Yapay Zekâya Kaynak Kod Yüklenmesinin Hukuki Sonuçları

Üretken yapay zekâ araçlarının yazılım geliştirme süreçlerinde yaygınlaşması, yazılımcıların çalışma biçimini önemli ölçüde değiştirmiştir. Yazılım geliştiriciler artık kod yazmak, hata tespit etmek, mevcut kodu optimize etmek, güvenlik açığı araştırmak, dokümantasyon hazırlamak veya yeni fonksiyonlar geliştirmek amacıyla yapay zekâ araçlarından yararlanabilmektedir.

Ancak şirket çalışanının veya dışarıdan hizmet veren yazılımcının şirketin kaynak kodunu ChatGPT ve benzeri yapay zekâ sistemlerine yüklemesi, yalnızca teknik bir işlem olarak değerlendirilmemelidir.

Kaynak kod içerisinde şirketin yıllar boyunca geliştirdiği algoritmalar, ürün mimarisi, müşteri projeleri, veri tabanı yapıları, API bilgileri, erişim parametreleri ve ticari sır niteliğinde başka bilgiler bulunabilir.

Bu nedenle yapay zekâya kaynak kod yüklenmesinin hukuki sonuçları; fikrî mülkiyet hukuku, ticari sırların korunması, iş hukuku, kişisel verilerin korunması, sözleşmesel sorumluluk ve siber güvenlik açısından birlikte değerlendirilmelidir.

Özellikle çalışanların şirket tarafından onaylanmamış yapay zekâ uygulamalarına kaynak kod aktarması, son dönemde “Shadow AI” olarak adlandırılan kurumsal riskin önemli örneklerinden biridir.

Kaynak Kod Yapay Zekâya Yüklenebilir mi?

Kaynak kodun yapay zekâ sistemine yüklenmesini genel ve koşulsuz olarak hukuka uygun veya hukuka aykırı kabul etmek mümkün değildir.

Hukuki değerlendirme yapılırken öncelikle şu sorulara cevap verilmelidir:

• Kaynak kod kime aittir?
• Kodu yapay zekâya yükleyen kişinin bunu yapmaya yetkisi var mıdır?
• Kod ticari sır niteliğinde midir?
• Kod içerisinde üçüncü kişilere ait yazılım bileşenleri bulunmakta mıdır?
• Kullanılan yapay zekâ hizmetinin veri kullanım şartları nelerdir?
• Şirketin yapay zekâ kullanım politikası var mıdır?
• Kaynak kod içerisinde kişisel veri bulunmakta mıdır?
• Kod içerisinde parola, API anahtarı veya erişim bilgileri bulunmakta mıdır?
• Müşteriyle yapılan sözleşmede üçüncü taraf sistemlere aktarımı yasaklayan hükümler var mıdır?

Bu soruların her biri farklı bir hukuki sorumluluk alanının ortaya çıkmasına neden olabilir.

Dolayısıyla bir yazılımcının yalnızca;

“Hatayı bulması için kodu yapay zekâya yükledim.”

demesi işlemi kendiliğinden hukuka uygun hâle getirmez.

Kaynak Kod Fikrî Mülkiyet Hukuku Kapsamında Korunur mu?

Evet. Türk hukukunda bilgisayar programları belirli koşullar altında Fikir ve Sanat Eserleri Kanunu kapsamında korunmaktadır.

5846 sayılı Fikir ve Sanat Eserleri Kanunu’nun 2. maddesinde bilgisayar programları ilim ve edebiyat eserleri arasında sayılmıştır. Kanun ayrıca programın bir sonraki aşamada bilgisayar programı sonucunu doğurması şartıyla hazırlık tasarımlarını da koruma kapsamına almaktadır.

Dolayısıyla özgün nitelikteki bir kaynak kod üzerinde fikrî mülkiyet hakları bulunabilir.

Bu noktada önemli olan yalnızca kodun bilgisayar ortamında bulunması değildir. Kaynak kodun kimin tarafından oluşturulduğu, özgünlüğü ve taraflar arasındaki sözleşmeler ayrıca önem taşır.

Çalışanın Yazdığı Kaynak Kod Kime Aittir?

