Shadow AI Nedeniyle Veri İhlali Bildirimi: KVKK Kapsamında Şirketler Nasıl Hareket Etmeli?

Yapay zekâ araçlarının iş hayatında yaygınlaşmasıyla birlikte şirketlerin karşı karşıya kaldığı yeni veri güvenliği risklerinden biri Shadow AI kaynaklı kişisel veri ihlalleridir.

Çalışanların şirket tarafından onaylanmamış yapay zekâ araçlarını kullanması, müşteri listelerini kişisel ChatGPT hesabına yüklemesi, çalışan verilerini analiz ettirmesi, sözleşmeleri üçüncü taraf yapay zekâ sistemlerinde özetletmesi veya şirket dosyalarını ücretsiz AI araçlarına aktarması kişisel verilerin şirketin kontrolü dışına çıkmasına neden olabilir.

Böyle bir olay tespit edildiğinde şirket açısından önemli soru şudur:

Shadow AI nedeniyle yapay zekâ sistemine kişisel veri aktarılması hâlinde Kişisel Verileri Koruma Kuruluna veri ihlali bildirimi yapılması gerekir mi?

Her yapay zekâ kullanımı veya her hatalı veri aktarımı otomatik olarak KVKK kapsamında bildirilecek bir kişisel veri ihlali anlamına gelmez. Bununla birlikte kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi sonucunu doğuran veya bu kapsamda değerlendirilen olaylarda 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. maddesindeki veri ihlali bildirim yükümlülüğü gündeme gelebilir.

Kişisel Verileri Koruma Kurulunun 24.01.2019 tarihli ve 2019/10 sayılı Kararı uyarınca veri sorumlusunun ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içerisinde Kurula bildirimde bulunması gerekmektedir. Etkilenen ilgili kişilere ise kişiler belirlendikten sonra makul olan en kısa süre içerisinde bildirim yapılmalıdır.

Bu nedenle Shadow AI kaynaklı olaylarda şirketlerin ilk saatlerden itibaren teknik ve hukuki incelemeyi birlikte yürütmesi büyük önem taşımaktadır.

Shadow AI Nedeniyle Veri İhlali Nasıl Ortaya Çıkar?

Shadow AI, çalışanların şirketin bilgisi veya onayı dışında yapay zekâ araçlarını kullanmasını ifade eder.

Örneğin bir çalışan;

• müşteri listesini kişisel yapay zekâ hesabına yükleyebilir,
• çalışan CV’lerini üçüncü taraf AI sisteminde analiz edebilir,
• müşteri şikâyetlerini isim ve telefon numaralarıyla birlikte yapay zekâya aktarabilir,
• sağlık raporlarını özetletebilir,
• dava veya soruşturma belgelerini yapay zekâ sistemine yükleyebilir,
• kişisel veri içeren şirket sözleşmelerini analiz ettirebilir.

Bu işlemler sırasında gerçek kişilere ilişkin verilerin şirket tarafından onaylanmamış sistemlerde işlenmesi söz konusu olabilir.

Her Shadow AI Olayı Veri İhlali midir?

Hayır.

Örneğin çalışan yalnızca şirketin internet sitesinde yayımlanan kamuya açık ürün açıklamasını yapay zekâya yüklemişse kişisel veri ihlalinden söz edilmesi mümkün olmayabilir.

Benzer şekilde hiçbir kişisel veri içermeyen genel bir metnin yapay zekâ aracında düzenlenmesi KVKK bakımından veri ihlali oluşturmaz.

Buna karşılık çalışan;

müşteri isimleri, iletişim bilgileri, çalışan verileri veya sağlık bilgileri

içeren belgeyi yetkisiz bir yapay zekâ sistemine yüklemişse olay KVKK açısından ayrıca değerlendirilmelidir.

Bu nedenle ilk yapılması gereken işlem, yapay zekâya aktarılan içeriğin gerçekten kişisel veri içerip içermediğinin belirlenmesidir.

KVKK’ya Göre Veri İhlali Bildirimi Ne Zaman Gündeme Gelir?

