Ana Sayfa Hakkımızda Hizmetler Ödüller Ekip Yayınlar Kariyer İletişim TÜRKÇEENGLISH Devin Law & IP — İstanbul
← Tüm Yayınlar
KategoriVeri Koruma
Yayın Tarihi19 Mart 2026
Yazarlar
Uğurcan TekinOrtak
İnci ÖzçilsalAvukat
Beyza ErdemirAvukat

İş Yerlerinde Üretken Yapay Zekâ Kullanımı: Riskler, Sorumluluklar ve Uyum Stratejileri

Üretken Yapay Zekâ (ÜYZ) teknolojilerinin iş süreçlerine entegrasyonu son dönemde önemli ölçüde hız kazanmış; çalışanların günlük iş akışlarında bu araçlardan yararlanma eğilimi belirgin şekilde artmıştır. ÜYZ sistemleri; metin üretimi, veri analizi, çeviri, yazılım geliştirme ve içerik oluşturma gibi pek çok alanda sağladığı hız ve verimlilik avantajı sayesinde iş dünyasında yaygın şekilde kullanılmaktadır. Bununla birlikte, söz konusu teknolojilerin özellikle üçüncü taraf platformlar üzerinden ve kurumsal denetim mekanizmaları dışında kullanılması, veri güvenliği, kişisel verilerin korunması ve ticari sırların gizliliği bakımından önemli riskleri de beraberinde getirmektedir. Nitekim çalışanlar tarafından ÜYZ araçlarına girilen her türlü veri, çoğu durumda kişisel veri işleme faaliyeti niteliği taşımakta; ayrıca bu verilerin yurt dışında konumlanan sunuculara aktarılması söz konusu olabilmektedir. Bu durum, veri sorumluları bakımından 6698 sayılı Kişisel Verilerin Korunması Kanunu ("Kanun") kapsamında öngörülen yükümlülüklerin doğmasına ve uyum süreçlerinin yeniden değerlendirilmesini gerektirmektedir.

Özellikle kontrolsüz ve farkındalık olmaksızın gerçekleştirilen kullanım ("Gölge Yapay Zekâ"), kurumların veri işleme faaliyetleri üzerinde denetim kaybına yol açabilmekte ve hukuki sorumluluk riskini artırmaktadır. Kişisel Verileri Koruma Kurumu, 5 Mart 2026 tarihinde yayımladığı duyuru ile, kamuya açık erişime sahip Üretken Yapay Zekâ araçlarının iş yerlerinde kullanımına ilişkin temel risk alanlarını ortaya koymuş ve veri sorumlularına yönelik genel bir yönlendirme çerçevesi sunmuştur. Söz konusu duyuru, ÜYZ teknolojilerinin tamamen yasaklanması yerine, kontrollü, şeffaf ve ölçülü bir kullanım yaklaşımının benimsenmesi gerektiğine işaret etmektedir.

01 ÜYZ Araçlarının Genel Kapsamı

Gölge yapay zekâ kullanımı, onu düzenleyen politikalardan daha hızlı yayılıyor.

Yapay zekâ araçları aracılığıyla gerçekleştirilen her türlü veri işleme faaliyeti; hukuka ve dürüstlük kurallarına uygun olmalı, belirli, açık ve meşru amaçlar için işlenmeli ve işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmalıdır. KVKK MADDE 4 "Üretken Yapay Zekâ" (ÜYZ – Generative Artificial Intelligence); büyük ölçekli veri kümeleri üzerinde eğitilen ve kullanıcı tarafından sunulan istem veya komutlara (prompt) yanıt olarak metin, görsel, video, ses ya da yazılım kodu gibi farklı formatlarda içerikler üretebilen yapay zekâ sistemlerini ifade etmektedir. Bu sistemler, mevcut veriler üzerinde çoğunlukla sınıflandırma veya tahmin gerçekleştirmeye yönelen geleneksel yaklaşımlardan farklı olarak, istatistiksel örüntülere dayanmak suretiyle insan tarafından üretilen içeriklere benzer nitelikte yeni içerikler oluşturabilme kapasitesine sahiptir. Bununla birlikte, ÜYZ araçlarına veri girilmesi çoğu durumda KVKK anlamında bir veri işleme ve veri aktarımı faaliyetini oluşturduğundan, KVKK m.5 kapsamında veri işleme şartlarının ve KVKK m.6 kapsamında özel nitelikli kişisel veriler bakımından öngörülen ilave koruma mekanizmalarının ayrıca değerlendirilmesi gerekmektedir.

