Bir Promptla Şirket Sırrı Dışarı Çıkabilir: İşyerinde Yapay Zekâ Kullanımının KVKK ve Veri Güvenliği Sınırları

Giriş

İnsan kaynakları çalışanının onlarca öz geçmişi bir yapay zekâ uygulamasına yükleyerek “En uygun beş adayı seç” demesi, satış temsilcisinin müşteri listesini sisteme aktararak kişiselleştirilmiş e-posta hazırlatması veya muhasebe personelinin bordro tablosunu yükleyip hata kontrolü yaptırması iş hayatında giderek sıradanlaşmaktadır. Benzer şekilde bir avukatın dava dosyasını, doktorun hasta raporunu veya yazılım geliştiricinin kaynak kodunu üretken yapay zekâ sistemine yüklemesi birkaç dakika içinde önemli bir zaman tasarrufu sağlayabilir.

Ancak çalışan tarafından yapay zekâya girilen bilgi yalnızca ekranda görünen bir “soru” değildir. Bu bilgi; hizmet sağlayıcının sunucularına iletilebilir, sistem kayıtlarında tutulabilir, güvenlik incelemesine konu olabilir, başka ülkelerdeki sunuculara aktarılabilir veya hizmetin niteliğine göre model geliştirme süreçlerinde kullanılabilir. Bu nedenle işyerinde yapay zekâ kullanımı, yalnızca verimlilik meselesi değil; aynı zamanda kişisel verilerin işlenmesi, veri güvenliği, ticari sırların korunması ve işverenin hukuki sorumluluğu meselesidir. Kişisel Verileri Koruma Kurumu da üretken yapay zekâ sistemlerinin kişisel verilerle yoğun biçimde temas ettiğini; bu sistemlerin şeffaf, denetlenebilir, güvenli ve insan merkezli şekilde kullanılmasının önem taşıdığını belirtmektedir.

Türkiye’de İşyerinde Yapay Zekâ Kullanımına Uygulanacak Hukuki Çerçeve

Türkiye’de yapay zekâ sistemlerini bütün yönleriyle düzenleyen kapsamlı bir kanun henüz yürürlüğe girmiş değildir. TBMM kayıtlarında 2024 tarihli Yapay Zekâ Kanun Teklifi’nin hâlen komisyon aşamasında bulunduğu görülmektedir. Bu nedenle işyerindeki yapay zekâ kullanımının hukuka uygunluğu bugün esas olarak mevcut kişisel verilerin korunması, iş hukuku, borçlar hukuku, ceza hukuku, ticari sır ve fikrî mülkiyet hükümleri üzerinden değerlendirilmektedir.

Bu kapsamda başlıca hukuki dayanaklar şunlardır:

• 6698 sayılı Kişisel Verilerin Korunması Kanunu,
• Anayasa’nın özel hayatın gizliliği ve kişisel verilerin korunmasına ilişkin hükümleri,
• 6098 sayılı Türk Borçlar Kanunu’nun işçinin kişiliğinin korunmasına ve kişisel verilerinin kullanılmasına ilişkin 417 ve 419. maddeleri,
• 4857 sayılı İş Kanunu’nun eşit davranma, çalışma koşulları ve fesih hükümleri,
• Türk Ceza Kanunu’nun kişisel verilerin hukuka aykırı kaydedilmesi, ele geçirilmesi ve paylaşılmasına ilişkin hükümleri,
• Ticari sır, müşteri sırrı, meslek sırrı ve gizlilik yükümlülükleri,
• İş sözleşmesi, bilgi güvenliği politikası ve işyeri iç yönetmelikleri.

