Yapay Zekâ Kullanan Şirketlerin Hukuki Sorumluluğu

Yapay zekâ araçları; müşteri hizmetlerinden pazarlama içeriklerinin üretimine, yazılım geliştirmeden sözleşme ve belge taslaklarının hazırlanmasına, hatta işe alım ve kredi değerlendirmesi gibi karar destek süreçlerine kadar şirketlerin günlük operasyonlarının ayrılmaz bir parçası hâline gelmiştir. Ne var ki bu hızlı benimseme, beraberinde önemli hukuki riskleri de getirmektedir. Türkiye’de hâlihazırda yapay zekâyı bütüncül biçimde düzenleyen özel bir kanun yürürlükte bulunmadığından, yapay zekâ kullanan şirketlerin sorumluluğu büyük ölçüde mevcut genel mevzuat hükümleri çerçevesinde değerlendirilmektedir.

Türkiye’de Mevcut Hukuki Çerçeve ve Düzenleme Eğilimi

Türk hukukunda yapay zekâya özgü, sorumluluk rejimini bütünüyle düzenleyen bağımsız bir kanun henüz mevcut değildir. 2024 ve 2025 yıllarında Türkiye Büyük Millet Meclisi’ne bu alanda birden fazla kanun teklifi sunulmuş olup, söz konusu teklifler genel olarak yapay zekânın hukuki tanımının yapılması, üretilen içeriklerin etiketlenmesi (özellikle deepfake içerikler), içerik sorumluluğu, eğitim verisi şeffaflığı ve idari yaptırımlar gibi başlıklara odaklanmaktadır. Bununla birlikte bu teklifler hâlen komisyon aşamasında olup kanuni bir çerçeveye kavuşmamıştır. Dolayısıyla yapay zekâ kullanımından doğan sorumluluk, bugün itibarıyla 6698 sayılı Kişisel Verilerin Korunması Kanunu, 5846 sayılı Fikir ve Sanat Eserleri Kanunu, 6769 sayılı Sınai Mülkiyet Kanunu, 6098 sayılı Türk Borçlar Kanunu, 6102 sayılı Türk Ticaret Kanunu ve 6502 sayılı Tüketicinin Korunması Hakkında Kanun gibi mevcut düzenlemelerin yorumlanması yoluyla belirlenmektedir.

Bu boşluğu kısmen dolduran önemli bir gelişme, Kişisel Verileri Koruma Kurumu tarafından 24.11.2025 tarihinde yayımlanan “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)” olmuştur. Bağlayıcı bir düzenleme niteliği taşımamakla birlikte Rehber, üretken yapay zekâ sistemlerinin yaşam döngüsü boyunca gerçekleştirilen kişisel veri işleme faaliyetlerini 6698 sayılı Kanun çerçevesinde değerlendirmekte ve veri sorumlularına somut yönlendirmeler sunmaktadır.

1. Veri Güvenliği Bakımından Sorumluluk

Şirketlerin yapay zekâ kullanımında karşılaştığı en yaygın hukuki risklerin başında kişisel verilerin korunması gelmektedir. Bir çalışanın müşteri bilgilerini, çalışan özlük verilerini veya iş ortaklarına ait verileri herhangi bir üretken yapay zekâ aracına girmesi, 6698 sayılı Kanun anlamında bir kişisel veri işleme faaliyeti teşkil eder. Üstelik bu araçların büyük çoğunluğunun sunucularının yurt dışında bulunması nedeniyle, bu tür bir paylaşım aynı zamanda yurt dışına veri aktarımı niteliği taşıyabilir. Bu durumda 6698 sayılı Kanun’un 12.03.2024 tarihli ve 7499 sayılı Kanun ile köklü biçimde değiştirilen 9. maddesindeki aktarım rejimine (yeterlilik kararı, uygun güvenceler veya arızi hâllere ilişkin koşullar) uyulması zorunludur.

6698 sayılı Kanun’un 12. maddesi uyarınca veri sorumluları, kişisel verilerin hukuka aykırı olarak işlenmesini ve verilere hukuka aykırı erişilmesini önlemek amacıyla uygun teknik ve idari tedbirleri almakla yükümlüdür. Kurum’un üretken yapay zekâ rehberinde bu kapsamda; veri koruma etki değerlendirmesi yapılması, mahremiyet artırıcı teknolojilerin kullanılması, istem enjeksiyonu gibi yapay zekâya özgü zafiyetlere karşı teknik kontroller uygulanması ile tasarımdan itibaren ve varsayılan olarak mahremiyet ilkelerinin benimsenmesi tavsiye edilmektedir. Bu yükümlülüklere aykırılık hâlinde Kanun’un 18. maddesi uyarınca idari para cezaları gündeme gelebileceği gibi, bir veri ihlali yaşanması durumunda veri sorumlusunun en kısa sürede ve her hâlde 72 saat içinde Kurul’a, ilgili kişilere ise makul olan en kısa sürede bildirimde bulunma yükümlülüğü doğar.

Veri güvenliği boyutu yalnızca kişisel verilerle de sınırlı değildir. Ticari sır niteliğindeki bilgilerin, müşteri portföylerinin veya henüz açıklanmamış stratejik belgelerin kamuya açık yapay zekâ araçlarına girilmesi, bu bilgilerin model eğitiminde kullanılması veya ifşa edilmesi riskini doğurarak şirketi hem sözleşmesel gizlilik yükümlülüklerinin ihlali hem de haksız rekabet bakımından sorumlulukla karşı karşıya bırakabilir.

2. Fikrî Mülkiyet İhlali Bakımından Sorumluluk

Yapay zekâ kullanımının fikrî mülkiyet boyutu, biri çıktının korunması diğeri ise üçüncü kişilerin haklarının ihlali olmak üzere iki yönlü bir risk yaratır. 5846 sayılı Kanun’un 1/B maddesi uyarınca bir ürünün “eser” olarak korunabilmesi için sahibinin hususiyetini taşıması ve bir gerçek kişi tarafından meydana getirilmiş olması gerekir. Bu nedenle, insan müdahalesi olmaksızın yalnızca genel bir komutla tamamen otonom biçimde üretilen çıktılar kural olarak eser sayılmamakta ve telif korumasından yararlanamamaktadır. Bunun pratik sonucu, şirketin yapay zekâya ürettirdiği bir içerik üzerinde münhasır bir hak iddia edememesi ve içeriği üçüncü kişilerin kullanımına karşı koruyamaması olabilir. Buna karşılık, kullanıcının ayrıntılı, özgün ve yaratıcı yönlendirmelerle sürece anlamlı bir katkı sunduğu hâllerde hususiyet unsurunun karşılanması ve eser korumasının doğması mümkündür.

İkinci ve şirketler açısından daha riskli boyut, çıktının üçüncü kişilere ait hakları ihlal etmesidir. Yapay zekâ aracılığıyla üretilen bir görsel, metin veya kodun mevcut bir eseri çoğaltması ya da işlemesi, 5846 sayılı Kanun kapsamında çoğaltma, yayma ve işleme haklarının ihlaline; başkasına ait bir markayı içermesi 6769 sayılı Kanun kapsamında marka hakkına tecavüze; bir kişinin görüntüsünü veya kimliğini izinsiz kullanması ise Türk Medeni Kanunu kapsamında kişilik haklarının ihlaline yol açabilir. Telif korumasının bulunmadığı hâllerde dahi, 6102 sayılı Kanun’un haksız rekabete ilişkin hükümleri devreye girebilir. Önemle belirtmek gerekir ki, yapay zekâ sağlayıcılarının kullanım koşullarında çıktının ticari kullanımına izin verilmesi, söz konusu çıktının üçüncü kişi haklarını ihlal etmediği anlamına gelmez; ihlalden doğan sorumluluk çoğu hâlde aracı kullanan şirkette kalır.

3. Yanlış veya Hatalı Çıktı Kaynaklı Sorumluluk

Üretken yapay zekâ sistemlerinin yapısal bir özelliği, gerçeğe aykırı ancak inandırıcı görünen içerikler üretebilmesidir. Şirketin yapay zekâdan elde ettiği hatalı, eksik, yanıltıcı veya ayrımcı bir çıktıya dayanarak işlem tesis etmesi çeşitli sorumluluk hâllerini doğurabilir. Üçüncü kişilere verilen zararlar bakımından 6098 sayılı Kanun’un haksız fiile ilişkin 49. ve devamı maddeleri; sözleşmesel ilişkilerde ise borca aykırılığa ilişkin 112. madde uygulama alanı bulur. Burada kritik nokta şudur; yapay zekâ hukuken bir hak süjesi olmadığından, şirket sorumluluğu “araca” devredemez. Aksine, yapay zekâ sistemi ifa sürecinde kullanılan bir yardımcı araç konumunda olduğundan, 6098 sayılı Kanun’un ifa yardımcısının fiilinden sorumluluğu düzenleyen 116. maddesi çerçevesinde sonuçlar doğrudan şirkete izafe edilir.

Ticari işletmeler bakımından 6102 sayılı Kanun’un 18. maddesinin ikinci fıkrasındaki basiretli tacir ölçütü, sorumluluğu ağırlaştıran bir unsur olarak öne çıkar. Bir tacirin, çıktısını doğrulamaksızın yapay zekâya körü körüne güvenmesi, basiretli bir iş insanından beklenen özen yükümlülüğünün ihlali olarak değerlendirilebilir ve sorumluluktan kurtulmasını sağlamaz. Tüketicilere yönelik sunulan hizmetlerde 6502 sayılı Kanun kapsamında ayıplı hizmet hükümleri; hukuk, sağlık veya finans gibi alanlarda verilen profesyonel danışmanlıklarda ise mesleki sorumluluk gündeme gelebilir. Tüm bu hâllerde sorumluluğu sınırlandırmanın en etkili yolu, çıktının nihai olarak nitelikli bir insan denetiminden geçirilmesi ve karar sorumluluğunun insanda tutulmasıdır.

Karşılaştırmalı Perspektif: Avrupa Birliği Yapay Zekâ Tüzüğü

Türkiye’deki düzenleme boşluğunun aksine Avrupa Birliği, 2024/1689 sayılı Yapay Zekâ Tüzüğü (“Tüzük”) ile dünyanın ilk kapsamlı ve yatay yapay zekâ düzenlemesini hayata geçirmiştir. 1 Ağustos 2024 tarihinde yürürlüğe giren Tüzük, risk temelli bir yaklaşım benimseyerek yapay zekâ sistemlerini kabul edilemez, yüksek, sınırlı ve asgari risk kategorilerine ayırmakta ve her kategori için farklılaşan yükümlülükler öngörmektedir. Tüzük’ün hükümleri kademeli olarak yürürlüğe girmektedir.

Tüzük, ihlal hâlinde 35 milyon avroya veya küresel yıllık cironun %7’sine kadar idari para cezası öngörmesiyle dikkat çekmektedir. Tüzük’ün asıl önemi ise sınır ötesi etkisinde yatar: Avrupa Birliği pazarına yapay zekâ tabanlı ürün veya hizmet sunan ya da çıktıları bu pazarda kullanılan Türk şirketleri de, sağlayıcı veya kullanıcı sıfatıyla Tüzük yükümlülüklerine, özellikle yapay zekâ tarafından üretilen içeriğin etiketlenmesine ilişkin şeffaflık kurallarına tabi olabilir.

Sonuç

Yürürlükte özel bir kanun bulunmaması, yapay zekâ kullanan şirketlerin sorumluluktan muaf olduğu anlamına gelmemektedir. Aksine, mevcut hukuki çerçeve bütün ağırlığıyla uygulanmakta ve yapay zekânın bir araç olarak kullanılması, şirketin hukuki sorumluluğunu hiçbir şekilde hafifletmemektedir. Bu çerçevede şirketlere şu önlemleri almalarını öneririz:

• Kurum içinde, hangi araçların hangi verilerle ve hangi amaçlarla kullanılabileceğini belirleyen yazılı bir yapay zekâ kullanım politikası oluşturulması.
• Yapay zekâ sağlayıcılarıyla yapılan sözleşmelerde; veri işleme, gizlilik, fikrî mülkiyet garantileri ve tazminat kayıtları aracılığıyla sorumluluğun açıkça paylaştırılması.
• Kişisel veri içeren kullanımlarda veri koruma etki değerlendirmesi yapılması ve aktarım rejimine uyulması.
• Tüm çıktıların yayımlanmadan veya işleme konulmadan önce nitelikli bir insan denetiminden geçirilmesi ve süreçlerin kayıt altına alınması.
• Çıktıların üçüncü kişilere ait telif, marka ve kişilik haklarını ihlal etmediğine ilişkin kontrollerin yapılması.
• Avrupa Birliği pazarına yönelik faaliyet gösteren şirketler bakımından Yapay Zekâ Tüzüğü yükümlülükleriyle uyumun gözden geçirilmesi.

Yapay zekâ teknolojilerinin sunduğu fırsatlardan güvenli biçimde yararlanmak, ancak proaktif bir hukuki uyum yaklaşımıyla mümkündür.