Shadow AI ve Müşteri Verilerinin Korunması: Şirketler İçin Hukuki Riskler ve Önlemler

Yapay zekâ araçlarının iş hayatında hızla yaygınlaşması, şirketlerin müşteri ilişkilerini yönetme biçimini önemli ölçüde değiştirmiştir. Çalışanlar artık müşteri taleplerine cevap hazırlamak, şikâyetleri sınıflandırmak, sözleşmeleri özetlemek, satış verilerini analiz etmek, müşteri profilleri oluşturmak veya pazarlama metinleri hazırlamak amacıyla ChatGPT ve benzeri üretken yapay zekâ araçlarından yararlanmaktadır.

Ancak çalışanların şirketin bilgisi, kontrolü veya onayı dışında yapay zekâ araçlarını kullanması, müşteri verilerinin korunması bakımından ciddi hukuki riskler yaratabilir. Bu tür kontrolsüz yapay zekâ kullanımları genel olarak Shadow AI kavramı kapsamında değerlendirilmektedir.

Bir satış personelinin müşteri listesini kişisel yapay zekâ hesabına yüklemesi, müşteri hizmetleri çalışanının bir şikâyet metnini müşterinin adı ve iletişim bilgileriyle birlikte yapay zekâya göndermesi veya şirket çalışanının müşteri sözleşmelerini üçüncü taraf bir yapay zekâ sistemi üzerinden analiz ettirmesi ilk bakışta sıradan bir iş kolaylaştırma faaliyeti gibi görünebilir.

Ancak bu işlemler sonucunda müşterilere ait kişisel veriler, ticari bilgiler ve gizli sözleşme içerikleri şirketin kontrolü dışındaki sistemlerde işlenebilir.

Bu nedenle Shadow AI ve müşteri verilerinin korunması, yalnızca bilgi teknolojileri departmanlarının değil; hukuk, KVKK, siber güvenlik, insan kaynakları ve şirket yönetiminin birlikte ele alması gereken önemli bir kurumsal uyum konusudur.

Shadow AI Nedir?

Shadow AI, çalışanların şirket tarafından onaylanmamış yapay zekâ sistemlerini iş amacıyla kullanmasını veya izin verilen yapay zekâ sistemlerini şirketin belirlediği kullanım sınırlarının dışında kullanmasını ifade eder.

Örneğin çalışan;

• müşteri listesini kişisel ChatGPT hesabına yükleyebilir,
• müşteri şikâyetlerini yapay zekâ sisteminde sınıflandırabilir,
• satış kayıtlarını üçüncü taraf yapay zekâ aracında analiz edebilir,
• müşteri sözleşmelerini özetletebilir,
• müşteriyle yapılan e-posta yazışmalarını yapay zekâya aktarabilir,
• müşteri davranışlarını analiz ettirmek amacıyla işlem geçmişlerini AI sistemine yükleyebilir.

Bu işlemlerin ortak noktası, müşteri verilerinin şirket tarafından önceden değerlendirilmemiş bir sistemde kullanılabilmesidir.

Müşteri Verisi Nedir?

Müşteri verisi kavramı yalnızca müşterinin adı ve telefon numarasından ibaret değildir.

Şirketlerin elinde müşterilere ilişkin çok farklı bilgiler bulunabilir.

Bunlar arasında;

• ad ve soyadı,
• telefon numarası,
• e-posta adresi,
• adres bilgisi,
• T.C. kimlik numarası,
• banka ve ödeme bilgileri,
• satın alma geçmişi,
• sipariş kayıtları,
• müşteri şikâyetleri,
• destek kayıtları,
• sözleşme bilgileri,
• görüşme kayıtları,
• IP bilgileri,
• tercih ve davranış verileri

yer alabilir.

Bu bilgilerin gerçek kişiyle ilişkilendirilebilmesi hâlinde kişisel veri hukuku bakımından değerlendirme yapılması gerekir.

Bu nedenle çalışanların müşteri bilgilerini yapay zekâ sistemlerinde kullanması basit bir teknoloji kullanımı olarak görülmemelidir.

Shadow AI Müşteri Verileri İçin Neden Risklidir?

Şirketler normal şartlarda müşteri verilerinin hangi sistemlerde tutulduğunu kontrol etmeye çalışır.

