Shadow AI Şirketler İçin Neden Hukuki Risk Oluşturur?

Yapay zekâ araçlarının iş hayatında hızla yaygınlaşması, şirketlerin çalışma yöntemlerini önemli ölçüde değiştirmiştir. Çalışanlar artık e-posta hazırlamak, rapor oluşturmak, sözleşme özetlemek, müşteri verilerini analiz etmek, yazılım kodu yazmak, sunum hazırlamak veya araştırma yapmak amacıyla üretken yapay zekâ sistemlerinden yararlanabilmektedir.

Ancak şirket yönetiminin, hukuk departmanının veya bilgi teknolojileri biriminin bilgisi ve onayı dışında gerçekleştirilen yapay zekâ kullanımı yeni bir kurumsal risk alanını ortaya çıkarmıştır. Bu durum genellikle “Shadow AI” olarak adlandırılmaktadır.

Shadow AI, çalışanların şirket tarafından onaylanmamış yapay zekâ araçlarını iş amacıyla kullanması veya onaylanmış bir yapay zekâ aracını şirket tarafından belirlenen sınırların dışında kullanmasıdır.

Sorun yalnızca çalışanın ChatGPT veya başka bir yapay zekâ uygulamasını kullanması değildir. Asıl hukuki risk; şirketin hangi bilgilerinin, hangi çalışan tarafından, hangi yapay zekâ sistemine, hangi amaçla aktarıldığının kontrol edilememesidir.

Özellikle kişisel verilerin, müşteri bilgilerinin, ticari sırların, sözleşmelerin, finansal tabloların ve şirket içi yazışmaların kontrolsüz şekilde yapay zekâ sistemlerine aktarılması, şirket açısından ciddi hukuki sonuçlara neden olabilir.

Shadow AI Nedir?

Shadow AI, şirketin kurumsal yönetim ve denetim mekanizmalarının dışında gerçekleştirilen yapay zekâ kullanımını ifade etmektedir.

Örneğin bir çalışan;

• müşteriye gönderilecek e-postayı kişisel ChatGPT hesabında hazırlıyorsa,
• müşteri listesini bir yapay zekâ aracına yükleyerek analiz yaptırıyorsa,
• şirket sözleşmesini yapay zekâya yükleyip özetletiyorsa,
• insan kaynakları verilerini yapay zekâ ile analiz ediyorsa,
• şirket kaynak kodunu bir yapay zekâ sistemine gönderiyorsa,
• gizli fiyat tekliflerini yapay zekâya yükleyerek karşılaştırıyorsa,

şirket açısından Shadow AI riski ortaya çıkabilir.

Çalışanın amacı çoğu zaman şirket bilgilerini ifşa etmek değildir. Aksine çalışan, işini daha hızlı yapmak veya daha kaliteli çıktı elde etmek amacıyla hareket ediyor olabilir.

Ancak iyi niyet, ortaya çıkabilecek hukuki riskleri kendiliğinden ortadan kaldırmaz.

Shadow AI Neden Şirketler İçin Tehlikelidir?

Geleneksel bilgi güvenliği sistemlerinde şirketler hangi yazılımların kullanıldığını belirli ölçüde kontrol edebilmektedir.

Şirket e-posta sistemleri, kurumsal sunucular, bulut depolama hizmetleri ve bilgisayar programları bilgi teknolojileri departmanlarının denetimine tabi tutulabilir.

Üretken yapay zekâ sistemlerinde ise çalışan birkaç saniye içerisinde kişisel hesabından bir yapay zekâ aracına giriş yaparak şirket belgelerini sisteme aktarabilir.

Böyle bir durumda şirket;

hangi verinin sisteme yüklendiğini, verinin nerede işlendiğini, ne kadar süre saklandığını, hangi üçüncü kişilerin erişebileceğini ve sonradan silinip silinmediğini kontrol etmekte zorlanabilir.

Shadow AI’nin temel hukuki tehlikesi de burada ortaya çıkmaktadır.

