İş Yerinde Yapay Zekâ Kullanımı: KVKK, Ticari Sır ve Sorumluluk

Çalışanların iş yerinde üretken yapay zekâ kullanması başlı başına yasak değildir; ancak müşteri bilgisi, personel verisi, sözleşme, kaynak kodu veya ticari sırın kontrolsüz biçimde bir yapay zekâ aracına girilmesi şirketi KVKK, gizlilik, fikrî mülkiyet ve sözleşmesel sorumlulukla karşı karşıya bırakabilir. İşverenin çözümü her aracı topluca yasaklamak değil; hangi aracın, hangi veriyle, hangi amaçla ve hangi insan denetimi altında kullanılabileceğini önceden belirlemektir.

Risk yalnız “yapay zekâ yanlış cevap verir mi?” sorusundan ibaret değildir. Girilen verinin nerede işlendiği, sağlayıcı tarafından model geliştirmede kullanılıp kullanılmadığı, ne kadar süre saklandığı, yurt dışına aktarılıp aktarılmadığı, çıktının hangi karara temel olduğu ve işlemi kimin onayladığı birlikte incelenmelidir. Bu nedenle kurumsal yapay zekâ politikası bir kullanım talimatından çok, veri ve yetki mimarisidir.

Bilişim suçları ve dijital deliller konusunda hukuki danışmanlık için:

WhatsApp E-posta

İş yerinde üretken yapay zekâ kullanımından kim sorumludur?

İşveren, kişisel verilerin hangi amaç ve araçlarla işleneceğini belirliyorsa çoğu kullanım bakımından veri sorumlusu konumundadır. Çalışanın kendi inisiyatifiyle herkese açık bir araca veri yüklemesi, şirketin sorumluluk alanını kendiliğinden ortadan kaldırmaz. Eğitim, yetkilendirme, denetim ve teknik önlem eksikliği ayrıca değerlendirilir.

Yapay zekâ hizmet sağlayıcısının rolü ise sözleşme ve fiilî işleme göre değişebilir. Sağlayıcı yalnız şirketin talimatıyla veri işleyen bir veri işleyen olabileceği gibi, veriyi kendi amaçları için kullandığı ölçüde ayrı veri sorumlusu niteliği de tartışılabilir. Ürünün “enterprise” veya “kurumsal” adı taşıması tek başına bu ayrımı çözmez; hizmet koşulları, veri kullanım eki, alt hizmet sağlayıcılar ve gerçek sistem ayarları görülmelidir.

Herkese açık yapay zekâ aracı ile kurumsal sürüm arasındaki fark nedir?

Herkese açık araçlar çoğu zaman bireysel hesap, sağlayıcının standart koşulları ve sınırlı kurumsal görünürlükle kullanılır. Şirket; hangi çalışanın ne yüklediğini, verinin model eğitimine girip girmediğini veya silme talebinin nasıl işletileceğini kontrol edemeyebilir. Kurumsal sürüm ise tek başına güvenli değildir fakat daha güçlü sözleşme, yönetici konsolu, erişim kontrolü, kayıt, saklama ve eğitim dışı bırakma seçenekleri sunabilir.

Kurulum modeli	Başlıca avantaj	Kontrol edilmesi gereken risk
Herkese açık tüketici aracı	Hızlı ve kolay erişim	Veri kullanımı, hesap sahipliği, saklama ve şirket dışı görünmez kullanım
Kurumsal bulut hizmeti	Merkezi yönetim ve sözleşmesel güvenceler	Alt işleyenler, yurt dışı aktarım, yapılandırma hatası ve geniş kullanıcı yetkisi
Özel bulut veya kurum içi model	Veri ve erişim üzerinde daha fazla kontrol	Bakım, güvenlik, model tedarik zinciri ve hatalı yetkilendirme
API üzerinden gömülü sistem	İş akışına özel tasarım	Gizli anahtarlar, loglar, veri minimizasyonu ve otomatik karar riski
Etken yapay zekâ	Çok adımlı işi ve araç kullanımını otomatikleştirme	Fazla yetki, geri döndürülemez işlem, zincirleme hata ve denetim izi

Çalışanlar yapay zekâya hangi bilgileri girmemelidir?

