Çalışanların Yapay Zekâ Araçlarının Denetlenmesi: İşverenin Yetkisi ve Hukuki Sınırlar

Yapay zekâ araçlarının iş hayatında yaygınlaşmasıyla birlikte şirketler açısından yeni bir denetim ihtiyacı ortaya çıkmıştır. Çalışanlar artık e-posta hazırlamak, sözleşme özetlemek, rapor oluşturmak, yazılım kodu geliştirmek, müşteri verilerini analiz etmek veya şirket içi belgeleri düzenlemek amacıyla ChatGPT ve benzeri üretken yapay zekâ sistemlerinden yararlanabilmektedir.

Bu kullanım şirket açısından önemli verimlilik avantajları sağlayabilmekle birlikte, kontrolsüz yapay zekâ kullanımı ciddi hukuki riskler de doğurabilir. Özellikle çalışanların şirket tarafından onaylanmamış yapay zekâ araçlarını kullanması, kişisel hesapları üzerinden şirket belgelerini yüklemesi veya müşteri verilerini üçüncü taraf yapay zekâ sistemlerine aktarması hâlinde kişisel verilerin korunması, ticari sırlar, bilgi güvenliği ve sözleşmesel gizlilik bakımından sorunlar ortaya çıkabilir.

Bu nedenle şirketlerin çalışanların yapay zekâ kullanımını belirli ölçülerde takip etmek istemesi anlaşılabilir bir ihtiyaçtır.

Ancak işverenin çalışanların yapay zekâ kullanımını denetleme yetkisi sınırsız değildir.

İşveren tarafından gerçekleştirilecek denetimin; çalışanın özel hayatının gizliliği, haberleşme özgürlüğü, kişisel verilerin korunması ve işyerindeki temel hakları ile dengelenmesi gerekir.

Dolayısıyla temel mesele yalnızca “İşveren çalışanın ChatGPT kullanıp kullanmadığını kontrol edebilir mi?” sorusu değildir. Asıl hukuki sorun, bu kontrolün hangi yöntemlerle, hangi kapsamda ve hangi hukuki sınırlar içerisinde yapılabileceğidir.

İşveren Çalışanların Yapay Zekâ Kullanımını Denetleyebilir mi?

İşveren, yönetim hakkı kapsamında işyerinde kullanılan bilişim sistemlerine ilişkin kurallar belirleyebilir.

Şirket;

• hangi yapay zekâ araçlarının kullanılabileceğini,
• hangi uygulamaların yasak olduğunu,
• kişisel hesapların iş amacıyla kullanılıp kullanılamayacağını,
• hangi şirket bilgilerinin yapay zekâ sistemlerine yüklenemeyeceğini,
• yapay zekâ kullanımının hangi kayıtlar üzerinden takip edilebileceğini

belirli koşullar altında düzenleyebilir.

Ancak işverenin yönetim hakkı, çalışanların temel haklarını tamamen ortadan kaldırmaz.

Çalışanın işyerinde bulunması veya şirket bilgisayarını kullanması, işverene çalışanı sınırsız biçimde takip etme yetkisi vermez.

Denetimin hukuka uygun olabilmesi için özellikle amaç, gereklilik, şeffaflık ve ölçülülük ilkelerinin dikkate alınması gerekir.

Çalışanların Yapay Zekâ Kullanımının Denetlenmesi Neden Gerekebilir?

Şirketlerin yapay zekâ kullanımını denetlemek istemesinin birçok meşru nedeni bulunabilir.

Bunların başında bilgi güvenliği gelir.

Çalışan şirket belgesini kişisel bir yapay zekâ hesabına yüklediğinde;

müşteri verileri, çalışan bilgileri, ticari sırlar veya üçüncü kişilere ait gizli bilgiler

şirketin kontrolü dışındaki bir sisteme aktarılabilir.

Benzer şekilde bir yazılım geliştiricinin şirket kaynak kodunu üçüncü taraf bir yapay zekâ aracına yüklemesi, şirketin fikrî mülkiyet hakları ve ticari sırları açısından ciddi risk oluşturabilir.

