Yapay Zekâ Kullanımında İşverenin Eğitim Yükümlülüğü: Eğitim Verilmesi ve Verilmemesi Hâlinde Hukuki Sorumluluk

Giriş

Yapay zekâ araçlarının işyerlerinde kullanılması, çalışanların yalnızca yeni bir yazılım öğrenmesi anlamına gelmemektedir. Çalışan; yapay zekâ sistemine hangi bilgileri girebileceğini, sistem tarafından üretilen çıktıları nasıl kontrol edeceğini, kişisel verileri ve ticari sırları nasıl koruyacağını, hatalı sonuçlarla karşılaştığında nasıl hareket edeceğini de bilmelidir.

Bir çalışanın müşteri bilgilerini kamuya açık bir yapay zekâ sistemine yüklemesi, yapay zekâ tarafından hazırlanan hatalı raporu kontrol etmeden müşteriye göndermesi veya algoritmik çıktıyı doğrudan personel kararı olarak uygulaması hem işveren hem çalışan bakımından hukuki sorumluluk doğurabilir.

Bu noktada temel soru şudur:

İşverenin çalışana yapay zekâ eğitimi verme yükümlülüğü bulunmakta mıdır ve eğitim verilmesi işverenin sorumluluğunu ortadan kaldırır mı?

Türk hukukunda bütün işverenlere, kullandıkları her yapay zekâ aracı için aynı içerikte eğitim verilmesini emreden özel ve bağımsız bir “yapay zekâ eğitimi” hükmü bulunmamaktadır. Bununla birlikte iş sağlığı ve güvenliği, işverenin gözetme borcu, kişisel verilerin korunması ve işin gereği gibi organize edilmesiyle ilgili hükümler birlikte değerlendirildiğinde, yapay zekâ kullanımının niteliğine göre eğitim verilmesi hukuki bir yükümlülük hâline gelebilir.

Yapay Zekâ Eğitiminin Hukuki Dayanağı

6331 Sayılı Kanun Bakımından Yeni Teknoloji Eğitimi

6331 sayılı İş Sağlığı ve Güvenliği Kanunu’nun 4. maddesine göre işveren, çalışanların işle ilgili sağlık ve güvenliğini sağlamakla yükümlüdür. Bu kapsamda mesleki risklerin önlenmesi, çalışanlara eğitim ve bilgi verilmesi, gerekli organizasyonun kurulması, araç ve gereçlerin sağlanması ve tedbirlerin değişen şartlara uyarlanması gerekir. Aynı hüküm, dışarıdan uzman veya kuruluşlardan hizmet alınmasının ve çalışanların kendi yükümlülüklerinin bulunmasının işverenin sorumluluğunu ortadan kaldırmayacağını açıkça düzenlemektedir.

Kanun’un 17. maddesi ise eğitim yükümlülüğünü daha somut biçimde düzenlemektedir. Buna göre iş sağlığı ve güvenliği eğitimi özellikle;

• İşe başlamadan önce,
• Çalışma yeri veya iş değişikliğinde,
• İş ekipmanının değişmesi hâlinde,
• Yeni teknoloji uygulanması hâlinde

verilmelidir. Eğitimlerin değişen ve ortaya çıkan yeni risklere uygun biçimde yenilenmesi ve gerektiğinde düzenli aralıklarla tekrarlanması gerekir.

Bu düzenleme, işyerinde yapay zekâ kullanımına başlanmasının her durumda klasik anlamda iş sağlığı ve güvenliği eğitimi gerektireceği anlamına gelmez. Ancak yapay zekâ sistemi çalışma yöntemini, iş ekipmanını, iş yükünü, güvenlik risklerini veya çalışanların fiziksel ve psikososyal koşullarını değiştiriyorsa Kanun’un 17. maddesi doğrudan önem kazanır.