Shadow AI ve KVKK Riski

Şirketler bakımından Shadow AI’nin en önemli hukuki risklerinden biri 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında ortaya çıkmaktadır.

Çalışanın yapay zekâ sistemine;

müşterinin adı, soyadı, telefon numarası, e-posta adresi, adres bilgisi, banka hesabı, çalışan bilgileri veya başka bir gerçek kişiye ilişkin veri yüklemesi hâlinde kişisel veri işleme faaliyeti gündeme gelebilir.

Örneğin şirket çalışanının;

“Bu müşterinin ödeme geçmişini analiz ederek risk raporu hazırla.”

diyerek müşterinin kimlik ve ödeme bilgilerini yapay zekâ sistemine yüklemesi basit bir iş kolaylaştırma işlemi olarak değerlendirilmemelidir.

Burada gerçek kişiye ilişkin bilgilerin şirketin kontrolü dışındaki bir sisteme aktarılması söz konusu olabilir.

Şirket veri sorumlusu konumundaysa kişisel verilerin hukuka uygun şekilde işlenmesini ve güvenliğini sağlamakla yükümlüdür.

Dolayısıyla;

“Veriyi şirket değil, çalışan kendi hesabından yükledi.”

savunması her durumda şirketin sorumluluğunu ortadan kaldırmayabilir.

Yapay Zekâya Gereğinden Fazla Veri Aktarılması

KVKK kapsamında kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması gerekmektedir.

Shadow AI kullanımında ise çalışanlar çoğu zaman bu ayrımı yapmayabilir.

Örneğin çalışan yalnızca bir sözleşme maddesini değerlendirmek için bütün sözleşmeyi sisteme yükleyebilir.

Oysa sözleşmenin içerisinde;

• müşteri kimlik bilgileri,
• iletişim bilgileri,
• imza bilgileri,
• banka hesapları,
• ticari bilgiler ve
• üçüncü kişilere ait çeşitli veriler

bulunabilir.

İhtiyaç duyulan birkaç paragraf yerine bütün belgenin yapay zekâ sistemine aktarılması veri minimizasyonu bakımından ayrıca risk yaratabilir.

Özel Nitelikli Kişisel Veriler Açısından Risk Daha Büyüktür

Shadow AI kullanımının sonuçları özel nitelikli kişisel veriler söz konusu olduğunda daha ciddi olabilir.

Örneğin insan kaynakları çalışanının;

sağlık raporlarını, iş göremezlik belgelerini veya çalışanlara ilişkin hassas bilgileri yapay zekâ aracına yükleyerek analiz yaptırması özel nitelikli kişisel verilerin işlenmesine ilişkin mevzuat bakımından değerlendirilmelidir.

Aynı risk;

hastaneler, klinikler, sigorta şirketleri, hukuk büroları, finans kuruluşları ve insan kaynakları şirketleri bakımından daha da belirgin hâle gelebilir.

Bu nedenle şirketlerin çalışanlarına yalnızca “kişisel veri yüklemeyin” demesi yeterli olmayabilir. Hangi bilgilerin kişisel veri ve hangi bilgilerin özel nitelikli kişisel veri olduğunun çalışanlara açıklanması gerekir.

Shadow AI ve Yurt Dışına Kişisel Veri Aktarımı

Kullanılan yapay zekâ hizmetinin teknik altyapısına göre kişisel verilerin yurt dışında bulunan sistemlerde işlenmesi veya saklanması ihtimali ortaya çıkabilir.

Bu durumda KVKK’nın kişisel verilerin yurt dışına aktarılmasına ilişkin hükümlerinin ayrıca değerlendirilmesi gerekir.

Şirket çalışanının kendi kişisel hesabından yabancı bir yapay zekâ hizmetini kullanması, bu riski ortadan kaldırmayabilir.

Bu nedenle şirketlerin yapay zekâ politikalarında sadece hangi verilerin kullanılabileceğini değil, hangi yapay zekâ hizmetlerinin kullanılabileceğini de açıkça belirlemesi önemlidir.

