ChatGPT Kullanımı Şirketler İçin Neden Hukuki Risk Taşır?

Üretken yapay zekâ uygulamaları artık şirketlerin günlük çalışma hayatının bir parçası haline gelmiştir.

Çalışanlar ChatGPT ve benzeri yapay zekâ sistemlerini;

• sözleşme hazırlamak,
• müşteri e-postalarını düzenlemek,
• raporları özetlemek,
• CV değerlendirmek,
• yazılım kodu üretmek,
• tabloları analiz etmek,
• hukuki veya teknik metin hazırlamak

amacıyla kullanabilmektedir.

Ancak bu kolaylık önemli bir hukuki soruyu beraberinde getirir:

Bir çalışan, müşteriye veya başka bir kişiye ait bilgileri yapay zekâ sistemine yüklediğinde kişisel veri aktarımı gerçekleşir mi ve bu işlem KVKK’ya uygun mudur?

Cevap somut olayın özelliklerine göre değişmekle birlikte, şirketlerin kontrolsüz biçimde üretken yapay zekâ kullanmasına izin vermesi ciddi kişisel veri, gizlilik ve ticari sır riskleri doğurabilir.

6698 sayılı Kişisel Verilerin Korunması Kanunu bakımından önemli olan teknolojinin adı değil; hangi verinin, hangi amaçla, hangi hukuki sebebe dayanılarak, kime ve nerede işlendiğidir.

---

ChatGPT’ye Yazılan Bilgiler Kişisel Veri Olabilir mi?

Evet.

Bir yapay zekâ sistemine girilen bilgiler belirli veya belirlenebilir gerçek kişiye ilişkinse KVKK kapsamında kişisel veri niteliği taşıyabilir.

Örneğin:

“Müşterimiz Mehmet Yılmaz’ın 450.000 TL borcu bulunmaktadır.”

şeklindeki bir ifade yalnızca bir metin değildir.

İsim ve finansal bilgi birlikte değerlendirildiğinde kişisel veri işleme faaliyeti ortaya çıkabilir.

Benzer şekilde aşağıdaki bilgiler de kişisel veri niteliği taşıyabilir:

• ad ve soyadı,
• telefon numarası,
• e-posta adresi,
• adres,
• T.C. kimlik numarası,
• müşteri kayıtları,
• çalışan performans bilgileri,
• özgeçmişler,
• finansal bilgiler,
• IP adresleri,
• konum verileri,
• dava ve uyuşmazlık bilgileri.

Dolayısıyla şirket çalışanının yalnızca “bir belgeyi özetletmesi” dahi belge içerisinde gerçek kişilere ilişkin bilgiler varsa KVKK bakımından incelenmesi gereken bir veri işleme faaliyetine dönüşebilir.

---

Özel Nitelikli Kişisel Veriler Açısından Risk Daha Yüksektir

Yapay zekâ sistemlerine yüklenen bazı veriler özel nitelikli kişisel veri olabilir.

Örneğin;

• sağlık bilgileri,
• biyometrik veriler,
• genetik veriler,
• ceza mahkûmiyetine ilişkin bilgiler,
• siyasi düşünce,
• dini veya felsefi inanç,
• sendika üyeliği

gibi bilgiler daha yüksek koruma gerektirir.

Örneğin insan kaynakları departmanının bir çalışanın sağlık raporunu yapay zekâya yükleyerek özet çıkarması, sıradan bir metin işleme faaliyeti olarak değerlendirilemez.

Bu durumda KVKK’nın özel nitelikli kişisel verilere ilişkin hükümlerinin ayrıca değerlendirilmesi gerekir.

---

Çalışanın ChatGPT Kullanmasından Şirket Sorumlu Olabilir mi?

En önemli konulardan biri budur.

Bir çalışan yapay zekâ aracını işini yerine getirmek amacıyla kullanıyorsa yapılan veri işleme faaliyetinin şirket açısından sonuç doğurması mümkündür.

Şirket;

“Çalışan kendi hesabından ChatGPT’ye yükledi, bizim bilgimiz yoktu.” savunmasıyla her durumda sorumluluktan kurtulamayabilir.

Veri sorumlularının kişisel verilerin hukuka uygun şekilde işlenmesini sağlamak için gerekli teknik ve idari tedbirleri alma yükümlülüğü bulunmaktadır.