Örneğin üretim hattını yöneten yapay zekâ sistemi, otonom makine, algoritmik vardiya sistemi veya çalışanın müdahalesine bağlı otomasyon uygulaması kullanılıyorsa çalışana sistemin güvenli kullanımı konusunda eğitim verilmesi gerekir. Aynı şekilde yoğun algoritmik gözetim, sürekli performans baskısı veya yapay zekâ kaynaklı iş yükü değişiklikleri psikososyal riskler bakımından risk değerlendirmesine dâhil edilmelidir.

Çalışanların Görüşünün Alınması

6331 sayılı Kanun’un 18. maddesi uyarınca işveren, yeni teknolojilerin uygulanmasının, seçilecek iş ekipmanlarının ve çalışma şartlarının çalışanların sağlık ve güvenliğine etkileri konusunda çalışanların veya çalışan temsilcilerinin görüşünü almakla yükümlüdür. Çalışanlara verilecek eğitimin planlanması bakımından da çalışan temsilcilerinin görüşünün alınması öngörülmektedir.

Bu nedenle yapay zekâ sistemi yalnızca yöneticiler tarafından satın alınıp çalışanlara bir kullanıcı adı verilerek devreye alınmamalıdır. Sistemin hangi görevlerde kullanılacağı, çalışanların karşılaşabileceği riskler, hangi eğitimlere ihtiyaç duyulduğu ve insan denetiminin nasıl sağlanacağı önceden değerlendirilmelidir.

İşverenin Gözetme Borcu

Türk Borçlar Kanunu’nun 417. maddesi işverene, işçinin kişiliğini koruma, ona saygı gösterme ve işyerinde dürüstlük ilkelerine uygun bir düzen kurma yükümlülüğü getirmektedir. İşveren ayrıca iş sağlığı ve güvenliği için gerekli her türlü önlemi almak ve gerekli araçları noksansız biçimde bulundurmakla yükümlüdür. Bu yükümlülüklere aykırı davranış nedeniyle işçinin kişilik hakkının veya vücut bütünlüğünün zarar görmesi hâlinde sözleşmeye aykırılıktan doğan tazminat sorumluluğu gündeme gelebilir.

Bu kapsamda işverenin, çalışandan kullanmasını istediği bir yapay zekâ sistemini hiçbir açıklama veya eğitim vermeden devreye alması gözetme borcuna aykırılık oluşturabilir. Özellikle sistem;

• Çalışanın performansını puanlıyorsa,
• İş dağılımı yapıyorsa,
• Üretim makinelerini yönlendiriyorsa,
• Kişisel veri işliyorsa,
• Çalışanın kararları üzerinde belirleyici oluyorsa,
• Hatalı kullanımı ciddi mali veya hukuki sonuç doğuruyorsa,

işverenin eğitim ve bilgilendirme yükümlülüğü daha ağır değerlendirilmelidir.

KVKK Bakımından Eğitim Yükümlülüğü

Yapay zekâ kullanımında en önemli risklerden biri, çalışanların kişisel verileri kontrolsüz biçimde sisteme girmesidir. Müşteri dosyaları, çalışan özlük bilgileri, sağlık verileri, hukuki belgeler, banka bilgileri ve iletişim kayıtları yapay zekâ sistemine yüklendiğinde kişisel veri işleme ve bazı durumlarda yurt dışına aktarım faaliyeti ortaya çıkabilir.

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. maddesine göre veri sorumlusu; kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri almak zorundadır. Veri sorumlusunun gerekli denetimleri yapması veya yaptırması da gerekmektedir.

Kişisel Verileri Koruma Kurumunun Kişisel Veri Güvenliği Rehberi’nde çalışanların eğitilmesi ve farkındalık çalışmalarının yürütülmesi açıkça idari tedbirler arasında gösterilmektedir. Kurum; çalışanların kişisel verilerin hukuka aykırı biçimde açıklanmaması ve paylaşılmaması konusunda eğitilmesini, görev ve sorumluluklarının belirlenmesini ve veri güvenliği risklerini bildirebilecekleri bir ortam oluşturulmasını gerekli görmektedir.

