Türkiye'de faaliyet gösteren bir şirket, çalışanlarının yapay zeka kullanımını düzenlemek istediğinde artık boşlukta değil. Kişisel Verileri Koruma Kurumu, konuyu adıyla ele alan bir doküman yayımladı ve bu doküman gölge yapay zekâyı ayrı bir başlık olarak inceliyor.
Doküman
"İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı" — doküman Şubat 2026 tarihli, kamuoyu duyurusu 5 Mart 2026'da yayımlandı.
Üç bölümden oluşuyor: genel bakış, "Gölge Yapay Zekâ" (Shadow AI) riskleri, ve dikkate alınabilecek hususlar. İkinci bölümün başlığı doğrudan bu konuyu adlandırıyor — çalışanların kurumun bilgisi, onayı ve kurumsal gözetimi dışında üretken yapay zekayı iş süreçlerine dahil etmesi.
Doküman bağlayıcı bir düzenleme değil; Kurumun beklentisini ve değerlendirme çerçevesini ortaya koyan bir rehber niteliğinde. Ama bir denetimde Kurumun hangi ölçütlerle bakacağını gösterdiği için pratik ağırlığı yüksek.
Kurumun duruşu: yasak gerçekçi değil
Dokümanın en dikkat çekici yanı, yasakçı yaklaşımı benimsememesi. Kurum, yasakçı yaklaşımların uygulamada gerçekçi sonuçlar doğurmayacağı görüşünde.
Bu, uluslararası verilerle de örtüşüyor. KPMG ve Melbourne Üniversitesi'nin 47 ülkede 48.340 kişiyle yaptığı çalışmada, politikaya aykırı yapay zeka kullanımı yapay zekanın yasaklandığı kuruluşlarda en yüksek çıktı: %67. Hiç politikası olmayan kuruluşlarda bu oran %33.
Yani yasak, ihlali azaltmıyor; görünmez hale getiriyor.
Kurumun yaklaşımı, kullanımı yasaklamak yerine denetlenebilir, görünür ve hesap verebilir hale getirmek yönünde. Bu, kurumsal politikanızı "kullanmayın" üzerine değil, "şu koşullarla kullanın ve şunları asla girmeyin" üzerine kurmanız gerektiği anlamına geliyor.
Dokümanın işaret ettiği riskler
Gölge yapay zekâ başlığı altında öne çıkan riskler:
- Hesap verebilirlik sorunu. Kullanım kurumsal bir strateji, politika veya rehberlik çerçevesinde tanımlı olmadığında, bireysel tercihlere göre şekilleniyor.
- Ticari sır ve gizlilik. Kurumsal bilginin denetimsiz araçlara aktarılması.
- Bilgi güvenliği. Verinin nereye gittiğinin ve nasıl saklandığının bilinmemesi.
- Kurumsal izlemenin güçleşmesi. Kullanım görünmez olduğunda ölçülemiyor ve yönetilemiyor.
Doküman ayrıca otomasyon ön yargısına ve halüsinasyona dikkat çekiyor: üretken yapay zekâ araçlarının ürettiği çıktılara nihai kararların dayanağı olarak yaklaşılmaması gerektiğini belirtiyor. Önyargılı veya ayrımcı sonuç riski de ayrıca anılıyor.
Hangi veriler girilmemeli
Doküman, kamuya açık üretken yapay zekâ araçlarına genel olarak girilmemesi gereken veri kategorilerini sayıyor. Bunlar arasında müşteri dosyaları, insan kaynakları verileri ve iç yazışmalar açıkça yer alıyor.
Bu liste, kurumsal politikanızın veri kategorisi bölümünü yazarken doğrudan başlangıç noktası olarak kullanılabilir.
Önerilen tedbirler
Kurumun işaret ettiği tedbirler şu başlıklarda toplanıyor:
- Hangi veri kategorilerinin girilebileceğini tanımlayan yazılı kurumsal politika
- Yapay zeka çıktısı üzerinde insan gözetimi
- Farkındalık ve eğitim programları
- Güçlendirilmiş erişim kontrolleri
- Otomasyon ön yargısı ve halüsinasyona karşı doğrulama protokolleri
Denetim yaparken: aydınlatma her şeyin merkezinde
Şirketler bu noktada haklı bir soru soruyor: çalışanların yapay zeka kullanımını denetlemek kendi başına hukuka uygun mu?
Türk hukukunda bu sorunun cevabı bir kelimeye bağlanıyor: önceden bilgilendirme.
Kurulun kurumsal e-posta incelemesine ilişkin iki kararı bunu net gösteriyor:
| Karar | Durum | Sonuç |
|---|---|---|
| 25/11/2021, 2021/1187 | Eski çalışanın kurumsal e-postasına aydınlatma yapılmaksızın erişim | İhlal, 250.000 TL idari para cezası |
| 19/01/2023, 2023/86 | Çalışanın imzalı bildirim ile haberdar edildiği e-posta izleme | İşlem tesis edilmedi |
İkinci kararda Kurul, işlemenin Kanun'un 5/2(e) ve 5/2(f) bentlerine dayandığını, yalnızca şüpheli e-postaların açıldığını ve bunun "işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma" ilkesini karşıladığını değerlendirdi.
Aradaki tek yapısal fark önceden ve açık bilgilendirmenin varlığıydı.
Anayasa Mahkemesi de aynı çizgide. E.Ü. başvurusunda (B. No. 2016/13010, 17/9/2020, Genel Kurul) Mahkeme ihlal kararı verdi ve şu ölçütü koydu: iletişim akışının incelenmesi ile içeriklerin incelenmesi arasında ayrım yapılmalı, içerik incelemesi için daha ciddi gerekçeler aranmalıdır. Mahkemeye göre önceden tam ve açık bilgilendirme yapılmadığı hâllerde çalışan makul bir mahremiyet beklentisi taşır.
Bunun ayna görüntüsü de var: Celal Oraj Altunörgü kararında (B. No. 2018/31036, 12/1/2021) Mahkeme, açık bilgilendirme yapılması durumunda kurumsal e-posta hesabının çalışanın rızası alınmadan incelenebileceğini kabul etti.
İçerik incelemesi için daha ciddi gerekçe arandığı yerleşik bir ölçüt. Bu, kategori bazlı raporlama yapan bir aracın, ham konuşma içeriğini yöneticiye açan bir araca göre neden daha savunulabilir olduğunu gösteriyor: ölçülülük ilkesi karşısında daha az müdahaleci bir yöntem varsa, onu tercih etmiş olmanız gerekir.
Ölçülülük: rıza her zaman yeterli değil
Bir yaygın yanılgıyı da düzeltmek gerekiyor: "çalışandan rıza aldık" cümlesi tek başına bir zemin oluşturmuyor.
Kurumun biyometrik veri rehberi, işçi-işveren ilişkisinde rıza göstermeme imkânının etkin biçimde sunulmadığı veya rıza göstermemenin çalışan açısından olumsuzluk doğuracağı durumlarda rızanın özgür iradeye dayandığının kabul edilemeyeceğini belirtiyor.
Kurulun 29/04/2026 tarihli ve 2026/921 sayılı İlke Kararı bunu daha da ileri taşıdı: mesai takibi amacıyla biyometrik veri işlenmesinin, geçerli bir açık rıza bulunsa dahi Kanun'un 4'üncü maddesindeki ölçülülük kriterini sağlamayacağına hükmetti. Karar, şifreli kart, PIN, RFID kimlik kartı gibi alternatif yolların kullanılması gerektiğini belirtiyor. (Resmî Gazete, 2 Haziran 2026, Sayı 33268.)
Çıkarım açık: daha az müdahaleci bir yöntem varken daha müdahaleci olanı seçmek, rıza alınmış olsa bile ölçülülüğe aykırı sayılabiliyor.
Borçlar Kanunu'ndaki sessiz sınır
Çok atıf yapılmayan ama doğrudan konuya değen bir hüküm var. Türk Borçlar Kanunu m. 419:
"İşveren, işçiye ait kişisel verileri, ancak işçinin işe yatkınlığıyla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabilir. Özel kanun hükümleri saklıdır."
İki kapılı bir sınır: veri ya işe yatkınlıkla ilgili olacak ya da sözleşmenin ifası için zorunlu olacak — ve her hâlükârda zorunlu olduğu ölçüde.
Bir yapay zeka kullanım denetimi bu testten geçebilir: ödenen koltuğun amacına uygun kullanılıp kullanılmadığı, sözleşmenin ifasıyla doğrudan ilgilidir. Ama aynı test, denetimin kapsamını da sınırlar. Çalışanın özel hayatına dair çıkarım yapan bir kurgu bu kapıdan geçemez.
Uygulama kontrol listesi
- Yazılı bir üretken yapay zeka politikası oluşturun; hangi veri kategorilerinin girilemeyeceğini açıkça sayın
- Denetim yapılacağını önceden ve açıkça bildirin; imzalı bildirim alın
- Aydınlatma metnini KVKK m. 10'a uygun biçimde güncelleyin
- İçerik incelemesi yerine kategori bazlı raporlamayı tercih edin; daha az müdahaleci yöntem varsa onu seçin
- Hassas kategorileri kişi bazında raporlamayın
- Saklama süresini belirleyin ve gerekçelendirin
- Denetim çıktısını amacı dışında kullanmayın; amaç genişlemesi ölçülülüğü bozar
- Kararınızı hukuk müşavirinize doğrulattırın
Aydınlatma metni taslağı için çalışan aydınlatma metni nasıl yazılır, genel çerçeve için KVKK kapsamında çalışan AI kullanımını denetlemek yazılarına bakabilirsiniz.
Kaynaklar
- KVKK, "İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı", doküman Şubat 2026, duyuru 5 Mart 2026 — kvkk.gov.tr/Icerik/8674
- KVKK, "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)", 24 Kasım 2025
- KVKK İlke Kararı 2026/921, 29/04/2026, RG 2 Haziran 2026, Sayı 33268
- Kurul kararları 2021/1187 (25/11/2021) ve 2023/86 (19/01/2023)
- AYM, E.Ü., B. No. 2016/13010, 17/9/2020, Genel Kurul, RG 14/10/2020-31274
- AYM, Celal Oraj Altunörgü, B. No. 2018/31036, 12/1/2021, RG 5/2/2021-31386
- KPMG / Melbourne Üniversitesi, 47 ülke, n=48.340, yayın Nisan 2025
Bu yazı hukuki tavsiye değildir.