İŞ YERİNDE YAPAY ZEKÂ KULLANIMI: HUKUKİ SINIRLAR VE RİSKLER
I. Giriş
Yapay zekâ (YZ) sistemlerinin, iş organizasyonlarında operasyonel verimliliği artırmak, işe alım süreçlerini otomatize etmek ve çalışan performansını analiz etmek gibi birçok kullanımı bulunmaktadır. Teknolojinin bu denli hızlı gelişimi ile YZ sistemleri başka alanlarda da daha çok kullanılmakta ve hayatımızda yer edinmektedir.
Üretken Yapay Zekâ (“ÜYZ”); büyük veri kümelerini ve istatistiksel örüntüleri kullanarak metin, görsel, ses ve kod gibi insan üretimine benzer tamamen yeni içerikler oluşturabilen bir teknolojidir. Mevcut veriyi sadece sınıflandıran veya tahmin eden geleneksel sistemlerden bu yönüyle ayrılan ÜYZ; müşteri hizmetlerinden pazarlamaya, eğitimden sağlık ve hukuka kadar pek çok sektörde iş süreçlerini dönüştürerek yeni uygulama alanları yaratmaktadır.1
Kurum içinde çalışanlar tarafından herkese açık erişimi olan YZ sistemlerinin kullanımı bu denli yoğunken şirketlerin de bunlara uygun idari ve teknik tedbirleri almaları; olası veri ihlalleri; ticari sırların hukuka aykırı paylaşılmalarının da önüne geçecektir.
II. KVKK’nın Dinamik Yaklaşımı ve Üretken YZ Rehberleri
Kişisel Verileri Koruma Kurumu (“Kurum”), YZ teknolojilerinin veri mahremiyeti üzerindeki risklerini yönetmek amacıyla zaman içerisinde dinamik bir rehberlik mekanizması geliştirmiştir. Nisan 2025 "Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler” 4 dokümanı ile başlayan bu süreç, teknolojinin üretken modellere evrilmesiyle birlikte Kasım 2025 tarihli "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi"5 ve doğrudan iş yaşamını hedef alan Mart 2026 tarihli "İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı" 6 başlıklı bilgilendirme dokümanıyla en güncel halini almıştır.
Bu rehberler ışığında, Türk veri koruma hukukunun ÜYZ yaklaşımındaki temel noktalar şunlardır:
YZ entegrasyonlarının henüz tasarım aşamasındayken veri koruma ilkelerine uygun tasarlanması, kişisel veri işlenmeksizin aynı amaca ulaşılabiliyorsa anonimleştirme tekniklerinin kullanılması esastır.
Çalışanlar tarafından YZ sistemlerine komut (prompt) olarak girilen her türlü veri, sistemin eğitiminde veya çıktı üretiminde işlenmektedir. Dolayısıyla girilen her kişisel veri, veri sorumlusu olan işverenin hukuki yükümlülüklerini doğrudan tetikler.
Projelerin başlangıcında geliştirici, servis sağlayıcı ve kullanıcı arasındaki ilişkiler analiz edilerek veri sorumlusu ve veri işleyen sıfatları sözleşmesel olarak netleştirilmelidir. Üçüncü taraflarla yapılan sözleşmelerde de veri koruma ilkeleri göz ardı edilmemelidir.
Avrupa Birliği Genel Veri Koruma Tüzüğü (“GDPR”) ile karşılaştırıldığında, Türk hukukunda Veri Koruma Etki Değerlendirmesi (DPIA) benzeri risk temelli sistematik bir analiz zorunluluğunun bulunmaması bir eksiklik olarak görünse de; Avrupa Veri Koruma Kurulu'nun (EDPB) 28/2024 sayılı Görüşü7 ve Avrupa Konseyi Yapay Zekâ Çerçeve Sözleşmesi8, AB YZ Yasası9 gibi küresel normlar, Türk hukuku bakımından doğrudan bağlayıcı olmamakla birlikte, veri koruma ve YZ
yönetişimine ilişkin risklerin değerlendirilmesinde karşılaştırmalı hukuk ve iyi uygulama bakımından önemli bir referans çerçevesi sunmaktadır.
III. Kurumlarda YZ Kullanımı ve Riskleri
İş yerlerinde ÜYZ kullanımının en kontrol dışı alanını Gölge YZ (“Shadow AI”) oluşturmaktadır. Bu kavram, çalışanların şirket yönetiminin bilgisi, onayı veya denetimi dışında, üçüncü taraflarca sunulan kamuya açık YZ araçlarını kurumsal işler için kullanmasını ifade etmektedir.
