İşyerinde Yapay Zekâ Politikası Nasıl Hazırlanmalıdır? İşçi–İşveren Dengesi Bakımından Hukuki Bir Yol Haritası

Giriş

Yapay zekâ uygulamaları, işyerlerinde yalnızca metin hazırlamak veya bilgi araştırmak amacıyla kullanılan yardımcı araçlar olmaktan çıkmıştır. Günümüzde bu sistemler; müşteri yazışmalarının hazırlanması, raporların özetlenmesi, yazılım geliştirilmesi, insan kaynakları süreçlerinin yürütülmesi, performans ölçümü, iş planlaması ve çalışanların denetlenmesi gibi çok farklı alanlarda kullanılmaktadır.

Çalışanlar, işveren tarafından resmî olarak kullanıma sunulmasa bile günlük görevlerini hızlandırmak amacıyla kişisel yapay zekâ hesaplarından yararlanabilmektedir. Kişisel Verileri Koruma Kurumu, açık bir kurumsal strateji veya politika bulunmaksızın çalışanların bireysel tercihlerine göre gelişen bu kullanımın, yapay zekâ araçlarının kurum düzeyinde izlenmesini ve yönetilmesini zorlaştırdığına dikkat çekmektedir.

Bu nedenle işyerinde yapay zekâ politikası hazırlanması artık yalnızca teknolojik bir tercih değildir. Politika; işverenin veri güvenliği yükümlülüklerini yerine getirmesi, ticari sırlarını koruması, çalışanların haklarını gözetmesi ve yapay zekâ kaynaklı hataların sorumluluğunu yönetebilmesi bakımından hukuki bir gereklilik hâline gelmektedir.

Bununla birlikte politika yalnızca “ChatGPT kullanmak yasaktır” şeklinde hazırlanamaz. Aşırı yasaklayıcı bir düzenleme çalışanların yapay zekâyı kişisel cihazlardan ve işverenin denetimi dışında kullanmasına yol açabilir. Sınırları belirsiz bir serbestlik ise kişisel verilerin, ticari sırların ve müşteri bilgilerinin kontrolsüz biçimde üçüncü taraf sistemlere aktarılması sonucunu doğurabilir.

Hukuka uygun ve çalışanlar tarafından benimsenebilir bir yapay zekâ politikası; yasaklama, denetim ve yaptırımdan ibaret olmamalıdır. Politikanın temel amacı, yapay zekânın işyerinde güvenli, şeffaf, ölçülü, insan denetimine açık ve verimli biçimde kullanılmasını sağlamak olmalıdır.

Yapay Zekâ Politikası Hazırlamak Zorunlu mudur?

Türk hukukunda bütün işverenlerin mutlaka “Yapay Zekâ Politikası” adı altında bağımsız bir belge hazırlamasını emreden genel bir hüküm bulunmamaktadır. Ancak işverenin tabi olduğu birçok yükümlülük, yapay zekâ kullanımının yazılı kurallarla düzenlenmesini gerekli veya en azından kuvvetle tavsiye edilir hâle getirmektedir.

Türk Borçlar Kanunu’nun 399. maddesi uyarınca işveren, işin görülmesi ve çalışanların işyerindeki davranışlarıyla ilgili genel düzenlemeler yapabilir ve özel talimatlar verebilir. İşçiler de bu düzenleme ve talimatlara dürüstlük kurallarının gerektirdiği ölçüde uymakla yükümlüdür. Dolayısıyla işveren, yönetim hakkı kapsamında işyerinde hangi yapay zekâ araçlarının kullanılabileceğini ve kullanımın hangi sınırlar içerisinde gerçekleştirileceğini belirleyebilir.

Bununla birlikte işverenin yönetim hakkı sınırsız değildir. Politikanın;

• Kanuna ve iş sözleşmesine uygun olması,
• İşçinin kişilik haklarını koruması,
• Ölçülü ve objektif kurallar içermesi,
• Çalışana önceden bildirilmesi,
• Ayrımcı veya keyfî sonuçlar doğurmaması

gerekir.

Türk Borçlar Kanunu’nun 417. maddesi, işverene işçinin kişiliğini koruma ve işyerinde dürüstlük ilkelerine uygun bir düzen sağlama yükümlülüğü yüklemektedir. İşçinin kişisel verileri ise aynı Kanun’un 419. maddesi uyarınca ancak işe yatkınlığıyla ilgili olduğu veya hizmet sözleşmesinin ifası için zorunlu bulunduğu ölçüde kullanılabilir.

Bu nedenle yapay zekâ politikasının hukuki dayanağı işverenin yönetim hakkı olmakla birlikte, sınırını işçinin kişilik hakları, çalışma koşulları ve kişisel verilerin korunması oluşturmaktadır.