KVKK m.12/5 uyarınca işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kuruluna bildirmekle yükümlüdür. Kurulun 2019/10 sayılı Kararı, “en kısa sürede” ifadesini Kurula bildirim bakımından 72 saat olarak yorumlamaktadır.

Dolayısıyla Shadow AI olayında özellikle şu soru cevaplandırılmalıdır:

Yapay zekâ hizmet sağlayıcısı veya başka bir üçüncü kişi kişisel verileri şirketin öngördüğü hukuki çerçevenin dışında elde etmiş midir?

Bu sorunun cevabı olayın teknik ve sözleşmesel yapısına göre belirlenmelidir.

Çalışanın Kişisel ChatGPT Hesabına Veri Yüklemesi Veri İhlali Sayılabilir mi?

Somut olayın özelliklerine göre evet.

Örneğin satış çalışanı şirketin CRM sisteminden aldığı bin müşteriye ait;

ad, soyadı, telefon numarası ve satın alma geçmişini

kişisel yapay zekâ hesabına yüklemiş olabilir.

Bu işlem şirketin bilgisi ve yetkilendirmesi dışında gerçekleşmişse kişisel verilerin şirketin kontrolü dışındaki bir sisteme aktarılması söz konusu olabilir.

Bu durumda şirketin;

verilerin hizmet sağlayıcı tarafından nasıl işlendiğini, verinin saklanıp saklanmadığını, başka tarafların erişim ihtimalini ve veri üzerinde şirketin kontrolünün devam edip etmediğini

incelemesi gerekir.

72 Saatlik Süre Ne Zaman Başlar?

Kurulun 2019/10 sayılı Kararı uyarınca 72 saatlik süre, veri sorumlusunun veri ihlalini öğrendiği tarihten itibaren işlemeye başlar.

Örneğin çalışan pazartesi günü müşteri dosyasını yapay zekâya yüklemiş ancak şirket bunu perşembe günü tespit etmiş olabilir.

Somut durumda bildirim süresinin değerlendirilmesinde şirketin ihlali ne zaman öğrendiği önem taşır.

Bu nedenle olayın tespit edildiği tarih ve saat mutlaka kayıt altına alınmalıdır.

“Önce Araştıralım, Sonra Bildirelim” Yaklaşımı Riskli midir?

Evet.

Şirketlerin en sık yapabileceği hatalardan biri olayın bütün ayrıntılarını kesinleştirmeyi beklemek olabilir.

Kurulun uygulamasında bütün bilgilerin aynı anda elde edilememesi hâlinde mevcut bilgilerin bildirilmesi ve eksik bilgilerin daha sonra aşamalı olarak tamamlanması mümkündür.

Dolayısıyla;

“Kaç kişinin etkilendiğini henüz bilmiyoruz.”

veya

“Teknik inceleme tamamlanmadı.”

gerekçeleri her durumda bildirim süresini bekletmek için yeterli olmayabilir.

Kurulun geçmiş kararlarında teknik incelemenin tamamlanmasını beklemenin 72 saatlik sürenin aşılması bakımından yeterli gerekçe olarak kabul edilmediği örnekler bulunmaktadır.

Kurula Bildirim Nasıl Yapılır?

Veri sorumlusunun Kurula veri ihlali bildirimi yaparken Kişisel Veri İhlal Bildirim Formunu kullanması öngörülmektedir.

Kurulun 2019/10 sayılı Kararında bildirimin ilgili form üzerinden yapılması gerektiği belirtilmiştir.

Bildirim hazırlanırken genel olarak;

• ihlalin ne zaman gerçekleştiği,
• ne zaman öğrenildiği,
• ihlalin nasıl meydana geldiği,
• hangi veri kategorilerinin etkilendiği,
• kaç kişinin etkilendiği,
• muhtemel sonuçlar,
• alınan veya planlanan önlemler

gibi bilgiler değerlendirilir.

Bilgiler Tam Değilse Bildirim Yapılabilir mi?

Evet.

Shadow AI olaylarının ilk saatlerinde şirket bütün teknik detaylara sahip olmayabilir.

Örneğin çalışan;

“Dosyayı yapay zekâya yükledim ama hangi dosya olduğunu tam hatırlamıyorum.”

diyebilir.

