Shadow AI ve Ticari Sırların Korunması: Şirketler İçin Hukuki Riskler ve Önlemler

Yapay zekâ araçlarının iş hayatında giderek daha yaygın kullanılmaya başlanması, şirketler açısından önemli verimlilik avantajları sağlarken yeni tür hukuki riskleri de beraberinde getirmiştir. Çalışanların şirket tarafından onaylanmamış yapay zekâ araçlarını iş süreçlerinde kullanması veya şirketçe izin verilen yapay zekâ sistemlerini belirlenen sınırların dışında kullanması, günümüzde “Shadow AI” olarak adlandırılan önemli bir kurumsal risk alanını oluşturmaktadır.

Shadow AI bakımından en ciddi hukuki sorunlardan biri, şirketlerin ticari sırlarının, gizli bilgilerinin, müşteri verilerinin, fiyatlandırma stratejilerinin, kaynak kodlarının, üretim yöntemlerinin ve geleceğe yönelik ticari planlarının yapay zekâ sistemlerine kontrolsüz şekilde aktarılmasıdır.

Bir çalışan açısından yalnızca işini hızlandırmak amacıyla yapılan birkaç dakikalık bir işlem, şirket açısından yıllar boyunca geliştirilen ve ciddi ekonomik değeri bulunan bilgilerin şirket kontrolü dışındaki bir sisteme aktarılması sonucunu doğurabilir.

Bu nedenle Shadow AI ve ticari sırların korunması konusu yalnızca bilgi teknolojileri departmanlarını ilgilendiren teknik bir mesele değildir. Konunun; iş hukuku, borçlar hukuku, haksız rekabet hukuku, ceza hukuku, kişisel verilerin korunması ve sözleşmeler hukuku bakımından birlikte değerlendirilmesi gerekir.

Shadow AI Nedir?

Shadow AI, genel anlamıyla şirket yönetimi, bilgi teknolojileri departmanı veya hukuk birimi tarafından onaylanmamış yapay zekâ araçlarının çalışanlar tarafından iş amacıyla kullanılmasıdır.

Bunun yanında şirket belirli bir yapay zekâ sisteminin kullanılmasına izin vermiş olsa dahi çalışan tarafından bu sistemin şirket politikalarının dışında kullanılması da Shadow AI kapsamında değerlendirilebilir.

Örneğin şirket çalışanının;

• müşteri listesini yapay zekâ sistemine yükleyerek satış analizi yaptırması,
• şirketin maliyet tablosunu yapay zekâya vererek fiyatlandırma önerisi istemesi,
• sözleşmeleri kişisel ChatGPT hesabına yükleyerek özetletmesi,
• yazılım kaynak kodunu yapay zekâ sistemine aktararak hata analizi yaptırması,
• yatırım planlarını yapay zekâya yükleyerek stratejik değerlendirme istemesi,
• gizli ihale tekliflerini karşılaştırmak amacıyla üretken yapay zekâ kullanması

Shadow AI bakımından önemli risk örnekleridir.

Bu işlemlerin ortak özelliği, şirketin ekonomik değer taşıyan bilgilerinin şirketin doğrudan kontrolü dışında bulunan bir yapay zekâ altyapısında kullanılabilmesidir.

Ticari Sır Nedir?

Türk hukukunda ticari sır kavramı tek bir kanunda bütün unsurlarıyla tanımlanmış değildir. Bununla birlikte öğretide ve yargı uygulamasında genel olarak bir ticari bilginin sır niteliğinde kabul edilebilmesi için;

bilginin kamu tarafından bilinmemesi, ticari faaliyet bakımından ekonomik değer taşıması, belirli veya sınırlı kişiler tarafından bilinmesi ve sahibinin bu bilgiyi gizli tutma yönünde irade göstermesi

önem taşımaktadır.

Şirket bakımından ticari sır niteliğinde olabilecek bilgiler oldukça geniştir.

