Bir İK uzmanı işe alım grüşmesindeki notlarını toplantı sonrası ChatGPT’ye yapıştırıp zet çıkarıyor. Bir muhasebe sorumlusu mali tabloyu Gemini’ye yükleyip rapor oluşturuyor. Bir satış temsilcisi müşteri şikayet mailini yapay zeka aracına girerek yanıt taslağı hazırlıyor. Bu üç senaryo, günümüz iş ortamında sıradan günlük pratikler. Üçü de kurumun haberi olmadan gerçekleşiyor. Üçü de KVKK kapsamında değerlendirilebilecek riskler taşıyor.
Bu olgu, Kişisel Verileri Koruma Kurumu’nun Şubat 2026’da yayımladığı “İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı” kılavuzunda “Glge Yapay Zekâ” (Shadow AI) başlığıyla ele alındı. Kılavuz, konuyu teorik bir risk olmaktan te, kurumların bugün yüzleşmek zorunda olduğu somut bir olgu olarak tanımlıyor.
1. Glge Yapay Zekâ What Is It?
KVKK’nın Şubat 2026 kılavuzu, Glge YZ’yi şu şekilde tanımlıyor: Kurum veya kuruluş bünyesinde üretken yapay zekâ araçlarının, sz konusu kurumun bilgisi, onayı veya kurumsal kontrolü dışında employeelar tarafından iş süreçlerinde kullanılması. Bu tanım birkaç unsuru bir arada barındırıyor: araç harici bir platformdan geliyor, kurumsal onay mekanizması devreye girmemiş ve kullanım iş süreçlerini doğrudan etkiliyor.
Kavram, “Glge BT” (Shadow IT) olgusunun bir uzantısı olarak düşünülebilir. Glge BT’de employeelar kurumun bilgisi dışında kişisel bulut depolama, mesajlaşma uygulamaları veya onaylanmamış yazılımlar kullanır. Glge YZ bu dinamiğin üretken yapay zekâya uyarlanmış halidir; ancak kılavuz nemli bir ayrıma dikkat çekiyor: Glge YZ yalnızca kontrol dışı bir araç kullanımından ibaret değil. Kullanılan verilerin niteliği, üretilen çıktılar ve bu çıktıların iş süreçlerine yansıması bakımından kendine zgü ve daha derin riskler taşıyor.
ChatGPT, Gemini, Copilot, Claude, Perplexity gibi kamuya açık araçlar, kurumsal onay süreçleri beklenilmeksizin bireysel inisiyatifle devreye giren başlıca platform rnekleri arasında sayılabilir.
2. Neden Bu Kadar Yaygınlaşıyor?
KVKK kılavuzu, Glge YZ’nin yaygınlaşmasında birbirine bağlı birkaç faktr saptıyor. Bu faktrleri anlamak, kurumların sorunu salt bir “employee hatası” olarak değil, sistemik bir ynetim boşluğu olarak ele alması gerektiğini ortaya koyuyor.
Araçların erişilebilirliği: Ücretsiz veya düşük maliyetli olması, teknik bilgi gerektirmemesi ve tarayıcı üzerinden saniyeler içinde kullanılabilmesi, bu araçları herhangi bir kurumsal yazılımın nüne geçiriyor.
Çalışan motivasyonu: Zaman kazanma, rutin işleri azaltma ve çıktı kalitesini artırma beklentisi, kullanımı teşvik eden başlıca bireysel faktrler. Bu araçları kullanan employeelar çoğunlukla ktü niyetli değil; iş yükünü hafifletmeye çalışıyor.
Company politika boşluğu: ÜYZ kullanımına ilişkin net bir kurumsal politika veya ynlendirme çerçevesi olmadığında — ya da bu çerçeve yeterince açık tanımlanmadığında — employeelar bireysel tercihlerine gre hareket ediyor. Kılavuz bu boşluğu Glge YZ’nin en temel tetikleyicilerinden biri olarak tanımlıyor.
3. KVKK Açısından Hukuki Boyut
Bir employeeın kurumsal onay olmaksızın harici bir yapay zekâ aracına kişisel veri yüklemesi, 6698 sayılı Kanun çerçevesinde birden fazla yükümlülüğü aynı anda ihlal etme riski taşıyor.
