İşyerinde ChatGPT Yasağı: Çalışanın Hakkına Müdahale mi, KVKK İçin Gerekli Bir Veri Güvenliği Tedbiri mi?

Giriş

ChatGPT ve benzeri üretken yapay zekâ araçları; e-posta hazırlanması, metinlerin düzeltilmesi, raporların özetlenmesi, yazılım kodu oluşturulması, araştırma yapılması ve müşteri taleplerinin değerlendirilmesi gibi birçok iş sürecinde kullanılmaya başlanmıştır. Bu araçlar iş verimliliğini artırmakla birlikte çalışanların müşteri bilgilerini, şirket içi yazışmaları, insan kaynakları verilerini, ticari sırları veya henüz kamuya açıklanmamış kurumsal bilgileri yapay zekâ sistemlerine yüklemesi önemli hukuki riskler doğurmaktadır.

Kişisel Verileri Koruma Kurumu da işyerlerinde üretken yapay zekâ kullanımının çoğu zaman kurumsal bir politika olmaksızın, çalışanların kişisel tercihleri doğrultusunda gerçekleştiğini; bu durumun kullanılan araçların, paylaşılan verilerin ve elde edilen çıktıların denetlenmesini zorlaştırdığını belirtmektedir. Kurum bu kontrol dışı kullanımı “Gölge Yapay Zekâ” olarak tanımlamaktadır.

Bu noktada cevaplandırılması gereken temel soru şudur: İşveren, çalışanların ChatGPT kullanmasını tamamen yasaklayabilir mi? Böyle bir yasak çalışanın temel veya sözleşmesel haklarını sınırlar mı, yoksa işverenin KVKK kapsamındaki veri güvenliği yükümlülüğünün bir gereği olarak mı değerlendirilmelidir?

İşveren Çalışanın ChatGPT Kullanmasını Yasaklayabilir mi?

Kural olarak işveren, işyerinde ve işin yürütülmesi sırasında ChatGPT kullanımını yasaklayabilir veya belirli şartlara bağlayabilir.

Türk Borçlar Kanunu’nun 399. maddesi uyarınca işveren; işin görülmesi ve çalışanların işyerindeki davranışlarıyla ilgili genel düzenlemeler yapabilir ve özel talimatlar verebilir. Çalışan da dürüstlük kurallarının gerektirdiği ölçüde bu düzenlemelere ve talimatlara uymakla yükümlüdür. Bu düzenleme, işverenin “yönetim hakkının” temel dayanaklarından biridir.

Bunun yanında Türk Borçlar Kanunu’nun 396. maddesi gereğince çalışan, işini özenle yapmak ve işverenin haklı menfaatlerini korumak konusunda sadakatle davranmak zorundadır. Çalışanın işverenin müşteri bilgilerini, ticari sırlarını veya kurumsal belgelerini işverenin bilgisi dışında harici bir yapay zekâ sistemine yüklemesi, somut olayın özelliklerine göre özen ve sadakat borcuna aykırılık oluşturabilir.

Dolayısıyla işveren;

• İşyerine ait bilgisayarlarda ChatGPT’ye erişimi engelleyebilir.
• Çalışanların kişisel hesaplarla yapay zekâ araçlarını kullanmasını yasaklayabilir.
• Yalnızca işveren tarafından onaylanmış yapay zekâ sistemlerinin kullanılmasına izin verebilir.
• Müşteri dosyalarının, çalışan verilerinin ve şirket içi belgelerin sisteme yüklenmesini yasaklayabilir.
• Yapay zekâ kullanımını belirli departmanlar veya görevlerle sınırlandırabilir.
• Kullanımı yalnızca kurumsal hesaplar ve kurumsal cihazlar üzerinden mümkün hâle getirebilir.

Kişisel Verileri Koruma Kurumu da işverenlerin, çalışanların yalnızca kuruluş tarafından belirlenen ve kullanım şartları tanımlanmış yapay zekâ araçlarına erişmesini sağlayabileceğini; erişimin görev ve ihtiyaç temelinde sınırlandırılabileceğini ve gerektiğinde harici platformlara erişimin ağ seviyesinde engellenebileceğini belirtmektedir.