Bunlar arasında;

• müşteri portföyleri,
• tedarikçi listeleri,
• fiyatlandırma politikaları,
• kâr marjları,
• üretim teknikleri,
• formüller,
• yazılım kaynak kodları,
• algoritmalar,
• Ar-Ge projeleri,
• pazarlama stratejileri,
• şirket satın alma planları,
• yatırım projeleri,
• geleceğe yönelik bütçeler,
• ihale teklifleri,
• özel sözleşme şartları,
• distribütörlük ve bayi koşulları,
• şirket içi raporlar ve
• henüz kamuya açıklanmamış ticari projeler

yer alabilir.

Her şirket açısından ticari sır niteliğindeki bilgilerin farklı olabileceği unutulmamalıdır.

Shadow AI Ticari Sırlar İçin Neden Risklidir?

Geleneksel şirket yapılarında ticari sırların korunması çoğunlukla fiziksel ve dijital erişim kontrolleriyle sağlanmaktadır.

Örneğin şirketler;

dosyalara erişim yetkisi tanımlayabilir, belgeleri şifreleyebilir, sunuculara dışarıdan erişimi sınırlandırabilir ve çalışanların e-posta yoluyla gizli belge göndermesini kontrol edebilir.

Üretken yapay zekâ uygulamaları ise bu kontrol sistemlerini önemli ölçüde zorlaştırmıştır.

Bir çalışan kendi kişisel hesabından yapay zekâ uygulamasına giriş yaparak birkaç saniye içerisinde;

binlerce satırlık müşteri listesini, yüzlerce sayfalık sözleşmeyi veya önemli bir yazılımın kaynak kodunu

sisteme aktarabilir.

Şirket bu işlemin gerçekleştiğini dahi fark etmeyebilir.

Shadow AI’nin ticari sırlar bakımından en önemli tehlikesi, bilginin şirketin görünür ve denetlenebilir bilgi sistemlerinden çıkarak şirketin kontrol edemediği bir ortama taşınmasıdır.

Çalışanın Ticari Sırrı Yapay Zekâya Yüklemesi Hukuka Aykırı mıdır?

Bu sorunun cevabı somut olayın koşullarına göre değişmektedir.

Her şirket bilgisinin yapay zekâ sisteminde kullanılması hukuka aykırı değildir. Örneğin şirketin internet sitesinde kamuya açık şekilde yayımlanan ürün kataloğunun tercüme amacıyla yapay zekâ sistemine yüklenmesi ile şirketin gizli fiyatlandırma tablosunun yüklenmesi aynı şekilde değerlendirilemez.

Ancak çalışan;

şirket tarafından gizli olarak sınıflandırılmış, ekonomik değer taşıyan ve açıklanması hâlinde şirketin rekabet gücünü olumsuz etkileyebilecek bilgileri yetkisiz biçimde yapay zekâ sistemine aktarıyorsa ciddi hukuki sonuçlar ortaya çıkabilir.

Özellikle şirketin açık bir yapay zekâ kullanım politikası veya gizlilik talimatı bulunuyorsa çalışanın buna aykırı davranması sorumluluk değerlendirmesinde önem kazanır.

İşçinin Sadakat Borcu ve Ticari Sırların Korunması

Türk Borçlar Kanunu’nun işçinin sadakat borcuna ilişkin hükümleri uyarınca çalışan, işverenin haklı menfaatlerinin korunmasında sadakatle davranmakla yükümlüdür.

Bu kapsamda işçi, hizmet ilişkisi sırasında öğrendiği üretim ve iş sırlarını korumakla yükümlüdür.

Çalışanın şirketin ticari sırlarını kendi çıkarı için kullanması veya yetkisiz şekilde üçüncü kişilere açıklaması sadakat yükümlülüğüyle bağdaşmayabilir.

Yapay zekâ sistemleri açısından da benzer değerlendirme yapılabilir.

