İşyerinde yapay zekâ sistemlerinin kullanımı kişisel verilerin korunması mevzuatı çerçevesinde belirli sınırlara tabidir. Bir çalışanın müşteri veya diğer çalışan verilerini yapay zekâ sistemine yüklemesi, aktarması, kaydetmesi, sınıflandırması veya özetlemesi veri işleme faaliyeti kapsamında değerlendirilebilir. Bu tür işlemlerin çalışanın şahsi hesabı üzerinden yapılmış olması işverenin hukuki sorumluluğunu kendiliğinden ortadan kaldırmaz.
Mevzuat Çerçevesi ve Temel Veri İşleme İlkeleri
Türkiye'de yapay zekâ sistemlerini bütün yönleriyle düzenleyen müstakil bir kanun henüz yürürlüğe girmemiş olup 2024 tarihli Yapay Zekâ Kanun Teklifi TBMM komisyon aşamasındadır. İşyerinde yürütülen yapay zekâ faaliyetleri mevcut mevzuat hükümleri dairesinde ele alınmaktadır. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 4. maddesi uyarınca kişisel veriler ancak kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 4Kaynağı aç
6698 sayılı Kanun'un 4. maddesinin ikinci fıkrası gereğince veri işleme süreçlerinde hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ile ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkelerine uyulması zorunludur.
İşverenin Veri Güvenliği ve Sır Saklama Yükümlülükleri
6698 sayılı Kanun'un 12. maddesi uyarınca veri sorumlusu olan işveren, kişisel verilerin kanuna aykırı yollarla işlenmesini ve yetkisiz kişilerin erişimini engellemek ile verilerin güvenli şekilde muhafazasını temin etmek için elverişli güvenlik düzeyini sağlayan teknik ve idari tedbirleri yerine getirmekle yükümlüdür. Verilerin veri sorumlusu namına üçüncü bir gerçek veya tüzel kişi vasıtasıyla işlenmesi durumunda, söz konusu güvenlik önlemlerinin alınmasından veri sorumlusu ile veri işleyen müştereken sorumluluk taşır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç
Veri sorumlusu, kendi kurum veya kuruluşunda 6698 sayılı Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmakla yükümlüdür. Ayrıca veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar; bu sır saklama yükümlülüğü görevden ayrılmalarından sonra da devam eder. İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde ise veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kuruluna bildirmekle yükümlüdür.
İşçinin Kişiliğinin Korunması ve Otomatik Sistemlerle Analiz
6098 sayılı Türk Borçlar Kanunu'nun 417. maddesi uyarınca işveren, iş ilişkisi kapsamında çalışanın kişiliğini koruma, saygı gösterme ve iş ortamında dürüstlük kurallarına uygun bir düzen kurma borcu altındadır. İşverenin kanuni düzenlemelere veya sözleşmeye aykırı hareket ederek işçinin kişilik haklarını zedelemesi durumunda meydana gelen zararların giderilmesinde sözleşmeye aykırılık hükümleri tatbik edilir. Kanun'un 419. maddesi doğrultusunda ise işveren, işçinin kişisel verilerini yalnızca personelin işe yatkınlığı veya iş sözleşmesinin gerektirdiği zorunlu hallerle sınırlı olarak işleyebilir. Bu kural, yapay zekâ sistemleri aracılığıyla çalışanlara ait verilerin sınırsızca toplanmasının ve davranışsal analizlerin ölçüsüz biçimde yapılmasının önüne geçer.