Bir employeeın müşteri verisini, meslektaşına ait bilgileri veya iç yazışma içeriğini bir harici ÜYZ aracına girmesi aşağıdaki açılardan değerlendirilebilir:
| Hukuki Soru | KVKK Karşılığı | İlgili Madde |
|---|---|---|
| Veri bu amaçla işlenebilir mi? | Hukuka uygunluk sebebi (açık rıza, kanuni yükümlülük vb.) var mı? | Md. 5-6 |
| İlgili kişi bilgilendirildi mi? | Aydınlatma yükümlülüğü yerine getirildi mi? | Md. 10 |
| Yurt dışına veri aktarımı var mı? | Araç sunucuları yurt dışındaysa aktarım hükümleri devreye giriyor | Md. 9 |
| Veri güvenliği sağlandı mı? | İdari tedbir yükümlülüğü (personel eğitimi, politika) yerine geldi mi? | Md. 12 |
| Üçüncü tarafla szleşme var mı? | Veri işleyen olarak ÜYZ sağlayıcısıyla yazılı szleşme yapıldı mı? | Md. 12/2 |
Bu sorulardan herhangi birine olumsuz yanıt verilmesi, veri sorumlusu konumundaki kurumun Kanun’un 18. maddesi kapsamında idari para cezasıyla karşılaşma riskini doğuruyor. 2026 yılı güncel ceza tavanı veri güvenliği yükümlülükleri için yaklaşık 1.255.000 TL.
4. KVKK Kılavuzunun Tanımladığı Risk Kategorileri
KVKK’nın Şubat 2026 kılavuzu, Glge YZ kullanımının kurumlar için yarattığı riskleri altı başlık altında ele alıyor:
Çalışan, müşteri veya iş ortağına ait kişisel verilerin, veri sorumlusunun kontrolü ve denetimi dışındaki platformlara aktarılması. Bu veriler model eğitiminde kullanılabilmekte ya da yetkisiz erişime açık hâle gelebilmektedir.
Yurt dışı sunucularda barındırılan ÜYZ araçlarına veri girilmesi, Kanun’un 9. maddesi kapsamında izin veya güvence gerektiren uluslararası aktarım niteliği taşıyabilmektedir.
Company izleme mekanizmaları dışında gerçekleşen kullanımlar için hangi verinin hangi amaçla işlendiğinin sonradan tespit edilmesi güçleşmekte; bu durum olay müdahalesini ve uyum belgelendirmesini zorlaştırmaktadır.
Company doğrulama süreçlerinden geçmeden kullanılan ÜYZ çıktıları hatalı, yanıltıcı veya nyargılı olabilmekte; bu çıktılara dayalı kararlar iş süreçlerinde ve hukuki uyumda hatalara yol açabilmektedir.
Kaynak kod, ürün tasarımı, iş stratejisi veya ticari sır niteliğindeki bilgilerin harici araçlarla paylaşılması; bu bilgilerin model geliştirme süreçlerinde kullanılmasına veya yetkisiz kişilerin erişimine zemin hazırlayabilmektedir.
Doğruluğu teyit edilmemiş ÜYZ çıktılarının dış iletişimde kullanılması, müşteri ve paydaşlar nezdinde güven kaybına yol açabilmektedir. Bir veri ihlaline yol açan Glge YZ kullanımı kamuoyuna duyurulma yükümlülüğü doğurmaktadır.
5. Gerçek İş Hayatından Senaryolar
Soyut risklerin hangi günlük pratiklerde somutlaştığını grmek, kurumsal farkındalık açısından belirleyicidir.
Company onay olmaksızın gerçekleşen yaygın kullanım biçimleri
- İK uzmanının işe alım grüşmesi notlarını (aday kimlik bilgileri dahil) ChatGPT’ye yapıştırarak zet oluşturması
- Müşteri hizmetleri temsilcisinin şikayet maillerini (müşteri adı, adresi, sipariş detayları) bir yapay zeka aracına girerek yanıt taslağı hazırlaması
- Muhasebe employeeının employee maaş tablosunu veya müşteri faturalarını Gemini’ye yükleyip analiz yaptırması
- Satış ekibinin müşteri toplantı notlarını (şirket adları, teklifler, stratejik bilgiler) yapay zekaya girerek sunum oluşturması
- Avukat veya hukuk uzmanının szleşme içeriklerini (kişisel ve ticari veriler) bir ÜYZ aracına girerek incelettirmesi
- Yazılım geliştiricinin üretim ortamına ait veritabanı yapısını veya gerçek kullanıcı verilerini içeren kodu bir yapay zeka kod asistanına gndermesi
Bu senaryoların ortak paydası şu: Çalışanlar, verimlilik amacıyla tamamen meşru bir motivasyonla hareket ediyor. Sorun niyette değil, kullanılan aracın kurumsal denetim dışında kalması ve aktarılan verinin kişisel veri niteliği taşımasında.
