Bir hukuk bürosunda belge maskeleme, yalnızca ihtiyaç doğduğunda hatırlanan teknik bir işlem olmamalıdır. Dava dosyası, sözleşme, bilirkişi raporu, yazışma veya UYAP belgesi büro dışındaki bir sisteme aktarılmadan önce uygulanan standart ve denetlenebilir bir iş akışı adımı hâline gelmelidir.
Çünkü asıl risk, avukatın yapay zekâdan veya başka bir dijital araçtan yararlanması değildir. Risk; müvekkil bilgisinin, meslek sırrının, özel nitelikli kişisel verinin ya da dosya stratejisinin hangi sisteme, hangi amaçla ve hangi güvencelerle aktarıldığı bilinmeden paylaşılmasıdır.
Türkiye Barolar Birliğinin 28 Ağustos 2026'da yayımladığı Avukatlar İçin Yapay Zekâ Kullanımı Tavsiye Rehberi, bu konuyu kişisel teknoloji tercihinin ötesine taşıyor. Rehber; meslek sırrının korunması, kişisel veri güvenliği, insan denetimi, hukuki doğrulama ve avukatın nihai sorumluluğunu birlikte ele alıyor. Kontrollü kullanım bakımından veri maskelemesini asgari güvenceler arasında sayarken, hukuk bürolarına ölçeklerine uygun yazılı bir yapay zekâ kullanım politikası oluşturmalarını da tavsiye ediyor. (TBB duyurusu, TBB rehberinin tam metni)
Bu yaklaşımın büro pratiğindeki karşılığı açıktır: Önce maskele, sonra paylaş.
Sorun yapay zekâ değil, kontrolsüz veri girişi
Hukuk hizmeti, doğası gereği yoğun ve hassas veri içerir. Bir dosyada yalnızca ad, soyad ve T.C. kimlik numarası bulunmaz. Sağlık bilgileri, banka hesapları, ceza mahkûmiyeti verileri, tanık anlatımları, ticari sırlar, imzalar, adresler, iletişim bilgileri ve henüz açıklanmamış dava stratejileri aynı belgenin içinde yan yana yer alabilir.
Üstelik kişiyi belirlenebilir kılan unsur her zaman açık bir kimlik bilgisi değildir. TBB rehberinin de dikkat çektiği üzere olay tarihi, yer, tutar, şirket veya unvan, dosya türü ve kişiye özgü olgular bir araya geldiğinde kimlik dolaylı biçimde anlaşılabilir. Bu nedenle yalnızca isimleri silmek, her dosyada yeterli bir koruma sağlamaz.
Bugünkü sorun çoğu zaman şudur:
Bir avukat belgeyi yapay zekâ aracına yüklemeden önce isimleri elle kapatır.
Başka bir ekip üyesi aynı işlemi yalnızca e-posta ile dışarı gönderilecek dosyalarda yapar.
Stajyer veya idari personel hangi verilerin çıkarılması gerektiğini kendi değerlendirmesiyle belirler.
Belgenin metin katmanı temizlenirken taranmış sayfadaki imza, kaşe veya logo gözden kaçar.
Dosya numarası silinir; fakat olay örgüsü, tarih ve konum bilgileri kişiyi hâlâ belirlenebilir bırakır.
Bu tablo bir teknoloji sorunu değil, süreç standardı eksikliğidir. Kişiye bağlı dikkat değişkendir; yazılı süreç ise tekrarlanabilir, öğretilebilir ve denetlenebilir.
TBB rehberi neden büro düzeyinde bir standart gerektiriyor?
TBB rehberi, yapay zekâ kullanımını yasaklayan bir metin değildir. Rehberin odağı, teknolojiden mesleki yükümlülüklerle uyumlu biçimde yararlanmaktır. Bunun için de tek tek kullanıcıların iyi niyetine dayanan bir düzen yerine kurumsal kontrol önerir.
Rehbere göre kamuya açık veya sözleşmesel güvenceleri yetersiz sistemlere; kimliği açık müvekkil bilgileri, özel nitelikli kişisel veriler, dava ve icra dosyası içeriği, deliller, ticari sırlar ve stratejik müzakere bilgileri girilmemelidir. Bir yapay zekâ hizmeti kullanılacaksa verinin nerede işlendiği ve saklandığı, model eğitiminde kullanılıp kullanılmadığı, üçüncü kişilere veya yurt dışına aktarım ihtimali ile teknik ve sözleşmesel güvenceler ayrıca incelenmelidir.
Rehber ayrıca her hukuk bürosunun en az şu başlıkları düzenleyen yazılı bir politika oluşturmasını öneriyor:
Kullanımına izin verilen araçlar
Hiçbir koşulda aktarılamayacak veri ve belgeler
Yetki seviyeleri
İnsan denetimi ve hukuki doğrulama yöntemi
Kullanım kayıtları
Müvekkilin bilgilendirilmesi gereken durumlar
Olay ve ihlal bildirim süreci
Avukat, stajyer, çalışan ve dış hizmet sağlayıcıların sorumlulukları
Belge maskeleme, bu politikanın soyut ilkelerini günlük dosya akışına bağlayan somut kontrol noktasıdır. Başka bir ifadeyle maskeleme, "dikkatli olun" talimatını uygulanabilir bir işleme dönüştürür.
Meslek sırrı ve KVKK bakımından aynı dosyaya iki ayrı mercek
Belge maskeleme yalnızca KVKK başlığı altında değerlendirilmemelidir. Avukatlık mesleğinin sır saklama yükümlülüğü ile kişisel verilerin korunmasına ilişkin yükümlülükler kesişir; ancak birbirinin yerine geçmez.
1136 sayılı Avukatlık Kanunu'nun 36. maddesi, avukatların görevleri dolayısıyla öğrendikleri hususları açığa vurmalarını yasaklar. TBB Meslek Kuralları'nın 37. maddesi ise avukatı meslek sırrıyla bağlı tutar ve yanında çalışanların da bu kurala aykırı davranmasını engelleme sorumluluğunu hatırlatır. Bu koruma yalnızca doğrudan kimlik bilgilerine değil, görevin yürütülmesi sırasında öğrenilen sır niteliğindeki bilgilere yöneliktir.
KVKK tarafında ise işleme faaliyetinin hukuki sebebi, belirli ve meşru amaç, amaçla bağlantılılık, sınırlılık, ölçülülük ve muhafaza süresi gibi ilkeler değerlendirilir. 6698 sayılı Kanun'un 12. maddesi, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önleme, verilerin muhafazasını sağlama amacıyla gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir. KVKK'nın Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi de yapay zekâ sistemlerine girilen içeriklerin kişisel veri işleme faaliyeti doğurabileceğini; tasarımdan itibaren mahremiyet, varsayılan olarak mahremiyet, çalışan eğitimi, kayıt ve risk temelli tedbirlerin önemini vurgular.
Sonuç olarak maskeleme önemli bir teknik ve organizasyonel tedbirdir; fakat tek başına aktarımın hukuki dayanağını oluşturmaz ve KVKK uyumluluğunu garanti etmez. Belgenin hangi alıcıya, hangi amaçla, hangi hukuki sebebe dayanarak ve hangi koşullarla gönderileceği ayrıca değerlendirilmelidir.
Maskeleme ile anonimleştirme aynı şey değildir
Hukuki metinlerde bu iki kavramın birbirinin yerine kullanılması ciddi bir kavram karışıklığı yaratır.
KVKK bakımından anonim hâle getirme, kişisel verinin başka verilerle eşleştirilse dahi belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilememesini ifade eder. Kurumun açıklamasına göre işlem, veri sorumlusu veya alıcı grupları tarafından geri döndürülememeli ve kişiyle yeniden ilişki kurulmasına imkân vermemelidir. (KVKK'nın anonimleştirme açıklaması)
Bir hukuk bürosu belgede "Ayşe Yılmaz" yerine "DAVACI_1" yazıyor ve bu karşılığın anahtarını saklıyorsa veri geri döndürülebilir durumdadır. Bu işlem, kural olarak geri döndürülemez anonimleştirme değil; maskeleme ve takma ad kullanma niteliğindedir. Risk azalır, fakat veri kişisel veri olma niteliğini kendiliğinden kaybetmez.
Bu ayrım, büro politikasının doğruluğu açısından önemlidir. "Belge anonimleştirildi, artık serbestçe paylaşılabilir" varsayımı yerine şu soru sorulmalıdır: "Belgedeki belirlenebilirlik ne ölçüde azaltıldı ve kalan verinin bu alıcıya aktarılması ayrıca uygun mu?"
Hukuk bürosu için yedi adımlı belge maskeleme standardı
Etkili bir standart, hem kısa hem de zorunlu olmalıdır. Aşağıdaki akış; yapay zekâ aracına giriş, dış hizmet sağlayıcısına aktarım, akademik çalışma, eğitim materyali, ekip dışı danışma veya kamuya açık paylaşım öncesinde büro ihtiyacına göre uygulanabilir.
1. Amaç ve alıcı belirlenir
Belge neden paylaşılacak? Tam dosyaya gerçekten ihtiyaç var mı? Yalnızca ilgili paragraf veya olay özeti yeterli olabilir mi? Kullanılacak aracın veri saklama, model eğitimi, alt işleyen ve yurt dışı aktarım koşulları biliniyor mu?
Maskeleme kararı, belgenin varış noktası görülmeden verilmemelidir. Çünkü aynı belge, büro içi kapalı bir sistem ile kamuya açık bir yapay zekâ aracı bakımından aynı risk düzeyinde değildir.
2. Veri ve sır sınıflandırması yapılır
Belgede doğrudan ve dolaylı tanımlayıcılar birlikte aranır. Ad-soyad, kimlik numarası, adres, telefon ve e-posta kadar; dosya numarası, tarih, konum, sağlık ve finans bilgileri, ceza mahkûmiyeti verileri, tanık bilgileri, imza, kaşe, logo, ticari sır ve dava stratejisi de değerlendirilir.
3. Belge cihaz üzerinde taranır ve maskelenir
Mümkün olan iş akışında, ham belgenin gereksiz bir sunucu aktarımına uğramadan kullanıcının cihazında işlenmesi veri hareketini azaltır. Metin katmanı bulunmayan taranmış belgelerde OCR; görünür imza, kaşe ve benzeri unsurlarda görsel kontrol gerekir.
4. İnsan kontrolü yapılır
Otomatik tespit, son karar değildir. Bağlamdan tanımlanabilecek bilgiler, hatalı eşleşmeler ve atlanan görsel unsurlar hukukçu tarafından gözden geçirilmelidir. Yüksek riskli veya kamuya açık paylaşılacak belgelerde ikinci göz kontrolü uygulanmalıdır.
5. Çıktı ile eşleştirme anahtarı ayrılır
Maskeleme eşleştirmesi saklanacaksa dosyadan ayrı, erişimi sınırlandırılmış ve belirli bir saklama süresine bağlı tutulmalıdır. Anahtarın gereksiz yere alıcıya gönderilmesi maskelemenin amacını ortadan kaldırır.
6. Aktarım kararı yeniden verilir
Maskeleme tamamlandığında süreç bitmez. Kalan içeriğin meslek sırrı, dolaylı belirlenebilirlik, veri minimizasyonu, hukuki sebep, aydınlatma ve gerekiyorsa yurt dışı aktarım kuralları bakımından uygunluğu ayrıca kontrol edilir. Bir başka hizmete gönderilen maskelenmiş metin, ayrı bir veri işleme ve aktarım değerlendirmesidir.
