Algoritmik Gözetim Çağında İşçi Mahremiyeti: İşveren Çalışanı Yapay Zekâyla Ne Ölçüde İzleyebilir?

Giriş

Yapay zekâ sistemleri, işyerlerinde yalnızca metin hazırlama, müşteri taleplerini cevaplandırma veya rapor oluşturma amacıyla kullanılmamaktadır. Çalışanların bilgisayar hareketlerinin izlenmesi, e-posta trafiğinin analiz edilmesi, kamera görüntülerinin değerlendirilmesi, konum bilgilerinin takip edilmesi, performans puanlarının oluşturulması ve çalışan davranışlarının tahmin edilmesi gibi uygulamalar da giderek yaygınlaşmaktadır.

Bir yapay zekâ sistemi çalışanın hangi programları kullandığını, bilgisayar başında ne kadar süre geçirdiğini, toplantılarda ne kadar konuştuğunu veya müşterilerle yaptığı görüşmelerde hangi kelimeleri tercih ettiğini analiz edebilir. Bu verilerden hareketle çalışan hakkında “verimli”, “düşük performanslı”, “işten ayrılma riski yüksek”, “kuruma bağlılığı zayıf” veya “disiplin sorunu yaşayabilir” şeklinde sonuçlar üretilebilir.

Kişisel Verileri Koruma Kurumu da işyerlerinde üretken yapay zekâ kullanımının çoğu zaman açık bir kurumsal politika olmaksızın çalışanların bireysel tercihleri doğrultusunda geliştiğine ve bunun yapay zekâ kullanımının izlenmesini ve yönetilmesini zorlaştırdığına dikkat çekmektedir.

Ancak işverenin iş organizasyonunu yönetme, performansı ölçme ve bilgi güvenliğini sağlama hakkı bulunması, çalışanı sınırsız biçimde izleyebileceği anlamına gelmez. Çalışanın işyerinde bulunması veya işverene ait bilgisayarı kullanması, özel hayatından ve kişisel verilerinin korunmasını isteme hakkından vazgeçtiği şeklinde yorumlanamaz.

Bu nedenle yapay zekâ kullanımında işçi mahremiyeti bakımından temel soru şudur:

İşverenin yönetim ve denetim hakkı nerede sona ermekte, çalışanın özel hayatı ve kişisel verilerinin korunması hakkı nerede başlamaktadır?

İşçi Mahremiyeti Ne Anlama Gelmektedir?

İşçi mahremiyeti, çalışanın iş ilişkisi içerisinde sahip olduğu özel hayat, haberleşme, kişisel veri ve kişilik haklarının korunmasını ifade eder.

Mahremiyet yalnızca çalışanın özel yazışmalarından ibaret değildir. Çalışanın;

• Görüntüsü ve sesi,
• E-posta ve mesajlaşma içerikleri,
• İnternet kullanım kayıtları,
• Bilgisayar ve uygulama hareketleri,
• Konum bilgileri,
• Sağlık ve engellilik bilgileri,
• Biyometrik verileri,
• Sendikal faaliyetleri,
• Dinî veya siyasi görüşleri,
• Performans ve disiplin kayıtları,
• Yapay zekâ sistemlerine yazdığı komutlar,
• Yapay zekâ tarafından hakkında oluşturulan puan ve tahminler

kişisel veri veya özel hayat alanına ilişkin bilgi niteliği taşıyabilir.

Anayasa’nın 20. maddesi, herkesin özel hayatına ve aile hayatına saygı gösterilmesini isteme ve kendisiyle ilgili kişisel verilerin korunmasını talep etme hakkına sahip olduğunu düzenlemektedir. Bu hak, kişi hakkında bilgi edinilmesini, verilere erişilmesini, verilerin düzeltilmesini veya silinmesini istemeyi ve verilerin amaçlarına uygun kullanılıp kullanılmadığını öğrenmeyi de kapsamaktadır.

İş ilişkisinin bağımlı bir çalışma ilişkisi olması, işçinin anayasal haklarını ortadan kaldırmaz. İşverenin ekonomik ve yönetsel üstünlüğü, mahremiyetin tamamen işverenin takdirine bırakılması sonucunu doğurmaz.

İşverenin Yönetim Hakkı Mahremiyeti Sınırsız Biçimde Sınırlayabilir mi?

