Shadow AI ve KVKK İhlalleri: Şirketlerde Kontrolsüz Yapay Zekâ Kullanımının Hukuki Riskleri

Yapay zekâ araçlarının şirketlerde hızla yaygınlaşması, çalışanların iş yapma biçimlerini önemli ölçüde değiştirmiştir. E-posta hazırlamak, sözleşme özetlemek, rapor oluşturmak, müşteri verilerini analiz etmek, tercüme yapmak, yazılım kodu geliştirmek veya toplantı notlarını düzenlemek amacıyla kullanılan üretken yapay zekâ araçları ciddi bir zaman ve verimlilik avantajı sağlayabilmektedir.

Ancak bu teknolojilerin şirket yönetiminin, hukuk departmanının veya bilgi teknolojileri biriminin bilgisi dışında kullanılması yeni bir hukuki risk alanı ortaya çıkarmaktadır. Bu durum genel olarak “Shadow AI” olarak ifade edilmektedir.

Shadow AI özellikle kişisel verilerin korunması bakımından önemlidir. Çalışanın müşteri listelerini, çalışan bilgilerini, sözleşmeleri, özlük dosyalarını, sağlık raporlarını veya gerçek kişilere ilişkin başka belgeleri şirket tarafından onaylanmamış bir yapay zekâ sistemine yüklemesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında ciddi sonuçlara neden olabilir.

Kişisel Verileri Koruma Kurumu da üretken yapay zekâ sistemlerinin kullanımında, kullanıcıların istemlerde paylaştığı kişisel veriler ile kurumsal açıdan hassas bilgilerin açığa çıkması ihtimalini önemli veri güvenliği risklerinden biri olarak değerlendirmektedir.

Bu nedenle Shadow AI yalnızca şirketlerin bilgi teknolojileri departmanlarını ilgilendiren teknik bir sorun değil; doğrudan KVKK uyumu, veri güvenliği ve kurumsal hukuki sorumluluk meselesidir.

Shadow AI Nedir?

Shadow AI, çalışanların şirket tarafından onaylanmamış veya şirketin denetimi altında bulunmayan yapay zekâ uygulamalarını iş amacıyla kullanması şeklinde tanımlanabilir.

Bunun yanında şirket tarafından belirli bir yapay zekâ aracının kullanılmasına izin verilmiş olmakla birlikte, çalışanın bu sistemi belirlenen amaçların ve veri kullanım sınırlarının dışında kullanması da Shadow AI riski oluşturabilir.

Örneğin bir şirket çalışanının;

• müşteri listesini kişisel yapay zekâ hesabına yüklemesi,
• çalışan özlük dosyalarını yapay zekâ aracında analiz ettirmesi,
• sağlık raporunu özetletmesi,
• gerçek kişilerin bilgilerini içeren sözleşmeleri yapay zekâ sistemine yüklemesi,
• müşteri şikâyetlerini isim ve iletişim bilgileriyle birlikte yapay zekâya göndermesi,
• insan kaynakları verileri üzerinden çalışan değerlendirmesi yaptırması

kişisel verilerin korunması bakımından incelenmesi gereken Shadow AI örnekleridir.

Shadow AI Neden KVKK Açısından Risklidir?

Shadow AI’nin KVKK bakımından temel problemi, kişisel verilerin şirketin kontrol ettiği sistemlerin dışına çıkabilmesidir.

Şirket normal şartlarda kullandığı kurumsal yazılımlar bakımından;

verilerin nerede tutulduğunu, kimlerin verilere erişebildiğini, hangi güvenlik tedbirlerinin uygulandığını ve hangi hizmet sağlayıcılarla çalışıldığını belirleyebilir.

Çalışan kişisel hesabından bilinmeyen veya şirket tarafından onaylanmamış bir yapay zekâ aracını kullandığında ise şirket bu kontrolü kaybedebilir.

Özellikle;

hangi verilerin aktarıldığı, verilerin hangi amaçlarla işlendiği, ne kadar süre saklandığı, başka sistemlerle paylaşılıp paylaşılmadığı ve verilerin hangi ülkelerde işlendiği

konularında belirsizlik ortaya çıkabilir.

Bu nedenle Shadow AI, şirketin KVKK kapsamında yerine getirmesi gereken veri güvenliği yükümlülüklerini doğrudan etkileyebilir.