Türk Borçlar Kanunu’nun 417. maddesi işverene, işçinin kişiliğini koruma ve işyerinde dürüstlük ilkelerine uygun bir düzen oluşturma yükümlülüğü yüklemektedir. Aynı Kanun’un 419. maddesine göre işveren, işçiye ait kişisel verileri ancak işçinin işe yatkınlığıyla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabilir. Dolayısıyla yapay zekâ uygulamalarının işyerinde kullanılması, işverenin çalışanlar hakkında sınırsız veri toplamasına veya çalışanların davranışlarını sınırsız biçimde analiz etmesine izin vermez.

Yapay Zekâya Bilgi Girmek Kişisel Veri İşleme Sayılır mı?

Bir çalışanın yapay zekâ sistemine müşteri adı, telefon numarası, e-posta adresi, çalışan performans raporu, öz geçmiş, fotoğraf, ses kaydı, sağlık bilgisi, bordro, fatura veya dava dosyası yüklemesi kişisel veri işleme faaliyeti doğurabilir.

KVKK bakımından “işleme” kavramı oldukça geniştir. Verinin sisteme yüklenmesi, aktarılması, kaydedilmesi, sınıflandırılması, analiz edilmesi, özetlenmesi veya başka bir bilgiyle eşleştirilmesi veri işleme kapsamında değerlendirilebilir. Yapay zekâ sisteminin yalnızca geçici olarak kullanıldığı veya çalışanın bilgileri kendi hesabından yüklediği savunması, işverenin hukuki sorumluluğunu kendiliğinden ortadan kaldırmaz.

Örneğin satış departmanında çalışan bir kişinin müşteri listesini kişisel yapay zekâ hesabına yüklemesi hâlinde;

• müşterilere ait kişisel veriler üçüncü bir hizmet sağlayıcıya aktarılmış,
• veriler işverenin kontrol ettiği sistemlerin dışına çıkarılmış,
• varsa yurt dışındaki sunuculara iletilmiş,
• işverenin saklama ve silme politikası uygulanamaz hâle gelmiş

olabilir.

Bu nedenle “Çalışan kendi hesabından yaptı, şirketin sorumluluğu yoktur” yaklaşımı güvenli değildir. İşveren; çalışanlarına eğitim vermek, kullanım kurallarını belirlemek, erişimleri sınırlandırmak ve gerekli denetim mekanizmalarını kurmakla yükümlüdür.

KVKK’nın Temel İlkeleri Yapay Zekâ Kullanımında Nasıl Uygulanır?

6698 sayılı Kanun’un 4. maddesine göre kişisel verilerin işlenmesinde;

1. Hukuka ve dürüstlük kurallarına uygun olma,
2. Doğru ve gerektiğinde güncel olma,
3. Belirli, açık ve meşru amaçlar için işlenme,
4. İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
5. Gerekli süre kadar muhafaza edilme

ilkelerine uyulması zorunludur. Bu ilkeler, yapay zekâ kullanılan bütün iş süreçlerinde geçerlidir.

Örneğin insan kaynakları biriminin iş başvurularını değerlendirmek için adayların bütün öz geçmişlerini sisteme yüklemesi yerine, değerlendirme için gerekli olmayan kimlik, adres, fotoğraf ve iletişim bilgilerinin çıkarılması gerekir. Çünkü amaç adayların mesleki yeterliliğini karşılaştırmaksa, kişinin açık adresinin veya kimlik numarasının işlenmesi ölçülü olmayacaktır.

Aynı şekilde bir müşteri şikâyetine cevap hazırlatılırken müşterinin adı, telefon numarası, adresi ve sipariş numarasının tamamı sisteme yazılmamalıdır. “Müşteri A”, “X tarihli sipariş” veya “ürün bedeli” gibi anonimleştirilmiş ya da genelleştirilmiş ifadeler kullanılabilir. KVKK’nın 2025 tarihli Üretken Yapay Zekâ Rehberi de yapay zekâ sistemlerine ad-soyad, adres, telefon ve kimlik bilgileri gibi doğrudan veya dolaylı tanımlayıcı verilerin girilmemesini; mümkün olduğunca anonimleştirilmiş ve genelleştirilmiş anlatımlar kullanılmasını önermektedir.