Çalışanın ChatGPT Kullanma Hakkı Bulunmakta mıdır?

Mevcut Türk hukukunda çalışana, işini yürütürken ChatGPT veya belirli bir üretken yapay zekâ aracını kullanma konusunda bağımsız ve mutlak bir hak tanınmamıştır.

Çalışanın bilgiye erişme, düşünceyi açıklama, mesleki gelişim sağlama ve kişisel verilerinin korunmasını isteme gibi anayasal hakları bulunmaktadır. Ancak bu haklar, işverenin sağladığı bilgisayar ve internet bağlantısı üzerinden, çalışma saatleri içerisinde, işverenin verileri kullanılarak herhangi bir yazılımın sınırsız şekilde kullanılabileceği anlamına gelmez.

Bu nedenle işverenin yalnızca işin yürütülmesine, işyeri cihazlarına, kurumsal verilere ve çalışma saatlerine ilişkin bir ChatGPT yasağı getirmesi, kural olarak çalışanın temel bir hakkının ortadan kaldırılması olarak değerlendirilemez.

Buna karşılık yasağın;

• Çalışanın çalışma saatleri dışındaki tamamen kişisel kullanımına müdahale etmesi,
• Kişisel cihazlarında ve iş ilişkisiyle bağlantısız faaliyetlerinde de geçerli olduğunun ileri sürülmesi,
• Belirli çalışanlara ayrımcı şekilde uygulanması,
• Çalışanın özel haberleşmesini gereksiz ve ölçüsüz şekilde denetleme aracına dönüştürülmesi,

hukuka aykırılık tartışması doğurabilir.

İş Kanunu’nun 5. maddesi uyarınca iş ilişkisinde dil, ırk, renk, cinsiyet, engellilik, siyasal düşünce, felsefi inanç, din, mezhep ve benzeri nedenlere dayalı ayrım yapılamaz. Dolayısıyla yapay zekâ kullanım politikasının eşit, objektif ve görev esaslı uygulanması gerekir.

ChatGPT Yasağı KVKK Kapsamında Veri Güvenliği Sağlar mı?

İşverenin ChatGPT kullanımını yasaklaması, KVKK kapsamında alınabilecek idari ve teknik tedbirlerden biri olabilir. Ancak tek başına bir yasak, işverenin KVKK’ya uyum sağladığı anlamına gelmez.

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. maddesi uyarınca veri sorumlusu;

• Kişisel verilerin hukuka aykırı işlenmesini önlemek,
• Kişisel verilere hukuka aykırı erişilmesini önlemek,
• Kişisel verilerin muhafazasını sağlamak,

amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri almak zorundadır. Kişisel Verileri Koruma Kurumu da çalışanların eğitilmesini, erişim yetkilerinin sınırlandırılmasını, görev ve sorumlulukların belirlenmesini, güvenlik politikalarının oluşturulmasını ve denetim yapılmasını veri güvenliğinin temel unsurları arasında değerlendirmektedir.

Bu nedenle işverenin “müşteri bilgileri ve çalışan verileri ChatGPT’ye yüklenemez” şeklindeki talimatı, KVKK bakımından meşru ve gerekli bir veri güvenliği tedbiri niteliği taşıyabilir.

Örneğin bir çalışanın aşağıdaki bilgileri ChatGPT’ye yüklemesi kişisel veri işleme ve aktarım faaliyeti meydana getirebilir:

• Müşterinin adı, soyadı ve iletişim bilgileri,
• Kimlik veya pasaport örneği,
• Sağlık raporu,
• Çalışanın özlük dosyası,
• Ücret bordrosu,
• Banka hesap bilgileri,
• Dava dilekçesi veya bilirkişi raporu,
• Şikâyet, disiplin ya da performans kayıtları,
• Ses kaydı, görüntü veya toplantı tutanağı.

Kişisel verilerin yapay zekâ sistemine yazılması yalnızca “metin yazdırılması” olarak görülmemelidir. Verinin sisteme girilmesi; elde edilmesi, kaydedilmesi, kullanılması, açıklanması veya aktarılması gibi KVKK kapsamındaki veri işleme faaliyetlerinden birini oluşturabilir.