İşverenin işin yürütülmesini denetleme, işyeri araçlarının amacına uygun kullanılmasını sağlama, veri güvenliğini koruma ve çalışan performansını değerlendirme konusunda meşru menfaatleri bulunmaktadır.

Bununla birlikte Türk Borçlar Kanunu’nun 417. maddesi, işverene işçinin kişiliğini koruma ve ona saygı gösterme yükümlülüğü yüklemektedir. İşveren, işyerinde dürüstlük ilkelerine uygun bir düzen sağlamak ve işçinin kişilik haklarının ihlal edilmesi nedeniyle doğabilecek zararları gidermekle yükümlüdür.

Türk Borçlar Kanunu’nun 419. maddesine göre ise işveren, işçiye ait kişisel verileri ancak işçinin işe yatkınlığıyla ilgili olduğu veya hizmet sözleşmesinin ifası için zorunlu bulunduğu ölçüde kullanabilir.

İş Kanunu’nun 75. maddesi de işverenin çalışan hakkında edindiği bilgileri hukuka ve dürüstlük kurallarına uygun şekilde kullanmasını ve gizli kalmasında çalışanın haklı menfaati bulunan bilgileri açıklamamasını zorunlu kılmaktadır.

Bu düzenlemeler birlikte değerlendirildiğinde işverenin teknik olarak ulaşabildiği her çalışan verisini toplama, saklama ve yapay zekâ aracılığıyla analiz etme yetkisinin bulunmadığı sonucuna ulaşılmaktadır.

Takip işlemi;

• Belirli ve meşru bir amaca dayanmalı,
• İşin yürütülmesi bakımından gerekli olmalı,
• Amaçla bağlantılı ve ölçülü olmalı,
• Daha az müdahaleci bir yöntem bulunmamalı,
• Çalışana önceden açıklanmalı,
• Belirlenen amaç dışında kullanılmamalıdır.

Yapay Zekâ ile İzleme Kişisel Veri İşleme Faaliyeti midir?

Yapay zekâ sistemi aracılığıyla çalışana ait bilgilerin toplanması, kaydedilmesi, sınıflandırılması, analiz edilmesi veya çalışan hakkında tahminde bulunulması kişisel veri işleme faaliyeti oluşturabilir.

Örneğin bir sistemin çalışanın bilgisayar başında geçirdiği süreyi kaydetmesi yalnızca teknik bir takip işlemi değildir. Sistem bu kayıtlardan hareketle çalışana performans puanı veriyorsa hem faaliyet verileri işlenmekte hem de çalışan hakkında yeni bir kişisel veri üretilmektedir.

KVKK’nın 5. maddesi uyarınca kişisel verilerin işlenmesi için açık rıza veya Kanun’da öngörülen diğer veri işleme şartlarından birinin bulunması gerekir. İş sözleşmesinin ifası, işverenin hukuki yükümlülüğü, bir hakkın kurulması veya korunması ya da çalışanın temel haklarına zarar vermemek kaydıyla işverenin meşru menfaati somut olayın özelliklerine göre veri işleme dayanağı olabilir.

Ancak hukuki sebebin bulunması tek başına yeterli değildir. Veri işleme faaliyetinin hukuka ve dürüstlük kurallarına uygun, belirli ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü biçimde yürütülmesi gerekir.

İşverenin “verimliliği artırma” veya “genel kontrol sağlama” şeklindeki soyut açıklaması, çalışanın bütün faaliyetlerinin sürekli gözetlenmesi için yeterli bir gerekçe oluşturmaz.

Çalışanın Açık Rızası Her Takip Yöntemini Hukuka Uygun Hâle Getirir mi?

Çalışandan açık rıza alınması, bütün izleme faaliyetlerini kendiliğinden hukuka uygun hâle getirmez.

Öncelikle çalışan ile işveren arasında ekonomik ve yönetsel bir güç dengesizliği bulunmaktadır. Çalışan, rıza vermediği takdirde işe alınmayacağı, terfi edemeyeceği veya işini kaybedebileceği endişesiyle onay verebilir. Bu nedenle açık rızanın özgür iradeye dayanıp dayanmadığı somut olayda ayrıca değerlendirilmelidir.

Ayrıca kişisel verilerin işlenmesinde amaçla bağlantılılık ve ölçülülük ilkeleri açık rıza bulunsa dahi uygulanmaya devam eder. İşveren, çalışanlara “Her türlü dijital faaliyetin izlenmesini kabul ediyorum” şeklinde genel bir belge imzalatarak sınırsız takip yetkisi elde edemez.

