Shadow AI Kullanımında İşverenin Sorumluluğu

Yapay zekâ araçlarının iş hayatında yaygınlaşmasıyla birlikte şirketlerin karşı karşıya kaldığı yeni hukuki risklerden biri de Shadow AI kullanımıdır. Çalışanların şirket yönetiminin, hukuk biriminin veya bilgi teknolojileri departmanının bilgisi dışında yapay zekâ araçlarını kullanması; kişisel verilerin, ticari sırların, müşteri bilgilerinin ve şirket belgelerinin kontrol dışına çıkmasına neden olabilir.

Bir çalışan, işini daha hızlı yapmak amacıyla şirket sözleşmesini ChatGPT benzeri bir yapay zekâ sistemine yükleyebilir, müşteri listesini analiz ettirebilir, çalışan verilerini sınıflandırabilir veya şirketin kaynak kodunu yapay zekâ aracında inceletebilir. Çalışanın bu işlemleri kendi kişisel hesabından ve işverenin bilgisi dışında gerçekleştirmesi ise önemli bir soruyu gündeme getirir:

Shadow AI kullanımından işveren sorumlu olur mu?

Bu soruya her olay bakımından aynı cevabı vermek mümkün değildir. Ancak çalışanın işlemi şirketin bilgisi dışında gerçekleştirmiş olması, işvereni her durumda hukuki sorumluluktan kurtarmaz.

Özellikle kişisel verilerin korunması, ticari sırların güvenliği, işverenin gözetme borcu, bilgi güvenliği ve üçüncü kişilere karşı sözleşmesel yükümlülükler bakımından şirketin gerekli önleyici tedbirleri alıp almadığı önem taşır.

Bu nedenle Shadow AI, yalnızca çalışanın bireysel hatası olarak değil, aynı zamanda işverenin kurumsal risk yönetimi ve yapay zekâ yönetişimi sorunu olarak değerlendirilmelidir.

Shadow AI Nedir?

Shadow AI, çalışanların şirket tarafından onaylanmamış yapay zekâ araçlarını iş amacıyla kullanmasını veya şirketçe kullanılmasına izin verilen yapay zekâ sistemlerini belirlenen sınırların dışında kullanmasını ifade eder.

Örneğin çalışan;

• kişisel ChatGPT hesabına müşteri sözleşmesini yükleyebilir,
• şirketin müşteri listesini yapay zekâ sisteminde analiz ettirebilir,
• çalışan özlük bilgilerini yapay zekâ ile sınıflandırabilir,
• şirket kaynak kodunu üçüncü taraf yapay zekâ aracında inceletebilir,
• şirketin fiyatlandırma tablosunu yapay zekâ sistemine aktarabilir,
• dava veya soruşturma dosyalarını yapay zekâya yükleyebilir.

Bu işlemlerin ortak özelliği, şirket bilgilerinin şirketin doğrudan kontrolü dışında bulunan bir yapay zekâ sisteminde işlenmesidir.

İşveren Çalışanın Shadow AI Kullanımından Sorumlu Olabilir mi?

Somut olayın özelliklerine göre evet.

Çalışanın kendi hesabından veya işverenin bilgisi dışında yapay zekâ kullanması, işverenin hiçbir sorumluluğunun bulunmadığı anlamına gelmez.

Özellikle şirket;

çalışanların yapay zekâ kullanımını hiç düzenlememiş, hangi sistemlerin kullanılabileceğini belirlememiş, kişisel veri ve ticari sırların yapay zekâ sistemlerine yüklenmesini sınırlamamış ve çalışanlarına gerekli eğitimleri vermemişse işverenin kurumsal tedbir yükümlülükleri tartışma konusu olabilir.

Dolayısıyla hukuki değerlendirmede yalnızca;

“Çalışan ne yaptı?”

sorusuna değil;

“İşveren bu riski önlemek için ne yaptı?”

sorusuna da cevap aranması gerekir.

Shadow AI ve KVKK Bakımından İşverenin Sorumluluğu

İşverenin sorumluluğunun en önemli alanlarından biri kişisel verilerin korunmasıdır.