Çalışanın Yapay Zekâya Kişisel Veri Yüklemesi KVKK İhlali midir?

Her yapay zekâ kullanımının otomatik olarak KVKK ihlali olduğu söylenemez.

Somut olayda;

kişisel veri bulunup bulunmadığı, verinin hangi amaçla işlendiği, işlemenin hukuki sebebi, kullanılan yapay zekâ sisteminin özellikleri, yurt dışına aktarım bulunup bulunmadığı ve alınan güvenlik tedbirleri

birlikte değerlendirilmelidir.

Ancak çalışan herhangi bir hukuki değerlendirme yapılmaksızın gerçek kişilere ait verileri şirketin kontrolü dışındaki bir yapay zekâ sistemine aktarıyorsa KVKK açısından önemli riskler ortaya çıkar.

Örneğin bir satış çalışanının;

“Bu müşterileri satın alma potansiyellerine göre sınıflandır.”

talebiyle müşterilerin ad, soyadı, telefon numarası, e-posta adresi, satın alma geçmişi ve ödeme bilgilerini yapay zekâ aracına yüklediğini düşünelim.

Burada yalnızca yapay zekâ kullanılması değil, çok sayıda kişisel verinin yeni bir sistem içerisinde işlenmesi söz konusudur.

KVKK’nın Genel İlkeleri ve Shadow AI

KVKK’nın 4. maddesi kapsamında kişisel verilerin işlenmesinde belirli temel ilkelere uyulması gerekir.

Kişisel veriler;

hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli, açık ve meşru amaçlarla, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü şekilde

işlenmelidir.

Shadow AI kullanımında özellikle amaçla bağlantılılık, sınırlılık ve ölçülülük ilkeleri önem taşır.

Örneğin çalışanın yalnızca bir sözleşme maddesini özetlemek istemesine rağmen 70 sayfalık müşteri sözleşmesinin tamamını yapay zekâ sistemine yüklemesi gereğinden fazla kişisel veri işlenmesine neden olabilir.

Belgede yalnızca ilgili maddeyi incelemek için gerekli olmayan;

isimler, telefon numaraları, banka hesapları, imzalar, adresler ve diğer kişisel bilgiler

bulunabilir.

Yapay zekâ sistemlerine veri aktarılırken “Belgenin tamamını yüklemek gerçekten gerekli mi?” sorusunun sorulması bu nedenle önemlidir.

Veri Minimizasyonu Shadow AI Açısından Neden Önemlidir?

Üretken yapay zekâ araçlarının kullanımında en temel uygulamalardan biri mümkün olan en az miktarda kişisel verinin sisteme aktarılmasıdır.

Örneğin çalışanın yalnızca sözleşmedeki belirli bir hükmü inceletmesi gerekiyorsa tarafların isimleri, adresleri ve diğer kişisel bilgilerinin sisteme aktarılmasına gerek olmayabilir.

Benzer şekilde müşteri şikâyetine verilecek cevabın hazırlanması için müşterinin T.C. kimlik numarası, banka hesabı veya bütün işlem geçmişinin yapay zekâ sistemine yüklenmesi gerekmeyebilir.

Bu nedenle şirketler yapay zekâ kullanım politikalarında veri minimizasyonu ilkesini açıkça düzenlemelidir.

Özel Nitelikli Kişisel Verilerin Yapay Zekâya Yüklenmesi

Shadow AI kullanımında risk, özel nitelikli kişisel veriler söz konusu olduğunda daha da artmaktadır.

Örneğin şirket çalışanlarının;

sağlık raporları, biyometrik verileri, ceza mahkûmiyetine ilişkin bilgileri veya kanunen özel nitelikli kişisel veri olarak kabul edilen diğer bilgilerin

üretken yapay zekâ sistemlerine kontrolsüz şekilde yüklenmesi ciddi hukuki sonuçlar doğurabilir.

Özellikle insan kaynakları departmanlarının bu konuda dikkatli olması gerekir.

Örneğin;

“Çalışanlarımızın sağlık raporlarını inceleyerek en fazla hangi hastalık nedeniyle işe gelmediklerini analiz et.”

şeklinde bir talebin yapay zekâ sistemine gönderilmesi, çok sayıda özel nitelikli kişisel verinin işlenmesine neden olabilir.