Politika İş Sözleşmesinin Eki Sayılabilir mi?

Yapay zekâ politikası, içeriğine ve çalışanlara bildirilme biçimine göre personel yönetmeliğinin veya iş sözleşmesinin eki niteliğini kazanabilir.

Politikada yalnızca mevcut iş sözleşmesinin sınırları içinde kalan kullanım ve güvenlik kuralları belirleniyorsa işverenin yönetim hakkına dayalı bir iç düzenleme söz konusu olabilir. Örneğin müşteri bilgilerinin kamuya açık yapay zekâ araçlarına yüklenmesinin yasaklanması veya yalnızca işverenin onayladığı kurumsal hesabın kullanılmasının istenmesi genellikle bu kapsamdadır.

Buna karşılık politika aracılığıyla;

• İşçinin görev tanımı önemli ölçüde değiştiriliyorsa,
• Yeni ve ağır performans kriterleri getiriliyorsa,
• Çalışanın bütün bilgisayar faaliyetleri sürekli izlenmeye başlanıyorsa,
• Ücret, prim veya terfi sistemi değiştiriliyorsa,
• Çalışana yeni ve ağır sorumluluklar yükleniyorsa,
• Yapay zekâ kullanımı nedeniyle işçinin statüsü düşürülüyorsa,

çalışma koşullarında esaslı değişiklik gündeme gelebilir.

İş Kanunu’nun 22. maddesine göre çalışma koşullarındaki esaslı değişiklik işçiye yazılı olarak bildirilmelidir. İşçi tarafından altı iş günü içerisinde yazılı olarak kabul edilmeyen değişiklik işçiyi bağlamaz.

Bu nedenle politikanın çalışana tebliğ edilmesiyle, esaslı değişikliğin çalışan tarafından kabul edilmesi birbirine karıştırılmamalıdır. Çalışanın “Politikayı teslim aldım” şeklindeki imzası, her durumda çalışma koşullarındaki esaslı değişikliği veya kişisel verilerinin sınırsız işlenmesini kabul ettiği anlamına gelmez.

Yapay Zekâ Politikasının Temel İlkeleri

İyi hazırlanmış bir yapay zekâ politikası, öncelikle kurumun teknolojiye yaklaşımını ortaya koymalıdır. Politikanın temel ilkeleri açıkça belirtilmelidir.

Bu ilkeler şu şekilde belirlenebilir:

• İnsan merkezli kullanım,
• Hukuka uygunluk,
• Şeffaflık,
• Veri minimizasyonu,
• Gizlilik ve bilgi güvenliği,
• Ayrımcılık yasağı,
• İnsan denetimi,
• Hesap verebilirlik,
• Doğruluk ve güvenilirlik,
• Ölçülülük,
• Çalışan katılımı,
• Sürekli eğitim ve güncelleme.

Kişisel Verileri Koruma Kurumu da üretken yapay zekâ sistemlerinin insan haklarına ve temel özgürlüklere saygılı, şeffaf, denetlenebilir ve insan merkezli biçimde kullanılmasının önemini vurgulamaktadır.

Politikada yapay zekânın çalışanın yerine geçen bağımsız bir karar makamı olmadığı açıkça belirtilmelidir. Yapay zekâ, çalışan ve yöneticilerin kararlarını destekleyen bir araç olarak konumlandırılmalı; hukuki ve mesleki sorumluluğu ortadan kaldıran bir sistem olarak sunulmamalıdır.

Politikanın Kapsamı Açıkça Belirlenmelidir

Politika, yalnızca ChatGPT veya belirli bir marka üzerinden hazırlanırsa kısa sürede güncelliğini kaybedebilir. Bunun yerine teknoloji türlerini kapsayan genel ve işlevsel tanımlar kullanılmalıdır.

Politika kapsamına en azından şu sistemler alınmalıdır:

• Üretken yapay zekâ araçları,
• Metin, görüntü, ses ve video üreten sistemler,
• Yazılım kodu oluşturan araçlar,
• Otomatik karar ve puanlama sistemleri,
• İnsan kaynakları algoritmaları,
• Performans ve çalışan takip sistemleri,
• Yapay zekâ destekli müşteri hizmetleri uygulamaları,
• Kurumsal yazılımlara eklenen yapay zekâ özellikleri,
• Yapay zekâ destekli çeviri ve özetleme programları,
• Otonom veya etken yapay zekâ uygulamaları.

Politikanın kurumsal cihazların yanı sıra kişisel cihazlardan yapılan iş amaçlı kullanımları da kapsadığı açıklanmalıdır. Aksi takdirde çalışan, şirket bilgisayarında yasak olan işlemi kişisel telefonundan yaparak politika dışına çıkabileceğini düşünebilir.

