Şirket Yönetim Kurulunun Shadow AI Sorumluluğu

Yapay zekâ araçlarının şirket çalışanları tarafından günlük iş süreçlerinde kullanılması, yönetim kurullarının karşı karşıya kaldığı yeni kurumsal risk alanlarından birini ortaya çıkarmıştır. Çalışanların şirketin bilgisi veya onayı dışında ChatGPT ve benzeri üretken yapay zekâ sistemlerini kullanması, şirket sözleşmelerini bu sistemlere yüklemesi, müşteri verilerini analiz ettirmesi veya kaynak kodlarını üçüncü taraf yapay zekâ araçlarına aktarması genel olarak Shadow AI kavramı içerisinde değerlendirilmektedir.

Shadow AI ilk bakışta çalışanların bireysel teknoloji kullanımıyla ilgili bir sorun gibi görülebilir. Ancak kullanım yaygınlaştıkça mesele, şirket yönetiminin riskleri nasıl yönettiği ve gerekli kurumsal kontrol sistemlerini oluşturup oluşturmadığı sorusuna dönüşmektedir.

Bu noktada önemli bir hukuki soru ortaya çıkmaktadır:

Şirket çalışanlarının kontrolsüz yapay zekâ kullanımından yönetim kurulu sorumlu olabilir mi?

Türk hukukunda yalnızca bir çalışanın izinsiz yapay zekâ kullanmış olması nedeniyle yönetim kurulu üyelerinin otomatik olarak şahsen sorumlu tutulacağından söz edilemez. Bununla birlikte Shadow AI riskinin şirket açısından öngörülebilir ve önemli bir risk hâline gelmesine rağmen yönetim kurulunun hiçbir politika, gözetim veya risk yönetimi mekanizması oluşturmaması; somut olayın özelliklerine göre Türk Ticaret Kanunu’ndaki yönetim, özen, gözetim ve sorumluluk hükümleri bakımından değerlendirme konusu olabilir.

Bu nedenle Shadow AI, artık yalnızca bilgi teknolojileri departmanının problemi değil, aynı zamanda kurumsal yönetim ve yönetim kurulu sorumluluğu meselesidir.

Shadow AI Nedir?

Shadow AI, şirket çalışanlarının veya yöneticilerinin şirket tarafından onaylanmamış yapay zekâ sistemlerini iş amacıyla kullanmasını ya da izin verilen yapay zekâ sistemlerini şirket tarafından belirlenen sınırların dışında kullanmasını ifade eder.

Örneğin;

• çalışanların kişisel ChatGPT hesaplarına şirket sözleşmelerini yüklemesi,
• satış ekibinin müşteri listesini ücretsiz bir AI aracında analiz etmesi,
• insan kaynaklarının çalışan veya aday verilerini yapay zekâ sistemine aktarması,
• yazılımcıların şirket kaynak kodlarını üçüncü taraf AI sistemlerinde inceletmesi,
• şirket yöneticilerinin finansal raporları veya stratejik planları kişisel AI hesaplarında kullanması

Shadow AI kapsamında değerlendirilebilecek uygulamalardır.

Kişisel Verileri Koruma Kurumu da 2026 yılında yayımladığı “İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı” dokümanında üretken yapay zekâ kullanımının her zaman açık bir kurumsal politika veya yönlendirme içerisinde gerçekleşmediğini ve çalışanların bireysel kullanımlarının kurumsal düzeyde izlenmesini ve yönetilmesini zorlaştırabildiğini açıkça belirtmektedir.

Bu durum Shadow AI’nin artık teorik değil, şirket yönetimlerinin dikkate alması gereken somut bir kurumsal risk olduğunu göstermektedir.

Yönetim Kurulunun Shadow AI’dan Otomatik Olarak Sorumlu Olduğu Söylenebilir mi?

Hayır.

Şirket çalışanının şirket politikalarına aykırı şekilde kişisel bir yapay zekâ hesabı kullanması, tek başına bütün yönetim kurulu üyelerinin şahsen sorumlu olduğu anlamına gelmez.

Yönetim kurulu üyelerinin hukuki sorumluluğu bakımından;

• hangi yükümlülüğün ihlal edildiği,
• yönetim kurulu üyesinin kusuru,
• şirketin uğradığı zarar,
• ihlal ile zarar arasındaki illiyet bağı,
• yönetim yetkisinin devredilip devredilmediği,
• olayın yönetim kurulu üyesinin kontrol alanında bulunup bulunmadığı

gibi unsurların somut olay özelinde değerlendirilmesi gerekir.

Dolayısıyla Shadow AI konusunda temel yaklaşım;

“Çalışan AI kullandı, yönetim kurulu sorumludur.”

şeklinde değildir.

