Yazılım Sözleşmesi Kontrol Listesi: AI Tedarikçisiyle 8 Madde

Bir yapay zeka sözleşmesindeki en pahalı madde, sözleşmede olmayan maddedir. Bunu söylememizin nedeni basit: sahada incelediğimiz tedarikçi sözleşmelerinin çoğu klasik yazılım sözleşmesi şablonundan türetilmiş ve yapay zekaya özgü üç riski, veri eğitimi, halüsinasyon ve alt sağlayıcı zincirini, hiç anmıyor. Sözleşme imzalanıyor, sistem devreye giriyor ve ilk sorun çıktığında herkes aynı sayfayı arıyor: yok.

Bu yazı, bir yazılım sözleşmesi kontrol listesinin yapay zeka için genişletilmiş hali. Sekiz madde var; her biri için neden gerektiğini, sözleşmede nasıl bir ifadeyle yer alması gerektiğini ve Türkiye'de hangi mevzuata dokunduğunu yazdık. Chatbot, belge asistanı, otomasyon ya da bir yapay zeka aracının kurumsal aboneliği; hepsinde aynı sekiz madde geçerli. Yapay zeka yatırımının bütününe dair karar çerçevesi için işletmeler için yapay zeka rehberi var; burada yalnızca imza öncesi kısma bakıyoruz.

Baştan söyleyelim: bu yazı hukuki tavsiye değildir. Sözleşmeyi imzalamadan önce bir avukata gösterin; bu liste, avukata hangi soruları götüreceğinizi netleştirmek için.

Yazılım sözleşmesi kontrol listesi yapay zekada neden farklı?

Klasik yazılım sözleşmesi, davranışı belirli bir ürünü kapsar: kod ne yazıyorsa onu yapar. Yapay zeka sistemi ise olasılıksal çalışır, veriden öğrenebilir ve genellikle üçüncü bir sağlayıcının modelini arka planda kullanır. Bu üç özellik, klasik sözleşmenin sessiz kaldığı üç risk alanı doğurur: verinizin nereye gittiği, çıktının ne kadar doğru olduğu ve zincirdeki kimin neyden sorumlu olduğu.

Türkiye'de bunun bir de mevzuat katmanı var. Tedarikçiniz yerli bir firma olsa bile arkada OpenAI, Anthropic ya da Google API'si kullanıyorsa müşteri verisi yurt dışına aktarılıyor demektir ve KVKK'nın Mart 2024'te değişen 9. maddesi devreye girer. Ayrıca özel geliştirme sözleşmeleri Türk Borçlar Kanunu'nda genellikle eser sözleşmesi olarak değerlendirilir; bu da kabul testi ve ayıp bildirimi gibi sürelerin sözleşmede yazılı olmasını gerektirir. Aşağıdaki sekiz madde bu iki katmanı birlikte kapatıyor.

Madde 1-4: Veriniz nereye gidiyor, kime kalıyor?

İlk dört madde verinin yolculuğunu izler: eğitimde kullanılıp kullanılmayacağı, nerede ve ne kadar süre tutulacağı, çıktıların ve kodun kime ait olacağı, zincirdeki alt sağlayıcıların kimler olduğu. Bu dördü sözleşmede yoksa geri kalan dördünün anlamı kalmaz; çünkü koruduğunuz şeyin sınırlarını çizmemişsiniz demektir.

1. Veriniz model eğitiminde kullanılmayacak

Sağlayıcılar eğitim hakkını artık açıkça fiyatlandırıyor: daha ucuz plan karşılığında verinizden öğrenme hakkı istiyorlar. Yazım tarihi itibarıyla OpenAI, Anthropic, Microsoft Azure ve Google'ın API ve kurumsal planları müşteri verisiyle model eğitmiyor; ancak bireysel tüketici planlarında durum farklı. Bir ajansın sizin verinizi bireysel bir ChatGPT ya da Claude hesabıyla işlemesi, politikayı tamamen değiştirir. Sözleşmeye şu iki cümle girmeli: "Tedarikçi ve alt işleyicileri, müşteri girdi ve çıktılarını hiçbir modeli eğitmek, ince ayar yapmak ya da iyileştirmek için kullanmaz" ve "Tedarikçi yalnızca API ya da kurumsal planlar üzerinden hizmet verir."

