-moissonnage
15. CNIL. (2024b, 2 Temmuz). Respect and facilitate the exercise of data subjects’ rights. Erişim: 7 Kasım 2025. https://www.cnil.fr/en/respect-and-facilitate-exercise-data-subjects-rights
16. Çekin, M. S. (2020). Avrupa Birliği hukukuyla mukayeseli olarak kişisel verilerin korunması hukuku. İstanbul: On İki Levha Yayıncılık.
17. Court of Justice of the European Union. (2023). Meta Platforms Ireland Ltd v. Bundeskartellamt (Case C-252/21), Erişim: 12 Ekim 2025, from https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex:62021CJ0252
18. Court of Justice of the European Union. (2025). European Data Protection Supervisor (EDPS) v. Single Resolution Board (SRB) (Case C-413/23 P). Erişim: 12 Ekim 2025, https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex:62023CJ0413
19. DataGuidance. (2024, 30 Mayıs). Italy: Garante releases instructions to defend personal data from web scraping. Erişim: 9 Kasım 2025. https://www.dataguidance.com/news/italy-garante-releases-instructions-defend-personal
20. Data Protection Commission. (2022, 25 Kasım). Final decision – IN-21-4-2 (Meta Platforms Ireland Limited). Erişim: 12 Ekim 2025. https://www.dataprotection.ie/sites/default/files/uploads/2022-12/Final%20Decision_IN-21-4-2_Redacted.pdf
21. Dove, E. S., & Chen, J. (2021). What does it mean for a data subject to make their personal data ‘manifestly public’? An analysis of GDPR Article 9(2)(e). International Data Privacy Law, 11(2), 107–124.Erişim: 7 Kasım 2025. https://doi.org/10.1093/idpl/ipab005
22. Dutch News. (2025, 17 Ekim). Privacy watchdog hands €2.7m fine to credit score firm Experian. Erişim: 9 Kasım 2025. https://www.dutchnews.nl/2025/10/privacy-watchdog-hands-e2-7-m-fine-to-credit-score-firm-experian
23. Dülger, M. V., & Kahraman, C. C. (2021). Kişisel Verilerin Korunması Kurulu'nun 02.04.2020 tarihinde yayımlanan 2019/138-206-273-297-333 ve 2020/34-41-43-58-65-67 sayılı kararlarına ilişkin değerlendirme. SSRN. Erişim: 7 Kasım 2025, https://doi.org/10.2139/ssrn.3792367
24. European Commission. (2025). Proposal for a Regulation of the European Parliament and of the Council ... (Digital Omnibus) (COM(2025) 837 final). Brüksel, 19 Kasım 2025.https://digital-strategy.ec.europa.eu/en/library/digital-omnibus-regulation-proposal?ref=digitalpolitics.co
25. European Data Protection Board. (20 Ekim 2022). The French SA fines Clearview AI EUR 20 million. Erişim tarihi: 24.11.2025) https://www.edpb.europa.eu/news/national-news/2022/french-sa-fines-clearview-ai-eur-20-million_en
26. European Data Protection Board. (EDPB) (2024a). Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models. Erişim: 10 Ekim 2025. https://www.edpb.europa.eu/system/files/2024-12/edpb_opinion_202428_ai-models_en.pdf
27. European Data Protection Board (EDPB). (2024b). Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR (legitimate interest) Erişim: 7 Kasım 2025, https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202401_legitimateinterest_en.pdf
28. European Data Protection Board (EDPB). (2024c). Report of the Work Undertaken by the ChatGPT Taskforce. Brussels: European Data Protection Board (EDPB), May 23, 2024, 7. https://edpb.europa.eu/system/files/2024-05/edpb_20240523_report_chatgpt_taskforce_en.pdf
29. Evren, A. G. (2023). Comparative analysis of the European Union and Turkish personal data protection laws. Kişisel Verileri Koruma Dergisi, 5(2), 35–63. Erişim: 7 Kasım 2025.
30. Foerderer, J. (2023). Should we trust web-scraped data? arXiv. https://doi.org/10.48550/arXiv.2308.02231 Garante per la Protezione dei Dati Personali. (2022, 9 Mart). Facial recognition: Italian SA fines Clearview AI eur 20 million. Bans use of biometric data and monitoring of Italian data subjects, Erişim: 5 Ekim 2025. https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9751323
31. Garante per la Protezione dei Dati Personali. (2023, 31 Mart). Artificial intelligence: Stop to ChatGPT by the Italian SA. Erişim: 5 Ekim 2025. https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9870847#english
32. Garante per la Protezione dei Dati Personali. (2024, 30 Mayıs). Artificial Intelligence: the Italian Data Protection Authority Issues Guidance to Protect Personal Data from Web Scraping. Erişim: 9 Kasım 2025. https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/10019984
33. Google DeepMind. Gemini overview. Erişim: 5 Ekim 2025. https://gemini.google/overview/ Hellenic Data Protection Authority. (2022, 13 Temmuz). Decision No. 35/2022: Administrative fine on Clearview AI Inc. Erişim: 5 Ekim 2025. https://www.dpa.gr/sites/default/files/2022-08/35_2022%20anonym_EN_FINAL.pdf Hogan Lovells. (2024, 14 Mayıs). Dutch DPA issues guidelines on data scraping, Erişim: 9 Kasım 2025. https://www.hoganlovells.com/en/publications/dutch-dpa-issues-guidelines-on-data-scraping_1
34. Hong, R., Hutson, J., Agnew, W., Huda, I., Kohno, T., & Morgenstern, J. (2025). A common pool of privacy problems. arXiv:2506.17185. Erişim: 5 Ekim 2025. https://arxiv.org/abs/2506.17185
35. Information Commissioner’s Office (ICO). (2024a). The lawful basis for web scraping to train generative AI models. Erişim: 10 Ekim 2025. https://ico.org.uk/about-the-ico/what-we-do/our-work-on-artificial-intelligence/response-to-the-consultation-series-on-generative-ai/the-lawful-basis-for-web-scraping-to-train-generative-ai-models
36. Information Commissioner’s Office (ICO). (2024b). Generative AI: First call for evidence. Information Commissioner’s Office. Erişim: 10 Ekim 2025https://ico.org.uk/about-the-ico/what-we-do/our-work-on-artificial-intelligence/generative-ai-first-call-for-evidence/
37. Joint Statement: OAIC, ICO, PCPD, OPPC, PIPC, SIC, GPDP, FDPIC vd. (2023, Ağustos). Joint statement on data scraping and the protection of privacy. Erişim: 15 Ekim 2025. https://ico.org.uk/media2/migrated/4026232/joint-statement-data-scraping-202308.pdf
38. Karaduman, O. (2018, 4 Aralık). Legitimate interest in Turkish DPL compared with GDPR and the Directive. IAPP News. Erişim: 8 Kasım 2025. https://iapp.org/news/a/legitimate-interest-in-turkish-dpl-compared-with-gdpr-and-the-directive
39. Kazmalı, A. S., & Sayar, A. (2025). Web scraping: Legal and ethical considerations in general and local context – A review. Procedia Computer Science, 259, 1928–1937. Erişim: 5 Ekim 2025. https://doi.org/10.1016/j.procs.2025.04.111
40. Kişisel Verileri Koruma Kurulu, (2019a) (2019, 25 Mart). Veri sorumlusunun kanuni yükümlülüğünü yerine getirmek için işlediği kişisel verileri meşru menfaat çerçevesinde kullanma talebi (2019/78). Erişim: 27 Ekim 2025. https://www.kvkk.gov.tr/Icerik/5434/2019-78
41. Kişisel Verileri Koruma Kurulu (2019b) (2019, 23 Aralık). İlgili kişi tarafından alenileştirilen kişisel verinin, alenileştirme amacı dışında işlenmesi hakkında 07.11.2019 tarihli ve 2019/331 sayılı karar özeti. Erişim: 1 Şubat 2026, https://www.kvkk.gov.tr/Icerik/6623/2019-331
42. Kişisel Verileri Koruma Kurulu. (2020). İlgili kişiye rızası bulunmamasına rağmen bir gayrimenkul şirketi tarafından SMS aracılığıyla gönderilen reklam ve bildirimler hakkında 27.01.2020 tarihli ve 2020/67 sayılı karar özeti., Erişim: 8 Kasım 2025, https://www.kvkk.gov.tr/Icerik/6718/2020-67
43. Kişisel Verileri Koruma Kurulu, (2022, 1 Eylül). Bir yasal bahis platformu tarafından kişisel verilerin üçüncü şahıslara gönderilmesi (2022/853). Erişim: 8 Kasım 2025. https://www.kvkk.gov.tr/Icerik/7576/2022-853
44. Kişisel Verileri Koruma Kurulu, (2022, 1 Eylül). İnternet arama motorlarından elde edilen iş yeri e-postasının pazarlama amaçlı kullanılması (2022/861) Erişim: 27 Ekim 2025. https://www.kvkk.gov.tr/Icerik/7580/2022-861
