Shadow AI Nedir? Şirketlerde Kontrolsüz Yapay Zekâ Kullanımının Hukuki Riskleri

Yapay zekâ araçlarının iş hayatında hızla yaygınlaşması, şirketler açısından önemli verimlilik avantajları sağlarken daha önce pek karşılaşılmayan hukuki ve teknik riskleri de beraberinde getirmektedir. Çalışanların metin hazırlamak, sözleşme incelemek, e-posta yazmak, veri analiz etmek, kod üretmek veya müşteri taleplerini cevaplamak amacıyla yapay zekâ uygulamalarından yararlanması artık son derece yaygındır.

Ancak çalışanların şirketin bilgisi ve onayı dışında yapay zekâ araçlarını iş süreçlerinde kullanması, son yıllarda “Shadow AI” olarak adlandırılan yeni bir kurumsal risk alanını ortaya çıkarmıştır.

Shadow AI kavramı genel olarak çalışanların veya şirket adına faaliyet gösteren kişilerin, kurum tarafından onaylanmamış yapay zekâ araçlarını iş amacıyla kullanmasını ifade etmektedir. Bu kullanım şirketin bilgi teknolojileri, hukuk veya bilgi güvenliği departmanlarının bilgisi dışında gerçekleştiğinde veri kaybı, siber güvenlik ihlali ve mevzuata aykırılık gibi sonuçlar doğurabilmektedir.

Özellikle kişisel verilerin, müşteri bilgilerinin, ticari sırların ve şirket içi belgelerin kontrolsüz şekilde yapay zekâ sistemlerine yüklenmesi, Shadow AI kullanımını şirketler açısından ciddi bir hukuki risk hâline getirmektedir.

Shadow AI Nedir?

Shadow AI, en basit ifadeyle bir şirket veya kurum tarafından resmî olarak onaylanmamış yapay zekâ uygulamalarının çalışanlar tarafından iş amacıyla kullanılmasıdır.

Örneğin şirket çalışanının;

• müşteri sözleşmesini bir üretken yapay zekâ aracına yükleyerek özetletmesi,
• müşteri listesini yapay zekâ aracına aktararak satış analizi yaptırması,
• dava dosyasındaki belgeleri yapay zekâ sistemine yüklemesi,
• çalışanların özlük bilgilerini kullanarak rapor hazırlatması,
• şirketin kaynak kodunu yapay zekâ uygulamasına göndererek hata analizi yaptırması,
• şirket stratejisini veya fiyatlandırma tablolarını bir yapay zekâ sistemine yüklemesi,

Shadow AI kapsamında değerlendirilebilecek uygulamalara örnek oluşturabilir.

Sorunun temelinde yapay zekâ kullanımının kendisi değil, şirketin hangi verilerin hangi sisteme aktarıldığını kontrol edememesi bulunmaktadır.

Çalışan açısından birkaç dakikalık bir işlem gibi görünen uygulama, şirket bakımından kişisel veri ihlaline, ticari sırların açığa çıkmasına veya sözleşmesel gizlilik yükümlülüklerinin ihlaline neden olabilir.

Shadow AI Neden Bu Kadar Yaygınlaştı?

Üretken yapay zekâ uygulamalarının günlük işlerde sağladığı hız Shadow AI kullanımının temel nedenlerinden biridir.

Çalışanlar yapay zekâ araçlarından;

metin hazırlama, uzun belgeleri özetleme, toplantı notlarını düzenleme, sunum oluşturma, e-posta hazırlama, sözleşme inceleme, kod yazma, tercüme yapma veya araştırma yürütme amacıyla yararlanabilmektedir.

Bu araçların büyük bölümünün internet üzerinden kolaylıkla kullanılabilmesi ise şirketlerin kontrolünü zorlaştırmaktadır.

Çalışan kendi kişisel hesabı üzerinden bir yapay zekâ aracını kullandığında şirketin bilgi teknolojileri departmanı hangi belgelerin sisteme yüklendiğini fark etmeyebilir.

Dolayısıyla Shadow AI çoğu zaman kötü niyetli çalışan davranışından değil, verimlilik sağlama amacıyla yapılan fakat hukuki sonuçları yeterince değerlendirilmeyen işlemlerden kaynaklanmaktadır.

