Yapay Zekâ Entegrasyon Sözleşmesinde Sahiplik Maddeleri

Yapay zekâ entegrasyonu sözleşmelerindeki sahiplik hükümleri, “bütün haklar müşterinindir” cümlesiyle bitmemelidir. API hesabı ajans adına açılmışsa, kaynak kod yalnızca onların Git deposundaysa veya müşteri veriniz “hizmeti geliştirme” gerekçesiyle yeniden kullanılabiliyorsa; aldığınız şey size ait bir AI sistemi değil, başka bir tarafın hesabına bağlı geçici bir bağlantıdır.

Bu içerik hukuki tavsiye veya hazır sözleşme şablonu değildir. AI projesi satın alan şirketlerin teknik teslimi, veri kullanımını ve sahiplik zincirini kontrol etmesi için hazırlanmış bir çerçevedir. Yüksek değerli veri, sağlık veya finans verisi, yurt dışına veri aktarımı ya da yeniden satılacak ürünler söz konusuysa sözleşmeyi teknoloji ve fikri mülkiyet alanında çalışan bir avukata inceletin.

Öne Çıkanlar

• AI entegrasyonunda sahiplik; kod, veri, prompt, output, hesaplar ve üçüncü taraf lisansları için ayrı ayrı yazılmalıdır.
• Projeye özel kaynak kodun teslimi tek başına yeterli değildir; Git deposu, bulut hesabı, API erişimleri ve teknik dokümantasyon da devredilmelidir.
• Müşteri verisi için “hizmeti iyileştirme” izni, amaç, süre, veri türü ve silme yöntemi yazılmadan kabul edilmemelidir.
• Temel AI modeli çoğu projede müşteriye devredilmez; müşterinin sahip olması gereken şey kendi verisi, entegrasyonu ve proje hesaplarıdır.
• AI output üzerinde kullanım hakkı olsa bile çıktının benzersizliği, doğruluğu ve üçüncü kişi hakları otomatik olarak garanti edilmez.

Sahiplik Maddesi AI Projelerinde Neden Daha Karmaşık

Geleneksel yazılım projelerinde temel soru genellikle kaynak kodun kime ait olduğudur. AI entegrasyonlarında bu tek başına yeterli olmaz. Aynı sistemde müşteri verisi, model sağlayıcısı, prompt kütüphanesi, vektör veritabanı, değerlendirme seti, API hesabı ve AI output birlikte çalışır.

Bir AI chatbot düşünün. Sitenizdeki sohbet kutusu yalnızca kullanıcı arayüzüdür. Arka tarafta ürün veya hizmet belgeleriniz, sistem yönergeleri, model sağlayıcısının API’si, kullanım logları ve yanıt kalitesini ölçen testler bulunur. Ajans projeden ayrıldığında bu unsurlardan hangilerine erişebildiğiniz, chatbot’un gerçekten size ait olup olmadığını belirler.

Modeli satın almak ile modeli kullanma lisansı edinmek aynı şey değildir. OpenAI, Anthropic, Google veya başka bir sağlayıcının temel modeli çoğu durumda size devredilmez. Sağlayıcının fiyatlandırması ve koşulları altında modeli kullanma hakkı edinirsiniz.

AI output sahipliği de tek başına güvence sağlamaz. Örneğin API ve kurumsal kullanımı düzenleyen OpenAI Hizmet Sözleşmesi, geçerli hukukun izin verdiği ölçüde input üzerindeki hakların müşteride kaldığını ve output’un müşteriye ait olduğunu söyler. Ancak aynı sözleşme, output’un benzersiz olmayabileceğini ve başka kullanıcıların benzer içerik alabileceğini de belirtir. Bir metni, görseli veya kod parçasını ticari kullanabilmeniz; onun mutlaka telifle korunduğu ya da başka bir kullanıcının aynı çıktıyı alamayacağı anlamına gelmez. OpenAI Hizmet Sözleşmesi bu ayrımı açıkça yapar.

Sözleşmede Ayrı Yazılması Gereken 8 Varlık

Bir yapay zekâ projesinde sahiplik tek başlıktan ibaret değildir. Aşağıdaki sekiz varlık için ayrı hükümler, teslim tanımları ve kullanım sınırları gerekir.