Bu nedenle şirketlerin çalışanlarının yapay zekâ kullanımını tamamen kontrolsüz bırakması önemli bir uyum riski oluşturabilir.

---

Yapay Zekâya Veri Yüklemek Yurt Dışına Veri Aktarımı Sayılabilir mi?

Özellikle yabancı teknoloji şirketlerinin sunduğu bulut tabanlı yapay zekâ hizmetlerinde bu konu ayrıca incelenmelidir.

Verinin Türkiye dışında bulunan sunuculara veya yurt dışındaki bir veri alıcısına aktarılması halinde KVKK’nın kişisel verilerin yurt dışına aktarılmasına ilişkin 9. maddesi gündeme gelebilir.

Ancak yalnızca hizmet sağlayıcının yabancı bir şirket olması otomatik olarak her işlemde aynı hukuki sonucu doğurmaz.

Şirketin;

• kullanılan yapay zekâ hizmetini,
• sözleşmedeki veri işleme hükümlerini,
• hizmet sağlayıcının veri işleyen veya veri sorumlusu konumunu,
• verinin nerede tutulduğunu,
• alt veri işleyenleri,
• uluslararası veri akışını

ayrıca incelemesi gerekir.

---

KVKK’da Yurt Dışına Veri Aktarımı Kuralları Değişti

6698 sayılı Kanun’un 9. maddesi 2024 yılında önemli ölçüde değiştirilmiştir.

Yeni sistem kapsamında kişisel verilerin yurt dışına aktarılmasında yeterlilik kararlarının yanında uygun güvencelere dayanan yöntemler de kullanılabilmektedir.

Bunlardan biri Kişisel Verileri Koruma Kurulu tarafından yayımlanan standart sözleşmelerdir.

Standart sözleşmeler;

• veri sorumlusundan veri sorumlusuna,
• veri sorumlusundan veri işleyene,
• veri işleyenden veri işleyene,
• veri işleyenden veri sorumlusuna

olmak üzere farklı aktarım yapılarına göre düzenlenmiştir.

Bu nedenle yabancı bir AI veya cloud hizmet sağlayıcısıyla çalışan şirketin önce aktarım ilişkisindeki tarafların hukuki rollerini doğru belirlemesi gerekir.

---

Standart Sözleşmenin İmzalanması Tek Başına Yeterli mi?

Standart sözleşmeler yurt dışına veri aktarımında önemli bir hukuki araç olmakla birlikte belirli şekil ve bildirim şartlarına tabidir.

KVKK düzenlemelerine göre standart sözleşmenin imzalanmasını takip eden beş iş günü içerisinde Kuruma bildirilmesi gerekir.

Şirketlerin internette buldukları herhangi bir “Data Processing Agreement” veya yabancı hukuk sistemlerine göre hazırlanmış standart sözleşmeyi imzalaması tek başına KVKK bakımından yeterli kabul edilmemelidir.

Aktarım yapısının ve uygulanacak güvence mekanizmasının Türk veri koruma mevzuatına uygun şekilde değerlendirilmesi gerekir.

---

Yapay Zekâya Veri Yüklemek İçin Açık Rıza Almak Yeterli mi?

Uygulamada en sık yapılan hatalardan biri her sorunun açık rıza ile çözülebileceğinin düşünülmesidir. KVKK kapsamında kişisel verilerin işlenmesinin tek hukuki sebebi açık rıza değildir. Kanunda öngörülen diğer veri işleme şartlarından biri mevcutsa ayrıca açık rıza alınması gerekmeyebilir.

Bununla birlikte şirket;

“AI kullanıyoruz, herkesten açık rıza alalım.” yaklaşımıyla bütün hukuki sorunları çözemez.

Öncelikle;

• işleme amacı,
• veri kategorisi,
• veri minimizasyonu,
• aktarım,
• saklama,
• güvenlik,
• ilgili kişilerin hakları

değerlendirilmelidir.

Açık rıza, hukuka aykırı veya ölçüsüz bir veri işleme faaliyetini otomatik olarak hukuka uygun hale getiren sınırsız bir izin değildir.

---

Veri Minimizasyonu Yapay Zekâ Kullanımında Neden Önemlidir?