2. Saklama süresi, lokasyon ve silme teyidi

Büyük sağlayıcılar kötüye kullanım tespiti için girdileri belirli süre saklıyor; yaygın uygulama 30 gün. Ağustos 2026'da hem OpenAI hem Anthropic kurumsal müşteriler için sıfır saklama ve kendi bulutunda tutma seçenekleri duyurdu; bu seçenekler "uygun müşteriler" için ve küçük bir Türk şirketinin doğrudan erişmesi zor, ama tedarikçinizin hangi planda olduğunu sorabilirsiniz. Sözleşme ifadesi: "Müşteri verisi yalnızca [bölge] sunucularında işlenir; işleme kayıtları en fazla 30 gün tutulur; sözleşme bitiminde 30 gün içinde yedekler dahil silinir ve yazılı teyit verilir."

3. Çıktıların ve kodun fikri mülkiyeti

"Parasını ödedik, kod bizim" cümlesi Türk hukukunda kendiliğinden doğru değil. Fikir ve Sanat Eserleri Kanunu'nda mali hak devri yazılı olmalı ve devredilen haklar tek tek sayılmalı; sözleşmede devir yoksa hak tedarikçide kalır, siz sadece kullanım lisansı almış olursunuz. Özel geliştirmede sözleşme, hangi deponun, hangi sürümün, hangi bağımlılıklarla teslim edileceğini ve işleme, çoğaltma, yayma, umuma iletim haklarının süresiz devredildiğini yazmalı. Tedarikçinin önceden var olan kütüphaneleri ayrı listelenir ve bunlar için süresiz kullanım lisansı alınır. Yapay zeka çıktılarında ise dikkat: sözleşme "tedarikçi çıktılar üzerinde hak iddia etmez" diyebilir ama çıktının telif korumasından yararlanıp yararlanmadığı dünyada da Türkiye'de de netleşmiş değil.

4. Alt işleyiciler listelenir ve değişiklik bildirilir

Sizin sözleşmeniz yerli tedarikçiyle; ama veri fiilen model sağlayıcısına, bulut sunucusuna ve vektör veritabanına gidiyor. KVKK'da bu zincir veri sorumlusu (siz), veri işleyen (tedarikçi) ve alt işleyen (model sağlayıcı) olarak belgelenmeli. Sözleşme ifadesi: "Tedarikçi tüm alt işleyicileri ve işleme lokasyonlarını ekte listeler; yeni alt işleyici eklemeden 30 gün önce bildirir; müşterinin makul itiraz hakkı vardır; tedarikçi alt işleyicilerin eylemlerinden sorumludur."

Madde 5-8: Sistem bozulursa, ilişki biterse ne olur?

Son dört madde, işlerin ters gittiği günü düzenler: sistemin yanlış cevap vermesi, zararın kimde kalacağı, tedarikçiyle yolların ayrılması ve faturanın beklenmedik biçimde büyümesi. Bu maddelerin ortak özelliği, imza günü kimsenin konuşmak istememesi ve ilk sorun günü herkesin aradığı sayfa olması.

5. Doğruluk ölçütü içeren SLA

Yüzde 99,5 erişilebilirlik taahhüdü, çalışan ama yanlış cevap veren bir chatbot'u kapsamaz. Yapay zekaya özgü SLA, sizin hazırladığınız bir test setinde ölçülen doğruluk oranını tanımlar. Örnek ifade: "Sistem, ekteki 200 soruluk test setinde en az yüzde 90 doğru yanıt oranını korur; ölçüm aylıktır. Eşik iki ardışık dönemde tutturulamazsa tedarikçi 15 gün içinde düzeltir; düzeltemezse o ayın ücretinin yüzde 20'si hizmet kredisi olarak iade edilir ve üç dönem sonunda tazminatsız fesih hakkı doğar. Model sürümü değişikliği en az 30 gün önce bildirilir." Rakamlar örnektir, sektöre göre değişir; değişmeyen kural şu: test setini siz hazırlarsınız, tedarikçi değil.

6. Sorumluluk sınırı ve istisnaları

Tedarikçiler sorumluluğu genellikle son 12 aylık ücretle sınırlar ve "çıktı hatalı olabilir" diyen geniş bir sorumluluk reddi ekler. 12 aylık ücret, bir KVKK idari para cezasını ya da üçüncü taraf telif iddiasını karşılamaz. İstenmesi gereken: gizlilik ihlali, veri güvenliği ihlali, KVKK kaynaklı cezalar ve fikri mülkiyet iddiaları için ya sınırsız ya da ücretin üç katı gibi ayrı bir üst sınır. Kasıt ve ağır ihmal için sorumsuzluk kaydı Türk Borçlar Kanunu'nda zaten geçersiz; ama bunu sözleşmeye yazmak, tartışmayı baştan kapatır. Halüsinasyon artık sözleşmelerde adıyla geçiyor: tedarikçi insan kontrolü şartı koyacaktır, siz de hangi çıktıların insan onayından geçeceğini yazın.