Kişisel Verileri Koruma Kurulu kararlarında yalnızca genel bilgilendirme yapılması veya çalışana çevrim içi eğitim tanımlanmasının her durumda yeterli olmadığı görülmektedir. Örneğin Kurul, çalışana eğitim sistemi açılmış olmasına rağmen eğitime katılımın sağlanmadığı ve yapılan bilgilendirmelerin kişisel verilerin korunmasına ilişkin genel ifadelerden ibaret kaldığı bir olayda tedbirleri yetersiz değerlendirmiştir.

Dolayısıyla işverenin, “Çalışanlara KVKK eğitimi tanımlandı” demesi yeterli değildir. Eğitimin;

• Çalışanın fiilen kullandığı yapay zekâ aracına uygun olması,
• Yapay zekâya veri yükleme risklerini açıklaması,
• Yasak ve serbest kullanımları örneklerle göstermesi,
• Katılımın ve eğitimin anlaşılıp anlaşılmadığının takip edilmesi,
• Düzenli olarak güncellenmesi

gerekir.

Avrupa Birliği Yapay Zekâ Tüzüğü ve Yapay Zekâ Okuryazarlığı

Karşılaştırmalı hukukta Avrupa Birliği Yapay Zekâ Tüzüğü’nün 4. maddesi, yapay zekâ sistemlerini sağlayan ve kullanan kuruluşların çalışanlarının yapay zekâ okuryazarlığını geliştirmek için tedbir almalarını öngörmektedir. Eğitim ve bilgilendirme hazırlanırken çalışanların teknik bilgisi, deneyimi, eğitimi, kullanılan sistemin amacı ve sistemden etkilenen kişiler dikkate alınmalıdır. Bu yükümlülük 2 Şubat 2025 tarihinde uygulanmaya başlamıştır.

Avrupa Komisyonu, ChatGPT gibi bir sistem yalnızca reklam metni hazırlamak veya çeviri yapmak amacıyla kullanılsa dahi çalışanların sistemin yanlış bilgi üretme riski gibi konularda bilgilendirilmesi gerektiğini belirtmektedir. Yalnızca kullanım talimatının çalışanlara gönderilmesi her olayda yeterli kabul edilmemekte; kullanılan sistem ve risk seviyesine uygun eğitim ve rehberlik önerilmektedir.

Bu düzenleme Türkiye’deki her işverene doğrudan uygulanmaz. Ancak Avrupa Birliği’nde faaliyet gösteren, AB’de kullanılan bir yapay zekâ sistemi sunan veya sistemin çıktıları AB’deki kişiler üzerinde etki doğuran şirketler bakımından Tüzüğün kapsamı ayrıca değerlendirilmelidir. Ayrıca düzenleme, Türk hukukunda işverenin göstermesi gereken özen bakımından önemli bir karşılaştırmalı hukuk standardıdır.

İşveren Hangi Konularda Eğitim Vermelidir?

Yapay zekâ eğitimi yalnızca sistemde hangi düğmeye basılacağını gösteren teknik bir kullanım anlatımından ibaret olmamalıdır. Eğitim, işçinin görevi ve kullandığı sistemin risklerine göre hazırlanmalıdır.

Yapay Zekânın Temel Çalışma Mantığı

Çalışana yapay zekâ çıktılarının kesin ve hatasız bilgi olmadığı anlatılmalıdır. Üretken yapay zekâ sistemleri ikna edici görünen ancak yanlış, güncelliğini yitirmiş veya gerçekte bulunmayan bilgiler üretebilir.

Çalışan, sistem çıktısını bağımsız bir uzman görüşü olarak değil, kontrol edilmesi gereken yardımcı bir taslak olarak değerlendirmelidir.

Onaylı ve Yasak Araçlar

Çalışanların hangi yapay zekâ araçlarını kullanabileceği belirlenmelidir. Kurumsal hesap ile kişisel hesap arasındaki fark, üçüncü taraf uygulamaların sisteme bağlanması ve onaysız eklentilerin kullanılması konularında bilgi verilmelidir.

Çalışan, kişisel telefonundan veya hesabından işlem yapmasının kurumsal veri güvenliği kurallarını ortadan kaldırmadığını bilmelidir.

Kişisel Verilerin Korunması

Eğitimde hangi bilgilerin kişisel veri ve özel nitelikli kişisel veri olduğu örneklerle anlatılmalıdır.

Özellikle şu verilerin kamuya açık yapay zekâ sistemlerine girilemeyeceği açıkça belirtilmelidir:

• Kimlik ve iletişim bilgileri,
• Sağlık verileri,
• Banka ve finans bilgileri,
• Çalışan özlük dosyaları,
• Müşteri ve dava dosyaları,
• Ses ve görüntü kayıtları,
• Biyometrik veriler,
• Ceza mahkûmiyeti ve güvenlik tedbiri bilgileri.

Özel nitelikli kişisel verileri işleyen çalışanlara düzenli veri güvenliği eğitimi verilmesi, Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemler arasında açıkça sayılmaktadır.

Ticari Sır ve Gizlilik

Çalışana müşteri listeleri, sözleşmeler, fiyatlandırma bilgileri, kaynak kodları, teknik projeler, henüz yayımlanmamış mali bilgiler ve şirket stratejilerinin yapay zekâ sistemlerine yüklenemeyeceği anlatılmalıdır.

Türk Borçlar Kanunu’nun 396. maddesi uyarınca işçi, işverenin haklı menfaatlerini korumak ve iş sırasında öğrendiği üretim ve iş sırlarını açıklamamakla yükümlüdür.

Ancak işveren, hangi bilgilerin gizli olduğunu belirtmeden bütün sorumluluğu işçiye bırakamaz. Gizli bilgi sınıfları ve tereddüt hâlinde başvurulacak birim açıkça gösterilmelidir.

İnsan Denetimi ve Doğrulama

Yapay zekâ ile oluşturulan rapor, hukuki görüş, finansal analiz, müşteri cevabı veya teknik talimat kullanılmadan önce yetkili kişi tarafından kontrol edilmelidir.

Eğitimde en azından şu doğrulamalar anlatılmalıdır:

• Kaynak kontrolü,
• Güncellik kontrolü,
• Hesaplama ve veri doğruluğu,
• Gizlilik kontrolü,
• Ayrımcılık ve önyargı kontrolü,
• Telif ve fikrî mülkiyet kontrolü,
• Yetkili yönetici veya uzman onayı.

Siber Güvenlik ve Sahte İçerikler

Çalışanlara yapay zekâ aracılığıyla hazırlanan sahte e-postalar, ses taklitleri, görüntüler ve kimlik avı saldırıları konusunda farkındalık kazandırılmalıdır.

Özellikle ödeme talimatı, hesap numarası değişikliği, yönetici adına gönderilen acil para transferi veya şifre paylaşımı taleplerinin bağımsız bir iletişim kanalı üzerinden doğrulanması gerektiği belirtilmelidir.

Hata ve İhlal Bildirimi

Çalışan, yanlışlıkla kişisel veri veya ticari sır yüklediğinde olayı gizlemek yerine derhâl bildirmelidir.

Eğitimde;

• Bildirimin kime yapılacağı,
• Hangi bilgilerin verileceği,
• Hesap veya bağlantının nasıl güvenli hâle getirileceği,
• Verinin silinmesi için hangi işlemlerin uygulanacağı,
• Ekran görüntüsü veya kayıtların nasıl korunacağı

açıklanmalıdır.

Eğitim Ne Zaman Verilmelidir?

Yapay zekâ eğitimi, sistem kullanılmaya başlandıktan ve hata ortaya çıktıktan sonra verilmemelidir.

Eğitimin;

• Çalışan yapay zekâ sistemini kullanmaya başlamadan önce,
• Yeni bir araç devreye alındığında,
• Çalışanın görevi veya erişim yetkisi değiştiğinde,
• Sistem önemli ölçüde güncellendiğinde,
• Yeni bir kişisel veri işleme süreci başladığında,
• Güvenlik ihlali veya hatalı kullanım meydana geldiğinde,
• Düzenli bilgi yenileme dönemlerinde

verilmesi uygun olacaktır.

6331 sayılı Kanun kapsamındaki eğitimlerin maliyeti çalışanlara yansıtılamaz ve eğitimde geçen süre çalışma süresinden sayılır. Eğitim süresi haftalık çalışma süresini aşarsa fazla sürelerle çalışma veya fazla çalışma hükümleri gündeme gelir.

Eğitim Verilmesi İşverenin Sorumluluğunu Ortadan Kaldırır mı?

Hayır. Eğitim verilmiş olması işvereni otomatik olarak sorumluluktan kurtarmaz.

Eğitim, işverenin alması gereken tedbirlerden yalnızca biridir. İşveren ayrıca;

• Güvenli bir yapay zekâ sistemi seçmeli,
• Kullanım amacını belirlemeli,
• Erişim yetkilerini sınırlandırmalı,
• Kişisel veri ve ticari sırların yüklenmesini teknik olarak önlemeli,
• İnsan denetimi kurmalı,
• Sistemi ve çalışan kullanımını denetlemeli,
• Risk değerlendirmesi yapmalı,
• İhlal müdahale prosedürü oluşturmalıdır.

6331 sayılı Kanun, dışarıdan uzman hizmeti alınmasının ve çalışanların kendi yükümlülüklerinin bulunmasının işverenin sorumluluğunu ortadan kaldırmayacağını açıkça düzenlemektedir.

Benzer şekilde KVKK bakımından veri sorumlusu, kişisel verilerin korunmasına yönelik gerekli teknik ve idari tedbirleri almak ve bunların uygulanmasını denetlemekle yükümlüdür. İşverenin yalnızca çalışana eğitim vererek teknik erişim kontrolleri, yetki sınırlamaları ve denetim yükümlülüklerini ihmal etmesi yeterli bir tedbir olarak kabul edilemez.

Eğitimin İşveren Açısından Önemi

Eğitimin usulüne uygun verilmiş olması, bir uyuşmazlıkta işverenin gerekli özeni gösterip göstermediğinin değerlendirilmesinde önem taşır.

İşveren;

• Çalışanı açık biçimde bilgilendirmiş,
• Göreve uygun eğitim vermiş,
• Güvenli araç sağlamış,
• Yasak kullanımları belirtmiş,
• Teknik kontroller kurmuş,
• Düzenli denetim yapmış,
• Çalışanın eğitimi anlayıp anlamadığını kontrol etmişse,

çalışanın bilinçli ve açık bir şekilde talimatların dışına çıkması hâlinde işverenin kusur değerlendirmesi farklılaşabilir.

Ancak yalnızca katılım formu imzalatılması veya genel içerikli çevrim içi eğitim tanımlanması tek başına yeterli değildir. Eğitim ile meydana gelen risk arasında gerçek bir bağlantı bulunmalıdır.

Eğitim Verildiği Hâlde Çalışan Kurallara Aykırı Davranırsa

Çalışanlar, aldıkları iş sağlığı ve güvenliği eğitimi ve işveren talimatları doğrultusunda kendilerinin ve diğer çalışanların güvenliğini tehlikeye düşürmemekle yükümlüdür. Ayrıca tespit ettikleri ciddi tehlikeleri ve tedbir eksikliklerini işverene veya çalışan temsilcisine bildirmeleri gerekir.

Türk Borçlar Kanunu’nun 399. maddesine göre işçi, işverenin hukuka uygun düzenleme ve talimatlarına dürüstlük kurallarının gerektirdiği ölçüde uymalıdır. Aynı Kanun’un 400. maddesi uyarınca işçi, kusuruyla işverene verdiği zarardan sorumludur. İşçinin sorumluluğu belirlenirken işin tehlikeli olup olmadığı, uzmanlık ve eğitim gerektirip gerektirmediği ile işçinin bilinen yetenek ve nitelikleri dikkate alınır.

Bu hüküm yapay zekâ kullanımı bakımından önemlidir. Çünkü çalışanın eğitim almamış veya yeterli teknik bilgiye sahip olmamış olması, kusurunun ve sorumluluğunun değerlendirilmesinde dikkate alınacaktır.