Çalışan;

şirketin maliyet hesaplarını, müşteri listesini, kaynak kodunu veya stratejik planını şirket tarafından onaylanmamış bir yapay zekâ sistemine yüklediğinde, somut olayın özelliklerine göre sadakat ve gizlilik borcunun ihlali gündeme gelebilir.

Burada önemli olan yalnızca çalışanın kötü niyetli olup olmadığı değildir.

Çalışanın işini kolaylaştırma amacıyla hareket etmesi mümkün olmakla birlikte, gizli bilgilerin korunmasına ilişkin özen yükümlülüğüne aykırı davranması yine de hukuki sonuç doğurabilir.

Shadow AI ve Haksız Rekabet Hukuku

Ticari sırların korunması yalnızca işçinin sadakat borcuyla sınırlı değildir.

Türk Ticaret Kanunu’nun haksız rekabete ilişkin hükümleri de somut olayın niteliğine göre gündeme gelebilir.

Özellikle bir işletmenin üretim ve iş sırlarının hukuka aykırı şekilde elde edilmesi, açıklanması veya kullanılması haksız rekabet bakımından sonuç doğurabilir.

Çalışanın şirketin ticari sırlarını rakip işletmelerin yararlanabileceği şekilde açığa çıkarması veya bu bilgilerin kontrolsüz biçimde dış sistemlere aktarılmasına neden olması hâlinde olay haksız rekabet hükümleri bakımından da incelenebilir.

Bu nedenle Shadow AI kaynaklı ticari sır ihlali yalnızca işveren ile çalışan arasındaki iş sözleşmesinin ihlali olarak görülmemelidir.

Ticari Sırların Açıklanması Ceza Sorumluluğu Doğurabilir mi?

Türk Ceza Kanunu’nda ticari sır, bankacılık sırrı veya müşteri sırrı niteliğindeki bilgi ve belgelerin açıklanmasına ilişkin hükümler bulunmaktadır.

Ancak her ticari bilginin yapay zekâ sistemine yüklenmesi otomatik olarak ceza sorumluluğu doğurmaz.

Ceza hukuku bakımından;

bilginin gerçekten ticari sır niteliğinde olup olmadığı, çalışanın bilgiyi hangi sıfatla elde ettiği, aktarımın nasıl gerçekleştiği, bilginin kimlerin erişimine açıldığı ve failin kastı

ayrıca değerlendirilmelidir.

Bununla birlikte özellikle kasıtlı ve ağır nitelikteki bilgi aktarımlarında iş hukuku ve özel hukuk sorumluluğunun yanında ceza hukuku bakımından da inceleme gerekebilir.

Ticari Sır İçeren Sözleşmelerin Yapay Zekâya Yüklenmesi

Şirketlerin en sık karşılaştığı Shadow AI örneklerinden biri sözleşmelerin yapay zekâ sistemlerine yüklenmesidir.

Çalışanlar uzun sözleşmeleri hızlı şekilde incelemek amacıyla;

“Bu sözleşmenin önemli maddelerini özetle.”

veya

“Şirketimiz açısından riskli hükümleri tespit et.”

şeklinde yapay zekâdan destek alabilir.

Ancak ticari sözleşmelerin içerisinde;

fiyatlandırma koşulları, ödeme planları, ürün maliyetleri, özel iskonto oranları, müşteri bilgileri, teknik bilgiler ve geleceğe yönelik iş planları

bulunabilir.

Dolayısıyla bütün sözleşmenin şirket tarafından onaylanmamış bir yapay zekâ sistemine yüklenmesi ticari sırların korunması bakımından ciddi risk yaratabilir.

Gizlilik Sözleşmesi Bulunan Bilgilerin Yapay Zekâya Aktarılması

Risk, şirketin üçüncü kişilerle imzaladığı gizlilik sözleşmeleri bakımından daha da büyüyebilir.

