Yapay Zekâ Kullanım Politikasına Aykırılığın Sonuçları

Yapay zekâ araçlarının iş hayatında yaygınlaşmasıyla birlikte şirketlerin çalışanlar için özel yapay zekâ kullanım politikaları hazırlaması giderek daha önemli hâle gelmektedir. ChatGPT ve benzeri üretken yapay zekâ sistemlerinin kontrolsüz şekilde kullanılması; kişisel verilerin, ticari sırların, müşteri bilgilerinin, kaynak kodlarının ve şirket içi belgelerin üçüncü taraf sistemlere aktarılmasına neden olabilir.

Bu nedenle birçok şirket hangi yapay zekâ araçlarının kullanılabileceğini, hangi verilerin bu sistemlere girilemeyeceğini ve yapay zekâ çıktılarının nasıl kontrol edilmesi gerektiğini şirket içi politikalarla düzenlemektedir.

Ancak burada önemli bir hukuki soru ortaya çıkmaktadır:

Çalışanın yapay zekâ kullanım politikasına aykırı davranmasının sonuçları nelerdir?

Bir çalışanın şirket tarafından yasaklanan yapay zekâ aracını kullanması her durumda doğrudan işten çıkarılmasını gerektirmez. İhlalin hukuki sonucu; davranışın niteliğine, kullanılan veriye, çalışanın kusuruna, şirketin uğradığı zarar veya maruz kaldığı tehlikeye ve çalışana ilgili politikanın önceden bildirilip bildirilmediğine göre değişebilir.

Örneğin çalışanın kişisel veri içermeyen ve kamuya açık bir metni yanlışlıkla onaylanmamış bir yapay zekâ aracında kullanmasıyla, şirketin bütün müşteri veri tabanını kişisel ChatGPT hesabına yüklemesi aynı hukuki sonucu doğurmaz.

Bu nedenle yapay zekâ kullanım politikasına aykırılıkların uyarı, disiplin yaptırımı, geçerli nedenle fesih, haklı nedenle fesih, tazminat sorumluluğu ve bazı durumlarda ceza hukuku sonuçları bakımından ayrı ayrı değerlendirilmesi gerekir.

Yapay Zekâ Kullanım Politikası Nedir?

Yapay zekâ kullanım politikası, çalışanların iş süreçlerinde yapay zekâ sistemlerini hangi koşullarda kullanabileceğini belirleyen şirket içi kurallar bütünüdür.

Politikada genellikle;

• kullanılmasına izin verilen yapay zekâ araçları,
• yasaklı yapay zekâ uygulamaları,
• kişisel hesapların kullanımı,
• kişisel verilerin korunması,
• ticari sırların korunması,
• kaynak kodlarının yapay zekâ sistemlerinde kullanılması,
• müşteri belgelerinin yüklenmesi,
• yapay zekâ çıktılarının insan tarafından kontrol edilmesi,
• olay ve veri ihlali bildirimi,
• disiplin yaptırımları

düzenlenebilir.

Politikanın amacı yalnızca çalışanları sınırlandırmak değildir. Asıl amaç şirket içerisinde yapay zekâ kullanımını görünür, güvenli ve hukuka uygun hâle getirmektir.

Yapay Zekâ Politikasına Aykırılık Ne Demektir?

Politikaya aykırılık farklı şekillerde ortaya çıkabilir.

Örneğin çalışan;

şirket tarafından yasaklanan bir yapay zekâ aracını kullanabilir.

Kişisel ChatGPT hesabına şirket belgesi yükleyebilir.

Müşteri verilerini izinsiz şekilde yapay zekâ sistemine aktarabilir.

Kaynak kodunu onaylanmamış AI kodlama aracında kullanabilir.

Şirketin ticari sırlarını yapay zekâya yazabilir.

Yapay zekâ çıktısını doğrulamadan müşteriye gönderebilir.

Yasaklanan AI tarayıcı eklentisini şirket bilgisayarına yükleyebilir.

Yapay zekâ uygulamasına şirket e-postasına veya bulut sistemine izinsiz erişim verebilir.

