WhatsApp AI Müşteri Asistanı: KVKK ve Resmi API Sınırları

Bu yazı bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez. Kanun maddeleri mevzuat.gov.tr'deki güncel metinden, Meta kuralları ve fiyatları 29 Ekim 2026 tarihindeki hâliyle aktarıldı.

WhatsApp'ta AI müşteri asistanı kurarken KVKK ve resmi API açısından nelere dikkat etmeli?

Önce bağlantı yoluna bakılmalı: asistan Meta'nın resmi platformu üzerinden çalışmalı. Ardından KVKK gelir: aydınlatma, gereği kadar veri, yurt dışı aktarım şartı, saklama süresi ve insana devir.

Bu yazıdan önce konuyu Türkçe aradım. Çıkan ilk on sonucun çoğu WhatsApp asistanı satan firmaların sayfasıydı ve KVKK'yı "KVKK uyumlu" ibaresiyle tek satırda geçiyordu. Hangi maddeye, hangi şartla uyulduğu yazmıyordu. Bir WhatsApp asistanı aslında dört ayrı kural setinin içinde çalışıyor: ikisini Meta, ikisini kanun koyuyor ve her birinin ihlal bedeli farklı.

Meta'nın kurallarına uymayan bir kurulumun bedeli hızlı geliyor: numara kapanıyor ve müşteriler o numaraya yazmaya devam ediyor. KVKK'ya uymayan kurulumda ise asistan aylarca sorunsuz çalışıyor gibi görünebilir. Sorun bir müşteri şikâyetiyle ya da bir veri ihlaliyle ortaya çıktığında, geriye dönüp hangi verinin nereye gittiğini açıklamak gerekiyor.

QR kodla bağlanan "ücretsiz WhatsApp API" neden riskli?

Bu araçlar kendini WhatsApp Web gibi tanıtarak bağlanıyor. WhatsApp'ın kuralları gayriresmi istemciyi ve otomatik mesajlaşmayı açıkça yasaklıyor. Tespit edilirse işletmenin asıl numarası kapanabiliyor.

Ekim başında, QR kodla bağlanan açık kaynaklı bir API ile WhatsApp chatbotu ve müşteri paneli kurulan Türkçe bir eğitim videosu inceledim. Kurulum gerçekten kolay. Telefonda WhatsApp'ın Bağlı Cihazlar ekranından QR kodu okutuyorsunuz, bot birkaç dakika içinde cevap vermeye başlıyor. Evolution API, WAHA ve whatsapp-web.js gibi araçların çoğu bu yolla çalışıyor: sunucu, WhatsApp'a kendini bir WhatsApp Web oturumu olarak tanıtıyor.

WhatsApp'ın mesajlaşma kuralları gayriresmi istemci kullanmayı, toplu mesajı, otomatik mesajı ve otomatik aramayı platforma karşı yapılan davranışlar arasında adıyla sayıyor. Videoda önerilen akış da tam bu tarife uyuyordu: cevap vermeyen kişiye 6. ve 24. saatte otomatik takip mesajı. Cevapsız kalan mesaj oranı ve düzenli aralıklarla giden mesaj, otomasyonu fark ettiren türden bir kalıp.

Videodaki iki bilgi de güncel değildi. Resmi API'ye geçince telefondaki WhatsApp uygulamasının kopacağı söyleniyordu. Meta artık aynı numaranın hem uygulamada hem API'de kullanılmasına izin veriyor. Resmi API için 1-2 haftalık işletme doğrulaması gerektiği söyleniyordu. Meta'nın mesaj limiti dokümanına göre yeni hesaplar 250 kişilik limitle başlıyor, doğrulama bu limiti yükseltmenin yollarından biri.

Bedelin iki tarafını yan yana koyunca karar kolaylaşıyor. Doğrudan Cloud API'de Meta barındırma ücreti almıyor, ödenen şey mesaj ücreti. QR'lı araçla kurtarılan para bu mesaj ücretleri ve varsa iş ortağının aylık ücreti. Karşı tarafta kartvizitte, Google işletme profilinde ve ilanlarda yazan numara duruyor. Müşterinin asıl numarasında bu yolu kullanmıyorum.

Resmi WhatsApp Business Platform'a hangi yollarla bağlanılır?

Yeni bir numara doğrudan Meta'nın Cloud API'sine bağlanabilir. Mevcut WhatsApp Business numarası bir Meta iş ortağı üzerinden API'ye eklenebilir. Teknik ekip yoksa kurulum hazır panel sunan bir iş ortağına bırakılabilir.

