Hızlı Özet
Şirket içinde yapay zekâ araçlarının kullanımı, iş süreçlerini hızlandırabilir; ancak kişisel veri, özel nitelikli kişisel veri, müşteri bilgisi, çalışan verisi, finansal kayıt ve ticari sırların korunması bakımından önemli riskler doğurabilir. ChatGPT, Gemini, Copilot veya benzeri araçlara kişisel veri içeren metin, belge, tablo, görsel veya ekran görüntüsü yüklenmesi, kişisel veri işleme faaliyeti olarak değerlendirilebilir. Kullanılan yapay zekâ aracının hizmet sağlayıcısı, sunucu yapısı ve veri saklama koşulları nedeniyle yurt dışına veri aktarımı ihtimali ayrıca incelenmelidir. Yanlışlıkla kişisel veri yüklenmesi bazı durumlarda veri ihlali değerlendirmesini de gerektirebilir. Bu nedenle şirketler, yapay zekâ kullanımını veri envanteri, aydınlatma metinleri, saklama-imha politikası ve bilgi güvenliği tedbirleriyle birlikte ele almalıdır.
- Şirket İçi Yapay Zekâ Kullanımında KVKK Riskleri ve Kullanım Politikası
- Şirket İçinde Yapay Zekâ Kullanımı Neden KVKK Riski Doğurur?
- Yapay Zekâ Araçlarına Hangi Bilgiler Girilmemelidir?
- ChatGPT, Gemini ve Copilot’a Veri Yüklemek Kişisel Veri İşleme Sayılır mı?
- Yapay Zekâ Kullanımında Veri Sorumlusu ve Veri İşleyen Ayrımı Nasıl Yapılır?
- Yapay Zekâ Kullanımında Yurt Dışına Veri Aktarımı Riski Var mı?
- Aydınlatma Metni ve Veri Envanteri Güncellenmeli midir?
- Yapay Zekâ Araçlarında Saklama ve İmha Riski Nedir?
- Yanlışlıkla Kişisel Veri Yüklenirse Veri İhlali Oluşur mu?
- Şirket İçi Yapay Zekâ Kullanım Politikası Nasıl Hazırlanmalıdır?
- Çalışanlar İçin Yapay Zekâ Kullanım Kuralları
- Uygulamada Dikkat Edilmesi Gerekenler
- Lilyum Danışmanlık Bu Süreçte Nasıl Destek Olur?
- Sık Sorulan Sorular (SSS)
- Resmi Kaynaklar
- İlgili Rehberler
Şirketinizde Yapay Zekâ Kullanım Kurallarını Birlikte Belirleyelim
Çalışanlarınız ChatGPT, Gemini, Copilot veya benzeri yapay zekâ araçlarını kullanıyorsa, hangi verilerin bu araçlara girilemeyeceği yazılı olarak belirlenmelidir. Yapay zekâ kullanım politikanızın veri envanteri, aydınlatma metinleri ve KVKK uyum süreciyle birlikte değerlendirilmesi için KVKK Danışmanlığı hizmetimiz kapsamında destek alabilirsiniz.
Şirket İçi Yapay Zekâ Kullanımında KVKK Riskleri ve Kullanım Politikası
Şirket içi yapay zekâ kullanımında KVKK riskleri, çalışanların ChatGPT, Gemini, Copilot veya benzeri üretken yapay zekâ araçlarına müşteri verisi, çalışan bilgisi, finansal kayıt, sözleşme, sağlık verisi veya ticari sır niteliğindeki bilgileri yüklemesiyle ortaya çıkar. Ankara merkezli şirketler ve Türkiye genelinde faaliyet gösteren işletmeler için bu konu, yalnızca teknolojik verimlilik meselesi değildir; aynı zamanda kişisel veri güvenliği, aydınlatma yükümlülüğü, veri envanteri, yurt dışına aktarım ve veri ihlali yönetimi bakımından da dikkatle ele alınmalıdır.
Üretken yapay zekâ araçlarının iş süreçlerinde kullanılması tamamen yasaklanması gereken bir alan olarak görülmemelidir. Ancak bu araçların hangi departmanlarda, hangi amaçla, hangi veri türleriyle ve hangi kurumsal kurallar altında kullanılacağı yazılı şekilde belirlenmelidir. Bu nedenle şirketlerin, çalışanlarına sade ve uygulanabilir bir yapay zekâ kullanım politikası hazırlaması önemlidir.