Şirket onayı ve uygun güvence bulunmadan gerçek kişiyle ilişkilendirilebilen bilgiler, özel nitelikli kişisel veriler, müşteri sırları, çalışan dosyaları, sağlık kayıtları, kimlik belgeleri, ödeme bilgileri, dava evrakı, yayımlanmamış finansal sonuçlar, erişim bilgileri ve üretim kaynak kodu herkese açık araçlara girilmemelidir.

“İsimleri sildim” yaklaşımı her zaman anonimleştirme değildir. Görev, tarih, şehir, müşteri numarası, olayın ayrıntısı veya dosya içeriği bir araya geldiğinde kişi yeniden belirlenebilir. Takma ad kullanılması da veriyi anonim hâle getirmez; eşleştirme anahtarı veya bağlam mevcutsa veri kişisel veri niteliğini koruyabilir.

Uygulanabilir bir veri sınıflandırması dört basamaklı olabilir:

Herkese açık: Şirket sitesinde yayımlanmış metin gibi serbestçe paylaşılabilen içerik.
Kurum içi: Açıklanması sınırlı zarar doğurabilecek, kişisel veri veya kritik sır içermeyen çalışma malzemesi.
Gizli: Müşteri, çalışan, sözleşme, finans, ürün planı veya kaynak koda ilişkin korunan bilgi.
Kesinlikle kısıtlı: Özel nitelikli veri, kimlik doğrulama bilgisi, parola, özel anahtar, kritik altyapı ve hukuken sıkı korunan kayıt.

Her sınıf için izin verilen araç, maskeleme şartı, saklama süresi ve onay mercii farklı belirlenmelidir.

KVKK bakımından hangi şartlar incelenmelidir?

Üretken yapay zekâya kişisel veri girilmesi, veri üzerinde gerçekleştirilen bir işleme faaliyetidir. Bu faaliyetin KVKK m.4’teki hukuka ve dürüstlük kurallarına uygunluk, doğru ve gerektiğinde güncel olma, belirli ve meşru amaç, amaçla bağlantılı-sınırlı-ölçülü olma ve gerekli süre kadar muhafaza ilkelerine uyması gerekir.

Şirket sırayla şu soruları yanıtlamalıdır:

İşleme amacı somut ve meşru mu?
KVKK m.5 veya özel nitelikli veriler için m.6 kapsamında uygun işleme şartı var mı?
Aynı sonuç kişisel veri kullanmadan veya daha az veriyle alınabilir mi?
İlgili kişiye yapılması gereken aydınlatma kullanımı kapsıyor mu?
Sağlayıcı ve alt işleyenlerle rol ve talimatlar açık mı?
Veri ne kadar süre saklanıyor ve silme işlemi bütün kopyalara ulaşıyor mu?
Çıktı yeni kişisel veri, profil veya değerlendirme üretiyor mu?

Açık rıza, kötü tasarlanmış her süreci meşrulaştıran yedek çözüm değildir. Özellikle çalışan-işveren ilişkisinde rızanın özgür iradeyle verilip verilmediği dikkatle değerlendirilir. Öncelikle kanundaki diğer işleme şartları, gereklilik ve ölçülülük incelenmelidir.

Yapay zekâ aracına veri göndermek yurt dışına aktarım sayılır mı?

Veri Türkiye dışındaki sunucuya, sağlayıcıya veya alt işleyene erişilebilir hâle geliyorsa KVKK m.9 kapsamındaki yurt dışı aktarım kuralları gündeme gelebilir. Aracın Türkçe arayüzü olması veya ödemenin Türkiye’den yapılması, verinin Türkiye’de işlendiğini göstermez.

2024’te değişen m.9 sistemi; yeterlilik kararı, uygun güvenceler ve kanunda belirtilen arızi hâller üzerinden kademeli bir yapı kurar. Standart sözleşme, bağlayıcı şirket kuralları veya yetkili kurulca onaylanan taahhütname gibi araçların kullanılabilirliği somut aktarıma göre değerlendirilir. Standart sözleşme imzalanması gerekiyorsa Kuruma bildirim süreci de unutulmamalıdır.