KVKK’nın temel ilkelerinden biri kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasıdır.

Bu ilke üretken yapay zekâ açısından özellikle önemlidir.

Örneğin şirketin yalnızca bir müşteri şikâyeti metninin dilini düzeltmek istemesi halinde müşterinin;

• adı,
• adresi,
• telefon numarası,
• T.C. kimlik numarası,
• banka hesap bilgisi

gibi verilerinin tamamının yapay zekâ sistemine gönderilmesi çoğu durumda gerekli olmayabilir.

Metin anonimleştirilerek aynı sonuca ulaşılabiliyorsa kişisel verilerin sisteme aktarılmaması daha güvenli bir yöntemdir.

---

Anonimleştirme ve Maskeleme Riski Azaltabilir

Şirketler üretken yapay zekâ kullanırken kişisel verileri mümkün olduğunca sistemden çıkarmalıdır.

Örneğin:

Riskli kullanım:

“Ahmet Yılmaz isimli müşterimizin 0532 XXX XX XX numaralı telefonu ve 250.000 TL kredi borcu bulunmaktadır. Buna göre ihtarname hazırla.”

Bunun yerine:

Daha güvenli kullanım:

“Bir müşterinin 250.000 TL tutarında sözleşmeden kaynaklanan borcu bulunmaktadır. Kişisel bilgiler kullanılmadan örnek ihtarname taslağı hazırla.”

şeklinde bir kullanım tercih edilebilir.

Ancak her maskeleme yöntemi gerçek anlamda anonimleştirme sağlamaz.

Verinin başka bilgilerle eşleştirilerek kişinin yeniden belirlenebilmesi mümkünse veri halen kişisel veri niteliğinde olabilir.

---

Ticari Sırlar da Yapay Zekâya Yüklenmemelidir

Yapay zekâ kullanımındaki risk yalnızca KVKK ile sınırlı değildir.

Çalışanların sisteme;

• fiyatlandırma stratejileri,
• şirket birleşme belgeleri,
• yatırım görüşmeleri,
• müşteri listeleri,
• kaynak kodları,
• henüz açıklanmamış ürün bilgileri,
• sözleşmeler,
• finansal projeksiyonlar

yüklemesi şirket açısından ticari sır ve gizlilik ihlali oluşturabilir.

Bu nedenle kurumsal AI politikalarının yalnızca kişisel veri değil, ticari sır ve fikri mülkiyet hükümlerini de içermesi gerekir.

---

Müşteri Sözleşmeleri de Kontrol Edilmelidir

Şirketin kendi KVKK yükümlülüklerinin yanında müşterileriyle yaptığı sözleşmeler de önemlidir.

Örneğin yazılım şirketi bir müşterisinden gizlilik yükümlülüğü altında veri aldıysa bu verilerin üçüncü taraf bir yapay zekâ sistemine yüklenmesi sözleşmeye aykırılık oluşturabilir.

Bu nedenle yapay zekâ kullanımı değerlendirilirken yalnızca KVKK değil;

• gizlilik sözleşmeleri,
• veri işleme sözleşmeleri,
• hizmet sözleşmeleri,
• müşteri sözleşmeleri,
• sektörel düzenlemeler

de incelenmelidir.

---

Şirketler Çalışanlarının AI Kullanımını Yasaklamalı mı?

Mutlak bir yasak çoğu şirket için uygulanabilir olmayabilir. Üretken yapay zekâ, iş süreçlerinde ciddi verimlilik sağlayabilir. Daha etkili yaklaşım kullanımın belirli kurallara bağlanmasıdır.

Şirketler kullanılmasına izin verilen yapay zekâ uygulamalarını belirleyebilir ve hangi veri kategorilerinin sisteme yüklenemeyeceğini açıkça düzenleyebilir.

Örneğin şirket politikasında şu verilerin kamuya açık yapay zekâ araçlarına yüklenmesi yasaklanabilir:

• müşteri kişisel verileri,
• çalışan sağlık bilgileri,
• kimlik belgeleri,
• ticari sırlar,
• banka ve ödeme bilgileri,
• gizlilik sözleşmesine tabi belgeler,
• kaynak kodları.

---

Şirketler İçin Yapay Zekâ Kullanım Politikası Hazırlanmalı mı?