Şirketlerde en önemli konulardan biri çalışan tarafından geliştirilen yazılımlar üzerindeki hakların kim tarafından kullanılabileceğidir.

Fikir ve Sanat Eserleri Kanunu’nun 18. maddesine göre, taraflar arasındaki özel sözleşmeden veya işin niteliğinden aksi anlaşılmadıkça çalışanların işlerini görürken meydana getirdikleri eserler üzerindeki hakları kullanma yetkisi onları çalıştıran tarafından kullanılmaktadır.

Bu nedenle şirket bünyesinde görev yapan bir yazılımcının görevini yerine getirirken oluşturduğu kaynak kod bakımından şirketin önemli mali hak kullanım yetkileri bulunabilir.

Çalışanın;

“Bu kodu ben yazdım, istediğim yapay zekâ sistemine yükleyebilirim.”

şeklindeki yaklaşımı bu nedenle her durumda hukuken doğru değildir.

Kodun çalışan tarafından yazılmış olması ile çalışanın kod üzerinde sınırsız tasarruf yetkisine sahip olması birbirinden farklı konulardır.

Çalışanın Şirket Kaynak Kodunu Kişisel ChatGPT Hesabına Yüklemesi

Şirket açısından yüksek risk oluşturan durumlardan biri, çalışanın kaynak kodunu kişisel yapay zekâ hesabında kullanmasıdır.

Örneğin yazılımcı şirket bilgisayarındaki bir kod parçasını kopyalayarak kişisel yapay zekâ hesabına;

“Bu kodda performans problemi nerede?”

şeklinde bir soru yöneltebilir.

Çalışanın amacı tamamen işini yapmak olabilir. Ancak bu işlem sonucunda şirketin fikrî mülkiyet unsuru şirket kontrolü dışındaki üçüncü taraf bir sisteme aktarılmış olabilir.

Hukuki değerlendirmede kullanılan yapay zekâ hizmetinin;

• verileri saklayıp saklamadığı,
• ne kadar süre sakladığı,
• hangi hesap türünün kullanıldığı,
• girdilerin hangi amaçlarla işlendiği,
• hizmet sağlayıcının sözleşme şartları ve
• kurumsal veri güvenliği seçenekleri

incelenmelidir.

Her yapay zekâ hizmetinin veri kullanım modeli aynı olmadığından “yapay zekâya yüklenen her kod mutlaka eğitim verisi olur” şeklinde genel bir kabul doğru değildir. Kullanılan hizmetin güncel sözleşmesi ve veri işleme şartları ayrıca değerlendirilmelidir.

Kaynak Kod Ticari Sır Sayılabilir mi?

Kaynak kod birçok teknoloji şirketinin en önemli ticari varlıklarından biridir.

Özellikle kamuya açık olmayan ve şirket açısından ekonomik değer taşıyan;

• özel algoritmalar,
• yazılım mimarileri,
• optimizasyon yöntemleri,
• güvenlik mekanizmaları,
• iş mantıkları,
• özel entegrasyon yöntemleri,
• veri işleme modelleri ve
• müşteriye özel geliştirilmiş fonksiyonlar

ticari sır niteliği taşıyabilir.

Bu nedenle kaynak kodun kontrolsüz yapay zekâ sistemine aktarılması fikrî mülkiyet sorununun yanında ticari sırların korunması bakımından da değerlendirilmelidir.

İşçinin Sadakat ve Sır Saklama Borcu

Türk Borçlar Kanunu’nun 396. maddesi uyarınca işçi, işverenin haklı menfaatlerinin korunmasında sadakatle davranmakla yükümlüdür.

Aynı maddede işçinin işi sırasında öğrendiği üretim ve iş sırları gibi bilgileri kendi yararına kullanamayacağı veya başkalarına açıklayamayacağı da düzenlenmektedir. Sır saklama yükümlülüğü, işverenin haklı menfaatlerinin korunması için gerekli olduğu ölçüde iş ilişkisi sona erdikten sonra da devam edebilir.

Kaynak kodun şirket bakımından ticari sır niteliğinde olması hâlinde, çalışanın bunu yetkisiz üçüncü taraf sistemlere aktarması sadakat ve gizlilik yükümlülüğünün ihlali olarak değerlendirilebilir.