Şirket İçinde Yapay Zekâ Kullanımı Neden KVKK Riski Doğurur?
Üretken yapay zekâ araçları; metin yazma, belge özetleme, e-posta hazırlama, sözleşme taslağı oluşturma, müşteri şikâyeti analiz etme, kod yazma, tablo düzenleme ve araştırma yapma gibi birçok iş sürecinde kullanılmaktadır. Bu araçlar çalışanların işini kolaylaştırabilir; fakat aynı zamanda kişisel veri ve kurumsal gizli bilgilerin kontrolsüz biçimde paylaşılmasına neden olabilir.
Örneğin bir çalışan, müşteri şikâyetlerini özetletmek için müşteri adları, telefon numaraları ve sipariş bilgileri içeren bir tabloyu yapay zekâ aracına yükleyebilir. İnsan kaynakları birimi, aday CV’lerini karşılaştırmak için eğitim, adres, telefon, fotoğraf veya referans bilgilerini bu araçlara girebilir. Muhasebe veya finans birimi ise bordro, banka hareketi, cari hesap, tahsilat listesi veya sözleşme bilgilerini analiz ettirmek isteyebilir.
Bu örneklerin her biri kişisel veri işleme, veri güvenliği, özel nitelikli veri, gizlilik ve bazı durumlarda yurt dışına veri aktarımı bakımından ayrıca değerlendirilmelidir. Bu nedenle şirket içi yapay zekâ kullanımı yalnızca bilgi işlem departmanının konusu değildir; insan kaynakları, muhasebe, satış, pazarlama, hukuk, müşteri ilişkileri ve yönetim süreçleriyle birlikte ele alınmalıdır
Yapay Zekâ Araçlarına Hangi Bilgiler Girilmemelidir?
Şirket çalışanları, açık bir politika ve yetkilendirme bulunmadıkça yapay zekâ araçlarına kişisel veri içeren bilgi, belge veya ekran görüntüsü yüklememelidir. Buradaki temel ölçü şudur: Bir bilgi gerçek bir kişiyi doğrudan veya dolaylı olarak belirlenebilir hâle getiriyorsa, bu bilgi yapay zekâ aracına girilmeden önce KVKK bakımından değerlendirilmelidir.
Özellikle aşağıdaki bilgiler yapay zekâ araçlarına girilmemelidir:
- T.C. kimlik numarası
- Ad, soyad, adres, telefon ve e-posta bilgileri
- Müşteri listeleri
- Çalışan özlük dosyaları
- Aday çalışan CV’leri
- Bordro ve ücret bilgileri
- Sağlık raporları
- İş kazası belgeleri
- Engellilik, sağlık, ceza mahkûmiyeti veya biyometrik veri içeren bilgiler
- Banka hesap bilgileri
- Sözleşmelerde yer alan taraf ve temsilci bilgileri
- Kamera kayıtları, ses kayıtları ve görseller
- Şirket içi ticari sırlar
- Mali tablolar ve finansal raporlar
- Henüz kamuya açıklanmamış proje, teklif veya strateji dokümanları
- API anahtarları, şifreler, kaynak kodlar ve sistem erişim bilgileri
Özel nitelikli kişisel veriler, şirket içi yapay zekâ kullanımında en yüksek riskli veri grubu olarak kabul edilmelidir. Sağlık verisi, biyometrik veri, ceza mahkûmiyeti bilgisi veya benzeri özel nitelikli kişisel veriler, açık kurumsal değerlendirme yapılmadan hiçbir yapay zekâ aracına girilmemelidir.
ChatGPT, Gemini ve Copilot’a Veri Yüklemek Kişisel Veri İşleme Sayılır mı?
Evet. Bir yapay zekâ aracına kişisel veri içeren metin, dosya, tablo, görsel, ses kaydı veya ekran görüntüsü yüklenmesi, kişisel veri işleme faaliyeti olarak değerlendirilebilir.
Kişisel veri işleme yalnızca verinin kaydedilmesi değildir. Verinin elde edilmesi, yüklenmesi, aktarılması, analiz edilmesi, sınıflandırılması, özetlenmesi, saklanması veya başka bir çıktı üretmek için kullanılması da kişisel veri işleme süreci kapsamında değerlendirilebilir.