Bu tür işlemlerin yapılabilmesi için yalnızca şirket açısından faydalı olması yeterli değildir. KVKK’nın özel nitelikli kişisel verilerin işlenmesine ilişkin hükümleri ayrıca değerlendirilmelidir.

Sağlık Sektöründe Shadow AI ve KVKK Riski

Sağlık kuruluşları Shadow AI bakımından yüksek riskli işletmeler arasındadır.

Doktor, hemşire, sekreter veya başka bir sağlık çalışanının;

hasta dosyasını, laboratuvar sonucunu, görüntüleme raporunu veya tedavi geçmişini

kişisel yapay zekâ hesabına yüklemesi son derece hassas verilerin şirket kontrolü dışındaki bir sistem içerisinde işlenmesine yol açabilir.

Çalışanın amacı yalnızca;

“Bu raporu daha anlaşılır şekilde özetle.”

demek olsa dahi belgede kişinin kimliği ve sağlık durumu birlikte bulunabilir.

Dolayısıyla hastaneler, klinikler ve diğer sağlık kuruluşlarının yapay zekâ politikaları özellikle sıkı hazırlanmalıdır.

İnsan Kaynaklarında Shadow AI Riski

İnsan kaynakları departmanları şirketlerin en fazla kişisel veri işleyen bölümlerinden biridir.

Çalışanların;

öz geçmişleri, ücretleri, performans değerlendirmeleri, sağlık bilgileri, disiplin kayıtları ve özlük belgeleri

insan kaynakları birimlerinin elinde bulunabilir.

Bu bilgilerin yapay zekâ sistemlerine yüklenerek;

performans sıralaması yapılması, işe alım kararı verilmesi veya çalışan davranışlarının analiz edilmesi

kişisel verilerin korunmasının yanında otomatik karar alma ve çalışan hakları bakımından da ayrıca değerlendirilmelidir.

Özellikle yapay zekâ tarafından oluşturulan değerlendirmelerin doğrudan işe alma veya işten çıkarma kararında kullanılması ayrıca hukuki risk yaratabilir.

Hukuk Departmanlarının Yapay Zekâ Kullanımı ve KVKK

Şirketlerin hukuk departmanları da Shadow AI açısından yüksek riskli birimler arasındadır.

Hukuk departmanı çalışanları sözleşmeleri, dava dosyalarını, ihtarnameleri ve uyuşmazlık belgelerini yapay zekâ sistemleriyle analiz etmek isteyebilir.

Ancak bu belgelerde;

müşteri temsilcilerinin kişisel bilgileri, çalışan verileri, kimlik bilgileri, banka bilgileri ve uyuşmazlığa taraf gerçek kişilere ait çok sayıda veri

bulunabilir.

Bu nedenle hukuk departmanlarında yapay zekâ kullanımının kontrolsüz bırakılması şirket açısından doğrudan KVKK riski doğurabilir.

Avukatlık Bürolarında Shadow AI ve KVKK

Avukatlık büroları bakımından risk daha da belirgindir.

Dava ve soruşturma dosyaları çoğu zaman;

kimlik bilgileri, sağlık kayıtları, banka hareketleri, ceza soruşturması bilgileri, aile hayatına ilişkin bilgiler ve çok sayıda başka kişisel veri

içermektedir.

Bir avukatın, stajyer avukatın veya büro çalışanının dava dosyasını kişisel yapay zekâ hesabına yüklemesi hâlinde KVKK’nın yanında avukatın mesleki sır saklama yükümlülüğü de gündeme gelebilir.

Dolayısıyla hukuk bürolarında yapay zekâ kullanımı bakımından ayrıca gizlilik ve veri güvenliği prosedürleri oluşturulması önemlidir.

Shadow AI ve Yurt Dışına Kişisel Veri Aktarımı

Shadow AI bakımından en kritik hukuki konulardan biri de kişisel verilerin yurt dışına aktarılmasıdır.

Türkiye dışındaki altyapılardan hizmet sunan bir yapay zekâ sistemine kişisel veri aktarılması hâlinde, işlemin teknik ve sözleşmesel yapısına göre KVKK’nın 9. maddesi kapsamında yurt dışına veri aktarımı gündeme gelebilir.

