80’ler Akımından Biyometrik Veri Güvenliğine: Yüz Verilerimizi Ne Kadar Koruyoruz?

Son günlerde sosyal medyada 80’ler estetiğini yeniden canlandıran yapay zekâ görselleri oldukça ilgi görüyor. Kullanıcılar güncel fotoğraflarını yapay zekâ araçlarına yükleyerek kendilerini dönemin saç modelleri, kıyafetleri, otomobilleri ve neon renkleri içinde yeniden görebiliyor. Ortaya çıkan görüntüler çoğu zaman eğlenceli ve oldukça başarılı. Ancak bu akımı izlerken üzerinde durulması gereken başka bir konu daha var: Ortaya çıkan görselden önce, o görseli oluşturmak için sisteme hangi verileri verdiğimizi yeterince düşünüyor muyuz?

Bir yapay zekâ aracına fotoğraf yüklediğimizde çoğu zaman yüzümüzün açık biçimde görüldüğü ve bizi kolaylıkla tanımlayabilecek bir görüntüyü sisteme aktarıyoruz. Buradaki mesele herhangi bir yapay zekâ uygulamasının bu verileri mutlaka kötüye kullandığını iddia etmek değil. Böyle bir genelleme hem doğru hem de adil olmaz. Asıl mesele, fotoğrafın yüklenmesinden sonra hangi işlemlere tabi tutulduğunu, ne kadar süre saklandığını, hangi amaçlarla kullanılabildiğini ve kullanıcı olarak bunlar üzerinde ne kadar bilgi ve kontrol sahibi olduğumuzu sorgulamak.

Bir fotoğraf yüklediğimizde yalnızca fotoğraf mı paylaşmış oluyoruz?

Kişisel Verileri Koruma Kurumunun Kasım 2025’te yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, bu konuda oldukça dikkat çekici bir örnek veriyor. Rehberde kişilerin fotoğraflarını yükleyerek farklı filtrelerle portrelerini oluşturduğu uygulamalar özel olarak ele alınıyor. Uygulamanın kullanılması, yüklenen verilerin üretken yapay zekânın geliştirilmesinde kullanılması, üretilen çıktıların depolanması ve çıktıların sistemin geliştirilmesi amacıyla kullanılması birbirinden ayrı kişisel veri işleme faaliyetleri olarak değerlendiriliyor. Açık rızaya dayanılan durumlarda bunların ayrı ayrı ele alınmasının önemine de dikkat çekiliyor.

Bu örnek, günümüzdeki yapay zekâ fotoğraf akımlarını değerlendirirken neden yalnızca “fotoğrafı yükledim ve yeni bir fotoğraf aldım” şeklinde düşünmememiz gerektiğini açıkça gösteriyor. Bir hizmet yalnızca görseli oluşturabilir ve veriyi kısa süre içerisinde silebilir; başka bir hizmet farklı saklama veya geliştirme politikalarına sahip olabilir. Dolayısıyla bütün platformları aynı şekilde değerlendirmek yerine, kullanılan hizmetin kendi şartlarına bakmak gerekiyor.

KVKK da bireylerin üretken yapay zekâ uygulamalarını kullanırken hangi verilerin toplandığı, hangi amaçlarla işlendiği, kimlerle paylaşıldığı ve ne kadar süre saklandığı konusunda bilgi sahibi olmasının önemli olduğunu belirtiyor. Kurum ayrıca aydınlatma metinlerinin ve gizlilik politikalarının incelenmesini, yalnızca gerekli bilgilerin paylaşılmasını ve mümkün olduğunda veri paylaşımını sınırlandıran ayarların kullanılmasını öneriyor.

Dolayısıyla sorulması gereken soru yalnızca “Bu uygulama güvenilir mi?” değil; “Fotoğrafımı verdiğimde bu verinin daha sonraki yaşam döngüsü nasıl olacak?” sorusudur.

Her yüz fotoğrafı biyometrik veri midir?

Burada sık yapılan bir kavramsal hatadan da kaçınmak gerekiyor. Bir kişinin yüzünün göründüğü her fotoğrafı doğrudan biyometrik veri olarak tanımlamak doğru değildir.