Dolayısıyla yapay zekâ kullanımının denetlenmesinin meşru amaçları arasında;

veri güvenliğinin sağlanması, ticari sırların korunması, KVKK yükümlülüklerinin yerine getirilmesi, siber güvenlik risklerinin azaltılması ve şirket politikalarına uyumun denetlenmesi

yer alabilir.

İşverenin Denetim Yetkisinin Sınırı Nedir?

İşverenin yapay zekâ kullanımını takip ederken çalışanların bütün dijital faaliyetlerini sınırsız şekilde izlemesi hukuken sorunlu olabilir.

Örneğin şirket yalnızca çalışanların onaylanmamış yapay zekâ araçlarına şirket dosyası yükleyip yüklemediğini kontrol etmek istiyorsa, çalışanın bütün özel yazışmalarına erişilmesi çoğu durumda gereğinden fazla müdahale teşkil edebilir.

Denetim yöntemi hedeflenen amaçla orantılı olmalıdır.

Bu nedenle;

“Şirket verilerinin yapay zekâ sistemlerine aktarılmasını engellemek için hangi asgari denetim yeterlidir?”

sorusunun cevaplandırılması gerekir.

Daha az müdahaleci yöntemlerle aynı güvenlik amacı sağlanabiliyorsa çalışanların kişisel içeriklerinin incelenmesi yerine bu yöntemlerin tercih edilmesi gerekir.

KVKK Açısından Çalışan Denetimi

Çalışanların dijital faaliyetlerinin izlenmesi sırasında çok sayıda kişisel veri işlenebilir.

Örneğin şirket;

hangi internet sitesine girildiği, hangi uygulamanın kullanıldığı, bağlantının ne zaman gerçekleştiği, hangi hesabın kullanıldığı ve hangi dosyanın aktarıldığı

gibi bilgileri kaydedebilir.

Bu kayıtlar belirli veya belirlenebilir bir çalışanla ilişkilendirilebiliyorsa kişisel veri niteliği taşıyabilir.

Dolayısıyla çalışanların yapay zekâ kullanımının denetlenmesi aynı zamanda 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında bir kişisel veri işleme faaliyeti oluşturabilir.

İşverenin bu süreçte KVKK’nın temel ilkelerine uygun hareket etmesi gerekir.

Özellikle;

belirli, açık ve meşru amaç, amaçla bağlantılılık, sınırlılık ve ölçülülük

ilkeleri çalışan denetimlerinde büyük önem taşır.

Çalışanın Önceden Bilgilendirilmesi Gerekir mi?

Çalışanların yapay zekâ kullanımının hangi ölçüde takip edildiği konusunda önceden bilgilendirilmesi önemlidir.

Şirket;

hangi sistem kayıtlarının tutulduğunu, hangi amaçla denetim yapıldığını, hangi tür yapay zekâ kullanımının yasak olduğunu ve kurumsal cihazlarda ne ölçüde izleme yapılabileceğini

açık şekilde düzenlemelidir.

Bu bilgiler;

iş sözleşmesi, çalışan el kitabı, bilgi güvenliği politikası, kabul edilebilir kullanım politikası veya yapay zekâ kullanım politikası

içerisinde yer alabilir.

Denetimin tamamen gizli şekilde yürütülmesi, özellikle çalışanın makul olarak özel kalacağını düşündüğü alanlara müdahale edilmesi hâlinde ciddi hukuki sorunlar doğurabilir.

Şirket Bilgisayarının Kullanılması İşverene Sınırsız Denetim Yetkisi Verir mi?

Hayır.

Bilgisayarın işverene ait olması, cihaz üzerindeki bütün işlemlerin sınırsız şekilde incelenebileceği anlamına gelmez.

İşveren şirket cihazlarında belirli kullanım kuralları oluşturabilir ve bilgi güvenliği amacıyla teknik denetimler gerçekleştirebilir.

Ancak denetimin yine meşru amaçla sınırlı ve ölçülü olması gerekir.

