AB'de faaliyet gösteren veya AB'de çalışanı olan bir şirket, AI kullanım denetimini iki ayrı mevzuat katmanına karşı savunmak zorunda. GDPR, denetimin kişisel veri boyutunu düzenler. AI Yasası ise hem denetlenen araçları hem de denetim için kullandığınız aracın kendisini kapsayabilir. Bu ikisini ayrı ayrı düşünmek, çoğu uyum programının ilk hatası.
Aşağıdaki çerçeve genel niteliktedir. Üye devletlerin istihdam alanında kendi kuralları olabileceği için, nihai değerlendirmeyi yerel hukuk danışmanınızla yapın.
GDPR tarafı: hukuki dayanağı doğru seçmek
İşyeri izlemesinde rıza (Madde 6(1)(a)) pratikte kullanılabilir bir dayanak değil. Avrupa Veri Koruma Kurulu'nun rıza rehberi ve daha önce Madde 29 Çalışma Grubu'nun işyerinde veri işlemeye ilişkin görüşü, işveren ile çalışan arasındaki güç dengesizliği nedeniyle rızanın nadiren özgürce verilmiş sayılabileceğini vurgular. Rızanın her an geri alınabilir olması da denetimi operasyonel olarak sürdürülemez kılar.
Kalan gerçekçi dayanak Madde 6(1)(f), yani meşru menfaattir. Bu maddeyi kullanmak, üç ayaklı bir testi belgelemek anlamına gelir:
| Test ayağı | Sorulan soru | Zayıf cevap | Güçlü cevap |
|---|---|---|---|
| Amaç | Menfaat meşru ve somut mu? | "Verimliliği artırmak" | "Müşteri kimlik bilgilerinin harici modellere yapıştırılmasını engellemek" |
| Gereklilik | Daha az müdahaleci yol var mı? | Test edilmedi | Eğitim ve teknik engelleme denendi, kalan risk ölçüldü |
| Denge | Çalışanın makul beklentisi korunuyor mu? | Gizli izleme | Önceden bildirim, toplu raporlama, eşikli erişim |
Madde 88, istihdam bağlamında üye devletlere daha özel kurallar koyma yetkisi verir. Almanya'da işletme konseyinin (Betriebsrat) izleme sistemleri üzerinde ortak karar hakkı, Fransa'da CSE bilgilendirme ve danışma yükümlülüğü buradan doğar. AB genelinde tek tip bir izleme politikası yayımlamak, bu nedenle çoğu zaman çalışmaz.
Birçok üye devlette izleme sistemi devreye almadan önce işletme konseyi veya çalışan temsilcileriyle istişare zorunludur. Bu adımın atlanması, GDPR açısından kusursuz kurgulanmış bir denetimi bile ulusal iş hukuku açısından sakat hale getirebilir. Bazı ülkelerde yaptırım, sistemin geriye dönük olarak kullanılamaz sayılmasına kadar gidebilir.
DPIA ne zaman zorunlu
Madde 35, işlemenin yüksek risk taşıması halinde veri koruma etki değerlendirmesini zorunlu kılar ve sistematik izleme ile kişisel yönlerin sistematik ve kapsamlı değerlendirmesini açıkça örnek olarak sayar. Çalışanların AI kullanımını sürekli izleyen bir sistem bu tanıma rahatlıkla girer. Pratik yaklaşım, DPIA'yı zorunlu kabul edip yapmaktır; gerekmediği sonucuna varsanız bile bu kararın gerekçesi belgelenmiş olur.
DPIA'nın denetim aracına özgü olarak cevaplaması gereken sorular:
- Ham prompt içeriği saklanıyor mu, yoksa yalnızca türetilmiş sinyal mi?
- Sınıflandırma hatası bir çalışan hakkında yanlış sonuca yol açarsa telafi mekanizması nedir?
- Bulgulara kim erişiyor, erişim kaydı tutuluyor mu?
- Veriler AB dışına aktarılıyor mu, hangi mekanizmayla?
- Otomatik bir karar üretiliyor mu? Üretiliyorsa Madde 22 devreye girer ve insan müdahalesi şart olur.
Madde 5'teki veri minimizasyonu ve Madde 25'teki tasarımdan gelen veri koruma ilkeleri, bu soruların cevabını ürün mimarisine gömmenizi bekler. Sonradan eklenen bir maskeleme katmanı, denetimde aynı ağırlığı taşımaz.
AI Yasası tarafı: iki yönlü kapsam
AB Yapay Zeka Yasası 2024'te yürürlüğe girdi ve yükümlülükleri kademeli olarak uygulanıyor. Takvim Temmuz 2026'da değişti ve bu değişiklik doğrudan işyeri denetimini ilgilendiriyor.
24 Temmuz 2026'da Resmî Gazete'de yayımlanan ve 27 Temmuz 2026'da yürürlüğe giren (AB) 2026/1744 sayılı Tüzük ("Dijital Omnibus"), yüksek riskli sistemlere ilişkin takvimi erteledi. Güncel durum:
| Tarih | Yürürlüğe giren | Durum |
|---|---|---|
| 2 Şubat 2025 | Yasak uygulamalar (Md. 5), AI okuryazarlığı (Md. 4) | Değişmedi |
| 2 Ağustos 2025 | Genel amaçlı modeller, yönetişim, yaptırımlar (Md. 99) | Değişmedi |
| 2 Ağustos 2026 | Genel uygulama, şeffaflık (Md. 50) | Değişmedi |
| 2 Aralık 2027 | Ek III yüksek risk — istihdam dahil | 2 Ağustos 2026'dan ertelendi |
| 2 Ağustos 2028 | Ek I gömülü yüksek risk | 2027'den ertelendi |
İnternetteki yazıların neredeyse tamamı istihdam alanındaki yüksek risk yükümlülüklerinin 2 Ağustos 2026'da başlayacağını söyler. Bu artık doğru değil; tarih 2 Aralık 2027'ye ertelendi. Ayrıca Komisyon'un önerdiği "standartlar hazır olunca uygulansın" şartlı tetikleyicisi yasalaşmadı — sabit takvim tarihleri kabul edildi. Bu tür bir yazı okuduğunuzda yayın tarihine bakın.
Ertelemenin sizi rahatlatmaması gereken iki nokta var. Birincisi, yasak uygulamalar ve yaptırım hükümleri zaten yürürlükte — aşağıdaki duygu tanıma yasağı bugün bağlayıcı. İkincisi, GDPR yükümlülükleri AI Yasası'ndan bağımsız olarak halihazırda işliyor; ertelenen sadece AI Yasası'nın yüksek risk katmanı.
AI Yasası'nın yasak uygulamalar maddesi, işyerinde ve eğitim kurumlarında gerçek kişilerin duygularını çıkarım yoluyla tespit eden AI sistemlerini yasaklar; istisna yalnızca tıbbi veya güvenlik amaçlıdır. Bir AI kullanım denetim aracının prompt metninden çalışanın ruh hali, stres düzeyi veya memnuniyetsizliği hakkında çıkarım yapması bu yasağın kapsamına girer. Denetim aracınızın böyle bir özellik sunmadığını tedarikçi sözleşmesinde açıkça teyit ettirin.
İkinci ve daha az fark edilen nokta: AI Yasası'nın yüksek riskli sistemler listesi, istihdam ve çalışan yönetimi alanını ayrı bir başlık olarak sayar ve bu başlık altında çalışanların performansını ve davranışını izlemeye ve değerlendirmeye yönelik sistemleri açıkça anar. Yani AI kullanımını denetleyen aracın kendisi, kurgusuna bağlı olarak yüksek riskli sayılabilir. Bu durumda uygulayıcı olarak insan gözetimi, kullanım talimatlarına uygunluk, log tutma ve çalışanları bilgilendirme yükümlülükleriniz doğar.
Bu ayrımı netleştirmek için, aracın ne ürettiğine bakın. Politika ihlali sinyali üreten bir sistem ile çalışan hakkında değerlendirme skoru üreten bir sistem, aynı veriden beslenseler bile farklı risk sınıfına düşerler. Amaç genişlemesini kontrol altında tutmak, burada doğrudan bir uyum tedbiridir. Konuya kavramsal giriş için gölge AI ile shadow prompting arasındaki farkı ele alan yazıya bakabilirsiniz.
Takvim ve değişiklik riski
AI Yasası'nın uygulama takvimi üzerinde AB kurumları düzeyinde değişiklik önerileri gündeme geldi. Belirli bir tarihe dayanarak proje planı kuruyorsanız, o tarihi yayın anında Resmî Gazete ve Komisyon kaynaklarından doğrulayın; ikincil kaynaklara güvenmeyin.
GDPR ve AI Yasası'nı birlikte okumak
İki mevzuat birbirinin yerine geçmez, üst üste biner. Aynı denetim aracı için:
| Soru | GDPR cevabı | AI Yasası cevabı |
|---|---|---|
| İşleme yapılabilir mi? | Madde 6(1)(f) meşru menfaat testi | Yasak uygulama kapsamında değilse evet |
| Belge gerekir mi? | DPIA, işleme kayıtları, denge testi | Risk sınıflandırması, uygulayıcı yükümlülükleri |
| Çalışan ne öğrenmeli? | Madde 13 bilgilendirme | Yüksek riskli sistem kullanımına dair bildirim |
| İnsan kararı şart mı? | Otomatik karar varsa Madde 22 | Yüksek riskliyse insan gözetimi |
Kontrol listesi
- Rızayı dayanak olarak kullanmayın; Madde 6(1)(f) testini yazılı yapın.
- Faaliyet gösterdiğiniz her üye devlet için Madde 88 kapsamındaki ulusal kuralları ayrı kontrol edin.
- İşletme konseyi veya çalışan temsilcisi istişaresini sistem devreye girmeden tamamlayın.
- DPIA'yı zorunlu varsayarak yapın ve karar gerekçesini saklayın.
- Denetim aracının duygu veya ruh hali çıkarımı yapmadığını sözleşmeyle teyit ettirin.
- Aracın yüksek riskli sayılıp sayılmadığını yazılı olarak değerlendirin; sonucu güncelleyin.
- Otomatik karar üretiliyorsa insan incelemesini ve itiraz yolunu tanımlayın.
- Veri aktarımı mekanizmasını ve alt işleyen zincirini haritalayın.
- Uygulama tarihlerini resmi kaynaktan doğrulayın; mevzuat takvimi değişebilir.
- Yılda bir kez DPIA'yı ve risk sınıflandırmasını yeniden gözden geçirin.