Çalışanların Yapay Zekâ Kullanımı ve İşverenin Hukuki Riskleri

Üretken yapay zekâ araçları, çalışanların günlük iş akışlarının olağan bir parçası hâline gelmiştir. Bir sözleşmeyi özetletmek, müşteriye gönderilecek bir e-postayı kaleme aldırmak, bir veri tablosunu analiz ettirmek veya bir yazılım kodunu denetletmek için çalışanlar, çoğu zaman işverenin bilgisi ve onayı dışında, kurumsal verileri kamuya açık yapay zekâ sistemlerine girmektedir. Literatürde “gölge yapay zekâ” olarak adlandırılan bu olgu, işveren bakımından veri koruma, ticari sır ve iş hukuku eksenlerinde ciddi hukuki riskler doğurmaktadır. Türkiye’de yapay zekâyı bütüncül biçimde düzenleyen özel bir kanun henüz yürürlükte bulunmadığından, bu riskler de mevcut genel mevzuat hükümleri ve Kişisel Verileri Koruma Kurumu’nun 24.11.2025 tarihli “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)” gibi düzenleyici metinler çerçevesinde değerlendirilmektedir.

Veri Paylaşımı ve “Gölge Yapay Zekâ”

Üretken yapay zekâ araçlarının doğası gereği, sistemden çıktı alabilmek için ona veri sağlanması gerekir. Bir çalışan, sözleşmeyi özetletmek istediğinde sözleşmenin içeriğini; satış raporunu analiz ettirmek istediğinde müşteri ve fiyat bilgilerini; bir hatayı çözdürmek istediğinde ise şirketin kaynak kodunu sisteme girer. Bu araçların önemli bir kısmının ücretsiz veya bireysel sürümlerinde, kullanıcı tarafından girilen verilerin model eğitiminde kullanılabilmesi ve sunucuların yurt dışında konumlanması, riski daha da büyütmektedir. İşverenin çoğu zaman bu kullanımdan haberdar olmaması, riskin kontrol edilebilirliğini ortadan kaldırmakta ve hukuki sorumluluğu işveren üzerinde bırakmaktadır.

1. KVKK Bakımından İşverenin Sorumluluğu

Bir çalışanın; müşterilere, iş ortaklarına veya diğer çalışanlara ait kişisel verileri herhangi bir üretken yapay zekâ aracına girmesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu anlamında bir kişisel veri işleme faaliyeti teşkil eder. Burada belirleyici olan eşik, verinin gerçek bir kişiyi doğrudan veya dolaylı olarak tanımlanabilir kılıp kılmadığıdır. Bu faaliyet bakımından veri sorumlusu sıfatı, kural olarak çalışanda değil işverende olduğundan; “çalışanım yaptı” veya “aracı sistem otomatik üretti” savunması, işverenin veri sorumlusu olarak taşıdığı yükümlülükleri tamamen ortadan kaldırmaz. Üstelik söz konusu araçların sunucularının yurt dışında bulunması hâlinde bu paylaşım, 6698 sayılı Kanun’un 7499 sayılı Kanun ile değiştirilen 9. maddesindeki yurt dışına aktarım rejimine de tabidir.

İşveren, veri sorumlusu olarak; Kanun’un 4. maddesindeki genel ilkelere (özellikle amaçla bağlılık ve ölçülülük), 10. maddesindeki aydınlatma yükümlülüğüne ve 12. maddesi uyarınca kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önleyecek uygun teknik ve idari tedbirleri alma yükümlülüğüne uymak zorundadır. Bu yükümlülüklere aykırılık hâlinde Kanun’un 18. maddesi uyarınca idari para cezaları gündeme gelebileceği gibi, ilgili kişiler bakımından maddi ve manevi tazminat sorumluluğu da doğabilir. Nitekim Kişisel Verileri Koruma Kurulu, çalışanlara ait kişisel verilerin hukuka aykırı biçimde işlenmesi ve açık rıza alınmaksızın aktarılması hâllerinde veri sorumlusu işverenler hakkında idari para cezaları uygulamıştır.

2. Ticari Sır ve Haksız Rekabet Bakımından Riskler

Yapay zekâ kullanımının riski kişisel verilerle sınırlı değildir. Henüz açıklanmamış ürün bilgileri, müşteri portföyleri, fiyatlandırma stratejileri, Ar-Ge çıktıları veya know-how niteliğindeki bilgilerin kamuya açık bir yapay zekâ aracına girilmesi, bu bilgilerin gizliliğini yitirmesi ve dolayısıyla ticari sır vasfını kaybetmesi riskini doğurur. Bir kez ifşa olan ticari sırrın yeniden gizli hâle getirilmesi çoğu zaman mümkün olmadığından, doğan zarar telafisi güç bir nitelik taşır.

Bu tür bir paylaşım, çeşitli hukuki sorumluluklara yol açabilir. Çalışan bakımından; 6098 sayılı Türk Borçlar Kanunu’nun 396. maddesinde düzenlenen sadakat ve sır saklama borcunun ihlali söz konusu olur. İşveren ve çalışan bakımından 6102 sayılı Türk Ticaret Kanunu’nun 55. maddesi kapsamında iş sırlarının hukuka aykırı ifşası bir haksız rekabet hâli teşkil edebilir. Eylem ağırlığına göre, 5237 sayılı Türk Ceza Kanunu’nun 239. maddesinde düzenlenen ticari sır niteliğindeki bilgilerin açıklanması suçu dahi gündeme gelebilir. Ayrıca, müşteri veya iş ortaklarına ait gizli bilgilerin ifşa edilmesi, işvereni bu taraflara karşı sözleşmesel gizlilik yükümlülüklerinin ihlali nedeniyle de sorumlu kılabilir.

3. İş Hukuku Bakımından Riskler ve İşverenin Yönetim Hakkı

Çalışanların yapay zekâ kullanımı, iş ilişkisinin tarafları arasında karşılıklı yükümlülükler doğurur. Çalışan, 6098 sayılı Kanun’un 396. maddesi uyarınca işini özenle yapmak ve işverenin haklı menfaatlerini korumakla yükümlüdür; kurumsal verileri izinsiz biçimde yapay zekâ sistemlerine aktarması bu yükümlülüğün ihlali olarak değerlendirilebilir. İşveren ise yönetim hakkı çerçevesinde, hangi araçların hangi verilerle kullanılabileceğini belirleyen talimat ve politikalar koyabilir; usulüne uygun şekilde duyurulan bu kurallar çalışanlar bakımından bağlayıcıdır.

Çalışanın, kurumsal gizli verileri yetkisiz biçimde paylaşması, somut olayın ağırlığına göre 4857 sayılı İş Kanunu’nun 25. maddesinin ikinci fıkrası kapsamında işverenin güvenini kötüye kullanma hâli sayılabilir ve haklı nedenle (tazminatsız) fesih sonucunu doğurabilir. Bununla birlikte feshin geçerliliği, fiilin ağırlığı ile ölçülülük ilkesi çerçevesinde her olayda ayrıca değerlendirilir. Diğer yandan işverenin, çalışanların yapay zekâ kullanımını denetleme yetkisi de sınırsız değildir; bu denetim, Anayasa’nın 20. maddesindeki özel hayatın gizliliği güvencesi ile Anayasa Mahkemesi ve Yargıtay içtihatlarında ortaya konan ölçütlere (meşru amaç, önceden açık bilgilendirme, ölçülülük ve en az müdahale) tabidir. Bu ölçütlere uyulmaksızın yapılan bir denetim, bizzat işveren bakımından hukuki sorumluluk doğurabilir.

Karşılaştırmalı Perspektif: AB Yapay Zekâ Tüzüğü ve “Yapay Zekâ Okuryazarlığı”

Avrupa Birliği’nin 2024/1689 sayılı Yapay Zekâ Tüzüğü, çalışan kullanımı bakımından doğrudan ilgili bir yükümlülük getirmektedir. 2 Şubat 2025 tarihinden itibaren uygulanan ve Tüzük’ün 4. maddesinde düzenlenen “yapay zekâ okuryazarlığı” yükümlülüğü uyarınca, yapay zekâ sistemlerini kullanan sağlayıcı ve işletmecilerin, bu sistemleri adına kullanan personelinin yeterli düzeyde yapay zekâ okuryazarlığına sahip olmasını sağlamak için gerekli tedbirleri alması beklenmektedir. Bu yaklaşım, riskin yalnızca teknolojiyle değil, onu kullanan insan unsuruyla da yönetilmesi gerektiğini ortaya koymaktadır. Avrupa Birliği pazarına yönelik faaliyet gösteren Türk şirketleri de, sağlayıcı veya işletmeci sıfatıyla bu ve benzeri yükümlülüklere tabi olabilir.

Sonuç

Çalışanların yapay zekâ kullanımından doğan riskler bakımından işverenin “çalışana” veya “araca” işaret ederek sorumluluktan kurtulması mümkün değildir; sorumluluk, kural olarak organizasyonun sahibi olan işveren üzerindedir. Bu çerçevede işverenlere aşağıdaki önlemleri almalarını öneririz:

• Hangi yapay zekâ araçlarının, hangi verilerle ve hangi amaçlarla kullanılabileceğini açıkça belirleyen yazılı bir kurumsal yapay zekâ kullanım politikası oluşturulması ve usulüne uygun şekilde duyurulması.
• Kişisel verilerin ve ticari sırların kamuya açık araçlara girilmesinin yasaklanması; yalnızca verilerin model eğitiminde kullanılmayacağına dair güvence içeren kurumsal sürümlerin tercih edilmesi.
• Erişim kontrolleri ve veri sızıntısı önleme gibi teknik tedbirler ile kişisel veri içeren kullanımlarda veri koruma etki değerlendirmesi yapılması.
• İş sözleşmelerine ve şirket içi yönetmeliklere gizlilik ve yapay zekâ kullanımına ilişkin açık hükümler eklenmesi; disiplin sürecinin önceden ve şeffaf biçimde belirlenmesi.
• Çalışanlara yönelik düzenli farkındalık eğitimleri verilerek yapay zekâ okuryazarlığının artırılması.
• Çalışan denetimlerinin, özel hayatın gizliliği güvencesi ile ölçülülük ve önceden bilgilendirme ilkelerine uygun biçimde yürütülmesi.

Yapay zekânın iş süreçlerine sağladığı verimlilikten güvenli biçimde yararlanmak, ancak teknolojiyi insan unsuruyla birlikte yöneten proaktif bir hukuki uyum yaklaşımıyla mümkündür.