Shadow AI ve KVKK

Shadow AI bakımından en önemli hukuki konulardan biri kişisel verilerin korunmasıdır.

Çalışanın bir yapay zekâ uygulamasına müşteri, çalışan, tedarikçi veya üçüncü kişilere ait bilgiler yüklemesi hâlinde 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında kişisel veri işleme faaliyeti gündeme gelebilir.

Örneğin;

müşterinin adı ve soyadı, telefon numarası, e-posta adresi, kimlik bilgileri, sağlık bilgileri, banka bilgileri, çalışan performans raporları veya özlük dosyalarında bulunan bilgiler bir yapay zekâ sistemine aktarılırsa KVKK bakımından değerlendirme yapılması gerekir.

Kişisel Verileri Koruma Kurumu da üretken yapay zekâ sistemlerinin kişisel veriler bakımından hukuki ve toplumsal riskler doğurabileceğine dikkat çekmiş ve bu sistemler vasıtasıyla gerçekleştirilen kişisel veri işleme faaliyetlerinin 6698 sayılı Kanun çerçevesinde değerlendirilmesi gerektiğini açıkça belirtmiştir.

Bu noktada özellikle KVKK’nın;

4. maddesindeki genel ilkeler,
5. maddesindeki kişisel veri işleme şartları,
6. maddesindeki özel nitelikli kişisel veriler,
9. maddesindeki yurt dışına veri aktarımı ve
12. maddesindeki veri güvenliği yükümlülükleri

gündeme gelebilir.

Çalışanın Yapay Zekâya Veri Yüklemesi Şirketi Sorumluluktan Kurtarır mı?

Shadow AI bakımından en önemli yanlış değerlendirmelerden biri, işlemin çalışan tarafından yapılmasının şirketin sorumluluğunu tamamen ortadan kaldıracağının düşünülmesidir.

KVKK kapsamında şirket veri sorumlusu konumundaysa kişisel verilerin hukuka uygun şekilde işlenmesini ve korunmasını sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlüdür.

Dolayısıyla bir çalışanın şirket tarafından izin verilmeyen bir yapay zekâ uygulamasına kişisel veri yüklemesi hâlinde;

“Bu işlemi şirket değil çalışan yaptı.”

savunması her durumda şirketin sorumluluğunu ortadan kaldırmayabilir.

Şirketin çalışanlara gerekli eğitimleri verip vermediği, yapay zekâ kullanım politikasının bulunup bulunmadığı, erişim yetkilerinin nasıl düzenlendiği ve veri güvenliği tedbirlerinin yeterli olup olmadığı önem taşıyacaktır.

Kişisel Verileri Koruma Kurumu da üretken yapay zekâ sistemlerinin kullanımında veri sorumlularının kişisel verilerin korunmasına ilişkin yükümlülüklerinin dikkate alınması gerektiğini vurgulamaktadır.

Shadow AI ve Yurt Dışına Kişisel Veri Aktarımı

Shadow AI kullanımında dikkat edilmesi gereken diğer önemli mesele yapay zekâ hizmet sağlayıcısının sunucularının bulunduğu ülkedir.

Bir çalışan Türkiye’deki müşterilere ait kişisel verileri yabancı bir şirket tarafından işletilen yapay zekâ platformuna yüklediğinde işlemin niteliğine göre yurt dışına kişisel veri aktarımı gündeme gelebilir.

Bu durumda yalnızca yapay zekâ aracına veri yüklenmesinin hukuka uygun olup olmadığı değil, KVKK’nın yurt dışına veri aktarımına ilişkin hükümlerinin de ayrıca değerlendirilmesi gerekir.

Şirket çalışanının kişisel hesabından işlem yapması bu hukuki problemi kendiliğinden ortadan kaldırmaz.

Ticari Sırların Yapay Zekâ Sistemlerine Yüklenmesi

Shadow AI riskleri yalnızca kişisel verilerle sınırlı değildir.

Şirket açısından ekonomik değer taşıyan;

• fiyatlandırma politikaları,
• müşteri listeleri,
• teklif dosyaları,
• üretim yöntemleri,
• kaynak kodları,
• Ar-Ge çalışmaları,
• iş planları,
• yatırım stratejileri,
• tedarikçi sözleşmeleri,
• finansal projeksiyonlar ve
• şirket içi yazışmalar

ticari sır veya gizli bilgi niteliğinde olabilir.