Günümüzde iş yerlerinde ÜYZ kullanımı, büyük oranda kurum dışı üçüncü taraflarca geliştirilen ve kamuya açık platformlar üzerinden sunulan servisler aracılığıyla gerçekleşmektedir. Çalışanların iş süreçlerini optimize etmek amacıyla en sık başvurduğu uygulama kategorileri; sohbet tabanlı etkileşim uygulamaları, yazılım ve kodlama asistanları ile çeviri ve içerik üretim servisleridir. Ayrıca, söz konusu ÜYZ araçlarının büyük çoğunluğu yurt dışında konumlanan sunucular üzerinden hizmet sunduğundan, bu sistemlere veri girilmesi KVKK kapsamında "yurt dışına veri aktarımı" olarak değerlendirilebilecektir. Bu durumda KVKK m.9 kapsamında uygun aktarım mekanizmalarının sağlanması gerekmektedir.

02 "Gölge Yapay Zekâ" (Shadow AI) ve Risk Analizi

Veri minimizasyonu istemde başlar: anonimleştirilmiş ve genelleştirilmiş ifadeler riski azaltır.

Gölge YZ, bir kurumun bilgisi, onayı veya kurumsal denetimi dışında çalışanlar tarafından iş süreçlerinde kullanılan ÜYZ araçlarını ifade eder. Bu durum genellikle çalışanların zaman kazanma, rutin işleri azaltma ve çıktı kalitesini artırma motivasyonuyla ortaya çıkar. Gölge YZ, geleneksel "Gölge BT" ile benzerlik gösterse de çok daha derin riskler barındırır; veri işleme, içerik üretimi ve kurumsal karar mekanizmalarına doğrudan müdahale edebildiği için farklı bir boyutta ele alınmalıdır. Denetlenebilirlik: Kurumsal izleme dışında kalan araçlarda, hangi verinin hangi amaçla kullanıldığının tespiti imkânsızlaşabilir. Karar Kalitesi: Doğrulama süreçlerinden geçmeyen çıktılar hatalı kurumsal kararlara yol açabilir. Fikri Mülkiyet: Kaynak kod, stratejik planlar veya ticari sırların harici araçlarla paylaşılması, bu bilgilerin model eğitiminde kullanılmasına neden olabilir. Siber Güvenlik: Kişisel cihazlar veya güvensiz entegrasyonlar saldırı yüzeyini genişletebilir. KVKK İhlali: Paylaşılan kişisel verilerin hukuka aykırı işlenmesi veya üçüncü kişilere ifşa olması riski mevcuttur. 6698 sayılı Kanun, teknolojiden bağımsız olarak kişisel verilerin işlendiği her durumda geçerlidir. ÜYZ sistemleri aracılığıyla yapılan işlemler bu hukuki çerçeveye tabidir ve veri sorumlularının bu süreçlerde mevzuata riayet etmesi bir zorunluluktur.

03 İş Yerlerinde ÜYZ Kullanımına İlişkin Çözüm Önerileri ve Stratejiler

Yönetim Yaklaşımı ve Politika Oluşturulması: KVKK, yasaklayıcı yaklaşımların çalışanları "Gölge YZ" kullanımına daha fazla teşvik edebileceğini açıkça ortaya koymaktadır. Bu nedenle, katı yasaklar yerine yönlendirme, denge ve farkındalık temelli bir yaklaşımın benimsenmesi gerekmektedir. Uygulamada, tamamen yasaklayıcı politikaların çalışan davranışlarını ortadan kaldırmak yerine, bu kullanımı kurum denetimi dışında sürdürmeye yönlendirdiği görülmektedir. Bu çerçevede, hangi araçların kullanılabileceği, hangi veri türlerinin paylaşılmasının uygun olduğu ve hangi kullanım senaryolarının yasak kapsamında olduğu somut ve anlaşılır bir politika metni ile ortaya konulmalıdır. Veri Güvenliği ve Kişisel Verilerin Korunması: Çalışanların ÜYZ araçlarıyla etkileşimlerinde kurumsal açıdan hassas bilgiler ve kişisel veriler bakımından dikkatli hareket etmeleri büyük önem taşımaktadır. Üçüncü taraflarca sunulan bu tür platformların veri işleme politikaları, aydınlatma metinleri ve veri saklama süreçleri çoğu zaman standart ve genel nitelikte olup, paylaşılan verilerin kurum kontrolü dışına çıkmasına neden olabilecek riskler barındırmaktadır.