Uzaktan çalışanlar, stajyerler, geçici çalışanlar, danışmanlar ve dış hizmet sağlayıcıların da hangi ölçüde politika kapsamında olduğu belirlenmelidir.

Onaylı Yapay Zekâ Araçları Belirlenmelidir

İşveren, çalışanların hangi yapay zekâ araçlarını kullanabileceğini açıkça göstermelidir. Çalışanlardan piyasadaki bütün sistemlerin güvenlik ve gizlilik şartlarını incelemeleri beklenmemelidir.

Bu amaçla kurum içerisinde bir “onaylı yapay zekâ araçları listesi” oluşturulabilir. Her araç için;

• Hangi departmanların kullanabileceği,
• Hangi amaçlarla kullanılabileceği,
• Hangi veri türlerinin sisteme girilebileceği,
• Kurumsal veya kişisel hesap kullanılıp kullanılamayacağı,
• İnsan kontrolünün nasıl yapılacağı

belirlenmelidir.

Onaylı araçların seçiminde yalnızca fiyat ve teknik özellikler değerlendirilmemelidir. Hizmet sağlayıcının;

• Sisteme girilen verileri model eğitiminde kullanıp kullanmadığı,
• Verileri ne kadar süre sakladığı,
• Verilerin hangi ülkelerde tutulduğu,
• Alt hizmet sağlayıcılarının kimler olduğu,
• Verilerin silinmesine imkân tanıyıp tanımadığı,
• Yetkisiz erişime karşı aldığı güvenlik önlemleri,
• Veri ihlali hâlindeki bildirim süreci,
• Sözleşme sona erdiğinde verileri nasıl iade veya imha ettiği

incelenmelidir.

Yapay zekâ hizmetinin üçüncü kişiden alınması, işverenin hukuki sorumluluğunu ortadan kaldırmaz. KVKK’nın 12. maddesi uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri almak zorundadır.

Kullanımlar Risk Seviyesine Göre Sınıflandırılmalıdır

Bütün yapay zekâ kullanımlarını aynı kurala tabi tutmak yerine risk temelli bir sistem kurulması daha işlevsel olacaktır.

Düşük Riskli Kullanımlar

Kişisel veri, ticari sır veya gizli bilgi içermeyen işlemler bu kapsamda değerlendirilebilir. Örneğin;

• Genel fikir geliştirme,
• Kamuya açık bilgilerle araştırma yapılması,
• Kişisel veri içermeyen metinlerin dilbilgisi kontrolü,
• Genel sunum başlıklarının hazırlanması,
• Anonim örnekler üzerinden taslak oluşturulması

düşük riskli kullanım olarak kabul edilebilir.

Bu tür işlemlerde dahi yapay zekâ çıktısının doğruluğu çalışan tarafından kontrol edilmelidir.

Orta Riskli Kullanımlar

Şirket içi bilgilerle bağlantılı olmakla birlikte doğrudan kişisel veri veya ağır ticari sır içermeyen işlemler orta riskli kabul edilebilir.

Bu kapsamda kullanım yalnızca onaylı kurumsal araç üzerinden gerçekleştirilebilir ve yönetici onayı veya ek insan kontrolü aranabilir.

Yüksek Riskli Kullanımlar

Aşağıdaki işlemler yüksek riskli veya yasak kullanım olarak düzenlenebilir:

• Sağlık, biyometrik veya ceza mahkûmiyeti verilerinin yüklenmesi,
• Personel özlük dosyalarının sisteme aktarılması,
• Müşteri kimlik ve finans bilgilerinin kullanılması,
• Şirketin ticari sırlarının veya kaynak kodlarının paylaşılması,
• Kullanıcı adı ve şifrelerin sisteme girilmesi,
• Gizli sözleşme ve hukuki belgelerin kamuya açık araçlara yüklenmesi,
• Çalışanın yalnızca algoritma kararıyla işe alınması veya işten çıkarılması,
• Yapay zekâ ile gizli çalışan takibi yapılması,
• Çalışanın duygularının veya kişiliğinin yüz ve ses analizinden çıkarılmaya çalışılması,
• Sahte görüntü, ses veya belge üretilmesi.

Bu sistem, çalışanların hangi kullanımın serbest, hangisinin izinli ve hangisinin kesin olarak yasak olduğunu kolayca anlamasını sağlar.

Kişisel Verilerin Korunmasına İlişkin Kurallar

Yapay zekâ politikasının en önemli bölümlerinden biri kişisel verilerin korunmasına ilişkin olmalıdır.