Şirket, işlediği kişisel veriler bakımından veri sorumlusu konumundaysa 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki yükümlülüklerini yerine getirmek zorundadır.

Örneğin şirket çalışanının;

müşteri adı ve soyadı, telefon numarası, e-posta adresi, çalışan bilgileri, sağlık verileri veya başka kişisel verileri

kontrolsüz bir yapay zekâ sistemine yüklemesi hâlinde kişisel veri güvenliği açısından risk ortaya çıkabilir.

Bu noktada işverenin;

hangi teknik ve idari tedbirleri aldığı, çalışanları eğitip eğitmediği, erişim yetkilerini sınırlandırıp sınırlandırmadığı ve yapay zekâ kullanımına ilişkin iç politika oluşturup oluşturmadığı önem taşır.

“Çalışan Kendi Hesabından Kullandı” Savunması Yeterli midir?

Her zaman yeterli olmayabilir.

Şirketler Shadow AI vakalarında;

“Bu uygulamayı biz sağlamadık. Çalışan kendi hesabından kullandı.”

savunmasını ileri sürebilir.

Ancak kişisel veri güvenliği bakımından veri sorumlusunun gerekli teknik ve idari tedbirleri alma yükümlülüğü bulunduğundan, olay yalnızca çalışanın kişisel davranışı üzerinden değerlendirilmeyebilir.

Örneğin şirket içerisinde yüzlerce çalışan kişisel yapay zekâ hesapları kullanıyor ve şirket yönetimi buna rağmen hiçbir politika veya teknik önlem oluşturmuyorsa, ortaya çıkan veri güvenliği ihlalinde şirketin risk yönetimi de incelenebilir.

Bu nedenle işverenlerin Shadow AI’yi tamamen çalışanların kişisel sorunu olarak görmesi doğru değildir.

İşverenin Veri Güvenliği Tedbirleri Alması Gerekir mi?

Evet.

Şirketlerin kişisel verilerin ve şirket bilgilerinin güvenliğini koruyabilmek amacıyla makul teknik ve idari tedbirler oluşturması gerekir.

Shadow AI bakımından bu tedbirler arasında;

• onaylı yapay zekâ araçlarının belirlenmesi,
• kişisel hesap kullanımının düzenlenmesi,
• veri sınıflandırması yapılması,
• çalışanlara eğitim verilmesi,
• ticari sırların yapay zekâ sistemlerine yüklenmesinin sınırlandırılması,
• kritik dosya hareketlerinin kontrol edilmesi ve
• yapay zekâ kaynaklı olaylar için bildirim prosedürü oluşturulması

yer alabilir.

İşverenin hiçbir tedbir almaması, olası bir uyuşmazlıkta önemli bir değerlendirme konusu hâline gelebilir.

Özel Nitelikli Kişisel Veriler Açısından İşverenin Riski

Shadow AI kullanımında özel nitelikli kişisel veriler söz konusu olduğunda risk daha da artabilir.

Örneğin insan kaynakları çalışanı;

çalışan sağlık raporlarını, engellilik bilgilerini veya diğer hassas verileri

kişisel bir yapay zekâ sistemine yükleyerek rapor hazırlatabilir.

Çalışanın amacı yalnızca işini kolaylaştırmak olsa dahi işveren açısından ciddi veri güvenliği sorunları ortaya çıkabilir.

Bu nedenle özellikle insan kaynakları, sağlık, sigorta ve hukuk departmanlarında daha sıkı yapay zekâ kullanım kuralları oluşturulması önemlidir.

Yurt Dışına Veri Aktarımı Açısından İşverenin Sorumluluğu

Kullanılan yapay zekâ hizmetinin altyapısına göre kişisel verilerin yurt dışında işlenmesi veya saklanması gündeme gelebilir.

Çalışan yabancı bir yapay zekâ sistemine kişisel veri aktardığında, olayın teknik ve hukuki yapısına göre KVKK’nın yurt dışına kişisel veri aktarımına ilişkin hükümleri incelenmelidir.

İşveren;

“Çalışan uygulamayı kendisi seçti.”

demekle bu riskten otomatik olarak kurtulamayabilir.