7. İşlem kayda alınır ve politika düzenli gözden geçirilir
Kimin, hangi araçla, hangi amaçla ve hangi kontrol seviyesinde işlem yaptığı büro ölçeğine uygun biçimde izlenebilir olmalıdır. Araçlar, hizmet koşulları ve riskler değiştikçe izin listesi ile maskeleme kontrol listesi güncellenmelidir. Stajyerler ve çalışanlar açık talimat ve denetim olmadan müvekkil verisini yapay zekâ araçlarına girmemelidir.
Maskele bu standardın neresinde duruyor?
Maskele; hukuk belgelerindeki kişisel verileri ve belirlenebilir unsurları paylaşım öncesinde gözden geçirmek için geliştirilmiş bir belge maskeleme aracıdır. İşlem kullanıcının tarayıcısında gerçekleşir; belge Maskele sunucusuna gönderilmez.
Maskele'nin büro iş akışına sağladığı temel katkılar şunlardır:
PDF, DOC/DOCX, UYAP UDF, TIFF, PNG, JPG, ekran görüntüsü ve düz metin üzerinde çalışır.
Metin katmanı bulunmayan belgelerde OCR kullanabilir.
20'den fazla veri kategorisini tespit etmeye yardımcı olur.
Aynı veriyi belge boyunca aynı etiketle değiştirir; Türkçe ekleri korur.
İmza, kaşe ve logo gibi görsel unsurlar için derin tarama ve elle düzeltme imkânı sunar.
Maskelenmiş çıktıyı PDF olarak üretir.
Eşleştirme anahtarını CSV olarak kullanıcının kontrolünde tutar ve gerektiğinde tarayıcı içinde deşifre etmeye imkân verir.
Bu yaklaşım, ham belgenin maskeleme amacıyla ayrı bir sunucuya yüklenmesini önler ve standardın teknik uygulamasını hızlandırır. Ancak Maskele bir karar verici değil, yardımcıdır. Otomatik tespit sonucu hukukçu kontrolünün yerini tutmaz; belgenin paylaşılmasına ilişkin hukuki değerlendirme ve son kontrol kullanıcıda kalır.
Örnek büro prosedürü
Aşağıdaki kısa hüküm, daha kapsamlı bir yapay zekâ ve veri paylaşım politikasının başlangıç maddesi olarak uyarlanabilir:
Paylaşım öncesi maskeleme kuralı: Müvekkile, karşı tarafa, tanığa veya dosyayla bağlantılı diğer kişilere ait bilgi içeren belgeler; onaylı kurum dışı dijital hizmetlere, yapay zekâ araçlarına, eğitim ve sunum ortamlarına ya da kamuya açık kanallara aktarılmadan önce amaçla sınırlılık bakımından incelenir ve gerekli görülen tüm doğrudan ve dolaylı tanımlayıcılar maskelenir. Maskeleme sonucu yetkili kişi tarafından kontrol edilir. Eşleştirme anahtarı çıktıdan ayrı tutulur. Maskeleme, aktarımın hukuki dayanağına ve alıcının güvenilirliğine ilişkin ayrıca yapılması gereken değerlendirmeyi ortadan kaldırmaz.
Bu hüküm tek başına yeterli değildir. Büronun kullandığı araçların listesi, yetki matrisi, kayıt ve saklama süreleri, yüksek riskli veri kategorileri, ikinci göz gerektiren işler ve olay bildirim yöntemi de yazılı hâle getirilmelidir.
Belge maskeleme neden verimlilik standardıdır?
Koruma tedbirleri çoğu zaman yalnızca risk azaltma başlığı altında ele alınır. Oysa standart maskeleme, operasyonel kaliteyi de artırır.