6698 sayılı Kanun’a göre çalışanlara, müşterilere veya üçüncü kişilere ait verilerin yapay zekâ sistemine girilmesi kişisel veri işleme faaliyeti oluşturabilir. Kanun, tamamen veya kısmen otomatik yollarla kişisel veriler üzerinde gerçekleştirilen elde etme, kaydetme, depolama, sınıflandırma ve aktarma gibi işlemleri kişisel veri işleme olarak kabul etmektedir.

Politikada şu kurallara yer verilmelidir:

• Kişisel veriler yalnızca belirli ve meşru bir amaçla kullanılmalıdır.
• Sisteme yalnızca işlem için zorunlu olan veriler girilmelidir.
• Mümkün olan hâllerde veriler anonimleştirilmeli veya kimlik belirleyici unsurlar çıkarılmalıdır.
• Özel nitelikli kişisel veriler için ayrıca değerlendirme yapılmalıdır.
• Kişisel veri içeren belgeler kamuya açık yapay zekâ sistemlerine yüklenmemelidir.
• Veri işleme amacı sona erdiğinde kayıtlar silinmeli veya anonim hâle getirilmelidir.
• Çalışan ve müşterilere gerekli aydınlatma yapılmalıdır.
• Yurt dışına veri aktarımı şartları ayrıca incelenmelidir.

KVKK’nın 4. maddesi kişisel verilerin belirli, açık ve meşru amaçlarla; amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmesini ve gerekli süreden fazla saklanmamasını zorunlu tutmaktadır. Ayrıca çalışan, verilerinin yalnızca otomatik sistemler aracılığıyla analiz edilmesi sonucunda kendisi aleyhine ortaya çıkan bir sonuca itiraz edebilir.

Politikaya “Çalışan yapay zekâ kullanımı kapsamında tüm kişisel verilerinin işlenmesine rıza göstermiştir” şeklinde genel bir hüküm konulması doğru değildir. Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olmalıdır. İşçi ile işveren arasındaki güç dengesizliği de dikkate alınarak mümkün olduğu ölçüde veri işleme faaliyetinin gerçek hukuki sebebi belirlenmeli, açık rıza işverenin bütün işlemleri için genel bir güvenceye dönüştürülmemelidir.

Ticari Sırlar ve Gizli Bilgiler Korunmalıdır

Çalışanın yapay zekâ sistemine girdiği bilgi yalnızca kişisel veri niteliğinde olmayabilir. Şirketin fiyatlandırma politikası, müşteri listesi, yeni ürün planı, teklifleri, yazılım kodu, teknik çizimleri, sözleşmeleri ve stratejik kararları ticari sır veya gizli bilgi niteliğinde olabilir.

Politikada gizli bilgi kategorileri açıkça tanımlanmalıdır. Çalışanın hangi bilgileri yapay zekâ sistemine kesinlikle giremeyeceği örneklerle gösterilmelidir.

Örneğin şu tür bir düzenleme yapılabilir:

“Müşteri listeleri, teklif ve fiyatlandırma bilgileri, erişim şifreleri, yayımlanmamış mali tablolar, kaynak kodlar, teknik projeler, sözleşmeler, hukuki görüşler ve şirket tarafından gizli olarak sınıflandırılan diğer belgeler, bilgi güvenliği biriminin yazılı onayı olmaksızın üçüncü taraf yapay zekâ sistemlerine yüklenemez.”

Sadece “Gizli bilgilerin paylaşılması yasaktır” şeklindeki soyut bir hüküm, çalışan bakımından yeterli öngörülebilirlik sağlamayabilir. Hangi bilgilerin gizli olduğu ve tereddüt hâlinde kime danışılacağı belirtilmelidir.

Yapay Zekâ Çıktılarında İnsan Denetimi Zorunlu Olmalıdır

Yapay zekâ sistemleri yanlış, eksik veya gerçeğe aykırı içerik üretebilir. Bu nedenle çalışan, yapay zekâ çıktısını doğrudan şirket görüşü veya kesin bilgi olarak kullanmamalıdır.

Politikada, yapay zekâ aracılığıyla hazırlanan çıktıların;

• Doğruluk,
• Güncellik,
• Hukuka uygunluk,
• Ayrımcılık,
• Gizlilik,
• Telif hakları,
• Kurumsal dil ve kalite

bakımından insan tarafından kontrol edilmesi zorunlu tutulmalıdır.

Hukuki görüş, mali rapor, sağlık değerlendirmesi, personel kararı veya müşteri taahhüdü gibi önemli sonuçlar doğuran belgelerde daha yüksek seviyede denetim öngörülmelidir.