Yapay Zekâya Kaynak Kod Yüklemek İşten Çıkarma Sebebi Olabilir mi?

Somut olayın özelliklerine göre olabilir.

Ancak her kaynak kod yükleme işlemi otomatik olarak haklı fesih sebebi değildir.

Örneğin şirket tarafından kullanılması açıkça onaylanan kurumsal bir yapay zekâ sisteminde, şirket politikalarına uygun olarak belirli kod parçalarının analiz edilmesiyle çalışanın şirketin açık yasağına rağmen bütün kaynak kod deposunu kişisel AI hesabına yüklemesi aynı hukuki sonucu doğurmaz.

Fesih değerlendirmesinde özellikle;

• şirketin yapay zekâ politikası,
• kaynak kodun gizlilik seviyesi,
• kodun miktarı,
• üçüncü taraf erişim riski,
• çalışanın yetkisi,
• çalışanın kastı veya ihmali,
• daha önce yapılan uyarılar,
• veri güvenliği açısından meydana gelen tehlike ve
• taraflar arasındaki güven ilişkisinin etkilenme derecesi

dikkate alınmalıdır.

Haklı Nedenle Fesih Gündeme Gelebilir mi?

4857 sayılı İş Kanunu’nun 25/II-e maddesinde işçinin işverenin güvenini kötüye kullanması veya işverenin meslek sırlarını ortaya atması gibi doğruluk ve bağlılığa uymayan davranışları haklı nedenle fesih sebepleri arasında düzenlenmiştir.

Bu nedenle özellikle şirketin açık şekilde gizli tuttuğu kritik kaynak kodun bilinçli biçimde yetkisiz bir yapay zekâ platformuna aktarılması, somut olayın ağırlığına göre haklı fesih tartışmasını gündeme getirebilir.

Ancak mahkeme bakımından yalnızca;

“Çalışan yapay zekâ kullandı.”

tespiti yeterli olmayacaktır.

Hangi kodun aktarıldığı, bilginin gizliliği, şirketin verdiği talimatlar ve ihlalin ağırlığı ayrıca ortaya konulmalıdır.

Şirketin Yapay Zekâ Politikası Yoksa Çalışan Serbestçe Kod Yükleyebilir mi?

Hayır.

Şirketin özel bir yapay zekâ politikası hazırlamamış olması, çalışanın şirketin bütün kaynak kodlarını istediği sisteme yükleyebileceği anlamına gelmez.

Çalışanın kanundan, iş sözleşmesinden, gizlilik taahhütnamesinden ve genel sadakat borcundan kaynaklanan yükümlülükleri devam eder.

Bununla birlikte şirketin açık bir yapay zekâ politikası bulunması, olası uyuşmazlıklarda önemli avantaj sağlayabilir.

Örneğin şirket politikasında;

“Şirket kaynak kodları, yapılandırma dosyaları, API anahtarları, algoritmalar ve yazılım mimarisine ilişkin bilgiler şirket tarafından yazılı olarak onaylanmamış üretken yapay zekâ sistemlerine aktarılamaz.”

şeklinde açık bir düzenleme yapılabilir.

Kaynak Kodun Yapay Zekâya Yüklenmesi Ceza Sorumluluğu Doğurabilir mi?

Her kaynak kod yükleme işlemi ceza sorumluluğu doğurmaz.

Ancak kaynak kodun ticari sır niteliğinde bulunması ve kanundaki diğer koşulların da gerçekleşmesi hâlinde Türk Ceza Kanunu’nun ticari sırların açıklanmasına ilişkin hükümleri ayrıca gündeme gelebilir.

TCK m.239; kişinin görevi, mesleği veya sıfatı nedeniyle öğrendiği ticari sır, bankacılık sırrı veya müşteri sırrı niteliğindeki bilgi ve belgeleri yetkisiz kişilere vermesi veya ifşa etmesini belirli koşullarda suç olarak düzenlemektedir.

Ancak yapay zekâ sistemine kaynak kod yüklenmesinin her olayda TCK m.239 kapsamında suç oluşturacağı söylenemez.

Özellikle;

bilginin gerçekten ticari sır olup olmadığı, aktarımın hukuki niteliği, kullanılan sistemin konumu, üçüncü kişi erişimi ve failin kastı

somut olay içerisinde ayrıca değerlendirilmelidir.

Kaynak Kod İçerisinde Kişisel Veri Bulunabilir mi?

Evet.

Kaynak kod her zaman yalnızca teknik komutlardan oluşmayabilir.

Kod içerisinde;

• gerçek kullanıcı isimleri,
• e-posta adresleri,
• telefon numaraları,
• test amacıyla kullanılan müşteri kayıtları,
• log kayıtları,
• hata mesajları veya
• doğrudan kişileri belirlemeyi sağlayabilecek başka bilgiler

bulunabilir.

Bu tür bilgilerin gerçek kişilerle ilişkilendirilebilir olması hâlinde KVKK kapsamında kişisel veri söz konusu olabilir.

Bu durumda kaynak kodun yapay zekâ sistemine yüklenmesi yalnızca fikrî mülkiyet ve ticari sır problemi değil, aynı zamanda kişisel veri işleme faaliyeti hâline gelebilir.

Kişisel Verileri Koruma Kurumu da üretken yapay zekâ sistemleri aracılığıyla gerçekleştirilen veri işleme faaliyetlerinin KVKK kapsamında değerlendirilmesi ve veri güvenliği bakımından gerekli teknik ve idari tedbirlerin alınması gerektiğine dikkat çekmektedir.

Test Verilerinin Yapay Zekâya Gönderilmesi Riskli midir?

Özellikle yazılım geliştirme sırasında gerçek müşteri verilerinin test ortamında kullanılması önemli risk yaratabilir.

Yazılımcı hata tespiti yapmak amacıyla;

kaynak kod + hata kaydı + müşteri verisi

şeklinde bütün sistemi yapay zekâ aracına gönderebilir.

Bu durumda gerçek müşterilere ait kişisel veriler de üçüncü taraf sisteme aktarılmış olabilir.

Bu nedenle şirketlerin mümkün olduğunca gerçek müşteri verileri yerine sentetik veya uygun şekilde anonimleştirilmiş test verileri kullanması önemlidir.

Kaynak Kodun Yurt Dışındaki Yapay Zekâ Sistemine Aktarılması

Kaynak kodun içerisinde kişisel veri bulunuyorsa kullanılan yapay zekâ sisteminin yurt dışındaki altyapıları kullanması ayrıca KVKK’nın yurt dışına kişisel veri aktarımı hükümlerini gündeme getirebilir.

Bu nedenle yalnızca;

“Kaynak kodumuzu yapay zekâ ile analiz ediyoruz.”

demek yeterli değildir.

Şirketin;

hangi verinin aktarıldığını, hizmet sağlayıcının rolünü, verilerin nerede işlendiğini ve gerekli aktarım mekanizmalarının mevcut olup olmadığını

incelemesi gerekir.

API Anahtarlarının Yapay Zekâya Yüklenmesi

Kaynak kod içerisinde bazen API anahtarları, erişim tokenları, bağlantı dizeleri veya başka kimlik doğrulama bilgileri bulunabilir.

Bu bilgilerin yapay zekâ sistemine aktarılması son derece ciddi bir siber güvenlik riski yaratabilir.

Örneğin yazılımcı hata tespiti amacıyla bütün konfigürasyon dosyasını yapay zekâya gönderdiğinde dosyada;

• veri tabanı kullanıcı adı ve şifresi,
• bulut hizmeti erişim anahtarı,
• ödeme altyapısı anahtarı veya
• üçüncü taraf API tokenı

bulunabilir.

Bu bilgiler ele geçirildiğinde saldırganlar şirket sistemlerine doğrudan erişim sağlayabilir.

Bu nedenle kaynak kodu veya hata kayıtlarını yapay zekâya göndermeden önce erişim bilgilerinin mutlaka temizlenmesi gerekir.

Gizli Anahtarların AI Sistemine Yüklenmesi Hâlinde Ne Yapılmalıdır?

Bir API anahtarı veya erişim bilgisinin yapay zekâ sistemine gönderildiği tespit edildiğinde yalnızca mesajı silmekle yetinilmemelidir.