Şirketin çalışanların hangi sistemleri kullanabileceğini önceden belirlemesi ve yurt dışı veri aktarımı bakımından riskli uygulamaları sınırlandırması önemlidir.

Ticari Sırların Yapay Zekâya Yüklenmesi ve İşverenin Sorumluluğu

Shadow AI yalnızca kişisel veriler bakımından risk oluşturmaz.

Çalışanın;

müşteri listelerini, kaynak kodlarını, maliyet tablolarını, fiyatlandırma stratejilerini, yatırım planlarını veya şirketin diğer gizli bilgilerini

yapay zekâ sistemine aktarması ticari sırların korunması bakımından ciddi sonuçlar doğurabilir.

Şirketin ticari sırlarını gerçekten korumak istediğini gösterebilmesi için bu bilgilerin gizliliğine ilişkin makul önlemler oluşturması önemlidir.

Örneğin şirketin;

hangi bilgilerin ticari sır olduğunu belirlememesi, tüm çalışanlara sınırsız erişim vermesi ve herhangi bir gizlilik politikası oluşturmaması

sonradan ortaya çıkacak uyuşmazlıklarda şirketin pozisyonunu zayıflatabilir.

İşveren Ticari Sırları Korumak İçin Ne Yapmalıdır?

Şirket öncelikle ticari sır niteliğindeki bilgileri sınıflandırmalıdır.

Örneğin;

kamuya açık, şirket içi, gizli ve çok gizli

şeklinde bir veri sınıflandırma sistemi oluşturulabilir.

Daha sonra hangi veri kategorilerinin yapay zekâ sistemlerinde kullanılabileceği belirlenebilir.

Örneğin “çok gizli” olarak sınıflandırılmış kaynak kodlarının, yönetim kurulu belgelerinin veya yatırım projelerinin harici yapay zekâ sistemlerine yüklenmesi tamamen yasaklanabilir.

Bu tür tedbirler yalnızca teknik güvenlik sağlamaz; aynı zamanda şirketin ticari sırlarını koruma iradesini de ortaya koyar.

Üçüncü Kişilere Karşı Sözleşmesel Sorumluluk

Çalışanın Shadow AI kullanımı şirketin müşterilerine veya iş ortaklarına karşı da sorumluluk doğurabilir.

Şirket, müşteriyle yaptığı sözleşmede belirli bilgileri gizli tutacağını taahhüt etmiş olabilir.

Çalışan bu bilgileri yapay zekâ sistemine yüklediğinde sözleşmesel gizlilik yükümlülüğünün ihlali gündeme gelebilir.

Örneğin bir danışmanlık şirketinin çalışanı müşteriye ait gizli proje dokümanlarını yapay zekâ sistemine yükleyebilir.

Bu durumda müşteri;

zararın giderilmesini, sözleşmede bulunuyorsa cezai şartın ödenmesini veya sözleşmesel başka yaptırımların uygulanmasını

talep edebilir.

Şirketin;

“Belgeyi yönetim değil çalışan yükledi.”

savunması, müşteriye karşı üstlenilmiş sözleşmesel yükümlülüğü otomatik olarak ortadan kaldırmaz.

İşveren Çalışanın Eyleminden Dolayı Tazminat Ödemek Zorunda Kalabilir mi?

Somut olayın özelliklerine göre mümkündür.

Çalışanın görevini yerine getirirken gerçekleştirdiği işlemler nedeniyle üçüncü kişilerin zarar görmesi hâlinde işverenin sorumluluğuna ilişkin genel hükümler gündeme gelebilir.

Örneğin çalışan müşteri verilerini yetkisiz bir yapay zekâ sistemine aktarır ve bunun sonucunda müşterinin zarar görmesine neden olursa olay;

kişisel veri hukuku, sözleşmesel sorumluluk ve genel tazminat hükümleri

bakımından birlikte incelenebilir.

İşverenin sorumluluğu ile çalışanın kişisel sorumluluğu birbirinden ayrı değerlendirilebilir.

İşveren Çalışana Rücu Edebilir mi?

Çalışanın kusurlu davranışı nedeniyle şirketin zarara uğraması hâlinde, somut olayın şartlarına göre işverenin çalışana başvurması gündeme gelebilir.

Ancak burada otomatik bir rücu mekanizmasından söz edilemez.

Çalışanın;

kusurunun derecesi, görev tanımı, aldığı eğitim, işveren tarafından verilen talimatlar, şirketin kendi güvenlik eksiklikleri ve olayın meydana gelmesindeki diğer nedenler

birlikte değerlendirilmelidir.

Örneğin şirket çalışanlara hiçbir yapay zekâ politikası sunmamışsa ve yapay zekâ kullanımını yıllardır fiilen teşvik ediyorsa ortaya çıkan bütün zararın tek başına çalışana yüklenmesi tartışmalı olabilir.

İşverenin Gözetme Borcu ve Shadow AI

İşverenin çalışanı gözetme borcu, iş ilişkisinin temel unsurlarından biridir.

Yapay zekâ sistemlerinin iş süreçlerine dâhil edilmesiyle birlikte çalışanların bu teknolojileri hangi koşullarda kullanacağı da işverenin organizasyon yükümlülüğünün bir parçası hâline gelebilir.

Örneğin şirket çalışanı yapay zekâ aracı kullanmak zorunda bırakıyor ancak hangi verilerin sisteme girilemeyeceğine ilişkin hiçbir eğitim vermiyorsa işverenin organizasyon ve yönlendirme eksikliği gündeme gelebilir.

Dolayısıyla Shadow AI yönetimi yalnızca çalışanları disiplin altına almak değildir.

İşverenin de güvenli çalışma ortamı ve açık kullanım kuralları oluşturması gerekir.

Shadow AI Nedeniyle İşveren İdari Yaptırımla Karşılaşabilir mi?

Kişisel veri ihlali meydana gelmesi hâlinde şirketin KVKK kapsamındaki yükümlülükleri ve olası idari yaptırımlar gündeme gelebilir.

Burada olayın;

kişisel veri ihlali oluşturup oluşturmadığı, veri sorumlusunun gerekli tedbirleri alıp almadığı ve ihlal sonrasında gerekli süreçlerin zamanında yürütülüp yürütülmediği

incelenebilir.

Dolayısıyla Shadow AI vakası yalnızca çalışan hakkında disiplin soruşturması yapılmasıyla sona ermeyebilir.

Şirketin veri koruma yükümlülükleri ayrıca değerlendirilmelidir.

İşveren Çalışanların Yapay Zekâ Kullanımını Denetlemek Zorunda mı?

Şirketin yapay zekâ kullanımını tamamen kontrol etmesi pratik olarak mümkün olmayabilir.

Ancak bilinen ve öngörülebilir risklere karşı makul önlemler alınması önemlidir.

Özellikle yapay zekâ kullanımının şirket içerisinde yaygın olduğu biliniyorsa;

“Biz çalışanların kullandığını bilmiyorduk.”

savunması giderek daha zayıf hâle gelebilir.

Bu nedenle şirketlerin en azından;

hangi yapay zekâ araçlarının kullanıldığını tespit etmesi, riskli uygulamaları belirlemesi ve çalışanlara açık kurallar getirmesi gerekir.

İşverenin Denetim Yetkisi Sınırsız mıdır?

Hayır.

İşveren Shadow AI riskini önlemek amacıyla çalışanların dijital faaliyetlerini belirli ölçülerde denetleyebilir.

Ancak bu denetim;

kişisel verilerin korunması, özel hayatın gizliliği ve haberleşme özgürlüğü

bakımından sınırlandırılmıştır.

Şirketin, Shadow AI’yi önlemek adına çalışanların bütün özel yazışmalarını veya kişisel hesaplarını sınırsız biçimde incelemesi de ayrı bir hukuki sorun yaratabilir.

Dolayısıyla işveren bir hukuki riski önlemeye çalışırken başka bir hukuki ihlal oluşturmamalıdır.

Çalışanların Önceden Bilgilendirilmesi Önemli midir?

Evet.

Şirketlerin çalışanlara;

hangi yapay zekâ sistemlerinin kullanılabileceğini, hangi sistemlerin yasak olduğunu, hangi verilerin yüklenemeyeceğini ve kullanımın hangi ölçüde denetlenebileceğini

açık şekilde bildirmesi önem taşır.

Bu kurallar;

iş sözleşmesi, çalışan el kitabı, bilgi güvenliği politikası veya ayrı bir yapay zekâ kullanım politikası

içerisinde düzenlenebilir.

Çalışanın hangi kurala aykırı davrandığının belirlenebilmesi açısından kuralların açık ve anlaşılır olması gerekir.

İşveren Shadow AI Politikası Hazırlamalı mı?

Yapay zekâ kullanımının yaygın olduğu şirketlerde yazılı bir Shadow AI veya kurumsal yapay zekâ kullanım politikası hazırlanması son derece önemlidir.

Politikada özellikle;

• kullanılabilecek yapay zekâ sistemleri,
• kişisel hesapların kullanımı,
• kişisel verilerin işlenmesi,
• ticari sırların korunması,
• kaynak kodlarının kullanımı,
• gizli belgelerin aktarılması,
• insan denetimi,
• olay bildirim prosedürü ve
• disiplin süreçleri

düzenlenmelidir.

Politika şirketin gerçek iş süreçlerine uygun hazırlanmalıdır.

Yalnızca Politika Hazırlamak İşvereni Sorumluluktan Kurtarır mı?

Hayır.

Bir şirketin kâğıt üzerinde kapsamlı bir yapay zekâ politikası hazırlamış olması tek başına yeterli değildir.

Politikanın uygulanması gerekir.

Örneğin şirket;

“Çalışanlar kişisel veri yükleyemez.”

şeklinde kural koymuş ancak hiçbir eğitim vermemiş, çalışanların tamamı kişisel yapay zekâ hesaplarını kullanmaya devam etmiş ve yönetim bu durumu bilmesine rağmen herhangi bir işlem yapmamış olabilir.

Bu durumda yalnızca yazılı politika bulunması etkin bir tedbir olarak kabul edilmeyebilir.

Dolayısıyla politika;

eğitim, teknik tedbirler, denetim ve olay müdahale süreçleriyle

desteklenmelidir.

Çalışanlara Yapay Zekâ Eğitimi Verilmesi Neden Önemlidir?

Shadow AI vakalarının önemli bir bölümü kötü niyetten değil, bilgi eksikliğinden kaynaklanabilir.

Çalışan;

“Ben yalnızca sözleşmeyi özetlettim.”

diyebilir.

Ancak sözleşmede müşteri bilgileri ve ticari sırlar bulunabilir.

Başka bir çalışan;

“Yalnızca hata mesajını yapay zekâya gönderdim.”

diyebilir.

Ancak mesajın içerisinde erişim anahtarı veya şirketin sistem bilgileri yer alabilir.

Bu nedenle çalışanlara gerçek iş senaryoları üzerinden düzenli eğitim verilmesi şirketin riskini önemli ölçüde azaltabilir.

Kurumsal Yapay Zekâ Hesapları Sağlanması İşverenin Riskini Azaltabilir mi?

Çalışanların kişisel hesaplardan yapay zekâ kullanmasının önüne geçebilmek için şirket tarafından onaylanmış kurumsal çözümler sağlanabilir.

Bu sistemler;

hesap yönetimi, erişim kontrolü, güvenlik ayarları ve kullanım politikalarının merkezi şekilde uygulanması

açısından avantaj sağlayabilir.

Ancak kurumsal bir yapay zekâ hizmetinin kullanılması da hukuki inceleme ihtiyacını tamamen ortadan kaldırmaz.

Hizmet sağlayıcının veri işleme şartları, saklama politikaları ve güvenlik tedbirleri ayrıca incelenmelidir.

Veri Sınıflandırması İşverenin Sorumluluğunu Yönetmede Neden Önemlidir?

Çalışan hangi verinin hassas olduğunu bilmiyorsa yapay zekâ politikasının uygulanması zorlaşır.

Bu nedenle şirketlerin veri sınıflandırması yapması önemlidir.

Örneğin;

Kamuya Açık – Şirket İçi – Gizli – Çok Gizli

şeklinde bir sınıflandırma oluşturulabilir.

Çalışana;

“Kamuya açık verileri onaylı yapay zekâ sisteminde kullanabilirsin ancak gizli verileri yükleyemezsin.”

şeklinde açık bir kural verilebilir.

Bu yaklaşım hem güvenliği artırır hem de olası uyuşmazlıklarda sorumluluk sınırlarının daha net belirlenmesine yardımcı olur.

Shadow AI Kaynaklı Olay Tespit Edildiğinde İşveren Ne Yapmalıdır?

Bir Shadow AI olayı tespit edildiğinde şirketin ilk refleksi yalnızca çalışanı işten çıkarmak olmamalıdır.

Öncelikle olayın teknik ve hukuki kapsamı belirlenmelidir.

Şirket şu sorulara cevap aramalıdır:

Hangi yapay zekâ sistemi kullanıldı?

Hangi veri aktarıldı?

Kişisel veri var mı?

Özel nitelikli kişisel veri bulunuyor mu?

Ticari sır aktarıldı mı?

Müşteriye ait gizli bilgiler bulunuyor mu?

Veri yurt dışına aktarıldı mı?

Verinin sistemden silinmesi mümkün mü?

Üçüncü kişiler veriye erişmiş olabilir mi?

Şirketin mevcut güvenlik politikaları yeterli miydi?

Bu inceleme sonrasında veri güvenliği, KVKK, sözleşme ve iş hukuku süreçleri birlikte yürütülmelidir.

Çalışanın İş Sözleşmesi Feshedilebilir mi?

Shadow AI kullanımı belirli durumlarda iş sözleşmesinin feshedilmesine neden olabilir.

Ancak her Shadow AI olayı otomatik olarak haklı fesih sebebi değildir.

Örneğin şirketin ticari sırlarını veya büyük miktarda kişisel veriyi bilinçli şekilde yetkisiz yapay zekâ sistemine aktaran çalışan bakımından ciddi bir güven ihlali ortaya çıkabilir.

Buna karşılık şirketin hiçbir politika oluşturmadığı ve çalışanın yalnızca kamuya açık bilgilerle basit bir metin hazırladığı olayda doğrudan en ağır yaptırımın uygulanması tartışmalı olabilir.

Bu nedenle;

ihlalin ağırlığı, çalışanın kusuru, şirket politikaları ve ortaya çıkan zarar

birlikte değerlendirilmelidir.

İşverenin Kendi Kusuru da Değerlendirilir mi?

Shadow AI uyuşmazlıklarında yalnızca çalışan davranışı değil, şirketin organizasyon yapısı da önem taşıyabilir.

Örneğin şirket;

• hiçbir yapay zekâ politikası oluşturmamış,
• çalışanlarına eğitim vermemiş,
• hassas verileri sınıflandırmamış,
• herkesin bütün dosyalara erişmesine izin vermiş ve
• kişisel AI kullanımının yaygın olduğunu bilmesine rağmen müdahale etmemişse

şirketin kendi risk yönetimi eksiklikleri de ortaya çıkabilir.

Bu nedenle işverenler açısından en güvenli yaklaşım, yapay zekâ kullanımını tamamen çalışanların kişisel sorumluluğuna bırakmamak olacaktır.

Shadow AI ve Siber Güvenlik Açısından İşverenin Sorumluluğu

Shadow AI aynı zamanda siber güvenlik sorunudur.

Çalışan bilinmeyen bir yapay zekâ eklentisine;

e-posta hesabı, bulut depolama alanı veya şirket dosyalarına erişim izni

verebilir.

Bu durumda uygulama yalnızca çalışanın girdiği bilgilerle sınırlı kalmayıp daha geniş şirket verilerine erişebilir.

İşverenlerin bu nedenle;

uygulama izinlerini, üçüncü taraf entegrasyonlarını ve kurumsal cihazlarda kullanılabilecek yazılımları

belirli güvenlik standartlarına bağlaması önemlidir.

İşverenin Shadow AI Riskini Azaltmak İçin Alabileceği Önlemler

Şirketlerin Shadow AI kaynaklı sorumluluk riskini azaltabilmesi için bütüncül bir sistem kurulması gerekir.