KVKK’nın biyometrik verilere ilişkin rehberinde biyometrik veri; yüz görüntüleri gibi fiziksel, fizyolojik veya davranışsal özelliklerin, kişiyi benzersiz biçimde tanımlamaya veya kimliğini doğrulamaya imkân sağlayacak şekilde spesifik teknik işlemeden geçirilmesi sonucunda ortaya çıkan kişisel veriler olarak açıklanıyor. Bir verinin biyometrik veri niteliği kazanabilmesi için ayırt edici özelliklerin teknik işleme sonucunda ortaya çıkarılması ve bunların kişinin kimliğini tanımlamak veya doğrulamak amacıyla kullanılabilmesi gerekiyor.

Bu ayrım önemli. Telefonumuzdaki sıradan bir selfie ile bu görüntünün yüz tanıma amacıyla teknik olarak işlenmesi sonucunda elde edilen biyometrik özellikler aynı şey değildir. Bununla birlikte, bir yüz fotoğrafının böyle bir teknik işlem için kaynak veri olabileceği gerçeği de göz ardı edilmemelidir.

Üstelik biyometrik veriler, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında özel nitelikli kişisel veriler arasında yer alıyor. KVKK, bu veri kategorilerinin kişinin mağduriyetine veya ayrımcılığa uğramasına yol açabilecek nitelikte olması nedeniyle diğer kişisel verilere göre daha sıkı korunması gerektiğini özellikle vurguluyor.

Bu nedenle yüz görüntülerine ilişkin tartışmayı “Her fotoğraf biyometrik veridir” şeklinde kurmak yerine, daha doğru bir soruyla ilerlemek gerekiyor: Paylaştığımız yüz görüntüsü hangi teknik işlemlere tabi tutuluyor ve hangi amaçlarla kullanılabiliyor?

Asıl risk verinin bugün ne yaptığı kadar yarın ne yapılabileceğiyle de ilgili

Kişisel veriler açısından risk yalnızca bir verinin çalınması değildir. Toplanan verinin hangi amaçlarla kullanıldığı, ne kadar süre tutulduğu ve kimlerin erişimine açık olduğu da önemlidir.

ABD Federal Ticaret Komisyonu (FTC), biyometrik teknolojilerin kullanımının yaygınlaşmasının mahremiyet ve veri güvenliği açısından yeni riskler oluşturduğuna dikkat çekiyor. FTC ayrıca büyük biyometrik veri tabanlarının kötü niyetli aktörler açısından cazip hedefler olabileceğini belirtiyor. Kurumun üzerinde durduğu sorunlardan biri de biyometrik bilgilerin kullanıcıların beklemediği biçimlerde toplanması veya kullanılması.

Bu durum yapay zekâ uygulamalarında veri paylaşırken “Şirket bunu bugün kötüye kullanıyor mu?” sorusunun tek başına yeterli olmadığını gösteriyor. Bir şirketin veri saklama süresi, üçüncü taraflarla paylaşım politikası, model geliştirme amacıyla kullanıcı içeriğini kullanıp kullanmadığı ve kullanıcıya sunduğu silme veya tercih mekanizmaları da değerlendirilmelidir.

Burada herhangi bir şirket veya uygulama hakkında kanıt olmadan olumsuz bir varsayımda bulunmak doğru değildir. Ancak aynı şekilde, yalnızca uygulamanın eğlenceli veya popüler olması da veri işleme koşullarını sorgulamamak için yeterli bir gerekçe değildir.

Peki bunun deepfake ile bağlantısı nedir?

Konunun deepfake boyutu, yüz görüntülerinin ileride kötüye kullanılma ihtimali açısından önem taşıyor.

KVKK’nın Nisan 2025’te yayımladığı Deepfake Bilgi Notu, deepfake teknolojisini insanların yüz, hareket ve seslerini gerçeğe uygun biçimde taklit etmek veya değiştirmek amacıyla fotoğraf, video ve seslerin yapay zekâ teknikleriyle kullanılması olarak açıklıyor. Kurum ayrıca görece az sayıda fotoğraf, video veya ses kaydıyla oldukça gerçekçi sentetik içerikler oluşturulabilmesinin mümkün olabildiğini belirtiyor.

Aynı bilgi notunda deepfake teknolojilerinin manipülasyon, finansal zarar, dolandırıcılık, siber zorbalık ve şantaj gibi amaçlarla kullanılabileceğine dikkat çekiliyor. Daha da önemlisi, KVKK deepfake içeriklerin oluşturulmasında kullanılan önemli kaynaklardan birinin sosyal medya ve benzeri platformlarda bulunan yüz ve ses içerikleri olduğunu belirterek kişilerin bu tür paylaşımlarda daha dikkatli olmasını öneriyor.