Güvenlik yaklaşımı bakımından ilgili anahtarın artık güvenli olmadığı kabul edilerek;

• anahtar iptal edilmeli,
• yeni anahtar oluşturulmalı,
• bağlantılı sistem kayıtları kontrol edilmeli,
• şüpheli erişimler araştırılmalı ve
• olayın kapsamı belirlenmelidir.

Özellikle üretim ortamına erişen kimlik bilgilerinde hızlı müdahale kritik önemdedir.

Müşteri İçin Geliştirilen Kaynak Kodun Yapay Zekâya Yüklenmesi

Yazılım şirketlerinin önemli bir kısmı kendi ürünleri yanında müşterileri için özel yazılım geliştirmektedir.

Bu durumda kaynak kod şirketin değil veya yalnızca şirketin olmayabilir.

Müşteriyle yapılan sözleşmede;

kodun gizli tutulması, yalnızca proje kapsamında kullanılması ve üçüncü kişilere aktarılmaması

kararlaştırılmış olabilir.

Yazılımcının bu kodu yapay zekâ aracına yüklemesi hâlinde şirket müşterisine karşı sözleşmesel sorumlulukla karşılaşabilir.

Gizlilik Sözleşmesinin İhlali

Yazılım projelerinde NDA olarak bilinen gizlilik sözleşmeleri son derece yaygındır.

Bu sözleşmelerde;

• kaynak kodu,
• teknik dokümantasyon,
• ürün mimarisi,
• algoritmalar,
• müşteri bilgileri ve
• proje detayları

gizli bilgi olarak tanımlanabilir.

Bu durumda kaynak kodun üçüncü taraf yapay zekâ sistemine yüklenmesinin gizlilik sözleşmesi bakımından izin verilen kullanım olup olmadığı mutlaka incelenmelidir.

Sözleşmenin ihlali hâlinde;

tazminat, cezai şart veya sözleşmenin feshi

gibi sonuçlar ortaya çıkabilir.

Dışarıdan Yazılım Hizmeti Veren Freelancer Kaynak Kodu AI’ya Yükleyebilir mi?

Freelancer veya dış yazılım şirketi bakımından da aynı hukuki riskler geçerlidir.

Hizmet sağlayıcının kaynak koda erişim yetkisi bulunması, kodu istediği üçüncü taraf platformunda kullanabileceği anlamına gelmez.

Bu nedenle yazılım geliştirme sözleşmelerine;

“Yüklenici, iş sahibinin kaynak kodunu ve proje kapsamında eriştiği teknik bilgileri, iş sahibinin önceden yazılı izni olmaksızın üçüncü taraf üretken yapay zekâ sistemlerine aktaramaz.”

benzeri hükümler eklenebilir.

Bu tür düzenlemeler özellikle dış kaynak kullanımı yapılan projelerde önemlidir.

Açık Kaynak Kodların Yapay Zekâya Yüklenmesinde Sorun Var mı?

Bir kodun açık kaynak olması onun tamamen sınırsız ve koşulsuz şekilde kullanılabileceği anlamına gelmez.

Açık kaynak yazılımlar farklı lisans modellerine tabi olabilir.

MIT, Apache, GPL ve diğer lisansların kullanıcıya tanıdığı haklar ve yükümlülükler birbirinden farklıdır.

Bu nedenle şirketler yapay zekâya yükledikleri veya yapay zekâdan elde ettikleri kod parçalarının açık kaynak lisansları bakımından durumunu ayrıca değerlendirmelidir.

Yapay Zekânın Ürettiği Kod Başkasına Ait Olabilir mi?

Üretken yapay zekâdan alınan kod çıktılarının doğrudan ve kontrolsüz biçimde şirket ürünlerine eklenmesi de ayrı hukuki risk yaratabilir.

Üretilen kod;

başka bir projede kullanılan koda benzerlik gösterebilir veya lisans yükümlülüğü bulunan kod parçalarıyla çakışabilir.

Bu durum her AI çıktısının otomatik olarak telif hakkı ihlali oluşturduğu anlamına gelmez.