Anayasa Mahkemesi, parmak iziyle mesai takibine ilişkin kararında kişisel verilerin ancak kanunda öngörülen hâllerde veya kişinin açık rızasıyla işlenebileceğini; ayrıca müdahalenin kanuni, gerekli ve ölçülü olması gerektiğini vurgulamıştır.

Bu nedenle açık rıza, hukuki dayanaklardan yalnızca biridir; işverenin gereklilik, şeffaflık ve ölçülülük yükümlülüklerini ortadan kaldıran genel bir izin değildir.

Çalışan Önceden Bilgilendirilmelidir

Yapay zekâ aracılığıyla çalışan takibi yapılmadan önce çalışana ayrıntılı ve anlaşılır bir aydınlatma yapılmalıdır.

Aydınlatmada en azından;

• Hangi yapay zekâ sisteminin kullanılacağı,
• Hangi kişisel verilerin toplanacağı,
• Verilerin hangi kaynaklardan elde edileceği,
• İzlemenin hangi amaçla yapılacağı,
• Sistem tarafından puanlama veya profil oluşturulup oluşturulmayacağı,
• Sonuçların performans, terfi veya fesih kararlarında kullanılıp kullanılmayacağı,
• Verilerin kimlerle paylaşılacağı,
• Yurt dışına aktarım yapılıp yapılmayacağı,
• Saklama süresinin ne olduğu,
• Çalışanın itiraz ve başvuru hakları

açıklanmalıdır.

KVKK kapsamında aydınlatmanın, kişisel verilerin elde edilmesi sırasında yapılması ve veri sorumlusu, işleme amacı, hukuki sebep, aktarım ve ilgili kişinin hakları hakkında bilgi içermesi gerekir.

“Kurumsal cihazlar işveren tarafından takip edilebilir” şeklindeki genel bir ifade; ekran görüntüsü alınması, klavye hareketlerinin kaydedilmesi, e-postaların yapay zekâyla okunması ve çalışanın psikolojik profiline ilişkin tahmin üretilmesi gibi ağır işlemler bakımından yeterli kabul edilmemelidir.

Aydınlatma yapılması da tek başına takip işlemini hukuka uygun hâle getirmez. Takip ayrıca gerekli ve ölçülü olmalıdır.

Kurumsal E-Postaların Yapay Zekâyla İncelenmesi

İşverenler yapay zekâ sistemleri aracılığıyla kurumsal e-postaları kötü amaçlı yazılım, veri sızıntısı, ticari sır ihlali veya şirket politikalarına aykırı kullanım bakımından tarayabilir.

Ancak iletişimin trafik bilgileriyle içeriğinin incelenmesi arasında önemli bir fark bulunmaktadır.

E-postanın hangi tarihte, kime gönderildiği, ek dosya içerip içermediği veya şirket dışına çıkıp çıkmadığı gibi trafik verileri daha sınırlı bir müdahale oluşturur. Mesaj içeriğinin okunması ve yapay zekâ aracılığıyla analiz edilmesi ise haberleşme özgürlüğüne daha ağır bir müdahaledir.

Kişisel Verileri Koruma Kurulunun 2023/86 sayılı kararında, çalışanın önceden bilgilendirilmesi, kurumsal e-postanın iş amacıyla kullanılacağının açıklanması ve denetimin kapsamının politika metinlerinde gösterilmesi hukuki değerlendirmede dikkate alınmıştır.

Anayasa Mahkemesi de kurumsal e-posta denetiminde;

• Çalışanın önceden bilgilendirilip bilgilendirilmediğini,
• İşverenin meşru bir amacı bulunup bulunmadığını,
• Denetimin amaçla sınırlı olup olmadığını,
• Daha az müdahaleci bir yöntemin bulunup bulunmadığını,
• Yazışma içeriklerinin hangi kapsamda incelendiğini

değerlendirmektedir.

Dolayısıyla yapay zekânın bütün çalışanların bütün yazışmalarını sürekli okuyarak “sadakat”, “duygu”, “stres” veya “işten ayrılma riski” analizi yapması; belirli bir güvenlik şüphesine dayalı, sınırlı ve amaca yönelik e-posta denetiminden çok daha ağır bir müdahaledir.