Her çalışan aynı kontrol listesini kullandığında dosyalar arasında uygulama birliği oluşur. Yeni ekip üyelerinin eğitimi kolaylaşır. Yapay zekâdan yararlanılabilecek ve yararlanılamayacak işler daha hızlı ayrılır. Son anda yapılan gelişigüzel karartmaların ve aynı belgenin tekrar tekrar hazırlanmasının önüne geçilir. Büro, teknoloji kullanımını yasaklamak ile kontrolsüz bırakmak arasında sıkışmaz; sınırları tanımlı bir çalışma düzeni kurar.
Kurumsal güven, "Bizde hiç hata olmaz" iddiasıyla değil; hata ihtimalini kabul eden, sorumluluğu belirleyen ve her seferinde çalışan bir süreçle inşa edilir.
Sık sorulan sorular
Her belge için maskeleme hukuken zorunlu mudur?
Her belge ve her aktarım için geçerli, tek başına "maskeleme zorunluluğu" şeklinde ifade edilebilecek genel bir kural yoktur. Yükümlülük; belgenin içeriğine, amaca, hukuki sebebe, alıcıya, kullanılan sisteme ve mevcut güvencelere göre değerlendirilir. Bununla birlikte TBB rehberi, sınırlı ve kontrollü yapay zekâ kullanımında veri maskelemesini asgari güvenceler arasında sayar. Hukuk büroları bakımından paylaşım öncesi maskelemeyi varsayılan kontrol adımı yapmak güçlü ve uygulanabilir bir kurumsal tedbirdir.
Belgeyi maskelemek KVKK uyumluluğunu sağlar mı?
Hayır. Maskeleme riski ve paylaşılan veri miktarını azaltabilir; ancak işleme şartı, amaç, aydınlatma, saklama, veri güvenliği ve aktarım değerlendirmelerini ortadan kaldırmaz.
Maskelenmiş belge anonim hâle gelmiş sayılır mı?
Her zaman değil. Eşleştirme anahtarı mevcutsa veya kişi başka bilgilerle yeniden belirlenebiliyorsa işlem çoğunlukla takma ad kullanma niteliğindedir. Kişisel veri koruma yükümlülükleri devam eder.
Stajyer veya büro çalışanı yapay zekâ aracı kullanabilir mi?
Kullanım, büro politikasıyla belirlenen araçlar ve yetkiler çerçevesinde, açık talimat ve insan denetimi altında yürütülmelidir. TBB rehberi, müvekkil verilerinin açık talimat ve gözetim olmadan yapay zekâ sistemlerinde kullanılmamasını özellikle vurgular.
Tarayıcı içinde işleme neden önemlidir?
Belgenin maskeleme işlemi için ayrıca bir sunucuya gönderilmemesi, ham verinin hareket ettiği noktaları azaltır. Bu özellik önemli bir teknik tercihtir; yine de kullanılan cihazın güvenliği, erişim yetkileri, çıktıların saklanması ve sonraki aktarım kararı ayrıca yönetilmelidir.
Sonuç: Kişisel dikkat değil, büro standardı
Yapay zekâ hukuk pratiğinde daha görünür hâle geldikçe soru artık "Kullanalım mı?" değildir. Doğru soru şudur: "Hangi işi, hangi veriyle, hangi araçta ve hangi kontrol altında yapacağız?"
Bu soruya güven veren cevap, tek tek çalışanların hafızasına bırakılamaz. Belge maskeleme; yazılı politika, yetkilendirme, araç değerlendirmesi, insan kontrolü ve kayıt düzeniyle birlikte hukuk bürosunun standart paylaşım öncesi adımı olmalıdır.
Maskele'nin yaklaşımı basittir: Belgeyi önce kendi cihazınızda gözden geçirin, gerekli verileri tutarlı biçimde maskeleyin, çıktıyı kontrol edin; ancak bundan sonra paylaşım kararını verin.
Önce maskele. Sonra paylaş.