Ancak özellikle uzun veya özgün kod bloklarının ticari projeye dahil edilmesinden önce;

• kodun kökeninin araştırılması,
• mevcut açık kaynak bileşenleriyle karşılaştırılması,
• lisans kontrollerinin yapılması ve
• gerekli güvenlik testlerinin gerçekleştirilmesi

önemlidir.

Yapay Zekânın Ürettiği Kodun Telif Hakkı Kime Aittir?

Bu konu yapay zekâ hukukunun en tartışmalı alanlarından biridir.

Türk fikrî mülkiyet sisteminde eser sahipliği insanın yaratıcı faaliyeti ve hususiyet kavramı üzerinden değerlendirilmektedir.

Dolayısıyla tamamen yapay zekâ tarafından otomatik biçimde oluşturulan çıktının klasik anlamda eser niteliği ve eser sahipliği tartışma konusu olabilir.

Buna karşılık insanın yaratıcı katkısının bulunduğu yazılım çalışmalarında farklı değerlendirmeler yapılabilir.

Bu nedenle şirketlerin yalnızca yapay zekâ tarafından üretilen koda dayanarak kritik fikrî mülkiyet stratejileri oluşturmaması daha güvenli olacaktır.

Yapay Zekâ Tarafından Üretilen Kod Güvenli midir?

Hukuki risklerin yanında teknik riskler de önemlidir.

Yapay zekâ tarafından üretilen kod;

• güvenlik açığı,
• güncel olmayan kütüphane,
• hatalı yetkilendirme,
• güvensiz veri işleme yöntemi veya
• performans problemi

içerebilir.

Yapay zekâ;

“Bu kod güvenlidir.”

dese dahi nihai teknik sorumluluğun ortadan kalktığı söylenemez.

Şirketin ürünü veya hizmeti içerisinde kullanılan kodun güvenliğinin ayrıca test edilmesi gerekir.

Müşteri Yapay Zekâ Tarafından Yazılan Kod Nedeniyle Zarar Görürse Kim Sorumludur?

Bir yazılım şirketinin müşterisine teslim ettiği sistemde yapay zekâ tarafından üretilen hatalı kod nedeniyle zarar meydana gelmesi hâlinde;

“Bu kodu yapay zekâ yazdı.”

savunması şirketi otomatik olarak sorumluluktan kurtarmaz.

Şirketin müşterisine karşı üstlendiği;

ayıpsız ifa, güvenlik, bakım veya teknik performans

yükümlülükleri sözleşmeye göre devam edebilir.

Bu nedenle yapay zekânın kod üretiminde kullanılması şirketin profesyonel kontrol yükümlülüğünü ortadan kaldırmaz.

Kaynak Kod ve KVKK Bakımından İşverenin Sorumluluğu

Şirket veri sorumlusu konumundaysa ve kaynak kod içerisinde kişisel veriler bulunuyorsa KVKK m.12 kapsamında gerekli teknik ve idari tedbirleri almak zorundadır.

Kişisel Verileri Koruma Kurumu, üretken yapay zekâ kullanımında kişisel veri güvenliğine ilişkin yeni risklerin bulunduğuna ve veri sorumlularının gerekli güvenlik tedbirlerini alması gerektiğine dikkat çekmektedir.

Bu nedenle işverenin;

“Yazılımcı kendi hesabından yüklemiş.”

savunması her olayda şirketin veri güvenliği yükümlülüğünü ortadan kaldırmayabilir.

Şirketin yapay zekâ politikası oluşturup oluşturmadığı ve çalışanlarını eğitip eğitmediği de önem taşıyabilir.

Kaynak Kodların Yapay Zekâda Kullanımı İçin Şirket Politikası Nasıl Olmalıdır?

Teknoloji şirketlerinin genel bir yapay zekâ politikasının yanında yazılım ekiplerine özel kurallar oluşturması yararlı olacaktır.

Politikada özellikle şu konular düzenlenebilir:

Onaylı AI kodlama araçları:
Yazılımcıların hangi yapay zekâ araçlarını kullanabileceği belirlenmelidir.

Kaynak kod sınıflandırması:
Hangi kodların gizli veya kritik olduğu tanımlanmalıdır.

Kişisel hesap yasağı:
Şirket kaynak kodunun çalışanların kişisel AI hesaplarında kullanılmasına sınırlama getirilebilir.