Mesajlaşma Uygulamaları ve Özel Yazışmalar

İşverenin bilgisayarında veya işyerindeki ortak mesajlaşma sisteminde bulunması, bir yazışmanın otomatik olarak işverene ait olduğu anlamına gelmez.

Çalışanlar, kurumsal cihazlar üzerinden sınırlı da olsa kişisel haberleşme yapabilir. İşveren kişisel kullanımın tamamen yasak olduğunu ve iletişimlerin belirli şartlarda incelenebileceğini açıkça bildirmemişse çalışanın belirli ölçüde mahremiyet beklentisi doğabilir.

Anayasa Mahkemesi, çalışanın mesajlaşma programındaki yazışmalarına rızası dışında erişilerek içeriklerin iş sözleşmesinin feshinde kullanılmasını özel hayata saygı ve haberleşme özgürlüğü kapsamında incelemiş ve somut olayda ihlal kararı vermiştir.

Yapay zekâ aracılığıyla mesajların otomatik taranması, yalnızca işçiye ait bilgileri değil, yazışmanın diğer tarafındaki kişilere ait verileri de işleyebilir. Bu nedenle izleme faaliyetinin üçüncü kişilerin hakları üzerindeki etkileri de değerlendirilmelidir.

Kamera Görüntülerinin Yapay Zekâyla Analizi

İşyerlerinde güvenlik kameralarının kullanılması belirli koşullarda hukuka uygun olabilir. Hırsızlığın önlenmesi, iş güvenliğinin sağlanması, kasa ve depo güvenliği gibi somut amaçlar kamera kullanımını haklı kılabilir.

Ancak güvenlik amacıyla kurulan kameraların çalışanların verimliliğini ölçmek, mola sürelerini denetlemek, beden hareketlerini analiz etmek veya çalışanlar hakkında performans puanı oluşturmak için kullanılması farklı ve daha ağır bir veri işleme faaliyetidir.

Kişisel Verileri Koruma Kurumunun 2026 tarihli işyeri kameralarına ilişkin açıklamasında kamera kullanımının amacının önceden belirlenmesi, veri minimizasyonuna uyulması ve güvenlik amacıyla elde edilen kayıtların performans veya devam takibi gibi farklı amaçlarla kullanılmaması gerektiği belirtilmiştir. Kurum, çalışanları denetleme, genel kontrol sağlama veya verimliliği ölçme gibi soyut amaçların tek başına meşru amaç sayılamayacağını da açıklamıştır.

Kameraların görüş açısı ve yerleştirildiği alan da önemlidir. Giriş, çıkış, kasa ve depo gibi alanlarda sınırlı kayıt yapılması mümkün olabilirken tuvalet, soyunma odası, emzirme odası ve benzeri özel alanlarda kamera kullanımı hukuka uygun kabul edilemez.

Ses kaydı, görüntü kaydından daha ağır bir mahremiyet müdahalesi oluşturur. Kişisel Verileri Koruma Kurulu kararlarında, güvenlik amacıyla görüntü kaydı alınmasının gerekli olabileceği durumlarda dahi sürekli ses kaydının aynı ölçüde gerekli ve orantılı olmayabileceği belirtilmektedir.

Yüz Tanıma ve Biyometrik Takip

Yüz geometrisi, parmak izi, iris veya ses kalıbı gibi veriler kişinin benzersiz biçimde tanınmasını sağlayan biyometrik verilerdir ve özel nitelikli kişisel veri olarak değerlendirilir.

Kişisel Verileri Koruma Kurulu, işyerinde yüz tanıma sistemi ve kamera kullanımına ilişkin kararında biyometrik verilerin işlenmesi bakımından hukuki sebep, ölçülülük ve daha az müdahaleci yöntemlerin bulunup bulunmadığını değerlendirmiştir.

Mesai takibinin personel kartı, şifre, imza çizelgesi veya benzeri daha az müdahaleci yöntemlerle yapılması mümkünken yalnızca kolaylık veya hız gerekçesiyle yüz tanıma ya da parmak izi kullanılması ölçüsüz kabul edilebilir.

Biyometrik verilerin sızdırılması hâlinde şifre gibi değiştirilmesi mümkün olmadığından işverenin güvenlik ve veri minimizasyonu yükümlülüğü daha ağırdır. Özel nitelikli verilerin işlenmesinde ayrıca Kurul tarafından belirlenen yeterli tedbirlerin alınması gerekir.