Çalışanın bu bilgileri kontrolsüz bir yapay zekâ aracına yüklemesi şirket açısından ciddi sonuçlar doğurabilir.

Bu nedenle şirketlerin gizlilik sözleşmeleri ile yapay zekâ kullanım politikalarını birbirinden bağımsız düşünmemesi gerekir.

Çalışanın gizli bilgileri üçüncü taraf bir yapay zekâ sistemine aktarmasının, somut olayın özelliklerine göre işçinin sadakat borcu ve gizlilik yükümlülüğü bakımından da sonuçları olabilir.

Türk Borçlar Kanunu’nun 396. maddesinde düzenlenen işçinin sadakat borcu kapsamında çalışan, işverenin haklı menfaatlerinin korunmasında sadakatle davranmakla yükümlüdür.

Ticari sırların açıklanmasının niteliğine göre Türk Ceza Kanunu’nun ticari sır, bankacılık sırrı veya müşteri sırrı niteliğindeki bilgi ve belgelerin açıklanmasına ilişkin hükümleri de ayrıca gündeme gelebilir.

Shadow AI İşten Çıkarma Sebebi Olabilir mi?

Çalışanın izinsiz yapay zekâ kullanması her durumda doğrudan işten çıkarma sebebi olarak değerlendirilemez.

Somut olay ayrıca incelenmelidir.

Örneğin çalışanın yalnızca kamuya açık bilgilerle basit bir metin hazırlaması ile yüzlerce müşterinin kişisel verisini veya şirketin ticari sırlarını yapay zekâ sistemine yüklemesi aynı şekilde değerlendirilemez.

İşveren tarafından yaptırım uygulanırken;

• şirketin açık bir yapay zekâ kullanım politikası bulunup bulunmadığı,
• çalışanın bu politika hakkında bilgilendirilip bilgilendirilmediği,
• yüklenen verinin niteliği,
• gizli veya kişisel veri bulunup bulunmadığı,
• şirket açısından zarar doğup doğmadığı,
• çalışanın kastı veya ihmali,
• ihlalin tekrar edilip edilmediği

gibi hususların değerlendirilmesi gerekir.

Ağır bir gizlilik veya güven ihlalinin bulunduğu durumlarda 4857 sayılı İş Kanunu’nun haklı nedenle feshe ilişkin hükümleri gündeme gelebilirse de her Shadow AI vakasında otomatik olarak haklı fesih sonucuna ulaşılması doğru değildir.

Şirket Sözleşmelerinin Yapay Zekâya Yüklenmesi Riskli midir?

Evet.

Şirket çalışanlarının sık yaptığı işlemlerden biri uzun sözleşmeleri üretken yapay zekâ araçlarına yükleyerek özet çıkarmaktır.

Ancak bir sözleşmenin içerisinde;

müşteri bilgileri, banka hesapları, fiyatlandırma şartları, teknik özellikler, ticari sırlar veya gizlilik hükümleri bulunabilir.

Bu nedenle birkaç yüz sayfalık sözleşmenin yapay zekâ aracına yüklenmesi, sözleşmesel gizlilik yükümlülüğünün ihlal edilmesi sonucunu doğurabilir.

Özellikle gizlilik sözleşmelerinde üçüncü kişilere bilgi aktarımını yasaklayan hükümler bulunuyorsa kullanılan yapay zekâ hizmet sağlayıcısının konumu ve verileri hangi amaçlarla işlediği ayrıca değerlendirilmelidir.

Avukatlık Bürolarında Shadow AI Riski

Shadow AI, avukatlık büroları bakımından ayrıca önem taşımaktadır.

Bir avukatın veya hukuk bürosu çalışanının;

dava dilekçesini, müvekkil sözleşmesini, ceza soruşturması dosyasını, sağlık raporunu veya müvekkilin kişisel bilgilerini kontrolsüz bir yapay zekâ aracına yüklemesi KVKK’nın yanında mesleki gizlilik ve sır saklama yükümlülükleri bakımından da sorun doğurabilir.

Bu nedenle hukuk bürolarında yapay zekâ kullanımının tamamen çalışanların kişisel tercihine bırakılması önemli bir risk oluşturabilir.

Hangi uygulamaların kullanılabileceği, hangi belgelerin sisteme yüklenebileceği ve hangi bilgilerin anonimleştirilmesi gerektiği önceden belirlenmelidir.