Bütün bu davranışlar yapay zekâ politikasının kapsamına göre politika ihlali niteliğinde olabilir.

Her Yapay Zekâ Politikası İhlali İşten Çıkarma Sebebi midir?

Hayır.

Şirket politikasının ihlal edilmesi tek başına her durumda haklı nedenle fesih sonucunu doğurmaz.

İş hukukunda davranışın gerçek ağırlığı değerlendirilmelidir.

Örneğin şirket politikasında yalnızca kurumsal yapay zekâ aracının kullanılmasına izin verilmiş olabilir.

Çalışan bunun yerine bir defaya mahsus olmak üzere kişisel hesabından kamuya açık bir metni yeniden yazdırmış olabilir.

Bu durumda herhangi bir kişisel veri, ticari sır veya şirket içi gizli bilgi kullanılmamışsa doğrudan iş sözleşmesinin haklı nedenle feshedilmesi ölçülülük bakımından tartışmalı olabilir.

Buna karşılık çalışan şirketin açık yasağına rağmen yüz binlerce müşteriye ait kişisel veriyi üçüncü taraf yapay zekâ sistemine aktarmışsa çok daha ağır bir ihlal söz konusu olacaktır.

Dolayısıyla temel kriter ihlalin niteliği ve ağırlığıdır.

İhlalin Ağırlığı Nasıl Belirlenir?

Yapay zekâ politikasına aykırılığın hukuki sonucu belirlenirken özellikle şu hususlar dikkate alınabilir:

• Hangi yapay zekâ aracı kullanılmıştır?
• Kullanılan araç şirket tarafından açıkça yasaklanmış mıdır?
• Çalışan yasaktan haberdar mıdır?
• Sisteme hangi bilgi aktarılmıştır?
• Kişisel veri bulunmakta mıdır?
• Özel nitelikli kişisel veri bulunmakta mıdır?
• Ticari sır aktarılmış mıdır?
• Müşteri veya üçüncü kişilere ait gizli bilgi bulunmakta mıdır?
• Kaynak kod veya sistem erişim bilgisi aktarılmış mıdır?
• Şirket fiilen zarar görmüş müdür?
• Ciddi bir veri güvenliği tehlikesi doğmuş mudur?
• Çalışan daha önce uyarılmış mıdır?
• Davranış kasıtlı mı yoksa ihmali midir?

Bu unsurların birlikte değerlendirilmesi gerekir.

Uyarı Verilmesi

Düşük seviyeli politika ihlallerinde ilk uygulanabilecek yaptırımlardan biri uyarıdır.

Örneğin çalışan ilk kez;

kişisel veri veya ticari sır içermeyen bir içeriği onaylanmamış bir yapay zekâ sisteminde kullanmış olabilir.

Şirket açısından herhangi bir zarar veya ciddi güvenlik riski ortaya çıkmamış olabilir.

Bu durumda doğrudan fesih yerine çalışanın uyarılması ve yapay zekâ politikası konusunda yeniden bilgilendirilmesi daha ölçülü bir yaklaşım olabilir.

Ancak ihlalin ağır olması hâlinde önceden uyarı yapılması her durumda zorunlu değildir.

Disiplin Yaptırımları Uygulanabilir mi?

Şirket içerisinde geçerli bir disiplin yönetmeliği bulunuyorsa yapay zekâ politikasına aykırılıklar bu sistem içerisinde düzenlenebilir.

İhlalin ağırlığına göre;

uyarı, yazılı ihtar veya şirket içi diğer hukuka uygun disiplin tedbirleri

gündeme gelebilir.

Burada önemli olan uygulanacak yaptırımın önceden belirlenmiş kurallarla ve iş hukukunun temel ilkeleriyle uyumlu olmasıdır.

Her ihlalin aynı yaptırımla karşılanması doğru değildir.

Geçerli Nedenle Fesih Gündeme Gelebilir mi?

Çalışanın yapay zekâ politikasına aykırı davranışı haklı fesih ağırlığına ulaşmasa dahi iş ilişkisinin yürütülmesini olumsuz etkileyebilir.