Gizli bilgilerin temizlenmesi:
API anahtarları ve erişim bilgilerinin AI sistemlerine aktarılması yasaklanmalıdır.

Müşteri kodları:
Müşterilere ait projeler için ayrıca izin mekanizması oluşturulmalıdır.

Kişisel veriler:
Gerçek kullanıcı verilerinin kod veya loglarla birlikte yapay zekâ sistemine aktarılması sınırlandırılmalıdır.

İnsan denetimi:
AI tarafından üretilen kodun doğrudan üretim ortamına aktarılması engellenmelidir.

Kaynak Kod Yapay Zekâya Yüklenmeden Önce Ne Yapılmalıdır?

Şirketler yazılımcılar için basit bir kontrol mekanizması oluşturabilir.

Kaynak kod yapay zekâ sisteminde kullanılmadan önce şu sorular cevaplandırılabilir:

Bu yapay zekâ aracı şirket tarafından onaylandı mı?

Kod ticari sır içeriyor mu?

Kod müşteriye mi ait?

Kod içerisinde kişisel veri var mı?

API anahtarı veya parola bulunuyor mu?

Bütün dosyanın yüklenmesi gerçekten gerekli mi?

Yalnızca ilgili birkaç satır kullanılarak sorun çözülebilir mi?

Kod anonimleştirilebilir veya genelleştirilebilir mi?

Yapay zekâ hizmet sağlayıcısının veri saklama koşulları nedir?

Bu basit değerlendirme birçok hukuki ve teknik riski daha veri aktarılmadan önce engelleyebilir.

Kaynak Kod Yanlışlıkla Yapay Zekâya Yüklendiyse Ne Yapılmalıdır?

Bir çalışanın hassas kaynak kodu yanlışlıkla yapay zekâ sistemine yüklediği tespit edildiğinde şirketin hızlı hareket etmesi gerekir.

Öncelikle;

1. Kullanılan yapay zekâ hizmeti ve hesap tespit edilmelidir.
2. Aktarılan kaynak kodun kapsamı belirlenmelidir.
3. Kod içerisindeki gizli bilgiler tespit edilmelidir.
4. API anahtarı ve erişim bilgileri varsa derhâl yenilenmelidir.
5. Yapay zekâ hizmetindeki silme imkânları kullanılmalıdır.
6. Hizmet sağlayıcının veri saklama ve kullanım şartları incelenmelidir.
7. Kod içerisinde kişisel veri varsa KVKK bakımından değerlendirme yapılmalıdır.
8. Müşteriye ait kod bulunuyorsa sözleşmesel bildirim yükümlülükleri kontrol edilmelidir.
9. Gerekirse güvenlik logları incelenmelidir.
10. Olayın tekrarını engelleyecek tedbirler alınmalıdır.

Bu süreç yalnızca çalışana disiplin cezası verilmesinden ibaret olmamalıdır.

Kaynak Kodun AI’ya Yüklendiğinin İspatı

İş hukuku veya tazminat uyuşmazlığı ortaya çıktığında kaynak kodun gerçekten yapay zekâ sistemine yüklenip yüklenmediğinin ispatı önem kazanabilir.

Olayın özelliklerine göre;

• şirket ağ kayıtları,
• DLP kayıtları,
• kurumsal yapay zekâ hesabı logları,
• dosya hareketleri,
• çalışan beyanları,
• e-posta kayıtları ve
• bilirkişi incelemeleri

delil olarak değerlendirilebilir.

Ancak çalışanların dijital faaliyetlerinin denetlenmesinde KVKK ve özel hayatın gizliliğine ilişkin hukuki sınırlar da gözetilmelidir.

Şirket Kaynak Kodunun Korunması İçin Hangi Önlemler Alınabilir?

Şirketlerin yalnızca yazılı yasak getirmesi yeterli değildir.

Teknik ve hukuki tedbirler birlikte uygulanmalıdır.

Örneğin;

• hassas kod depolarına erişim yetkileri sınırlandırılabilir,
• kaynak kodlar gizlilik seviyesine göre sınıflandırılabilir,
• onaylanmamış AI sitelerine kod aktarımı teknik olarak engellenebilir,
• kurumsal AI kodlama araçları sağlanabilir,
• çalışanlara düzenli eğitim verilebilir,
• hizmet ve iş sözleşmelerine AI hükümleri eklenebilir,
• müşteri projeleri için ayrı yapay zekâ kullanım prosedürleri oluşturulabilir.