Ekran Görüntüsü, Klavye ve Fare Takibi

Bazı yapay zekâ destekli takip sistemleri, çalışanın bilgisayar ekranından belirli aralıklarla görüntü almakta, bastığı tuşları, fare hareketlerini, kullandığı uygulamaları veya bilgisayar başında hareketsiz kaldığı süreleri kaydetmektedir.

Bu tür uygulamalar çalışanın yalnızca iş faaliyetlerini değil;

• Özel yazışmalarını,
• Bankacılık işlemlerini,
• Sağlık bilgilerini,
• Sendikal iletişimini,
• Hukuki danışmanlık arayışını,
• Üçüncü kişilere ait bilgileri

de ortaya çıkarabilir.

İşverenin uzaktan çalışmayı denetleme ihtiyacı, çalışanın bütün ekranının kesintisiz biçimde kaydedilmesini kendiliğinden haklı kılmaz. İşin sonucu teslim edilen raporlar, tamamlanan görevler ve objektif performans kriterleri üzerinden ölçülebiliyorsa sürekli ekran ve klavye kaydı gereklilik şartını karşılamayabilir.

Ayrıca yapay zekâ sistemleri düşünme, okuma, telefon görüşmesi yapma veya toplantıya katılma sürelerini “hareketsizlik” olarak değerlendirerek çalışanın verimliliği hakkında yanlış sonuç üretebilir.

Bu nedenle ekran ve tuş takibi, ancak çok güçlü bir güvenlik veya iş gerekliliğinin bulunduğu, daha hafif yöntemin yeterli olmadığı ve takibin kapsamının açıkça sınırlandırıldığı istisnai durumlarda değerlendirilmelidir.

GPS ve Konum Takibi

Saha çalışanları, kuryeler, şoförler veya şirket aracı kullanan çalışanlar bakımından GPS takibi belirli ölçüde gerekli olabilir. Teslimatın gerçekleştirilmesi, aracın güvenliği veya iş süresinin belirlenmesi gibi amaçlar konum verisinin işlenmesini haklı kılabilir.

Ancak konum takibi;

• Yalnızca çalışma süresiyle,
• İşle ilgili araç veya cihazla,
• Belirlenen görev ve güzergâhla,
• Gerekli saklama süresiyle

sınırlandırılmalıdır.

Şirket aracının özel kullanımına izin verilmişse çalışanın mesai dışındaki bütün hareketlerinin izlenmesi özel hayata ölçüsüz bir müdahale oluşturabilir.

Yapay zekâ sisteminin çalışanın hareketlerinden özel yaşamı, sağlık durumu, dinî faaliyeti veya sendikal ilişkileri hakkında çıkarım yapması hâlinde takip işlemi başlangıçtaki araç güvenliği amacını aşmış olur.

Yapay Zekâ Komutlarının İzlenmesi

İşveren, çalışanların kurumsal yapay zekâ hesabına yazdığı komutları bilgi güvenliği ve veri sızıntısını önleme amacıyla belirli ölçüde denetleyebilir.

Ancak bir çalışanın yapay zekâya yazdığı komutlar;

• Sağlık sorunu,
• Hamilelik,
• Psikolojik durum,
• Sendikal sorun,
• İşyerindeki uyuşmazlık,
• İş arama faaliyeti,
• Hukuki danışma ihtiyacı,
• Siyasi veya dinî görüş

hakkında mahrem bilgiler içerebilir.

Bu nedenle komut kayıtlarının tutulması, yalnızca teknik kayıt işlemi olarak değerlendirilmemelidir. İşveren, komutların tamamını süresiz saklamak yerine veri güvenliği amacı için gerekli bilgileri mümkün olduğunca filtrelemeli, anonimleştirmeli veya sınırlı süreyle tutmalıdır.

Çalışanlara komut kayıtlarının işveren tarafından görülebileceği, hangi amaçla analiz edileceği ve disiplin ya da performans süreçlerinde kullanılıp kullanılmayacağı açıkça bildirilmelidir.

Duygu, Karakter ve Kişilik Analizi

Bazı yapay zekâ sistemleri çalışanların ses tonu, yüz ifadeleri, kelime tercihleri veya kamera görüntülerinden duygu ve kişilik analizi yapmayı amaçlamaktadır.