Şirket bir müşterisinden veya iş ortağından aldığı bilgileri gizli tutmayı taahhüt etmiş olabilir.

Bu durumda çalışanın söz konusu bilgileri yapay zekâ sistemine aktarması yalnızca şirketin kendi ticari sırrının korunması meselesi değildir.

Aynı zamanda şirketin üçüncü kişiye karşı üstlendiği sözleşmesel gizlilik yükümlülüğünün ihlali gündeme gelebilir.

Böyle bir ihlal sonucunda şirket;

tazminat, cezai şart, sözleşmenin feshi veya ticari ilişkinin sona ermesi

gibi sonuçlarla karşılaşabilir.

Müşteri Listesinin Yapay Zekâya Yüklenmesi

Müşteri listeleri birçok şirket açısından önemli ticari sır niteliğindeki bilgilerden biridir.

Özellikle müşterilerin;

satın alma alışkanlıkları, iletişim kişileri, özel fiyatları, işlem hacimleri ve ticari tercihleri

gibi bilgiler içeren müşteri portföyleri şirket açısından önemli ekonomik değer taşıyabilir.

Çalışanın bu bilgileri yapay zekâ sistemine yükleyerek satış analizi yaptırması ticari sır riski yanında kişisel verilerin korunması açısından da sonuç doğurabilir.

Bu nedenle müşteri listelerinin yapay zekâ sistemlerinde kullanılması hem ticari sır hem de KVKK yönünden birlikte değerlendirilmelidir.

Kaynak Kodunun Yapay Zekâya Yüklenmesi

Teknoloji şirketleri açısından Shadow AI ve ticari sır riskinin en önemli örneklerinden biri kaynak kodlarının yapay zekâ sistemlerine aktarılmasıdır.

Yazılım geliştiricileri;

kod hatalarını bulmak, algoritmayı iyileştirmek veya yeni fonksiyon geliştirmek

amacıyla üretken yapay zekâ araçlarını kullanabilir.

Ancak kaynak kodu içerisinde şirketin yıllar boyunca geliştirdiği;

özel algoritmalar, güvenlik protokolleri, veri tabanı yapıları veya müşteriye özel çözümler

bulunabilir.

Bu bilgiler şirket açısından önemli ticari sır niteliğinde olabilir.

Dolayısıyla kaynak kodlarının yalnızca şirket tarafından onaylanmış ve güvenlik değerlendirmesi yapılmış yapay zekâ sistemlerinde kullanılması daha güvenli olacaktır.

Fiyatlandırma ve Maliyet Bilgilerinin Yapay Zekâya Aktarılması

Şirket çalışanlarının yapay zekâdan yararlandığı başka bir alan fiyatlandırma analizidir.

Örneğin çalışan;

“Bu maliyetlere göre hangi fiyat politikasını uygulamalıyız?”

sorusuyla şirketin maliyet ve kâr tablolarını sisteme yükleyebilir.

Ancak şirketin;

üretim maliyetleri, kâr marjları, iskonto oranları ve tedarikçi fiyatları

rakiplerin erişmesi hâlinde önemli ticari dezavantaj yaratabilecek bilgiler olabilir.

Bu nedenle fiyatlandırma ve maliyet bilgileri şirket politikalarında yüksek hassasiyetli veri kategorisi içerisinde değerlendirilebilir.

Birleşme ve Satın Alma Süreçlerinde Shadow AI Riski

Şirket birleşmeleri ve satın almaları sırasında çok sayıda gizli bilgi paylaşılmaktadır.

Due diligence sürecinde;

şirket değerlemeleri, finansal tablolar, borçlar, devam eden davalar, müşteri sözleşmeleri, çalışan bilgileri ve geleceğe yönelik büyüme planları

incelenebilir.

Çalışanın bu belgeleri yapay zekâ sisteminde analiz etmesi, işlem henüz kamuya açıklanmamışsa ciddi gizlilik ve ticari sır riskleri oluşturabilir.