Yapay Zekânın Yanlış Bilgi Üretmesi de Shadow AI Riski midir?

Evet.

Shadow AI yalnızca veri güvenliği problemi değildir.

Üretken yapay zekâ sistemleri zaman zaman gerçeğe aykırı veya hatalı bilgiler üretebilir.

Çalışanın yapay zekâ tarafından oluşturulan çıktıyı kontrol etmeden müşteriye göndermesi;

yanlış hukuki görüş verilmesine, hatalı finansal hesaplama yapılmasına, yanlış ürün bilgisi paylaşılmasına veya sözleşmelerde hatalı hükümler kullanılmasına neden olabilir.

Şirket açısından yapay zekâ kullanılmış olması üçüncü kişilere karşı sorumluluğu otomatik olarak ortadan kaldırmaz.

Bu nedenle insan denetimi Shadow AI politikalarının temel unsurlarından biri olmalıdır.

Şirketler Shadow AI Riskini Nasıl Önleyebilir?

Şirketlerin yapay zekâyı tamamen yasaklamaya çalışması her zaman en etkili çözüm olmayabilir. Çalışanların işlerini hızlandırmak amacıyla bu araçları kullanmaya devam etmesi, kullanımın yalnızca şirketin göremediği alanlara kaymasına neden olabilir.

Daha etkili yöntem, kontrollü bir yapay zekâ yönetim sistemi oluşturmaktır.

Bu kapsamda şirketlerin öncelikle kurumsal yapay zekâ kullanım politikası hazırlaması faydalı olacaktır.

Politikada;

hangi yapay zekâ uygulamalarının kullanılabileceği, hangi verilerin sisteme girilemeyeceği, kişisel verilerin hangi koşullarda işlenebileceği, ticari sırların yapay zekâ sistemlerine aktarılmasının yasak olduğu, yapay zekâ çıktılarının insan kontrolünden geçirilmesi gerektiği ve ihlal hâlinde uygulanacak prosedürler açıkça düzenlenebilir.

Şirketlerde Yapay Zekâ Kullanım Politikası Nasıl Hazırlanmalıdır?

Etkili bir yapay zekâ kullanım politikasında en azından aşağıdaki konuların düzenlenmesi yararlı olacaktır:

Onaylı yapay zekâ araçlarının belirlenmesi:
Çalışanların hangi platformları iş amacıyla kullanabileceği açıkça belirlenmelidir.

Veri sınıflandırması yapılması:
Kamuya açık bilgiler, şirket içi bilgiler, gizli bilgiler, ticari sırlar ve kişisel veriler birbirinden ayrılmalıdır.

Kişisel veri kullanım kurallarının belirlenmesi:
Müşteri veya çalışan verilerinin hangi şartlarda yapay zekâ sistemlerinde kullanılabileceği açıklanmalıdır.

Ticari sırların korunması:
Şirketin stratejik ve gizli bilgilerinin harici yapay zekâ sistemlerine yüklenmesi açık şekilde sınırlandırılmalıdır.

İnsan denetiminin zorunlu tutulması:
Yapay zekâ tarafından hazırlanan metin veya raporların doğrudan kullanılmaması, yetkili çalışan tarafından kontrol edilmesi sağlanmalıdır.

Çalışan eğitimi verilmesi:
Çalışanlara yalnızca yapay zekâ araçlarının nasıl kullanılacağı değil, hangi bilgilerin kullanılmaması gerektiği de anlatılmalıdır.

İhlal prosedürü oluşturulması:
Yanlışlıkla kişisel veri veya ticari sır yüklenmesi hâlinde çalışanın hangi birime bildirim yapacağı önceden belirlenmelidir.

Shadow AI Tespit Edilirse Ne Yapılmalıdır?

Bir şirket, çalışanının kontrolsüz bir yapay zekâ uygulamasına şirket verisi aktardığını tespit ettiğinde olayın kapsamını mümkün olan en kısa sürede belirlemelidir.

Öncelikle;

hangi yapay zekâ aracının kullanıldığı, hangi bilgilerin yüklendiği, kişisel veri bulunup bulunmadığı, özel nitelikli kişisel veri bulunup bulunmadığı, verilerin yurt dışına aktarılıp aktarılmadığı ve hizmet sağlayıcının verileri saklayıp saklamadığı araştırılmalıdır.