Kişisel Verilerin Yurt Dışına Aktarılması Riski

ChatGPT veya benzeri bir hizmetin altyapısının yurt dışında bulunması ya da verilerin yurt dışındaki sunuculara gönderilmesi hâlinde, KVKK’nın 9. maddesi kapsamındaki yurt dışına veri aktarımı şartlarının da ayrıca değerlendirilmesi gerekir.

2024 yılında değiştirilen KVKK’nın 9. maddesi kapsamında yurt dışına aktarım için yeterlilik kararı, uygun güvenceler, standart sözleşmeler, bağlayıcı şirket kuralları veya kanunda belirtilen istisnai hâller gibi hukuki mekanizmaların bulunması gerekebilir. Standart sözleşmelerin imzalanması durumunda sözleşmenin beş iş günü içerisinde Kuruma bildirilmesi de öngörülmektedir.

Bu nedenle çalışanın kendi kişisel ChatGPT hesabı üzerinden müşteri bilgilerini sisteme yüklemesi, işverenin kontrolü dışında gerçekleşen bir yurt dışına veri aktarımı riski doğurabilir. Çalışanın “Ben yalnızca metni düzelttirdim” veya “Dosyayı birkaç dakika sonra sildim” şeklindeki açıklaması, aktarımın hukuki dayanağını kendiliğinden oluşturmaz.

Bireysel ChatGPT Hesabı ile Kurumsal Hesap Aynı Değildir

Veri güvenliği değerlendirmesinde kullanılan hesabın ve ürünün niteliği önemlidir.

OpenAI’nin güncel açıklamalarına göre bireysel kullanıcılara sunulan ChatGPT hizmetlerinde, kullanıcının ayarlarına bağlı olarak konuşma ve içerikler modellerin geliştirilmesi amacıyla kullanılabilir. Kullanıcılar eğitim amacıyla kullanımı kapatabilir veya geçici sohbet özelliğini tercih edebilir. Buna karşılık ChatGPT Business, ChatGPT Enterprise ve API gibi kurumsal ürünlerde, işletme verileri varsayılan olarak model eğitimi amacıyla kullanılmamaktadır.

Ancak kurumsal hesabın kullanılması da tek başına KVKK uyumu sağlamaz. İşveren ayrıca;

• Veri işleme ve aktarım rollerini,
• Verilerin hangi ülkelerde tutulduğunu,
• Saklama sürelerini,
• Alt hizmet sağlayıcıları,
• Silme ve erişim imkânlarını,
• Yurt dışına aktarım mekanizmasını,
• İşlenecek veri kategorilerini,
• Veri işleme amacını ve hukuki sebebini,

incelemelidir.

Başka bir ifadeyle “veriler model eğitiminde kullanılmıyor” taahhüdü önemli olmakla birlikte, KVKK bakımından kişisel verinin işlendiği veya yurt dışına aktarıldığı gerçeğini ortadan kaldırmaz.

Tamamen Yasaklamak En Doğru Çözüm müdür?

Her işyerinde mutlak bir ChatGPT yasağı uygulanması zorunlu değildir. İşverenin faaliyet alanı, işlenen verilerin niteliği, çalışanların görevleri ve yapay zekâ kullanımının doğurabileceği riskler birlikte değerlendirilmelidir.

Bankacılık, sağlık, sigortacılık, hukuk, insan kaynakları, savunma sanayii ve finans gibi yoğun kişisel veri veya gizli bilgi işlenen alanlarda daha sıkı sınırlamalar haklı görülebilir. Buna karşılık kişisel veri veya ticari sır içermeyen genel araştırma, fikir geliştirme ya da dilbilgisi kontrolü gibi işlemlerde kontrollü kullanıma izin verilebilir.