Açık Rıza Her Sorunu Çözer mi?

İşyerinde yapay zekâ kullanımında sık karşılaşılan hatalardan biri, çalışan veya müşteriden genel bir açık rıza alınmasının bütün veri işleme faaliyetlerini hukuka uygun hâle getireceğinin düşünülmesidir.

Oysa açık rıza;

• belirli bir konuya ilişkin olmalı,
• bilgilendirmeye dayanmalı,
• özgür iradeyle açıklanmalı,
• başka işlemlerin zorunlu şartı hâline getirilmemelidir.

İşçi ile işveren arasındaki ekonomik ve hiyerarşik ilişki nedeniyle, çalışanın verdiği rızanın gerçekten özgür iradeye dayanıp dayanmadığı ayrıca değerlendirilmelidir. “İşyerindeki bütün verileriniz yapay zekâ sistemlerinde işlenebilir” şeklindeki genel ve sınırsız bir metin geçerli bir hukuki güvence oluşturmaz.

İşveren, öncelikle veri işlemenin Kanun’da yer alan başka bir hukuki sebebe dayanıp dayanmadığını belirlemelidir. Kanuni yükümlülüğün yerine getirilmesi, sözleşmenin ifası, bir hakkın kurulması veya korunması ya da temel haklara zarar vermemek kaydıyla meşru menfaat gibi sebepler somut olayın özelliklerine göre değerlendirilebilir. Ancak hangi hukuki sebep kullanılırsa kullanılsın, amaçla bağlantılılık ve ölçülülük ilkeleri devam eder.

Günlük İş Hayatından Riskli Yapay Zekâ Kullanım Örnekleri

1. Öz geçmişlerin yapay zekâya yüklenmesi

İnsan kaynakları çalışanının adayların öz geçmişlerini yapay zekâya yüklemesi; adayların kimlik, iletişim, fotoğraf, eğitim, çalışma geçmişi ve referans bilgileri gibi birçok kişisel verisinin işlenmesine neden olur. Öz geçmişte engellilik, sağlık durumu veya adli sicil gibi daha hassas bilgiler bulunması riski artırır.

Adayları yalnızca yapay zekânın verdiği puana göre elemek de ayrımcılık ve hatalı karar riskini doğurabilir. Eğitim verilerindeki geçmiş önyargılar, belirli yaş, cinsiyet, okul veya bölge gruplarının sistematik biçimde düşük değerlendirilmesine yol açabilir. KVKK Rehberi, yapay zekâ sistemlerinin hatalı ve tutarsız çıktılar üretebildiğini, eğitim verilerindeki önyargıları yeniden oluşturabildiğini ve bazı sistemlerin karar süreçlerinin “kara kutu” niteliğinde olabileceğini belirtmektedir.

2. Toplantıların otomatik olarak kaydedilmesi ve özetlenmesi

Çevrim içi toplantıların yapay zekâ tarafından kaydedilmesi; çalışanların seslerinin, görüntülerinin ve konuşma içeriklerinin işlenmesine yol açar. Katılımcılar kayıt ve analiz hakkında önceden bilgilendirilmelidir.

Ses verisi her durumda biyometrik veri değildir. Ancak bir kişinin benzersiz biçimde tanınması veya kimliğinin doğrulanması amacıyla özel teknik yöntemlerle işleniyorsa biyometrik veri niteliği kazanabilir. Toplantıda sağlık, sendikal faaliyet, ceza soruşturması veya özel hayat hakkında bilgi konuşulması hâlinde özel nitelikli kişisel verilerin işlenmesi de gündeme gelebilir.