Bu nedenle çalışanların “Ben sadece metni özetlettim”, “Sadece deneme amaçlı yükledim” veya “Veriyi dışarı göndermedim, yalnızca yapay zekâya sordum” şeklindeki yaklaşımı yeterli değildir. Eğer yüklenen içerikte kişisel veri varsa; işleme amacı, hukuki sebep, veri minimizasyonu, veri güvenliği, hizmet sağlayıcı ilişkisi, saklama süresi ve yurt dışına aktarım ihtimali ayrıca incelenmelidir.
Yapay Zekâ Kullanımında Veri Sorumlusu ve Veri İşleyen Ayrımı Nasıl Yapılır?
Şirket, çalışanlarının iş süreçlerinde hangi yapay zekâ aracını hangi amaçla kullanacağını belirliyorsa, bu kullanım bakımından veri sorumlusu konumunda olabilir. Çünkü veri sorumlusu, kişisel verilerin işlenme amacını ve vasıtalarını belirleyen gerçek veya tüzel kişidir.
Yapay zekâ hizmet sağlayıcısının konumu ise ayrıca değerlendirilmelidir. Hizmet sağlayıcı yalnızca şirketin talimatları doğrultusunda hareket ediyorsa, bazı faaliyetler bakımından veri işleyen olarak değerlendirilebilir. Ancak sağlayıcı, yüklenen verileri kendi amaçları için kullanıyor, model eğitimi yapıyor, hizmet geliştirme amacıyla veriyi işliyor veya bağımsız kararlar alıyorsa, bazı faaliyetler bakımından ayrı veri sorumlusu niteliği de gündeme gelebilir.
Bu nedenle şirketin şu sorulara açık cevap vermesi gerekir:
- Hangi yapay zekâ araçları kullanılabilir?
- Bu araçlar hangi iş süreçlerinde kullanılabilir?
- Hangi çalışanlar bu araçlara erişebilir?
- Hangi veriler kesinlikle girilemez?
- Hizmet sağlayıcı verileri hangi amaçlarla işler?
- Girilen veriler yapay zekâ sağlayıcısı tarafından saklanıyor mu?
- Girilen veriler model eğitiminde kullanılıyor mu?
- Kurumsal hesapta veri saklama ve eğitim ayarları değiştirilebiliyor mu?
- Yurt dışına veri aktarımı ihtimali var mı?
- Veri işleyen sözleşmesi veya hizmet şartları yeterli mi?
- Yanlışlıkla veri yüklenirse kime bildirim yapılacaktır?
Bu sorular cevaplanmadan yapay zekâ araçlarının serbest şekilde kullanılması, şirket açısından kontrolsüz bir veri işleme alanı oluşturabilir.
Yapay Zekâ Kullanımında Yurt Dışına Veri Aktarımı Riski Var mı?
Evet, olabilir. Birçok üretken yapay zekâ aracı yurt dışında kurulu şirketler tarafından sunulmakta veya yurt dışındaki sunucular üzerinden çalışabilmektedir. Bu durumda, kişisel veri içeren bir içeriğin yapay zekâ aracına yüklenmesi yalnızca şirket içinde yapılan basit bir işlem olarak görülmemelidir.
Eğer kullanılan yapay zekâ aracı yurt dışında yerleşik bir hizmet sağlayıcı tarafından sunuluyor, veriler yurt dışındaki sunucularda saklanıyor veya yurt dışında işleniyorsa 6698 sayılı Kanun’un yurt dışına aktarım hükümleri ayrıca değerlendirilmelidir.
Yurt dışına aktarım değerlendirmesinde özellikle şu başlıklar kontrol edilmelidir:
- Hizmet sağlayıcının hangi ülkede yerleşik olduğu
- Verilerin hangi ülkelerde saklandığı
- Alt hizmet sağlayıcıların kimler olduğu
- Kurumsal hesap ile bireysel hesap arasındaki farklar
- Girilen verilerin model eğitiminde kullanılıp kullanılmadığı
- Veri saklama ve silme ayarları
- Veri işleme sözleşmesi
- Standart sözleşme veya uygun güvence ihtiyacı
- Kuruma bildirim yükümlülüğü doğup doğmadığı
- İstisnai aktarım şartlarının somut olayda uygulanıp uygulanamayacağı
Yapay zekâ hizmet sağlayıcısı yurt dışında yerleşikse veya kişisel veriler yurt dışındaki sunucularda işleniyorsa, yurt dışına aktarım hükümleri; uygun güvence, standart sözleşme, istisnai aktarım ve Kuruma bildirim yükümlülüğü bakımından ayrıca değerlendirilmelidir.
Aydınlatma Metni ve Veri Envanteri Güncellenmeli midir?