Daha doğru soru şudur:

“Yönetim kurulu, şirket açısından öngörülebilir hâle gelen yapay zekâ risklerini yönetmek için kendisinden beklenen organizasyon, talimat, gözetim ve risk yönetimi tedbirlerini aldı mı?”

TTK m.369 ve Yönetim Kurulunun Özen Yükümlülüğü

6102 sayılı Türk Ticaret Kanunu’nun 369. maddesine göre yönetim kurulu üyeleri ve yönetimle görevli üçüncü kişiler görevlerini tedbirli bir yöneticinin özeniyle yerine getirmek ve şirketin menfaatlerini dürüstlük kurallarına uygun biçimde gözetmekle yükümlüdür.

Bu hüküm Shadow AI bakımından doğrudan “yapay zekâ politikası hazırlama zorunluluğu” getirmemektedir.

Ancak şirket faaliyetlerinde üretken yapay zekâ kullanımının yaygınlaşması ve bunun;

• kişisel veri,
• ticari sır,
• siber güvenlik,
• müşteri sözleşmeleri,
• fikrî mülkiyet,
• kaynak kodları

bakımından önemli riskler ortaya çıkarması hâlinde, tedbirli yönetici ölçüsünün bu risklerin tamamen göz ardı edilmemesini gerektirdiği ileri sürülebilir.

Özellikle teknoloji, finans, sağlık, sigorta, danışmanlık ve yoğun kişisel veri işleyen şirketlerde Shadow AI riskinin kurumsal risk yönetimi içerisinde değerlendirilmesi giderek daha önemli hâle gelmektedir.

Yönetim Kurulunun Üst Düzey Yönetim Görevi

TTK m.375 uyarınca şirketin üst düzeyde yönetimi ve buna ilişkin talimatların verilmesi, yönetim kurulunun devredilemez ve vazgeçilemez görevleri arasındadır.

Aynı maddede şirket yönetim teşkilatının belirlenmesi de yönetim kurulunun devredilemez görevleri arasında sayılmaktadır.

Bu hükümler yapay zekâ yönetişimi bakımından önemlidir.

Şirket içerisinde yapay zekâ kullanımı;

müşteri verilerine, şirket sırlarına, kaynak kodlarına ve kritik sistemlere erişecek seviyeye ulaşmışsa konunun yalnızca çalışanların bireysel tercihlerine bırakılması kurumsal yönetim açısından riskli olabilir.

Yönetim kurulunun;

hangi birimin AI risklerinden sorumlu olduğunu, hangi yetki zincirinin uygulanacağını ve hangi kritik kullanımların yönetim onayına tabi olduğunu

belirlemesi uygun bir kurumsal yönetim tedbiri olabilir.

Yönetim Kurulunun Üst Gözetim Görevi ve Shadow AI

TTK m.375/1-e son derece önemlidir.

Hükme göre yönetim kurulunun devredilemez görevlerinden biri, yönetimle görevli kişilerin özellikle;

kanunlara, esas sözleşmeye, iç yönergelere ve yönetim kurulunun yazılı talimatlarına uygun hareket edip etmediklerinin üst gözetimidir.

Bu nedenle yönetim kurulunun;

“Yapay zekâ kullanımını bilgi teknolojileri departmanına devrettik, artık hiçbir sorumluluğumuz yok.”

şeklinde genel bir yaklaşım benimsemesi her durumda doğru olmayabilir.

Operasyonel görevler devredilebilir.

Ancak yönetim kurulunun devredilemez üst gözetim görevinin devam ettiği unutulmamalıdır.

Bu gözetim, her çalışanın bilgisayarının yönetim kurulu tarafından doğrudan kontrol edilmesi anlamına gelmez.

Asıl mesele uygun bir sistemin kurulup kurulmadığının ve şirket içerisinde görevlendirilen kişilerin bu sistemi işletip işletmediğinin üst düzeyde takip edilmesidir.

Yönetim Kurulu Her Çalışanın ChatGPT Kullanımını Takip Etmek Zorunda mı?

Hayır.

Yönetim kurulundan her çalışanın günlük bilgisayar faaliyetlerini takip etmesi beklenemez.

Bu hem pratik değildir hem de çalışanların kişisel verileri ve özel hayatı bakımından ayrıca sorun oluşturabilir.

Yönetim kurulunun görevi mikro düzeyde gözetim yapmak değil, uygun kurumsal kontrol mekanizmasının kurulmasını sağlamak ve üst düzey gözetimi gerçekleştirmektir.

Örneğin yönetim kurulu;

• AI kullanım politikası oluşturulmasını,
• kritik veri kategorilerinin belirlenmesini,
• onaylı AI araçlarının seçilmesini,
• çalışanların eğitilmesini,
• ihlal bildirim mekanizmasının kurulmasını,
• kritik olayların yönetime raporlanmasını

sağlayabilir.

Shadow AI Politikasının Hiç Bulunmaması Yönetim Kurulu Sorumluluğu Doğurur mu?

Tek başına her durumda doğurmaz.

Türk hukukunda bütün şirketlerin mutlaka “Shadow AI Politikası” başlıklı ayrı bir belge hazırlaması gerektiğine ilişkin genel bir kanuni zorunluluk bulunmamaktadır.

Dolayısıyla yalnızca böyle bir belgenin bulunmamasından hareketle yönetim kurulu üyelerinin otomatik olarak sorumlu tutulması doğru değildir.

Ancak şirket içerisinde yapay zekâ kullanımının yaygın olduğu, çalışanların sürekli kişisel veri veya ticari sır niteliğindeki bilgilerle çalıştığı ve bu riskin yönetim tarafından bilindiği bir ortamda hiçbir tedbir alınmamış olması farklı değerlendirilebilir.

Özellikle daha önce AI kaynaklı güvenlik olayı yaşanmış olmasına rağmen yönetim kurulunun herhangi bir önlem almaması daha ciddi bir gözetim eksikliği iddiasına neden olabilir.

Yönetim Kurulunun Riskleri Önceden Görmesi Beklenir mi?

TTK m.369’daki tedbirli yönetici ölçüsü, şirket yönetiminin makul şekilde öngörülebilen riskleri dikkate almasını gerektirir.

Bu durum yönetim kurulunun gelecekte gerçekleşebilecek her olayı önceden bilmesi gerektiği anlamına gelmez.

Ancak sektör genelinde bilinen, şirket içinde fiilen yaşanan veya yönetim kuruluna raporlanan önemli bir riskin tamamen göz ardı edilmesi farklı değerlendirilir.

Örneğin bilgi güvenliği ekibi yönetim kuruluna;

“Çalışanlarımızın önemli bir kısmı kişisel yapay zekâ hesaplarına müşteri belgeleri yüklüyor.”

şeklinde rapor vermiş olmasına rağmen yönetim kurulunun hiçbir işlem yapmaması somut olayda özen ve gözetim yükümlülüğü açısından önem kazanabilir.

TTK m.378 ve Shadow AI Risk Yönetimi

TTK m.378, pay senetleri borsada işlem gören şirketlerde şirketin varlığını, gelişmesini ve devamını tehlikeye düşürebilecek risklerin erken teşhisi ve yönetilmesi amacıyla uzman bir komite kurulmasını öngörmektedir. Diğer anonim şirketlerde ise denetçinin gerekli görüp yönetim kuruluna yazılı olarak bildirmesi hâlinde bu sistem devreye girmektedir.

Her Shadow AI olayı TTK m.378 kapsamında şirketin varlığını tehdit eden bir risk olarak kabul edilemez.

Ancak örneğin;

kritik teknoloji şirketinin kaynak kodunun sızması, milyonlarca müşterinin kişisel verisinin kontrol dışına çıkması veya şirketin faaliyetini ciddi biçimde etkileyebilecek siber güvenlik açığının ortaya çıkması

gibi durumlarda yapay zekâ riskleri şirketin genel risk yönetimi sisteminin parçası hâline gelebilir.

Bu nedenle özellikle büyük şirketlerde Shadow AI’nin kurumsal risk haritasına dahil edilmesi faydalı olacaktır.

Yönetim Kurulunun KVKK Açısından Rolü

Shadow AI’nin yönetim kurulu bakımından en önemli hukuki boyutlarından biri kişisel verilerin korunmasıdır.

KVKK m.12 kapsamında veri sorumlusu;

kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almakla yükümlüdür.

Şirket veri sorumlusuysa yükümlülüğün doğrudan muhatabı kural olarak şirket tüzel kişiliğidir.

Ancak şirketin bu yükümlülükleri yerine getirebilmesi için gerekli organizasyonun kurulması yönetim düzeyinde önem taşır.

Özellikle çalışanların müşteri verilerini kontrolsüz AI sistemlerine aktardığı biliniyorsa;

• AI politikası,
• erişim kontrolleri,
• çalışan eğitimi,
• veri sınıflandırması,
• olay müdahale prosedürleri

gibi tedbirlerin hiç bulunmaması şirket açısından KVKK yaptırım riskini artırabilir.

Çalışanın Kendi Hesabından Veri Yüklemesi Şirketi Kurtarır mı?

Her zaman değil.

KVKK uygulamasında çalışanın kendi yetkisini kötüye kullanması veya hatalı işlem yapması hâlinde dahi veri sorumlusunun gerekli teknik ve idari tedbirleri alıp almadığı ayrıca incelenebilmektedir.

Nitekim Kişisel Verileri Koruma Kurulunun yayımladığı karar özetlerinde, çalışan tarafından müşteri verilerinin yetki verilen sistemler üzerinden kişisel amaçlarla sorgulandığı bir olayda veri sorumlusunun gerekli teknik ve idari tedbirleri alıp almadığının ayrıca yaptırım konusu edildiği görülmektedir.

Bu yaklaşım Shadow AI bakımından da önemlidir.

Çalışanın kişisel hesabı kullanması, şirketin kendi veri güvenliği organizasyonunun yeterliliğinin incelenmesini engellemez.

Yönetim Kurulu KVKK İhlalinden Şahsen Sorumlu Olur mu?

Burada önemli bir ayrım yapılmalıdır.

KVKK kapsamındaki veri sorumlusu çoğu şirket bakımından şirket tüzel kişiliğidir.

Dolayısıyla her KVKK ihlalinde yönetim kurulu üyelerinin şahsen ve otomatik olarak sorumlu olduğu söylenemez.

Bununla birlikte veri ihlali sonucunda şirket önemli bir zarar görmüşse ve bu zararın yönetim kurulunun TTK’dan kaynaklanan yükümlülüklerini kusurlu şekilde ihlal etmesinden kaynaklandığı iddia ediliyorsa TTK m.553 çerçevesinde ayrı bir yönetici sorumluluğu tartışması doğabilir.

TTK m.553 ve Yönetim Kurulu Üyelerinin Sorumluluğu

TTK m.553’e göre yönetim kurulu üyeleri ve yöneticiler, kanundan veya esas sözleşmeden doğan yükümlülüklerini kusurlarıyla ihlal etmeleri hâlinde verdikleri zarardan sorumlu olabilirler.

Dolayısıyla Shadow AI nedeniyle yönetim kurulu üyesinin sorumluluğundan söz edilebilmesi için genel olarak;

yükümlülük ihlali + kusur + zarar + illiyet bağı

unsurlarının değerlendirilmesi gerekir.

Örneğin yalnızca çalışan tarafından bilinmeyen bir AI uygulamasının tek seferlik kullanılması, doğrudan yönetim kurulu üyesinin sorumluluğunu doğurmaz.

Buna karşılık yönetim kuruluna defalarca rapor edilen kritik Shadow AI risklerinin hiçbir gerekçe olmaksızın görmezden gelinmesi ve sonrasında öngörülen riskin gerçekleşerek şirkette büyük zarara yol açması farklı değerlendirilebilir.

Shadow AI Nedeniyle Yönetim Kurulu Üyelerine Tazminat Davası Açılabilir mi?

Teorik olarak TTK m.553 koşullarının oluşması hâlinde yönetim kurulu üyelerinin sorumluluğu gündeme gelebilir.

Ancak bunun için yalnızca;

“Şirket veri ihlali yaşadı.”

tespiti yeterli değildir.

Örneğin davada;

yönetim kurulunun hangi yükümlülüğü ihlal ettiği, alınması gereken hangi tedbiri almadığı ve bunun şirketin zararına nasıl neden olduğu

somut biçimde ortaya konulmalıdır.

Şirketin uğradığı;

• idari para cezaları,
• müşteri kaybı,
• tazminat ödemeleri,
• sözleşmesel cezai şartlar,
• veri ihlali müdahale maliyetleri

bazı olaylarda zarar tartışmasının parçası olabilir.

Ancak her zarar otomatik olarak yönetim kuruluna yüklenmez.

Yönetim Görevinin Devredilmesi Yönetim Kurulunu Sorumluluktan Kurtarır mı?

TTK m.553/2 uyarınca, kanuna dayanarak bir görevi veya yetkiyi başkasına devreden organ veya kişiler, görevi devralan kişilerin seçiminde makul derecede özen göstermediklerinin ispatlanması dışında kural olarak bu kişilerin fiil ve kararlarından sorumlu tutulmazlar.

Bu hüküm Shadow AI bakımından önemli olabilir.

Örneğin şirket;

bilgi güvenliği yönetimini uzman bir CISO’ya, KVKK süreçlerini veri koruma ekibine ve yapay zekâ onay süreçlerini teknoloji komitesine devretmiş olabilir.

Yönetim kurulunun bütün teknik işlemleri bizzat yürütmesi gerekmez.

Ancak görevlerin doğru kişilere verilmesi ve TTK m.375 kapsamındaki üst gözetimin sağlanması önemini korur.

Yönetim Kurulu Kontrolü Dışındaki Her Olaydan Sorumlu Tutulabilir mi?

Hayır.

TTK m.553/3 açıkça hiç kimsenin kontrolü dışında kalan kanuna veya esas sözleşmeye aykırılıklar nedeniyle sorumlu tutulamayacağını düzenlemektedir. Bu sorumsuzluk, yalnızca gözetim ve özen yükümlülüğü ileri sürülerek ortadan kaldırılamaz.

Bu hüküm Shadow AI bakımından özellikle önemlidir.

Yönetim kurulu;

• makul AI politikalarını oluşturmuş,
• çalışanlara eğitim vermiş,
• teknik kontrolleri uygulamış,
• uzman ekipleri görevlendirmiş ve
• ihlal bildirim sistemini kurmuş

olmasına rağmen bir çalışan bütün sistemleri aşarak kişisel telefonundan bilinçli şekilde şirket verisi aktarmış olabilir.

Böyle bir durumda yalnızca olay meydana geldi diye yönetim kurulu üyelerinin sorumlu tutulması doğru değildir.

Shadow AI Yönetim Kurulunun Bilgi Alma Yükümlülüğünü Etkiler mi?

Yönetim kurulu riskleri yönetebilmek için gerekli bilgi akışını oluşturmalıdır.

Özellikle büyük şirketlerde AI kullanımı hakkında yönetim kuruluna belirli aralıklarla raporlama yapılabilir.

Örneğin raporda;

• kullanılan AI sistemleri,
• tespit edilen Shadow AI vakaları,
• veri ihlalleri,
• yüksek riskli departmanlar,
• açık güvenlik aksiyonları,
• çalışan eğitim oranları

yer alabilir.

Yönetim kurulunun teknik ayrıntıların tamamını bilmesi gerekmese de şirket açısından önemli risk seviyesindeki sorunlara ilişkin yeterli bilgi alması kurumsal yönetim bakımından önemlidir.

Yönetim Kurulu AI Envanteri Hazırlatmalı mı?

Şirket içerisinde hangi yapay zekâ araçlarının kullanıldığını bilmeden Shadow AI riskinin yönetilmesi zordur.

Bu nedenle yönetim kurulu veya yetkilendirdiği birim;

kurumsal yapay zekâ envanteri

hazırlanmasına karar verebilir.

Envanterde;

hangi sistemin hangi departmanda kullanıldığı, hangi verilere eriştiği, hangi tedarikçinin sistemi sunduğu ve risk seviyesinin ne olduğu

belirlenebilir.

Bu çalışma özellikle büyük ölçekli şirketlerde AI yönetişiminin başlangıç noktası olabilir.

Yönetim Kurulu Shadow AI Politikası Onaylamalı mı?

Her şirkette mutlaka yönetim kurulu kararıyla ayrı bir Shadow AI politikası hazırlanmasını zorunlu kılan genel bir düzenleme bulunmamaktadır.

Ancak yapay zekâ riskinin önemli olduğu şirketlerde yönetim kurulunun temel AI yönetişimi çerçevesini onaylaması güçlü bir kurumsal uygulama olabilir.

Politikada;

• onaylı AI araçları,
• yasaklı AI araçları,
• kişisel hesap kullanımı,
• veri sınıflandırması,
• kaynak kodların korunması,
• müşteri verileri,
• veri ihlali bildirimi,
• çalışan denetimi,
• disiplin süreçleri

düzenlenebilir.

Tamamen Yapay Zekâ Yasağı Getirmek Yeterli midir?

Çoğu şirket bakımından hayır.

Kişisel Verileri Koruma Kurumunun 2026 tarihli işyeri üretken yapay zekâ dokümanında da tamamen yasaklayıcı yaklaşımların çalışanların kullanımı kurumsal kontrol dışına taşıyabileceğine dikkat çekilmekte; yönlendirme, denge ve farkındalık temelli yaklaşımlar önerilmektedir.

Bu nedenle yönetim kurulu açısından doğru strateji her zaman;

“Bütün yapay zekâyı yasaklayın.”

olmayabilir.

Daha etkili yaklaşım;

onaylı sistemleri belirlemek + kritik verileri korumak + çalışanları eğitmek + kontrol dışı kullanımları tespit etmek

olabilir.

Yönetim Kurulu Yapay Zekâ Risk Komitesi Kurmalı mı?

Her şirket için özel bir “AI Risk Komitesi” kurulması zorunlu değildir.

Ancak büyük ve yüksek riskli şirketlerde mevcut;

• risk komitesi,
• bilgi güvenliği komitesi,
• teknoloji komitesi,
• KVKK komitesi

içerisinde yapay zekâ risklerine özel görevler tanımlanabilir.

Özellikle yapay zekânın şirketin temel ürün veya hizmetlerinin parçası hâline geldiği işletmelerde ayrı bir AI yönetişim yapısı oluşturulması düşünülebilir.

Shadow AI ve Siber Güvenlik Yönetim Kurulu Meselesi midir?

Belirli seviyeden sonra evet.

Çalışanların AI sistemlerine;

kaynak kod, API anahtarı, sistem mimarisi veya erişim bilgisi

girmesi şirketin siber güvenliğini doğrudan etkileyebilir.

Yönetim kurulunun her teknik zafiyeti takip etmesi beklenmese de şirketin uygun siber güvenlik organizasyonuna sahip olmasını sağlaması önemlidir.

KVKK da veri sorumlularının veri güvenliği tedbirlerini kendi risk değerlendirmelerini yaparak belirlemesi gerektiğini vurgulamaktadır.

Yönetim Kurulu Müşteri Sözleşmelerindeki AI Yasaklarını Takip Etmeli mi?

Şirketin müşterileriyle yaptığı sözleşmelerde;

müşteri verilerinin üçüncü taraf AI sistemlerinde kullanılması yasaklanmış olabilir.

Bu tür yükümlülüklerin şirket operasyonlarına aktarılması gerekir.

Örneğin müşteriyle imzalanan sözleşmede;

“Veriler üretken yapay zekâ sistemlerinde kullanılamaz.”

hükmü bulunmasına rağmen yazılım ekibinin müşteri projesini sürekli AI kodlama araçlarına yüklemesi sözleşmesel sorumluluk doğurabilir.

Bu nedenle önemli müşteri yükümlülüklerinin ilgili birimlere aktarılmasını sağlayacak kurumsal mekanizmanın kurulması gerekir.

Yönetim Kurulu Üyeleri Kendileri de Shadow AI İhlali Yapabilir mi?

Evet.

Shadow AI yalnızca çalışanların davranışlarından ibaret değildir.

Yönetim kurulu üyesi;

stratejik planı, finansal raporu, birleşme ve satın alma görüşmelerine ilişkin belgeyi veya yönetim kurulu raporunu

kendi kişisel yapay zekâ hesabına yükleyebilir.

Bu durumda risk daha da yüksek olabilir; çünkü yönetim kurulu üyelerinin eriştiği bilgiler çoğu zaman şirketin en hassas bilgileridir.

Dolayısıyla AI politikası yalnızca çalışanlara değil, üst düzey yöneticilere ve yönetim kurulu üyelerine de uygulanmalıdır.

Birleşme ve Satın Alma Belgelerinin AI Sistemlerine Yüklenmesi

M&A süreçleri özellikle yüksek risklidir.

Bu belgelerde;

• şirket değerlemeleri,
• finansal tablolar,
• henüz açıklanmamış yatırım kararları,
• pay sahipliği bilgileri,
• ticari sırlar,
• çalışan verileri

bulunabilir.

Yönetim kurulu üyelerinin veya danışmanların bu belgeleri kontrolsüz AI sistemlerine yüklemesi şirket açısından önemli gizlilik ve veri güvenliği sorunlarına yol açabilir.

Yönetim Kurulu Kararlarının AI’ya Yüklenmesi Riskli midir?

Yönetim kurulu kararları şirketin en hassas belgeleri arasında olabilir.

Kararlarda;

yeni yatırımlar, şirket satın almaları, işten çıkarmalar, finansman planları veya hukuki uyuşmazlıklar

yer alabilir.

Bu nedenle yönetim kurulu üyeleri bakımından özel bir AI kullanım protokolü oluşturulması faydalı olabilir.

Shadow AI Nedeniyle Ticari Sır İhlalinde Yönetim Kurulu Sorumluluğu

Çalışan tarafından ticari sırların yapay zekâ sistemine aktarılması hâlinde öncelikle çalışanın davranışı değerlendirilir.

Ancak şirketin ticari sırları korumak için hiçbir sistem kurmamış olması da önem taşıyabilir.

Örneğin şirket;

• hangi bilginin gizli olduğunu belirlememiş,
• çalışanlara gizlilik eğitimi vermemiş,
• kaynak kodlara sınırsız erişim sağlamış,
• bütün çalışanların kişisel AI hesaplarını kullanmasına fiilen göz yummuş

olabilir.

Böyle bir tabloda şirketin organizasyon ve risk yönetimi yapısının yeterliliği tartışma konusu olabilir.

Yönetim Kurulunun Olay Sonrası Sorumluluğu

Yönetim kurulunun sorumluluğu yalnızca ihlali önlemekten ibaret değildir.

Shadow AI kaynaklı ciddi bir olay meydana geldikten sonra da şirketin uygun müdahale sistemine sahip olması gerekir.

Örneğin müşteri veri tabanının AI sistemine yüklendiği tespit edildiğinde;

• olayın derhâl sınırlandırılması,
• KVKK bildirimlerinin değerlendirilmesi,
• müşterilere karşı sözleşmesel yükümlülüklerin incelenmesi,
• teknik kayıtların korunması,
• olayın tekrarını önleyecek tedbirlerin alınması

gerekebilir.

Yönetim kurulunun ciddi bir olaydan haberdar olduktan sonra hiçbir aksiyon almaması da ayrıca değerlendirme konusu olabilir.

Yönetim Kurulu Shadow AI Olaylarını Tutanak Altına Almalı mı?

Önemli Shadow AI olaylarının yönetim kuruluna raporlanması hâlinde kurulun aldığı kararların belgelendirilmesi yararlı olabilir.

Örneğin yönetim kurulu;

• yeni AI politikasının hazırlanmasına,
• DLP sisteminin kurulmasına,
• çalışan eğitimlerinin yenilenmesine,
• AI tedarikçilerinin yeniden incelenmesine

karar verebilir.

Bu kararların yönetim kurulu tutanaklarında yer alması, şirketin riski aktif biçimde yönettiğinin ortaya konulması açısından önem taşıyabilir.

Yönetim Kurulu Üyeleri İçin D&O Sigortası Shadow AI Risklerini Karşılar mı?

Yönetici sorumluluk sigortaları, poliçenin kapsamına bağlı olarak bazı yönetici sorumluluğu iddialarını teminat altına alabilir.

Ancak Shadow AI veya yapay zekâ kaynaklı olayların otomatik olarak her D&O poliçesinin kapsamında olduğu söylenemez.

Poliçede;

siber güvenlik, veri ihlalleri, idari para cezaları, kasıtlı davranışlar ve teknoloji risklerine ilişkin istisnalar

bulunabilir.

Bu nedenle yapay zekâ riskinin büyüdüğü şirketlerde D&O ve siber sigorta poliçelerinin birlikte incelenmesi faydalı olabilir.

Yönetim Kurulu Üyelerinin Sorumluluğunu Azaltabilecek Uygulamalar

Yönetim kurulu üyeleri Shadow AI risklerini tamamen ortadan kaldıramaz.

Ancak makul bir yönetişim sistemi oluşturulabilir.

Bu kapsamda;

1. Shadow AI risk analizi yaptırılmalı,

şirket içerisindeki mevcut AI kullanımı belirlenmelidir.

2. Yapay zekâ envanteri oluşturulmalı,

hangi sistemlerin kullanıldığı kayıt altına alınmalıdır.

3. Onaylı AI uygulamaları belirlenmeli,

çalışanlara güvenli alternatifler sunulmalıdır.

4. Veri sınıflandırması yapılmalı,

kişisel veriler, ticari sırlar ve kritik kaynak kodlar ayrıca korunmalıdır.

5. Çalışanlara düzenli AI eğitimi verilmelidir.

6. Yüksek riskli olaylar yönetim kuruluna raporlanmalıdır.

7. KVKK ve veri ihlali prosedürleri AI olaylarını kapsayacak şekilde güncellenmelidir.

8. Tedarikçi sözleşmeleri AI kullanımı bakımından incelenmelidir.

9. Yönetim kurulu üyelerinin kendileri de AI politikasına tabi olmalıdır.

10. Sistem düzenli olarak gözden geçirilmelidir.

Yönetim Kurulu İçin Shadow AI Kontrol Listesi

Yönetim kurulunun aşağıdaki sorulara cevap verebilmesi faydalıdır:

Şirket çalışanları hangi yapay zekâ araçlarını kullanıyor?

Kişisel AI hesaplarının şirket işleri için kullanılmasına izin veriliyor mu?

Müşteri verileri AI sistemlerine aktarılıyor mu?

Kaynak kodlar yapay zekâ araçlarında kullanılıyor mu?

Ticari sırlar sınıflandırılmış mı?

AI tedarikçileri hukuk ve bilgi güvenliği incelemesinden geçiyor mu?

Çalışanlara AI eğitimi veriliyor mu?

Bir AI veri ihlali meydana gelirse kim yönetecek?

Yüksek riskli AI olayları yönetime raporlanıyor mu?

Politika düzenli olarak güncelleniyor mu?

Bu sorulara sürekli olarak cevap verilemiyorsa şirketin yapay zekâ yönetişimi bakımından önemli boşlukları bulunabilir.

Yönetim Kurulu Üyesinin Sorumluluğu İçin Somut Olay Değerlendirmesi Şarttır

Shadow AI nedeniyle yönetim kurulu sorumluluğuna ilişkin en önemli husus, otomatik sorumluluk yaklaşımından kaçınılmasıdır.

Örneğin;

şirket güçlü politikalar oluşturmuş, uzman kişileri görevlendirmiş ve çalışanlara düzenli eğitim vermiş olmasına rağmen tek bir çalışan bilinçli şekilde kuralları ihlal etmiş olabilir.

Böyle bir olayla;

yönetim kurulunun uzun süredir bilinen ciddi veri sızıntılarını görmezden geldiği ve hiçbir risk yönetimi mekanizması kurmadığı olay

aynı şekilde değerlendirilemez.

TTK m.553’ün kusura dayalı sorumluluk sistemi ve kontrol dışındaki olaylara ilişkin sınırlaması da bu ayrımın önemini göstermektedir.

Shadow AI İçin Ayrı Yönetim Kurulu Kararı Alınması Gerekir mi?

Her şirkette ayrı bir yönetim kurulu kararı alınması kanuni zorunluluk değildir.

Ancak yapay zekâ kullanımının şirket açısından önemli hâle geldiği işletmelerde yönetim kurulunun konuyu gündemine alması ve;

• sorumlu birimleri,
• temel politika çerçevesini,
• risk raporlama yapısını,
• kritik veri kategorilerini

belirlemesi faydalı olabilir.

Özellikle büyük veri işleyen veya teknoloji yoğun şirketlerde böyle bir karar kurumsal sorumluluk zincirinin açık hâle gelmesini sağlar.

Yönetim Kurulu Shadow AI’yi Bir Uyum Konusu Olarak Görmeli midir?

Evet.

Shadow AI yalnızca teknoloji riski değildir.

Tek bir kullanım;

aynı anda KVKK, ticari sır, sözleşmesel gizlilik, iş hukuku ve siber güvenlik

sorunları doğurabilir.

Bu nedenle şirketin yapay zekâ yönetişimi klasik “IT policy” yaklaşımından daha geniş tutulmalıdır.

Hukuk, bilgi güvenliği, insan kaynakları, veri koruma ve iş birimleri birlikte çalışmalıdır.

Yönetim Kurulu Açısından En Riskli Shadow AI Senaryoları

Bazı Shadow AI vakaları diğerlerinden daha yüksek yönetim riski taşır.

Özellikle;

büyük müşteri veri tabanlarının AI sistemlerine aktarılması,

özel nitelikli kişisel verilerin kullanılması,

kritik kaynak kodlarının kişisel AI hesaplarına yüklenmesi,

şirketin birleşme ve satın alma belgelerinin üçüncü taraf sistemlere aktarılması,

AI sistemlerine şirket e-posta veya veri tabanlarına geniş erişim yetkisi verilmesi,

tekrarlanan veri ihlallerine rağmen yönetimin herhangi bir aksiyon almaması

yüksek riskli senaryolar arasında değerlendirilebilir.

Sonuç

Şirket yönetim kurulunun Shadow AI sorumluluğu, yapay zekânın iş hayatında yaygınlaşmasıyla birlikte giderek önem kazanan yeni bir kurumsal yönetim alanıdır.

Çalışanın şirketin bilgisi dışında yapay zekâ kullanması, tek başına yönetim kurulu üyelerinin şahsen sorumlu tutulması için yeterli değildir.

Türk Ticaret Kanunu bakımından yönetim kurulu üyelerinin sorumluluğunda;

özen yükümlülüğü, üst düzey yönetim görevi, üst gözetim yükümlülüğü, kusur, zarar ve illiyet bağı

birlikte değerlendirilmelidir.

TTK m.369 yönetim kurulu üyelerinin görevlerini tedbirli bir yöneticinin özeniyle yerine getirmelerini ve şirket menfaatlerini gözetmelerini öngörmektedir. TTK m.375 ise şirketin üst düzey yönetimi ile yönetimle görevli kişilerin üst gözetimini yönetim kurulunun devredilemez görevleri arasında düzenlemektedir.

Bu hükümler, yapay zekâ kullanımının şirket için önemli bir risk hâline geldiği durumlarda yönetim kurulunun konuyu tamamen çalışanların veya bilgi teknolojileri departmanının bireysel sorumluluğuna bırakamayacağını göstermektedir.

Bununla birlikte yönetim kurulu üyelerinin her Shadow AI olayından şahsen sorumlu tutulması da doğru değildir. TTK m.553 kapsamında yönetici sorumluluğu kusura dayanmaktadır ve kontrol dışındaki olaylar bakımından ayrıca sınırlamalar bulunmaktadır.

Bu nedenle yönetim kurulunun görevi her çalışanı sürekli gözetlemek değil;

uygun yapay zekâ yönetişim sistemini kurmak, sorumlulukları belirlemek, kritik risklerin raporlanmasını sağlamak ve sistemin etkinliğini üst düzeyde gözetmektir.

Şirketlerde artık yalnızca;

“Çalışanlarımız yapay zekâ kullanıyor mu?”

sorusunun sorulması yeterli değildir.

Yönetim kurulunun cevaplaması gereken temel soru şudur:

“Şirketimizde yapay zekâ kullanımından kaynaklanan kişisel veri, ticari sır, sözleşme ve siber güvenlik risklerini tespit eden ve yöneten makul bir kurumsal sistem kurduk mu?”

Yapay zekâ kullanımının önümüzdeki dönemde daha da yaygınlaşacağı dikkate alındığında Shadow AI risk yönetimi, özellikle büyük ve teknoloji yoğun şirketlerde yönetim kurulunun kurumsal yönetim ve gözetim gündeminin önemli başlıklarından biri hâline gelecektir.