Konu: İşyerlerinde Yapay Zeka Kullanımı ve Ticari Sırların Korunması

Yapay zeka araçlarının iş süreçlerinde kullanılmaya başlanması sözleşmelerin özetlenmesi, rapor hazırlanması, metin oluşturulması ve veri analizi gibi işlemlerin kısa sürede gerçekleştirilmesini mümkün kılmaktadır. Ancak çalışanların veya işverenlerin bu araçlara işyeri verilerini aktarması, kişisel verilerin korunması ve gizli bilgilerin güvenliği bakımından yeni hukuki sorunları da beraberinde getirmektedir. Yazımızda bu sorunlar ve üretken yapay zeka araçlarını kullanan çalışanların ve işverenlerin dikkat etmesi gereken hususlar hakkında bilgi verilecektir.

Kişisel Verileri Koruma Kurumu tarafından 5 Mart 2026 tarihinde yayımlanan “İş Yerlerinde Üretken Yapay Zeka Araçlarının Kullanımı” dokümanında üçüncü kişiler tarafından sunulan yapay zeka araçlarının işyerlerinde kullanımında kurumsal politika ve yönlendirmelerin önemine dikkat çekilmektedir. Öncelikle işverenin yapay zeka aracına çalışanlara ilişkin veri aktarması öncelikle 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında değerlendirilmelidir. KVKK m.4 uyarınca kişisel veriler hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü şekilde işlenmelidir. Örneğin bir çalışanın iş sözleşmesinin yapay zeka aracılığıyla özetlenmesi isteniyorsa sözleşmenin tamamının sisteme yüklenmesi yerine çalışanın T.C. kimlik numarası, adresi, banka hesap bilgileri gibi özetleme amacı bakımından gerekli olmayan veriler çıkarılabilir. Bu yaklaşım KVKK m. 4'teki ölçülülük ilkesinin gereğidir.

Bunun yanında 6098 sayılı Türk Borçlar Kanunu'nun 419. maddesi uyarınca işveren, işçiye ait kişisel verileri ancak işçinin işe yatkınlığıyla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabilir. Dolayısıyla işverenin yapay zeka teknolojisinden yararlanması çalışana ait her türlü veriyi sınırsız biçimde işleyebileceği anlamına gelmez. Çalışanın sağlık bilgileri, biyometrik verileri veya Kanun'da sayılan diğer özel nitelikli kişisel verilerinin yapay zeka aracına aktarılması halinde KVKK m. 6’da düzenlenen Özel nitelikli kişisel verilerin işlenme şartlarını düzenleyen hükümler ayrıca dikkate alınmalıdır. Örneğin işverenin “çalışanların rapor durumlarını analiz et ve devamsızlık bakımından bir tablo oluştur” talebiyle çalışanların sağlık raporlarını doğrudan bir yapay zeka sistemine yüklemesi yalnızca işin kolaylaştırılması gerekçesiyle gerçekleştirilebilecek sıradan bir veri işleme faaliyeti olarak değerlendirilemez. Verinin niteliği ve işleme şartı ayrıca ortaya konulmalıdır.

Bir diğer önemli husus kullanılan yapay zeka hizmetinin verileri nerede işlediğidir. Çalışana ait kişisel verilerin yurt dışında bulunan bir hizmet sağlayıcının sistemine aktarılması halinde KVKK m. 9'da düzenlenen yurt dışına veri aktarımına ilişkin hükümler gündeme gelebilir. Bu nedenle işveren açısından yalnızca hangi yapay zeka aracının kullanıldığı değil verilerin nerede tutulduğu, ne kadar süre ile saklandığı, hizmet sağlayıcı tarafından başka amaçlarla kullanılıp kullanılmadığı sorularının da cevaplandırılması gerekir.

Tüm bunlarla beraber yapay zeka kullanımındaki hukuki riskler yalnızca kişisel verilerle sınırlı değildir. Şirketin müşteri listeleri, fiyat teklifleri, üretim yöntemleri, finansal bilgileri, henüz açıklanmamış projeleri veya gizli sözleşmeleri de yapay zeka araçlarına aktarılabilir. Örneğin bir satış çalışanının, müşteriye sunulacak teklifin daha profesyonel hazırlanması amacıyla müşteri listesi ve şirkete özel fiyatlandırma bilgilerini bir yapay zeka aracına yüklemesi halinde kişisel veri bulunmasa dahi şirketin gizli bilgilerinin üçüncü taraf bir hizmete aktarılması söz konusu olabilir.

Bu noktada Türk Borçlar Kanunu'nun 396. maddesi önem taşımaktadır. Anılan madde uyarınca işçi, işverene karşı sadakat borcu kapsamında özellikle hizmet ilişkisi devam ettiği sürece öğrendiği üretim ve iş sırlarını kullanmamak ve açıklamamakla yükümlüdür. Bu nedenle çalışanın yapay zeka aracını kullanması işverene ait gizli bilgileri koruma yükümlülüğü bakımından dikkat gerektirmektedir.

KVKK m. 12 uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlüdür. Bu kapsamda işverenlerin hangi yapay zekâ araçlarının kullanılabileceğini, hangi kişisel verilerin sisteme girilemeyeceğini, ticari sır ve şirket bilgilerinin hangi koşullarda işlenebileceğini, yapay zeka çıktılarının insan tarafından kontrol edilmesini, veri güvenliği ihlali halinde izlenecek prosedürü belirleyen bir Yapay Zeka Kullanım Politikası oluşturması önem taşımaktadır.

Bu doğrultuda örneğin işverenler şirket politikasında “çalışanların sağlık bilgileri, T.C. kimlik numaraları, banka bilgileri, müşteri listeleri ve gizli sözleşmeler kamuya açık üretken yapay zeka araçlarına yüklenemez” şeklinde açık bir kural getirilebilir. Ayrıca çalışanlara yalnızca KVKK eğitimi verilmesiyle yetinilmeyerek yapay zeka araçlarının güvenli kullanımı konusunda da bilgilendirme yapılmalıdır.

Sonuç itibariyle yapay zeka araçlarının işyerinde kullanılması tek başına hukuka aykırı değildir. Ancak çalışan verilerinin işlenmesi bakımından KVKK m. 4, 5, 6, 9 ve 12; işçi verileri bakımından TBK m. 419; işverenin gizli bilgilerinin korunması bakımından ise TBK m. 396 hükümleri dikkate alınmalıdır. Bu nedenle işyerlerinde yapay zeka kullanımında temel mesele bu teknolojinin kullanılıp kullanılmayacağından ziyade hangi verinin, hangi amaçla, hangi hukuki dayanakla ve hangi güvenlik tedbirleri altında sisteme aktarılabileceğinin önceden belirlenmesidir.

Herhangi bir sorunuz olması halinde bize her zaman ulaşabilirsiniz.

Gülbenk & Kavlakoğlu Hukuk Bürosu