Bu yaklaşım şirketin ticari sırlarını gerçekten koruduğunu göstermesi açısından da önemlidir.

Yazılım Şirketlerinin Sözleşmelerine Yapay Zekâ Hükümleri Eklenmeli midir?

Günümüzde yazılım geliştirme sözleşmelerinin yapay zekâ kullanımını hiç düzenlememesi önemli bir eksiklik hâline gelebilir.

Sözleşmelerde;

• kaynak kodun AI sistemlerinde kullanılıp kullanılamayacağı,
• kullanılabilecek hizmet sağlayıcılar,
• müşteri verilerinin AI sistemlerinde işlenmesi,
• açık kaynak kod kullanımı,
• AI tarafından oluşturulan kodun kontrolü,
• gizlilik,
• fikrî mülkiyet ve
• güvenlik sorumluluğu

açıkça düzenlenebilir.

Bu özellikle dış kaynak yazılım geliştirme projelerinde önem taşır.

Kaynak Kod Yüklemek Shadow AI Sayılır mı?

Çalışanın şirket tarafından onaylanmamış bir yapay zekâ sistemine şirket kaynak kodunu yüklemesi, Shadow AI’nin en tipik örneklerinden biridir.

Bu durumda çalışan kendi işini daha hızlı yapmak için hareket ediyor olsa dahi şirket;

hangi kodun hangi platformda işlendiğini ve bilginin şirket dışına çıkıp çıkmadığını kontrol edemeyebilir.

Bu nedenle teknoloji şirketleri açısından Shadow AI politikalarının merkezinde kaynak kod güvenliği bulunmalıdır.

Sonuç

Yapay zekâya kaynak kod yüklenmesinin hukuki sonuçları, yalnızca telif hakkıyla sınırlı değildir.

Kaynak kodun niteliğine ve kullanım şekline göre;

fikrî mülkiyet hakkı ihlali, ticari sırların açıklanması, işçinin sadakat ve gizlilik borcunun ihlali, iş sözleşmesinin feshi, KVKK sorumluluğu, sözleşmesel tazminat sorumluluğu, cezai şart ve bazı durumlarda ceza hukuku sorumluluğu

gündeme gelebilir.

Özellikle şirket çalışanının veya dışarıdan hizmet veren yazılımcının şirketin kaynak kodunu kişisel yapay zekâ hesabına yüklemesi önemli bir Shadow AI riski oluşturur.

Bunun yanında kaynak kod içerisinde bulunan API anahtarları, erişim bilgileri, müşteri verileri ve altyapı bilgileri, hukuki riskin yanında ciddi siber güvenlik sonuçlarına da neden olabilir.

Şirketlerin bu nedenle yalnızca;

“Çalışanların kaynak kodu yapay zekâya yüklemesi yasaktır.”

şeklinde genel bir kural koyması yeterli değildir.

Hangi yapay zekâ araçlarının kullanılabileceği, hangi kodların sisteme aktarılabileceği, müşteri projelerinin nasıl korunacağı, kişisel verilerin nasıl temizleneceği ve AI tarafından üretilen kodun hangi kontrollerden geçirileceği açık şekilde düzenlenmelidir.

Yapay zekâ yazılım geliştirme süreçlerinde giderek daha önemli bir araç hâline gelecektir. Bu nedenle şirketler açısından temel mesele yapay zekâ ile kod yazılıp yazılmayacağı değildir.

Asıl soru şudur:

“Şirketimizin kaynak kodunu yapay zekâ araçlarıyla kullanırken fikrî mülkiyet haklarımızı, ticari sırlarımızı, müşteri bilgilerimizi ve siber güvenliğimizi nasıl koruyacağız?”

Bu soruya cevap veren kapsamlı bir yapay zekâ ve kaynak kod kullanım politikası oluşturulması, özellikle yazılım ve teknoloji şirketlerinin önümüzdeki dönemdeki en önemli hukuki uyum çalışmalarından biri olacaktır.