Mevcut numarayı bağlama yolunu Meta WhatsApp Business uygulaması kullanıcılarını bağlama başlığıyla belgeliyor. Haziran 2026'da bir emlak ofisinin ilanlarda yazan numarası için bu kurulumu hazırladım. İş ortağı olarak 360dialog'u seçtim, n8n üzerindeki akışı önce test ortamında uçtan uca denedim. Gelen mesaj asistana düştü, Türkçe cevap telefona ulaştı ve okundu.

Canlıya geçiş günü takıldığımız yer teknik taraf olmadı. Bağlantı adımı, işletme sahibinin bilgisayarda Facebook hesabıyla giriş yapmasını ve telefondan QR okutmasını istiyor. Facebook şifresi ve iki adımlı doğrulama o gün çözülemedi, kurulum ertelendi. Ertelenen iş birkaç yoğun günün arasında soğudu ve proje iptal oldu. O günden beri kurulum gününden önce sorduğum ilk soru, müşterinin Facebook hesabına bilgisayardan girebildiği oluyor.

Resmi API'de AI asistanı neleri yapamaz?

Müşterinin son mesajından sonraki 24 saatin dışında serbest mesaj atamaz, yalnızca Meta'nın onayladığı şablonu gönderebilir. Yeni hesapta işletmenin başlattığı mesaj günde 250 tekil kişiyle sınırlı.

Müşteri "yarın öğleden sonra boş saat var mı?" diye yazdığında 24 saatlik bir pencere açılıyor. Bu pencerede asistan soruya göre istediği gibi cevap veriyor. Pencere kapandıktan sonra, örneğin bir hafta sonra randevuyu hatırlatmak için, önceden Meta'ya onaylatılmış bir şablon gerekiyor. Hatırlatma metni bu yüzden kurulumun son gününe kalmamalı. Onay süreci olan bir metin, asistan canlıya alınmadan önce yazılıp gönderilmeli.

Fiyatlandırma da 1 Ekim 2026'da değişti. Meta'nın fiyat sayfasına göre pencere içindeki servis mesajlarında numara başına ayda ilk 1.000 mesaj ücretsiz, sonrası ücretli. Sayaç mesaj başına işlediği için asistanın bir cevabı üç ayrı balona bölmesi sayacı üç kat hızlı dolduruyor. Cevabı tek mesajda toplamak artık bir maliyet kararı. Tıkla-WhatsApp reklamından gelen konuşmalardaki 72 saatlik ücretsiz pencere ise değişmedi.

Son satırdaki şart WhatsApp Business mesajlaşma politikasında yazıyor: işletme bir kişiyle ancak o kişi numarasını vermişse ve işletmeden mesaj almayı kabul ettiğini onaylamışsa iletişime geçebiliyor. Asistanın sohbeti müşteri başlattığında bu sorun olmuyor. Sorun, eski müşteri listesine toplu hatırlatma göndermek istendiğinde çıkıyor.

Meta'nın 2026 yapay zeka kuralı işletme asistanlarını yasaklıyor mu?

Yasaklamıyor. 15 Ocak 2026'dan beri kapalı olan, asıl ürünü genel amaçlı yapay zeka sohbeti olan sağlayıcılar. İşletmenin kendi müşterisine hizmet veren asistanı bu yasağın dışında kalıyor.

Meta, WhatsApp Business koşullarına "AI sağlayıcıları" başlıklı bir bölüm ekledi. Bölüme göre büyük dil modeli ve genel amaçlı yapay zeka asistanı geliştirenler, bu teknoloji sundukları hizmetin yan işlevi değil asıl işleviyse platformu kullanamıyor. Meta, TechCrunch'a yaptığı açıklamada kuralın müşterisine yapay zekayla hizmet veren işletmeleri etkilemediğini söyledi. Örnek olarak müşteri hizmetleri botu çalıştıran bir seyahat şirketini verdi.

Bu kuralı asistan tasarımı için bir sınır olarak okuyorum. Randevu alan, fiyat aralığını söyleyen, adresi ve çalışma saatlerini veren, gerisini bir çalışana aktaran asistan işletmenin hizmetinin parçası. Her konuda sohbet eden bir asistan kuralın gri bölgesine yaklaşıyor. Ölçmesi de zorlaşıyor, çünkü doğru cevabın ne olduğunu kimse önceden yazamıyor. Görev tanımı dar olan asistanın kaç vakada doğru çalıştığını ise gerçek mesajlarla ölçebiliyorsunuz. Nasıl ölçüldüğünü eval ve golden set yazısında anlattım. Chatbot ile asistan arasındaki farkı ayrıca AI chatbot ve AI asistan yazısında ele aldım.

WhatsApp asistanında KVKK açısından veri sorumlusu kim?