6. Veri Sorumlusunun Yükümlülüğü Ne?
Bir employeeın Glge YZ kullanımı sonucunda kişisel veri ihlali meydana geldiğinde sorumluluk ncelikle veri sorumlusu konumundaki kuruma aittir. Kanun’un 12. maddesi, veri sorumlularına employeeları da kapsayacak biçimde gerekli teknik ve idari tedbirleri alma ve bu tedbirlerin uygulanmasını denetleme yükümlülüğü getirmektedir.
Bu hüküm, kurumun bilgisi dışında gerçekleşen bir Glge YZ kullanımını “employeeın bireysel hatası” şeklinde tanımlayarak sorumluluktan kaçınmasına yasal zeminin olmadığını ortaya koyuyor. Kurum, employeelarının hangi araçları kullandığını izlemek, bu konuda politika oluşturmak ve eğitim vermekle yükümlü.
Ek olarak, ÜYZ sağlayıcısı ile herhangi bir veri işleyen szleşmesi yapılmamışsa bu durum Kanun’un 12/2. maddesi kapsamında ayrı bir ihlal gerekçesi oluşturabilir. ChatGPT veya Gemini gibi kamuya açık araçların kurumsal kullanımında, ilgili şirketin kurumsal sürümüne geçilmediği ve veri işleyen szleşmesi imzalanmadığı sürece bu eksiklik devam etmektedir.
7. Company Düzeyde Alınabilecek Tedbirler
KVKK kılavuzu, kurumların Glge YZ riskini ynetmek için alabilecekleri tedbirleri üç eksene yayıyor: politika, teknik kontrol ve farkındalık. Aşağıda bu eksenler pratik adımlarla ele alınmaktadır.
Politika ve Ynetişim
Technical Controller
Farkındalık ve Eğitim
8. Sık Sorulan Sorular
Çalışan ChatGPT’ye müşteri adı girdiyse bu KVKK ihlali mi?
Müşteri adı kişisel veri niteliği taşıdığından, bu verinin harici bir ÜYZ aracına girilmesi KVKK kapsamında kişisel veri işleme faaliyeti olarak değerlendirilebilir. İlgili kişinin bilgisi olmaksızın ve yasal bir dayanak bulunmaksızın gerçekleşmişse Kanun’un 5. maddesi kapsamında hukuka uygunluk sebebi sorgulanabilir. Araç sunucularının yurt dışında olması durumunda ayrıca 9. madde kapsamında aktarım yükümlülükleri de gündeme gelebilir.
Company ChatGPT Enterprise kullanıyoruz, Glge YZ riski devam eder mi?
Company sürümler veri işleme şartları açısından ücretsiz sürümlerden farklıdır; gnderilen verilerin model eğitiminde kullanılmaması gibi güvenceler içerebilir. Ancak bu tek başına yeterli değildir: Veri işleyen szleşmesinin imzalanmış olması, kurumsal politikanın kullanım sınırlarını belirlemesi ve employeeların hangi veri türlerini bu araçlara girip giremeyeceğini bilmesi gerekir. Company lisans, risk ynetiminin yalnızca bir parçasıdır.
Yapay zekâ kullanımını tamamen yasaklamak çzüm olur mu?
No. KVKK kılavuzu da dahil olmak üzere bu alandaki rehberlik belgeleri, yasakçı yaklaşımın Glge YZ sorununu çzmediğini; tam tersine grünürlüğü azaltarak riski artırabileceğini ortaya koyuyor. Çalışanlar kurumsal ağ dışında (kişisel cihaz, ev interneti) aynı araçları kullanmaya devam eder. Sürdürülebilir çzüm, yasak değil; governance çerçevesi, net politika ve farkındalık eğitimidir.
Glge YZ kullanımı sonucu veri ihlali yaşandıysa ne yapmalıyız?
Kanun’un 12/5. maddesi uyarınca veri ihlalinin ğrenilmesinden itibaren 72 saat içinde KVKK’ya bildirim yapılması zorunludur. İhlal ilgili kişileri yüksek riskle etkiliyorsa bu kişilerin de bilgilendirilmesi gerekir. İlk adım, ihlale konu verilerin kapsamını ve sızan bilgilerin niteliğini tespit etmek; ikinci adım, ÜYZ sağlayıcısıyla iletişime geçerek verinin ne lçüde işlendiğini anlamaya çalışmaktır.
Kurumunuzda Glge YZ Riskini Ynetin
Yapay zekâ kullanım politikası, employee eğitimi ve teknik kontrol adımlarını kapsayan bütünleşik bir yaklaşım için bizimle grüşün.
Learn Moremak İçin Contact Us AI Security · KVKK Uyum · ISO 42001 Consulting · Farkındalık Eğitimi