Buna karşılık çalışan;

• Açıkça yasaklandığını bildiği hâlde müşteri verilerini sisteme yüklerse,
• İşverenin ticari sırlarını bilinçli olarak harici bir platformda paylaşırsa,
• Zorunlu insan kontrolünü kasıtlı olarak yapmazsa,
• Yapay zekâ çıktısının hatalı olduğunu bildiği hâlde kullanırsa,
• Güvenlik ihlalini kasten gizlerse,

zararın niteliğine göre işverene karşı tazminat ve disiplin sorumluluğu doğabilir.

İşverenin meslek sırlarının açıklanması veya güveninin kötüye kullanılması gibi ağır hâllerde İş Kanunu’nun 25/II-e maddesi kapsamında haklı nedenle fesih tartışması gündeme gelebilir. Ancak fesih bakımından ihlalin ağırlığı, işçinin kastı, verilen eğitim, zararın niteliği ve daha hafif yaptırım imkânı somut olay özelinde değerlendirilmelidir.

İşveren Eğitim Vermezse Sorumluluk Ne Olur?

İş Sağlığı ve Güvenliği Sorumluluğu

Yeni teknoloji uygulanmasına rağmen gerekli iş sağlığı ve güvenliği eğitiminin verilmemesi, 6331 sayılı Kanun’un 17. maddesine aykırılık oluşturabilir.

Kanun’un 26. maddesinde, 17. maddede düzenlenen eğitim yükümlülüğünün yerine getirilmemesi hâlinde her bir aykırılık bakımından çalışan başına idari para cezası öngörülmüştür. Kanundaki temel tutarlar yeniden değerleme ve işyerinin çalışan sayısı ile tehlike sınıfına göre değişebileceğinden güncel yaptırım, ihlal tarihi itibarıyla ayrıca hesaplanmalıdır.

Eğitim eksikliği nedeniyle iş kazası, meslek hastalığı veya kişilik hakkı ihlali meydana gelirse işverenin maddi ve manevi tazminat sorumluluğu da gündeme gelebilir.

KVKK Sorumluluğu

Çalışanlara yapay zekâ ve kişisel veri güvenliği konusunda gerekli eğitim verilmez ve bu nedenle veri ihlali meydana gelirse işverenin KVKK’nın 12. maddesindeki teknik ve idari tedbir yükümlülüğünü ihlal ettiği değerlendirilebilir.

Kişisel Verileri Koruma Kurulunun kararlarında çalışanların eğitilmemesi, eğitimin tamamlatılmaması, eğitim içeriğinin yetersiz kalması ve çalışanların görevleriyle ilgili farkındalığın oluşturulmaması veri güvenliği tedbirlerindeki eksiklik olarak dikkate alınmaktadır.

Bu durumda işveren hakkında idari para cezası uygulanması, veri ihlalinin ilgililere ve Kurula bildirilmesi ve gerekli düzeltici tedbirlerin alınması gündeme gelebilir. KVKK kapsamındaki idari para cezaları her yıl yeniden değerleme oranında artırılmaktadır.

İşçiye Yaptırım Uygulanmasının Güçleşmesi

İşverenin açık bir politika hazırlamadığı, eğitim vermediği ve hangi yapay zekâ kullanımlarının yasak olduğunu belirtmediği bir durumda çalışana ağır disiplin yaptırımı uygulanması tartışmalı hâle gelebilir.

İşçiden bilmediği veya öngöremeyeceği kurala uyması beklenemez. Özellikle işverenin yapay zekâ kullanımını fiilen teşvik ettiği ancak güvenlik sınırlarını açıklamadığı bir işyerinde, bütün sorumluluğun çalışana yüklenmesi dürüstlük ve ölçülülük ilkeleriyle bağdaşmayabilir.

Üçüncü Kişilere Karşı Sorumluluk

Çalışanın yapay zekâyı kullanarak müşteriye hatalı bilgi vermesi, kişisel veri sızdırması veya üçüncü kişinin fikrî mülkiyet hakkını ihlal etmesi hâlinde işverenin üçüncü kişilere karşı sorumluluğu da gündeme gelebilir.