KVKK’nın yurt dışına veri aktarımına ilişkin 9. maddesi 2024 yılında önemli ölçüde değiştirilmiş ve yeni sistem 1 Haziran 2024 tarihinde yürürlüğe girmiştir. Güncel sistemde yeterlilik kararı yanında uygun güvenceler ve belirli şartlarda arızi aktarım mekanizmaları öngörülmekte; standart sözleşmeler ve bağlayıcı şirket kuralları da uygun güvence yöntemleri arasında yer almaktadır.

Bu nedenle şirketlerin;

“Çalışanın kullandığı yapay zekâ uygulaması yabancı şirket tarafından sunuluyor.”

tespitiyle yetinmemesi gerekir.

Verinin fiilen nereye aktarıldığı, tarafların veri işleme rollerinin ne olduğu ve KVKK m.9 kapsamında hangi aktarım mekanizmasının uygulanabileceği ayrıca incelenmelidir.

Standart Sözleşme Yapılması Gerekebilir mi?

Yurt dışına kişisel veri aktarımında kullanılabilecek uygun güvence yöntemlerinden biri KVKK kapsamında standart sözleşmelerdir.

Standart sözleşmenin kullanıldığı hâllerde sözleşmenin imzalarının tamamlanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumuna bildirilmesi gerekmektedir. Kurum, 27 Temmuz 2026 tarihli duyurusunda standart sözleşmelerin hazırlanması ve bildirilmesine ilişkin uygulamada dikkat edilmesi gereken hususları ayrıca açıklamıştır.

Bu nedenle şirketin kurumsal bir yapay zekâ hizmeti kullanmaya başlamadan önce yalnızca ticari abonelik sözleşmesini incelemesi yeterli olmayabilir.

KVKK bakımından veri aktarım mimarisinin ayrıca değerlendirilmesi gerekir.

“Çalışan Kendi Hesabından Kullandı” Savunması Şirketi Kurtarır mı?

Shadow AI vakalarında şirketlerin ileri sürebileceği en yaygın savunmalardan biri;

“Bu yapay zekâ sistemini şirket kullanmıyordu. Çalışan kendi kişisel hesabından kullandı.”

şeklinde olabilir.

Ancak bu durum şirketi her olayda otomatik olarak sorumluluktan kurtarmaz.

KVKK kapsamında veri sorumlusunun kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlü olduğu unutulmamalıdır.

Bu nedenle değerlendirmede;

• şirketin yapay zekâ kullanım politikası bulunup bulunmadığı,
• çalışanların bilgilendirilip bilgilendirilmediği,
• hangi uygulamaların yasaklandığının açıkça bildirilip bildirilmediği,
• veri erişimlerinin sınırlandırılıp sınırlandırılmadığı,
• çalışanlara KVKK eğitimi verilip verilmediği ve
• şirketin riskleri önlemek için makul güvenlik tedbirleri alıp almadığı

önem taşıyabilir.

Shadow AI bu nedenle yalnızca çalışan hatası değil, aynı zamanda kurumsal veri güvenliği ve yönetişim sorunudur.

İşverenin KVKK Kapsamındaki Veri Güvenliği Yükümlülüğü

KVKK’nın 12. maddesi veri sorumlularına kişisel verilerin güvenliğini sağlamak için gerekli teknik ve idari tedbirleri alma yükümlülüğü getirmektedir.

Yapay zekâ araçlarının çalışanlar tarafından yaygın olarak kullanılmaya başlamasıyla birlikte şirketlerin mevcut bilgi güvenliği politikalarını bu yeni teknolojiye göre güncellemesi önem kazanmıştır.

Şirketlerin artık yalnızca;

USB kullanımı, şirket e-postası, bulut depolama ve dışarıya dosya gönderilmesi

konularını düzenlemesi yeterli olmayabilir.

Yapay zekâ sistemleri de kurumsal veri güvenliği politikalarının bir parçası hâline getirilmelidir.

Çalışanın Yapay Zekâya Veri Yüklemesi Veri İhlali Sayılır mı?

Her Shadow AI vakası otomatik olarak kişisel veri ihlali bildirimi gerektirmez.

Öncelikle olayın niteliğinin değerlendirilmesi gerekir.

Şirket;

hangi kişisel verilerin aktarıldığını, verilerin kimlere ait olduğunu, hangi sisteme yüklendiğini, üçüncü kişilerin verilere erişip erişemediğini ve verilerin hâlen sistem içerisinde bulunup bulunmadığını

tespit etmelidir.