“Yapay zekâ böyle söyledi” açıklaması, çalışanın veya yöneticinin mesleki sorumluluğunu ortadan kaldırmaz. Nihai belgeyi hazırlayan, onaylayan veya kullanan kişi; çıktının uygunluğunu kendi görev ve yetkisi çerçevesinde incelemelidir.

İnsan Kaynakları Kararları Yapay Zekâya Bırakılmamalıdır

Politikanın insan kaynakları uygulamalarına ilişkin ayrı bir bölümü bulunmalıdır.

Yapay zekâ işe alım, performans, terfi, ücret, vardiya ve işten çıkarma süreçlerinde yardımcı araç olarak kullanılabilir. Ancak nihai kararın yalnızca algoritmik puana dayanması önemli hukuki riskler doğurur.

Politikada;

• Adayların yalnızca algoritma tarafından elenmemesi,
• Çalışanların performans puanlarının insan tarafından incelenmesi,
• Terfi ve ücret kararlarının objektif ölçütlere dayanması,
• Algoritmik sonuçların ayrımcılık bakımından test edilmesi,
• Çalışana değerlendirmeye itiraz hakkı tanınması,
• Disiplin ve fesih kararlarının yalnızca yapay zekâ önerisine dayandırılmaması

gerektiği açıkça düzenlenmelidir.

Avrupa Birliği Yapay Zekâ Tüzüğü’nde işe alım, görev dağılımı, performans izleme ve iş ilişkisinin sona erdirilmesi gibi alanlarda kullanılan bazı yapay zekâ sistemleri yüksek riskli kabul edilmektedir. İşverenlerin yüksek riskli yapay zekâ sistemini işyerinde kullanmadan önce çalışanları ve çalışan temsilcilerini bilgilendirmesi öngörülmektedir. Bu düzenleme her Türk işverene doğrudan uygulanmasa da işyerindeki yapay zekâ politikaları bakımından önemli bir karşılaştırmalı hukuk standardıdır.

Çalışan Takibinin Sınırları Belirlenmelidir

Yapay zekâ politikası, çalışanların izlenmesi ve performanslarının değerlendirilmesi için kullanılan sistemleri de kapsamalıdır.

İşverenin bilgi güvenliğini korumak, çalışma sürelerini kaydetmek ve iş süreçlerini denetlemek konusunda meşru menfaati bulunabilir. Ancak çalışanların bütün ekran hareketlerinin, yazışmalarının, seslerinin, konumlarının ve klavye hareketlerinin sürekli biçimde izlenmesi işverenin yönetim hakkıyla açıklanamayabilir.

Takibin hukuka uygun olabilmesi için;

• Takibin belirli bir amacı bulunmalı,
• Çalışan önceden bilgilendirilmeli,
• Takip amacıyla sınırlı veri toplanmalı,
• Daha az müdahaleci yöntemler değerlendirilmiş olmalı,
• Kayıtlar gereğinden uzun tutulmamalı,
• Kayıtlara erişim sınırlandırılmalı,
• Sonuçlar yalnızca ilgili amaç için kullanılmalıdır.

Gizli takip, duygu analizi veya kesintisiz ekran kaydı gibi ağır müdahaleler, özel olarak gerekçelendirilmedikçe politikada serbest kullanım olarak yer almamalıdır.

Fikrî Mülkiyet ve Telif Hakları Düzenlenmelidir

Yapay zekâ tarafından oluşturulan metin, görsel, yazılım kodu veya tasarımın kullanılması telif ve lisans sorunları doğurabilir.

Çalışanlar yapay zekâ çıktısının tamamen özgün ve serbestçe kullanılabilir olduğunu varsaymamalıdır. Politika kapsamında;

• Üçüncü kişilere ait eserlerin izinsiz biçimde sisteme yüklenmemesi,
• Yapay zekâ çıktılarının benzerlik ve hak ihlali bakımından kontrol edilmesi,
• Lisans şartlarının incelenmesi,
• Marka, tasarım ve telif hakkı içeren içeriklerin hukuk birimi onayı olmadan kullanılmaması,
• Yazılım kodlarında açık kaynak lisanslarının kontrol edilmesi

öngörülmelidir.

Çalışanın hangi yapay zekâ çıktıları üzerinde işverenin hak sahibi olacağı da iş sözleşmeleri, görev tanımları ve fikrî mülkiyet düzenlemeleriyle uyumlu biçimde ele alınmalıdır.

Eğitim Verilmeden Sorumluluk Yüklenmemelidir

Yapay zekâ politikasının çalışanlara yalnızca imzalatılması yeterli değildir. Politikanın anlaşılması ve uygulanabilmesi için düzenli eğitim verilmelidir.