Bu sistemler çalışanı “stresli”, “öfkeye yatkın”, “sadakati düşük”, “liderliğe uygun” veya “işten ayrılmaya yakın” olarak sınıflandırabilir.

Böyle bir değerlendirme çalışan mahremiyeti bakımından ağır bir müdahaledir. Ayrıca yüz hareketleri ve ses tonundan güvenilir psikolojik sonuç çıkarılıp çıkarılamayacağı, engellilik ve kültürel farklılıkların yanlış değerlendirmeye yol açıp açmayacağı ciddi biçimde tartışmalıdır.

Karşılaştırmalı hukuk açısından Avrupa Birliği Yapay Zekâ Tüzüğü, tıbbi veya güvenlik amaçlı sınırlı istisnalar dışında işyerinde duygu tanıma sistemlerinin kullanılmasını yasaklanan yapay zekâ uygulamaları arasında düzenlemiş; işe alım, çalışan yönetimi, görev dağılımı ve performans izleme sistemlerini de yüksek riskli alanlar arasında değerlendirmiştir. İşverenlerin yüksek riskli sistemler kullanılmadan önce çalışanları ve çalışan temsilcilerini bilgilendirmesi öngörülmektedir.

Bu hükümler her Türk işverenine doğrudan uygulanmasa da çalışan mahremiyeti bakımından önemli bir karşılaştırmalı hukuk standardı oluşturmaktadır.

Yapay Zekâ ile Profil Oluşturulması

Yapay zekâ sistemleri, toplanan verileri bir araya getirerek çalışan hakkında kapsamlı bir profil oluşturabilir.

Örneğin;

• E-posta gönderme saatleri,
• Toplantılara katılım,
• Hastalık ve izin kayıtları,
• Bilgisayar etkinliği,
• Müşteri şikâyetleri,
• İş arkadaşlarıyla iletişim,
• İşe giriş ve çıkış saatleri

birlikte değerlendirilerek çalışanın performansı, sadakati veya işten ayrılma ihtimali tahmin edilebilir.

Bu tür profiller, tek tek verilerden daha ağır sonuç doğurur. Çünkü yapay zekâ yalnızca mevcut bilgileri kaydetmemekte, çalışan hakkında daha önce bulunmayan yeni bir değerlendirme üretmektedir.

Üretilen puan veya tahminin nesnel gerçeklik gibi kabul edilmesi doğru değildir. Sistem eksik, hatalı veya önyargılı veriler üzerinden yanlış sonuç oluşturabilir.

İş Kanunu’nun 5. maddesi uyarınca iş ilişkisinde cinsiyet, engellilik, siyasi düşünce, din ve benzeri nedenlere dayalı ayrım yapılamaz. Yapay zekânın bu özellikleri doğrudan kullanmaması, dolaylı veriler aracılığıyla ayrımcı sonuç üretmediğini göstermez.

Tamamen Otomatik Karar ve İşçinin İtiraz Hakkı

KVKK’nın 11. maddesi, kişisel verilerin münhasıran otomatik sistemler aracılığıyla analiz edilmesi sonucunda kişinin kendisi aleyhine bir sonuç ortaya çıkmasına itiraz etme hakkı tanımaktadır.

Bu hüküm, yapay zekâ sisteminin;

• Çalışanı düşük performanslı sayması,
• Primini azaltması,
• Olumsuz vardiyaya yerleştirmesi,
• Terfi listesinden çıkarması,
• Disiplin sürecini başlatması,
• İşten çıkarılmasını önermesi

gibi durumlarda önem taşır.

İşverenin algoritmik sonucu yalnızca biçimsel şekilde onaylaması gerçek bir insan denetimi oluşturmayabilir. İnsan denetimini yapan kişinin;

• Kullanılan verileri inceleyebilmesi,
• Sistemin sonucunu sorgulayabilmesi,
• Çalışanın açıklamalarını değerlendirebilmesi,
• Kararı değiştirme yetkisine sahip olması

gerekir.

Çalışanın mesleki ve ekonomik geleceğini etkileyen önemli kararların, gerekçesi açıklanamayan ve itiraz edilemeyen bir algoritmaya bırakılması mahremiyet yanında adil işlem ve iş güvencesi sorunları da doğurur.

Toplanan Veriler Ne Kadar Süre Saklanabilir?

Çalışana ait görüntü, e-posta, ekran, konum veya yapay zekâ kullanım kayıtları süresiz biçimde saklanamaz.