Ancak kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi söz konusuysa KVKK’nın veri ihlali bildirim yükümlülükleri gündeme gelebilir.

Kişisel Verileri Koruma Kurulunun 2019/10 sayılı kararı uyarınca, Kanun’daki “en kısa sürede” ifadesi veri sorumlusunun ihlali öğrendiği andan itibaren en geç 72 saat olarak uygulanmaktadır. Etkilenen ilgili kişilere de makul olan en kısa sürede bildirim yapılması öngörülmektedir.

Shadow AI İhlali Tespit Edildiğinde Ne Yapılmalıdır?

Çalışanın kişisel veri içeren bir şirket belgesini yapay zekâ sistemine yüklediği öğrenildiğinde şirketin hızlı şekilde hareket etmesi gerekir.

İlk olarak olayın kapsamı belirlenmelidir.

Şu sorulara cevap aranmalıdır:

Hangi yapay zekâ sistemi kullanıldı?

Hangi belge yüklendi?

Belgede hangi kişisel veriler bulunuyordu?

Kaç kişi etkilendi?

Özel nitelikli kişisel veri var mı?

Veriler yurt dışına aktarıldı mı?

Veriler sistemden silinebiliyor mu?

Üçüncü kişiler verilere erişmiş olabilir mi?

Bu değerlendirme sonrasında olayın kişisel veri ihlali niteliğinde olup olmadığı tespit edilmeli ve gerekli KVKK süreçleri yürütülmelidir.

Şirketlerin Yapmaması Gereken Hata: İhlali Gizlemek

Çalışanın yanlışlıkla yapay zekâ sistemine veri yüklediğini bildirmekten çekinmesi, olayın büyümesine neden olabilir.

Bu nedenle şirketlerin;

“Yanlışlıkla veri yüklediysen derhâl bildir.”

yaklaşımını benimseyen açık bir iç prosedür oluşturması faydalıdır.

Çalışanın yaptığı hatayı günler veya haftalar boyunca gizlemesi hâlinde şirket olası veri ihlaline zamanında müdahale edemeyebilir.

KVKK uygulamasında veri ihlalinin geç bildirilmesinin de ayrıca yaptırım konusu olabildiği görülmektedir.

Shadow AI ve Açık Rıza

Şirketlerin karşılaşabileceği başka bir yanlış yaklaşım, bütün yapay zekâ işlemlerini açık rızaya dayandırmaya çalışmaktır.

KVKK kapsamında kişisel veri işleme faaliyetlerinde öncelikle ilgili işlem için kanunda öngörülen hukuki sebepler değerlendirilmelidir.

Her veri işleme faaliyeti için otomatik olarak açık rıza alınması doğru yaklaşım değildir.

Aynı şekilde çalışanın;

“Müşteri zaten bize açık rıza verdi.”

diyerek müşteri verilerini istediği her yapay zekâ sistemine aktarması da hukuken yeterli olmayabilir.

Açık rızanın hangi amaç ve işlem için verildiği ayrıca değerlendirilmelidir.

Anonimleştirme Shadow AI Riskini Ortadan Kaldırabilir mi?

Yapay zekâ kullanımında risk azaltıcı yöntemlerden biri kişisel verilerin sisteme aktarılmadan önce uygun şekilde anonimleştirilmesidir.

Örneğin bir sözleşmede bulunan;

ad, soyadı, telefon numarası, T.C. kimlik numarası, adres ve banka hesabı

gibi bilgiler çıkartıldıktan sonra yalnızca hukuki hükümlerin analiz edilmesi düşünülebilir.

Ancak yalnızca kişinin adını silmek her zaman anonimleştirme anlamına gelmez.

Belgede kalan diğer bilgiler kullanılarak kişinin kimliğinin belirlenmesi mümkünse veri kişisel veri niteliğini koruyabilir.

Bu nedenle şirketlerin anonimleştirme ve maskeleme yöntemlerini teknik ve hukuki açıdan birlikte değerlendirmesi gerekir.

Şirketler Shadow AI Riskini Nasıl Azaltabilir?

Shadow AI risklerini azaltmanın en etkili yollarından biri açık bir Kurumsal Yapay Zekâ Kullanım Politikası oluşturmaktır.

Politikada;

• kullanılabilecek yapay zekâ uygulamaları,
• yasaklanan uygulamalar,
• kişisel veri içeren belgeler,
• özel nitelikli kişisel veriler,
• ticari sırlar,
• kişisel hesap kullanımı,
• yurt dışı veri aktarımı,
• anonimleştirme yöntemleri,
• insan denetimi ve
• veri ihlali bildirim prosedürleri

açık şekilde düzenlenmelidir.

Onaylı Yapay Zekâ Araçları Belirlenmelidir

Şirketlerin çalışanlara yalnızca;

“Yapay zekâ kullanmayın.”

demesi pratikte yeterli olmayabilir.

Çalışanlar işlerini hızlandırmak amacıyla bu teknolojileri kullanmaya devam edebilir.

Bu durumda kullanım şirket tarafından görünmeyen bir alana kayabilir ve Shadow AI riski daha da büyüyebilir.

Daha etkili yöntem, bilgi güvenliği ve hukuk incelemesinden geçirilmiş yapay zekâ hizmetlerini belirleyerek çalışanlara hangi sistemleri kullanabileceklerini açıkça bildirmektir.

Şirket Verileri Sınıflandırılmalıdır

Her şirket verisinin aynı risk seviyesinde olmadığı unutulmamalıdır.

Veriler örneğin;

kamuya açık, şirket içi, gizli ve çok gizli

şeklinde sınıflandırılabilir.

Daha sonra her kategori için ayrı yapay zekâ kullanım kuralları belirlenebilir.

Örneğin kamuya açık içeriklerin onaylı yapay zekâ araçlarında kullanılmasına izin verilirken çalışan sağlık raporlarının veya müşteri kimlik bilgilerinin harici yapay zekâ sistemlerinde kullanılması yasaklanabilir.

Çalışanlara Shadow AI ve KVKK Eğitimi Verilmelidir

Shadow AI vakalarının önemli bir kısmında çalışanın kötü niyetinden ziyade farkındalık eksikliği bulunmaktadır.

Çalışan;

“Ben sadece raporu özetlettim.”

diyebilir.

Ancak yüklediği rapor yüzlerce kişinin kişisel verisini içeriyor olabilir.

Başka bir çalışan;

“Sadece müşteri şikâyetine cevap hazırlattım.”

diyebilir.

Ancak yapay zekâ sistemine müşterinin bütün geçmiş yazışmalarını ve iletişim bilgilerini yüklemiş olabilir.

Bu nedenle çalışanlara gerçek vakalar üzerinden yapay zekâ ve KVKK eğitimi verilmesi önemlidir.

Yapay Zekâ Envanteri Oluşturulmalıdır

Şirketlerin hangi çalışanların hangi yapay zekâ araçlarını kullandığını tespit etmesi faydalıdır.

Bu amaçla kurumsal bir yapay zekâ envanteri hazırlanabilir.

Envanterde;

hangi yapay zekâ hizmetinin kullanıldığı, kullanım amacı, hangi veri kategorilerinin işlendiği, hizmet sağlayıcının bulunduğu ülke ve alınan güvenlik önlemleri

gibi bilgiler yer alabilir.

Böylelikle yapay zekâ uygulamalarının şirket içerisinde tamamen görünmez şekilde kullanılmasının önüne geçilebilir.

Yeni Bir Yapay Zekâ Aracı Kullanılmadan Önce Hukuki İnceleme Yapılmalıdır

Bir çalışan veya departman yeni bir yapay zekâ hizmeti kullanmak istediğinde şirketin yalnızca uygulamanın teknik özelliklerine bakması yeterli değildir.

Hizmet sağlayıcının;

gizlilik politikası, veri işleme şartları, verilerin saklanma süresi, yurt dışı aktarım yapısı ve kurumsal güvenlik özellikleri

de değerlendirilmelidir.

Özellikle yoğun miktarda kişisel veri işleyecek projelerde KVKK bakımından ayrı bir risk değerlendirmesi yapılması önemlidir.

Yapay Zekâ Sistemlerine Girilen Komutlar da Kişisel Veri İçerebilir

Shadow AI bakımından sıklıkla gözden kaçan bir diğer konu, sisteme dosya yüklenmese bile yazılan komutların kişisel veri içerebilmesidir.