Eğitimlerde çalışanlara;

• Hangi araçların kullanılabileceği,
• Kişisel veri ve ticari sırların nasıl korunacağı,
• Etkili ve güvenli komutların nasıl yazılacağı,
• Yapay zekâ çıktılarının nasıl doğrulanacağı,
• Yanlış veya ayrımcı sonuçların nasıl fark edileceği,
• Şüpheli durumların kime bildirileceği,
• Veri ihlalinde nasıl hareket edileceği

anlatılmalıdır.

Çalışandan kullanması istenen bir yapay zekâ sistemi için gerekli hesap, donanım, eğitim ve teknik destek işveren tarafından sağlanmalıdır. İş sağlığı ve güvenliği bakımından işveren, mesleki risklerin önlenmesi, eğitim ve bilgi verilmesi, gerekli organizasyonun yapılması ve değişen şartlara uygun tedbirlerin alınmasıyla yükümlüdür. Dışarıdan hizmet alınması da işverenin sorumluluğunu ortadan kaldırmaz.

Çalışana yeterli eğitim verilmeden yapay zekâ kaynaklı bütün hataların yüklenmesi, kusur ve sorumluluk değerlendirmesinde hakkaniyete aykırı sonuç doğurabilir.

İhlal ve Veri Sızıntısı Bildirim Süreci Oluşturulmalıdır

Çalışan, kişisel veriyi veya ticari sırrı yanlışlıkla yapay zekâ sistemine yükleyebilir. Böyle bir durumda hatanın gizlenmesi zararın büyümesine neden olabilir.

Politikada çalışanların yanlış kullanımı gecikmeksizin bildirebileceği açık bir kanal oluşturulmalıdır. Örneğin bilgi güvenliği, hukuk veya KVKK birimine özel e-posta adresi belirlenebilir.

Bildirim sürecinde;

• Hangi olayların bildirilmesi gerektiği,
• Bildirimin hangi süre içerisinde yapılacağı,
• Hangi birimlerin müdahale edeceği,
• Verilerin silinmesi için hizmet sağlayıcıya nasıl başvurulacağı,
• Veri ihlali değerlendirmesinin kim tarafından yapılacağı,
• Gerekirse Kuruma ve ilgili kişilere bildirim sürecinin nasıl yürütüleceği

açıklanmalıdır.

İyi niyetle ve gecikmeksizin yapılan bildirimler bakımından çalışanı hatayı saklamaya yöneltecek ağır ve otomatik yaptırımlardan kaçınılmalıdır. Kasıtlı ihlaller ile eğitim eksikliği veya makul hata sonucu meydana gelen olaylar birbirinden ayrılmalıdır.

Yaptırımlar Açık ve Ölçülü Olmalıdır

Politika ihlallerine uygulanacak disiplin yaptırımları önceden belirlenebilir. Ancak her ihlal doğrudan işten çıkarma nedeni olarak düzenlenmemelidir.

Yaptırımın belirlenmesinde;

• İhlalin kasıtlı olup olmadığı,
• Paylaşılan verinin niteliği,
• Somut zarar veya risk doğup doğmadığı,
• Çalışana eğitim verilip verilmediği,
• Kuralın açık ve anlaşılır olup olmadığı,
• İhlalin tekrarlanıp tekrarlanmadığı,
• Çalışanın olayı kendiliğinden bildirip bildirmediği

dikkate alınmalıdır.

Kişisel veri içermeyen bir metnin onaysız araçla düzeltilmesiyle, binlerce müşterinin finansal bilgilerinin kamuya açık sisteme yüklenmesi aynı yaptırıma tabi tutulmamalıdır.

Politikada kademeli bir yaptırım sistemi kurulabilir. Uyarı, yeniden eğitim, erişim yetkisinin sınırlandırılması, disiplin yaptırımı ve ağır ihlallerde fesih seçenekleri somut olayın ağırlığına göre uygulanmalıdır.

İşçi–İşveren Memnuniyetini Sağlayan Politika Nasıl Olmalıdır?

Çalışan memnuniyeti ile işveren menfaati birbirine zıt kavramlar olarak görülmemelidir. Çalışanların benimsemediği bir yapay zekâ politikası, kâğıt üzerinde kalır ve yapay zekâ kullanımının gizli biçimde devam etmesine yol açar.

Dengeli bir politika için aşağıdaki yaklaşım benimsenmelidir.

Çalışanların Görüşü Alınmalıdır

Politika yalnızca üst yönetim, hukuk veya bilgi teknolojileri birimi tarafından hazırlanıp çalışanlara dayatılmamalıdır. Yapay zekâyı günlük işlerinde kullanan çalışanların ihtiyaçları, karşılaştıkları sorunlar ve verimlilik beklentileri öğrenilmelidir.