Teknik ekip logları incelemeye devam ediyor olabilir.

Kurulun 2019/10 sayılı Kararında formdaki bilgilerin aynı anda sağlanmasının mümkün olmadığı hâllerde bilgilerin gecikmeye mahal verilmeden aşamalı şekilde sunulabileceği açıkça belirtilmektedir.

Bu nedenle şirketlerin kesin sonuç raporunu bekleyerek 72 saatlik süreyi kaçırmaması gerekir.

İlgili Kişilere de Bildirim Yapılmalı mı?

KVKK kapsamında yalnızca Kurula bildirim yeterli değildir.

Kurulun 2019/10 sayılı Kararına göre veri ihlalinden etkilenen kişiler belirlendikten sonra ilgili kişilere de makul olan en kısa süre içerisinde bildirim yapılmalıdır.

İlgili kişinin iletişim bilgisine ulaşılabiliyorsa doğrudan bildirim yapılması; doğrudan ulaşılamıyorsa şirketin internet sitesi üzerinden duyuru gibi uygun yöntemlerin kullanılması gündeme gelebilir.

İlgili Kişilere Ne Söylenmelidir?

Bildirim, ilgili kişinin ihlalin kendisi açısından doğurabileceği riskleri anlayabileceği açıklıkta hazırlanmalıdır.

Örneğin;

hangi kişisel verilerin etkilendiği, ihlalin nasıl gerçekleştiği, şirketin hangi tedbirleri aldığı ve ilgili kişinin kendisini korumak için hangi adımları atabileceği

açıklanabilir.

Örneğin erişim şifreleri veya hesap bilgileri etkilenmişse ilgili kişiye parola değiştirmesi tavsiye edilebilir.

Her Kişiye İnternet Sitesinden Duyuru Yapmak Yeterli midir?

Her zaman değil.

Kurulun geçmiş kararlarında etkilenen kişiler belirli olduğu hâlde yalnızca internet sitesinde genel duyuru yapılması yeterli görülmemiştir.

İletişim bilgileri bulunan ilgili kişilere doğrudan ulaşılması gerekebilir.

Bu nedenle Shadow AI olayında şirket öncelikle hangi kişilerin verilerinin etkilendiğini mümkün olduğunca belirlemelidir.

Shadow AI Olayında İlk 24 Saatte Ne Yapılmalıdır?

Shadow AI nedeniyle kişisel veri sızıntısı şüphesi ortaya çıktığında şirket hızlı hareket etmelidir.

Öncelikle olayın yayılması engellenmelidir.

Kullanılan yapay zekâ hesabına erişim sınırlandırılabilir.

İlgili uygulamanın kurumsal sistemlere bağlantısı varsa bağlantı kesilebilir.

Paylaşılan dosyanın kapsamı belirlenebilir.

Hizmet sağlayıcının veri silme veya sohbet geçmişini kaldırma imkânları araştırılabilir.

Bunun yanında teknik kayıtların kaybolmaması için loglar korunmalıdır.

Çalışanın Yapay Zekâ Sohbetini Silmesi İstenmeli mi?

Olay müdahalesinde veri silme işlemi düşünülebilir ancak delillerin korunması da dikkate alınmalıdır.

Çalışanın doğrudan bütün kayıtları silmesi, sonradan hangi verilerin aktarıldığının belirlenmesini zorlaştırabilir.

Bu nedenle mümkünse önce;

ekran görüntüsü, log, zaman bilgisi ve aktarılan dosyanın tespiti

gibi deliller hukuka uygun biçimde muhafaza edilmeli, ardından güvenlik ve veri silme işlemleri planlanmalıdır.

Hangi Yapay Zekâ Sistemi Kullanıldığı Neden Önemlidir?

Her yapay zekâ hizmetinin veri kullanım şartları aynı değildir.

Şirketin olay araştırmasında;

• kullanılan sistemin adı,
• hesap türü,
• kurumsal veya kişisel hesap olup olmadığı,
• verilerin saklama süresi,
• verilerin model geliştirmede kullanılıp kullanılmadığı,
• veri silme seçenekleri,
• alt hizmet sağlayıcıları

incelenmelidir.

Bu bilgiler ihlalin kapsamının belirlenmesinde önemlidir.

Yapay Zekâ Hizmet Sağlayıcısıyla İletişime Geçilmelidir mi?

Yüksek riskli olaylarda evet.

Şirket yapay zekâ hizmet sağlayıcısından;

yüklenen içeriğin silinmesi, saklama süresi, olası erişimler ve verinin hangi sistemlerde işlendiği

konularında bilgi talep edebilir.

Özellikle özel nitelikli kişisel veriler veya büyük müşteri veri tabanları söz konusuysa hızlı teknik temas önemlidir.

Veri Yurt Dışına Aktarıldıysa Ne Olur?

Shadow AI olaylarında kullanılan yapay zekâ sisteminin yabancı hizmet sağlayıcı olması sık rastlanan bir durumdur.

Kişisel verilerin yurt dışında işlenmesi söz konusuysa olay yalnızca veri ihlali bildirimi açısından değil, KVKK’nın yurt dışına veri aktarım hükümleri bakımından da değerlendirilmelidir.

Dolayısıyla şirket iki ayrı sorunu incelemelidir:

Aktarım hukuka uygun muydu?

ve

Kişisel veri ihlali meydana geldi mi?

Bu iki değerlendirme birbirinden farklıdır.

Özel Nitelikli Kişisel Veri İçeren Shadow AI Olayları

Çalışanın yapay zekâ sistemine;

sağlık raporları veya başka özel nitelikli kişisel veriler

yüklemesi hâlinde olayın risk seviyesi daha yüksek olabilir.

Özellikle insan kaynakları, sağlık, sigorta ve hukuk sektörlerinde bu tür vakalar ciddi sonuçlara yol açabilir.

İhlal değerlendirmesinde veri kategorisinin hassasiyeti mutlaka dikkate alınmalıdır.

Müşteri Verilerinin Yapay Zekâya Yüklenmesi

Satış veya müşteri hizmetleri çalışanlarının müşteri listelerini yapay zekâ sisteminde analiz etmesi yaygın bir Shadow AI senaryosudur.

Örneğin şirket çalışanı;

“Bu müşterileri satın alma potansiyeline göre sınıflandır.”

talebiyle müşteri tablosunu kişisel AI hesabına yükleyebilir.

Dosyada binlerce müşteriye ait kişisel veri bulunması hâlinde şirket geniş kapsamlı bir veri ihlaliyle karşı karşıya kalabilir.

Bu tür olaylarda etkilenen kişi sayısının belirlenmesi öncelikli olmalıdır.

Çalışan Verilerinin Yapay Zekâya Yüklenmesi

İnsan kaynakları çalışanının CV’leri, performans raporlarını veya sağlık belgelerini yapay zekâ sistemine yüklemesi de Shadow AI kaynaklı veri ihlali riskine neden olabilir.

Özellikle çalışanların özel nitelikli kişisel verileri söz konusuysa olay hızlı şekilde hukuk ve KVKK ekiplerine aktarılmalıdır.

Sözleşmenin Yapay Zekâya Yüklenmesi Veri İhlali Olabilir mi?

Sözleşmeler genellikle;

taraf temsilcilerinin isimlerini, e-posta adreslerini, telefon bilgilerini, imzalarını veya banka bilgilerini

içerebilir.

Bu nedenle ticari sözleşmenin yapay zekâya yüklenmesi yalnızca ticari sır veya gizlilik ihlali değildir.

Aynı zamanda KVKK bakımından kişisel veri ihlali değerlendirmesi yapılması gerekebilir.

Veri İşleyen Yapay Zekâ Hizmet Sağlayıcısıysa Ne Olur?

Bazı kurumsal yapay zekâ sistemlerinde hizmet sağlayıcı ile şirket arasında veri işleme ilişkisi kurulmuş olabilir.

Bu durumda olayın değerlendirilmesi kişisel hesap üzerinden yapılan izinsiz kullanım senaryosundan farklı olabilir.

Kurulun 2019/10 sayılı Kararına göre veri işleyen nezdindeki kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri işleyenin durumu herhangi bir gecikmeye yer vermeksizin veri sorumlusuna bildirmesi gerekir.