Shadow AI ve Ticari Sırların Korunması

Shadow AI’nin şirketler açısından en önemli risklerinden biri de ticari sırların kontrolsüz şekilde dış sistemlere aktarılmasıdır.

Şirketlerin;

• müşteri listeleri,
• maliyet hesaplamaları,
• fiyatlandırma stratejileri,
• tedarikçi bilgileri,
• üretim yöntemleri,
• formülleri,
• kaynak kodları,
• yatırım planları,
• yeni ürün projeleri,
• ihale teklifleri,
• finansal projeksiyonları ve
• iş geliştirme stratejileri

ticari açıdan önemli ve gizli bilgiler içerebilir.

Çalışanın bu bilgileri bir yapay zekâ sistemine girmesi şirket açısından ekonomik değeri son derece yüksek bilgilerin şirket kontrolü dışına çıkmasına neden olabilir.

Çalışanın Sadakat Borcu Açısından Shadow AI

Türk Borçlar Kanunu uyarınca çalışan, işverenin haklı menfaatlerinin korunmasında sadakatle davranmakla yükümlüdür.

Çalışanın hizmet ilişkisi sırasında öğrendiği üretim ve iş sırlarını koruması da bu yükümlülüğün önemli unsurlarından biridir.

Bu nedenle şirketin gizli bilgilerini yetkisiz şekilde yapay zekâ sistemlerine aktaran çalışanın davranışı, somut olayın özelliklerine göre sadakat ve gizlilik yükümlülüğünün ihlali niteliğinde değerlendirilebilir.

Ancak burada her Shadow AI kullanımının aynı ağırlıkta olmadığı unutulmamalıdır.

Bir çalışanın kamuya açık bilgilerden yararlanarak e-posta hazırlatmasıyla şirketin milyonlarca liralık teklif stratejisini yapay zekâ sistemine yüklemesi aynı hukuki sonuçları doğurmayacaktır.

Ticari Sırların Açıklanması Ceza Sorumluluğu Doğurabilir mi?

Bazı durumlarda Shadow AI kullanımı yalnızca iş hukuku ve özel hukuk bakımından değil, ceza hukuku bakımından da değerlendirme yapılmasını gerektirebilir.

Ticari sır, bankacılık sırrı veya müşteri sırrı niteliğindeki bilgilerin yetkisiz şekilde açıklanması belirli şartların bulunması hâlinde Türk Ceza Kanunu kapsamında sonuç doğurabilir.

Bununla birlikte her yapay zekâ sistemine veri yüklenmesi otomatik olarak suç oluşturmaz.

Somut olayda;

bilginin niteliği, çalışanın bilgiye erişim yetkisi, aktarımın amacı, bilginin kimlerle paylaşıldığı ve üçüncü kişilerin erişimine açılıp açılmadığı gibi hususların birlikte değerlendirilmesi gerekir.

Sözleşmesel Gizlilik Yükümlülüklerinin İhlali

Şirketler çoğu zaman müşterileri, tedarikçileri ve iş ortaklarıyla gizlilik sözleşmeleri imzalamaktadır.

Bu sözleşmelerde karşı taraftan alınan bilgilerin üçüncü kişilerle paylaşılmayacağı taahhüt edilebilir.

Çalışanın bu bilgileri şirket dışındaki bir yapay zekâ sistemine yüklemesi, sözleşmeye göre gizli bilgi paylaşımı olarak değerlendirilebilir.

Örneğin şirket bir müşterisinden gizlilik kaydıyla teknik proje almış olabilir.

Çalışan projeyi analiz ettirmek amacıyla yapay zekâ sistemine yüklediğinde, şirket kendi çalışanının yaptığı işlem nedeniyle müşterisine karşı sözleşmesel sorumlulukla karşılaşabilir.

Bu durumda;

tazminat, cezai şart, sözleşmenin feshi veya ticari ilişkinin sona ermesi

gibi sonuçlar ortaya çıkabilir.

Shadow AI Şirketin Müşterilerine Karşı Sorumluluğunu Doğurabilir

Çalışanın yapay zekâ kullanarak hata yapması hâlinde şirket;

“Yanlış cevabı yapay zekâ verdi.”

diyerek müşterisine karşı sorumluluktan otomatik olarak kurtulamaz.

Örneğin çalışan yapay zekâ tarafından hazırlanan yanlış bir hesaplamayı kontrol etmeden müşteriye göndermiş olabilir.

Benzer şekilde yapay zekâ;

yanlış teknik bilgi, hatalı sözleşme hükmü, gerçekte bulunmayan mahkeme kararı veya yanlış finansal değerlendirme üretebilir.

Yapay zekâ sistemlerinin oluşturduğu çıktılar mutlaka insan kontrolünden geçirilmelidir.

Kurumsal süreçlerde kullanılan yapay zekâ çıktılarının doğruluğunun denetlenmemesi şirket açısından sözleşmesel ve haksız fiil sorumluluğuna ilişkin tartışmalara neden olabilir.

Shadow AI ve Fikrî Mülkiyet Riskleri

Yapay zekâ kullanımı fikrî mülkiyet hukukuyla ilgili başka riskler de ortaya çıkarabilir.

Çalışan;

reklam metni, yazılım kodu, görsel, rapor, tasarım veya pazarlama içeriğini yapay zekâ aracılığıyla hazırlayabilir.

Bu durumda oluşturulan içeriğin üçüncü kişilere ait telif, marka, tasarım veya başka fikrî hakları ihlal edip etmediği değerlendirilmelidir.

Ayrıca şirket çalışanının şirketin kendi fikrî mülkiyet unsurlarını yapay zekâ sistemine yüklemesi de ayrı bir risk teşkil edebilir.

Örneğin henüz piyasaya çıkarılmamış yazılımın kaynak kodunun analiz amacıyla kontrolsüz bir yapay zekâ aracına yüklenmesi, şirketin ticari ve teknolojik varlıklarının korunması açısından önemli sonuçlar doğurabilir.

Kaynak Kodlarının Yapay Zekâya Yüklenmesi

Teknoloji şirketlerinde Shadow AI riskinin en önemli örneklerinden biri kaynak kodlarının yapay zekâ sistemlerine aktarılmasıdır.

Yazılım geliştiricileri kod içerisindeki hataları bulmak veya yeni fonksiyonlar oluşturmak amacıyla üretken yapay zekâ araçlarından yararlanabilir.

Ancak şirketin;

özel algoritmaları, güvenlik mimarisi, veri tabanı yapısı veya müşteriye özel geliştirdiği yazılım bileşenlerinin üçüncü taraf yapay zekâ sistemlerine yüklenmesi ciddi bilgi güvenliği ve ticari sır riskleri doğurabilir.

Bu nedenle özellikle teknoloji şirketlerinin kodlama amacıyla hangi yapay zekâ araçlarının kullanılabileceğini açık şekilde düzenlemesi önem taşımaktadır.

Shadow AI ve Siber Güvenlik Riski

Her yapay zekâ uygulamasının güvenlik seviyesi aynı değildir.

Çalışanlar ücretsiz veya yeni ortaya çıkmış yapay zekâ araçlarını kullanırken şirket verilerinin nerede saklandığını veya hizmet sağlayıcının güvenlik tedbirlerini bilmiyor olabilir.

Bazı yapay zekâ uygulamalarının erişim izinleri;

e-posta sistemleri, bulut depolama hizmetleri, şirket dosyaları veya farklı kurumsal uygulamalarla bağlantı kurulmasına imkân verebilir.

Bu durumda yalnızca kullanıcının sisteme doğrudan yüklediği bilgiler değil, bağlantılı kurumsal sistemlerde bulunan diğer veriler bakımından da güvenlik riski ortaya çıkabilir.