Kişisel Verileri Koruma Kurumu, üretken yapay zekâ araçlarının tamamen yasaklanmasının uygulamada her zaman gerçekçi sonuçlar doğurmayabileceğini belirtmektedir. Kuruma göre katı yasaklar, çalışanları yapay zekâ araçlarını işverenin bilgisi ve kurumsal denetimi dışında kullanmaya yöneltebilir. Bu nedenle yasaklayıcı yaklaşımlar yerine yönlendirme, denge, farkındalık ve risk temelli politikalar önerilmektedir.

Bu tespit önemlidir. Çünkü işveren yalnızca “ChatGPT kullanmak yasaktır” şeklinde tek cümlelik bir e-posta göndermekle yetinirse çalışanlar;

• Kişisel telefonlarından,
• Evdeki bilgisayarlarından,
• Farklı yapay zekâ uygulamalarından,
• Kişisel e-posta hesaplarından,

kurumsal verileri işlemeye devam edebilir. Bu durumda yasak, veri güvenliğini sağlamaktan çok kullanımın görünmez hâle gelmesine neden olabilir.

En Uygun Yöntem: Kontrollü Yapay Zekâ Kullanım Politikası

KVKK’ya uyum bakımından daha güçlü yöntem, işverenin yazılı ve erişilebilir bir “Üretken Yapay Zekâ Kullanım Politikası” hazırlamasıdır.

Bu politika kapsamında hangi araçların kullanılabileceği, hangi verilerin sisteme kesinlikle girilemeyeceği, hangi görevlerde yapay zekâdan yararlanılabileceği ve çıktılar üzerinde nasıl insan denetimi yapılacağı açıkça belirlenmelidir.

Kişisel Verileri Koruma Kurumu, kişisel verilerin doğrudan yapay zekâ sistemleriyle paylaşılması yerine mümkün olduğunca anonimleştirilmiş, genelleştirilmiş ve soyut ifadelerin kullanılmasını önermektedir. Özellikle sağlık verileri, finansal bilgiler ve hukuki süreçlere ilişkin veriler bakımından daha ihtiyatlı davranılması gerektiği vurgulanmaktadır.

Örneğin çalışan, sisteme gerçek müşteri adı ve dosya bilgilerini girmek yerine şu şekilde anonim bir komut kullanabilir:

“Bir tüketici, satın aldığı ürünün ayıplı çıkması nedeniyle satıcıya karşı bedel iadesi talep etmektedir. Bu konuda genel bir ihtarname taslağı hazırla.”

Buna karşılık müşterinin adı, adresi, telefon numarası, fatura numarası, sağlık bilgisi ve dava dosyası gibi unsurların sisteme yüklenmesi yasaklanabilir.

Yasağın Denetlenmesi de KVKK’ya Uygun Olmalıdır

İşverenin ChatGPT yasağını denetlemek amacıyla çalışanların bilgisayarlarını, internet hareketlerini, tarayıcı geçmişlerini veya yazışmalarını izlemesi de ayrıca kişisel veri işleme faaliyeti oluşturur.

İşverenin yönetim hakkı sınırsız değildir. Çalışanın kurumsal cihazları kullanması, özel hayat ve haberleşme hakkının tamamen ortadan kalktığı anlamına gelmez. Anayasa Mahkemesi kararlarında işveren tarafından yapılan denetimlerde çalışanın önceden bilgilendirilmesi, denetimin meşru bir amaca dayanması, amaçla sınırlı olması ve daha az müdahaleci bir yöntemin bulunup bulunmadığının değerlendirilmesi gerektiği kabul edilmektedir.

Dolayısıyla işveren;

• İnternet ve yapay zekâ kullanımının denetlenebileceğini önceden bildirmeli,
• Hangi verilerin izleneceğini açıklamalı,
• Denetimi yalnızca güvenlik ve iş amacıyla sınırlı tutmalı,
• Çalışanın kişisel yazışmalarını gereksiz yere incelememeli,
• Elde edilen kayıtları belirli sürelerle saklamalı,
• Kayıtlara yalnızca yetkili kişilerin erişmesini sağlamalıdır.

ChatGPT yasağının uygulanması amacıyla çalışanların bütün dijital faaliyetlerinin sürekli ve sınırsız izlenmesi, veri güvenliği amacıyla açıklanamayacak ölçüde ağır bir müdahale oluşturabilir.