Örneğin şirketin yalnızca onaylanmamış yapay zekâ sitelerine erişimi tespit etmek amacıyla internet trafik kayıtlarını incelemesiyle, çalışanın bütün özel mesajlarını ayrıntılı şekilde okuması aynı nitelikte değildir.

İkinci yöntem çalışan haklarına çok daha ağır müdahale oluşturabilir.

Çalışanın Kişisel ChatGPT Hesabı Denetlenebilir mi?

Çalışanın kişisel yapay zekâ hesabı bakımından çok daha dikkatli olunmalıdır.

Çalışanın hesabının kişisel olması, işverenin bu hesaba şifreyle giriş yapabileceği veya bütün konuşmaları inceleyebileceği anlamına gelmez.

İşverenin bilgi güvenliği amacıyla;

kurumsal cihazdan belirli bir yapay zekâ hizmetine erişildiğini veya şirket dosyasının sisteme aktarıldığını

tespit etmeye yönelik teknik kayıtları incelemesi ile çalışanın kişisel hesabının bütün içeriklerine erişmesi birbirinden farklıdır.

Özellikle kişisel hesaplardaki özel içeriklere müdahale çalışanların özel hayatının gizliliği ve kişisel verilerinin korunması bakımından ciddi risk yaratabilir.

Çalışanın Yapay Zekâya Yüklediği Belgeler Takip Edilebilir mi?

Teknik olarak şirketler veri kaybını önleme sistemleri, erişim kayıtları ve güvenlik yazılımları aracılığıyla belirli dosya hareketlerini takip edebilir.

Ancak böyle bir sistem kurulmadan önce hukuki değerlendirme yapılmalıdır.

Şirketin amacı örneğin;

“Gizli olarak sınıflandırılmış belgelerin onaylanmamış yapay zekâ uygulamalarına yüklenmesini önlemek”

ise teknik sistemin yalnızca bu amaca hizmet edecek şekilde yapılandırılması daha uygun olabilir.

Çalışanın bütün dosya hareketlerinin süresiz olarak kaydedilmesi ise amaç için gerekenden fazla veri işlenmesine neden olabilir.

Yapay Zekâ Sitelerine Erişim Kayıtları Tutulabilir mi?

Şirketlerin siber güvenlik ve bilgi güvenliği amacıyla kurumsal internet sistemlerinde belirli erişim kayıtlarını tutması mümkün olabilir.

Örneğin çalışanın;

hangi yapay zekâ hizmetine eriştiği, erişim zamanı veya bağlantının kurumsal ağ üzerinden yapılıp yapılmadığı

kayıt altına alınabilir.

Ancak şirketin bu kayıtları hangi amaçla kullandığı ve ne kadar süre sakladığı önemlidir.

İşveren;

“İleride lazım olabilir.”

gerekçesiyle çalışanların bütün dijital faaliyetlerini süresiz biçimde saklamamalıdır.

Saklama sürelerinin somut amaç ve ilgili mevzuat çerçevesinde belirlenmesi gerekir.

Shadow AI Tespit Sistemleri Kullanılabilir mi?

Şirketler çalışanların onaylanmamış yapay zekâ uygulamalarını kullanmasını tespit etmek amacıyla teknik güvenlik sistemleri kurabilir.

Bu sistemler örneğin;

• belirli yapay zekâ sitelerine erişimi tespit edebilir,
• yasaklanan uygulamalara bağlantıyı engelleyebilir,
• hassas dosyaların dış sistemlere yüklenmesini sınırlandırabilir,
• belirli veri kategorilerinin aktarılması hâlinde uyarı oluşturabilir.

Ancak sistemin mümkün olduğunca içerik yerine risk davranışına odaklanması daha ölçülü olabilir.

Örneğin;

“Çalışanın ChatGPT’deki bütün konuşmalarını okuyalım.”

yaklaşımı yerine;

“Gizli olarak sınıflandırılmış bir dosyanın harici yapay zekâ sistemine aktarılmasını engelleyelim.”

yaklaşımı çalışan haklarına daha az müdahaleci bir yöntem olabilir.

İşveren Yapay Zekâ Kullanımını Tamamen Yasaklayabilir mi?