CRM sistemleri, şirket sunucuları, e-posta hesapları ve müşteri veri tabanları belirli güvenlik politikalarına tabi olabilir.

Ancak çalışan kendi kişisel hesabından bir yapay zekâ aracına müşteri verisi girdiğinde şirket bu kontrolü kaybedebilir.

Şirket;

verinin nerede işlendiğini, ne kadar süre saklandığını, hangi amaçlarla kullanıldığını, üçüncü taraflara aktarılıp aktarılmadığını veya verinin sonradan silinip silinemeyeceğini bilmiyor olabilir.

Bu durum müşteri verilerinin korunması açısından ciddi bir kurumsal risk oluşturur.

Müşteri Listesinin Yapay Zekâya Yüklenmesi

Shadow AI bakımından en sık karşılaşılabilecek örneklerden biri müşteri listeleridir.

Bir satış çalışanı;

“Bu müşterileri satış potansiyellerine göre sınıflandır.”

talebiyle bir Excel dosyasını yapay zekâ sistemine yükleyebilir.

Dosyada;

müşteri adı, telefon numarası, e-posta adresi, satın alma hacmi ve ödeme alışkanlıkları

bulunabilir.

Çalışan açısından bu yalnızca satış analizidir.

Ancak hukuki açıdan çok sayıda müşteriye ait kişisel verinin üçüncü taraf bir sisteme aktarılması ve yeni bir amaçla işlenmesi söz konusu olabilir.

Bu nedenle müşteri veri tabanlarının kontrolsüz yapay zekâ sistemlerinde kullanılması yüksek riskli Shadow AI uygulamalarından biri olarak değerlendirilmelidir.

Müşteri Şikâyetlerinin Yapay Zekâ ile Analiz Edilmesi

Şirketler müşteri şikâyetlerini analiz etmek amacıyla yapay zekâdan yararlanabilir.

Örneğin;

“Bu şikâyetleri konularına göre ayır.”

veya

“Bu müşteriye profesyonel bir cevap hazırla.”

gibi komutlar kullanılabilir.

Ancak müşterinin şikâyetinde;

adı, adresi, sipariş numarası, sağlık bilgisi, finansal bilgisi veya başka kişisel verileri

bulunabilir.

Bu nedenle müşteri şikâyetlerinin yapay zekâ sistemlerinde kullanılmasından önce kişisel verilerin gerekli olup olmadığı değerlendirilmelidir.

Çoğu durumda müşteri kimliğini belirtmeden de aynı analiz yapılabilir.

Yapay Zekâya Müşteri Adının Yazılması da Veri İşleme Sayılabilir

Shadow AI riskinin yalnızca dosya yüklemelerinden kaynaklandığı düşünülmemelidir.

Çalışanın doğrudan yapay zekâya yazdığı komut da kişisel veri içerebilir.

Örneğin;

“Mehmet Kaya isimli müşterimiz üç aydır ödeme yapmıyor. Telefon numarası şu, borcu şu kadar. Kendisine gönderilecek sert ancak profesyonel bir mesaj hazırla.”

şeklindeki bir istemde herhangi bir dosya yüklenmese dahi gerçek kişiye ait müşteri bilgileri yapay zekâ sistemine aktarılmış olur.

Bu nedenle şirketlerin yapay zekâ politikaları yalnızca belge yüklemelerini değil, prompt olarak adlandırılan komut içeriklerini de kapsamalıdır.

KVKK Açısından Shadow AI Kullanımı

Müşteri verilerinin yapay zekâ sistemlerine aktarılması 6698 sayılı Kişisel Verilerin Korunması Kanunu bakımından değerlendirilmelidir.

Kişisel verilerin işlenmesinde;

hukuka ve dürüstlük kurallarına uygunluk, belirli, açık ve meşru amaçlarla işleme, amaçla bağlantılılık, sınırlılık ve ölçülülük

ilkeleri dikkate alınmalıdır.

Dolayısıyla şirketin müşteri verisini belirli bir amaçla elde etmiş olması, çalışanın bu veriyi dilediği yapay zekâ sisteminde kullanabileceği anlamına gelmez.

Yapay zekâ kullanımının ayrıca hukuki ve teknik açıdan değerlendirilmesi gerekir.