Varlık	Varsayılan yaklaşım	Sözleşmede netleştirilecek konu
Mevcut fikri mülkiyet	Önceki sahibinde kalabilir	Projede kullanım lisansı ve sınırları
Projeye özel kod	Müşteriye devredilmeli veya süresiz lisanslanmalı	Repo, kaynak kod, dağıtım dosyaları
Müşteri verisi	Müşteride kalır	İşleme amacı, saklama, silme, aktarım
Prompt ve test setleri	Açıkça tanımlanmalı	Teslim, değiştirme ve taşıma hakkı
AI output	Ticari kullanım hakkı müşteride olmalı	Benzersizlik ve doğruluk istisnaları
Eğitim verisi	Müşteride kalmalı	Eğitim izni, süre, silme ve model ağırlıkları
Üçüncü taraf araçlar	Lisansa bağlıdır	Sağlayıcı şartları, sürüm ve maliyet
Hesaplar ve erişimler	Müşteri adına olmalı	Devir, rol yetkileri ve fesih sonrası erişim

1. Mevcut Fikri Mülkiyet ve Önceden Yazılmış Kod

Ajansın proje başlamadan geliştirdiği framework’leri, otomasyonları, genel kullanımlı kütüphaneleri veya araçları olabilir. Bunların tamamını müşteriye devretmek her zaman gerçekçi değildir. Ancak devredilmeyecek her varlık sözleşmede veya ek listede tanımlanmalıdır.

“Ajansın mevcut tüm know-how’ı kendisine aittir” gibi geniş bir ifade yeterli değildir. Projede hangi bileşenin kullanıldığı, müşterinin bu bileşenden ne kadar süre yararlanabileceği ve ajans değiştiğinde sistemin çalışmaya devam edip etmeyeceği açıkça yazılmalıdır.

Örneğin ajansın geliştirdiği genel amaçlı bir RAG altyapısı ajansın mülkiyetinde kalabilir. Ancak dokümanlarınızı işleyen, CRM’inize bağlanan ve sitenizde çalışan kurulumun kullanım hakkı kesintiye uğramamalıdır.

2. Proje Kapsamında Geliştirilen Özel Kod

API entegrasyonu, backend süreçleri, özel arayüzler, veri dönüşüm katmanları, otomasyonlar, test kodları ve dağıtım yapılandırmaları proje için üretilen özel kod kapsamına girebilir. Bu kodların hangilerinin teslim edileceği sözleşmede açıkça yazılmalıdır.

Türkiye’de fikri haklar bakımından genel bir “sahiplik müşteriye aittir” cümlesi zayıf kalabilir. FSEK Madde 52 kapsamında mali haklara ilişkin sözleşmelerin yazılı yapılması ve devredilen hakların ayrı ayrı gösterilmesi gerekir. WIPO Lex üzerindeki FSEK metni bu yazılı şekil ve ayrıntı ihtiyacını ortaya koyar.

Teslimat listesinde en az aşağıdakiler yer almalıdır:

• Kaynak kod ve sürüm geçmişi
• Dağıtım ve sunucu yapılandırması
• Kullanılan paketlerin ve sürümlerin listesi
• Test senaryoları
• Ortam değişkenlerinin nasıl yönetildiğine dair dokümantasyon
• Kurulum, bakım ve hata çözüm notları

Bir B2B şirketinin teklif hazırlama aracı yaptırdığını ve proje sonunda yalnızca çalışan bir panel teslim aldığını düşünün. Teslimat listesi yazılmadığı için sistem prompt’ları geliştirme tarafının panelinde kalır, değerlendirme setleri paylaşılmaz ve Git deposuna yalnızca görüntüleme yetkisi verilir. Sistemi devralan yeni ekip, aracın bazı tekliflerde neden yanlış ürün grubu önerdiğini çözemez. Kod vardır, fakat sistemin davranışını belirleyen unsurlar yoktur.

3. Müşteri Verisi ve Bilgi Tabanı

CRM kayıtları, ürün katalogları, destek görüşmeleri, PDF’ler, teklif dosyaları, teknik belgeler ve kullanıcı davranışı verileri müşteriye aittir. Bu verilerin AI entegrasyonunda kullanılması, ajansa sınırsız yeniden kullanım hakkı vermez.