Kişisel veri ihlali söz konusuysa KVKK kapsamında veri ihlali değerlendirmesi yapılmalı ve gerekiyorsa Kişisel Verileri Koruma Kuruluna ve ilgili kişilere bildirim yükümlülüğü ayrıca incelenmelidir.

Bunun yanında ilgili yapay zekâ sağlayıcısından verilerin silinmesinin talep edilmesi, erişim yetkilerinin sınırlandırılması ve şirket içi politikaların yeniden değerlendirilmesi gerekebilir.

Shadow AI Kullanımı Yasak mı?

Shadow AI kavramının ortaya çıkması, yapay zekâ kullanımının hukuken tamamen yasak olduğu anlamına gelmez.

Sorun çoğunlukla yapay zekâ teknolojisinin kullanılmasından değil, hangi verilerin hangi amaçla ve hangi güvenlik tedbirleriyle kullanıldığından kaynaklanmaktadır.

Bu nedenle şirketlerin amacı yapay zekâyı tamamen yasaklamak yerine hukuka uygun ve denetlenebilir bir yapay zekâ kullanım sistemi oluşturmak olmalıdır.

Kişisel Verileri Koruma Kurumunun üretken yapay zekâ konusunda yayımladığı rehberde de yapay zekâ sistemlerinin kişisel verilerin korunması, şeffaflık, denetlenebilirlik ve insan merkezli yaklaşım çerçevesinde değerlendirilmesinin önemine dikkat çekilmektedir.

Shadow AI Neden Şirketlerin Yeni Hukuki Risk Alanlarından Biridir?

Geçmişte şirketlerin bilgi güvenliği politikaları çoğunlukla e-posta, USB bellekler, bulut depolama hizmetleri veya şirket dışına gönderilen belgeler üzerinde yoğunlaşmaktaydı.

Üretken yapay zekâ uygulamaları ise bu risk alanını önemli ölçüde genişletmiştir.

Bir çalışan artık birkaç saniye içerisinde binlerce satırlık şirket verisini harici bir yapay zekâ sistemine aktarabilmektedir.

Üstelik bu işlem çoğu zaman şirket yöneticilerinin veya bilgi teknolojileri biriminin bilgisi dışında gerçekleştirilebilmektedir.

Bu nedenle Shadow AI yalnızca bilişim departmanlarının değil;

şirket hukuk müşavirlerinin, KVKK birimlerinin, insan kaynaklarının, siber güvenlik ekiplerinin ve üst yönetimin birlikte ele alması gereken bir kurumsal yönetişim meselesidir.

Sonuç

Shadow AI, çalışanların şirket tarafından onaylanmamış yapay zekâ araçlarını iş amacıyla kullanması sonucunda ortaya çıkan yeni nesil kurumsal risklerden biridir.

Özellikle müşteri verilerinin, çalışan bilgilerinin, sözleşmelerin, ticari sırların ve şirket içi belgelerin kontrolsüz biçimde yapay zekâ sistemlerine aktarılması; KVKK ihlalleri, ticari sırların açıklanması, gizlilik yükümlülüklerinin ihlali, iş hukuku uyuşmazlıkları, siber güvenlik sorunları ve tazminat sorumluluğu gibi çok farklı hukuki sonuçlara yol açabilir.

Bu nedenle şirketlerin yalnızca “çalışanların yapay zekâ kullanmasını yasaklayan” kısa bir düzenleme yapmak yerine kapsamlı bir yapay zekâ kullanım politikası ve AI yönetişim sistemi oluşturması daha sağlıklı olacaktır.

Hangi yapay zekâ araçlarının kullanılabileceğinin belirlenmesi, kişisel ve gizli verilerin korunması, çalışanlara düzenli eğitim verilmesi ve yapay zekâ çıktılarının insan denetiminden geçirilmesi Shadow AI risklerinin azaltılmasında temel önlemler arasındadır.

Yapay zekânın iş hayatındaki kullanımının giderek artacağı dikkate alındığında, önümüzdeki dönemde şirketler açısından temel mesele “yapay zekâ kullanılıp kullanılmayacağı” değil, yapay zekânın hangi hukuki ve teknik kurallar çerçevesinde kullanılacağı olacaktır.