Veri Minimizasyonu Neden Önemlidir?

Müşteri verilerinin yapay zekâ sistemlerinde kullanılması gerektiğinde en temel kurallardan biri veri minimizasyonudur.

Çalışan yapay zekâ sistemine yalnızca ihtiyaç duyduğu bilgiyi aktarmalıdır.

Örneğin müşteri şikâyetine verilecek cevap hazırlanacaksa;

T.C. kimlik numarası, banka bilgisi veya müşterinin bütün işlem geçmişinin

yapay zekâ sistemine yüklenmesine çoğu zaman gerek bulunmaz.

Benzer şekilde bir sözleşmenin yalnızca tek bir maddesi analiz edilecekse bütün sözleşmenin sisteme yüklenmesi gerekmeyebilir.

Bu yaklaşım hem KVKK risklerini hem de veri sızıntısı ihtimalini azaltabilir.

Müşteri Verileri Anonimleştirilerek Yapay Zekâda Kullanılabilir mi?

Bazı durumlarda müşterinin kimliğinin bilinmesi yapay zekâ işlemi açısından gerekli değildir.

Örneğin;

“Ahmet Yılmaz” yerine “Müşteri A”,

telefon numarası yerine “XXX”,

adres yerine “İstanbul”

şeklinde maskeleme yapılabilir.

Ancak her maskeleme işlemi gerçek anlamda anonimleştirme anlamına gelmez.

Belgede bulunan diğer bilgiler kullanılarak kişinin kimliğine ulaşılması mümkünse veri hâlen kişisel veri niteliğini koruyabilir.

Bu nedenle şirketlerin anonimleştirme ve maskeleme yöntemlerini ayrı ayrı değerlendirmesi gerekir.

Müşteri Sözleşmelerinin Yapay Zekâya Yüklenmesi

Şirketlerin hukuk, satış ve operasyon departmanlarında müşteri sözleşmelerinin yapay zekâ ile analiz edilmesi giderek yaygınlaşmaktadır.

Çalışan;

“Bu sözleşmenin riskli maddelerini tespit et.”

veya

“Bu sözleşmeyi özetle.”

şeklinde bir komut verebilir.

Ancak müşteri sözleşmesi yalnızca kişisel veri değil;

• fiyatlandırma bilgileri,
• özel ticari koşullar,
• banka bilgileri,
• müşteri temsilcilerinin iletişim bilgileri,
• ticari sırlar,
• gizlilik hükümleri

içerebilir.

Dolayısıyla müşteri sözleşmesinin kontrolsüz yapay zekâ sistemine yüklenmesi birden fazla hukuki riski aynı anda ortaya çıkarabilir.

Müşteri Verileri Aynı Zamanda Ticari Sır Olabilir mi?

Evet.

Bir müşteri listesi yalnızca kişisel veri niteliğinde olmayabilir.

Şirket açısından;

müşterilerin kim olduğu, hangi ürünleri satın aldığı, hangi fiyatlardan ürün aldığı, işlem hacimleri ve satın alma alışkanlıkları

ekonomik değer taşıyan ticari bilgiler olabilir.

Dolayısıyla müşteri verilerinin yapay zekâ sistemine aktarılması hem KVKK hem de ticari sırların korunması bakımından değerlendirilmelidir.

Özellikle müşteri portföyü şirketin rekabet gücünün önemli bir parçasıysa risk daha da artabilir.

Müşteri Verilerinin Yurt Dışındaki Yapay Zekâ Sistemlerine Aktarılması

Birçok yapay zekâ hizmeti uluslararası altyapılar üzerinden sunulmaktadır.

Bu nedenle müşteri verilerinin yabancı bir yapay zekâ uygulamasına aktarılması hâlinde kişisel verilerin yurt dışına aktarımı bakımından ayrıca değerlendirme yapılması gerekebilir.

Şirket çalışanının;

“Ben kendi hesabımı kullandım.”

demesi bu sorunu ortadan kaldırmaz.

Şirketin müşteri verilerinin hangi sistemlere ve hangi ülkelerdeki altyapılara aktarılabileceğini önceden belirlemesi gerekir.