Bu kapsamda, ÜYZ araçlarına girilen komutlarda mümkün olduğunca anonimleştirilmiş, genelleştirilmiş ve kişisel veri içermeyen ifadeler tercih edilmelidir. Teknik ve İdari Tedbirler: ÜYZ araçlarına erişimin görev ve ihtiyaç temelli bir yetkilendirme modeli çerçevesinde sınırlandırılması, kontrolsüz kullanımın önüne geçilmesinde önemli bir rol oynamaktadır. Harici platformlara erişimin belirli sınırlar dahilinde tutulması, kullanımın mümkün olduğunca kurumsal cihazlar üzerinden gerçekleştirilmesi ve gerektiğinde ağ seviyesinde kısıtlamalar uygulanması gibi önlemler, kurumun siber güvenlik risklerini azaltacaktır. ÜYZ sistemlerinin sunduğu çıktılara sorgusuz şekilde güvenilmesi, literatürde "otomasyon ön yargısı" olarak ifade edilen bir durumu ortaya çıkarmaktadır. Bu nedenle, ÜYZ kullanımında insan denetimi (human-in-the-loop) prensibinin her aşamada korunması gerekmektedir. İNSAN DENETİMİ İLKESİ İnsan Denetimi ve Çıktıların Değerlendirilmesi: ÜYZ sistemlerinin zaman zaman gerçeğe aykırı ancak ikna edici içerikler üretebildiği (halüsinasyon) dikkate alınmalı; elde edilen çıktılar nihai karar olarak değil, değerlendirme sürecine katkı sağlayan destekleyici unsurlar olarak ele alınmalıdır.

İş yerinde yapay zekâ kullanımında belirleyici güvence, insan denetiminin sürdürülmesidir.

Özellikle hukuki, teknik veya finansal sonuç doğurabilecek konularda, ÜYZ çıktılarının mutlaka insan muhakemesi ile kontrol edilmesi önem arz etmektedir. Eğitim ve Kurumsal Farkındalık: ÜYZ teknolojilerinin kurumsal süreçlerde güvenli ve etkin bir şekilde kullanılabilmesi, yalnızca teknik önlemlerle değil, aynı zamanda çalışan farkındalığının artırılması ile mümkündür. ÜYZ kullanımına ilişkin riskler, doğru kullanım yöntemleri ve kurumsal politika kuralları hakkında çalışanlara düzenli eğitimler verilmeli; uygulamada karşılaşılan sorunların paylaşılabileceği geri bildirim mekanizmaları oluşturulmalıdır.

04 Sonuç ve Değerlendirme

İş yerlerinde Üretken Yapay Zekâ (ÜYZ) kullanımı, verimlilik sağlamakla birlikte, kurumsal bir çerçeve oluşturulmaksızın kullanılması halinde çeşitli hukuki ve operasyonel riskler doğurabilmektedir. KVKK'nın 2026 tarihli yaklaşımı doğrultusunda, yasaklayıcı bir model yerine şeffaf, denetlenebilir ve yönlendirici bir kullanım yapısının oluşturulması önem arz etmektedir. Bu kapsamda, ÜYZ sistemlerinin kurumsal süreçlerde yardımcı araç olarak konumlandırılması; kişisel verilerin korunması, veri güvenliği ve ticari sırların korunmasına ilişkin yükümlülükler gözetilerek kullanılması gerekmektedir. Özellikle çalışanlar tarafından üçüncü taraf platformlara veri girilmesi süreçlerinde dikkatli olunması, hangi verilerin paylaşılabileceğinin açık şekilde belirlenmesi ve gerekli teknik ve idari tedbirlerin alınması önem taşımaktadır. ÜYZ kullanımının insan denetimi (human-in-the-loop) prensibi çerçevesinde yürütülmesi, kurumsal politika ve teknik tedbirlerle desteklenmesi ve kontrolsüz kullanımın doğurabileceği risklerin dikkate alınması gerekmektedir. ÜYZ kullanımına ilişkin kurumsal politika ve uygulamaların düzenli olarak gözden geçirilmesi, çalışan farkındalığının artırılması ve kullanımın belirli sınırlar içinde tutulması, olası risklerin önlenmesi bakımından tamamlayıcı bir rol oynamaktadır. Bilgilerinize sunarız. Saygılarımızla,

İlgili çalışma alanıKişisel Verilerin Korunması, Mahremiyet ve Siber Güvenlik→

İlgili yazılar

Veri Korumaİş Yerlerinde Güvenlik Kamerası Sistemleri: Kurum'un 8 Haziran 2026 Tarihli Kamuoyu Duyurusu18 Haziran 2026Veri KorumaAnayasa Mahkemesi'nin Viennalife Kararı: Alenileştirilmiş Kişisel Veriler ve Amaçla Bağlılık16 Haziran 2026Veri KorumaÜçüncü Kişilerle Veri Paylaşımı ve Borç Ödeme Süreçlerinde Uyulması Gereken Esaslar31 Mart 2026