Müşteri verisini kendi amacı için toplayan işletme veri sorumlusu. Kurulumu yapan firma, mesaj altyapısı ve yapay zeka modeli sağlayıcısı genellikle işletme adına veri işleyen konumunda.

Bu ayrımın pratik sonucu KVKK'nın 12. maddesinde. Veriler işletme adına başka biri tarafından işleniyorsa, işletme güvenlik tedbirlerinden o kişiyle birlikte sorumlu. "Kurulumu ajans yaptı" demek sorumluluğu devretmiyor. Kimin hangi veriye eriştiği, işletmenin yazılı olarak bilmesi gereken bir liste.

Bu yüzden WhatsApp hesabını işletmenin kendi Meta Business portföyünde açtırıyorum. Ben otomasyonu yönetici erişimiyle işletiyorum, iş bittiğinde erişimim kaldırılıyor, numara ve sohbet geçmişi işletmede kalıyor. Fatura da Meta'dan doğrudan işletmeye geliyor. Hesabın sahibinin işletmenin kendisi olmasının bir nedeni daha var: kendi denemelerimden birinde, faaliyet alanı mesajlaşmayla ilgisi olmayan bir şirketin işletme hesabı üzerinden ilerledim ve Meta hesabı kısıtladı. O deneyimden çıkardığım ders, Meta'nın hesabın kime ait olduğuna ve ne iş yaptığına da baktığı.

WhatsApp asistanı müşteriden hangi bilgileri istememeli?

Randevu ya da bilgi talebi için ad, uygun gün ve talep türü çoğu zaman yeterli. Klinikte şikâyet ayrıntısı sağlık verisi sayılıyor; asistan bunu sormamalı, hasta yazarsa konuşmayı bir çalışana aktarmalı.

KVKK'nın 4. maddesi verinin "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü" olmasını istiyor. 6. madde sağlık verisini özel nitelikli kişisel veri sayıyor. Bu verinin işlenmesi ancak maddede sayılan şartlardan biriyle mümkün (açık rıza ya da sır saklama yükümlülüğü altındaki kişilerin teşhis ve tedavi amacıyla işlemesi gibi) ve Kurul'un belirlediği ek önlemler de alınmalı. Bir kliniğin kendi akışının bu şartlardan hangisine dayanacağı hukukçuyla netleşmeli. Mühendis olarak benim yapabildiğim, asistanın bu veriyi hiç toplamamasını tasarımla sağlamak.

Emlak ofisi kurulumunda ilk fark ettiğim boşluk metin dışı mesajlardı. Akış yalnızca yazılı mesajı okuyordu. Sesli not, fotoğraf ya da konum geldiğinde asistan hiç cevap vermiyordu. Kibar bir yanıt ve danışmana devir ekledim, sesli notla da denedim. Klinikte bu kural daha da önemli, çünkü hastanın gönderdiği diş ya da cilt fotoğrafı doğrudan sağlık verisi. Böyle bir mesaj geldiğinde asistan "Mesajınızı aldım, ekibimiz size dönecek" deyip konuşmayı insana bırakmalı.

Mesajlar yurt dışındaki bir yapay zeka modeline gidiyorsa ne gerekir?

KVKK 9. maddeye göre yeterlilik kararı yoksa standart sözleşme gibi bir uygun güvence gerekiyor. Standart sözleşme imzadan sonraki beş iş günü içinde Kişisel Verileri Koruma Kurumu'na bildiriliyor.

Asistanın cevabı çoğu kurulumda Türkiye dışındaki sunucularda çalışan bir dil modelinden geliyor. Müşterinin mesajı modele gönderildiğinde yurt dışına bir aktarım oluyor. KVKK'nın 9. maddesi Mart 2024'te 7499 sayılı Kanun'la değişti ve aktarımı sıralı şartlara bağladı. Önce aktarılan ülke için Kurul'un yeterlilik kararı aranıyor. Karar yoksa standart sözleşme, bağlayıcı şirket kuralları ya da Kurul izinli taahhütname gibi uygun güvencelerden biri gerekiyor. Bunların hiçbiri yoksa kanun yalnızca "arızi olmak kaydıyla" sayılı istisnalara izin veriyor ve açık rıza bu istisnalardan biri.

Bence her gün çalışan bir asistanın düzenli aktarımını açık rızaya dayandırmak bu yüzden zayıf bir zemin. Kanun açık rızayı arızi aktarım için tanıyor, asistanın aktarımı ise her mesajda tekrarlanıyor. Kurulumdan önce model sağlayıcısıyla hangi güvencenin kurulacağı ve Kurum bildiriminin kimin tarafından yapılacağı yazılı olarak netleşmeli.