Dolayısıyla yapay zekâya fotoğraf yükleme meselesinin deepfake ile bağlantısını kurarken “Bu platform fotoğrafımızdan deepfake üretecek” gibi kanıtsız bir iddiada bulunmak yerine daha gerçekçi bir noktaya odaklanmak gerekiyor: Dijital ortamda bize ait ne kadar çok ve ne kadar nitelikli görüntü bulunursa, kimliğimizi taklit etmek isteyen kötü niyetli kişilerin kullanabileceği potansiyel materyal de artabilir.

Risk yalnızca sosyal medyada sahte video görmek değil

Deepfake teknolojilerinin güvenlik açısından önemli olduğu alanlardan biri de uzaktan kimlik doğrulama sistemleri.

Avrupa Birliği Siber Güvenlik Ajansı ENISA’nın 2022 tarihli Remote Identity Proofing: Attacks & Countermeasures raporu, yüz tanıma tabanlı uzaktan kimlik doğrulama sistemlerini yanıltmaya yönelik saldırıları inceliyor. Raporda fotoğraf saldırısı, kullanıcı videosunun yeniden oynatılması, üç boyutlu maske ve deepfake saldırısı ayrı saldırı türleri olarak sınıflandırılıyor.

Bu konu özellikle bankacılık, elektronik hizmetlere erişim, çevrim içi hesap açma ve benzeri kimlik doğrulamanın önemli olduğu alanlar açısından dikkat çekici. Deepfake burada yalnızca bir kişinin komik veya yanıltıcı videosunun oluşturulması anlamına gelmiyor; kötü niyetli kullanımda başka bir kişinin kimliğine bürünmeye yönelik saldırıların da bir parçası hâline gelebiliyor.

Bu nedenle kimlik doğrulama sistemleri de yalnızca yüzün görüntüsüne bakmak yerine canlılık kontrolü ve farklı güvenlik mekanizmaları kullanarak fotoğraf, önceden kaydedilmiş video veya sentetik görüntülerle yapılabilecek saldırıları zorlaştırmaya çalışıyor. ENISA’nın çalışması da bu saldırı türlerine karşı farklı teknik karşı önlemleri değerlendiriyor.

Fotoğrafların kötüye kullanılması artık yalnızca varsayımsal bir senaryo değil

Bu ihtimallerin gerçek dünyadaki karşılığını gösteren güncel örneklerden biri FBI’ın Internet Crime Complaint Center biriminin 5 Aralık 2025 tarihli uyarısıdır.

IC3, suçluların sosyal medyada veya halka açık diğer internet sitelerinde buldukları gerçek kişilere ait fotoğrafları değiştirerek “sanal kaçırma” dolandırıcılıklarında sahte yaşam kanıtları oluşturduklarını bildirdi. Dolandırıcılar, hedef kişiye bir yakınının kaçırıldığı izlenimini vermek amacıyla üzerinde oynanmış fotoğraf veya videolar göndererek fidye talep edebiliyor.

Buradaki önemli nokta, kötüye kullanılan görüntünün gizli bir veri tabanından çalınmasının gerekmemesi. İnternette açık biçimde bulunan fotoğraflar da kötü niyetli kullanım için kaynak oluşturabiliyor.

Bu örnek bize sosyal medyada yıllardır oluşturduğumuz görsel ayak izini de yeniden düşünmemiz gerektiğini gösteriyor. Yapay zekâ akımları bu sorunu tek başına yaratmıyor; ancak farklı hizmetlere sürekli yeni, net ve kaliteli yüz görüntüleri vermeye alışmamız, konuya kişisel veri güvenliği açısından bakmayı daha önemli hâle getiriyor.

Çocukların fotoğraflarında neden daha dikkatli olmak gerekiyor?

Bu konu çocuklar söz konusu olduğunda ayrı bir önem taşıyor. KVKK’nın Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, çevrim içi ortamlarda paylaşılan çocuklara ait kişisel fotoğraf ve videoların kötü niyetli kişilerce izinsiz kullanılarak deepfake içeriklere dönüştürülebileceğine açıkça dikkat çekiyor. Kurum, ebeveynlere sosyal medya gizlilik ayarlarını etkin biçimde düzenlemelerini ve çocukların çevrim içi paylaşımları konusunda bilinçli davranmalarını öneriyor.

