AI kullanım denetiminin en kritik parçası yazılım değil, çalışana verilen bildirim. KVKK'nın 10. maddesi kişisel verilerin elde edilmesi sırasında aydınlatma yapılmasını zorunlu kılar ve bu yükümlülük rızadan bağımsızdır: meşru menfaate dayansanız bile aydınlatmak zorundasınız. Bildirimin eksikliği yalnızca idari bir kusur değil, denetimden çıkan bulguların kullanılabilirliğini de tartışmalı hale getirir.
Aşağıda metnin zorunlu unsurları, sık yapılan hatalar ve uyarlayabileceğiniz bir taslak var. Taslağı olduğu gibi yayımlamayın; kendi işleme envanterinize göre doldurup hukuk müşavirinize onaylatın.
Metnin zorunlu unsurları
Kanun'un 10. maddesi asgari içeriği sayar. AI denetimi bağlamındaki karşılıkları şöyle:
| Zorunlu unsur | AI denetiminde karşılığı |
|---|---|
| Veri sorumlusunun kimliği | Şirket unvanı, adres, iletişim kanalı, varsa temsilci |
| İşleme amacı | Lisans yönetimi, gizli bilgi sızıntısının önlenmesi, politika uyumu |
| Aktarım | AI sağlayıcıları, denetim aracı tedarikçisi, gerekirse yurt dışı |
| Toplama yöntemi | Kurumsal AI hesaplarının yönetim API'si veya dışa aktarım kayıtları |
| Hukuki sebep | Meşru menfaat veya duruma göre hukuki yükümlülük |
| İlgili kişi hakları | Kanun'un 11. maddesindeki haklar ve başvuru yolu |
Zorunlu unsurların ötesi
Bunlar zeminidir, tavanı değil. Denetimin güvenilir olması için metnin ayrıca şu üç soruyu net cevaplaması gerekir: ne toplanmıyor, hangi durumda kişi bazlı inceleme açılıyor, bir bulgu üretildiğinde ne oluyor. Bu üçü, çalışanın gerçekten merak ettiği sorulardır ve cevapsız bırakıldıklarında metin bir uyum formalitesine dönüşür.
Sık yapılan beş hata
Amacın belirsiz yazılması. "Bilgi güvenliğinin sağlanması" tek başına belirli, açık ve meşru bir amaç sayılmaz. Amaç somut olmalı ki sınırı da ölçülebilsin.
Toplanmayanın yazılmaması. Çalışanın asıl sorusu "her yazdığımı okuyor musunuz" sorusudur. Metin bunu açıkça cevaplamıyorsa, bildirim işlevini görmez. Neyin toplanmadığını yazmak, neyin toplandığını yazmak kadar önemlidir.
Rıza formu ile karıştırılması. Aydınlatma metni bilgilendirmedir, onay değil. Altına imza kutusu koyup rıza belgesine dönüştürmek, iş ilişkisindeki bağımlılık nedeniyle zaten kırılgan olan rıza zeminine gereksiz bir bağımlılık yaratır. Tebliğ imzası ile rıza farklı şeylerdir; ayrım metinde açık olmalı.
Zamanlama. Aydınlatma, işleme başlamadan önce yapılmalı. Denetim üç aydır çalışıyorsa, bugünkü metin geçmişi düzeltmez.
Güncellenmemesi. Kapsam genişlediğinde veya saklama süresi değiştiğinde metin de değişmeli. Sürüm ve tarih taşımayan metin, denetimde tarihlendirilemez.
Bildirim, işlemeyi hukuka uygun hale getirmez; yalnızca şeffaflık yükümlülüğünü karşılar. Arkasında geçerli bir hukuki sebep, yazılı bir meşru menfaat denge testi ve ölçülülüğü sağlayan teknik kısıtlar yoksa, en iyi yazılmış metin bile denetimi ayakta tutmaz. Metni yayımlamadan önce KVKK çerçevesini tamamlayın.
Uyarlanabilir taslak
Aşağıdaki taslak, Türkiye'de kurulu bir işveren için başlangıç noktasıdır. Köşeli parantezli alanları doldurun, kullanmadığınız satırları silin. Sildiğiniz her satırın karşılığının sistemde de kapalı olduğundan emin olun.
[ŞİRKET UNVANI]
YAPAY ZEKA ARAÇLARI KULLANIMINA İLİŞKİN ÇALIŞAN AYDINLATMA METNİ
Sürüm: [1.0] Yürürlük tarihi: [GG.AA.YYYY]
1. VERİ SORUMLUSU
[Şirket unvanı], [adres] adresinde mukim olup, 6698 sayılı Kişisel
Verilerin Korunması Kanunu uyarınca veri sorumlusudur.
İletişim: [kvkk@sirket.com]
2. İŞLEMENİN KONUSU
Şirketimizce tahsis edilen kurumsal yapay zeka araçları
([Claude, ChatGPT vb.]) üzerindeki kullanım kayıtları işlenir.
İşleme yalnızca kurumsal hesapları kapsar; çalışanların kişisel
hesaplarını, kişisel cihazlarını veya iş dışı iletişimini
kapsamaz.
3. İŞLENEN VERİ KATEGORİLERİ
a) Kullanım metaverisi: hesap kimliği, oturum zamanı, kullanılan
model, oturum ve mesaj sayısı, token hacmi.
b) Türetilmiş sinyaller: oturumun iş ile ilişkili olup
olmadığına dair sınıflandırma sonucu; gizli bilgi (parola, API
anahtarı, erişim jetonu) deseni tespit edilip edilmediği ve
desenin türü.
c) [Varsa] Sinyal üretilen oturumlarda incelemeye konu metin
parçası.
