İşyerinde Algoritmik Değerlendirmenin Hukuki Temeli
Yapay zekâ ile personel performans değerlendirmesi yapılması tek başına hukuka aykırı değildir. Usulüne uygun tasarlanan bir sistem, yöneticilerin kişisel yakınlık, önyargı veya keyfî kanaatlerinden kaynaklanabilecek değerlendirme farklılıklarını azaltabilir.
Hakkaniyete uygun bir değerlendirmeden söz edilebilmesi için sistemin çalışan tarafından yürütülen işle doğrudan bağlantılı verileri kullanması, önceden belirlenmiş ve personele bildirilmiş ölçütlere dayanması ve aynı veya benzer görevlerde çalışan personele eşit şekilde uygulanması gerekir. Bunun yanında teknik arızaların, kanuni izinlerin ve çalışanın kontrolü dışındaki haricî etkenlerin dikkate alınması, sistemin ayrımcı sonuçlar üretip üretmediğinin düzenli olarak denetlenmesi, çalışana sonuca itiraz etme imkânı tanınması ve nihai kararın yetkili bir kişi tarafından yeniden değerlendirilmesi zorunludur.
Karar Destek Aracı Olarak Algoritma ve Ölçülülük İlkesi
Yapay zekâ sistemleri işyerinde yöneticinin kararını destekleyen bir araç olarak değerlendirilebilir. Bununla birlikte çalışanın terfisi, ücretinin düşürülmesi veya iş sözleşmesinin feshedilmesi gibi çalışma hayatını esaslı şekilde etkileyen sonuçların münhasıran algoritmanın ürettiği puana bağlanması hakkaniyet ve ölçülülük ilkeleriyle bağdaşmayabilir.
Kişisel Verilerin Korunması ve Sürekli Gözetim Yasağı
İşyerinde algoritmik sistemler vasıtasıyla toplanan mesai süreleri, satış verileri, müşteri temasları, bilgisayar ve cihaz logları, kamera yahut ses kayıtları, lokasyon bilgileri, puanlamalar ve davranışsal analizler kişisel veri kapsamındadır. Anayasa’nın 20. maddesi uyarınca çalışanlar, kendilerine ait bu nitelikteki bilgilerin işlenmesine ilişkin bilgilendirilmeyi talep etme, söz konusu verilere erişme, hatalı kayıtların düzeltilmesini yahut silinmesini isteme ve kullanımın meşru amaca uygunluğunu öğrenme anayasal hakkına sahiptir.
6698 sayılı Kanun kapsamında yürütülen veri işleme faaliyetlerinin meşru, belirli ve açık gayelerle uyumlu, işleme amacıyla bağlantılı ve ölçülü olması yasal zorunluluktur. Örneğin satış departmanındaki bir personelin işlem hacmi, iade istatistikleri veya müşteri memnuniyet seviyeleri üzerinden değerlendirilmesi görevle ilintili sayılabilir. Buna karşın personelin tuş vuruşlarının, şahsi telefon görüşmelerinin, anlık ekran görüntülerinin, ses tonunun ya da mimiklerinin kesintisiz şekilde takibe alınması çoğu durumda ölçülülük sınırını aşan bir müdahale teşkil edebilir.
Otomatik Analize İtiraz ve İlgili Kişi Hakları
6698 sayılı Kanun’un 11. maddesi kapsamında çalışanlar veri sorumlusuna başvurarak kişisel verilerinin işlenip işlenmediğini öğrenme, bilgi talep etme, işlenme amacını ve bu amaca uygun kullanılıp kullanılmadığını denetleme, yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme ile eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme haklarına sahiptir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 11Kaynağı aç
Aynı maddenin birinci fıkrasının (g) bendi uyarınca işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi neticesinde kişinin kendisi aleyhine bir sonucun ortaya çıkması durumunda, çalışanın bu sonuca itiraz etme hakkı bulunmaktadır.
Biyometrik ve Sağlık Verilerinin İşlenmesindeki Riskler
Algoritmik takipte başvurulan yüz ve ses analizleri biyometrik veri işlenmesine yol açarken stres, ruhsal durum veya genel sağlık durumu hakkındaki algoritmik çıkarımlar sağlık verisi niteliği taşır. Biyometrik ve sağlık verileri 6698 sayılı Kanun kapsamında özel nitelikli kişisel veri sayıldığından bunların performans değerlendirmesinde kullanılması yüksek hukuki risk barındırır. Ayrıca yüz ifadesi veya ses tonundan çalışanın dürüst, motive, çalışkan ya da güvenilir olduğuna dair kesin sonuçlara varılması bilimsel ve hukuki açıdan tartışmalıdır.