Saklama süresi, verinin işlenme amacı ve hukuki yükümlülükler dikkate alınarak belirlenmelidir. Amaç ortadan kalktığında verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekir.

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik, ilgili kişinin talebi üzerine verilerin silinmesi veya yok edilmesine ilişkin usulü ve veri sorumlusunun gerekli teknik ve idari tedbirleri alma yükümlülüğünü düzenlemektedir.

İşveren, “ileride ihtiyaç olabilir” gerekçesiyle çalışanların bütün dijital geçmişini saklayamaz. Her veri kategorisi için ayrı saklama süresi belirlenmelidir.

Veri Güvenliği Kimin Sorumluluğundadır?

Çalışan takip sisteminin dışarıdan satın alınması, işverenin sorumluluğunu ortadan kaldırmaz.

İşveren; sistemin hangi verileri topladığını, verilerin nerede saklandığını, hizmet sağlayıcının verileri kendi amaçları için kullanıp kullanmadığını ve yurt dışına aktarım yapılıp yapılmadığını incelemelidir.

KVKK’nın 12. maddesi uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve verilerin güvenli biçimde saklanmasını sağlamak için gerekli teknik ve idari tedbirleri almakla yükümlüdür.

Bu kapsamda;

• Erişim yetkileri sınırlandırılmalı,
• Kayıtlar şifrelenmeli,
• Hangi yöneticinin hangi verilere ulaşabileceği belirlenmeli,
• Sistem hareketleri kaydedilmeli,
• Veri ihlali müdahale süreci oluşturulmalı,
• Hizmet sağlayıcılarla veri koruma sözleşmeleri yapılmalıdır.

Çalışanın mahrem verilerinin bütün yöneticiler veya çalışma arkadaşlarıyla paylaşılması da ayrıca hukuka aykırı aktarım oluşturabilir. Kişisel Verileri Koruma Kurulu, personel bilgilerinin ilgisiz çalışanlarla toplu şekilde paylaşılmasını amaçla sınırlılık ve ölçülülük ilkeleri kapsamında değerlendirmektedir.

Hukuka Aykırı Takip Sonuçları Fesihte Kullanılabilir mi?

Yapay zekâ sistemi tarafından oluşturulan kayıtlar disiplin veya fesih sürecinde kullanılabilir. Ancak kayıtların hukuka uygun biçimde elde edilmesi, doğru olması ve çalışanın gerçek faaliyetini yansıtması gerekir.

Çalışanın önceden bilgilendirilmediği, özel yazışmalarının gizlice incelendiği veya ölçüsüz biçimde sürekli izlendiği bir takip sisteminden elde edilen verilerin feshe dayanak yapılması, feshin geçerliliğini tartışmalı hâle getirebilir.

Yapay zekâ tarafından üretilen performans puanı kesin delil değildir. Mahkeme;

• Verinin kaynağını,
• Sistemin hata payını,
• Ölçütlerin objektifliğini,
• Takibin hukuka uygunluğunu,
• Çalışanın savunmasını,
• İnsan denetiminin bulunup bulunmadığını

inceleyebilir.

İşveren, “Sistem böyle değerlendirdi” açıklamasıyla ispat ve gerekçe yükümlülüğünden kurtulamaz.

Takibin hukuka aykırı olması ayrıca KVKK yaptırımları, kişilik hakkı ihlali nedeniyle maddi veya manevi tazminat ve somut olayın şartlarına göre işe iade veya işçilik alacağı uyuşmazlıkları doğurabilir.

Çalışan Hukuka Aykırı İzlemeye Karşı Ne Yapabilir?

Çalışan, KVKK’nın 11. maddesi kapsamında işverene başvurarak;

• Kişisel verilerinin işlenip işlenmediğini,
• Hangi verilerinin toplandığını,
• Verilerin hangi amaçla kullanıldığını,
• Kimlerle paylaşıldığını,
• Yapay zekâ sistemi tarafından hangi profil veya puanların oluşturulduğunu,
• Verilerin yurt dışına aktarılıp aktarılmadığını

sorabilir.

Çalışan ayrıca yanlış veya eksik verilerin düzeltilmesini, şartları oluşmuşsa silinmesini ve otomatik analiz sonucunda ortaya çıkan aleyhe sonuca itirazının insan tarafından incelenmesini talep edebilir.