Yasağa Aykırılık İşten Çıkarma Sebebi Olur mu?

Çalışanın açıkça ilan edilmiş bir yapay zekâ kullanım politikasına aykırı davranması disiplin yaptırımı doğurabilir. Ancak her ChatGPT kullanımı doğrudan haklı nedenle fesih sebebi değildir.

İş Kanunu’nun 18. maddesine göre iş güvencesi kapsamındaki bir çalışanın davranışları, belirli koşullar altında geçerli fesih sebebi oluşturabilir. İş Kanunu’nun 19. maddesi gereğince davranış veya verim nedeniyle fesih yapılmadan önce kural olarak çalışanın savunmasının alınması gerekir.

Yaptırım belirlenirken;

• İşyerinde yazılı bir yasak veya politika bulunup bulunmadığı,
• Çalışanın politika hakkında bilgilendirilip bilgilendirilmediği,
• Sisteme kişisel veri veya ticari sır yüklenip yüklenmediği,
• Veri ihlali meydana gelip gelmediği,
• Davranışın kasıtlı veya tekrarlı olup olmadığı,
• İşverenin somut bir zarara uğrayıp uğramadığı,
• Daha önce uyarı verilip verilmediği,
• Çalışanın görevi ve erişim yetkisi,

dikkate alınmalıdır.

Çalışanın yalnızca kişisel veri içermeyen bir metnin dilbilgisi kontrolü için ChatGPT kullanmasıyla, binlerce müşterinin kimlik ve finansal bilgilerini kişisel hesabına yüklemesi aynı ağırlıkta değerlendirilemez.

Çalışanın işverenin meslek sırlarını ortaya çıkarması, güveni kötüye kullanması veya doğruluk ve bağlılığa aykırı ağır bir davranışta bulunması hâlinde İş Kanunu’nun 25/II-e maddesi kapsamında haklı nedenle fesih gündeme gelebilir. Bununla birlikte bu hükmün uygulanabilmesi için davranışın ağırlığının ve güven ilişkisini çekilmez hâle getirdiğinin somut şekilde ortaya konulması gerekir.

Sonuç

İşveren, yönetim hakkı kapsamında çalışanların işyerinde ChatGPT kullanmasını yasaklayabilir veya sınırlandırabilir. İşin yürütülmesine, kurumsal cihazlara, müşteri verilerine ve şirket bilgilerine ilişkin objektif bir yasak, kural olarak çalışanın bağımsız bir “ChatGPT kullanma hakkını” ihlal etmez.

Bununla birlikte ChatGPT yasağı tek başına KVKK uyumu sağlamaz. Yasak; kişisel veri envanteri, risk analizi, erişim kontrolleri, çalışan eğitimi, denetim mekanizmaları, yurt dışına aktarım şartları ve veri ihlali prosedürleriyle desteklenmelidir.

En dengeli yaklaşım, üretken yapay zekâyı bütünüyle yasaklamak yerine kullanım alanlarını ve sınırlarını belirleyen yazılı bir kurumsal politika oluşturmaktır. Kişisel verilerin, müşteri dosyalarının, insan kaynakları kayıtlarının, ticari sırların ve iç yazışmaların kamuya açık yapay zekâ araçlarına yüklenmesi yasaklanabilir; kişisel veri içermeyen, anonimleştirilmiş ve düşük riskli işlemler ise işverenin onayladığı araçlar üzerinden kontrollü biçimde gerçekleştirilebilir.

Sonuç olarak işyerinde ChatGPT yasağı, doğru kurgulandığında çalışanın hakkına yönelik keyfî bir müdahale değil, işverenin veri güvenliği ve KVKK yükümlülüklerini yerine getirmesine yardımcı olan meşru bir tedbir olabilir. Ancak ölçüsüz, belirsiz ve yalnızca cezalandırmaya dayalı bir yasak veri güvenliğini sağlamayacağı gibi, çalışanları “Gölge Yapay Zekâ” kullanımına yönlendirerek riski daha da büyütebilir.