Bulut Tabanlı Sistemlerde Yurt Dışına Veri Aktarımı
Yurt dışı merkezli ve bulut altyapısıyla çalışan yapay zekâ uygulamalarının kullanılması çalışan verilerinin sınır ötesine aktarılması sonucunu doğurur. 6698 sayılı Kanun’un 9. maddesi uyarınca kişisel veriler, kanuni işleme şartlarından birinin varlığı ve aktarım yapılacak ülke, sektör veya uluslararası kuruluş hakkında Kişisel Verileri Koruma Kurulu tarafından verilmiş bir yeterlilik kararının bulunması hâlinde yurt dışına aktarılabilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç
Yeterlilik kararının bulunmaması durumunda veriler, ilgili kişinin haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması şartıyla standart sözleşme veya bağlayıcı şirket kuralları gibi uygun güvenceler tesis edilerek aktarılabilir. İmzalanan standart sözleşmenin beş iş günü içinde Kişisel Verileri Koruma Kurumuna bildirilmesi zorunludur. Yeterlilik kararı ve uygun güvencelerin sağlanamadığı hallerde ise yalnızca arızi olmak kaydıyla muhtemel riskler açıklanarak açık rıza alınması gibi sınırlı kanuni istisnalar çerçevesinde aktarım yapılabilir.
Algoritmik Puanlama ve İş Sözleşmesinin Feshi
4857 sayılı İş Kanunu’nun 18. maddesinin birinci fıkrası uyarınca, otuz veya daha fazla işçi çalıştıran işyerlerinde en az altı aylık kıdemi bulunan işçinin belirsiz süreli iş sözleşmesini fesheden işveren; feshi işçinin yeterliliğinden, davranışlarından ya da işletmenin, işyerinin veya işin gereklerinden kaynaklanan geçerli bir sebebe dayandırmak zorundadır. Yer altı işlerinde çalışan işçilerde ise kıdem şartı aranmaz. Aynı maddenin beşinci fıkrası gereğince, işletmenin bütününü sevk ve idare eden işveren vekili ve yardımcıları ile işyerinin bütününü sevk ve idare edip işçiyi işe alma ve işten çıkarma yetkisi bulunan işveren vekilleri bu güvenceden yararlanamaz. Sendikal faaliyetler, sendika temsilciliği, adli ve idari mercilere başvuru ile ırk, renk, cinsiyet, medeni hal, din ve aile yükümlülükleri gibi ayrımcılık temelleri ise geçerli sebep teşkil etmez.
4857 sayılı İŞ KANUNU m. 18Kaynağı aç
Performans düşüklüğünün geçerli sebep oluşturabilmesi için hedeflerin makul ve ulaşılabilir olması, performans kriterlerinin önceden belirlenerek işçiye tebliğ edilmesi, yürütülen işin niteliğiyle örtüşmesi ve ölçülebilir olması şarttır. İşverenin ayrıca düşük performansın süreklilik gösterdiğini, aynı görevdeki çalışanlara eşit uygulandığını, sistemsel arızaların ve dış faktörlerin elendiğini, çalışana performansını geliştirmesi için makul süre tanındığını, gerekli eğitim ve yönlendirmelerin sağlandığını, savunmasının alındığını ve feshin son çare olduğunu ortaya koyması gerekir. Bu güvenceler sağlanmadan yalnızca yapay zekânın oluşturduğu bir puana dayanılarak fesih yoluna gidilmesi önemli ölçüde hukuki risk barındırır.
Yalnızca yapay zekâ puanına dayanılarak işten çıkarma yapılabilir mi?
Çalışanın iş sözleşmesinin feshi gibi önemli sonuçların yalnızca algoritmanın verdiği puana bağlanması hakkaniyet ve ölçülülük ilkeleriyle bağdaşmayabilir. 4857 sayılı İş Kanunu m. 18 uyarınca performans düşüklüğünün geçerli fesih sayılabilmesi için kriterlerin önceden tebliği, hedeflerin ulaşılabilir olması, düşüklüğün süreklilik göstermesi, işçinin savunmasının alınması ve feshin son çare olması gerekir.
İşverenin çalışanın klavye hareketlerini veya ekranını sürekli izlemesi hukuki midir?
Çalışanın klavye tuş hareketlerinin, şahsi telefon kullanımının, yüz mimiklerinin, ses tonunun veya her dakikadaki ekran faaliyetinin sürekli biçimde izlenmesi çoğu durumda ölçüsüz bir müdahale oluşturabilir. 6698 sayılı Kanun gereğince kişisel verilerin belirli, açık ve meşru amaçlarla bağlantılı, sınırlı ve ölçülü olarak işlenmesi zorunludur.
Çalışan otomatik sistemlerle yapılan performans puanlamasına itiraz edebilir mi?
Evet, 6698 sayılı Kanun m. 11/1-g uyarınca ilgili kişi, işlenen kişisel verilerinin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi neticesinde kendisi aleyhine bir sonucun ortaya çıkması hâlinde bu sonuca itiraz etme hakkına sahiptir.
Bulut tabanlı yabancı yapay zekâ sistemlerinde standart sözleşme bildirimi ne zaman yapılır?
Yeterlilik kararının bulunmadığı hallerde yabancı sistemler üzerinden yurt dışına veri aktarımı uygun güvence kapsamında standart sözleşmeyle yapılıyorsa, bu sözleşmenin imzalanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumuna bildirilmesi zorunludur.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy