İşyerinde yapay zekâ kullanırken KVKK açısından nelere dikkat edilmeli?

2026 rehberi işyerleri için neden önemli?

Kişisel Verileri Koruma Kurumu, 5 Mart 2026 tarihinde işyerlerinde üretken yapay zekâ kullanımına ilişkin rehberini duyurdu. Çalışanın kendi hesabıyla bir araç kullanması da kurum verilerinin dışarı çıkmasına yol açabilir. Bu nedenle yalnızca şirketin satın aldığı yazılımlar üzerinden değerlendirme yapmak eksik kalır.

İlk adım, hangi aracın hangi iş için kullanıldığını belirlemektir. Toplantı kaydını özetletmek, özgeçmişleri karşılaştırmak ve müşteri şikâyetlerini sınıflandırmak farklı veri ve riskler içerir. Araç adı, kullanıcı grubu, girilen veri ve çıktının kullanıldığı karar kısa bir envanterde gösterilebilir.

Çalışan ve müşteri belgeleri yüklenebilir mi?

Bordro, sağlık raporu, kimlik bilgisi ve müşteri dosyası aynı hassasiyette değildir. 6698 sayılı Kanun’un genel ilkeleri ve işleme şartları her işlem için ayrıca ele alınır. Bir veriyi iş ilişkisi kapsamında tutabilmek, onu başka bir hizmete göndermek için tek başına yeterli açıklama oluşturmaz.

Örneğin bir satış raporunu düzenletirken kişi adları, telefonlar ve hesap bilgileri görev için gerekmiyorsa çıkarılmalıdır. Yalnızca adın silinmesi her zaman anonimlik sağlamaz; içerikten kişinin yeniden belirlenip belirlenemediği değerlendirilir. Gerçek veri gerekmeyen bir denemede yapay örnek kayıtlar kullanılabilir.

Sağlayıcı ve işyeri politikası nasıl incelenir?

Hizmet sözleşmesi, saklama tercihleri, erişim yetkileri ve girdilerin model geliştirmede kullanılıp kullanılmadığı incelenmelidir. Bütün yapay zekâ hizmetlerinin aynı koşullarla çalıştığı varsayılamaz. Veriler yurt dışına aktarılıyorsa güncel aktarım kuralları da ayrı bir başlık olarak değerlendirilir.

Yazılı politikada izin verilen araçlar, paylaşılmaması gereken veriler, onay gerektiren işler ve yanlış paylaşımın bildirileceği kişi belirlenebilir. Çalışana yalnızca genel bir gizlilik maddesi imzalatmak yerine günlük işinden anlaşılır örnekler verilmesi, kuralın uygulanmasını kolaylaştırır.

Çıktı denetimi ve ilk inceleme nasıl hazırlanır?

Aday eleme veya performans değerlendirmesi gibi kararlarda hatalı çıktının etkisi büyür. Çıktının doğruluğu ve kullanılan veriler, kararı verecek kişi tarafından gözden geçirilmelidir. İş akışında kontrolü kimin yapacağı önceden belirlenebilir.

İlk değerlendirme için araç sözleşmesi, örnek kullanım senaryosu, aydınlatma metni ve yetki listesi hazırlanabilir. İzinsiz paylaşım fark edilirse yeni paylaşımlar durdurulmalı; olayın kapsamı ve uygulanacak bildirim yükümlülükleri somut kayıtlarla incelenmelidir.

Sık sorulan sorular

Kişisel hesapla kullanım sorumluluğu kaldırır mı?

Hayır. Kurum verisinin hangi amaçla ve kimin talimatıyla işlendiği araştırılır. Hesabın kişisel olması, işyerindeki veri koruma yükümlülüklerini kendiliğinden kaldırmaz.

Açık rıza her kullanım için yeterli mi?

Hayır. Rızanın geçerliliği, diğer işleme şartları, ölçülülük ve güvenlik yükümlülükleri birlikte değerlendirilir. İş ilişkisindeki bağımlılık da dikkate alınır.

Her yapay zekâ kullanımı yasaklanmalı mı?

Bu genel bir zorunluluk değildir. Amaç, veri türü ve sağlayıcı koşullarına uygun kullanım düzeni kurulmalıdır.