Çünkü burada karar veren yetişkin olsa da oluşturulan dijital ayak izi çocuğa ait. Bugün eğlenceli görünen bir paylaşımın yıllar sonra hangi teknolojilerle işlenebileceğini öngörmek her zaman mümkün olmayabilir.

Yapay zekâ araçlarını kullanırken neye dikkat edebiliriz?

Bu tartışmanın sonucu “Yapay zekâya fotoğraf yüklemeyin” olmamalı. Böyle bir yaklaşım hem gerçekçi değil hem de teknolojinin sunduğu yaratıcı imkânları göz ardı eder. Daha doğru yaklaşım, paylaşım yapmadan önce birkaç temel soruyu alışkanlık hâline getirmektir: Uygulama fotoğrafı hangi amaçla kullanıyor? Veriyi ne kadar süre saklıyor? Kullanıcı içerikleri sistem veya model geliştirmek amacıyla kullanılabiliyor mu? Üçüncü taraflarla paylaşım söz konusu mu? Kullanıcı verisini veya hesabını silme imkânı var mı? Gizlilik ayarları hangi seçenekleri sunuyor?

KVKK da kullanıcıların yapay zekâ sistemleriyle paylaşacakları bilgilerin niteliğini değerlendirmelerini, gereksiz kişisel veri paylaşmaktan kaçınmalarını, uygulamaların aydınlatma ve gizlilik metinlerini incelemelerini ve mümkün olduğunda veri paylaşımını sınırlayıcı tercihleri kullanmalarını öneriyor.

Bu noktada temel yaklaşım teknolojiye karşı mesafeli olmak değil, teknoloji kullanırken veri farkındalığını da aynı ölçüde geliştirmek olmalıdır.

Asıl mesele 80’ler akımı değil

80’ler akımı muhtemelen bir süre sonra yerini başka bir yapay zekâ trendine bırakacak. Kendimizi farklı dönemlerde, farklı yaşlarda veya farklı karakterler olarak gösteren yeni uygulamalar ortaya çıkacak. Teknoloji geliştikçe bu dönüşümlerin daha gerçekçi ve daha kolay hâle gelmesi de kaçınılmaz görünüyor.

Bu nedenle asıl mesele belirli bir akıma katılıp katılmamak değil. Daha kalıcı olan soru şu: Bir dijital hizmetten faydalanmak için hangi kişisel verimizi veriyoruz ve bu veri daha sonra nasıl işleniyor?

Üretken yapay zekâ araçları hayatımızda giderek daha fazla yer alırken, kişisel verilerin korunması da yalnızca hukukçuların veya siber güvenlik uzmanlarının konusu olmaktan çıkıyor. Fotoğrafımızı yüklerken, ses kaydı paylaşırken veya bir yapay zekâ sistemine kişisel bilgi verirken verinin değerini bilmek artık günlük dijital okuryazarlığın bir parçası.

80’ler fotoğrafları bu açıdan küçük ama dikkat çekici bir hatırlatma sunuyor: Ortaya çıkan yapay zekâ görselinin ne kadar başarılı olduğuna bakarken, o görseli üretmek için verdiğimiz verinin ne olduğuna da bakmak gerekiyor.

Kaynakça

Kişisel Verileri Koruma Kurumu. (2025, Kasım). Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda). KVKK Üretken Yapay Zekâ Rehberi

Kişisel Verileri Koruma Kurumu. (2025, Nisan). Deepfake Bilgi Notu. KVKK Deepfake Bilgi Notu

Kişisel Verileri Koruma Kurumu. (t.y.). Biyometrik Verilerin İşlenmesinde Dikkat Edilmesi Gereken Hususlara İlişkin Rehber. KVKK Biyometrik Veriler Rehberi

Kişisel Verileri Koruma Kurumu. (t.y.). Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber. KVKK Özel Nitelikli Kişisel Veriler Rehberi

European Union Agency for Cybersecurity. (2022). Remote Identity Proofing: Attacks & Countermeasures. DOI: 10.2824/183066. ENISA raporu

Federal Trade Commission. (2023, May 18). FTC Warns About Misuses of Biometric Information and Harm to Consumers. FTC kaynağı

Federal Bureau of Investigation, Internet Crime Complaint Center. (2025, December 5). Criminals Using Altered Proof-of-Life Media to Extort Victims in Virtual Kidnapping for Ransom Scams. Alert No. I-120525-PSA. FBI/IC3 resmî uyarısı