İşveren yönetim hakkı kapsamında belirli işlerde veya belirli veri kategorileri bakımından yapay zekâ kullanımını sınırlayabilir.

Özellikle;

kişisel veriler, ticari sırlar, müşteri bilgileri, kaynak kodları veya gizlilik sözleşmesi kapsamındaki belgeler

bakımından sıkı sınırlamalar getirilebilir.

Ancak tüm yapay zekâ araçlarının herhangi bir ayrım yapılmadan yasaklanması her şirket için en etkili yöntem olmayabilir.

Çalışanlar işlerini kolaylaştırmak amacıyla yapay zekâyı kişisel cihazlardan kullanmaya devam edebilir.

Bu durumda kullanım ortadan kalkmak yerine daha görünmez hâle gelebilir.

Dolayısıyla birçok işletme bakımından tamamen yasaklamak yerine onaylı araçlar ve izin verilen kullanım senaryoları belirlemek daha etkili bir yöntem olabilir.

Kurumsal Yapay Zekâ Hesapları Kullanılmalı mı?

Şirketler çalışanların kişisel hesaplarını kullanması yerine kurumsal olarak yönetilen yapay zekâ hesapları sağlayabilir.

Kurumsal sistemler;

erişim yetkilerinin yönetilmesi, hesapların kapatılması, güvenlik politikalarının uygulanması ve kullanımın belirli standartlara bağlanması

açısından avantaj sağlayabilir.

Ancak kurumsal hesap kullanılması da işverene çalışanların bütün konuşmalarını sınırsız inceleme yetkisi vermez.

Kullanım takibi yine hukuki sınırlar içinde gerçekleştirilmelidir.

Çalışanların Promptları Denetlenebilir mi?

Yapay zekâ sistemlerine yazılan istemler, yani “promptlar”, önemli miktarda şirket bilgisi ve kişisel veri içerebilir.

Örneğin çalışan yapay zekâya;

“Ahmet Yılmaz isimli çalışanımızın performansı son altı ayda düştü. Bu kişiyi işten çıkarma gerekçesi oluştur.”

şeklinde bir istem yazmış olabilir.

Bu durumda sisteme belge yüklenmese bile kişisel veri işlenmektedir.

Şirket açısından promptların güvenli kullanımı önemlidir.

Ancak bütün promptların içeriklerinin sürekli ve sınırsız şekilde incelenmesi çalışan denetiminin ölçülülüğü bakımından ayrıca değerlendirilmelidir.

Mümkün olduğunda otomatik veri kaybı önleme sistemleri veya belirli riskli veri kalıplarının engellenmesi gibi daha az müdahaleci yöntemler tercih edilebilir.

Çalışanların Özel Mesajlarının İncelenmesi Mümkün mü?

Çalışanların açıkça özel nitelikteki mesajlarının incelenmesi bakımından çok daha sıkı bir değerlendirme yapılması gerekir.

İşverenin amacı Shadow AI kullanımını tespit etmek olsa dahi çalışanların özel haberleşmesine sınırsız erişim sağlanması ölçüsüz müdahale oluşturabilir.

Denetim yapılırken;

iş amaçlı hesaplar ile kişisel hesapların, kurumsal belgeler ile özel içeriklerin

mümkün olduğunca birbirinden ayrılması gerekir.

BYOD Uygulamalarında Yapay Zekâ Denetimi

Çalışanın kendi telefonunu veya bilgisayarını iş amacıyla kullanmasına izin verilen “Bring Your Own Device” modellerinde konu daha karmaşık hâle gelir.

Kişisel cihazda hem özel veriler hem şirket verileri bulunabilir.

Bu nedenle şirketin kişisel cihazın tamamını denetlemesi çalışan açısından ağır bir mahremiyet müdahalesine neden olabilir.

BYOD kullanılan şirketlerde;

kurumsal uygulamaların ayrı alanlarda çalıştırılması, şirket verilerinin teknik olarak ayrıştırılması ve yalnızca kurumsal bölümlerin güvenlik politikalarına tabi tutulması

daha uygun çözümler arasında değerlendirilebilir.