Örneğin çalışan;

şirket tarafından yapılan uyarılara rağmen sürekli kişisel AI hesaplarını kullanıyor, bilgi güvenliği kurallarını tekrar tekrar ihlal ediyor veya yapay zekâ çıktılarındaki hatalar nedeniyle düzenli biçimde iş süreçlerinde sorun yaratıyor olabilir.

Bu durumda şartların bulunması hâlinde çalışanın davranışlarından kaynaklanan geçerli nedenle fesih tartışması gündeme gelebilir.

Özellikle iş güvencesi kapsamındaki çalışanlar bakımından fesih gerekçesinin somut olarak ortaya konulması ve gerekli usule uyulması önem taşır.

Haklı Nedenle Fesih Ne Zaman Gündeme Gelebilir?

Yapay zekâ kullanım politikasının ağır şekilde ihlal edilmesi bazı durumlarda işveren açısından haklı nedenle fesih tartışmasını gündeme getirebilir.

Örneğin çalışan;

şirket tarafından açıkça gizli kabul edilen ticari sırları kişisel yapay zekâ hesabına yüklemiş olabilir.

Müşteri veri tabanını üçüncü taraf sisteme aktarmış olabilir.

Şirketin kritik kaynak kodlarını onaylanmamış AI aracına göndermiş olabilir.

Müşteriye ait gizli belgeleri şirket talimatlarına aykırı biçimde harici sisteme yüklemiş olabilir.

Bu tür davranışlarda işçinin sadakat ve gizlilik yükümlülükleri ile işveren ve çalışan arasındaki güven ilişkisi değerlendirilmelidir.

İhlalin iş ilişkisinin sürdürülmesini işverenden beklenemez hâle getirecek ağırlıkta olması hâlinde haklı fesih gündeme gelebilir.

Ticari Sırların Yapay Zekâya Yüklenmesi

Yapay zekâ politikasının en ağır ihlallerinden biri ticari sır niteliğindeki bilgilerin yetkisiz AI sistemlerine aktarılması olabilir.

Örneğin;

• müşteri portföyü,
• maliyet tabloları,
• fiyatlandırma stratejileri,
• üretim teknikleri,
• kaynak kodları,
• algoritmalar,
• yatırım planları,
• ihale teklifleri,
• Ar-Ge projeleri

ticari sır niteliğinde olabilir.

Çalışanın şirketin açık kurallarına rağmen bu bilgileri yapay zekâ sistemine aktarması sadakat ve sır saklama yükümlülüğünün ağır ihlali olarak değerlendirilebilir.

Kaynak Kodunun Yetkisiz Yapay Zekâ Sistemine Aktarılması

Teknoloji şirketlerinde politika ihlalinin en önemli örneklerinden biri şirket kaynak kodunun yapay zekâ araçlarına yüklenmesidir.

Çalışan kod içerisindeki bir hatayı bulmak amacıyla hareket etmiş olsa bile kaynak kod içerisinde;

şirketin özel algoritmaları, sistem mimarisi, API bağlantıları, güvenlik yapısı veya müşteriye ait özel yazılım bileşenleri

bulunabilir.

Bu tür bilgilerin yetkisiz sisteme aktarılması ticari sır, fikrî mülkiyet ve siber güvenlik risklerini aynı anda doğurabilir.

Bu nedenle kaynak kod ihlalleri özellikle ağır politika ihlalleri arasında değerlendirilebilir.

API Anahtarı veya Şifre Paylaşılması

Çalışanın yapay zekâ sistemine yanlışlıkla;

API anahtarı, erişim tokenı, parola veya veri tabanı bağlantı bilgisi

girmesi şirket açısından ciddi siber güvenlik riski yaratabilir.

Bu durumda yalnızca disiplin süreci değil, teknik olay müdahalesi de başlatılmalıdır.

İlgili erişim anahtarları değiştirilerek şirket sistemleri kontrol edilmelidir.