Evet, bazı durumlarda güncellenmelidir. Şirket, yapay zekâ araçlarını müşteri, çalışan, aday çalışan, tedarikçi veya iş ortağı verilerinin işlendiği süreçlerde kullanıyorsa, bu kullanım ilgili veri işleme faaliyeti içinde değerlendirilmelidir.
Örneğin insan kaynakları departmanı aday CV’lerini analiz etmek için yapay zekâ destekli bir araç kullanıyorsa, aday çalışan verilerinin işlenme amacı, işleme yöntemi, hizmet sağlayıcı, saklama süresi ve aktarım ihtimali ayrıca incelenmelidir. Müşteri şikâyetleri yapay zekâ ile analiz ediliyorsa, müşteri verilerinin hangi amaçla ve hangi sistemde işlendiği veri envanterine yansıtılmalıdır.
Bu nedenle şirketler şu belgeleri gözden geçirmelidir:
- Kişisel veri işleme envanteri
- Çalışan aydınlatma metni
- Aday çalışan aydınlatma metni
- Müşteri aydınlatma metni
- Tedarikçi ve iş ortağı süreçleri
- Bilgi güvenliği politikası
- Saklama ve imha politikası
- Çalışan gizlilik taahhütnamesi
- Şirket içi yapay zekâ kullanım politikası
Yapay zekâ kullanımı, mevcut aydınlatma metinlerinde hiç yer almayan yeni bir veri işleme faaliyeti oluşturuyorsa, ilgili metinlerin güncellenmesi gerekebilir. Ancak her durumda otomatik ve standart bir metin eklemek yerine, somut veri işleme faaliyeti esas alınmalıdır.
Yapay Zekâ Araçlarında Saklama ve İmha Riski Nedir?
Yapay zekâ araçlarında yalnızca yüklenen belge değil; komutlar, sohbet geçmişi, eklenen dosyalar, alınan cevaplar ve oluşturulan çıktılar da saklama riski doğurabilir. Şirket, bu kayıtların nerede, ne kadar süreyle, hangi amaçla ve kimlerin erişimine açık şekilde saklandığını kontrol etmelidir.
Özellikle şu sorular önemlidir:
- Çalışanın yazdığı komutlar sistemde saklanıyor mu?
- Yüklenen dosyalar daha sonra tekrar görüntülenebiliyor mu?
- Sohbet geçmişi kapatılabiliyor mu?
- Kurumsal hesaplarda veri saklama ayarı değiştirilebiliyor mu?
- Girilen içerikler model eğitimi için kullanılıyor mu?
- Üretilen yapay zekâ çıktıları şirket sistemlerinde ayrıca saklanıyor mu?
- Bu çıktılara kimler erişebiliyor?
- Saklama süresi sonunda silme veya anonimleştirme yapılabiliyor mu?
Şirket, kendi sistemlerinde saklanan yapay zekâ çıktıları bakımından saklama-imha politikasını ve erişim yetkilerini belirlemelidir. Yapay zekâ aracının kendi sistemlerinde sakladığı veriler bakımından ise hizmet sağlayıcının sözleşme, gizlilik ve veri işleme şartları dikkatle incelenmelidir.
Yanlışlıkla Kişisel Veri Yüklenirse Veri İhlali Oluşur mu?
Yanlışlıkla kişisel veri veya özel nitelikli kişisel veri yapay zekâ aracına yüklenirse, olay yalnızca iç disiplin meselesi olarak görülmemelidir. Öncelikle kişisel veri ihlali oluşup oluşmadığı değerlendirilmelidir.
Her yanlış yükleme otomatik olarak Kurula bildirim gerektiren bir veri ihlali anlamına gelmez. Ancak yüklenen verinin niteliği, kapsamı, ilgili kişi sayısı, özel nitelikli veri içerip içermediği, hizmet sağlayıcının veriye erişim ihtimali, verinin saklanıp saklanmadığı ve üçüncü kişilere aktarım riski birlikte incelenmelidir.
Şirket içinde şu acil değerlendirme adımları bulunmalıdır:
- Yanlışlıkla hangi veri yüklendi?
- Veriler hangi yapay zekâ aracına girildi?
- Kişisel veri mi, özel nitelikli kişisel veri mi?
- Kaç kişiye ait veri söz konusu?
- Veri sistemde saklandı mı?
- Silme talebi veya teknik geri alma imkânı var mı?
- Hizmet sağlayıcıya bildirim yapılmalı mı?