Örneğin çalışan;

“Ahmet Yılmaz, 0532… telefon numaralı müşterimizdir. Son üç ödemesini geciktirdi. Bu müşteriye gönderilecek ihtar metnini hazırla.”

şeklinde bir komut yazarsa sisteme herhangi bir dosya yüklememiş olsa dahi kişisel veri kullanılmış olur.

Bu nedenle şirket politikalarının yalnızca “belge yükleme” işlemini değil, yapay zekâya yazılan istem ve komutları da kapsaması gerekir.

Shadow AI ve KVKK Uyum Programı Birlikte Yürütülmelidir

Shadow AI risklerinin yönetilmesi yalnızca bilgi teknolojileri birimine bırakılamaz.

Şirket içerisinde;

hukuk, KVKK, bilgi teknolojileri, siber güvenlik, insan kaynakları ve iç denetim

birimlerinin birlikte hareket etmesi gerekir.

Teknik ekip hangi sistemlerin kullanıldığını belirlerken hukuk ekibi veri işleme şartlarını ve yurt dışı aktarımını değerlendirmeli; insan kaynakları ise çalışan eğitimleri ve işyeri politikalarının uygulanmasını sağlamalıdır.

Shadow AI’nin Şirketler Açısından Önemi Artacak mı?

Üretken yapay zekâ araçlarının iş hayatındaki kullanımının giderek yaygınlaşması, Shadow AI riskinin de artacağını göstermektedir.

Çalışanların yapay zekâ kullanmasını tamamen engellemeye çalışmak birçok şirket açısından gerçekçi olmayabilir.

Asıl mesele yapay zekâ kullanımını görünür, kontrol edilebilir ve hukuka uygun hâle getirmektir.

Kişisel Verileri Koruma Kurumu tarafından üretken yapay zekâ sistemlerinin kişisel verilerin korunması üzerindeki etkilerine özel bir rehber yayımlanmış olması da konunun veri koruma hukukundaki önemini göstermektedir.

Sonuç

Shadow AI ve KVKK ihlalleri, şirketlerin önümüzdeki dönemde karşı karşıya kalacağı önemli yapay zekâ hukuku sorunları arasında yer almaktadır.

Bir çalışanın şirket yönetiminin bilgisi dışında;

müşteri listesini, çalışan özlük dosyasını, sağlık raporunu, dava dosyasını, sözleşmeyi veya başka bir kişisel veri içeren belgeyi yapay zekâ sistemine yüklemesi, basit bir teknoloji kullanımı olarak değerlendirilmemelidir.

Somut olayın özelliklerine göre bu işlemler;

kişisel verilerin hukuka aykırı işlenmesi, veri güvenliği yükümlülüğünün ihlali, özel nitelikli kişisel verilerin hukuka aykırı işlenmesi, yurt dışına veri aktarımı ve kişisel veri ihlali bildirimi

gibi birçok KVKK sorununa neden olabilir.

Şirketlerin “Çalışan bunu kendi hesabından yaptı.” yaklaşımıyla yetinmesi de doğru değildir. Veri sorumlusu konumundaki şirketlerin gerekli teknik ve idari tedbirleri oluşturması; hangi yapay zekâ araçlarının kullanılabileceğini belirlemesi, çalışanlarını eğitmesi ve kişisel verilerin yapay zekâ sistemlerinde nasıl kullanılacağını açık kurallara bağlaması gerekir.

Bu nedenle şirketlerin KVKK uyum projelerini artık yapay zekâ kullanımından bağımsız düşünmemesi gerekir.

Günümüzde şirketler açısından temel soru yalnızca;

“Kişisel verilerimizi kimlerle paylaşıyoruz?”

değildir.

Aynı zamanda şu sorunun da cevaplanması gerekir:

“Çalışanlarımız kişisel verileri hangi yapay zekâ sistemlerine aktarıyor ve bu işlemler KVKK’ya uygun şekilde gerçekleştiriliyor mu?”

Shadow AI riskinin doğru yönetilmesi, şirketlerin hem yapay zekâ teknolojilerinin sağladığı verimlilikten yararlanabilmesi hem de kişisel verilerin korunmasına ilişkin hukuki yükümlülüklerini yerine getirebilmesi açısından giderek daha önemli hâle gelmektedir.