İşverenin başvuruyu reddetmesi, yetersiz cevap vermesi veya süresinde cevaplamaması hâlinde Kişisel Verileri Koruma Kuruluna şikâyet yolu gündeme gelebilir.

Somut olayın özelliklerine göre çalışan ayrıca;

• İş mahkemesinde işe iade,
• Maddi ve manevi tazminat,
• Ayrımcılık tazminatı,
• İşçilik alacakları,
• Hukuka aykırı delile itiraz

yollarına başvurabilir.

Hukuka Uygun Bir Yapay Zekâ Takip Sistemi Nasıl Kurulmalıdır?

İşveren, yapay zekâ destekli izleme sistemini devreye almadan önce yazılı ve somut bir risk değerlendirmesi yapmalıdır.

Hukuka uygun bir sistemde;

1. Takibin amacı açıkça belirlenmelidir.
2. Daha az müdahaleci yöntemlerin yeterli olup olmadığı araştırılmalıdır.
3. Yalnızca gerekli kişisel veriler işlenmelidir.
4. Çalışanlara ayrıntılı aydınlatma yapılmalıdır.
5. Gizli takipten kural olarak kaçınılmalıdır.
6. İş ve özel kullanım alanları mümkün olduğunca ayrılmalıdır.
7. Yüksek riskli kararlar insan denetimine tabi tutulmalıdır.
8. Çalışanlara algoritmik sonuca itiraz imkânı tanınmalıdır.
9. Kamera, ses, ekran ve konum kayıtlarının saklama süreleri belirlenmelidir.
10. Verilere erişebilecek kişiler sınırlandırılmalıdır.
11. Yapay zekâ sisteminin ayrımcı veya hatalı sonuç üretip üretmediği düzenli olarak denetlenmelidir.
12. Takip sistemi çalışanların psikolojik sağlığı ve çalışma barışı bakımından da değerlendirilmelidir.

İşveren tarafından oluşturulacak çalışan mahremiyeti ve yapay zekâ politikası, yalnızca “işveren her türlü sistemi denetleyebilir” şeklinde tek taraflı hükümlerden oluşmamalıdır. Politika, çalışanların korunmasını ve işverenin meşru güvenlik ihtiyaçlarını birlikte gözetmelidir.

Sonuç

İşyerinde yapay zekâ kullanımı, işverenin çalışanları sınırsız biçimde takip etmesini hukuka uygun hâle getirmez.

İşveren, iş organizasyonunu yürütmek, performansı değerlendirmek, veri güvenliğini sağlamak ve işyeri araçlarının kötüye kullanılmasını önlemek amacıyla belirli izleme faaliyetleri gerçekleştirebilir. Ancak bu takip;

• Belirli ve meşru bir amaca dayanmalı,
• Gerekli ve ölçülü olmalı,
• Çalışana önceden açıklanmalı,
• Amaçla bağlantılı verilerle sınırlandırılmalı,
• Çalışanın özel hayatını ortadan kaldırmamalıdır.

Özellikle sürekli ekran ve klavye takibi, bütün e-posta içeriklerinin yapay zekâyla analiz edilmesi, yüz ve ses üzerinden duygu çıkarımı yapılması, mesai dışı konumun izlenmesi ve çalışan hakkında gizli profil oluşturulması ciddi hukuki risk taşımaktadır.

Yapay zekâ sisteminin işveren tarafından satın alınmış olması veya işlemin otomatik şekilde gerçekleştirilmesi sorumluluğu algoritmaya geçirmez. Sistemi seçen, verileri sisteme sağlayan, sonuçları kullanan ve çalışan hakkında karar alan işveren hukuki sorumluluğu taşımaya devam eder.

Çalışanların mahremiyeti işyerinin kapısında sona ermez. İşyerinde bulunmak, kişisel verilerden ve özel hayata saygı hakkından vazgeçmek anlamına gelmez.

Sonuç olarak hukuka uygun yapay zekâ kullanımı; çalışanı her an izleyen ve puanlayan dijital bir gözetim düzeni değil, yalnızca somut ihtiyaçlarla sınırlı, şeffaf, ölçülü, güvenli ve etkili insan denetimine tabi bir sistem kurulmasını gerektirir.

Yapay zekâ iş süreçlerini denetleyebilir; ancak çalışanın özel hayatını, insan onurunu ve kişisel verileri üzerindeki denetim hakkını ortadan kaldıramaz.