7. Çıkış planı ve veri taşınabilirliği

Sözleşme bittiğinde konuşma geçmişi, bilgi tabanı belgeleri, embedding'ler, prompt şablonları ve varsa ince ayar verisi size açık formatta teslim edilmeli. Örnek ifade: "Sona erme halinde tedarikçi tüm müşteri verisini JSON veya CSV formatında, ek ücret olmaksızın 30 gün içinde teslim eder; 90 güne kadar geçiş desteği sağlar; bir modeli ya da özelliği kullanımdan kaldıracaksa en az altı ay önce bildirir." Özel geliştirmede kaynak kod bir adım daha ister: kodun bağımsız bir yerde tutulması ve tedarikçinin iflası ya da hizmeti bırakması halinde size geçmesi. Türkiye'de kurumsal escrow piyasası sınırlı; pratikte git deposuna ortak erişim ya da noter tespiti kullanılıyor.

8. Kullanım bazlı fiyatta üst sınır ve kur maddesi

Yapay zeka hizmetlerinin çoğu token, mesaj ya da çağrı başına ücretlendirilir ve arka plandaki model maliyeti dolar bazlıdır. Sözleşmede kullanım biriminin tanımı, aylık tahmin, aşım fiyatı ve sizin belirleyeceğiniz bir üst sınır olmalı; sınıra ulaşınca hizmet kesilmemeli, bildirim yapılıp onay alınmalı. Fiyat artışı yılda bir, üst sınırlı ve 60 gün önceden bildirimle; artışta fesih hakkı. Kur farkının kime ait olduğu ayrıca yazılmalı. Tedarikçi daha ucuz bir modele geçerse 5. maddedeki doğruluk ölçütü aynen korunur; aksi halde tasarruf tedarikçiye, kalite kaybı size kalır. Hangi tedarik modelinin uzun vadede ucuz olduğunu üç yıllık maliyet karşılaştırması yazısında hesaplamıştık; sözleşmedeki fiyat maddesi o hesabın hukuki karşılığı.

KVKK yurt dışı aktarım: 5 iş günü kuralı

Tedarikçiniz arkada yabancı bir model sağlayıcı kullanıyorsa ve chatbot müşteri adı, telefonu ya da sipariş bilgisi işliyorsa bu, yurt dışına kişisel veri aktarımıdır. KVKK'nın Temmuz 2024'te yayımladığı standart sözleşme metinlerinden uygun olanı imzalanmalı ve imzadan itibaren 5 iş günü içinde Kurum'un çevrimiçi bildirim modülünden bildirilmelidir. Henüz yeterlilik kararı verilmiş ülke bulunmadığından, bağımsız şirketler arası aktarımda standart sözleşme fiilen tek pratik yol.

Bildirim yükümlülüğünün ihlali için 2026 yılı idari para cezası aralığı danışmanlık kaynaklarında yaklaşık 90 bin ile 1,8 milyon lira arasında veriliyor; kesin rakamı Kurum'un kendi sayfasından teyit edin. Tedarikçiye sorulacak üç soru: hangi standart sözleşme modülü imzalandı, bildirim yapıldı mı, bildirim numarası ne? Alternatif yollar da var: kişisel veriyi maskeleyip göndermek ya da yerli veya kendi sunucunuzda çalışan bir model kullanmak. Kurumun üretken yapay zeka rehberinin şirketler için ne anlama geldiğini KVKK rehberinin 10 somut kuralı yazısında ayrıntılı işlemiştik.

Somut senaryo: Bir e-ticaret firmasının sözleşme müzakeresi

Ankara'da 25 kişilik bir e-ticaret firması, müşteri hizmetleri için yerli bir tedarikçiden chatbot aldı. İlk sözleşme taslağı dört sayfaydı: fiyat, süre, gizlilik, yetkili mahkeme. Yapay zekaya dair tek cümle "sistem yapay zeka teknolojisi kullanır" idi. Firma, bu listeyi taslağa uygulayınca sekiz maddenin yedisi eksik çıktı; yalnızca gizlilik maddesi kısmen vardı.