- Kurula ve ilgili kişilere bildirim gerekip gerekmediği değerlendirilmiş mi?
- Olay kayıt altına alınmış mı?
- Benzer olayların tekrarını önlemek için tedbir alınmış mı?
Bu nedenle yapay zekâ kullanım politikası içinde “yanlışlıkla veri paylaşımı hâlinde bildirim süreci” açıkça yer almalıdır.
Şirket İçi Yapay Zekâ Kullanım Politikası Nasıl Hazırlanmalıdır?
Şirket içi yapay zekâ kullanım politikası, çalışanların yapay zekâ araçlarını hangi kurallarla kullanacağını gösteren kısa, anlaşılır ve uygulanabilir bir iç düzenlemedir. Bu politika yalnızca teknik bir bilgi işlem dokümanı gibi hazırlanmamalı; KVKK, bilgi güvenliği, insan kaynakları, muhasebe, müşteri ilişkileri ve sözleşme süreçleriyle uyumlu olmalıdır.
1. Amaç ve Kapsam
Politikanın hangi çalışanları, hangi departmanları, hangi yapay zekâ araçlarını ve hangi iş süreçlerini kapsadığı açıkça yazılmalıdır.
2. İzin Verilen Yapay Zekâ Araçları
Şirket tarafından kullanılmasına izin verilen araçlar belirtilmelidir. Çalışanların kişisel hesaplarıyla rastgele yapay zekâ aracı kullanmasının önüne geçilmelidir.
3. Yasaklanan Veri Türleri
Kişisel veri, özel nitelikli kişisel veri, müşteri bilgisi, çalışan bilgisi, finansal veri, sözleşme ve ticari sır niteliğindeki bilgilerin hangi koşullarda paylaşılmayacağı açıkça yazılmalıdır.
4. Anonimleştirme ve Genelleştirme Kuralı
Yapay zekâ aracına soru sorulurken gerçek kişi adı, şirket sırrı, dosya numarası, telefon, adres, kimlik numarası gibi bilgiler çıkarılmalı; mümkünse anonim veya genelleştirilmiş örnekler kullanılmalıdır.
5. Çıktıların Kontrolü
Yapay zekâ tarafından üretilen cevaplar doğrudan karar, rapor, sözleşme, müşteri iletişimi veya resmi başvuru metni olarak kullanılmamalıdır. İnsan kontrolü zorunlu tutulmalıdır.
6. Yetki ve Sorumluluk
Hangi departmanın hangi amaçla yapay zekâ kullanabileceği, hangi durumlarda yönetici veya KVKK sorumlusundan onay alınacağı belirlenmelidir.
7. Yurt Dışına Aktarım ve Tedarikçi Kontrolü
Kullanılan yapay zekâ aracının hizmet sağlayıcısı, sunucu yapısı, veri saklama koşulları, alt hizmet sağlayıcıları ve yurt dışına aktarım ihtimali kontrol edilmelidir.
8. İhlal ve Bildirim Süreci
Yanlışlıkla kişisel veri veya gizli bilgi yüklenirse çalışanın kime, ne kadar sürede ve nasıl bildirim yapacağı açıkça yazılmalıdır.
| Kullanım Örneği | KVKK Riski | Uygulama Notu |
|---|---|---|
| Müşteri şikâyetlerini yapay zekâ ile özetlemek | Müşteri adı, iletişim bilgisi ve sipariş verisi paylaşılabilir. | Kişisel veriler çıkarılmalı, anonim örnek kullanılmalıdır. |
| CV’leri yapay zekâ ile karşılaştırmak | Aday çalışan verileri ve özel nitelikli bilgiler işlenebilir. | Açık politika, hukuki sebep ve veri minimizasyonu değerlendirilmelidir. |
| Sözleşme metnini yapay zekâya yüklemek | Taraf bilgileri, imza yetkilileri ve ticari sırlar açığa çıkabilir. | Gerçek kişi bilgileri ve gizli hükümler temizlenmeden yükleme yapılmamalıdır. |
| Bordro veya ücret tablosu analiz ettirmek | Çalışan ücret bilgileri ve finansal veriler ifşa olabilir. | Bordro ve ücret verileri yapay zekâ araçlarına girilmemelidir. |
| Sağlık raporu veya iş kazası belgesi yorumlatmak | Özel nitelikli kişisel veri riski doğar. | Bu tür veriler açık kurumsal değerlendirme olmadan kullanılmamalıdır. |
| Pazarlama metni hazırlatmak | Müşteri segmentleri ve davranış verileri paylaşılabilir. | Kişisel veri içermeyen genel kampanya bilgisi kullanılmalıdır. |
| Yazılım kodu kontrol ettirmek | Kaynak kod, API anahtarı veya sistem bilgisi açığa çıkabilir. | Gizli anahtarlar ve kurum içi sistem bilgileri temizlenmelidir. |
| Yapay zekâ çıktısını müşteriye göndermek | Hatalı, eksik veya kişisel veri içeren çıktı paylaşılabilir. | Çıktılar yetkili kişi tarafından kontrol edilmelidir. |
| Kurumsal hesap yerine kişisel hesap kullanmak | Şirket verisi kişisel hesaba ve kontrol dışı ortama taşınabilir. | Kurumsal hesap ve yetkilendirme sistemi tercih edilmelidir. |
Çalışanlar İçin Yapay Zekâ Kullanım Kuralları
Şirket içinde yapay zekâ kullanımında çalışanlara uzun ve karmaşık hükümler yerine, pratik kurallar verilmelidir. Aşağıdaki kurallar iç politika metnine temel olabilir:
- Kişisel veri içeren belge, tablo, görsel veya ekran görüntüsü yapay zekâ aracına yüklenmemelidir.
- Müşteri, çalışan, aday çalışan veya tedarikçi bilgileri gerçek hâliyle paylaşılmamalıdır.
- T.C. kimlik numarası, telefon, adres, e-posta, banka bilgisi, sağlık verisi ve ücret bilgisi girilmemelidir.
- Sözleşme metinleri yüklenmeden önce taraf bilgileri, imza bilgileri ve ticari sır niteliğindeki hükümler temizlenmelidir.
- Yapay zekâ çıktıları doğrulanmadan müşteriye, kamu kurumuna veya üçüncü kişiye gönderilmemelidir.
- Yapay zekâ aracı kullanılarak hazırlanan metinlerde hukuki, mali veya teknik doğrulama yapılmalıdır.
- Şirket tarafından izin verilmeyen yapay zekâ araçları iş süreçlerinde kullanılmamalıdır.
- Kurumsal hesap yerine kişisel hesap üzerinden şirket verisi işlenmemelidir.
- Yanlışlıkla kişisel veri paylaşılırsa durum derhâl yetkili kişiye bildirilmelidir.
- Özel nitelikli kişisel veri içeren hiçbir içerik açık kurumsal değerlendirme olmadan yapay zekâ aracına girilmemelidir.
Uygulamada Dikkat Edilmesi Gerekenler
Şirket içi yapay zekâ kullanımında en büyük hata, konunun yalnızca çalışanların bireysel dikkatine bırakılmasıdır. Oysa çalışanlar çoğu zaman hangi bilginin kişisel veri, hangi bilginin ticari sır, hangi bilginin özel nitelikli kişisel veri olduğunu ayırt etmekte zorlanabilir.
Bu nedenle uygulamada şu adımlar birlikte yürütülmelidir:
- Şirketin kullandığı veya çalışanların fiilen eriştiği yapay zekâ araçları tespit edilmelidir.
- Hangi departmanın hangi amaçla bu araçları kullandığı belirlenmelidir.
- Kişisel veri işleme envanterinde bu süreçlerin karşılığı değerlendirilmelidir.
- Aydınlatma metinlerinin bu yeni kullanım biçimini kapsayıp kapsamadığı kontrol edilmelidir.
- Çalışanlara sade bir yapay zekâ kullanım politikası duyurulmalıdır.
- Özel nitelikli kişisel veri içeren süreçlerde daha sıkı kurallar uygulanmalıdır.
- Kurumsal hesap, veri saklama ayarı ve model eğitimi tercihleri kontrol edilmelidir.
- Yurt dışına veri aktarımı ihtimali ayrıca incelenmelidir.
- Hizmet sağlayıcının veri işleyen veya ayrı veri sorumlusu rolü değerlendirilmelidir.
- Çalışanlara örnekli eğitim verilmelidir.
- Yanlışlıkla veri paylaşımı hâlinde ihlal değerlendirme süreci belirlenmelidir.
- Politika belirli aralıklarla güncellenmelidir.