Çalışanın davranışına ilişkin iş hukuku değerlendirmesi ise olayın nasıl gerçekleştiği ve çalışanın kusuru dikkate alınarak ayrıca yapılmalıdır.

KVKK İhlali Ortaya Çıkabilir mi?

Yapay zekâ kullanım politikasına aykırılığın önemli sonuçlarından biri kişisel veri ihlalidir.

Çalışan;

müşteri listesini, çalışan bilgilerini, CV’leri, telefon numaralarını veya diğer kişisel verileri

onaylanmamış yapay zekâ sistemine aktarabilir.

Bu durumda 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında değerlendirme yapılması gerekebilir.

Şirket veri sorumlusu konumundaysa kişisel verilerin güvenliğini sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlüdür.

Bu nedenle çalışanın politika ihlali şirket açısından da veri güvenliği sorumluluğu doğurabilir.

Özel Nitelikli Kişisel Verilerin Aktarılması

İhlalin konusu;

sağlık verileri veya diğer özel nitelikli kişisel veriler

ise risk daha yüksek olacaktır.

Örneğin insan kaynakları çalışanı sağlık raporlarını yapay zekâ aracına yükleyerek çalışan devamsızlık analizi yaptırmış olabilir.

Bu durumda olay yalnızca şirket içi politika ihlali değildir.

Aynı zamanda özel nitelikli kişisel verilerin işlenmesine ilişkin yükümlülüklerin ihlali tartışması ortaya çıkabilir.

Şirket KVKK Bakımından Sorumlu Olabilir mi?

Çalışanın işlemi şirket yönetiminin bilgisi dışında gerçekleştirmiş olsa dahi şirketin hiçbir sorumluluğunun bulunmadığı sonucuna otomatik olarak ulaşılamaz.

Örneğin değerlendirmede;

şirketin AI politikası bulunup bulunmadığı, çalışanların eğitilip eğitilmediği, kişisel veri erişimlerinin sınırlandırılıp sınırlandırılmadığı ve gerekli güvenlik önlemlerinin alınıp alınmadığı

önem taşıyabilir.

Bu nedenle şirketin politikayı yalnızca hazırlaması değil, fiilen uygulaması gerekir.

Veri İhlali Bildirimi Gündeme Gelebilir mi?

Çalışanın politika ihlali sonucunda kişisel verilerin yetkisiz kişiler tarafından elde edilmesine neden olan bir veri güvenliği olayı meydana gelmişse KVKK kapsamındaki veri ihlali bildirim yükümlülükleri ayrıca değerlendirilmelidir.

Bu nedenle Shadow AI vakalarında şirketin yalnızca;

“Çalışana hangi yaptırımı uygulayacağız?”

sorusuna odaklanması yeterli değildir.

Aynı anda;

“Bir kişisel veri ihlali meydana geldi mi?”

sorusu da araştırılmalıdır.

Sözleşmesel Gizlilik İhlali Ortaya Çıkabilir

Çalışanın AI politikası ihlali bazen şirketin müşterilerine veya iş ortaklarına karşı sorumluluğuna neden olabilir.

Örneğin şirket müşteriyle imzaladığı gizlilik sözleşmesinde;

müşteriden alınan teknik ve ticari bilgilerin üçüncü taraflarla paylaşılmayacağını

taahhüt etmiş olabilir.

Çalışan söz konusu belgeyi üçüncü taraf yapay zekâ sistemine yüklediğinde gizlilik sözleşmesinin ihlal edildiği ileri sürülebilir.

Bu durumda şirket;

tazminat veya sözleşmede kararlaştırılmışsa cezai şart

riskiyle karşı karşıya kalabilir.

Cezai Şart Talep Edilebilir mi?

Şirketin müşterisiyle yaptığı sözleşmede gizlilik ihlali hâlinde cezai şart öngörülmüş olabilir.

Örneğin gizli bilgilerin yetkisiz üçüncü kişilere açıklanması hâlinde belirli tutarda cezai şart kararlaştırılmışsa AI hizmet sağlayıcısına yapılan veri aktarımının bu hüküm kapsamına girip girmediği somut sözleşmeye göre değerlendirilmelidir.

Dolayısıyla bir çalışanın politika ihlali şirket açısından doğrudan mali sonuçlar ortaya çıkarabilir.

İşveren Zararını Çalışandan Talep Edebilir mi?

Çalışanın kusurlu davranışı nedeniyle işverenin zarara uğraması hâlinde somut olayın özelliklerine göre çalışanın tazminat sorumluluğu gündeme gelebilir.

Ancak şirketin uğradığı bütün zararın otomatik olarak çalışana yüklenmesi mümkün değildir.

Değerlendirmede;

• çalışanın kusuru,
• işin niteliği,
• çalışanın eğitim ve deneyimi,
• şirket tarafından verilen talimatlar,
• işverenin aldığı önlemler ve
• meydana gelen zararla davranış arasındaki illiyet bağı

önemlidir.

Örneğin şirket çalışanlara hiçbir eğitim vermemiş ve kişisel AI kullanımının yaygın olduğunu bilmesine rağmen herhangi bir önlem almamışsa, şirketin kendi organizasyon eksikliği de değerlendirme konusu olabilir.

İşveren Çalışana Rücu Edebilir mi?

Şirket, çalışanın kusurlu davranışı sonucunda üçüncü kişiye tazminat ödemek zorunda kalmış olabilir.

Bu durumda koşulların bulunması hâlinde çalışana rücu gündeme gelebilir.

Ancak çalışanın sorumluluğunun kapsamı otomatik olarak şirketin ödediği miktara eşit olmayabilir.

Çalışanın kusur derecesi ve işverenin kendi kusuru ayrıca değerlendirilmelidir.

Ceza Hukuku Sonucu Doğabilir mi?

Her yapay zekâ politikası ihlali suç değildir.

Ancak politika ihlalinin konusu ticari sırların veya müşteri sırlarının kasıtlı biçimde açıklanması gibi daha ağır davranışlarsa Türk Ceza Kanunu kapsamında ayrıca değerlendirme gerekebilir.

Benzer şekilde kişisel verilere ilişkin bazı hukuka aykırı davranışlar da ceza hukuku bakımından sonuç doğurabilir.

Dolayısıyla ağır vakalarda şirket içi disiplin süreci ile ceza hukuku süreçleri birbirinden bağımsız olarak gündeme gelebilir.

Fikrî Mülkiyet İhlali Ortaya Çıkabilir mi?

Çalışanın yapay zekâ kullanım politikasına aykırı şekilde üçüncü kişilere ait eser, kod veya diğer içerikleri yapay zekâ sistemlerinde kullanması şirket açısından fikrî mülkiyet riski yaratabilir.

Tersine, şirketin kendi kaynak kodunun veya tasarımının yetkisiz AI sistemine aktarılması da şirketin fikrî varlıklarının korunmasını tehlikeye düşürebilir.

Bu nedenle yapay zekâ politikasında fikrî mülkiyet kuralları da açık şekilde düzenlenmelidir.

Yapay Zekâ Çıktısının Kontrol Edilmemesi de Politika İhlali Olabilir

Politika ihlali yalnızca sisteme veri yüklenmesiyle sınırlı değildir.

Şirket yapay zekâ çıktılarının mutlaka insan tarafından doğrulanmasını şart koşmuş olabilir.

Çalışan buna rağmen yapay zekânın hazırladığı;

yanlış hukuki görüşü, hatalı mali hesabı, yanlış teknik açıklamayı veya gerçekte bulunmayan bilgiyi

kontrol etmeden müşteriye göndermiş olabilir.

Bu durumda çalışanın özen yükümlülüğü ve şirket politikalarına aykırılığı ayrıca değerlendirilir.

Müşteri Yapay Zekâ Hatası Nedeniyle Zarar Görürse Ne Olur?

Bir şirket çalışanı yapay zekâ çıktısını kontrol etmeden müşteriye aktarır ve müşteri zarar görürse;

“İçeriği yapay zekâ hazırladı.”

savunması şirketi otomatik olarak sorumluluktan kurtarmaz.

Şirketin müşteriye karşı sözleşmesel yükümlülükleri devam edebilir.

Daha sonra çalışanın iç ilişkideki sorumluluğu ayrıca değerlendirilebilir.

Tekrarlanan Politika İhlalleri Daha Ağır Sonuç Doğurabilir

Çalışanın ilk ihlaliyle uyarılmasına rağmen aynı davranışı tekrar etmesi, işveren açısından farklı değerlendirme yapılmasına neden olabilir.

Örneğin çalışan;

kişisel ChatGPT hesabının iş amacıyla kullanılmaması konusunda açıkça uyarılmış,

ancak daha sonra tekrar şirket belgelerini kişisel hesabına yüklemiş olabilir.

Davranışın tekrarlanması, işveren talimatlarına uymama ve güven ilişkisinin bozulması bakımından ihlalin ağırlığını artırabilir.

Çalışanın Kötü Niyetli Olması Şart mıdır?

Hayır.

İş hukuku açısından her sorumluluk için çalışanın şirketi zarara uğratma kastıyla hareket etmesi gerekmez.

İhmal de hukuki sonuç doğurabilir.

Örneğin çalışan ticari sırları bilerek ifşa etmemiş ancak gerekli özeni göstermeden sözleşmenin tamamını kişisel AI hesabına yüklemiş olabilir.

Bu durumda çalışanın amacı işini kolaylaştırmak olsa bile özen ve sadakat yükümlülüğü bakımından değerlendirme yapılabilir.

Yapay Zekâ Politikasının Çalışana Tebliğ Edilmiş Olması Önemli midir?

Evet.

İşverenin politika ihlaline dayanarak disiplin yaptırımı uygulayabilmesi bakımından çalışanın ilgili kurallardan haberdar edilmesi önemlidir.

Politika;

• çalışana yazılı olarak tebliğ edilebilir,
• elektronik ortamda bildirilebilir,
• iş sözleşmesinde atıf yapılabilir,
• eğitimlerle desteklenebilir.

Şirketin hiç bildirmediği teknik bir kurala aykırılığı sonradan ağır disiplin yaptırımına dayanak yapması tartışma yaratabilir.

Bununla birlikte ticari sırların korunması gibi genel sadakat yükümlülükleri yalnızca özel politikanın varlığına bağlı değildir.

İş Sözleşmesinde AI Maddesi Bulunması Gerekir mi?

Yapay zekâ politikasının temel kurallarına iş sözleşmesinde de yer verilebilir.

Örneğin iş sözleşmesinde çalışanın;

yalnızca onaylı yapay zekâ sistemlerini kullanacağı, kişisel veri ve ticari sırları harici sistemlere aktarmayacağı ve şirket AI politikalarına uyacağı

düzenlenebilir.

Ancak sürekli değişen teknik ayrıntıların tamamının iş sözleşmesine yazılması yerine ayrı bir güncel AI politikasında düzenlenmesi daha kullanışlı olabilir.

“Her İhlal Haklı Fesih Sebebidir” Denilebilir mi?

Şirket politikasında;

“Politikaya aykırı davranış haklı fesih sebebidir.”

şeklinde hüküm bulunması, her somut olayda doğrudan haklı fesih yapılabileceği anlamına gelmez.

Fesih bakımından ihlalin gerçek ağırlığı yine değerlendirilmelidir.

Kamuya açık bir metnin yanlış araçta kullanılmasıyla kritik ticari sırların bilinçli şekilde dış sisteme aktarılması arasında önemli fark vardır.

Bu nedenle politika hazırlanırken ihlallerin mümkün olduğunca risk seviyelerine göre sınıflandırılması daha sağlıklıdır.

Yapay Zekâ Politikasında Kademeli Yaptırım Sistemi Oluşturulabilir

Şirketler örneğin ihlalleri;

Düşük Riskli İhlaller

Kişisel veri veya gizli bilgi içermeyen basit politika ihlalleri.

Orta Riskli İhlaller

Şirket içi ancak kritik olmayan bilgilerin yetkisiz AI sisteminde kullanılması.

Yüksek Riskli İhlaller

Müşteri bilgisi, sözleşme veya önemli şirket verisinin yetkisiz sistemlere aktarılması.

Kritik İhlaller

Ticari sırların, özel nitelikli kişisel verilerin, kritik kaynak kodunun veya büyük müşteri veri tabanının aktarılması.

şeklinde sınıflandırabilir.

Bu sistem uygulanacak disiplin yaptırımlarının daha öngörülebilir ve ölçülü olmasına yardımcı olabilir.

Yanlışlıkla Yapılan İhlallerde Ne Yapılmalıdır?

Şirket politikası çalışanların yanlışlıkla yaptığı veri aktarımlarını hızlı şekilde bildirmesini teşvik etmelidir.

Çalışan;

“Bildirirsem işten çıkarılırım.”

endişesiyle olayı gizlerse zarar daha da büyüyebilir.

Bu nedenle şirketin;

“Yanlışlıkla veri yüklediysen derhâl bildir.”

şeklinde açık bir olay bildirim sistemi oluşturması önemlidir.

İhlalin hızlı bildirilmesi, çalışanın kusurunun değerlendirilmesinde de dikkate alınabilir.

Yapay Zekâ Politikasına Aykırılık Tespit Edildiğinde İşveren Ne Yapmalıdır?

İşverenin doğrudan fesih kararı vermeden önce olayın kapsamını belirlemesi gerekir.

Öncelikle;

1. Kullanılan yapay zekâ sistemi tespit edilmelidir.
2. Aktarılan veri belirlenmelidir.
3. Kişisel veri bulunup bulunmadığı araştırılmalıdır.
4. Ticari sır veya müşteri sırrı bulunup bulunmadığı belirlenmelidir.
5. Veri silme imkânları değerlendirilmelidir.
6. Gerekirse erişim anahtarları değiştirilmelidir.
7. Çalışanın savunması alınmalıdır.
8. KVKK ve sözleşmesel bildirim yükümlülükleri değerlendirilmelidir.
9. Uygulanacak disiplin yaptırımı ihlalin ağırlığına göre belirlenmelidir.

Bu süreç hem şirketin hukuki risklerini azaltır hem de sonradan çıkabilecek iş uyuşmazlıklarında daha sağlam bir dosya oluşturulmasına yardımcı olur.

Çalışanın Savunması Alınmalı mıdır?

Özellikle davranış nedeniyle geçerli fesih veya disiplin yaptırımı düşünülen olaylarda çalışanın savunmasının alınması önemlidir.

Teknik kayıtlar her zaman olayın tamamını göstermeyebilir.

Çalışan yapay zekâ sitesine girmiş olabilir ancak herhangi bir gizli veri yüklememiş olabilir.

Bu nedenle yalnızca erişim loguna bakılarak en ağır yaptırımın uygulanması riskli olabilir.

İhlalin İspatı Nasıl Yapılır?

Yapay zekâ politika ihlallerinde dijital deliller önemli hâle gelmektedir.

Olayın özelliklerine göre;

• kurumsal AI hesap kayıtları,
• internet erişim logları,
• DLP kayıtları,
• dosya aktarım kayıtları,
• şirket e-postaları,
• çalışanın savunması,
• bilgi güvenliği raporları,
• bilirkişi incelemeleri

kullanılabilir.

Ancak işveren çalışanların kişisel hesaplarına hukuka aykırı biçimde erişmemelidir.

Delillerin hukuka uygun şekilde elde edilmesi önemlidir.

İşverenin Denetimi de Sınırsız Değildir

Şirketin yapay zekâ politikasına uyumu kontrol etme hakkı bulunabilir.

Ancak bu amaçla çalışanların bütün özel yazışmalarını, kişisel hesaplarını veya ekranlarını sürekli ve sınırsız biçimde takip etmek başka hukuki sorunlar yaratabilir.

Denetim;

meşru, gerekli, şeffaf ve ölçülü

olmalıdır.

Shadow AI riskinden korunmaya çalışılırken çalışanların kişisel verilerinin ve özel hayatının ihlal edilmemesi gerekir.

Politika İhlalinden Sonra Yalnızca Çalışanı Cezalandırmak Yeterli midir?

Hayır.

Bir çalışanın yapay zekâ politikasını ihlal etmesi aynı zamanda şirketin mevcut sisteminin neden başarısız olduğunu da göstermiş olabilir.

Şirket şu soruları sormalıdır:

Çalışan neden kişisel AI hesabını kullandı?

Kurumsal alternatif sağlanmış mıydı?

Politika yeterince açık mıydı?

Çalışan eğitim almış mıydı?

Teknik engelleme yapılabilir miydi?

Veriye gereğinden fazla erişim yetkisi mi verilmişti?

Bu inceleme gelecekte aynı olayın tekrarını önlemek açısından önemlidir.

Yapay Zekâ Politikasının Düzenli Güncellenmesi Gerekir

Yapay zekâ teknolojileri son derece hızlı değişmektedir.

Bugün yalnızca metin oluşturan bir uygulama kısa süre sonra şirketin;

e-posta, bulut depolama veya CRM sistemine

bağlanabilir hâle gelebilir.

Bu nedenle AI politikasının bir kez hazırlanarak uzun yıllar değiştirilmemesi doğru değildir.

Politika düzenli aralıklarla hukuki ve teknik açıdan gözden geçirilmelidir.

Sonuç

Yapay zekâ kullanım politikasına aykırılığın sonuçları, ihlalin niteliğine ve ağırlığına göre önemli ölçüde değişebilir.

Her politika ihlali otomatik olarak iş sözleşmesinin haklı nedenle feshedilmesi sonucunu doğurmaz.

Düşük seviyeli ihlallerde uyarı veya daha hafif disiplin yaptırımları, tekrarlanan veya iş ilişkisini olumsuz etkileyen davranışlarda geçerli nedenle fesih, güven ilişkisini ciddi biçimde ortadan kaldıran ağır ihlallerde ise şartların bulunması hâlinde haklı nedenle fesih gündeme gelebilir.

Bunun yanında politika ihlali;

KVKK ihlaline, ticari sırların açığa çıkmasına, sözleşmesel gizlilik yükümlülüğünün ihlaline, cezai şart ve tazminat sorumluluğuna, siber güvenlik olaylarına ve bazı hâllerde ceza hukuku bakımından sonuçlara

neden olabilir.

Özellikle müşteri veri tabanlarının, özel nitelikli kişisel verilerin, kritik kaynak kodlarının veya şirketin ticari sırlarının yetkisiz yapay zekâ sistemlerine aktarılması yüksek riskli ihlaller olarak değerlendirilmelidir.

Şirketlerin ise yalnızca;

“Politikaya uymayan çalışanı cezalandırırız.”

yaklaşımıyla hareket etmesi yeterli değildir.

İşverenin açık ve uygulanabilir bir yapay zekâ politikası hazırlaması, politikayı çalışanlara bildirmesi, eğitim vermesi, güvenli kurumsal araçlar sağlaması ve gerekli teknik güvenlik önlemlerini alması gerekir.

Yapay zekâ politikasına aykırılık söz konusu olduğunda temel hukuki soru;

“Çalışan kurala aykırı davrandı mı?”

ile sınırlı değildir.

Asıl değerlendirilmesi gereken husus şudur:

“İhlalin niteliği ve ağırlığı nedir, şirket açısından hangi hukuki veya teknik risk ortaya çıkmıştır ve bu davranış karşısında uygulanabilecek ölçülü hukuki sonuç nedir?”

Yapay zekâ kullanım politikalarının bu anlayışla hazırlanması, hem şirketlerin veri ve ticari sırlarını korumasına hem de ileride ortaya çıkabilecek iş hukuku uyuşmazlıklarının azaltılmasına katkı sağlayacaktır.