Bu nedenle şirketin yapay zekâ tedarikçi sözleşmelerinde veri ihlali bildirim sürelerini ayrıca düzenlemesi önemlidir.

Yabancı Yapay Zekâ Şirketinin İhlal Yaşaması Hâlinde Ne Olur?

Şirket tarafından kullanılan yapay zekâ hizmet sağlayıcısının kendi sistemlerinde siber saldırı yaşaması da veri ihlaline yol açabilir.

Örneğin şirket çalışanlarının sisteme yüklediği müşteri belgeleri saldırganlar tarafından ele geçirilmiş olabilir.

Bu durumda şirketin veri sorumlusu sıfatı, hizmet sağlayıcının rolü ve olayın Türkiye’deki ilgili kişilere etkisi değerlendirilmelidir.

Kurulun 2019/10 sayılı Kararında yurt dışında yerleşik veri sorumlularının ihlallerinin Türkiye’deki ilgili kişileri etkilemesi durumunda da belirli koşullarda bildirim yapılması gerektiği belirtilmektedir.

Veri İhlali Kayıt Altına Alınmalı mı?

Evet.

Kurulun 2019/10 sayılı Kararında veri sorumlularının veri ihlallerine ilişkin;

bilgileri, ihlalin etkilerini ve alınan önlemleri kayıt altına alması ve Kurulun incelemesine hazır hâlde bulundurması

gerektiği belirtilmektedir.

Bu nedenle Shadow AI vakası için şirket içerisinde ayrı bir olay dosyası oluşturulabilir.

Dosyada;

olayın tespit zamanı, çalışan beyanları, teknik kayıtlar, kullanılan sistem, aktarılan veriler, alınan önlemler ve hukuki değerlendirmeler

saklanabilir.

Veri İhlali Müdahale Planı Bulunmalı mı?

Kurul, veri sorumlularının veri ihlali meydana geldiğinde;

kimlere raporlama yapılacağını, bildirimin kim tarafından yönetileceğini ve ihlalin sonuçlarının nasıl değerlendirileceğini

belirleyen bir veri ihlali müdahale planı hazırlamasını ve bu planı belirli aralıklarla gözden geçirmesini öngörmektedir.

Günümüzde bu müdahale planlarının Shadow AI senaryolarını da kapsaması önemlidir.

Shadow AI Veri İhlali Müdahale Ekibinde Kimler Olmalıdır?

Olayın niteliğine göre;

hukuk, KVKK, bilgi teknolojileri, siber güvenlik, insan kaynakları ve ilgili iş birimi

birlikte çalışmalıdır.

Bilgi teknolojileri ekibi teknik kapsamı belirlerken hukuk ekibi bildirim yükümlülüğünü değerlendirmelidir.

İnsan kaynakları ise çalışanın davranışı ve olası disiplin süreci bakımından sürece dâhil olabilir.

Çalışan Derhâl Bildirim Yapmak Zorunda Bırakılmalı mı?

Şirket içi yapay zekâ politikasında çalışanlara açık bir iç bildirim yükümlülüğü getirilebilir.

Örneğin;

“Çalışan, kişisel veri veya şirket verisini yanlışlıkla onaylanmamış bir yapay zekâ sistemine yüklemesi hâlinde olayı derhâl bilgi güvenliği ve hukuk birimine bildirir.”

şeklinde bir düzenleme yapılabilir.

Bu tür bir mekanizma, şirketin 72 saatlik bildirim süresini yönetebilmesi açısından önemlidir.

Çalışanın Olayı Gizlemesi Ne Sonuç Doğurabilir?

Çalışanın veri aktarımını fark etmesine rağmen olayı şirketten gizlemesi ihlalin sonuçlarını ağırlaştırabilir.

Şirket veri ihlalini geç öğrenebilir ve Kurula bildirim süresini kaçırabilir.

Bu durum çalışanın iş hukuku bakımından sadakat ve bildirim yükümlülükleri çerçevesinde ayrıca değerlendirilebilir.

Geç Veri İhlali Bildiriminin Sonucu Nedir?