Bu nedenle birleşme ve satın alma, yatırım ve halka arz süreçlerinde yapay zekâ kullanım kurallarının ayrıca belirlenmesi önem taşır.

Çalışanın Ticari Sırrı Yapay Zekâya Yüklemesi İşten Çıkarma Sebebi Olabilir mi?

Çalışanın ticari sır niteliğindeki şirket bilgilerini yetkisiz yapay zekâ sistemine yüklemesi iş hukuku bakımından önemli sonuçlar doğurabilir.

Ancak her olay otomatik olarak haklı fesih sonucuna götürmez.

Değerlendirmede;

• yüklenen bilginin niteliği,
• ticari sır olup olmadığı,
• çalışanın yetkisi,
• şirketin açık yasağı bulunup bulunmadığı,
• çalışanın gerekli eğitimleri alıp almadığı,
• bilginin üçüncü kişilerin erişimine açılıp açılmadığı,
• şirket açısından zarar meydana gelip gelmediği,
• ihlalin ağırlığı ve
• çalışanın kastı

birlikte değerlendirilmelidir.

Özellikle çalışanın şirket tarafından açıkça gizli olarak sınıflandırılmış bilgileri bilinçli şekilde aktarması, işveren ile çalışan arasındaki güven ilişkisini ağır biçimde zedeleyebilir.

Şirketin Yapay Zekâ Politikası Yoksa Ne Olur?

Şirketin yapay zekâ kullanımına ilişkin herhangi bir politika hazırlamamış olması, çalışanların bütün şirket bilgilerini serbestçe yapay zekâ sistemlerine yükleyebileceği anlamına gelmez.

Çalışanın sadakat ve gizlilik yükümlülükleri devam eder.

Ancak şirketin açık bir politika oluşturmaması, olası uyuşmazlıklarda;

çalışana hangi talimatların verildiği ve hangi davranışların yasaklandığı

konusunda ispat sorunları yaratabilir.

Bu nedenle şirketlerin ticari sırlarını koruyabilmek için açık ve yazılı bir yapay zekâ kullanım politikası oluşturması önem taşır.

Ticari Sırların Korunmasında Veri Sınıflandırmasının Önemi

Şirket içerisindeki her belgenin aynı gizlilik seviyesinde değerlendirilmesi pratik değildir.

Bu nedenle şirketler verilerini örneğin;

kamuya açık, şirket içi, gizli ve çok gizli

şeklinde sınıflandırabilir.

Ardından her veri kategorisi için yapay zekâ kullanım kuralları belirlenebilir.

Örneğin;

kamuya açık bilgilerin onaylı yapay zekâ sistemlerinde kullanılmasına izin verilirken, “çok gizli” olarak sınıflandırılan kaynak kodlarının veya yatırım planlarının hiçbir harici yapay zekâ sistemine yüklenmemesi öngörülebilir.

Bu yöntem hem çalışanların kuralları anlamasını kolaylaştırır hem de ticari sırların korunmasını güçlendirir.

Yapay Zekâ Kullanım Politikasında Ticari Sırlar Nasıl Düzenlenmelidir?

Şirketin yapay zekâ kullanım politikasında ticari sır niteliğindeki veriler açık şekilde tanımlanmalıdır.

Örneğin politika;

“Şirketin müşteri listeleri, kaynak kodları, maliyet tabloları, fiyatlandırma stratejileri, yatırım planları, Ar-Ge belgeleri ve diğer gizli ticari bilgileri şirket tarafından yazılı olarak onaylanmayan yapay zekâ sistemlerine yüklenemez.”

şeklinde düzenlemeler içerebilir.

Bunun yanında;

hangi yapay zekâ araçlarının kullanılabileceği, hangi bilgilerin anonimleştirilmesi gerektiği, hangi işlemler için yöneticiden onay alınacağı ve ihlal hâlinde hangi prosedürün uygulanacağı

da açıkça belirlenmelidir.

Çalışanlara Yapay Zekâ ve Ticari Sır Eğitimi Verilmelidir

Yalnızca yazılı politika hazırlamak yeterli olmayabilir.

Çalışanların;

hangi bilgilerin ticari sır olduğunu, hangi yapay zekâ sistemlerinin güvenli kabul edildiğini ve şirket verilerinin hangi koşullarda kullanılabileceğini

bilmesi gerekir.

Örneğin bir yazılımcı kendi yazdığı kodu “kendisine ait” gibi görerek yapay zekâ sistemine yükleyebilir.

Ancak bu kod işveren için geliştirilmiş ve şirketin ticari varlığı hâline gelmiş olabilir.

Benzer şekilde satış personeli müşteri listesinin hukuken korunması gereken şirket bilgisi olduğunu fark etmeyebilir.

Bu nedenle eğitimler gerçek iş hayatından örneklerle hazırlanmalıdır.

Shadow AI Tespit Edildiğinde Şirket Ne Yapmalıdır?

Bir çalışanın ticari sır niteliğindeki bilgileri yapay zekâ sistemine yüklediği tespit edildiğinde şirketin hızlı hareket etmesi önemlidir.

İlk olarak;

hangi bilginin aktarıldığı, kullanılan yapay zekâ sistemi, aktarılan verinin kapsamı ve bilginin hâlen erişilebilir olup olmadığı

tespit edilmelidir.

Daha sonra kullanılan yapay zekâ hizmetinin veri silme ve hesap yönetimi özellikleri incelenebilir.

Şirketin müşterilere veya iş ortaklarına karşı gizlilik yükümlülüğü bulunuyorsa ilgili sözleşmeler de kontrol edilmelidir.

Olayın niteliğine göre;

çalışanın savunmasının alınması, disiplin sürecinin işletilmesi, hukuki tedbirlerin değerlendirilmesi ve güvenlik politikalarının yeniden düzenlenmesi

gerekebilir.

Ticari Sır İhlalinin İspatı Neden Önemlidir?

Ticari sır uyuşmazlıklarında en önemli sorunlardan biri ispat olabilir.

Şirketin sonradan;

hangi bilginin ticari sır olduğunu, bu bilginin gerçekten gizli tutulduğunu ve çalışanın hangi kurala aykırı davrandığını

ortaya koyabilmesi gerekir.

Bu nedenle şirketlerin;

gizlilik sözleşmeleri, bilgi güvenliği politikaları, erişim kayıtları, çalışan eğitim kayıtları ve yapay zekâ kullanım kuralları

gibi belgeleri düzenli şekilde tutması önemlidir.

Şirketin hiçbir zaman gizli olarak değerlendirmediği ve bütün çalışanların sınırsız erişimine açık bıraktığı bir bilginin sonradan ticari sır olduğu iddiasının ispatı daha zor olabilir.

Ticari Sırları Koruyan Şirketler Yapay Zekâyı Tamamen Yasaklamalı mı?

Yapay zekâ kullanımının tamamen yasaklanması her zaman en etkili çözüm olmayabilir.

Çalışanlar verimlilik nedeniyle kişisel hesaplar veya kişisel cihazlar üzerinden yapay zekâ araçlarını kullanmaya devam edebilir.

Bu durumda kullanım yalnızca daha görünmez hâle gelir.

Daha etkili yaklaşım;

onaylı yapay zekâ araçlarının belirlenmesi, veri sınıflandırmasının yapılması, hassas bilgilerin kullanımının sınırlandırılması ve çalışanların eğitilmesidir.

Böylelikle şirket hem yapay zekânın sağladığı verimlilikten yararlanabilir hem de ticari sırlarını daha etkili şekilde koruyabilir.