Mühendislik tarafında aktarılan verinin kapsamını küçültmek mümkün. Asistanın cevap üretmesi için müşterinin telefon numarasını bilmesi gerekmiyor. Numara randevu sistemine kod tarafından yazılıyor, modele yalnızca mesaj metni gidiyor. Ad soyad da çoğu cevap için gereksiz. Bu, aktarımı ortadan kaldırmıyor ama aktarılan veriyi daraltıyor ve aydınlatma metnine yazılacak listeyi kısaltıyor. Model sağlayıcısının gönderilen veriyi eğitimde kullanıp kullanmadığı ve ne kadar sakladığı da sözleşmesinde yazıyor. Kurulumdan önce okunması gereken ilk belge o.

Müşteriye asistanla yazıştığı nasıl söylenmeli?

İlk mesajda: asistan olduğunu, mesajların hangi amaçla işlendiğini, aydınlatma metninin bağlantısını ve bir çalışana nasıl ulaşılacağını tek kısa mesajda yazmak yeterli.

KVKK'nın 10. maddesi veri toplanırken kişiye beş şeyin söylenmesini istiyor: veri sorumlusunun kimliği, işleme amacı, verinin kimlere aktarılabileceği, toplama yöntemi ve hukuki sebebi, kişinin hakları. WhatsApp'ın kısa mesaj düzeninde bunların hepsini ilk mesaja sığdırmak mümkün değil. Pratik çözüm, ilk mesajda kimliği ve amacı yazıp gerisini bir bağlantıya bırakmak:

"Merhaba, ben Örnek Kliniği'nin dijital asistanıyım. Randevu ve genel bilgi için buradayım. Mesajlarınız randevu işlemleri için işleniyor, ayrıntılar ornekklinik.com/aydinlatma adresinde. Ekibimizle görüşmek isterseniz 'personel' yazmanız yeterli."

Son cümle göründüğünden önemli. KVKK'nın 11. maddesi, verilerin yalnızca otomatik sistemlerle analiz edilmesi sonucunda kişinin aleyhine çıkan bir sonuca itiraz hakkı tanıyor. Asistan bir talebi reddettiğinde ya da yanlış anladığında müşterinin bir insana ulaşabilmesi, bu hakkın pratikte kullanıldığı yer.

Kampanya mesajı göndermek için ayrıca izin gerekir mi?

Gerekir. 6563 sayılı Kanun ticari elektronik iletiyi önceden onaya bağlıyor. Müşterinin aldığı hizmetteki değişiklik, kullanım ve bakım mesajları için ise ayrıca onay aranmıyor.

6563 sayılı Kanun'un 6. maddesi bu ayrımı açıkça yapıyor. Bir emlak ofisinde "görüşme saatiniz değişti" mesajı ikinci gruba giriyor. "Bu hafta portföyümüze yeni daireler eklendi" mesajı ise ticari ileti ve önceden onay istiyor. Meta'nın şablon kategorileri de benzer bir ayrım yapıyor ve pazarlama şablonları ayrı fiyatlanıyor.

Klinikler için bir eşik daha var. Sağlık hizmetlerinin tanıtımı ayrıca reklam kısıtlarına tabi, bu yüzden indirim ya da kampanya içeren bir şablon klinikte genellikle hiç yazılmamalı. Asistanın klinikteki işi hatırlatma, randevu değişikliği ve bilgi vermek.

WhatsApp AI asistanını canlıya almadan önce neler kontrol edilmeli?

Bağlantı yolu, hesap sahipliği, ilk mesaj, sorulmayacak bilgiler, yurt dışı aktarım güvencesi, saklama süresi, onaylı şablonlar ve insana devir akışı. Hepsinin kurulumdan önce yazılı olması gerekiyor.

Listenin son satırı en sık atlanan satır. Asistanı birkaç mesajla deneyip "çalışıyor" demek, sesli notun, fotoğrafın ve "personel" yazan müşterinin ne yaşadığını göstermiyor. Bu senaryoları gerçek mesaj örnekleriyle, en az üçer kez denemek gerekiyor. Randevu akışının kendisini klinik WhatsApp randevu otomasyonu yazısında anlattım. Hastalarınız WhatsApp yerine daha çok telefonla ulaşıyorsa sesli asistanın Türkçe sınırları daha yakın bir konu.

Sık sorulan sorular

WhatsApp asistanında riskin büyük kısmı kurulum gününden önce veriliyor: hangi yolla bağlanıldığı, hesabın kimde açıldığı ve asistanın neyi sormayacağı. Bunlar yazılıysa asistan kurulduktan sonra ölçülüp düzeltilebiliyor. Diğer yazılara blog sayfasından, çalışma biçimimize hizmetler sayfasından ulaşabilirsiniz.