Kurulun geçmiş kararlarında 72 saatlik bildirim yükümlülüğünün ihlali nedeniyle idari yaptırım uygulandığı örnekler bulunmaktadır.

Örneğin Kurul, bir sigorta şirketine ilişkin kararında ihlalin öğrenilmesinden sonra 72 saat içerisinde bildirim yapılmamasını ayrıca yaptırım konusu yapmıştır.

Dolayısıyla şirketlerin Shadow AI olayında bütün incelemenin tamamlanmasını bekleyerek bildirim süresini kaçırmaması gerekir.

72 Saat İçerisinde Bildirim Yapılamazsa Ne Olur?

Kurulun 2019/10 sayılı Kararına göre haklı bir gerekçeyle 72 saat içerisinde bildirim yapılamamışsa gecikmenin nedenleri bildirimle birlikte Kurula açıklanmalıdır.

Ancak bunun otomatik bir mazeret mekanizması olduğu düşünülmemelidir.

Şirket gecikmenin nedenini somut biçimde ortaya koymalıdır.

Veri İhlali Bildirimi Yapmak Şirketin Kusurunu Kabul Etmek midir?

Hayır.

Veri ihlali bildiriminin amacı ihlalden etkilenen kişilerin olası zararlarının azaltılmasını ve Kurulun olaydan haberdar olmasını sağlamaktır.

Bildirim yapılması tek başına şirketin bütün kusur ve sorumluluk iddialarını kabul ettiği anlamına gelmez.

Buna karşılık bildirim yükümlülüğünün hiç yerine getirilmemesi şirket açısından ayrıca hukuki risk yaratabilir.

Shadow AI Olayında İşverenin Sorumluluğu

Çalışanın kişisel yapay zekâ hesabını kullanmış olması şirketin sorumluluğunu otomatik olarak ortadan kaldırmaz.

KVKK m.12 kapsamında veri sorumlusu kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve güvenli şekilde muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlüdür.

Bu nedenle değerlendirmede;

• şirketin AI politikasının bulunup bulunmadığı,
• çalışanların eğitilip eğitilmediği,
• veri erişim yetkilerinin sınırlandırılıp sınırlandırılmadığı,
• teknik güvenlik tedbirlerinin bulunup bulunmadığı

önem kazanabilir.

Shadow AI İhlali Nedeniyle Çalışanın İş Sözleşmesi Feshedilebilir mi?

Somut olayın ağırlığına göre mümkün olabilir.

Ancak her veri ihlali otomatik olarak haklı fesih sebebi değildir.

Örneğin çalışanın;

şirketin açık yasağına rağmen çok sayıda müşterinin kişisel verisini kişisel AI hesabına yüklemesi

ile kişisel veri içermeyen bir belgeyi yanlış uygulamada kullanması aynı şekilde değerlendirilemez.

Fesih bakımından;

ihlalin ağırlığı, çalışanın kusuru, şirket politikaları, verilen eğitimler ve güven ilişkisinin ne ölçüde zedelendiği

birlikte değerlendirilmelidir.

Çalışana Rücu Edilebilir mi?

Shadow AI ihlali sonucunda şirketin idari yaptırım, tazminat veya başka bir zararla karşılaşması hâlinde çalışanın sorumluluğu ayrıca gündeme gelebilir.

Ancak şirketin uğradığı bütün zararın otomatik olarak çalışana yüklenmesi doğru değildir.

Çalışanın kusur derecesi, şirketin verdiği talimatlar ve işverenin kendi güvenlik eksiklikleri birlikte değerlendirilmelidir.

Veri İhlali Sonrası Yapay Zekâ Politikası Güncellenmelidir

Shadow AI olayı yalnızca mevcut ihlalin çözülmesiyle kapatılmamalıdır.

Şirket olay sonrasında;

neden bu yapay zekâ aracının kullanıldığını, kurumsal alternatif bulunup bulunmadığını, teknik engellemenin mümkün olup olmadığını ve politikanın yeterince açık olup olmadığını

değerlendirmelidir.

Yaşanan olay gelecekteki yapay zekâ politikasının geliştirilmesi için önemli bir risk göstergesi olarak kullanılabilir.