İşveren Denetimin Amacını Önceden Belirlemelidir

Çalışan denetiminin hukuka uygunluğu bakımından en önemli unsurlardan biri amaçtır.

Şirket öncelikle neden denetim yaptığını belirlemelidir.

Örneğin amaç;

kişisel verilerin yapay zekâ sistemlerine aktarılmasını önlemek

olabilir.

Başka bir şirket için amaç;

ticari sır niteliğindeki kaynak kodlarının üçüncü taraf sistemlere yüklenmesini engellemek

olabilir.

Amaç belirlenmeden sınırsız kayıt toplanması, kişisel verilerin gereğinden fazla işlenmesine neden olabilir.

Denetim Ölçülü Olmalıdır

Ölçülülük, çalışanların yapay zekâ kullanımının denetlenmesinde temel ilkelerden biridir.

Şirket;

hedeflenen güvenlik amacı için gerekli olandan daha fazla veri toplamamalıdır.

Örneğin yapay zekâ uygulamalarına erişimi kontrol etmek için yalnızca alan adı ve erişim zamanı yeterliyse bütün ekran görüntülerinin sürekli kaydedilmesi gereksiz olabilir.

Benzer şekilde belirli hassas dosyaların aktarılmasını engellemek için DLP sistemi yeterliyse çalışanın bütün e-posta ve mesaj içeriklerinin manuel olarak incelenmesi ölçüsüz olabilir.

Daha Az Müdahaleci Yöntemler Öncelikli Olmalıdır

Şirketlerin denetim sistemini kurarken öncelikle çalışanların mahremiyetine en az müdahale eden yöntemi değerlendirmesi gerekir.

Örneğin;

yasaklanan yapay zekâ sitelerinin engellenmesi

yerine çalışanın bütün ekranının kaydedilmesi çoğu durumda daha ağır müdahaledir.

Benzer şekilde;

belirli gizli dosyaların dışarıya aktarılmasını otomatik olarak engelleyen sistem

kurulabilecekken bütün dosya içeriklerinin insan tarafından sürekli incelenmesi gerekli olmayabilir.

Bu nedenle teknik güvenlik ve hukuk ekiplerinin birlikte çalışması önem taşır.

Denetim Kayıtlarına Kimler Erişebilmelidir?

Çalışanların yapay zekâ kullanımına ilişkin log ve kayıtların şirket içerisindeki herkes tarafından erişilebilir olması da ayrı bir veri güvenliği sorunu yaratabilir.

Bu verilere yalnızca görevleri gereği ihtiyaç duyan;

bilgi güvenliği, hukuk, insan kaynakları veya iç denetim personelinin

erişmesi sağlanabilir.

Yetkilendirme sistemi oluşturulmalı ve erişimler kayıt altına alınmalıdır.

Kayıtların Ne Kadar Süre Saklanacağı Belirlenmelidir

Şirketlerin çalışan denetimi kapsamında topladığı verileri süresiz saklaması doğru değildir.

Saklama süresi;

denetimin amacı, şirketin hukuki yükümlülükleri ve olası uyuşmazlıklar

dikkate alınarak belirlenmelidir.

Saklama amacı sona erdiğinde kişisel verilerin silinmesi, yok edilmesi veya uygun şartlar mevcutsa anonim hâle getirilmesi gerekir.

Denetim Verileri Performans Değerlendirmesinde Kullanılabilir mi?

Şirket, güvenlik amacıyla topladığı verileri sonradan çalışan performansını değerlendirmek için kullanmak isteyebilir.

Ancak kişisel verilerin toplandığı amaç dışında kullanılması ayrıca hukuki değerlendirme gerektirir.

Örneğin sistem;

“Çalışan yasaklanan yapay zekâ aracına şirket belgesi yükledi mi?”

sorusunu cevaplamak amacıyla kurulmuşsa aynı verilerin çalışanların günlük üretkenliğini ölçmek amacıyla kullanılmaya başlanması başlangıçtaki işleme amacını değiştirebilir.