Bu nedenle kurumsal yapay zekâ uygulaması seçilirken yalnızca performans ve ücret kriterlerine bakılmamalıdır.

Veri işleme koşulları da incelenmelidir.

Müşteri Verilerinin Yapay Zekâ Eğitiminde Kullanılması Riski

Şirketler yapay zekâ hizmet sağlayıcısının sisteme girilen verileri hangi amaçla kullandığını incelemelidir.

Bazı hizmetlerde kullanıcı tarafından sağlanan içeriklerin sistem iyileştirme veya farklı amaçlarla işlenmesine ilişkin hükümler bulunabilir.

Bu nedenle çalışanların müşteri verilerini herhangi bir yapay zekâ aracına yüklemeden önce hizmetin veri işleme koşulları değerlendirilmelidir.

Özellikle hassas müşteri bilgileri bakımından şirket tarafından incelenmemiş uygulamalardan kaçınılmalıdır.

Kişisel Yapay Zekâ Hesabı Kullanmak Riski Artırır mı?

Çoğu durumda evet.

Çalışanın iş amacıyla kişisel yapay zekâ hesabını kullanması hâlinde şirket;

hesabın güvenlik özelliklerini, veri saklama ayarlarını, hesap geçmişini ve erişim yetkilerini

kontrol etmekte zorlanabilir.

Çalışan işten ayrıldığında müşteri verilerinin bulunduğu yapay zekâ hesabının kontrolü de şirketin elinde olmayabilir.

Bu nedenle şirketler müşteri verilerinin yalnızca onaylanmış kurumsal yapay zekâ hesaplarında kullanılmasına izin verebilir.

Müşteri Verileri Yapay Zekâya Yanlışlıkla Yüklenirse Ne Yapılmalıdır?

Bir çalışan yanlışlıkla kişisel veri içeren müşteri dosyasını yapay zekâ sistemine yükleyebilir.

Bu durumda çalışanın olayı gizlememesi son derece önemlidir.

Şirket içerisinde açık bir bildirim prosedürü bulunmalıdır.

Olay öğrenildiğinde öncelikle;

hangi veri aktarıldı, kaç müşteri etkilendi, hangi sistem kullanıldı, verinin silinmesi mümkün mü ve üçüncü taraf erişimi riski bulunuyor mu

sorularına cevap aranmalıdır.

Ardından olayın KVKK kapsamında veri ihlali niteliğinde olup olmadığı değerlendirilmelidir.

İşveren Shadow AI Nedeniyle Müşteri Verilerinin İhlalinden Sorumlu Olabilir mi?

Somut olayın özelliklerine göre olabilir.

Çalışanın işlemi kendi kişisel hesabından gerçekleştirmesi, şirketin bütün sorumluluğunu otomatik olarak ortadan kaldırmaz.

Özellikle şirket;

• yapay zekâ kullanımı konusunda hiçbir politika oluşturmamışsa,
• çalışanlara eğitim vermemişse,
• kişisel verilerin hangi sistemlerde kullanılabileceğini belirlememişse,
• müşteri verilerine gereğinden fazla erişim yetkisi vermişse,
• yaygın Shadow AI kullanımını bilmesine rağmen hiçbir önlem almamışsa

şirketin veri güvenliği yükümlülükleri ayrıca değerlendirilebilir.

Bu nedenle işveren açısından temel soru yalnızca;

“Çalışan hata yaptı mı?”

değil;

“Şirket bu hatanın meydana gelmesini önlemek için gerekli tedbirleri aldı mı?”

olmalıdır.

Müşteri Verileri İçin Erişim Yetkileri Sınırlandırılmalıdır

Shadow AI riskini azaltmanın en etkili yollarından biri veri erişimini sınırlandırmaktır.

Her çalışanın bütün müşteri veri tabanına erişmesi gerekli değildir.

Satış çalışanı yalnızca kendi müşteri portföyüne, destek personeli ise yalnızca gerekli destek kayıtlarına erişebilir.

Böylece çalışan yanlışlıkla veya bilinçli şekilde yapay zekâ sistemine veri aktardığında ortaya çıkabilecek zararın kapsamı da azaltılabilir.

Bu yaklaşım bilgi güvenliğinde en az yetki prensibi ile de uyumludur.