ÜYZ araçlarına girilen verilerin nasıl işlendiği; kullanılan hizmetin teknik mimarisine, sağlayıcının veri saklama ve model geliştirme politikalarına ve kurumsal hesap ayarlarına göre değişebilmektedir. Özellikle üçüncü taraflarca sunulan kamuya açık araçlara aktarılan kaynak kodları, finansal stratejiler, müşteri bilgileri veya hassas yazışmalar; kuruluşun doğrudan kontrol alanı dışında işlenebilir, belirli sürelerle saklanabilir ve bazı durumlarda model geliştirme veya iyileştirme süreçlerinde kullanılabilir. Ayrıca yetkisiz erişim veya bilgilerin üretilen çıktılara yansıması gibi riskler de gündeme gelebilir. Bir çalışanın sisteme girdi olarak sunduğu kaynak kodları, finansal stratejiler, müşteri bilgileri veya hassas yazışmalar, modelin havuzuna dahil edilerek üçüncü kişilerin sorgularında birer çıktı olarak karşılarına çıkabilmektedir. Kaldı ki yukarıda yer verdiğimiz anket sonuçları da çalışanların tamamen iyi niyetli dahi olsa herkesin erişimi olan YZ sitemlerini iş faaliyetlerini yerine getirmek amacıyla kullandığını göstermektedir. Bu durum şu 5 temel risk alanını yaratır:
Çalışanlar herkese açık YZ sistemlerini genelde kendi bilgisayar ya da telefonlarında kullandıkları için kurumsal denetim sırasında bu aygıtlar, işverenin bilgisi dahilinde olmadığı için kontrol edilmemektedir; bilgi teknolojileri denetimine tabi olmayan araçlarda kurumsal denetim izi oluşmadığı için, olası bir veri ihlalinde sızıntının kaynağını tespit etmek ve mevzuata uygunluğu ispatlamak imkânsız hale gelir.
Kullanıcıların, YZ’nin ürettiği halüsinasyonları (gerçek dışı ancak son derece tutarlı görünen uydurma içerikler) sorgulamadan doğru kabul etmesi ve insani muhakemeyi devre dışı bırakması; buna otomasyon ön yargısı da denilmektedir, şirketleri ağır finansal ve operasyonel hatalara sürükleyebilir. Çalışan tarafından iş kapsamındaki faaliyetler uyarınca yapılan araştırmanın aslında gerçek ile hiçbir bağlantısının olmaması hem şirketin üçüncü taraflara karşı itibarını zedeleyecek hem de çalışanın performansını olumsuz olarak etkileyerek; çalışanın işveren nezdindeki güvenilirliğini de sarsacaktır.
Şirkete ait tescilli algoritmaların, ürün tasarımlarının veya iş stratejilerinin harici YZ araçlarına yüklenmesi, kurumsal kontrolün ve fikri mülkiyet haklarının kaybına yol açabilmektedir.
Güvensiz API'lar ve denetlenmeyen tarayıcı eklentileri, kurumsal sistemleri zararlı yazılımlara açık hale getirerek şirket ağlarının saldırı yüzeyini genişletmektedir
Çalışanların müşteri veya personel verilerini kurumsal kontrol dışında kalan harici YZ sistemleriyle paylaşması, kişisel verilerin hukuka aykırı işlenmesi veya aktarılması ve veri ihlali riskini önemli ölçüde artırmaktadır. Meseleye yalnızca çalışanların iş süreçlerinde harici YZ araçlarını kullanması olarak bakmak, konuyu eksik değerlendirmek anlamına gelecektir. Zira YZ’nin iş ilişkilerine etkisi, yalnızca çalışanların araç kullanımıyla sınırlı değildir; işverenlerin işe alım, performans değerlendirme, terfi, görev dağılımı, işyeri gözetimi ve iş sözleşmesinin sona erdirilmesi süreçlerinde YZ sistemlerinden yararlanması da ayrı bir hukuki risk alanı yaratmaktadır.
Bu noktada ilk risk alanı, algoritmik ayrımcılık ve işverenin eşit davranma borcudur. Türk İş Kanunu 5.maddesi uyarınca iş ilişkisinde cinsiyet, engellilik, din, siyasal düşünce ve benzeri sebeplerle ayrım yapılamaz. YZ destekli işe alım veya performans değerlendirme sistemleri görünürde tarafsız kriterlerle çalışsa dahi, eğitim verilerindeki eşitsizlikleri yeniden üretebilir. Bu nedenle algoritmanın doğrudan cinsiyet, yaş veya engellilik gibi korunan özellikleri kullanmaması tek başına yeterli değildir; sistemin dolaylı ayrımcılık doğurup doğurmadığı da özellikle konunun uzmanı tarafından ayrıca denetlenmelidir.
İkinci risk alanı, kişisel verilerin korunması ve otomatik karar süreçleridir. İşe alım, performans izleme veya çalışan davranışlarının değerlendirilmesi amacıyla kullanılan YZ sistemleri; adayların ve çalışanların özgeçmiş verileri, iletişim bilgileri, eğitim geçmişi, performans kayıtları, davranışsal verileri ve kimi durumlarda özel nitelikli kişisel verileri üzerinde işlem yapabilir. Bu nedenle yalnızca veri güvenliği tedbirlerinin alınması yeterli olmayacak; veri işleme amacının belirli, açık ve meşru olması, veri minimizasyonu ilkesine uyulması, çalışanların/adayların aydınlatılması ve otomatik sistemlerle aleyhe sonuç doğuran analizlere karşı itiraz mekanizmalarının kurulması gerekecektir. Nitekim KVKK, ilgili kişiye kendisi aleyhine sonuç doğuran münhasıran otomatik analizlere itiraz hakkı tanımaktadır.