Shadow AI, Ticari Sır ve KVKK Birlikte Değerlendirilmelidir

Birçok şirket belgesi aynı anda hem ticari sır hem de kişisel veri içerebilir.

Örneğin müşteri listesi;

şirket açısından ekonomik değer taşıyan ticari bir bilgi olabilirken aynı zamanda gerçek kişilerin ad, soyadı, telefon ve e-posta bilgilerini içerebilir.

Bu nedenle müşteri listesinin yapay zekâ sistemine yüklenmesi hâlinde yalnızca ticari sır hükümleri değil, KVKK bakımından da değerlendirme yapılması gerekir.

Benzer şekilde çalışan performans raporları veya tedarikçi sözleşmeleri de birden fazla hukuk alanını ilgilendirebilir.

Şirketler İçin Shadow AI Uyum Programı

Şirketlerin Shadow AI risklerini yalnızca tek bir politika metniyle çözmeye çalışması yeterli olmayabilir.

Etkili bir sistem;

hukuk, insan kaynakları, bilgi teknolojileri, siber güvenlik, KVKK ve iç denetim birimlerinin birlikte çalışmasını gerektirir.

Şirket içerisinde hangi yapay zekâ araçlarının hâlihazırda kullanıldığı tespit edilmeli, mevcut veri akışları incelenmeli ve risk seviyesine göre kullanım kuralları oluşturulmalıdır.

Özellikle ticari sırların korunması bakımından yüksek riskli departmanlar ayrıca değerlendirilmelidir.

Ar-Ge, yazılım, hukuk, finans, yönetim kurulu, yatırım ve satış departmanlarında daha sıkı yapay zekâ kullanım kuralları getirilebilir.

Sonuç

Shadow AI, şirketlerin ticari sırlarının korunması bakımından giderek önem kazanan yeni nesil hukuki risklerden biridir.

Çalışanın şirketin;

müşteri listelerini, kaynak kodlarını, maliyet tablolarını, yatırım planlarını, üretim yöntemlerini, sözleşmelerini veya stratejik bilgilerini

kontrolsüz şekilde yapay zekâ sistemine yüklemesi, şirketin yıllar boyunca oluşturduğu ekonomik değerin ve rekabet avantajının tehlikeye girmesine neden olabilir.

Bu tür işlemler somut olayın özelliklerine göre;

işçinin sadakat ve gizlilik borcunun ihlali, haksız rekabet, sözleşmesel sorumluluk, tazminat sorumluluğu ve bazı durumlarda ceza hukuku bakımından sonuçlar

doğurabilir.

Şirketlerin ticari sırlarını koruyabilmesi için yalnızca çalışanlara “gizli bilgileri paylaşmayın” şeklinde genel bir talimat vermesi yeterli değildir.

Hangi bilgilerin ticari sır olduğu açıkça belirlenmeli, veriler sınıflandırılmalı, kullanılabilecek yapay zekâ araçları tanımlanmalı, çalışanlara düzenli eğitim verilmeli ve ticari sır niteliğindeki verilerin yetkisiz yapay zekâ sistemlerine aktarılması açık şekilde yasaklanmalıdır.

Yapay zekânın iş süreçlerinde giderek daha fazla kullanılacağı dikkate alındığında, şirketler açısından temel soru artık yalnızca “Ticari sırlarımızı kimler görebiliyor?” değildir.

Günümüzde şirketlerin aynı zamanda şu soruyu da sorması gerekir:

“Çalışanlarımız ticari sırlarımızı hangi yapay zekâ sistemlerine aktarıyor ve bu veriler şirketimizin kontrolünden çıktıktan sonra ne oluyor?”

Shadow AI riskinin doğru yönetilmesi, gelecekte şirketlerin yalnızca bilgi güvenliği politikalarının değil, ticari sır ve kurumsal hukuk stratejilerinin de temel unsurlarından biri hâline gelecektir.