6098 sayılı TÜRK BORÇLAR KANUNU m. 417Kaynağı aç
İşçi ile işveren arasındaki ekonomik ve hiyerarşik ilişki nedeniyle genel ve sınırsız açık rıza beyanları geçerli bir hukuki güvence oluşturmaz; rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmesi gerekir. Diğer taraftan 6698 sayılı Kanun'un 11. maddesi uyarınca ilgili kişi, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkına sahiptir. Bu nedenle yapay zekâ çıktısı tek başına terfi, ücret, disiplin veya fesih kararları için belirleyici hale getirilmemeli, insan tarafından gerçek ve etkili bir değerlendirme sağlanmalıdır.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 11Kaynağı aç
Yurt Dışına Veri Aktarımı Rejimi ve Yönetim Hakkı Sınırları
Bir dosyanın yabancı menşeli bir yapay zekâ sistemine yüklenmesi şartlarına göre kişisel verilerin yurt dışına aktarılması sonucunu doğurabilir. 2024 yılında yapılan kanun değişiklikleriyle yurt dışına aktarım rejimi yeniden düzenlenmiş olup yeni hükümler 1 Haziran 2024 tarihinde yürürlüğe girmiştir. 6698 sayılı Kanun'un 9. maddesine göre aktarım, kanundaki işleme şartlarından birinin varlığı ve aktarım yapılacak ülke, sektör veya uluslararası kuruluş hakkında Kişisel Verileri Koruma Kurulu tarafından verilmiş bir yeterlilik kararının bulunması halinde gerçekleştirilebilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç
Yeterlilik kararının bulunmaması durumunda aktarım, kanuni işleme şartlarından birinin varlığı ve ilgili kişinin haklarını kullanma ile etkili kanun yollarına başvurma imkânının bulunması kaydıyla standart sözleşme veya bağlayıcı şirket kuralları gibi uygun güvencelerden birinin sağlanmasıyla yapılabilir. Taraflarca akdedilen standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumuna bildirilmesi zorunludur. Yeterlilik kararı ve uygun güvencelerin bulunmadığı hallerde ise ancak arızi olmak kaydıyla muhtemel riskler bildirilerek alınan açık rıza veya sözleşmenin ifası gibi sınırlı kanuni istisnalara dayanılabilir; süreklilik arz eden aktarımlarda bu arızi istisnalar uygulanamaz. Ayrıca yurt dışına aktarılan kişisel verilerin sonraki aktarımlarında da bu kanuni güvencelerin sağlanması zorunludur.
İşveren, yönetim hakkı kapsamında veri güvenliği, müşteri gizliliği veya ticari sırların korunması amacıyla işyerinde bazı yapay zekâ uygulamalarını yasaklayabilir ya da yalnızca onaylı kurumsal araçların kullanımına izin verebilir. Ancak getirilen yasak veya sınırlamanın objektif bir amaca dayanması, çalışanlara önceden ve açıkça bildirilmiş olması, işin niteliğiyle bağlantılı bulunması, ölçülü uygulanması ve benzer durumdaki çalışanlara eşit şekilde tatbik edilmesi şarttır.
Çalışanın kişisel yapay zekâ hesabını kullanması işverenin sorumluluğunu kaldırır mı?
Hayır, çalışanın müşteri veya şirket verilerini kişisel hesabından yapay zekâ sistemine girmesi veri işleme kapsamında değerlendirilebilir ve işverenin 6698 sayılı Kanun kapsamındaki hukuki sorumluluğunu kendiliğinden ortadan kaldırmaz.
Yabancı yapay zekâ sistemlerine veri girişi her durumda yurt dışına aktarım sayılır mı?
Yabancı bir yapay zekâ sistemine dosya yüklenmesi her durumda kendiliğinden aktarım sayılmaz; ancak şartlarına göre yurt dışına veri aktarımı sonucunu doğurabilir. 6698 sayılı Kanun'un 9. maddesi gereğince bu aktarım, kanundaki işleme şartlarının mevcudiyeti ve yeterlilik kararının bulunması halinde yapılabilir; yeterlilik kararı yoksa uygun güvencelerin temin edilmesi, bunların da bulunmadığı hallerde ise yalnızca kanundaki sınırlı ve arızi istisnalardan birine dayanılması zorunludur.
Yapay zekâ değerlendirmesine dayanılarak disiplin veya fesih işlemi tesis edilebilir mi?
Yapay zekâ çıktılarının tek başına disiplin veya fesih işlemlerinde belirleyici kılınmaması ve insan tarafından gerçek bir değerlendirme yapılması gerekmektedir; 6698 sayılı Kanun'un 11. maddesi uyarınca ilgili kişinin verilerinin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi neticesinde kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkı bulunmaktadır.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy