KİŞİSEL VERİLERİ KORUMA KURUMU TARAFINDAN “İŞ YERLERİNDE ÜRETKEN YAPAY ZEKÂ ARAÇLARININ KULLANIMI” BAŞLIKLI DOKÜMAN YAYIMLANDI

Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından 05.03.2026 tarihinde “İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı” başlıklı bir doküman yayımlandı. Dokümanda; iş yerlerinde üretken yapay zekâ araçlarının kullanımına ilişkin genel bir bakış sunulmuş ve üretken yapay zekâ araçlarının kontrol dışı kullanımı (gölge yapay zekâ) ve ortaya çıkardığı risklere ve iş yerlerinde üretken yapay zekâ araçlarının kullanımına ilişkin dikkate alınabilecek hususlara değinilmiştir. Dokümanda değinilen bu hususlar aşağıdaki şekilde özetlenmiştir: Üretken yapay zekâ; metin, görsel, ses, video ve yazılım kodu gibi içerikler üretebilen yapay zekâ sistemlerini ifade eder. Bu araçlar bilgiye erişim, içerik üretimi ve iş süreçlerinin desteklenmesi için iş yerlerinde giderek daha yaygın kullanılmaktadır. Çalışanlar bu araçları özellikle: e-posta ve metin taslağı hazırlama, belge özetleme, fikir geliştirme, toplantı notu oluşturma, araştırma ve analiz yapma gibi amaçlarla kullanmaktadır. ÜYZ araçları iş yerlerinde kullanıldığında verimlilik artışı ve zaman tasarrufu sağlayarak iş süreçlerini hızlandırabilir. Ancak, bu araçların kullanımı avantajları ile birlikte bazı riskleri de beraberinde getirmektedir. İş yerlerinde üretken yapay zekâ araçlarının yaygınlaşmasıyla birlikte çalışanlar, bazı durumlarda kurum tarafından resmi olarak onaylanmamış veya denetlenmeyen yapay zekâ araçlarını kendi inisiyatifleriyle kullanabilmektedir. Bu durum “gölge yapay zekâ” (shadow AI) olarak adlandırılmaktadır. Gölge yapay zekâ kullanımı, kurumların bilgi güvenliği ve veri koruma süreçleri açısından çeşitli riskler doğurabilir. Gölge yapay zekâ kullanımının başlıca risk alanları:

• Denetlenebilirlik ve hesap verebilirliğe ilişkin riskler: Kurumsal kayıt, izleme ve denetim mekanizmalarına tabi olmayan üretken yapay zekâ araçları kullanıldığında, hangi verilerin hangi amaçla kullanıldığı ve sonuçların nasıl ortaya çıktığı sonradan tespit edilemeyebilir. Bu durum olaylara müdahale edilmesini ve mevzuata uygunluğun kanıtlanmasını zorlaştırır.

• Karar kalitesi ve doğruluğa ilişkin riskler: Bu araçlar hatalı, eksik veya yanıltıcı bilgiler oluşturabilir. Çalışanların bu çıktıları yeterli kontrol yapmadan kullanması, iş süreçlerinde yanlış kararların alınmasına veya hatalı bilgilerin paylaşılmasına neden olabilir.

• Fikri mülkiyete ilişkin riskler: Yapay zekâ tarafından üretilen içeriklerin hangi kaynaklara dayandığı çoğu zaman tespit edilemediğinden üretilen içeriklerin kullanımı bazı durumlarda telif hakkı ihlallerine veya hukuki sorumluluklara yol açabilir.

• Kurumsal itibar ve güven kaybına ilişkin riskler: Kontrolsüz yapay zekâ kullanımı kurumların kurumsal itibarını ve güvenilirliğini de etkileyebilir. Yanlış bilgi üretimi, hassas verilerin ifşası veya hatalı içeriklerin dış paydaşlarla paylaşılması, kurum açısından itibar kaybı doğurabilecek sonuçlar yaratabilir.

• Bilgi güvenliği, ticari sırlar ve siber güvenlik riskleri ve Kişisel verilerin korunmasına ilişkin ihlal riskleri: Çalışanların bu tür araçlara kurumsal belgeler, müşteri bilgileri veya kişisel veriler içeren veriler girmesi, bu bilgilerin üçüncü taraf hizmet sağlayıcıların sistemlerine aktarılması anlamına gelebilir. Bu durum, özellikle kişisel verilerin korunması, ticari sırların gizliliği ve kurum içi bilgilerin güvenliği açısından önemli riskler yaratmaktadır.

Bu kapsamda kurumlara yönelik öneriler: Dokümanda, iş yerlerinde üretken yapay zekâ kullanımının tamamen yasaklanması yerine kurumsal politika, yönlendirme ve farkındalık temelli bir yaklaşımın benimsenmesi önerilmektedir:

• Yapay zekâ kullanımına ilişkin kurumsal politika ve kullanım sınırlarının belirlenmesi,
• Çalışanlara veri güvenliği ve kişisel veri farkındalığı eğitimi verilmesi,
• Hassas verilerin yapay zekâ araçlarıyla paylaşılmaması,
• Yapay zekâ çıktılarının insan denetimi altında değerlendirilmesi, önerilmektedir.

KVKK, üretken yapay zekâ araçlarının iş süreçlerinde kullanılmasının etik, güvenli ve sorumlu bir çerçevede yönetilmesinin hem verimlilikten yararlanılması hem de hukuki risklerin azaltılması açısından önemli olduğunu vurgulamaktadır. İlgili doküman linkine buradan ulaşabilirsiniz.