Şubat 2026’da, çok uluslu bir şirket, yapay zeka tarafından deşifre edilmiş toplantı kayıtlarının açık çalışan onayı olmaksızın üçüncü taraf sunucularda depolandığını ortaya çıkaran bir İK soruşturmasının ardından 2,4 milyon €‘luk bir GDPR cezasıyla karşı karşıya kaldı. İlk olarak Reuters tarafından bildirilen olay, dünya çapındaki kurumsal hukuk departmanlarında şok dalgaları yarattı.

Yapay zeka transkripsiyon araçları, uzaktan ve hibrit işyerlerinde standart hale geldi. Ancak birçok şirket, “kaydet” düğmesine her bastıklarında büyük uyum riskleri yarattıklarının farkında değil. Çalışan onayı, veri saklama politikaları, sınır ötesi veri transferleri ve üçüncü taraf işleme sözleşmeleri, hepsi potansiyel yasal mayınlardır.

GDPR Madde 6 ve Madde 9 gerekliliklerini analiz ettik, gizlilik özellikleri için 12 yapay zeka transkripsiyon aracını inceledik ve AB ile ABD’deki istihdam avukatlarına danıştık. İşte şirketlerin 2026’da yapay zeka transkripsiyonunu yasal olarak kullanmak için bilmesi gerekenler.

İlgili: En İyi Yapay Zeka Transkripsiyon Araçları, Ekipler İçin Yapay Zeka Toplantı Asistanları, Toplantı Notları Yapay Zeka Araçları

Yapay Zeka Transkripsiyonunda Gizlilik Krizi

Gartner’a göre, yapay zeka toplantı asistanlarını kullanan şirketlerin %67’sinin deşifreler için resmi bir veri saklama politikası yok. Bu, gerçekleşmeyi bekleyen bir uyum felaketi.

İşte olanlar: Bir çalışan bir Zoom görüşmesine katılıyor. Bir yapay zeka botu otomatik olarak katılıyor. Konuşma deşifre ediliyor, duygu analizi yapılıyor ve süresiz olarak üçüncü taraf bir sunucuda saklanıyor. Kimse onay istemedi. Kimse verilerin nereye gittiğini açıklamadı. Kimse bir silme zaman çizelgesi belirlemedi.

GDPR Madde 6’ya göre bu, hukuka aykırı bir işlemedir. Kaliforniya’nın CPRA’sına göre, bu bir çalışan gizlilik hakları ihlalidir. Almanya, Avusturya ve Fransa’daki iş hukukuna göre, işçi konseyi müdahalesi veya hatta cezai suçlamalar için gerekçe olabilir.

Belirli riskler:

• Onay mekanizması yok: Birçok yapay zeka aracı, bireysel katılım onayı olmadan toplantılara otomatik olarak katılıyor
• Süresiz saklama: Sonsuza kadar saklanan deşifreler “veri istifleme” ihlalleri yaratır
• Üçüncü taraf işleme: Çalışan ses verilerinin ABD merkezli sunuculara gönderilmesi Schrems II’yi ihlal eder
• Hassas veri ifşası: Sağlık tartışmaları, performans değerlendirmeleri ve İK konularının deşifrelerde yer alması = Madde 9 özel kategori verileri
• Veri sahibi erişimi yok: Çalışanlar deşifre verilerini talep edemez veya silemez

Yapay zeka transkripsiyonu yasa dışı değildir. Ancak onu dikkatsizce kullanmak kesinlikle yasa dışıdır.

İşyerinde Transkripsiyon İçin GDPR Gereklilikleri

AB’nin Genel Veri Koruma Yönetmeliği (GDPR), çalışan verilerinin işlenmesi için katı kurallar belirler. İşte uyumluluğun gerçekte gerektirdikleri:

1. Yasal Dayanak (Madde 6)

Çalışan ses kayıtlarını ve deşifrelerini işlemek için altı yasal dayanaktan birine ihtiyacınız vardır. Pratikte, çoğu şirket için sadece ikisi işe yarar:

Meşru menfaat (Madde 6(1)(f)): İş operasyonları için gerekliyse VE çalışan gizlilik hakları menfaatinizi geçersiz kılmıyorsa toplantıları deşifre edebilirsiniz. Bu, belgelenmiş bir Meşru Menfaat Değerlendirmesi (LIA) gerektirir.

Onay (Madde 6(1)(a)): Özgürce verilmiş, belirli, bilgilendirilmiş ve açık olmalıdır. “Bu görüşmeye katılarak onay veriyorsunuz” GDPR kapsamında geçerli bir onay DEĞİLDİR. Çalışanlar sonuçları olmaksızın reddedebilmelidir.

Önemli: Rutin toplantı transkripsiyonu için “sözleşmesel gereklilik” (Madde 6(1)(b)) veya “yasal yükümlülük” (Madde 6(1)(c)) kullanamazsınız. Avrupa Veri Koruma Kurulu bu konuda açıkça belirtmiştir.

2. Şeffaflık (Madde 13-14)

Kayıt yapmadan önce, çalışanlar şunları bilmelidir:

• Verileri kimin işlediği (şirket adı + herhangi bir üçüncü taraf satıcı)
• Neden deşifre ettiğiniz (iş amacı)
• Deşifrelerin nerede saklandığı (veri konumu, sunucular, bulut sağlayıcıları)
• Deşifrelerin ne kadar süreyle saklandığı (belirli bir zaman çizelgesi, “gerektiği sürece” değil)
• Deşifrelere kimlerin erişebildiği (roller, departmanlar, üçüncü taraflar)
• Silme talebinde bulunma (DSAR süreci)

Bu, ilk kayıttan önce yazılı ve anlaşılır bir dilde olmalıdır.

3. Veri Minimallaştırma (Madde 5(1)(c))

Yalnızca ihtiyacınız olanı deşifre edebilirsiniz. Eylem öğesi takibi için deşifre yapıyorsanız, tam kelimesi kelimesine deşifrelere ihtiyacınız yoktur. Toplantı özetlerine ihtiyacınız varsa, ham sesi depolamanıza gerek yoktur.

Birçok yapay zeka aracı her şeyi varsayılan olarak deşifre eder. Geçerli bir nedeniniz yoksa bu bir GDPR ihlalidir.

4. Depolama Sınırı (Madde 5(1)(e))

Deşifreler süresiz olarak saklanamaz. Belgelenmiş bir saklama programına ihtiyacınız var:

• Eylem öğeleri / kararlar: 30-90 gün
• Proje belgeleri: Proje süresi + 6 ay
• İK/yasal konular: İstihdam yasalarının gerektirdiği şekilde (genellikle 3-7 yıl)
• Diğer her şey: Maksimum 30 gün

Otomatik silme politikaları çok önemlidir. Manuel inceleme ölçeklenmez.

5. Özel Nitelikli Veriler (Madde 9)

Sağlık bilgileri, sendika üyeliği, siyasi görüşler ve diğer hassas veriler açık rıza veya başka bir Madde 9 istisnası gerektirir. Deşifreleriniz bunları yakalayabilecekse (İK toplantıları, performans değerlendirmeleri), ek güvencelere ihtiyacınız vardır.

Çalışan Onayı: Gerçekten Ne İşe Yarar

“Zımni rıza” GDPR kapsamında mevcut değildir. İşte mevcut olanlar:

Onay Belirli Olmalı

Kötü: “Toplantıları kalite ve eğitim amaçlı kaydedebiliriz.”

İyi: “Bu toplantıyı, sesi ABD’de işleyen Otter.ai kullanarak deşifre edeceğiz. Deşifreler 30 gün boyunca saklanacak ve [belirli roller] tarafından erişilebilir olacaktır. Toplantı başlamadan önce [iletişim kişisi]‘ne bildirimde bulunarak cezasız bir şekilde çıkabilirsiniz.”

Onay Özgürce Verilmeli

Çalışanlar, olumsuz sonuçlar olmadan reddedebilmelidir. Reddetmek, toplantıya katılamayacakları veya işlerine devam edemeyecekleri anlamına geliyorsa, bu geçerli bir onay değildir.

Çözüm: Alternatif katılım yöntemleri sunun (yalnızca telefon seçeneği, manuel notlar, toplantı sonrası özet erişimi).

Onay Belgelenmelidir

Kimlerin, ne zaman ve neye onay verdiğine dair kayıtları tutun. Bu, DSAR yanıtları ve denetimler için kritiktir.

En iyi uygulama: Bir onay yönetimi platformu kullanın veya toplantı iş akışınıza opt-in/opt-out takibi entegre edin.

Onay Geri Çekilebilir

Çalışanlar onayı istedikleri zaman geri çekebilir. Başka bir yasal dayanağınız olmadığı sürece verilerini 30 gün içinde silmelisiniz.

Cihaz Üzerinde mi Yoksa Bulutta mı İşleme

Deşifrenin nerede gerçekleştiği uyumluluk açısından son derece önemlidir:

Bulut İşleme (Çoğu Yapay Zeka Aracı)

• Ses üçüncü taraf sunucularına gönderilir (AWS, Google Cloud, Azure)
• Veriler sınırları aşar (genellikle ABD’ye, AB müşterileri için bile)
• Satıcı ile Veri İşleme Anlaşması (DİA) gerektirir
• Satıcı güvenlik olaylarına ve ihlallerine tabidir
• AB→ABD aktarımları için Standart Sözleşme Maddeleri (SSM) gerektirebilir

Uyum etkisi: Yüksek risk. Kapsamlı satıcı durum tespiti, DİA’lar ve aktarım etki değerlendirmeleri gerektirir.

Cihaz Üzerinde İşleme

• Ses kullanıcının bilgisayarında veya şirket sunucusunda kalır
• Üçüncü taraf erişimi yok
• Sınır ötesi veri aktarımı yok
• Saklama ve silme üzerinde tam kontrol

Uyum etkisi: Düşük risk. Madde 6(1)(f) meşru menfaat kapsamında savunması daha kolaydır.

Cihaz üzerinde seçenekleri olan araçlar: ScreenApp (isteğe bağlı yerel mod), Whisper (kendi kendine barındırılan), MacWhisper (macOS yerel transkripsiyon).

Veri Saklama En İyi Uygulamaları

Süresiz depolama bir GDPR ihlalidir. İşte işe yarayanlar:

Otomatik Silme Politikaları

Toplantı türüne göre saklama kuralları belirleyin:

Toplantı Türü	Saklama Süresi	Sebep
Günlük toplantı	7 gün	Yalnızca operasyonel
Proje planlama	90 gün	Proje süresi
Müşteri aramaları	1 yıl	Sözleşme yükümlülüğü
Performans değerlendirmeleri	3 yıl (bazı yargı bölgelerinde 7)	İstihdam hukuku gerekliliği
İnsan Kaynakları soruşturmaları	7 yıl	Yasal savunma

Otomatik silme özelliklerini kullanın. Manuel silme tutarlı bir şekilde gerçekleşmez.

Anonimleştirme vs Silme

Anonimleştirme (isimleri, e-postaları, tanımlayıcı bilgileri kaldırma) saklama yükümlülüklerini azaltabilir. Ancak doğru şekilde yapmak zordur. Gerçek bir anonimleştirme süreciniz yoksa (yalnızca sansürleme değil), bunu saklama olarak kabul edin.

Yedekleme Saklama

Yedeklemeler veri saklama olarak sayılır. Bir transkripti silerseniz ancak o hala dünkü yedekte 90 gün boyunca kalıyorsa, aslında onu silmemiş olursunuz.

Çözüm: Transkript klasörleri için yedekleme hariç tutma kuralları uygulayın veya ayrıntılı saklama kontrollerine sahip sistemler kullanın.

Gizlilik Odaklı Yapay Zeka Transkripsiyon Araçları

12 yapay zeka transkripsiyon aracını gizlilik özellikleri, onay iş akışları ve GDPR uyumluluğuna göre değerlendirdik. İşte bulgularımız:

Ayrıntılı Gizlilik Karşılaştırması

Rev.ai - HIPAA Uyumluluğu İçin En İyisi

Rev.ai, İş Ortaklığı Anlaşması (BAA) ile HIPAA uyumlu işleme sunan birkaç transkripsiyon API’sinden biridir.

Tip: API | Fiyat: $0.02/dk eşzamansız / $0.065/dk akış | İşleme: Bulut (ABD)

Gizlilik özellikleri: HIPAA BAA mevcut, SOC 2 Tip II, API aracılığıyla özel saklama politikaları, şirket içi dağıtım seçeneği (kurumsal), DPA mevcut

Artıları: Yüksek doğruluk, 36 dil, geliştirici dostu API, akış ve eşzamansız seçenekler, özel kelime dağarcığı desteği

Eksileri: Yalnızca API (geliştirici entegrasyonu gerektirir), ABD merkezli işleme, yerleşik onay iş akışı yok, standart planlarda AB veri yerleşimi yok

Uyumlu Yapay Zeka Transkripsiyonu Nasıl Uygulanır

İşte adım adım bir uyumluluk yol haritası:

Adım 1: Veri Koruma Etki Değerlendirmesi (VKED) Yapın

Çalışan ses verilerini büyük ölçekte işliyorsanız, GDPR Madde 35 bir VKED gerektirir. Belgeleyin:

• Hangi verileri topladığınız (ses kayıtları, transkriptler, konuşmacı adları)
• Neden topladığınız (iş gerekçesi)
• Çalışan gizliliğine yönelik riskler
• Azaltıcı önlemler (şifreleme, erişim kontrolleri, saklama limitleri)
• Gereklilik analizi (hedefe daha az veriyle ulaşabilir misiniz?)

Veri Koruma Görevlinize (VKG) veya hukuk ekibinize danışın.

Adım 2: Yasal Dayanağınızı Seçin

Meşru menfaat (Madde 6(1)(f)) mi yoksa rıza (Madde 6(1)(a)) mı kullandığınıza karar verin.

Meşru menfaat: Belgelenmiş bir LIA gerektirir. Katılımın işin bir parçası olduğu operasyonel toplantılar için daha kolaydır.

Rıza: Katılım gerektiren iş akışları gerektirir. İsteğe bağlı toplantılar, eğitim oturumları veya deşifrenin iş operasyonlarının çekirdeği olmadığı durumlar için daha iyidir.

Adım 3: Gizlilik Politikanızı Güncelleyin

Toplantı kaydı ve deşifresi hakkında bir bölüm ekleyin. Dahil edin:

• Kullandığınız araçlar (satıcı adları)
• Verilerin nerede işlendiği (ülke, bulut sağlayıcı)
• Saklama süreleri (belirli zaman çizelgeleri)
• Erişim kontrolleri (transkriptleri kimler görebilir)
• Çalışan hakları (nasıl erişileceği, silineceği veya itiraz edileceği)

Kayda başlamadan önce tüm çalışanlar tarafından erişilebilir olduğundan emin olun.

Adım 4: Rıza İş Akışlarını Uygulayın

Rızayı yasal dayanağınız olarak kullanıyorsanız:

• Ne kaydedileceğini açıklayan toplantı öncesi bildirimler gönderin
• Bir vazgeçme mekanizması sağlayın
• Rızayı belgeleyin (zaman damgası, çalışan kimliği, toplantı kimliği)
• Reddeden çalışanlar için alternatif katılım yöntemleri sunun

Adım 5: Otomatik Silme Politikalarını Yapılandırın

Deşifre aracınızda saklama kuralları belirleyin:

• Günlük toplantılar için 7 gün
• Çoğu operasyonel toplantı için 30 gün
• Projeyle ilgili içerik için 90 gün
• İK/hukuk konuları için özel saklama (gerekçesiyle birlikte)

Otomatik silmenin gerçekten çalıştığından emin olmak için test edin. Birçok araç otomatik silme iddia eder ancak manuel tetikleyiciler gerektirir.

Adım 6: Veri İşleme Sözleşmelerini (VİS) İmzalayın

Bulut tabanlı bir araç kullanıyorsanız, bir veri sorumlususunuz ve satıcı bir veri işleyicidir. GDPR Madde 28 yazılı bir VİS gerektirir.

VİS’leri şuradan talep edin:

• Otter.ai, Fireflies.ai, Grain, tldv (hepsi sağlıyor)
• Video konferans sağlayıcınız (Zoom, Teams, Meet)
• Transkriptlerin kaydedildiği herhangi bir bulut depolama (Google Drive, OneDrive, Dropbox)

Adım 7: Yöneticileri ve Çalışanları Eğitin

Çoğu uyumluluk hatası, kullanıcıların kuralları bilmemesinden kaynaklanır. Şu konularda eğitim verin:

• Kayıt yapmanın ne zaman izinli olup olmadığı
• Nasıl rıza alınır
• Transkriptlerden nelerin paylaşılabileceği ve paylaşılamayacağı
• Veri sahibi erişim taleplerinin nasıl ele alınacağı
• Saklama politikaları

Bunu tekrarlayan bir eğitim haline getirin (minimum yıllık).

ScreenApp ile Ne Yapmalı

ScreenApp’i özellikle bu uyumluluk sorunlarını çözmek için oluşturduk. İşte onu gizliliğe uygun bir şekilde nasıl kullanacağınız:

1. Hassas toplantılar (İK, hukuk, performans değerlendirmeleri) için cihaz içi transkripsiyonu etkinleştirin
2. Şirketiniz GDPR’ye tabi ise AB veri yerleşimi kullanın
3. Çoğu toplantı için otomatik silmeyi 30 güne ayarlayın (veya uzun süreli saklamaya ihtiyacınız yoksa daha kısa)
4. Maksimum gizlilik için sıfır veri saklama modunu etkinleştirin (transkriptler tarayıcınızdan asla ayrılmaz)
5. Transkriptleri kimlerin görebileceğini sınırlamak için rol tabanlı erişim kontrolleri kullanın

İsteğe Bağlı: Özel saklama iş akışları oluşturmak ve uyumluluk sistemlerinizle entegre etmek için API erişimini etkinleştirin (aylık 19 $).

Uyguladıktan Sonra

Uyumlu transkripsiyon sisteminiz kurulduktan sonra:

• Yapay Zeka Toplantı Notu Alıcısı: Uyumlu transkriptlerden yapılandırılmış notlar oluşturun
• Video Özetleyici: Bir saatlik toplantıları 2 dakikalık özetlere dönüştürün
• Videodan Belgeye: Kayıtların saklanması için zaman damgalı transkriptleri dışa aktarın

SSS

Çalışan rızası olmadan toplantıları yazıya dökebilir miyim?

GDPR kapsamında, ya yasal bir dayanak (Madde 6) YA DA rıza gereklidir. Meşru menfaat (Madde 6(1)(f)), transkripsiyonun belgelenmiş bir iş ihtiyacına hizmet ettiği operasyonel toplantılar için yeterli olabilir. Ancak yine de çalışanları bilgilendirmeli ve itiraz etmelerine izin vermelisiniz. Almanya, Fransa ve Avusturya’da iş konseyleri, yasal dayanak ne olursa olsun genellikle açık rıza gerektirir.