Yapay zekâ kullanım politikası tek başına hazırlanacak bir metin olarak görülmemelidir. Bu politika; KVKK veri envanteri, aydınlatma metinleri, çalışan gizlilik taahhütleri, bilgi güvenliği kuralları, saklama-imha politikası, tedarikçi sözleşmeleri ve yurt dışına aktarım değerlendirmesiyle birlikte ele alınmalıdır.
1. Yapay zekâ aracına kişisel veri içeren belge yüklemek
Çalışanların en sık yaptığı hata, müşteri listesi, sözleşme, CV, bordro veya şikâyet kaydı gibi belgeleri doğrudan yapay zekâ aracına yüklemesidir. Bu tür belgeler kişisel veri, özel nitelikli kişisel veri veya ticari sır içerebilir.
2. Kişisel verileri anonimleştirmeden örnek olay paylaşmak
“Örnek olsun diye yazdım” denilen metinlerde çoğu zaman kişi adı, tarih, şehir, görev, olay ve iletişim bilgileri birlikte yer alır. Bu bilgiler kişiyi belirlenebilir hâle getirebilir.
3. Yapay zekâ çıktısını doğrulamadan kullanmak
Yapay zekâ araçları ikna edici ancak hatalı cevaplar üretebilir. Bu nedenle hukuki, mali, teknik veya kişisel veriye dayalı sonuçlar mutlaka insan kontrolünden geçirilmelidir.
4. Kurumsal politika hazırlamadan kullanıma izin vermek
Çalışanlara yalnızca “dikkatli kullanın” demek yeterli değildir. Hangi verilerin yasak olduğu ve hangi kullanımın izinli olduğu yazılı şekilde belirlenmelidir.
5. Yurt dışına aktarım ihtimalini göz ardı etmek
Yurt dışında yerleşik veya yurt dışındaki sunucularla çalışan yapay zekâ araçlarında kişisel verilerin aktarımı ayrıca değerlendirilmelidir.
6. Özel nitelikli kişisel verileri normal veri gibi değerlendirmek
Sağlık verisi, biyometrik veri, ceza mahkûmiyeti bilgisi ve benzeri özel nitelikli kişisel veriler daha sıkı koruma gerektirir. Bu veriler yapay zekâ araçlarına girilmemelidir.
7. Sohbet geçmişi ve prompt kayıtlarını dikkate almamak
Yapay zekâ araçlarına girilen komutlar, yüklenen dosyalar ve alınan cevaplar sistemde saklanabilir. Bu nedenle yalnızca dosyanın kendisi değil, prompt ve çıktı geçmişi de değerlendirilmelidir.
8. Veri ihlali ihtimalini geç fark etmek
Yanlışlıkla veri yüklenmesi bazı durumlarda kişisel veri ihlali değerlendirmesi gerektirebilir. Şirket içinde bu olayların kime ve nasıl bildirileceği önceden belirlenmelidir.
Lilyum Danışmanlık Bu Süreçte Nasıl Destek Olur?
Yapay zekâ araçlarının şirket içinde güvenli kullanımı için KVKK uzmanı bakışıyla veri işleme süreçlerinizi ve iç politika ihtiyacınızı birlikte değerlendirebiliriz. KVKK Danışmanlığı hizmetimiz kapsamında; mevcut veri işleme süreçleri, çalışanların kullandığı dijital araçlar, veri envanteri, aydınlatma metinleri, saklama-imha yapısı, yurt dışına aktarım ihtimali ve şirket içi yönergeler birlikte ele alınmaktadır.
Bu kapsamda işletmeniz için şu çalışmalar yapılabilir:
- Şirket içi yapay zekâ kullanım risk analizi
- Departman bazlı yapay zekâ kullanım değerlendirmesi
- Yapay zekâ kullanım politikası hazırlanması
- Çalışanlara yönelik kısa kullanım talimatı
- Kişisel veri paylaşımı yasaklı veri listesi
- Veri envanteriyle yapay zekâ süreçlerinin ilişkilendirilmesi
- Aydınlatma metinleriyle uyum kontrolü
- Çalışan gizlilik taahhütleriyle uyum kontrolü
- Saklama-imha politikasıyla uyum değerlendirmesi
- Yurt dışına veri aktarımı ön değerlendirmesi
- Yapay zekâ araçları için tedarikçi ve hizmet sağlayıcı kontrolü
- Yanlışlıkla veri paylaşımı hâlinde iç bildirim süreci tasarımı
Sık Sorulan Sorular (SSS)
Hayır. Yapay zekâ araçlarının kullanımı doğrudan yasak değildir. Ancak kişisel veri, özel nitelikli kişisel veri, müşteri bilgisi, çalışan bilgisi, finansal veri veya ticari sır içeren bilgilerin bu araçlara girilmesi KVKK ve bilgi güvenliği bakımından risk doğurabilir.