45. Kişisel Verileri Koruma Kurumu, (2018). Kişisel veri güvenliği rehberi (teknik ve idari tedbirler). Ankara: KVKK Yayınları. Erişim: 9 Kasım 2025. https://www.kvkk.gov.tr/yayinlar/veri_guvenligi_rehberi.pdf
46. Kişisel Verileri Koruma Kurumu, (2025a). Yapay zekâ alanında kişisel verilerin korunmasına dair tavsiyeler. Ankara: KVKK Yayınları. Erişim: 8 Kasım 2025. https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/25a1162f-0e61-4a43-98d0-3e7d057ac31a.pdf
47. Kişisel Verileri Koruma Kurumu, (2025b). Üretken yapay zekâ ve kişisel verilerin korunması rehberi (15 soruda) (Yayın No. 113) Erişim: 24 Kasım 2025, https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/MTY5MjNmNmIwZWY3YTE.pdf?fbclid=PAdGRleAOQ665leHRuA2FlbQIxMQBzcnRjBmFwcF9pZA8xMjQwMjQ1NzQyODc0MTQAAadz_Y5pjZV0vtVRdsylOiA14KiOWS8XWaV92xJ-WDKts3dn8mok8Xyf9k6kJg_aem_cYKHxoOdPfRsXpXSlpViyA
48. Kuru, T. (2024). Lawfulness of the mass processing of publicly accessible online data to train large language models. International Data Privacy Law, 14(4), 336. https://doi.org/10.1093/idpl/ipae013
49. Trigo Kramcsák, P. (2023). Can legitimate interest be an appropriate lawful basis for processing Artificial Intelligence training datasets? Computer Law & Security Review, 48, 105765. https://doi.org/10.1016/j.clsr.2022.105765
50. Mustapha, S., Man, M., Wan Abu Bakar, W. A., Yusof, K., & Ahmad Sabri, I. (2024). Demystified overview of data scraping. International Journal of Data Science and Advanced Analytics, 6, 290–300. Erişim: 10 Ekim 2025. https://doi.org/10.69511/ijdsaa.v6i6.205
51. Purtova, N. (2018). The law of everything: Broad concept of personal data and future of EU data protection law. Law, Innovation and Technology, 10(1), 40–81. Erişim: 26 Ocak 2026. https://doi.org/10.1080/17579961.2018.1452176 .
52. Radford, A., Wu, J., Child, R., Luan, D., Amodei, D., & Sutskever, I. OpenAI.(2019). Language Models are Unsupervised Multitask Learners. OpenAI. Erişim: 5 Ekim 2025. https://cdn.openai.com/better-language-models/language_models_are_unsupervised_multitask_learners.pdf
53. Rohatgi, A., & Park, T. J. (2025). Learning from Europe: Utilising the EU AI Act’s experience to regulate scraping-based AI models. SSRN. Erişim: 11 Kasım 2025. https://doi.org/10.2139/ssrn.5031626
54. Saat, D. (2024). Kişisel Verilerin Korunması Kanunu’nda Öngörülen Meşru Menfaat Kavramının Ticaret Şirketleri Bakımından Değerlendirilmesi. Anadolu Üniversitesi Hukuk Fakültesi Dergisi, 10(2), 617-638. https://doi.org/10.54699/andhd.1491304
55. Sharma, G. (2024). Web crawling and scraping: A survey. 2024 IEEE Healthcare Innovations Conference. IEEE. Erişim: 10 Ekim 2025. https://www.researchgate.net/publication/385726391_Web_Crawling_and_Scraping_A_Survey/citations
56. Wachter, S., Mittelstadt, B., & Floridi, L. (2021). A right to reasonable inferences: Re-thinking data protection law in the age of big data and AI. Columbia Business Law Review, 1–83. Erişim: 5 Kasım 2025. https://papers.ssrn.com/sol3/papers.cfm?abstract_id=3248829
57. X (Twitter). About Grok, Erişim: 5 Ekim 2025. https://help.x.com/en/using-x/about-grok Yalçın, Y., & Baysal, B. (2024). Web kazıma yöntemlerinin tüketici fiyat endeksi çalışmalarında kullanılması: Türkiye örneği. İstatistik Araştırma Dergisi, 14(2), 46–60. Erişim: 7 Ekim 2025. https://dergipark.org.tr/tr/pub/jsstr/issue/89599/1460259
58. Yurteri, İ. (2025). Yapay zekâda yönetişim ve metodoloji. In Yapay Zekâ Teknolojilerine Akademik Bakış (s. 508–520). Ankara: KVKK Yayınları. Erişim: 5 Ekim 2025. https://kvkk.gov.tr/SharedFolderServer/CMSFiles/58f74957-ac01-4d67-97bd-8edd8287bd4e.pdf
59. Yücedağ, N. (2017). Medeni Hukuk Açısından Kişisel Verilerin Korunması Kanunu’nun Uygulama Alanı ve Genel Hukuka Uygunluk Sebepleri. İstanbul Üniversitesi Hukuk Fakültesi Mecmuası, 75(2), 765-790.
60. Yürük, Z. (2023). Veri Sorumlusunun Veri Güvenliğine İlişkin İdari ve Teknik Tedbirleri Alma Yükümlülüğü. İstanbul Ticaret Üniversitesi Sosyal Bilimler Dergisi, 22(48), 899-920. https://doi.org/10.46928/iticusbe.1218693