Özellikle orta ve büyük ölçekli şirketler açısından yazılı bir AI Usage Policy – Yapay Zekâ Kullanım Politikası hazırlanması giderek önemli hale gelmektedir.

Bu politika en azından şu konuları düzenleyebilir:

1. Hangi yapay zekâ araçlarının kullanılabileceği,
2. Hangi bilgilerin AI sistemlerine yüklenemeyeceği,
3. Kişisel verilerin nasıl anonimleştirileceği,
4. Özel nitelikli kişisel veriler için uygulanacak yasaklar,
5. Ticari sırların korunması,
6. AI çıktılarının insan tarafından kontrol edilmesi,
7. Telif hakkı riskleri,
8. Müşteri verilerinin kullanımı,
9. Yurt dışına veri aktarımı,
10. Veri ihlali halinde izlenecek prosedür.

---

İnsan Kaynakları Departmanları Özellikle Dikkat Etmeli

İnsan kaynakları bölümleri üretken yapay zekâyı yoğun şekilde kullanmaya başlamıştır.

Örneğin;

• CV değerlendirme,
• performans raporu hazırlama,
• çalışan analizi,
• mülakat soruları oluşturma,
• işten çıkarma süreçlerine ilişkin raporlar

yapay zekâ yardımıyla hazırlanabilmektedir.

Ancak CV’ler çok sayıda kişisel veri içerebilir.

Çalışanın veya adayın bilgilerini doğrudan üçüncü taraf yapay zekâ sistemine yüklemek ayrıca veri aktarımı meydana getirebilir.

Otomatik değerlendirmelerin çalışanlar üzerinde hukuki sonuç doğurması durumunda konu daha da hassas hale gelir.

Bu nedenle İK süreçlerinde yapay zekâ kullanımı ayrıca hukuki ve teknik kontrole tabi tutulmalıdır.

---

Sağlık, Hukuk ve Finans Sektörlerinde Risk Daha Yüksektir

Bazı sektörlerde kullanılan verilerin niteliği nedeniyle yapay zekâ kullanımından doğan risk daha yüksek olabilir.

Örneğin;

Hastaneler: Hasta raporları ve sağlık verileri.

Hukuk büroları: Müvekkil bilgileri, dava belgeleri ve mesleki sırlar.

Bankalar ve fintech şirketleri: Finansal bilgiler, kredi ve ödeme verileri.

Sigorta şirketleri: Sağlık, kaza ve finansal bilgiler.

Bu sektörlerde şirketlerin yalnızca çalışan inisiyatifiyle yapay zekâ kullanımına izin vermesi önemli riskler yaratabilir.

---

Bir Çalışan Yanlışlıkla Kişisel Veri Yüklerse Ne Yapılmalı?

İlk yapılması gereken olayın kapsamının belirlenmesidir.

Şirket;

• hangi verinin yüklendiğini,
• kaç kişiyi ilgilendirdiğini,
• hangi AI hizmetine gönderildiğini,
• hesabın kurumsal mı kişisel mi olduğunu,
• verinin saklanıp saklanmadığını,
• silinme imkanının bulunup bulunmadığını,
• başka sistemlere aktarılıp aktarılmadığını

tespit etmelidir.

Olayın niteliğine göre bunun bir kişisel veri güvenliği ihlali oluşturup oluşturmadığı ayrıca değerlendirilmelidir.

Gerekli olması halinde KVKK kapsamındaki veri ihlali bildirim prosedürleri işletilmelidir.

---

KVKK Yapay Zekâ Konusunda Ne Diyor?

Kişisel Verileri Koruma Kurumu, yapay zekâ alanındaki kişisel veri risklerini uzun süredir gündeminde tutmaktadır.

Kurum ayrıca üretken yapay zekâ sistemlerinde kişisel verilerin korunmasına ilişkin özel bir rehber yayımlamıştır.

Bu yaklaşımın temelinde yapay zekâ teknolojilerinin yaşam döngüsü boyunca kişisel veri işleme faaliyetlerinin hukuka uygun, şeffaf, güvenli ve insan merkezli şekilde yürütülmesi bulunmaktadır.

Bu nedenle şirketlerin;

“Türkiye’de yapay zekâya ilişkin özel bir kanun yok, dolayısıyla AI kullanımında herhangi bir hukuki yükümlülüğümüz bulunmuyor.”