Müşteri Verileri Sınıflandırılmalıdır

Şirketler müşteri verilerinin tamamını aynı risk seviyesinde değerlendirmemelidir.

Örneğin;

Kamuya Açık

Şirket İçi

Gizli

Çok Gizli

şeklinde veri sınıflandırması yapılabilir.

Müşteri iletişim bilgileri, banka bilgileri veya özel sözleşme koşulları daha yüksek güvenlik seviyesinde değerlendirilebilir.

Ardından her veri sınıfının yapay zekâ sistemlerinde kullanılıp kullanılamayacağı belirlenebilir.

Shadow AI Politikası Müşteri Verilerini Açıkça Düzenlemelidir

Şirketlerin hazırlayacağı yapay zekâ politikalarında müşteri verilerine özel hükümler bulunmalıdır.

Örneğin;

“Müşterilere ait kişisel veriler, müşteri listeleri, ödeme bilgileri ve gizli sözleşme içerikleri şirket tarafından onaylanmamış yapay zekâ sistemlerine aktarılamaz.”

şeklinde açık bir kural getirilebilir.

Bunun yanında;

hangi kurumsal AI uygulamalarının kullanılabileceği, anonimleştirme şartları ve onay gerektiren işlemler

ayrıca belirlenmelidir.

Satış Departmanlarında Shadow AI Riski

Satış ekipleri müşteri verilerinin yoğun şekilde kullanıldığı departmanlardan biridir.

Çalışanlar;

müşteri segmentasyonu, teklif hazırlama, satış tahmini ve potansiyel müşteri analizi

amacıyla yapay zekâ kullanabilir.

Bu süreçlerde müşteri listelerinin bütünüyle üçüncü taraf sistemlere aktarılması risklidir.

Satış ekipleri için özel yapay zekâ kullanım kuralları hazırlanabilir.

Müşteri Hizmetlerinde Shadow AI Riski

Müşteri hizmetleri çalışanları da yapay zekâ araçlarından yoğun şekilde yararlanabilir.

Bir müşteriyle yapılan uzun yazışmaların tamamının yapay zekâ sistemine aktarılması, çok sayıda kişisel verinin işlenmesine yol açabilir.

Bu nedenle müşteri hizmetlerinde mümkün olduğunca kişisel verilerden arındırılmış şablonlar kullanılabilir.

Yapay zekâ, müşterinin kimliğini bilmeden de birçok standart cevap hazırlayabilir.

Pazarlamada Yapay Zekâ ve Müşteri Profilleme

Yapay zekâ araçları müşteri profilleri oluşturmak ve pazarlama stratejileri geliştirmek amacıyla kullanılabilir.

Ancak müşterilerin;

alışveriş geçmişi, tercihleri, yaş grubu, lokasyonu veya davranış kayıtları

üzerinden profil oluşturulması kişisel veri işleme bakımından ayrıca değerlendirilmelidir.

Şirketin çalışanı tarafından yetkisiz şekilde gerçekleştirilen AI tabanlı profilleme, şirketin planladığı veri işleme faaliyetlerinin dışına çıkılmasına neden olabilir.

Bu nedenle pazarlama departmanlarının Shadow AI kullanımı özellikle kontrol edilmelidir.

Müşteri Verileriyle Yapay Zekâ Kullanımında İnsan Denetimi

Müşteri verilerini korumak yalnızca veri girişlerini sınırlandırmak değildir.

Yapay zekâdan elde edilen çıktılar da kontrol edilmelidir.

Örneğin yapay zekâ yanlış müşteri bilgisini başka bir müşteriyle ilişkilendirebilir veya hatalı bir değerlendirme oluşturabilir.

Bu nedenle AI çıktıları doğrudan müşteri ilişkilerini etkileyen kararların tek dayanağı olmamalıdır.

Özellikle;

kredi, fiyatlandırma, hizmet reddi veya müşteri risk sınıflandırması

gibi önemli kararlar insan denetiminden geçirilmelidir.

Müşteri Verilerinin Korunması İçin Teknik Tedbirler

Şirketler yalnızca çalışanlara talimat vermekle yetinmemelidir.

Teknik tedbirler de uygulanabilir.