Bu nedenle veri kullanım amaçları açık ve önceden belirlenmiş olmalıdır.

Shadow AI Denetimi İşten Çıkarmaya Dayanak Olabilir mi?

Denetim sonucunda çalışanın şirket politikalarına aykırı yapay zekâ kullandığının tespit edilmesi iş hukuku bakımından sonuç doğurabilir.

Ancak her tespit otomatik olarak iş sözleşmesinin haklı nedenle feshedilebileceği anlamına gelmez.

Değerlendirmede;

• çalışanın hangi yapay zekâ aracını kullandığı,
• hangi verileri sisteme aktardığı,
• şirket politikasının açık olup olmadığı,
• çalışanın önceden bilgilendirilip bilgilendirilmediği,
• ticari sır veya kişisel veri bulunup bulunmadığı,
• şirket açısından zarar veya ciddi risk meydana gelip gelmediği,
• ihlalin kasıtlı olup olmadığı ve
• daha hafif yaptırımın yeterli olup olmayacağı

dikkate alınmalıdır.

Hukuka Aykırı Denetimle Elde Edilen Deliller Sorun Yaratabilir mi?

Evet.

İşverenin çalışanların yapay zekâ kullanımını tespit etmek için uyguladığı denetim yönteminin kendisi hukuka aykırıysa elde edilen verilerin uyuşmazlıkta kullanılması da tartışmalı hâle gelebilir.

Örneğin çalışanın kişisel hesabına izinsiz erişilmesi veya özel yazışmalarının hukuka aykırı şekilde ele geçirilmesi, işveren açısından ayrı bir hukuki sorun oluşturabilir.

Bu nedenle olası fesih veya disiplin süreçlerinin sağlam delillere dayanması isteniyorsa denetim sisteminin baştan itibaren hukuka uygun kurulması gerekir.

Çalışanın Yapay Zekâ Kullanımı Nasıl Belgelenmelidir?

İşveren bir ihlal tespit ettiğinde olayın teknik olarak doğru şekilde belgelenmesi önemlidir.

Örneğin;

erişim tarihi, kullanılan uygulama, aktarıldığı tespit edilen dosya, dosyanın gizlilik sınıfı ve olayın nasıl tespit edildiği

kayıt altına alınabilir.

Çalışanın yalnızca belirli bir yapay zekâ sitesini ziyaret ettiğinin görülmesi, şirket belgesini sisteme yüklediğinin kesin kanıtı olmayabilir.

Bu nedenle teknik tespit ile hukuki sonuç arasında dikkatli ayrım yapılmalıdır.

Çalışanın Savunması Alınmalı mı?

Özellikle davranış nedeniyle disiplin yaptırımı veya fesih düşünülüyorsa çalışanın açıklaması önem taşıyabilir.

Teknik kayıtlar yanlış yorumlanabilir.

Örneğin çalışan yapay zekâ sitesine erişmiş olabilir ancak herhangi bir şirket verisi yüklememiş olabilir.

Bu nedenle olayın kapsamının belirlenmesi ve çalışanın savunmasının değerlendirilmesi daha sağlıklı olacaktır.

Denetim Politikası Nasıl Hazırlanmalıdır?

Şirketlerde çalışanların yapay zekâ kullanımına ilişkin denetim politikası açık ve anlaşılır olmalıdır.

Politikada en azından;

hangi yapay zekâ araçlarının kullanılabileceği, hangi faaliyetlerin izleneceği, hangi kayıtların tutulacağı, denetimin amacı, kayıtların ne kadar süre saklanacağı ve politika ihlallerinin sonuçları

düzenlenmelidir.

Ayrıca çalışanlara hangi verilerin yapay zekâ sistemlerine yüklenemeyeceği somut örneklerle anlatılmalıdır.