İşveren Çalışanın Shadow AI Kullanımından Sorumlu Olabilir mi?

Şirket açısından en kritik sorulardan biri budur.

Çalışanın işlemi şirket yönetiminin bilgisi dışında gerçekleştirmiş olması, şirketin her durumda sorumluluktan kurtulacağı anlamına gelmez.

Özellikle kişisel verilerin korunması bakımından şirketin gerekli teknik ve idari tedbirleri alıp almadığı önemlidir.

Şirketin;

hiçbir yapay zekâ politikası oluşturmaması, çalışanlarına eğitim vermemesi, hangi uygulamaların kullanılabileceğini belirlememesi ve bilgi güvenliği bakımından gerekli önlemleri almaması sorumluluk değerlendirmesinde dikkate alınabilir.

Bu nedenle Shadow AI yalnızca “çalışanın hatası” olarak görülmemelidir.

Aynı zamanda kurumsal risk yönetimi sorunudur.

Shadow AI İşten Çıkarma Sebebi Olabilir mi?

Çalışanın şirket politikalarına aykırı yapay zekâ kullanımı bazı durumlarda disiplin yaptırımlarına veya iş sözleşmesinin feshine neden olabilir.

Ancak her izinsiz yapay zekâ kullanımı doğrudan haklı fesih sebebi olarak değerlendirilemez.

Somut olayda;

• şirketin açık bir yapay zekâ politikası bulunup bulunmadığı,
• çalışanın politikadan haberdar edilip edilmediği,
• kullanılan verinin niteliği,
• ticari sır veya kişisel veri bulunup bulunmadığı,
• şirketin zarar görüp görmediği,
• veri güvenliğinin tehlikeye düşürülüp düşürülmediği,
• çalışanın kastı veya ihmali ve
• benzer ihlallerin daha önce gerçekleşip gerçekleşmediği

değerlendirilmelidir.

Ağır ihlaller ile basit politika ihlallerinin birbirinden ayrılması gerekir.

Şirketlerin Yapabileceği En Büyük Hata: Shadow AI’yi Görmezden Gelmek

Şirket yönetiminin;

“Biz çalışanların ChatGPT kullanmasına izin vermiyoruz.”

demesi tek başına yeterli bir önlem değildir.

Çalışanlar bu araçlara kişisel telefonlarından veya kişisel hesaplarından erişebilir.

Dolayısıyla tamamen yasaklama politikası bazı işletmelerde yapay zekâ kullanımını ortadan kaldırmak yerine görünmez hâle getirebilir.

Asıl önemli olan şirketin yapay zekâ kullanımını yönetilebilir, denetlenebilir ve hukuka uygun bir sisteme dönüştürmesidir.

Şirketler Shadow AI Riskine Karşı Ne Yapmalıdır?

Şirketlerin ilk olarak kapsamlı bir Yapay Zekâ Kullanım Politikası oluşturması yararlı olacaktır.

Politikada hangi yapay zekâ uygulamalarının kullanılabileceği açıkça belirlenmelidir.

Bunun yanında;

kişisel veriler, müşteri bilgileri, ticari sırlar, kaynak kodları, sözleşmeler ve şirket içi gizli belgeler bakımından özel kurallar konulmalıdır.

Çalışanların kişisel yapay zekâ hesaplarını iş amacıyla kullanıp kullanamayacağı da açıkça düzenlenmelidir.

Veriler Sınıflandırılmalıdır

Şirket içerisindeki bütün bilgilerin aynı güvenlik seviyesinde değerlendirilmesi doğru değildir.

Veriler örneğin;

kamuya açık, şirket içi, gizli ve çok gizli

şeklinde sınıflandırılabilir.

Ardından hangi veri kategorilerinin yapay zekâ sistemlerinde kullanılabileceği belirlenebilir.

Böylece çalışan açısından da uygulanabilir bir sistem oluşturulabilir.

Çalışanlara Yapay Zekâ Eğitimi Verilmelidir

Shadow AI’nin önemli nedenlerinden biri çalışanların yaptıkları işlemin hukuki sonucunu bilmemesidir.

Bir çalışan müşteri listesini yapay zekâya yüklerken kişisel veri aktarımı yaptığının farkında olmayabilir.

Bir yazılımcı kaynak kodunu sisteme yüklerken ticari sır riski bulunduğunu düşünmeyebilir.

Bir hukuk departmanı çalışanı ise sözleşmeyi özetletirken sözleşmesel gizlilik yükümlülüğünün ihlal edilebileceğini gözden kaçırabilir.

Bu nedenle şirketlerin çalışanlarına düzenli yapay zekâ, KVKK ve bilgi güvenliği eğitimleri vermesi önemlidir.

Yapay Zekâ Çıktılarında İnsan Denetimi Zorunlu Olmalıdır

Şirket politikalarında yalnızca veri girişleri değil, yapay zekâdan alınan çıktılar da düzenlenmelidir.

Çalışanların yapay zekâ tarafından oluşturulan içerikleri doğrudan;

müşterilere, yöneticilere, kamu kurumlarına veya üçüncü kişilere

göndermemesi sağlanmalıdır.

Özellikle hukuki, finansal, teknik ve tıbbi nitelikteki çıktılar uzman insan kontrolünden geçirilmelidir.

Shadow AI Olayı Tespit Edildiğinde Ne Yapılmalıdır?

Bir çalışanın şirket verilerini kontrolsüz şekilde yapay zekâ sistemine aktardığı tespit edildiğinde olay derhâl kurumsal risk değerlendirmesine tabi tutulmalıdır.

Öncelikle;

hangi verinin aktarıldığı, kaç kişinin verisinin etkilendiği, verilerin kişisel veri veya ticari sır içerip içermediği, hangi yapay zekâ platformunun kullanıldığı ve aktarımın devam edip etmediği

belirlenmelidir.

Ardından kullanılan hizmet sağlayıcının verileri saklama ve silme mekanizmaları incelenebilir.

Kişisel veri ihlali ihtimali varsa KVKK kapsamında gerekli hukuki değerlendirmeler yapılmalıdır.

Ticari sır veya müşteri bilgisi söz konusuysa ilgili sözleşmeler ve gizlilik hükümleri incelenmelidir.

Çalışanın sorumluluğu ve uygulanabilecek iş hukuku yaptırımları ayrıca değerlendirilmelidir.

Yapay Zekâ Kullanım Politikası Neleri İçermelidir?

Şirketlere özel hazırlanacak yapay zekâ politikalarında en azından şu hususların düzenlenmesi önem taşır:

Kullanılmasına izin verilen yapay zekâ araçları:
Çalışanların hangi platformlardan yararlanabileceği belirlenmelidir.

Yasaklanan veri kategorileri:
Kişisel veriler, özel nitelikli kişisel veriler, ticari sırlar ve şirketin gizli bilgileri bakımından sınırlar çizilmelidir.

Kurumsal hesap kullanımı:
İş amacıyla gerçekleştirilen kullanımların mümkün olduğunca şirket tarafından yönetilen hesaplardan yapılması sağlanmalıdır.

Veri minimizasyonu:
Yapay zekâ sistemine gereğinden fazla veri aktarılmaması kural hâline getirilmelidir.

İnsan denetimi:
Yapay zekâ çıktılarının kontrol edilmeden kullanılmaması düzenlenmelidir.

İhlal bildirim mekanizması:
Çalışan yanlışlıkla veri yüklediğinde bunu gizlemek yerine hızlı şekilde bildirebileceği bir sistem oluşturulmalıdır.

Disiplin hükümleri:
Kurallara aykırı kullanımın sonuçları açık şekilde çalışanlara bildirilmelidir.

Shadow AI Yalnızca Büyük Şirketlerin Sorunu Değildir

Shadow AI riski yalnızca çok uluslu şirketleri ilgilendirmez.