Çalışanın eğitimsiz biçimde ve işverenin organizasyonu içinde hareket etmesi, işverenin sistem seçimi, gözetim ve denetim kusuru bakımından önem taşır. İşveren, hatanın yalnızca çalışan tarafından işlendiğini söyleyerek kendi organizasyon yükümlülüğünden kurtulamaz.

Eğitim Verilmesi ve Verilmemesi Hâllerine İlişkin Örnekler

Örnek 1: Eğitim Verilmeden Müşteri Verilerinin Yüklenmesi

İşveren, çalışanlardan müşteri şikâyetlerini ChatGPT aracılığıyla cevaplamalarını istemiş; ancak hangi bilgilerin sisteme girilemeyeceğini açıklamamıştır. Çalışan, müşterinin adı, adresi ve sağlık bilgilerini sisteme yüklemiştir.

Bu olayda çalışanın dikkat yükümlülüğü bulunsa da işverenin;

• Eğitim vermemesi,
• Güvenli kurumsal araç sağlamaması,
• Anonimleştirme kuralı belirlememesi,
• Teknik erişim kontrolleri kurmaması

nedeniyle KVKK bakımından önemli bir organizasyon ve denetim kusuru bulunduğu ileri sürülebilir.

Örnek 2: Eğitim Verilmesine Rağmen Bilinçli İhlal

İşveren, kişisel verilerin kamuya açık yapay zekâ sistemlerine yüklenemeyeceğini eğitim ve yazılı politika ile açıkça bildirmiştir. Çalışana güvenli kurumsal sistem sunulmuş ve erişim yetkileri belirlenmiştir. Buna rağmen çalışan kolaylık amacıyla binlerce müşteri kaydını kişisel hesabına yüklemiştir.

Bu durumda çalışanın kusuru ve işverene karşı sorumluluğu ağırlaşabilir. Ancak işveren yine de olayın neden teknik olarak önlenemediğini, denetim mekanizmalarının yeterli olup olmadığını ve ihlal sonrasında hangi tedbirleri aldığını açıklamak durumundadır.

Örnek 3: Eğitim Verilmiş Ancak Sistem Hatalı Seçilmiş

Çalışanlara kapsamlı eğitim verilmiş; ancak işveren, verileri güvenli biçimde saklamayan ve girdileri kendi model eğitimi için kullanan bir sistem satın almıştır.

Bu durumda eğitim verilmiş olması, işverenin güvenli hizmet sağlayıcı seçme ve veri işleyenle ilişkileri yönetme yükümlülüğündeki eksikliği ortadan kaldırmaz.

Örnek 4: Yapay Zekâ Çıktısının Kontrol Edilmemesi

Çalışana yapay zekâ çıktılarının insan kontrolünden geçirilmesi gerektiği açıkça anlatılmıştır. Çalışan, gerçekte bulunmayan mevzuat hükümlerini içeren raporu kontrol etmeden müşteriye göndermiştir.

Çalışanın mesleki görevi ve eğitim düzeyi dikkate alınarak kusurlu davranışı gündeme gelebilir. Bununla birlikte işverenin raporlama ve onay sisteminde ikinci bir kontrol mekanizması kurup kurmadığı da değerlendirilmelidir.

Eğitim Nasıl Belgelendirilmelidir?

İşverenin yalnızca eğitim verdiğini ileri sürmesi yeterli olmayabilir. Eğitimin kapsamı ve fiilen gerçekleştirildiği ispatlanabilir olmalıdır.

Bu amaçla;

• Eğitim tarihi ve süresi,
• Katılımcı listesi,
• Eğitim içeriği,
• Kullanılan sunum ve materyaller,
• Eğitmenin kimliği ve yeterliliği,
• Uygulamalı örnekler,
• Kısa değerlendirme veya yeterlilik testi,
• Çalışana tebliğ edilen politika,
• Güncelleme ve tekrar eğitimleri,
• Sorular ve verilen cevaplar

kayıt altına alınabilir.