şeklindeki yaklaşımı doğru değildir.

Özel bir AI kanunundan bağımsız olarak mevcut KVKK, sözleşme hukuku, fikri mülkiyet hukuku ve ticari sır hükümleri yapay zekâ kullanımına uygulanmaya devam eder.

---

Şirketlerin Yapması Gerekenler

Kurumsal ölçekte üretken yapay zekâ kullanan şirketlerin en azından şu hukuki kontrolleri yapması faydalıdır:

• kullanılan AI araçlarının envanterini çıkarmak,
• sağlayıcı sözleşmelerini incelemek,
• kişisel veri akışını belirlemek,
• yurt dışına veri aktarımı olup olmadığını analiz etmek,
• gerekiyorsa uygun aktarım mekanizmasını oluşturmak,
• çalışan AI kullanım politikası hazırlamak,
• ticari sır ve müşteri verileri için yasaklı veri kategorileri belirlemek,
• çalışanlara eğitim vermek,
• mümkün olduğunda anonimleştirme uygulamak,
• veri ihlali prosedürü oluşturmak.

---

Sık Sorulan Sorular

ChatGPT’ye müşteri bilgisi yazmak KVKK ihlali midir?

Her olay otomatik olarak ihlal olarak nitelendirilemez. Verinin niteliği, işleme amacı, hukuki sebep, kullanılan hizmet ve veri aktarımının nasıl gerçekleştiği birlikte değerlendirilmelidir.

Şirket çalışanı kendi ChatGPT hesabını kullanıyorsa şirket sorumlu olmaz mı?

Kullanım şirket faaliyeti kapsamında gerçekleşiyorsa yalnızca hesabın çalışana ait olması şirket bakımından doğabilecek hukuki sorumlulukları kendiliğinden ortadan kaldırmaz.

Yapay zekâya anonim veri yüklenebilir mi?

Gerçek anlamda anonim hale getirilen ve bir kişiyle ilişkilendirilemeyen veriler KVKK bakımından kişisel veri niteliğinde değildir. Ancak yalnızca isim silinmesi her durumda anonimleştirme anlamına gelmez.

ChatGPT kullanmak yurt dışına veri aktarımı mıdır?

Somut hizmetin teknik ve sözleşmesel yapısına göre yurt dışına kişisel veri aktarımı gündeme gelebilir. Sağlayıcının kim olduğu, verinin nerede işlendiği ve tarafların veri koruma rollerinin ayrıca incelenmesi gerekir.

Şirketlerin yapay zekâ politikası hazırlaması zorunlu mudur?

Mevzuatta her şirket için “AI Policy” adı altında tek tip bir belge zorunluluğu bulunmamakla birlikte, veri güvenliği ve hukuka uygunluk yükümlülüklerinin yerine getirilebilmesi açısından kurumsal yapay zekâ kullanım kurallarının oluşturulması önemli bir idari tedbir olabilir.

---

Sonuç

Üretken yapay zekâ sistemlerinin şirketlerde kullanılması artık yalnızca teknolojik bir tercih değildir.

ChatGPT ve benzeri AI sistemlerine yüklenen her sözleşme, müşteri kaydı, CV veya şirket belgesi potansiyel olarak kişisel veri, ticari sır, fikri mülkiyet veya gizlilik sorunu doğurabilir.

Özellikle yabancı bulut hizmetleri kullanıldığında KVKK’nın yurt dışına veri aktarımına ilişkin hükümleri ayrıca değerlendirilmelidir.

Bu nedenle şirketlerin yapay zekâ kullanımını çalışanların bireysel tercihine bırakmak yerine kurumsal politikalar, veri sınıflandırması, sözleşmesel kontroller ve teknik tedbirlerle yönetmesi giderek daha önemli hale gelmektedir.

Şirketlerin üretken yapay zekâ kullanımı bakımından KVKK uyum analizi, yapay zekâ kullanım politikası hazırlanması, yurt dışına kişisel veri aktarımı, standart sözleşmeler, veri işleme sözleşmeleri, AI hizmet sözleşmeleri ve veri ihlali yönetimi konularında hukuki değerlendirme yapılması gerekebilir.