Örneğin;

• riskli AI sitelerine erişimin sınırlandırılması,
• veri kaybını önleme sistemleri,
• dosya yükleme kontrolleri,
• kurumsal hesap kullanımı,
• çok faktörlü kimlik doğrulama,
• erişim yetkilerinin sınırlandırılması

değerlendirilebilir.

Teknik tedbirlerin çalışan mahremiyeti ve ölçülülük ilkeleri dikkate alınarak uygulanması gerekir.

Çalışanlara Müşteri Verileri ve Yapay Zekâ Eğitimi Verilmelidir

Çalışanların önemli bir bölümü yapay zekâ sistemine müşteri bilgisi girmenin hukuki sonuçlarını fark etmeyebilir.

Örneğin çalışan;

“Ben yalnızca müşteriye cevap yazdırdım.”

diyebilir.

Ancak komutta müşterinin adı, telefon numarası, adresi ve ödeme geçmişi bulunabilir.

Bu nedenle çalışanlara teorik KVKK eğitiminin yanında gerçek yapay zekâ kullanım örnekleri üzerinden eğitim verilmesi önemlidir.

Taşeron ve Danışmanların Yapay Zekâ Kullanımı da Düzenlenmelidir

Müşteri verilerine yalnızca şirket çalışanları erişmez.

Çağrı merkezi hizmeti veren şirketler, yazılım geliştiriciler, danışmanlar veya dış hizmet sağlayıcılar da müşteri verilerini işleyebilir.

Bu kişilerin müşteri verilerini kendi yapay zekâ sistemlerinde kullanması aynı riskleri yaratabilir.

Bu nedenle hizmet ve gizlilik sözleşmelerinde yapay zekâ kullanımına ilişkin özel hükümler düzenlenebilir.

Örneğin hizmet sağlayıcının müşteri verilerini şirketin yazılı izni olmaksızın üçüncü taraf yapay zekâ sistemlerinde kullanması yasaklanabilir.

Müşteri Verilerinin Korunmasında Sadece Yasaklama Yeterli midir?

Hayır.

Şirketin;

“Çalışanların müşteri verilerini yapay zekâya yüklemesi yasaktır.”

demesi tek başına yeterli olmayabilir.

Çalışanın işini yapabilmesi için yapay zekâya ihtiyaç duyması hâlinde kişisel hesabından kullanmaya devam etmesi mümkündür.

Bu nedenle şirket çalışanlara güvenli alternatifler sunmalıdır.

En etkili yaklaşım;

onaylı kurumsal AI araçları + açık veri kullanım kuralları + çalışan eğitimi + teknik güvenlik tedbirleri

şeklinde bütüncül bir model oluşturmaktır.

Müşteri Verilerinin Yapay Zekâda Kullanımı İçin Kontrol Listesi

Şirket çalışanlarının müşteri verilerini yapay zekâda kullanmadan önce şu sorulara cevap vermesi yararlı olabilir:

Bu işlem için müşterinin kimliğini bilmek gerçekten gerekli mi?

Kişisel verileri çıkararak aynı işlem yapılabilir mi?

Kullandığım yapay zekâ sistemi şirket tarafından onaylı mı?

Müşteri verisinin yurt dışına aktarılması söz konusu olabilir mi?

Veri ticari sır niteliğinde mi?

Sisteme gereğinden fazla veri mi yüklüyorum?

Yapay zekâ çıktısını insan kontrolünden geçirecek miyim?

Bu sorular çalışanların günlük kullanımda daha güvenli karar vermesine yardımcı olabilir.

Shadow AI Olaylarında Delillerin Korunması

Müşteri verilerinin izinsiz şekilde yapay zekâ sistemine aktarıldığı tespit edildiğinde olayın doğru şekilde belgelenmesi önemlidir.

Şirket;

hangi hesabın kullanıldığını, hangi verinin aktarıldığını, olayın tarihini ve teknik kayıtları

hukuka uygun şekilde muhafaza etmelidir.

Olası KVKK, iş hukuku veya tazminat uyuşmazlıklarında bu kayıtlar önem kazanabilir.

Bununla birlikte çalışan denetiminin de özel hayatın gizliliği ve kişisel verilerin korunması sınırları içinde gerçekleştirilmesi gerekir.

Shadow AI Kaynaklı Müşteri Verisi İhlali İşten Çıkarma Sebebi Olabilir mi?