Shadow AI Veri İhlali İçin Şirketler Ne Yapmalı?

Bir Shadow AI vakası tespit edildiğinde şirket açısından uygulanabilecek temel süreç şu şekilde özetlenebilir:

1. Olayın gerçekleştiği ve öğrenildiği zaman kaydedilmelidir.
2. Kullanılan yapay zekâ sistemi ve hesap tespit edilmelidir.
3. Aktarılan kişisel veriler belirlenmelidir.
4. Etkilenen kişi sayısı mümkün olduğunca tespit edilmelidir.
5. Teknik loglar ve deliller korunmalıdır.
6. Veri aktarımı veya sistem erişimi durdurulmalıdır.
7. Hizmet sağlayıcının veri silme seçenekleri araştırılmalıdır.
8. KVKK m.12/5 kapsamında bildirim yükümlülüğü değerlendirilmelidir.
9. Gerekiyorsa 72 saat içerisinde Kurula bildirim yapılmalıdır.
10. Etkilenen ilgili kişiler makul olan en kısa sürede bilgilendirilmelidir.
11. Olay ve alınan tedbirler kayıt altına alınmalıdır.
12. Tekrarını engellemek için AI politikası ve teknik tedbirler güncellenmelidir.

Shadow AI Veri İhlallerini Önlemek İçin Ne Yapılabilir?

En etkili çözüm yalnızca ihlal sonrasında bildirim yapmak değildir.

Şirketlerin ihlal gerçekleşmeden önce önleyici mekanizmalar oluşturması gerekir.

Bu kapsamda;

• onaylı AI araçları belirlenmeli,
• kişisel hesap kullanımı sınırlandırılmalı,
• müşteri ve çalışan verileri sınıflandırılmalı,
• özel nitelikli kişisel veriler için sıkı kurallar getirilmeli,
• veri kaybını önleyici teknik sistemler kullanılmalı,
• çalışanlara yapay zekâ ve KVKK eğitimi verilmeli,
• Shadow AI olay müdahale prosedürü hazırlanmalıdır.

Sonuç

Shadow AI nedeniyle veri ihlali bildirimi, şirketlerin yapay zekâ kullanımında karşılaşabileceği en önemli KVKK sorunlarından biridir.

Çalışanın kişisel ChatGPT hesabına müşteri listesi yüklemesi, insan kaynakları verilerini onaylanmamış yapay zekâ sisteminde analiz etmesi veya kişisel veri içeren sözleşmeleri harici AI sistemlerine aktarması durumunda şirketin hızlı şekilde hukuki ve teknik değerlendirme yapması gerekir.

Her Shadow AI olayı otomatik olarak KVKK kapsamında bildirilecek veri ihlali değildir.

Ancak kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi sonucunu doğuran bir olay mevcutsa KVKK m.12/5 kapsamındaki bildirim yükümlülüğü gündeme gelir.

Kurulun güncel uygulamasına göre veri sorumlusu, ihlali öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içerisinde Kurula bildirimde bulunmalıdır. İlgili kişilere ise kişiler belirlendikten sonra makul olan en kısa süre içerisinde bildirim yapılmalıdır.

Şirketlerin bütün teknik ayrıntıların netleşmesini bekleyerek bildirim süresini kaçırması doğru değildir. Eksik bilgiler daha sonra aşamalı biçimde tamamlanabilir.

Bu nedenle Shadow AI olaylarında temel soru yalnızca;

“Çalışan hangi yapay zekâ aracını kullandı?”

değildir.

Asıl cevaplandırılması gereken soru şudur:

“Bu kullanım sonucunda hangi kişisel veriler şirketin kontrolü dışına çıktı, veri ihlali meydana geldi mi ve KVKK kapsamında hangi bildirim ve müdahale yükümlülüklerini derhâl yerine getirmemiz gerekiyor?”

Shadow AI kaynaklı veri ihlallerine karşı önceden hazırlanmış bir olay müdahale planı bulunması, hem 72 saatlik bildirim süresinin doğru yönetilmesini hem de şirketin hukuki ve operasyonel risklerinin azaltılmasını sağlayacaktır.