4. İŞLENMEYEN VERİLER
Tespit edilen gizli bilgi dizisinin kendisi saklanmaz; yalnızca
türü ve geri döndürülemez özet değeri kaydedilir. Sinyal
üretmeyen oturumların metin içeriği saklanmaz. Çalışanın ruh
hali, duygu durumu veya kişilik özelliklerine ilişkin hiçbir
çıkarım yapılmaz. Verilerden bireysel performans puanı
üretilmez.
5. İŞLEME AMAÇLARI
a) Şirket tarafından ödenen lisansların tahsisinin ve kullanımının
yönetilmesi,
b) Şirkete veya müşterilere ait gizli bilgilerin ve kimlik
doğrulama bilgilerinin üçüncü taraf sistemlere aktarılmasının
önlenmesi,
c) Bilgi güvenliği politikalarına uyumun izlenmesi ve ihlallerin
tespiti.
Veriler bu amaçlar dışında, özellikle bireysel performans
değerlendirmesinde kullanılmaz.
6. HUKUKİ SEBEP
Kanun'un 5. maddesindeki, ilgili kişinin temel hak ve
özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru
menfaati için işlemenin zorunlu olması hukuki sebebine
dayanılmaktadır. Denge testi yazılı olarak yapılmış olup talep
halinde özeti paylaşılır.
7. KİŞİ BAZLI İNCELEME
Raporlama varsayılan olarak birim düzeyinde ve topludur. Kişi
bazlı inceleme yalnızca [tanımlı eşik: örneğin doğrulanmış bir
gizli bilgi sinyali] oluştuğunda, [Bilgi Güvenliği] ve [İnsan
Kaynakları] ortak onayıyla ve amaçla sınırlı yapılır. Her erişim
kayıt altına alınır.
8. BULGU ÜRETİLDİĞİNDE İZLENECEK SÜREÇ
Otomatik sinyaller tek başına bir tespit veya disiplin kararı
teşkil etmez. Kişi bazlı inceleme açıldığında ilgili çalışan
[X iş günü] içinde bilgilendirilir, açıklama yapma imkanı
tanınır ve itirazını [kanal] üzerinden iletebilir.
9. AKTARIM
Veriler; kurumsal yapay zeka hizmet sağlayıcıları ve denetim
aracı tedarikçisi [tedarikçi adı] ile paylaşılır. [Yurt dışına
aktarım varsa: aktarım Kanun'un öngördüğü mekanizmalar
çerçevesinde yapılmaktadır.] Yasal yükümlülük halinde yetkili
kamu kurumlarına aktarım yapılabilir.
10. TOPLAMA YÖNTEMİ
Veriler, kurumsal yapay zeka hesaplarının yönetim ve programlama
arayüzleri üzerinden otomatik yollarla elde edilir.
11. SAKLAMA SÜRESİ
Kullanım metaverisi [12] ay, türetilmiş sinyaller [12] ay,
inceleme kayıtları [24] ay saklanır; süre sonunda silinir veya
anonim hale getirilir.
12. HAKLARINIZ
Kanun'un 11. maddesi uyarınca; verilerinizin işlenip
işlenmediğini öğrenme, işlenme amacını ve aktarıldığı üçüncü
kişileri öğrenme, düzeltilmesini, silinmesini veya yok
edilmesini isteme, münhasıran otomatik sistemlerle analiz
edilmesi suretiyle aleyhinize bir sonuç doğmasına itiraz etme
ve zararınızın giderilmesini talep etme haklarına sahipsiniz.
Başvurularınızı [kanal / adres] üzerinden iletebilirsiniz.Metni doldururken her satırı sisteminizde doğrulayın. 4. bölümde "saklanmaz" yazdığınız bir alan gerçekten saklanmıyor mu, 11. bölümdeki süre sonunda silme işi gerçekten çalışıyor mu, 7. bölümdeki çift onay teknik olarak zorunlu mu? Doğrulanmamış her cümle, denetimde aleyhinize kanıt haline gelir. Metin, sistemin taahhüdüdür.
Metni nasıl duyurmalı
Yayımlamak yeterli değil; ulaştığını gösterebilmek gerekir. Pratikte işe yarayan üç kanal: kurumsal AI hesabı ilk açılırken gösterilen ekran içi bildirim, tebliğ kaydı tutulan e-posta ve intranette sürüm geçmişiyle tutulan kalıcı sayfa. Üçü birlikte hem tebliğ ispatını hem de güncel metnin erişilebilirliğini sağlar.
Bildirimi bir yasak duyurusu gibi değil, sistemin ne yapıp ne yapmadığını anlatan bir açıklama gibi kurgulayın. Çalışanların kurumsal hesaptan kişisel hesaba kaçmasının en yaygın nedeni, denetimin sınırının bilinmemesidir. Bu kaçışın neden politikayla durdurulamadığını gölge AI'ı yasaklamak neden işe yaramıyor yazısında ele aldık.
Kontrol listesi
- Metni denetim başlamadan önce yayımlayın.
- 10. maddedeki zorunlu unsurların hepsinin karşılığını yazın.
- Neyin toplanmadığını ayrı bir başlıkta açıkça belirtin.
- Kişi bazlı incelemenin eşiğini ve onay mekanizmasını metne koyun.
- İtiraz kanalını ve süresini yazın.
- Aydınlatma ile rızayı karıştırmayın; imza alıyorsanız tebliğ imzası olduğunu belirtin.
- Saklama sürelerini gerçek sistem davranışıyla doğrulayın.
- Sürüm numarası ve yürürlük tarihi ekleyin, eski sürümleri arşivleyin.
- Tebliğ kaydını saklayın; ekran içi bildirim ve e-postayı birlikte kullanın.
- Kapsam her değiştiğinde metni güncelleyip yeniden duyurun.