Çalışanlara Açıkça Bildirilmesi Gereken Hususlar

Şirketin yapay zekâ kullanımını takip etmesi hâlinde çalışanlara özellikle şu konularda açık bilgi verilmesi önemlidir:

• Kurumsal cihazlarda yapay zekâ kullanımının denetlenip denetlenmediği,
• hangi tür kayıtların tutulduğu,
• kişisel hesap kullanımının yasak olup olmadığı,
• hangi veri kategorilerinin yapay zekâya yüklenemeyeceği,
• güvenlik loglarına kimlerin erişebileceği,
• ihlal durumunda hangi süreçlerin işletileceği.

Bu açıklık hem çalışanların kurallara uyumunu artırır hem de sonradan çıkabilecek uyuşmazlıkların azaltılmasına katkı sağlar.

Çalışanların Eğitilmesi Neden Önemlidir?

Denetim tek başına Shadow AI sorununu çözmez.

Çalışanların neden belirli kurallara uyması gerektiğini anlaması gerekir.

Örneğin çalışan;

“Ben sadece sözleşmeyi özetlettim.”

diyebilir.

Ancak sözleşmede yüzlerce müşterinin kişisel verisi veya şirketin gizli fiyatlandırması bulunabilir.

Dolayısıyla çalışanlara;

kişisel veri, ticari sır, gizli bilgi, yurt dışına veri aktarımı ve yapay zekâ güvenliği

konularında eğitim verilmesi önemlidir.

Hukuk, İnsan Kaynakları ve Bilgi Güvenliği Birlikte Çalışmalıdır

Çalışanların yapay zekâ kullanımının denetlenmesi yalnızca bilgi teknolojileri biriminin görevi olarak görülmemelidir.

Bilgi güvenliği ekibi teknik sistemleri oluştururken hukuk birimi;

KVKK, iş hukuku ve çalışan mahremiyeti

bakımından gerekli değerlendirmeleri yapmalıdır.

İnsan kaynakları departmanı ise çalışanların bilgilendirilmesi, eğitimler ve disiplin süreçlerinin yürütülmesinde görev almalıdır.

Bu nedenle etkili bir yapay zekâ denetim sistemi genellikle disiplinler arası çalışma gerektirir.

Denetim Yerine Teknik Engelleme Tercih Edilebilir mi?

Bazı durumlarda evet.

Örneğin şirket belirli bir yapay zekâ hizmetinin güvenli olmadığını tespit etmişse çalışanların kullanımını izlemek yerine kurumsal ağdan bu hizmete erişimi engelleyebilir.

Benzer şekilde hassas dosyaların dış sistemlere yüklenmesini önleyen teknik çözümler kullanılabilir.

Bu yaklaşım hem veri güvenliğini sağlayabilir hem de sürekli çalışan izleme ihtiyacını azaltabilir.

Şirketler İçin Yapay Zekâ Denetim Modeli Nasıl Olmalıdır?

Etkili bir sistem genel olarak üç aşamada oluşturulabilir.

İlk aşama önleme olmalıdır.

Onaylı araçlar belirlenmeli, yüksek riskli uygulamalara erişim sınırlandırılmalı ve veri güvenliği kuralları oluşturulmalıdır.

İkinci aşama ölçülü denetimdir.

Güvenlik amacı için gerekli erişim ve veri aktarım kayıtları takip edilmelidir.

Üçüncü aşama ise olay müdahalesidir.

Bir çalışan şirket verisini yetkisiz yapay zekâ sistemine aktardığında veri güvenliği, KVKK ve iş hukuku süreçlerinin nasıl yürütüleceği önceden belirlenmelidir.

Bu model sürekli gözetim yerine risk temelli bir yaklaşım sağlar.

Çalışan Denetimi ile Shadow AI Tamamen Önlenebilir mi?

Hayır.

Hiçbir teknik sistem çalışanların bütün yapay zekâ kullanımını tamamen ortadan kaldıramaz.

Çalışan kişisel telefonundan veya şirket ağı dışında bulunan bir cihazdan yapay zekâ kullanabilir.

Bu nedenle yalnızca teknik gözetim sistemlerine güvenmek yeterli değildir.

En etkili yöntem;

açık şirket politikaları, güvenli kurumsal araçlar, çalışan eğitimi, teknik koruma ve ölçülü denetimin birlikte uygulanmasıdır.