Veri akış haritasında yalnız ana sağlayıcı değil; barındırma, gözlemleme, hata kaydı, içerik güvenliği ve destek hizmeti veren alt sağlayıcılar da gösterilmelidir. “Veri eğitimde kullanılmıyor” taahhüdü, yurt dışı aktarım ve saklama sorunlarını tek başına çözmez.

Ticari sır ve meslek sırrı nasıl korunur?

Bir metnin kişisel veri içermemesi, araca güvenle yüklenebileceği anlamına gelmez. Fiyatlama modeli, müşteri listesi, teklif, üretim yöntemi, güvenlik açığı, birleşme planı veya yayımlanmamış ürün tasarımı ticari sır niteliği taşıyabilir. Avukatlık, sağlık, finans ve benzeri alanlarda ayrıca mesleki gizlilik ve sektörel sır yükümlülükleri bulunabilir.

Türk Ceza Kanunu m.239 ticari sır, bankacılık sırrı veya müşteri sırrı niteliğindeki bilgi ve belgelerin yetkisiz açıklanmasına ilişkin suç düzenlemesi içerir. Bunun yanında iş sözleşmesi, gizlilik sözleşmesi, haksız rekabet hükümleri ve çalışanın sadakat borcu uygulanabilir. Şirket, yapay zekâ politikasını yalnız KVKK politikası olarak hazırlarsa kişisel olmayan fakat ekonomik değeri yüksek bilgileri korumasız bırakır.

Yapay zekâ çıktısına güvenilirse şirket sorumlu olur mu?

Çıktının bir çalışan tarafından değil yapay zekâ aracından alınması, onu kullanan şirketin sorumluluğunu ortadan kaldırmaz. Yanlış hukuki bilgi, hatalı fiyat, ayrımcı aday elemesi, güvenlik açığı içeren kod veya gerçek dışı müşteri yanıtı zarara yol açabilir. Sağlayıcının sözleşmedeki sorumluluk sınırı ile şirketin müşteriye, çalışana veya üçüncü kişiye karşı sorumluluğu aynı şey değildir.

İnsan denetimi yalnız “bir çalışan baktı” kutusu değildir. Denetleyen kişinin konu bilgisi, kaynağa erişimi, yeterli zamanı ve çıktıyı reddetme yetkisi bulunmalıdır. Kritik kullanımda çıktı; güncel birincil kaynak, kurumsal veri veya ikinci hesaplama ile doğrulanmalıdır.

Yönetim kurulu bakımından TTK m.369’daki özen ve bağlılık yükümlülüğü de önem taşır. Şirketin önemli iş süreçlerine yapay zekâ yerleştirilmesi; fayda kadar veri, siber güvenlik, tedarikçi bağımlılığı ve operasyon risklerinin de yönetilmesini gerektirir. Yönetim, teknolojiyi bizzat geliştirmese bile uygun gözetim ve iç kontrol düzenini kurmalıdır.

Etken yapay zekâ neden farklı bir risk taşır?

Etken yapay zekâ, yalnız metin önermek yerine araç çağırabilir, dosya açabilir, e-posta gönderebilir, kayıt değiştirebilir veya çok adımlı görevi sürdürebilir. Yanlış çıktı bu nedenle tavsiye düzeyinde kalmayıp doğrudan işleme dönüşebilir.

Bir yapay zekâ aracısına geniş e-posta, CRM, dosya sistemi ve ödeme yetkisi birlikte verilmemelidir. Asgari yetki, görev bazlı kısa süreli erişim, işlem tutarı sınırı, iki aşamalı onay, geri alma imkânı, durdurma mekanizması ve ayrıntılı olay kaydı tasarlanmalıdır. Aracı, başka bir sistemden aldığı zararlı talimatı gerçek kullanıcı emri sanabileceğinden dolaylı komut enjeksiyonu gibi teknik riskler de yönetişimin parçasıdır.

KVKK’nın güncel Etken Yapay Zekâ dokümanı, artan özerklik ve veri işleme kapasitesinin yaşam döngüsü boyunca doğurduğu kişisel veri risklerine dikkat çekmektedir.