Çalışanın müşteri verilerini yetkisiz yapay zekâ sistemine aktarması iş hukuku bakımından ciddi sonuçlar doğurabilir.

Ancak her olay otomatik olarak haklı fesih sebebi olarak değerlendirilemez.

Somut olayda;

• aktarılan verinin kapsamı,
• hassasiyeti,
• çalışanın kastı,
• şirket politikası,
• çalışana verilen eğitimler,
• şirket açısından doğan zarar ve
• güven ilişkisinin ne ölçüde zedelendiği

birlikte değerlendirilmelidir.

Örneğin çalışan şirketin açık yasağına rağmen yüz binlerce müşterinin kişisel verisini kişisel AI hesabına yüklemişse ağır bir ihlal söz konusu olabilir.

Buna karşılık kişisel veri içermeyen kamuya açık bir müşteri bilgilendirme metninde yapay zekâ kullanılması aynı şekilde değerlendirilemez.

Şirket Yönetimi Müşteri Verilerini Korumak İçin Ne Yapmalıdır?

Şirketler Shadow AI kaynaklı müşteri verisi risklerini azaltabilmek için öncelikle mevcut AI kullanımını tespit etmelidir.

Ardından;

• onaylı yapay zekâ uygulamaları belirlenmeli,
• kişisel hesap kullanımı düzenlenmeli,
• müşteri verileri sınıflandırılmalı,
• çalışan erişimleri sınırlandırılmalı,
• veri minimizasyonu uygulanmalı,
• gerekli durumlarda anonimleştirme yapılmalı,
• çalışanlara eğitim verilmeli,
• olay müdahale prosedürü oluşturulmalıdır.

Bu tedbirlerin şirketin faaliyet alanına ve işlediği müşteri verilerinin niteliğine göre özelleştirilmesi gerekir.

Sonuç

Shadow AI ve müşteri verilerinin korunması, üretken yapay zekânın şirketlerde yaygınlaşmasıyla birlikte önemli bir hukuki risk alanı hâline gelmiştir.

Çalışanın;

müşteri listesini, müşteri sözleşmesini, ödeme bilgilerini, şikâyet kayıtlarını veya müşteri yazışmalarını şirket tarafından onaylanmamış bir yapay zekâ sistemine aktarması

kişisel verilerin korunması, ticari sırlar ve bilgi güvenliği bakımından ciddi sonuçlara yol açabilir.

Çalışanın işlemi işini kolaylaştırmak amacıyla gerçekleştirmiş olması veya kişisel yapay zekâ hesabını kullanması hukuki riskleri kendiliğinden ortadan kaldırmaz.

Şirketler bakımından müşteri verilerinin korunmasında temel yaklaşım, yapay zekâyı tamamen yasaklamak yerine kullanımın sınırlarını açık şekilde belirlemek olmalıdır.

Hangi yapay zekâ sistemlerinin kullanılabileceği, hangi müşteri verilerinin hiçbir şekilde harici sistemlere aktarılamayacağı, verilerin nasıl anonimleştirileceği ve bir ihlal meydana geldiğinde nasıl hareket edileceği önceden düzenlenmelidir.

Özellikle KVKK uyumu, veri minimizasyonu, ticari sırların korunması, erişim yetkilerinin sınırlandırılması ve çalışan eğitimi Shadow AI kaynaklı müşteri verisi risklerinin azaltılmasında birlikte ele alınmalıdır.

Yapay zekânın şirketlerde daha yaygın hâle geldiği günümüzde temel soru artık yalnızca;

“Müşteri verilerimizi kimler kullanıyor?”

değildir.

Şirketlerin aynı zamanda şu soruyu da cevaplaması gerekir:

“Çalışanlarımız müşteri verilerini hangi yapay zekâ sistemlerine aktarıyor ve bu işlemler şirketimizin veri koruma politikalarına uygun şekilde gerçekleştiriliyor mu?”

Müşteri verilerinin korunmasına ilişkin etkili bir Shadow AI politikası oluşturulması, şirketlerin hem yapay zekânın sağladığı verimlilikten yararlanmasına hem de kişisel veri ve bilgi güvenliği risklerini kontrol altında tutmasına katkı sağlayacaktır.