Aşırı Denetim Şirket Açısından Risk Yaratır mı?

Evet.

Shadow AI riskinden korunmaya çalışan şirket, aşırı çalışan gözetimi nedeniyle başka hukuki sorunlarla karşılaşabilir.

Çalışanların sürekli ekran kaydının alınması, özel yazışmalarının izlenmesi veya kişisel hesaplarının sınırsız biçimde incelenmesi;

kişisel verilerin korunması, özel hayatın gizliliği ve haberleşme özgürlüğü

bakımından tartışmalara yol açabilir.

Bu nedenle “daha fazla denetim her zaman daha fazla güvenlik sağlar” yaklaşımı hukuken doğru değildir.

Asıl amaç gerektiği kadar denetim olmalıdır.

Şirketler İçin Yapay Zekâ Denetim Kontrol Listesi

Çalışanların yapay zekâ kullanımını denetlemeyi planlayan şirketlerin öncelikle şu sorulara cevap vermesi yararlı olacaktır:

Denetimin amacı nedir?

Hangi risk önlenmek istenmektedir?

Hangi çalışanlar denetlenecektir?

Hangi yapay zekâ araçları takip edilecektir?

Hangi kişisel veriler işlenecektir?

Daha az müdahaleci yöntem mevcut mudur?

Çalışanlar denetim konusunda bilgilendirilmiş midir?

Kayıtlar ne kadar süre saklanacaktır?

Kayıtlara kimler erişecektir?

Politika ihlalinde nasıl bir prosedür uygulanacaktır?

Bu soruların cevapları belirlenmeden kapsamlı bir çalışan izleme sistemi kurulması şirket açısından ayrıca hukuki risk yaratabilir.

Sonuç

Çalışanların yapay zekâ araçlarının denetlenmesi, şirketlerin Shadow AI risklerini yönetebilmesi açısından giderek daha önemli hâle gelmektedir.

İşverenler;

kişisel verilerin, ticari sırların, müşteri bilgilerinin, şirket belgelerinin ve kaynak kodlarının yetkisiz yapay zekâ sistemlerine aktarılmasını önlemek

amacıyla belirli denetim mekanizmaları oluşturabilir.

Ancak işverenin yönetim ve denetim yetkisi sınırsız değildir.

Çalışanların yapay zekâ kullanımının takip edilmesi sırasında KVKK, özel hayatın gizliliği, haberleşme özgürlüğü, şeffaflık ve ölçülülük ilkeleri dikkate alınmalıdır.

Şirket bilgisayarının işverene ait olması veya yapay zekâ kullanımının bilgi güvenliği riski yaratması, çalışanların bütün dijital faaliyetlerinin sınırsız şekilde incelenmesini tek başına haklı hâle getirmez.

Bu nedenle şirketlerin sürekli ve kapsamı belirsiz gözetim sistemleri yerine risk temelli ve ölçülü denetim modelleri oluşturması daha doğru olacaktır.

Onaylı yapay zekâ araçlarının belirlenmesi, yüksek riskli sistemlere erişimin sınırlandırılması, veri kaybını önleyici teknik tedbirlerin uygulanması, çalışanların önceden bilgilendirilmesi ve çalışanlara düzenli yapay zekâ güvenliği eğitimi verilmesi Shadow AI riskinin azaltılmasında birlikte kullanılmalıdır.

Yapay zekânın iş hayatındaki kullanımının artmasıyla birlikte şirketlerin cevaplaması gereken soru artık yalnızca;

“Çalışanlarımız yapay zekâ kullanıyor mu?”

değildir.

Asıl hukuki soru şudur:

“Çalışanlarımızın yapay zekâ kullanımını, şirket verilerini korurken çalışanların temel haklarını ihlal etmeyecek şekilde nasıl denetleyebiliriz?”

Çalışanların yapay zekâ araçlarının denetlenmesinde kurulacak doğru denge, önümüzdeki dönemde hem iş hukuku hem de kişisel verilerin korunması bakımından şirketlerin en önemli yapay zekâ yönetişimi konularından biri olacaktır.