İşveren çalışanların yapay zekâ kullanımını izleyebilir mi?

İşveren bilgi güvenliği ve mevzuata uyum amacıyla kurumsal araç kullanımını denetleyebilir; ancak bu yetki sınırsız değildir. İzleme belirli amaçla, ölçülü, çalışanların önceden bilgilendirildiği ve gereksiz özel hayat verisi toplamayan bir tasarımla yürütülmelidir.

Bütün komutların süresiz saklanması veri kaybını önlemeye çalışırken yeni ve daha büyük bir kişisel veri deposu yaratabilir. Kayıt seviyesi riskle uyumlu olmalı; mümkünse içerik yerine olay türü, araç, zaman, veri sınıfı ve onay kaydı tutulmalıdır. İnceleme yetkisi sınırlanmalı ve saklama süresi belirlenmelidir.

Yapay zekâ çıktısının telif hakkı kime aittir?

Her yapay zekâ çıktısının otomatik olarak kullanıcıya ait ve üçüncü kişi haklarından arınmış olduğu söylenemez. Fikir ve Sanat Eserleri Kanunu bakımından eser koruması, sahibinin hususiyetini taşıyan fikrî ürün kavramı üzerinden değerlendirilir. İnsan katkısının niteliği; salt komut vermekten seçme, düzenleme ve yaratıcı katkıya kadar değişebilir.

Ayrıca girdi olarak kullanılan metin, görsel, yazılım veya veri tabanı üzerinde üçüncü kişi hakkı bulunabilir. Çıktı mevcut esere aşırı benzer olabilir ya da markayı yetkisiz kullanabilir. Sağlayıcının hizmet koşullarındaki çıktı maddesi, Türk hukukundaki eser sahipliği ve ihlal değerlendirmesinin yerini tutmaz.

Kurumsal kullanımda komut, insan düzenlemesi, kaynak, sürüm ve onay geçmişinin tutulması hem hak sahipliği hem de doğrulanabilirlik bakımından yararlıdır. Yapay içerik daha sonra bir uyuşmazlıkta delil olacaksa, yapay zekâ içeriklerinin adli incelemesine ilişkin rehberimizdeki bütünlük ve kaynak ilkeleri de dikkate alınmalıdır.

Kurumsal yapay zekâ politikası nasıl hazırlanır?

İyi politika yalnız yasak listesi değildir. Çalışanın günlük durumda ne yapacağını anlayabildiği, teknik kontrollerle desteklenen ve istisna süreci bulunan bir işletim modelidir.

Envanter çıkarın: Onaylı araçlar kadar çalışanların fiilen kullandığı gölge yapay zekâ uygulamalarını belirleyin.
Kullanım senaryolarını sınıflandırın: Metin düzeltme, müşteri yanıtı, İK kararı, kod üretimi ve otonom işlem aynı risk sınıfında değildir.
Veri akışını haritalayın: Girdi, çıktı, log, alt işleyen, ülke ve saklama süresini gösterin.
İzin matrisini kurun: Hangi veri sınıfının hangi araçta, hangi maskeleme ve onayla kullanılacağını belirleyin.
Tedarikçiyi inceleyin: Eğitim kullanımı, güvenlik, silme, alt işleyenler, denetim hakkı, ihlal bildirimi ve sorumluluk maddelerini değerlendirin.
Teknik korumaları uygulayın: Tek oturum açma, çok faktörlü doğrulama, veri kaybı önleme, sır yönetimi, API kapsamı ve erişim sürelerini yapılandırın.
İnsan denetimini tanımlayın: Hangi çıktının kim tarafından, hangi kaynağa göre onaylanacağını yazın.
Kayıt ve saklama planı kurun: Denetlenebilirlik için gerekeni tutun; her komutu süresiz depolamayın.
Olay müdahalesini hazırlayın: Yanlış veri yükleme, hesap ele geçirme, zararlı çıktı ve yetkisiz işlem için bildirim ve durdurma akışı oluşturun.
Politikayı test edin: Kâğıttaki kuralın ürün ayarları, kullanıcı yetkileri ve gerçek iş akışıyla uyumunu periyodik olarak kontrol edin.