3. Bordro ve personel listelerinin analiz ettirilmesi

Bordrolar; ücret, banka, prim, kesinti, izin ve sosyal yardım bilgileri içerebilir. Bu belgelerin genel kullanıma açık bir yapay zekâ sistemine yüklenmesi ciddi bir veri güvenliği riski yaratır. Hata tespiti yapılacaksa bilgiler anonimleştirilmeli, yalnızca kurum tarafından onaylanan kapalı sistemler kullanılmalı ve sisteme erişim yetkileri sınırlandırılmalıdır.

4. Müşteri listelerinden pazarlama metni hazırlanması

Bir çalışanın müşteri listesini yapay zekâya yükleyerek “Bu kişilere satış e-postası hazırla” demesi, mevcut verilerin başlangıçta toplandığı amaçtan farklı şekilde kullanılmasına neden olabilir. Müşterinin bilgisinin bir hizmetin sunulması amacıyla alınmış olması, bu verinin her türlü yapay zekâ analizi ve pazarlama faaliyeti için kullanılabileceği anlamına gelmez.

5. Dava dosyası veya hasta raporu özetletilmesi

Dava dosyaları, sağlık kayıtları ve danışmanlık belgeleri yalnızca kişisel veri değil; aynı zamanda meslek sırrı ve müvekkil-hasta gizliliği kapsamına giren bilgiler içerebilir. İsimlerin silinmesi de her zaman yeterli değildir. Olay tarihi, işyeri, unvan, hastalık türü veya taşınmaz bilgileri kişinin dolaylı olarak belirlenmesine imkân verebilir.

6. Kaynak kodunun yapay zekâya yüklenmesi

Yazılım kodunun içerisinde müşteri bilgileri, veri tabanı bağlantıları, API anahtarları, şifreler, güvenlik açıkları ve şirketin ticari sırları bulunabilir. Çalışanın kod geliştirmek amacıyla bu bilgileri dışarıdaki bir sisteme aktarması hem veri güvenliği ihlaline hem de ticari sırların açıklanmasına neden olabilir.

Kişisel Verilerin Yurt Dışına Aktarılması Sorunu

Birçok yapay zekâ hizmet sağlayıcısı yurt dışında kuruludur ve verileri farklı ülkelerdeki sunucularda işleyebilir. Çalışanın bir dosyayı yabancı bir yapay zekâ sistemine yüklemesi, şartlarına göre kişisel verilerin yurt dışına aktarılması sonucunu doğurabilir.

6698 sayılı Kanun’un 9. maddesi uyarınca yurt dışına veri aktarımı; yeterlilik kararı, uygun güvenceler veya yalnızca arızi durumlarda uygulanabilecek istisnai aktarım sebeplerinden birine dayanmalıdır. Uygun güvenceler arasında Kurum tarafından yayımlanan standart sözleşmeler ve diğer kanuni aktarım yöntemleri bulunmaktadır. 2024 yılında yapılan değişikliklerle yurt dışına aktarım rejimi yeniden düzenlenmiş ve yeni hükümler 1 Haziran 2024’te yürürlüğe girmiştir.

Dolayısıyla işverenin yalnızca yapay zekâ uygulamasına ücret ödemesi veya hizmet koşullarını kabul etmesi, KVKK’nın yurt dışına aktarım şartlarının yerine getirildiği anlamına gelmez. Şirketin;

• verilerin hangi ülkelerde işlendiğini,
• alt hizmet sağlayıcıların kim olduğunu,
• girdilerin model eğitiminde kullanılıp kullanılmadığını,
• verilerin ne kadar süre saklandığını,
• silme taleplerinin nasıl yerine getirildiğini,
• veri ihlali hâlinde bildirim sürecini

incelemesi gerekir.

İşveren Yapay Zekâ Kullanımını Yasaklayabilir mi?

İşveren, yönetim hakkı kapsamında işyerindeki bilgi sistemlerinin kullanımına ilişkin kurallar koyabilir. Veri güvenliği, müşteri gizliliği, ticari sırların korunması veya sektörel yükümlülükler nedeniyle bazı yapay zekâ uygulamalarını tamamen yasaklayabilir; yalnızca onaylı kurumsal araçların kullanılmasına izin verebilir.