Müzakere üç turda bitti. İlk turda tedarikçi, arka planda hangi model sağlayıcısını kullandığını açıkladı ve API planı olduğunu belgeledi; eğitim yasağı ile alt işleyici listesi eklendi. İkinci turda firma 150 soruluk bir test seti hazırladı, ilk ölçümde doğruluk yüzde 86 çıktı; SLA eşiği yüzde 85 olarak yazıldı, hizmet kredisi ve fesih hakkı eklendi. Üçüncü turda sorumluluk sınırı tartışıldı: tedarikçi 12 aylık ücreti savundu, sonunda KVKK cezaları ve veri ihlali için ücretin üç katı ayrı bir sınırda anlaşıldı.

KVKK tarafında firma, müşteri telefon numaralarının chatbot'a hiç girmemesi için maskeleme istedi; tedarikçi bunu bir haftada uyguladı ve standart sözleşme ihtiyacı büyük ölçüde ortadan kalktı. Aylık ücret değişmedi; sözleşme dört sayfadan on bir sayfaya çıktı. Sekiz ay sonra tedarikçi daha ucuz bir modele geçmek istedi; 5. madde sayesinde önce test setinde ölçüm yapıldı, yeni model yüzde 83'te kaldı ve geçiş, model iyileştirilene kadar ertelendi. O madde olmasaydı firma bunu müşteri şikayetlerinden öğrenecekti.

Sık sorulan sorular

Tedarikçi "biz eğitmiyoruz" diyor; yeterli mi?

Değil. Tedarikçinin arkasındaki model sağlayıcı da eğitmemeli ve bu, planla belirlenir: API ve kurumsal planlarda varsayılan olarak eğitim yok, bireysel planlarda olabilir. "Yalnızca API veya kurumsal plan" ifadesini sözleşmeye yazdırın.

SaaS aboneliğinde veri zaten bizde kalmıyor mu?

Hayır. SaaS'ta veri tedarikçinin ve alt işleyicilerinin sunucusundadır. Saklama süresi, lokasyon, silme ve dışa aktarım yazılı değilse kontrol sizde değildir.

Kabul testi neden sözleşmede olmalı?

Özel geliştirme genellikle eser sözleşmesi sayıldığından, teslimden sonra makul sürede muayene ve ayıp bildirimi yapılmazsa yazılım kabul edilmiş sayılabilir. Kabul testinin süresi ve kriterleri yazılı olmalı; test setiniz burada da işe yarar.

Sorumluluk sınırında pazarlık gerçekten mümkün mü?

Evet ve yaygın. Genel sınır olarak 12 aylık ücret makul; veri ihlali, KVKK cezası ve fikri mülkiyet için istisna istemek standart bir talep. Tedarikçi bunu ilk turda reddeder, üçüncü turda genelde kabul eder.

Yerli tedarikçiyle Türk hukuku geçerli; arkadaki sağlayıcının şartları ne olacak?

Model sağlayıcının kendi kullanım şartları zincirde geçerli kalır ve genellikle ABD ya da İrlanda hukukuna tabidir. Tedarikçinin bu şartları size yansıtıp yansıtmadığını ve alt işleyicilerin eylemlerinden sorumluluk üstlenip üstlenmediğini sorun.

Peki siz ne yapmalısınız?

• Taslağı sekiz maddeyle tarayın: Her madde için "var, kısmen var, yok" işaretleyin. Yedi "yok" çıkması normal; sözleşme buradan başlar.
• Test setini imzadan önce hazırlayın: 100-200 gerçek soru ve doğru cevap. SLA da kabul testi de bu sete dayanır.
• Zinciri belgeletin: Model sağlayıcı, bulut, veritabanı; hangi plan, hangi ülke. Eksik olan, standart sözleşme ve 5 iş günü bildirimi gerekliliğini gizler.
• Kişisel veriyi mümkünse hiç göndermeyin: Maskeleme, en ucuz KVKK önlemi; tedarikçiden bir haftalık iş.
• Avukata bu listeyle gidin: Sekiz madde, avukatın görüşmesini yarım güne indirir ve ücretini de.
• Sözleşmeden önce toplantıyı kazanın: Bu maddelerin çoğu, satıcıya sorulacak sorulardan doğar; yöneticiler için 10 dakikalık toplantı hazırlığı o soruları sıralıyor.

Sözleşme, ilişkinin iyi gittiği günler için yazılmaz. İlk yanlış cevap, ilk model değişikliği ve ilk fiyat artışı geldiğinde sizi koruyan sayfa, bugün eklediğiniz sayfadır. Elinizde bir taslak varsa ve sekiz maddenin hangisi eksik diye bakmak isterseniz, taslağın yapay zekaya dair bölümlerini bize gönderin; sorularınızı avukata götürmeden önce netleştirelim.