Ancak belge düzenlenmesi eğitimin gerçekten etkili olmasının yerine geçmez. Çalışana okunamayacak uzunlukta bir metin gönderilmesi, genel bir gizlilik taahhüdü imzalatılması veya eğitime yalnızca sistem üzerinden erişim verilmesi tek başına yeterli kabul edilmemelidir.

Göreve Göre Farklı Eğitim Verilmelidir

Her çalışana aynı eğitim verilmesi doğru bir yöntem değildir.

Örneğin;

• İnsan kaynakları çalışanlarına ayrımcılık, otomatik karar verme ve aday verileri,
• Hukuk departmanına müvekkil gizliliği, kaynak doğrulama ve mesleki sorumluluk,
• Finans çalışanlarına ödeme dolandırıcılığı ve mali veri güvenliği,
• Yazılım geliştiricilere kaynak kodu, açık kaynak lisansları ve sistem güvenliği,
• Yönetici kadroya algoritmik kararların denetlenmesi,
• Bilgi teknolojileri birimine erişim kontrolü, kayıt tutma ve ihlal müdahalesi

konularında daha ayrıntılı eğitim verilmelidir.

Avrupa Komisyonunun yapay zekâ okuryazarlığı yaklaşımı da eğitim içeriğinin çalışanların teknik bilgi, deneyim ve görevlerine göre farklılaştırılmasını öngörmektedir.

Sonuç

Türk hukukunda “yapay zekâ eğitimi” başlığı altında bütün işverenler için aynı kapsamda düzenlenmiş bağımsız bir eğitim yükümlülüğü bulunmasa da mevcut mevzuat işverene önemli yükümlülükler getirmektedir.

Yapay zekâ yeni bir teknoloji olarak iş sağlığı ve güvenliği risklerini, iş ekipmanını veya çalışma yöntemini değiştiriyorsa 6331 sayılı Kanun’un 17. maddesi kapsamında eğitim verilmesi gerekir. Kişisel verilerin yapay zekâ sistemleri aracılığıyla işlenmesi hâlinde çalışanların eğitilmesi, KVKK’nın 12. maddesi kapsamında alınması gereken idari tedbirlerden biri hâline gelir. İşverenin gözetme borcu ve işçiyi koruma yükümlülüğü de çalışandan kullanması istenen teknolojinin güvenli ve anlaşılır biçimde öğretilmesini gerektirir.

Eğitim verilmiş olması işverenin sorumluluğunu kendiliğinden ortadan kaldırmaz. İşveren sistem seçimi, risk değerlendirmesi, teknik güvenlik, erişim yetkileri, insan denetimi ve düzenli kontrol yükümlülüklerini yerine getirmeye devam eder.

Buna karşılık kapsamlı eğitim, açık politika, güvenli araç ve etkili denetim sağlanmasına rağmen çalışanın bilinçli olarak talimatların dışına çıkması, çalışanın kusur ve sorumluluğunu ağırlaştırabilir.

Eğitim verilmemesi hâlinde ise işveren;

• İş sağlığı ve güvenliği idari yaptırımları,
• KVKK idari para cezaları,
• Maddi ve manevi tazminat,
• Veri ihlali sorumluluğu,
• İş kazası veya meslek hastalığı sorumluluğu,
• Hukuka aykırı disiplin veya fesih işlemi

riskleriyle karşılaşabilir.

Sonuç olarak yapay zekâ eğitimi, işverenin sorumluluktan kurtulmak amacıyla çalışanlara imzalattığı biçimsel bir belge olmamalıdır. Eğitim; kullanılan sisteme, çalışanın görevine ve ortaya çıkabilecek somut risklere göre hazırlanmalı, düzenli olarak yenilenmeli ve teknik tedbirlerle desteklenmelidir.

Hukuken en güvenli yaklaşım, çalışana yalnızca yapay zekâyı nasıl kullanacağını değil; ne zaman kullanmaması gerektiğini, çıktıyı nasıl denetleyeceğini ve hata hâlinde nasıl hareket edeceğini de öğretmektir.