Çalışan temsilcileri, insan kaynakları, bilgi güvenliği, hukuk, operasyon ve yönetim birimlerinden oluşan bir çalışma grubu kurulabilir.

Çalışan katılımı, politikanın bağlayıcılığını tek başına belirlemez; ancak kuralların gerçek iş süreçlerine uygun, uygulanabilir ve kabul edilebilir olmasını sağlar.

Yapay Zekâ İşten Çıkarma Aracı Olarak Sunulmamalıdır

Çalışanların temel kaygılarından biri, yapay zekâ kullanımının işlerini ortadan kaldıracağı düşüncesidir. İşveren, yapay zekânın hangi görevlerde kullanılacağını ve çalışanların görevlerinin nasıl etkileneceğini açıkça anlatmalıdır.

Politikada yapay zekânın öncelikle tekrar eden ve zaman alan işleri azaltmak, çalışanların daha nitelikli görevlere odaklanmasını sağlamak ve iş kalitesini yükseltmek amacıyla kullanılacağı belirtilebilir.

Teknolojik dönüşüm nedeniyle görev tanımlarında esaslı değişiklik yapılacaksa bunun politika içerisinde gizlice gerçekleştirilmesi yerine İş Kanunu’nun 22. maddesindeki usule uyulmalıdır.

Verimlilik Kazancı Yalnızca İş Yükü Artışına Dönüştürülmemelidir

Yapay zekâ ile bir işin daha kısa sürede tamamlanması, çalışana sınırsız sayıda yeni görev verilmesini haklı göstermez.

İşveren, elde edilen verimlilik kazancını;

• Tekrarlayan işlerin azaltılması,
• Fazla çalışmanın önlenmesi,
• İş kalitesinin artırılması,
• Çalışanların eğitimine zaman ayrılması,
• İş–özel hayat dengesinin geliştirilmesi

için de kullanmalıdır.

Yapay zekânın sürekli daha yüksek hedef, daha yoğun gözetim ve daha ağır performans baskısı için kullanılması çalışan memnuniyetini düşürür ve işverenin gözetme borcu bakımından hukuki risk yaratabilir.

Çalışanlara Güvenli Alternatif Sunulmalıdır

İşveren, kamuya açık yapay zekâ araçlarını yasaklıyorsa çalışanın işini kolaylaştıracak güvenli bir kurumsal alternatif sunmalıdır.

Çalışanın işini hızlandırması beklenirken kullanabileceği hiçbir araç sağlanmaması, politikanın fiilen uygulanmasını zorlaştırır. Kurumsal hesap, anonimleştirme aracı, güvenli test ortamı ve teknik destek sunulması, çalışanların onaysız sistemlere yönelmesini azaltır.

İtiraz ve Geri Bildirim Mekanizması Kurulmalıdır

Çalışan, yapay zekâ sistemi tarafından oluşturulan performans değerlendirmesine, görev dağılımına veya başka bir aleyhe sonuca itiraz edebilmelidir.

Ayrıca politikanın iş süreçlerinde yarattığı sorunları, gereksiz yasakları veya teknik güçlükleri bildirebileceği bir geri bildirim kanalı oluşturulmalıdır.

Çalışanın iyi niyetli itiraz veya bildirim nedeniyle olumsuz muameleye maruz kalmayacağı güvence altına alınmalıdır.

Başarı Ölçümü Yalnızca Hız Üzerinden Yapılmamalıdır

Yapay zekâ politikasının başarısı yalnızca daha fazla üretim veya daha kısa işlem süresiyle ölçülmemelidir.

Şu göstergeler birlikte değerlendirilmelidir:

• Veri ihlallerindeki azalma,
• İş kalitesi,
• Hata oranı,
• Çalışan memnuniyeti,
• Müşteri memnuniyeti,
• Fazla çalışma süreleri,
• Eğitimlere katılım,
• İtiraz ve şikâyetlerin niteliği,
• Yapay zekâ çıktılarının doğruluk oranı.

Bu yaklaşım, teknolojik verimlilik ile çalışma barışının birlikte korunmasını sağlar.

Politikanın Hazırlanma ve Uygulanma Aşamaları

Hukuka uygun bir yapay zekâ politikasının hazırlanmasında şu sıra izlenebilir:

Birinci aşama: Mevcut kullanımın tespiti

Çalışanların hâlen hangi araçları, hangi amaçlarla ve hangi veri türleriyle kullandığı belirlenmelidir. Gizli veya kontrol dışı kullanımın bulunup bulunmadığı araştırılmalıdır.