Sözleşmede ajansın veriyi yalnızca hizmet sunmak amacıyla işleyebileceği yazmalıdır. Verinin başka müşteri projelerinde, demo ortamlarında, kurum içi eğitimlerde veya model geliştirme çalışmalarında kullanılıp kullanılamayacağı ayrıca düzenlenmelidir.

RAG tabanlı sistemlerde vektör veritabanı ve embedding’ler de gözden kaçmamalıdır. Kaynak PDF elinizde olsa bile, bu PDF’lerden üretilen arama vektörleri ajans hesabında tutuluyorsa geçişte sorun yaşarsınız. Vektör veritabanına erişim, dışa aktarma biçimi ve silme süreci teslim planında bulunmalıdır.

4. Prompt’lar, Sistem Talimatları ve Değerlendirme Setleri

Prompt kütüphanesi, AI sisteminin görünmeyen operasyon katmanıdır. Sistem prompt’u, rol tanımları, güvenlik kuralları, yanıt sınırları, örnek konuşmalar ve insan geri bildirimleri çoğu zaman kaynak kod kadar değerlidir.

Sözleşme yalnızca yazılım kodunu devredip prompt’ları ajans hesabında bırakmamalıdır. Aksi halde yeni ekip aynı kodu ve aynı modeli kullansa bile sistem farklı yanıtlar üretir.

Bir otelin internet sitesine AI asistanı eklendiğini düşünün. Asistanın “fiyat uydurma”, “müsaitlik garantileme” veya “kişisel veri isteme” davranışlarını engelleyen kurallar, kod satırlarından çok sistem talimatlarında bulunabilir. Bu yönergeler teslim edilmezse otel yalnızca sohbet kutusunu devralmış olur.

5. AI Output’ları

AI output’ları metin, görsel, kod, sınıflandırma, özet, öneri veya müşteri destek taslağı olabilir. Müşterinin bu çıktıları ticari amaçla kullanıp kullanamayacağı sözleşmede açıkça belirtilmelidir.

Bununla birlikte, output sahipliğinde dürüst sınırlar da gerekir:

• Çıktı hatalı olabilir.
• Çıktı başka kullanıcılara üretilen içeriklerle benzer olabilir.
• Çıktı üçüncü kişilerin fikri haklarını ihlal edebilir.
• İnsan onayı gerektiren kullanım alanları olabilir.

Özellikle sağlık, finans, hukuk, fiyatlandırma ve sözleşme üretiminde “AI söyledi” ifadesi kabul edilebilir bir denetim yöntemi değildir. İnsan incelemesinin hangi aşamada zorunlu olduğu hem ürün akışında hem sözleşmede tanımlanmalıdır.

6. Eğitim, Fine-Tuning ve Model İyileştirme Verisi

En riskli ifadelerden biri şudur: “Sağlayıcı, hizmeti iyileştirmek için verileri kullanabilir.” Hangi verinin kullanılacağını, ne amaçla kullanılacağını ve ne kadar süre saklanacağını açıklamıyorsa bu ifade gereğinden geniştir.

Temel ilke açık olmalıdır: Müşteri verisiyle eğitim yapılmayacaktır. Bir istisna varsa açık onaya bağlanmalı; belirli veri kategorileri, belirli süre ve silme yükümlülüğüyle sınırlandırılmalıdır.

Fine-tuning yapılacaksa aşağıdaki sorular yazılı olarak yanıtlanmalıdır:

• Eğitim dosyaları nerede tutulacak?
• Model ağırlıkları hangi hesapta bulunacak?
• Eğitim verisi proje sonunda silinecek mi?
• Ajans aynı modeli başka müşteriler için kullanabilecek mi?
• Değerlendirme verisi ve insan geri bildirimi kime ait olacak?

İade başvurularını sınıflandıran bir asistan yaptıran bir e-ticaret markasını düşünün. Destek konuşmalarıyla fine-tuning yapılacağı belirtilir, ancak eğitim verisinin ne kadar süre saklanacağı ve modelin başka projelerde kullanılıp kullanılamayacağı yazılmaz. Aylar sonra markanın, aynı asistan mantığının başka bir müşteri projesinde kullanılmadığını gösterecek hiçbir kaydı olmaz. Sorun model performansı değildir. İzin sınırı hiç tanımlanmamıştır.