Cihaz içi ve bulut transkripsiyonunun gizlilik açısından farkı nedir?

Cihaz içi transkripsiyon, sesi bilgisayarınızda yerel olarak işler. Ses asla makinenizden ayrılmaz, bu nedenle üçüncü taraf erişimi, sınır ötesi veri aktarımı ve satıcı güvenlik riski yoktur. Bulut transkripsiyonu, sesi üçüncü taraf sunucularına (genellikle AWS veya Google Cloud) gönderir; bu da Veri İşleme Sözleşmeleri gerektirir, GDPR transfer yükümlülükleri oluşturur ve satıcı güvenlik uygulamalarına bağlıdır.

GDPR kapsamında toplantı transkriptlerini ne kadar süre saklayabilirim?

GDPR Madde 5(1)(e) depolama sınırlaması gerektirir: verileri yalnızca topladığınız amaç için gerekli olduğu sürece saklayabilirsiniz. Eylem maddesi takibi için 30 gün makuldür. Proje dokümantasyonu için 90 gün. İK veya hukuki konularda, istihdam yasası 3-7 yıl gerektirebilir. Saklama gerekçenizi belgelemeli ve otomatik silme politikaları uygulamalısınız.

Transkripsiyon sağlayıcım ile Veri İşleme Sözleşmesi’ne ihtiyacım var mı?

Evet, eğer satıcı sizin adınıza çalışan verilerini işliyorsa (GDPR Madde 28). Otter.ai, Fireflies.ai, Rev.ai ve Grain gibi bulut tabanlı araçların hepsi VİS (Veri İşleme Sözleşmesi) gerektirir. Satıcı standart bir VİS şablonu sağlamalıdır. Veri konumu, alt işlemciler, güvenlik önlemleri, ihlal bildirimi ve veri silme yükümlülüklerini kapsadığından emin olmak için inceleyin.

Bir çalışan transkript verilerinin silinmesini isterse ne olur?

GDPR Madde 17 uyarınca, çalışanların silinme hakkı vardır. Yasal olarak saklama yükümlülüğünüz olmadığı sürece (örn. istihdam yasası, devam eden hukuki süreç) verilerini 30 gün içinde silmelisiniz. Bu, transkriptleri, ses dosyalarını ve tüm yedekleri silmeyi içerir. Silme isteğini belgeleyin ve tamamlandığını çalışana yazılı olarak teyit edin.

Zoom görüşmesini izinsiz kaydetmek yasa dışı mı?

Yargı bölgesine bağlıdır. GDPR kapsamında AB’de, yasal bir dayanağa (rıza veya meşru menfaat) ihtiyacınız vardır ve katılımcıları bilgilendirmelisiniz. ABD’de, federal yasa bir tarafın (kaydeden) rıza göstermesi halinde kayda izin verir, ancak 11 eyalet tüm tarafların rızasını gerektirir (Kaliforniya, Connecticut, Florida, Illinois, Maryland, Massachusetts, Michigan, Montana, New Hampshire, Pennsylvania, Washington). Kaydetmeden önce yerel yasaları kontrol edin.

Toplantı transkriptlerini analiz etmek için ChatGPT veya Claude kullanabilir miyim?

Mümkün, ancak dikkatli olun. Transkriptleri OpenAI veya Anthropic’e göndermek, çalışan ses verilerinin ABD merkezli bir üçüncü tarafça işlenmesi anlamına gelir. GDPR kapsamında bu, Standart Sözleşme Maddeleri ve bir transfer etki değerlendirmesi gerektiren sınır ötesi bir veri transferidir. Her iki satıcı da DPA’lar sunar, ancak uyumluluktan hala siz sorumlusunuz. Hassas veriler için cihaz içi yapay zeka modellerini veya AB’de barındırılan alternatifleri kullanmayı düşünün.