Bu sistemde;

1. Yapay zekâ envanteri çıkarılmalı,

şirket içerisinde hangi AI araçlarının kullanıldığı tespit edilmelidir.

2. Onaylı yapay zekâ uygulamaları belirlenmeli,

çalışanların kullanabileceği sistemler açıkça gösterilmelidir.

3. Veri sınıflandırması yapılmalı,

hangi bilgilerin hassas olduğu çalışanlara anlatılmalıdır.

4. Kişisel hesap kullanımı düzenlenmeli,

şirket verilerinin kişisel AI hesaplarına yüklenmesi sınırlandırılmalıdır.

5. Çalışanlara eğitim verilmeli,

KVKK, ticari sır ve siber güvenlik riskleri açıklanmalıdır.

6. Teknik güvenlik tedbirleri alınmalı,

yüksek riskli veri aktarım kanalları mümkün olduğunca kontrol edilmelidir.

7. Olay müdahale prosedürü hazırlanmalı,

çalışanın yanlışlıkla veri yüklemesi hâlinde nasıl hareket edeceği belirlenmelidir.

8. Politika düzenli olarak güncellenmelidir.

Yapay zekâ teknolojilerinin hızla değiştiği dikkate alınarak kurallar periyodik şekilde gözden geçirilmelidir.

Shadow AI Yönetimi Hangi Birimlerin Sorumluluğundadır?

Shadow AI yalnızca bilgi teknolojileri departmanının sorunu değildir.

Etkili bir risk yönetim sistemi için;

hukuk, KVKK, insan kaynakları, bilgi teknolojileri, siber güvenlik, iç denetim ve üst yönetim

birlikte çalışmalıdır.

Hukuk ekibi;

KVKK, iş hukuku, ticari sırlar ve sözleşmesel sorumluluk

konularını değerlendirirken teknik ekip sistem güvenliğini sağlamalıdır.

İnsan kaynakları birimi ise çalışan eğitimleri ve disiplin süreçlerini yürütmelidir.

Sonuç

Shadow AI kullanımında işverenin sorumluluğu, yapay zekânın şirketlerde yaygınlaşmasıyla giderek daha önemli hâle gelen bir kurumsal hukuk problemidir.

Çalışanın şirketin bilgisi dışında kişisel yapay zekâ hesabı kullanması, işverenin her durumda sorumluluktan kurtulacağı anlamına gelmez.

Özellikle;

kişisel verilerin, ticari sırların, müşteri bilgilerinin, kaynak kodlarının veya gizli şirket belgelerinin kontrolsüz yapay zekâ sistemlerine aktarılması

hâlinde şirketin hangi önleyici tedbirleri aldığı önem taşır.

İşverenin;

yapay zekâ politikası oluşturmaması, çalışanlarını eğitmemesi, veri sınıflandırması yapmaması ve bilinen Shadow AI risklerine karşı herhangi bir teknik veya idari önlem almaması

olası hukuki uyuşmazlıklarda şirketin sorumluluğu bakımından değerlendirme konusu olabilir.

Buna karşılık kapsamlı bir yapay zekâ kullanım politikası hazırlanması, onaylı sistemlerin belirlenmesi, çalışanların eğitilmesi ve veri güvenliği tedbirlerinin uygulanması şirketin Shadow AI risklerini önemli ölçüde azaltabilir.

Ancak yalnızca yazılı politika hazırlamak yeterli değildir. Kuralların fiilen uygulanması ve düzenli olarak denetlenmesi gerekir.

Yapay zekânın iş hayatında kullanımının artmasıyla birlikte şirketler açısından temel soru artık yalnızca;

“Çalışanımız izinsiz yapay zekâ kullandı mı?”

değildir.

Asıl soru şudur:

“Şirket olarak çalışanların yapay zekâ kullanımından doğabilecek riskleri öngörmek ve önlemek için gerekli hukuki, teknik ve idari tedbirleri aldık mı?”

Shadow AI kullanımında işverenin sorumluluğu değerlendirilirken çalışanın bireysel davranışı ile şirketin kurumsal risk yönetimi birlikte ele alınmalıdır.