Küçük işletmelerde de;

muhasebe kayıtları, müşteri bilgileri, çalışan özlük dosyaları, sözleşmeler ve ticari teklifler yapay zekâ araçlarına yüklenebilir.

Hatta küçük işletmelerde özel bir bilgi güvenliği veya hukuk departmanı bulunmaması nedeniyle Shadow AI riskinin fark edilmesi daha zor olabilir.

Bu nedenle çalışan sayısından bağımsız olarak yapay zekâ kullanan bütün işletmelerin temel kullanım kurallarını belirlemesi faydalıdır.

Avukatlık Bürolarında Shadow AI Riski

Avukatlık büroları bakımından Shadow AI özel önem taşımaktadır.

Avukat, stajyer avukat veya büro çalışanının;

dava dosyalarını, müvekkil ifadelerini, sağlık raporlarını, ceza soruşturması belgelerini, sözleşmeleri veya kimlik bilgilerini kontrolsüz yapay zekâ araçlarına yüklemesi hem kişisel verilerin korunması hem de mesleki sırların korunması bakımından risk yaratabilir.

Bu nedenle hukuk bürolarında hangi yapay zekâ araçlarının kullanılabileceği ve hangi bilgilerin sisteme kesinlikle girilemeyeceği açık şekilde düzenlenmelidir.

Shadow AI Hukuki Uyum Programının Parçası Hâline Getirilmelidir

Şirketlerin yapay zekâ konusunu yalnızca bilgi teknolojileri departmanına bırakması yeterli olmayabilir.

Shadow AI;

hukuk, insan kaynakları, bilgi teknolojileri, siber güvenlik, KVKK ve iç denetim ekiplerinin birlikte yönetmesi gereken bir kurumsal yönetişim problemidir.

Şirketin yapay zekâ politikası hazırlanırken tüm bu birimlerin görüşlerinin alınması, politikanın gerçek iş süreçlerine uygun olmasını sağlayacaktır.

Sonuç

Shadow AI, çalışanların şirket tarafından onaylanmamış yapay zekâ araçlarını kullanması veya onaylanmış araçları belirlenen sınırların dışında kullanması sonucunda ortaya çıkan önemli bir kurumsal risk alanıdır.

Çalışanın birkaç dakika içerisinde gerçekleştirdiği basit bir işlem;

kişisel veri ihlaline, yurt dışına hukuka aykırı veri aktarımına, ticari sırların açığa çıkmasına, sözleşmesel gizlilik yükümlülüklerinin ihlaline, fikrî mülkiyet uyuşmazlıklarına, siber güvenlik sorunlarına veya şirketin tazminat sorumluluğuna

neden olabilir.

Bu nedenle Shadow AI yalnızca teknik bir bilgi güvenliği problemi olarak görülmemelidir.

Konu aynı zamanda KVKK, iş hukuku, ticaret hukuku, sözleşmeler hukuku, fikrî mülkiyet hukuku ve bazı durumlarda ceza hukuku bakımından değerlendirilmesi gereken çok yönlü bir hukuki risk alanıdır.

Şirketlerin yapabileceği en etkili şey yapay zekâ kullanımını tamamen görmezden gelmek veya yalnızca yasaklamak değildir. Bunun yerine hangi yapay zekâ araçlarının hangi koşullarda kullanılabileceğini belirleyen açık bir kurumsal politika oluşturulmalı; kişisel veriler ve ticari sırlar korunmalı, çalışanlara eğitim verilmeli ve yapay zekâ çıktıları insan denetimine tabi tutulmalıdır.

Yapay zekâ araçlarının iş hayatındaki kullanımının giderek yaygınlaştığı düşünüldüğünde şirketler bakımından temel soru artık “Çalışanlarımız yapay zekâ kullanıyor mu?” değil, “Çalışanlarımız yapay zekâyı hangi verilerle, hangi sistemlerde ve hangi hukuki kurallar çerçevesinde kullanıyor?” olmalıdır.