Somut duruma göre değişir. Müşteri bilgisi kişisel veri içeriyorsa; işleme amacı, hukuki sebep, veri güvenliği, üçüncü taraf hizmet sağlayıcı ve yurt dışına aktarım ihtimali birlikte değerlendirilmelidir. Uygulamada, müşteri bilgileri anonimleştirilmeden yapay zekâ araçlarına girilmemelidir.
Kanunda doğrudan “yapay zekâ kullanım politikası” adıyla özel bir belge zorunluluğu bulunmamaktadır. Ancak veri güvenliği, çalışanların yönlendirilmesi, denetlenebilirlik ve hesap verebilirlik bakımından yazılı bir iç politika hazırlanması güçlü bir uyum aracıdır.
Kullanılan yapay zekâ aracının sunucuları, hizmet sağlayıcısı ve veri işleme yapısına göre yurt dışına aktarım gündeme gelebilir. Özellikle yurt dışında yerleşik hizmet sağlayıcıların kullanıldığı durumlarda 6698 sayılı Kanun’un yurt dışına aktarım hükümleri ayrıca değerlendirilmelidir.
CV’ler aday çalışanlara ait kişisel veriler içerebilir. Bazı CV’lerde fotoğraf, sağlık bilgisi, engellilik bilgisi, dernek üyeliği veya özel nitelikli kişisel veri sayılabilecek bilgiler bulunabilir. Bu nedenle CV’lerin yapay zekâ araçlarıyla işlenmesi dikkatli değerlendirilmelidir.
Hayır. Yapay zekâ çıktıları hatalı, eksik veya bağlamdan kopuk olabilir. Hukuki, mali, teknik veya kişisel veri içeren sonuçlar mutlaka yetkili kişi tarafından kontrol edilmelidir.
Önce olay kayıt altına alınmalı, yüklenen verinin niteliği, kapsamı, ilgili kişi sayısı ve hizmet sağlayıcının veriye erişim ihtimali değerlendirilmelidir. Gerekiyorsa kişisel veri ihlali oluşup oluşmadığı ve Kurula veya ilgili kişilere bildirim gerekip gerekmediği ayrıca incelenmelidir.
Şirket, yapay zekâ araçlarını müşteri, çalışan veya aday çalışan verilerinin işlendiği süreçlerde kullanıyorsa, mevcut aydınlatma metinleri ve kişisel veri işleme envanteri bu yeni kullanım biçimini kapsayıp kapsamadığı bakımından gözden geçirilmelidir.
Resmi Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu
- Kişisel Verileri Koruma Kurumu — Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi
- Kişisel Verileri Koruma Kurumu — İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı
- Kişisel Verileri Koruma Kurumu — Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler
- Kişisel Verileri Koruma Kurumu — Kişisel Veri Güvenliği Rehberi
- Kişisel Verileri Koruma Kurumu — Kişisel Verilerin Yurt Dışına Aktarılması Rehberi
- Kişisel Verileri Koruma Kurumu — Standart Sözleşmeler
- Kişisel Verileri Koruma Kurumu — Standart Sözleşme Bildirim Süreci
- Kişisel Verileri Koruma Kurumu — Veri İhlali Bildirim Usul ve Esasları
- Kişisel Verileri Koruma Kurumu — Aydınlatma Yükümlülüğünün Yerine Getirilmesi Rehberi
- Kişisel Verileri Koruma Kurumu — Açık Rıza Rehberi
- Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik
İlgili Rehberler
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. Şirket içi yapay zekâ kullanımı, kişisel veri işleme süreçleri, yurt dışına veri aktarımı, özel nitelikli kişisel veri işlenmesi, veri güvenliği tedbirleri, saklama-imha süreçleri ve çalışanların kullanım alışkanlıkları her işletmenin somut durumuna göre ayrıca değerlendirilmelidir. Yapay zekâ araçlarının kullanım şartları, veri saklama ayarları, model eğitimi tercihleri ve hizmet sağlayıcı politikaları zaman içinde değişebileceğinden, uygulama öncesinde güncel mevzuat ve resmî kaynaklar kontrol edilmelidir.
Yayın Tarihi: 22 Haziran 2026 | Son Güncelleme: 22 Haziran 2026