Ancak getirilen yasak veya sınırlama;

• objektif bir amaca dayanmalı,
• çalışanlara önceden ve açıkça bildirilmiş olmalı,
• işin niteliğiyle bağlantılı bulunmalı,
• ölçülü uygulanmalı,
• benzer durumdaki çalışanlara eşit şekilde tatbik edilmelidir.

Örneğin bir hastanenin hasta bilgilerinin genel kullanıma açık yapay zekâ sistemlerine yüklenmesini yasaklaması veri güvenliği bakımından haklı ve gerekli olabilir. Buna karşılık çalışanların hiçbir açıklama yapılmadan bütün dijital faaliyetlerinin gizlice izlenmesi hukuka uygun olmayacaktır.

İşveren Çalışanın Yapay Zekâ Kullanımını Denetleyebilir mi?

İşverenin bilgi güvenliğini sağlamak, şirket sırlarını korumak ve kurumsal sistemlerin amacına uygun kullanımını denetlemek konusunda meşru menfaati bulunabilir. Ancak bu yetki sınırsız değildir.

Kişisel Verileri Koruma Kurulunun 2023/86 sayılı kararında, işverenin ticari sırların ve kurumsal iletişim araçlarının korunması amacıyla belirli koşullarda kurumsal e-postaları denetleyebileceği kabul edilmiştir. Bununla birlikte denetimin öncelikle iletişim trafiği ve şüpheli hareketlerle sınırlandırılması; içerik incelemesine ancak gerekli olduğunda geçilmesi gerektiği belirtilmiştir. Denetimin yalnızca ilgili personel ve somut amaçla sınırlı olması önem taşımaktadır.

Kurulun 2021/1187 sayılı kararında ise çalışanlara herhangi bir aydınlatma yapılmadan kurumsal e-posta hesabına erişilmesi hukuka aykırı bulunmuştur. Kararda; çalışanın önceden bilgilendirilmesi, müdahalenin meşru bir amaca dayanması, daha az müdahaleci bir yöntemin bulunmaması, denetimin amaçla sınırlı olması ve çalışan ile işverenin menfaatleri arasında adil denge kurulması gerektiği vurgulanmıştır.

Bu ilkeler yapay zekâ kullanımının denetlenmesinde de geçerlidir. İşveren, çalışanların hangi yapay zekâ sitelerine girdiğini veya hangi dosyaları yüklediğini denetlemek istiyorsa;

• denetimin amacı,
• kapsamı,
• yöntemi,
• hangi verilerin kaydedileceği,
• saklama süresi,
• kimlerin erişebileceği,
• denetim sonuçlarının nasıl kullanılacağı

konusunda çalışanları önceden bilgilendirmelidir.

Yapay Zekâ Kullanımı İşten Çıkarma Sebebi Olabilir mi?

Çalışanın yapay zekâ kullanması tek başına otomatik olarak haklı fesih sebebi oluşturmaz. Fesih değerlendirmesinde somut olayın bütün koşulları dikkate alınmalıdır.

Özellikle;

• işyerinde açık bir yapay zekâ politikası bulunup bulunmadığı,
• çalışanın önceden bilgilendirilip bilgilendirilmediği,
• yüklenen verinin niteliği,
• müşteri veya çalışan verisi bulunup bulunmadığı,
• ticari sır açıklanıp açıklanmadığı,
• gerçek veya muhtemel bir zarar oluşup oluşmadığı,
• çalışanın kastı veya ihmali,
• ihlalin tekrarlanıp tekrarlanmadığı,
• daha önce uyarı verilip verilmediği,
• benzer olaylarda işverenin nasıl davrandığı

değerlendirilmelidir.

Örneğin veri güvenliği eğitimi verilmemiş, onaylı araçlar gösterilmemiş ve yasak açıkça bildirilmemişse ilk ihlalde doğrudan haklı fesih uygulanması ölçüsüz bulunabilir. Buna karşılık çalışan açık yasağa rağmen binlerce müşteriye ait kimlik ve finans verilerini dışarıdaki bir sisteme yüklemişse veya şirket sırrını bilinçli olarak aktarmışsa daha ağır disiplin yaptırımları gündeme gelebilir.

Ayrıca feshe dayanak oluşturacak dijital delillerin işveren tarafından hukuka uygun şekilde elde edilmesi gerekir. Hukuka aykırı ve gizli bir gözetim sonucunda elde edilen verilerin kullanılması, ayrı bir kişisel veri ihlali ve özel hayatın gizliliği sorunu doğurabilir.

Yapay Zekâ ile Personel Performans Değerlendirmesi

Yapay zekâ sistemlerinin çalışanların e-posta trafiğini, görev tamamlama süresini, çevrim içi kalma süresini, satış miktarını, müşteri görüşmelerini veya klavye hareketlerini analiz ederek performans puanı oluşturması giderek yaygınlaşmaktadır.

Ancak çalışanın performansının yalnızca otomatik sistemler aracılığıyla değerlendirilmesi önemli hukuki riskler taşır. Sistem;

• eksik veya hatalı veriler kullanabilir,
• engellilik, yaş, cinsiyet veya ailevi durum gibi unsurlardan dolaylı olarak etkilenebilir,
• işin kalitesini değil yalnızca ölçülebilen faaliyetleri dikkate alabilir,
• kararın nedenini açıklayamayabilir.

Bu nedenle yapay zekâ çıktısı tek başına ücret, terfi, disiplin veya fesih kararı için belirleyici hâle getirilmemelidir. İnsan tarafından gerçek ve etkili bir değerlendirme yapılmalı; çalışan, kararın dayanakları konusunda bilgilendirilmeli ve hatalı verilere itiraz edebilmelidir. KVKK’nın 11. maddesi de kişinin yalnızca otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkını tanımaktadır.

Veri Güvenliği Bakımından İşverenin Yükümlülükleri

6698 sayılı Kanun’un 12. maddesi uyarınca veri sorumlusu;

• kişisel verilerin hukuka aykırı işlenmesini önlemek,
• kişisel verilere hukuka aykırı erişimi önlemek,
• kişisel verilerin muhafazasını sağlamak

amacıyla gerekli teknik ve idari tedbirleri almak zorundadır. İşverenin verileri kendi adına işleyen bir yapay zekâ hizmet sağlayıcısıyla çalışması hâlinde, güvenlik tedbirleri bakımından hizmet sağlayıcıyla birlikte sorumluluğu da gündeme gelebilir.

İşyerinde güvenli bir yapay zekâ sistemi kurulabilmesi için en azından şu önlemler alınmalıdır:

1. Kullanılmasına izin verilen ve yasaklanan yapay zekâ araçları açıkça belirlenmelidir.
2. Müşteri, çalışan, hasta, müvekkil ve finans verileri için veri sınıflandırması yapılmalıdır.
3. Genel kullanıma açık kişisel hesaplar yerine kurumsal hesaplar kullanılmalıdır.
4. Verilerin model eğitiminde kullanılmasını engelleyen kurumsal seçenekler tercih edilmelidir.
5. Kişisel veriler sisteme girilmeden önce anonimleştirilmelidir.
6. Erişim yetkileri görevle sınırlı tutulmalı ve çok faktörlü kimlik doğrulama kullanılmalıdır.
7. Dosya yükleme ve veri dışarı çıkarma hareketleri ölçülü biçimde kayıt altına alınmalıdır.
8. Yapay zekâ çıktıları insan tarafından doğrulanmalıdır.
9. Hatalı çıktı, veri sızıntısı veya yanlış yükleme durumları için ihlal bildirim prosedürü oluşturulmalıdır.
10. Çalışanlara düzenli yapay zekâ ve KVKK eğitimi verilmelidir.