Üçüncü boyut ise, AB YZ Yasası kapsamında yüksek riskli sistemlerdir. Küresel pazarlarla çalışan, AB’de faaliyet gösteren veya AB piyasasına YZ sistemi sunan şirketler bakımından AB YZ Yasası artık yalnızca teknik bir uyum konusu değil, doğrudan insan kaynakları süreçlerini etkileyen bir hukuki yükümlülük alanıdır. AB YZ Yasası; Ek III,’te işe alım ve seçim süreçlerinde adayların analiz edilmesi, başvuruların filtrelenmesi ve adayların değerlendirilmesi amacıyla kullanılan YZ sistemlerini yüksek riskli kabul etmektedir. Aynı şekilde terfi, iş ilişkisinin sona erdirilmesi, görev dağılımı, çalışan davranışlarının izlenmesi ve performans değerlendirmesi amacıyla kullanılan sistemler de yüksek riskli sistemler arasında sayılmıştır. Bu nedenle şirketlerin bu araçları kullanmadan önce yalnızca verimlilik veya objektiflik iddiasıyla hareket etmesi yeterli olmayacak; risk yönetimi, veri yönetişimi, teknik belgelendirme, insan gözetimi, şeffaflık ve kayıt altına alma mekanizmalarını da kurması gerekecektir.
Son olarak, statik YZ araçlarından Etken YZ sistemlerine geçiş, işveren sorumluluğu bakımından daha karmaşık bir tartışma yaratmaktadır. Geleneksel YZ araçlarında çalışan çoğu zaman belirli bir komut verir ve çıktıyı kendisi değerlendirir. Buna karşılık Etken YZ sistemleri, kendisine verilen hedef doğrultusunda plan yapabilen, başka sistemlere bağlanabilen, işlem başlatabilen ve bazı durumlarda insan onayı olmaksızın eyleme geçebilen yapılardır. Bu nedenle bir çalışanın iş süreçlerini böyle bir sisteme devretmesi sonucunda hatalı ödeme yapılması, ticari sır niteliğindeki bilgilerin paylaşılması, hukuka aykırı kişisel veri işlenmesi veya üçüncü kişilerle hatalı sözleşmesel taahhüt kurulması hâlinde sorumluluğun nasıl dağıtılacağı önemli bir kurumsal risk başlığı hâline gelmektedir. Bu tartışma, Türk Borçlar Kanunu anlamında adam çalıştıranın sorumluluğu, yardımcı kişi fiillerinden sorumluluk, organizasyon kusuru, işverenin gözetim ve denetim yükümlülüğü ile veri güvenliği yükümlülükleri çerçevesinde ayrıca değerlendirilmelidir.
Bu nedenle şirketler bakımından YZ politikası, yalnızca çalışanların YZ araçlarını kullanımına ilişkin kuralları belirleyen dar kapsamlı bir metin olarak tasarlanmamalıdır. Aksine bu politika; çalışanların YZ sistemleriyle etkileşimi, işverenin çalışanlar veya adaylar hakkında YZ sistemlerinden yararlanması, yüksek riskli sistemlere ilişkin AB uyum yükümlülükleri ve Etken
YZ sistemlerinin otonom eylemlerinden doğabilecek sorumluluk risklerini birlikte ele alan bütüncül bir yönetişim belgesi niteliğinde olmalıdır.
Av. Cansu Aksoy
Av. Özden Serinay Öz
KAYNAKÇA:
Kişisel Verileri Koruma Kurumu"İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı", Şubat 2026.
ManageEngine, "The Shadow AI Surge: Exploring Enterprise Security Risks and Employee Motivations in the Generative AI Era", Araştırma Raporu, Mayıs 2025.
Cybernews, "Shadow AI soaring: 59% of employees hide AI use from their bosses", Araştırma Raporu / Anket Çalışması, Eylül 2025.
Kişisel Verileri Koruma Kurumu, Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler, Nisan 2025.
Kişisel Verileri Koruma Kurumu, Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda), Kasım, 2025
Avrupa Veri Koruma Kurulu (European Data Protection Board) ,Opinion 28/2024 on Personal Data Protection in AI Model Development and Training, Aralık, 2024
Avrupa Konseyi (Council of Europe),Yapay Zekâ, İnsan Hakları, Demokrasi ve Hukukun Üstünlüğü Çerçeve Sözleşmesi,Eylül, 2024.
Avrupa Birliği Yapay Zekâ Tüzüğü, Regulation (EU) 2024/1689 of the European Parliament and of the Council,Temmuz, 2024.
Jeffrey Dastin, Amazon scraps secret AI recruiting tool that showed bias against women, Reuters Ekim 2018.