7. Üçüncü Taraf Modeller, API’ler ve Açık Kaynak Bileşenleri

Ajans size özel entegrasyonu devredebilir. Ancak OpenAI, Anthropic, Google veya başka bir model sağlayıcısının temel modelini devretmesi mümkün değildir. Bu nedenle sözleşmede “model müşteriye ait olacaktır” gibi teknik olarak yanlış taahhütler yer almamalıdır.

Bunun yerine kullanılan üçüncü taraf bileşenler listelenmelidir:

• Model sağlayıcısı ve kullanılan ürün
• API veya SaaS hizmeti
• Açık kaynak paketler
• Lisans türleri
• Kritik sürümler
• Aylık veya kullanıma bağlı maliyetler
• Sağlayıcı şartı değiştiğinde alternatif plan

Açık kaynak bileşenleri görünmez saymayın. Lisans uyumu, dağıtım sorumlulukları ve sürüm bağımlılıkları teknik teslimatın parçasıdır.

AI sistemi satın alırken modelin kime ait olduğunu değil, çalışmasını sağlayan hesapların, kodun, verinin ve yapılandırmanın kimin kontrolünde olduğunu sorun.

Sahiplik Maddesinde Kırmızı Bayraklar

Aşağıdaki ifadeler tek başına sözleşmenin kötü olduğunu göstermez. Ancak açıklama ve ek düzenleme gerektirir.

• “Tüm fikri mülkiyet ajansa aittir” gibi geniş ve tanımsız hükümler.
• “Hizmeti iyileştirmek için veri kullanılabilir” ifadesinde amaç, süre ve veri türünün yazılmaması.
• Kaynak kod, Git deposu veya hesap erişimi tesliminden hiç söz edilmemesi.
• Output müşteriye ait denirken prompt, bilgi tabanı ve değerlendirme setlerinin anılmaması.
• Üçüncü taraf model veya API şartlarının sözleşmeye eklenmemesi.
• Proje sonu veri silme, iade ve geçiş desteği için süre verilmemesi.
• Gelecekte ortaya çıkacak tüm fikirlerin, geliştirmelerin veya çıktının peşinen devredildiğini söyleyen sınırsız hükümler.

Gelecekteki eserler konusu ayrıca dikkat gerektirir: FSEK m.48’e göre henüz vücuda getirilmemiş bir esere ilişkin tasarruf işlemleri batıldır; m.50 ise gelecekteki eserlere dair taahhütleri geçerli sayar, ancak eserlerin bütününü veya belirli bir türünü kapsayan taahhütler bir yıl önceden bildirimle feshedilebilir (WIPO Lex’teki FSEK metni). Bu tür hükümler için avukat incelemesi istemek proje sürecini yavaşlatmaz. Gelecekte oluşabilecek belirsizliği baştan azaltır.

Veri Sahipliği ile KVKK Uyumunu Karıştırmayın

Verinin size ait olması, onu istediğiniz biçimde işleyebileceğiniz anlamına gelmez. Kişisel veri varsa veri sorumlusu, veri işleyen, alt işleyen, saklama süresi ve güvenlik önlemleri ayrıca belirlenmelidir.

Yapay zekâ projelerinde aşağıdaki konuların özellikle netleşmesi gerekir:

• Model sağlayıcısı veya altyapı yurt dışında mı?
• Kişisel veri hangi ülkelerde işleniyor?
• Ajans hangi alt sağlayıcıları kullanıyor?
• Log kayıtları ne kadar süre tutuluyor?
• Veri ihlalinde bildirim süreci nasıl işliyor?
• Veri silme talebi geldiğinde hangi sistemlerde silme yapılacak?

KVKK, üretken yapay zekâ sistemlerinde kişisel veri işleme faaliyetlerine dair bir rehber yayımladı. KVKK’nın üretken yapay zekâ rehberi, veri yaşam döngüsünün baştan değerlendirilmesi gerektiğini vurgular.

Yurt dışına aktarım varsa aktarım mekanizması da proje eklerinde gösterilmelidir. KVKK’nın standart sözleşmelere ilişkin duyurusu, bu aktarım yapılarında kullanılabilecek yöntemlerden birini açıklar. Sahiplik hükmü ile veri aktarımı düzenlemesi birbirinin alternatifi değildir. İkisine de ihtiyaç vardır.

Sözleşme İmzalanmadan Önce Sorulacak 12 Soru

Bu soruların sözlü yanıtlanması yeterli değildir. Kritik cevaplar teklif, teknik ek veya sözleşme içinde yazılı olmalıdır.

1. Kaynak kod hangi depoda tutulacak ve depo kimin kurumsal hesabında olacak?
2. Bulut, veritabanı ve model sağlayıcı hesapları kimin adına açılacak?
3. Projede kullanılan hazır kodlar, açık kaynak paketler ve SaaS araçları hangileri?
4. Ajansın proje öncesinde sahip olduğu varlıklar hangileri?
5. Proje kapsamında geliştirilen özel kodlar müşteriye devredilecek mi?
6. Prompt’lar, sistem talimatları ve test setleri teslim edilecek mi?
7. Müşteri verisi model eğitimi veya hizmet iyileştirme için kullanılacak mı?
8. Fine-tuning yapılacaksa eğitim verisi ve model ağırlıkları kime ait olacak?
9. AI output’ları için ticari kullanım hakkı kime ait?
10. Sağlayıcı şartları değişirse veya API kapanırsa alternatif plan ne?
11. Proje bitiminde veri, erişim anahtarları ve dokümantasyon kaç gün içinde teslim edilecek?
12. Üçüncü kişi fikri mülkiyet iddiasında hangi taraf hangi sorumluluğu üstlenecek?

Bu listeyi teklif değerlendirme aracı olarak kullanın. Yanıtları belirsiz kalan bir proje teknik olarak çalışsa bile ticari açıdan tamamlanmış sayılmaz.

AI entegrasyonu mevcut sitenize bağlanacaksa, entegrasyon kodunun WordPress eklenti sınırları, sunucu erişimi ve bakım akışı da teslim listesine girmelidir. Bu yaklaşım, özel WordPress geliştirme projelerinde de geçerlidir: sistemi çalıştıran kod, yalnızca ajansın hesabında kalmamalıdır.

Sahiplik, Müşteriyi Ajansa Kilitlemenin Aracı Olmamalı

Ajans değiştiğinde sıfırdan başlamayı gerektiren bir proje müşteriye ait değildir. Bu, ajansın yıllarca bakım hizmeti sunmayacağı anlamına gelmez. Bakım ilişkisi teknik zorunluluktan değil, hizmet kalitesinden dolayı sürmelidir.

AI entegrasyonunun kapsamı belirlenirken hesap mülkiyeti, erişim rolleri, özel geliştirilen kod ve teknik teslimatlar ilk aşamada netleştirilmelidir. Kod müşteri hesabında barındırılabilir; model, bulut ve altyapı hesapları müşteri adına açılabilir; üçüncü taraf lisansları gizlenmemelidir. Amaç, ajans değiştiğinde çalışan sistemin kaybolmamasıdır.

AI destekli müşteri arayüzü veya performans odaklı özel uygulama katmanı gerekiyorsa, Astro web geliştirme yaklaşımı da bu sahiplik modeline uygundur. Yalnızca gereken kod yüklenir, platform şişkinliği ve belirsiz bağımlılık eklenmez.

Sözleşmeye Bakmadan AI Entegrasyonu Satın Almayın

İyi hazırlanmış bir sahiplik hükmü, “her şey müşteriye aittir” demekle yetinmez. Müşteriye ait unsurları, lisanslanan bileşenleri, hangi verinin hangi amaçla işlendiğini ve proje tamamlandığında nelerin teslim edileceğini ayrı ayrı tanımlar.

Yapay zekâ projesindeki asıl maliyet çoğu zaman API faturası değildir. İki yıl sonra çalışan sistemi devralamamak, müşteri verinizin nerede kullanıldığını bilmemek veya yeni ekibin sistemi yeniden kurmak zorunda kalması daha yüksek maliyet yaratır.

AI entegrasyonunu teklif aşamasından önce teknik olarak çerçevelemek istiyorsanız önce veri akışını, hesap sahipliğini ve teslim listesini hazırlayın. Hukuki metin bu teknik gerçekliklerin üzerine kurulmalıdır. Onların yerini tutamaz.