İkinci aşama: Risk analizi

Kişisel veri, ticari sır, siber güvenlik, ayrımcılık, fikrî mülkiyet, iş hukuku ve iş sağlığı riskleri değerlendirilmelidir.

Üçüncü aşama: Araç ve kullanım sınıflandırması

Onaylı, sınırlı kullanıma tabi ve yasak araçlar belirlenmelidir. Kullanım alanları düşük, orta ve yüksek riskli olarak sınıflandırılmalıdır.

Dördüncü aşama: Hukuki uyum

KVKK aydınlatma metinleri, veri işleme envanteri, saklama ve imha politikası, yurt dışına aktarım mekanizmaları, iş sözleşmeleri ve personel yönetmelikleri gözden geçirilmelidir.

Beşinci aşama: Çalışan katılımı

Taslak politika çalışan temsilcileri ve ilgili departmanlarla değerlendirilmelidir.

Altıncı aşama: Pilot uygulama

Politika önce belirli bir departmanda uygulanarak teknik ve operasyonel sorunlar tespit edilebilir.

Yedinci aşama: Eğitim ve tebliğ

Politika çalışanlara anlaşılır bir dille açıklanmalı, eğitim verilmeli ve erişilebilir bir ortamda yayımlanmalıdır.

Sekizinci aşama: Denetim ve güncelleme

Yeni sistemler, mevzuat değişiklikleri ve gerçekleşen ihlaller dikkate alınarak politika düzenli biçimde güncellenmelidir.

Politika Ne Sıklıkla Güncellenmelidir?

Yapay zekâ teknolojileri hızlı değiştiği için politika bir kez hazırlanıp süresiz biçimde kullanılmamalıdır.

Politikanın en az yılda bir kez ve ayrıca;

• Yeni bir yapay zekâ sistemi kullanılmaya başlandığında,
• Hizmet sağlayıcı veya veri saklama yeri değiştiğinde,
• Yeni bir kişisel veri işleme faaliyeti ortaya çıktığında,
• Görev ve performans sistemleri değiştirildiğinde,
• Veri ihlali yaşandığında,
• Mevzuat veya Kurul uygulaması değiştiğinde

gözden geçirilmesi uygun olacaktır.

Kişisel Verileri Koruma Kurumunun işyerlerinde üretken yapay zekâ kullanımına ilişkin güncel çalışmaları da kurumsal politika ve yönlendirme olmaksızın gerçekleşen kullanımın yönetilmesindeki güçlüğe özellikle dikkat çekmektedir.

Sonuç

İşyerinde yapay zekâ politikası, yalnızca çalışanlara yasaklar koyan bir disiplin belgesi olarak hazırlanmamalıdır. Politika; işverenin teknolojiden verim elde etmesini sağlarken çalışanların kişisel verilerini, mesleki itibarını, iş güvencesini ve özel hayatını koruyan dengeli bir kurumsal düzenleme olmalıdır.

İşveren, yönetim hakkı kapsamında yapay zekâ kullanımını düzenleyebilir. Ancak bu yetki işçinin kişilik haklarını ihlal etme, çalışma koşullarını tek taraflı biçimde ağırlaştırma veya çalışanları sınırsız şekilde izleme hakkı vermez.

Hukuka uygun bir politika;

• Kullanılabilecek araçları belirlemeli,
• Kişisel veri ve ticari sırları korumalı,
• Yasak ve izin verilen kullanımları örneklerle açıklamalı,
• İnsan denetimini zorunlu tutmalı,
• Algoritmik ayrımcılığı önlemeli,
• Çalışanlara eğitim ve güvenli araç sağlamalı,
• İhlal bildirim mekanizması oluşturmalı,
• Yaptırımları ölçülü biçimde düzenlemeli,
• Çalışanların görüş ve itirazlarını dikkate almalıdır.

İşveren bakımından en güvenli model, bütün yapay zekâ kullanımını yasaklamak veya tamamen serbest bırakmak değildir. En uygun yaklaşım; kullanım alanlarını risk derecesine göre sınıflandıran, çalışanları sürece dâhil eden, güvenli kurumsal araçlar sunan ve önemli kararları insan denetiminde tutan bir sistemdir.

Sonuç olarak başarılı bir yapay zekâ politikası, çalışanı teknoloji karşısında değersizleştiren değil, çalışanın bilgi ve deneyimini teknolojiyle güçlendiren bir çalışma düzeni kurmalıdır. İşçi memnuniyetinin gözetildiği, işverenin veri güvenliği ve verimlilik beklentilerinin açıkça düzenlendiği bir politika; yalnızca hukuki riskleri azaltmakla kalmayacak, işyerinde güveni ve çalışma barışını da güçlendirecektir.