Çalışanlar yapay zekâ araçlarına veri girerse ne olur?

Bir satış temsilcisinin müşteri şikâyetini bir sohbet botuna yapıştırıp "buna kibar bir cevap yaz" demesi, bugün pek çok şirkette günde onlarca kez yaşanıyor. Kimse kötü niyetli değil; kimse bunun bir veri işleme faaliyeti olduğunu da düşünmüyor. Oysa o yapıştırma işlemi, çoğu zaman şirketin hiç kurmadığı bir aktarım zincirini başlatıyor.

Yapıştırılan metin ne oluyor?

Kişisel veri içeren bir metnin harici bir yapay zekâ hizmetine girilmesi, veri koruma açısından üç ayrı sonuç doğurur:

• Üçüncü kişiye aktarım. Veri, şirketin sistemlerinden çıkıp hizmet sağlayıcının sistemine gider.
• Çoğu zaman yurtdışına aktarım. Yaygın araçların altyapısı yurtdışındadır; bu da Kanun'un 9. maddesindeki dayanaklardan birini gerektirir (üç kademeli yapı).
• Kontrolün kaybı. Girilen içeriğin saklanıp saklanmadığı, ne kadar tutulduğu ve model geliştirmede kullanılıp kullanılmadığı, kullanılan ürünün koşullarına bağlıdır. Bireysel/ücretsiz sürümlerde bu koşullar kurumsal kullanım için tasarlanmamıştır.

Bunun pratik sonucu şudur: şirket, kendi verisi üzerindeki hâkimiyetini kaybeder. Bir ilgili kişi silme talebiyle başvurduğunda, veri sorumlusu bu talebi harici sistemde işletemez — otuz günlük süre içinde verilecek cevap eksik kalır.

"Gölge BT" sorunu

Asıl zorluk, bu kullanımın çoğunlukla görünmez olmasıdır. Araç şirket tarafından satın alınmamıştır, BT envanterinde yoktur, sözleşmesi yoktur. Çalışan kendi hesabıyla, kendi tarayıcısından kullanır.

Bu durumda şirket, varlığından haberdar olmadığı bir aktarımın veri sorumlusu konumundadır. Denetimde "biz böyle bir araç kullanmıyoruz" beyanı, çalışan tarafından yapılan işlemeyi ortadan kaldırmaz.

Yasaklamak çözüm mü?

Tümüyle yasaklamak ilk akla gelen yoldur, ancak tek başına işe yaramaz: yasaklanan araç, kişisel cihazdan kullanılmaya devam eder ve şirket bu kez olan bitenden büsbütün habersiz kalır.

Daha sağlıklı yaklaşım, kullanımı yasaklamak yerine kanala sokmaktır:

1. İzinli araç listesi. Kurumsal sözleşmeyle alınmış, veri işleme koşulları müzakere edilmiş araçlar belirlenir; liste dışındakiler kullanılmaz.
2. Veri sınıflandırması. Hangi tür verinin bu araçlara hiç girilemeyeceği açıkça yazılır. Özel nitelikli veriler, müşteri kimlik bilgileri ve ticari sır niteliğindeki içerikler tipik olarak "girilemez" kümesindedir.
3. Maskeleme alışkanlığı. Metin girilmeden önce ad, telefon, T.C. kimlik numarası gibi tanımlayıcıların çıkarılması öğretilir. Kişiyi belirlenebilir kılmayan bir metin, kişisel veri olmaktan çıkar.
4. Sözleşmesel çerçeve. Kurumsal sürüm kullanılıyorsa sağlayıcı veri işleyendir; sözleşme, alt işleyen ve yurtdışı hükümleriyle birlikte kurulmalıdır (sıfat ayrımı).
5. Kayıt ve envanter. Kullanım, kişisel veri envanterine bir işleme faaliyeti olarak işlenir.
6. Eğitim. Kuralın kendisi kadar gerekçesi de anlatılır; gerekçesini bilmeyen çalışan kuralı ilk sıkıştığında atlar.

Sık yapılan hatalar

1. Politikayı yazıp duyurmamak. Çalışanın bilmediği kural, uygulanmayan kuraldır.
2. Yalnızca teknik engel koymak. Ağ üzerinden erişimi kapatmak, kişisel cihazı kapsamaz.
3. Ücretsiz sürümü kurumsal işte kullanmak. Bireysel kullanım koşulları, veri işleyen ilişkisi kurmaz.
4. Çıktıyı denetlemeden kullanmak. Yapay zekâ çıktısı hatalı ya da uydurma olabilir; ilgili kişi hakkında verilen bir karara dayanak yapılması ayrı bir risktir.
5. Aydınlatma metnini güncellememek. Müşteri verisi bu araçlarla işleniyorsa, bu işleme ve aktarım metinde görünmelidir.
6. İhlal ihtimalini görmezden gelmek. Yanlış bir yapıştırma, kişisel verinin yetkisiz kişilerce erişilebilir hâle gelmesi anlamına gelebilir ve ihlal bildirimi yükümlülüğünü doğurabilir.

Bütüncül gözden geçirme

Bir yapay zekâ aracını kurumsal kullanıma açmak, tek bir yazılım kararı değildir. Karar verildiğinde: kişisel veri envanterine yeni işleme faaliyeti olarak eklenmeli, hukuki sebebi belirlenmeli, aydınlatma metinleri bu işlemeyi ve aktarımı anlatmalı, sağlayıcı yurtdışındaysa m.9 dayanağı kurulmalı ve standart sözleşme kullanılıyorsa Kuruma bildirilmeli, veri işleyen sözleşmesi imzalanmalı, kullanım kuralları politikalara yazılmalı, girilen içeriğin akıbeti saklama ve imha politikasında tanımlanmalı ve VERBİS kaydı güncellenmelidir.

Bu alan hem teknik hem hukuki tarafı hızla değişen bir alandır; kurumsal kullanım kararının hukuki destek alınarak verilmesini öneririz. Genç Partners, sağlayıcı koşullarının değerlendirilmesinde ve kullanım politikasının kurgulanmasında yol gösterir. Kuralların çalışanın günlük işine yerleşmesi tarafını ise KVKK farkındalık eğitimi üstlenir — bu konuda kural koymak kolay, davranışı değiştirmek zordur.

Özet

• Yapay zekâ aracına kişisel veri girmek bir aktarımdır; çoğu zaman yurtdışına aktarımdır.
• Bireysel/ücretsiz sürümler kurumsal veri işleme ilişkisi kurmaz.
• Görünmez kullanım (gölge BT) şirketi habersiz bir veri sorumlusu hâline getirir.
• Çözüm yasak değil, kanala sokmaktır: izinli araç listesi, maskeleme, sözleşme, envanter ve eğitim.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Kurumsal yapay zekâ kullanım politikanız için hukuki destek alınız.