Bir veri yanlışlıkla yapay zekâ aracına yüklendiyse ne yapılmalı?

Çalışanı yalnızca uyarmak yeterli değildir. Önce yüklenen veri, hesap, araç, zaman, paylaşım kapsamı ve sağlayıcının saklama politikası belirlenir. Mümkünse konuşma ve dosya silinir; kurumsal yönetici, sağlayıcı ve bilgi güvenliği ekipleri devreye alınır. Verinin model eğitimine veya başka kullanıcılara açılma ihtimali araştırılır.

Olay kişisel veri ihlali oluşturuyorsa KVKK kapsamındaki ilgili kişi ve Kurul bildirim yükümlülükleri somut riske göre değerlendirilir. Ticari sır, müşteri sözleşmesi veya sektörel düzenleme daha hızlı ya da ek bildirim gerektirebilir. İnceleme yapılırken kayıtlar silinmemeli; olayın delil izi korunmalıdır.

Sık sorulan sorular

Çalışan ChatGPT benzeri araçları iş bilgisayarında kullanabilir mi?

Şirket politikasında izin verilen araç, amaç ve veri sınıfı çerçevesinde kullanabilir. İş bilgisayarından erişim sağlanması, her türlü şirket verisinin araca yüklenmesine izin verildiği anlamına gelmez.

Müşteri adını silmek KVKK riskini kaldırır mı?

Her zaman kaldırmaz. Diğer bilgiler kişiyi belirlenebilir kılıyorsa veri kişisel veri olmaya devam eder. Gerçek anonimleştirme, geri döndürülemezlik ve bağlam dikkate alınarak değerlendirilir.

Kurumsal yapay zekâ sürümü kullanmak yeterli midir?

Hayır. Sözleşme, veri ayarları, yurt dışı aktarım, alt işleyenler, erişim yetkileri, saklama ve insan denetimi ayrıca yapılandırılmalıdır.

Yapay zekâ ile hazırlanan sözleşme geçersiz midir?

Metnin yapay zekâ yardımıyla hazırlanması sözleşmeyi tek başına geçersiz kılmaz. Taraf iradesi, şekil şartı, emredici hükümler ve içeriğin doğruluğu önemlidir. Araç çıktısı hukuki inceleme yerine geçmez.

Yapay zekânın hatasından hizmet sağlayıcı mı sorumludur?

Sorumluluk tek taraflı değildir. Sağlayıcının sözleşmesi ve ürün kusuru ile işverenin seçim, yapılandırma, bilgilendirme ve insan denetimi yükümlülükleri ayrı ayrı incelenir.

Türkiye’deki şirket AB Yapay Zekâ Tüzüğü’ne tabi olabilir mi?

Evet, sistemin AB pazarına sunulması, AB’de kullanılması veya çıktısının AB içinde kullanılması gibi bağlantılar tüzüğün ülke dışı uygulama hükümlerini gündeme getirebilir. Yükümlülüklerin uygulama takvimi ve 2026 değişiklikleri güncel EUR-Lex metninden kontrol edilmelidir.

Sonuç

İş yerinde üretken yapay zekâ kullanımı, yalnızca çalışan davranışı veya bilgi işlem meselesi değildir. Kişisel veri, ticari sır, telif, sözleşme, yönetim sorumluluğu ve teknik yetki tek sistemde birleşir. Şirketin görevi, kullanım başladıktan sonra sorun çıkmasını beklemek değil; veri sınıfı, araç, amaç, aktarım, insan onayı ve kayıt düzenini baştan kurmaktır.

Genel bilgilendirme: Kullanım modelinin hukuki sonucu; işlenen veri, sektör, sağlayıcı sözleşmesi, sunucu ve alt işleyen yapısı ile çıktının hangi kararda kullanıldığına göre değişir. Kurumsal politika, gerçek veri akışı ve teknik ayarlarla birlikte değerlendirilmelidir.

İş Yerinde Üretken Yapay Zekâ Kullanımı: KVKK, Ticari Sır ve Şirket Sorumluluğu