İşyerinde Yapay Zekâ Kullanım Politikası Nasıl Hazırlanmalıdır?

İşverenin yalnızca “Yapay zekâ kullanmak yasaktır” şeklinde tek cümlelik bir duyuru yayımlaması çoğu zaman yeterli değildir. Etkili bir yapay zekâ kullanım politikasında şu konular açıkça düzenlenmelidir:

Serbest kullanım alanları

Kişisel veri veya şirket sırrı içermeyen genel metinlerin düzeltilmesi, fikir üretme, kamuya açık bilgilerin özetlenmesi ve örnek şablon hazırlanması gibi düşük riskli işlemler belirlenebilir.

İzne bağlı kullanım alanları

Anonimleştirilmiş müşteri verilerinin analizi, kod geliştirme, toplantı özetleme ve insan kaynakları süreçleri gibi faaliyetler birim yöneticisinin veya veri koruma sorumlusunun iznine bağlanabilir.

Yasaklanan veriler

Kimlik numarası, sağlık bilgisi, biyometrik veri, banka bilgisi, şifre, müşteri listesi, bordro, dava dosyası, hasta kaydı, ticari sır, kaynak kodu ve gizli sözleşmelerin onaysız sistemlere yüklenmesi açıkça yasaklanabilir.

İnsan denetimi

Yapay zekânın hazırladığı hukuki görüş, finansal hesaplama, performans puanı, işe alım önerisi veya müşteri cevabının yetkili bir kişi tarafından kontrol edilmeden kullanılmaması düzenlenmelidir.

İhlal bildirimi

Çalışanın yanlışlıkla kişisel veri yüklemesi hâlinde bunu gizlemek yerine derhâl bilgi güvenliği veya hukuk birimine bildirmesi sağlanmalıdır. Erken bildirim, verinin silinmesi ve zararın sınırlandırılması açısından önemlidir.

Sonuç

İşyerinde yapay zekâ kullanımının hukuki sınırı, teknolojinin kullanılıp kullanılmamasından çok, hangi verinin hangi amaçla ve hangi güvenlik koşulları altında kullanıldığıyla ilgilidir.

İşverenin yapay zekâyı tamamen serbest bırakması; müşteri verilerinin, çalışan bilgilerinin ve ticari sırların kontrolsüz biçimde dış sistemlere aktarılmasına neden olabilir. Buna karşılık çalışanları hiçbir bilgilendirme yapmadan sürekli ve gizli biçimde izlemek de kişisel verilerin korunması, özel hayatın gizliliği ve haberleşme özgürlüğü bakımından hukuka aykırılık doğurabilir.

Hukuka uygun bir işyeri yapay zekâ düzeninin temel ilkeleri şunlardır:

• Açık ve meşru bir kullanım amacı,
• Geçerli bir kişisel veri işleme şartı,
• Asgari miktarda veri kullanılması,
• Çalışanların ve ilgili kişilerin bilgilendirilmesi,
• Yurt dışına aktarım şartlarına uyulması,
• Teknik ve idari güvenlik tedbirlerinin alınması,
• Yapay zekâ çıktılarının insan tarafından denetlenmesi,
• Çalışanların açık ve anlaşılır bir politika ile eğitilmesi.

Yapay zekâ uygulamasına yazılan tek bir komut, görünüşte birkaç saniyelik bir işlem olabilir. Ancak o komutun içinde müşteri adı, sağlık raporu, bordro, dava dosyası veya şirket sırrı varsa, birkaç saniyelik işlem uzun süreli bir KVKK ihlaline, ticari sır kaybına ve işveren açısından ciddi hukuki sorumluluğa dönüşebilir. Bu nedenle işyerinde temel kural, “Yapay zekâ kullanmayın” değil; “Onaylanmamış sisteme kişisel veri ve şirket sırrı yüklemeyin” olmalıdır.