Yayın tarihi: 29 Haziran 2026. Yazıdaki AB Yapay Zekâ Tüzüğü (AI Act) takvimi, Dijital Omnibus süreci nedeniyle değişebilir; bu tarih itibarıyla günceldir.

Özet: Kişisel Verileri Koruma Kurumu, çalışanların kurumsal onay olmaksızın kullandığı üretken yapay zekâ araçlarına ilişkin bir doküman yayımladı. Bu yazı, “gölge yapay zekâ” kavramını, bu kullanımın doğurduğu kişisel veri risklerini ve şirketlerin alabileceği önlemleri ele alır.

Giriş: Yardımcı Araçtan Veri Riskine

ChatGPT, Gemini ve benzeri üretken yapay zekâ araçları, çalışanların günlük işlerini hızlandırmak için sıkça başvurduğu araçlar hâline geldi. Ancak bu araçlara girilen her metin, çoğu zaman üçüncü taraf bir hizmet sağlayıcının sunucularında işlenmektedir. Bir e-posta taslağını düzelttirmek, bir müşteri listesini özetletmek veya bir sözleşmeyi sadeleştirmek isterken, kişisel veriler farkında olmadan kurum dışına aktarılabilir.

Kişisel Verileri Koruma Kurumu (KVKK), 5 Mart 2026 tarihinde yayımladığı “İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı” başlıklı doküman ile tam da bu duruma işaret etti. Doküman, üçüncü taraflarca sunulan ve kamuya açık üretken yapay zekâ araçlarının iş süreçlerinde kullanımına ilişkin riskleri ortaya koyarak kurumsal farkındalığı artırmayı amaçlıyor.

“Gölge Yapay Zekâ” (Shadow AI) Nedir?

Dokümanın merkezindeki kavram “gölge yapay zekâ” (shadow AI) olarak adlandırılıyor. Bu kavram, çalışanların yapay zekâ araçlarını kuruluşun bilgisi, onayı veya kurumsal denetimi olmaksızın iş süreçlerine dâhil etmesini ifade eder.

Sorun genellikle kötü niyetten değil, pratik kolaylık arayışından doğar. Bir çalışan, işini hızlandırmak için kişisel hesabıyla bir yapay zekâ aracına bağlanıp şirkete ait bilgileri girdiğinde, bu kullanım çoğunlukla tanımlı bir kurumsal politika çerçevesi dışında kalır. Bu da kullanımın kurumsal düzeyde izlenmesini ve yönetilmesini zorlaştırıyor.

Peki asıl risk kimde? İşverenin veri sorumlusu sıfatı

Şirketler açısından kritik nokta şudur: çalışan kişisel bir veriyi araca girdiğinde sorumluluk doğan taraf çoğunlukla işverendir. Kurum’un 24 Kasım 2025 tarihli “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)” çalışmasının omurgası da burada toplanır: veri sorumlusunun belirlenmesinde taraflar arasındaki sözleşmeden çok, veri işleme faaliyeti üzerindeki fiilî kontrol esas alınır. Özellikle “kapalı erişimli” (closed-access) modellerde bu tespit güçleşir; ancak güçleşmesi sorumluluğu ortadan kaldırmaz. Dolayısıyla denetimsiz kullanımın hukuki sonucu, kişisel hesabı kullanan çalışanda değil, çoğu zaman kurumda doğar.

Kişisel Veri Açısından Başlıca Riskler

İş yerinde denetimsiz üretken yapay zekâ kullanımının kişisel verilerin korunması bakımından doğurduğu başlıca riskler şunlardır:

Kurumlar İçin Önerilen Yaklaşım: Yasak Değil, Yönlendirme

Kişisel Verileri Koruma Kurumu’nun yayımladığı doküman, topyekûn yasaklamayı değil; sorumlu ve çerçevesi çizilmiş bir kullanımı öne çıkarır. Çalışanların verimlilik arayışını tamamen engellemek yerine, güvenli ve sorumlu kullanımı destekleyen bir çerçeve kurulması önerilir. Bu yapıyı kurmak isteyen kurumlar için değerlendirilebilecek başlıklar şunlardır:

Düzenleyici Çerçeve Genişliyor

Gölge yapay zekânın doğurduğu sorumluluk Türkiye ile sınırlı kalmıyor. AB pazarına mal veya hizmet veren, bir AB tedarik zincirinde yer alan ya da yapay zekâ çıktısı AB’de kullanılan şirketler, AB Yapay Zekâ Tüzüğü’nün (AI Act) de kapsamına girebilir; çünkü Tüzük, tıpkı GDPR gibi, sınır ötesi etki doğuracak biçimde kurgulandı. İhracatçı bir Türk firması için bu, çalışanın bir araca girdiği verinin aynı anda hem KVKK hem de doğrudan AB uyumu sonucu doğurabileceği anlamına gelir.

Tüzük kademeli yürürlüğe giriyor. Yasaklar 2 Şubat 2025’ten, genel amaçlı yapay zekâ (GPAI) modellerine ilişkin yükümlülükler 2 Ağustos 2025’ten beri (zaten) uygulanıyor. Asıl tartışma yüksek riskli sistemlerde: bu yükümlülüklerin başlangıcı 2 Ağustos 2026 olarak belirlenmişti, ancak 19 Kasım 2025 tarihli Dijital Omnibus paketiyle başlayan ve Avrupa Parlamentosu’nun 16 Haziran 2026’da onayladığı süreç tarihleri ileri çekti: Ek III’teki bağımsız sistemler için 2 Aralık 2027, ürüne gömülü sistemler için 2 Ağustos 2028. Erteleme henüz AB Resmî Gazetesi’nde yayımlanmadığından, yayıma kadar 2 Ağustos 2026 hukuken geçerli tarih olmaya devam ediyor. Sonuç olarak takvim değişken; uyum planlamasında tek bir tarihe bel bağlanmamalı.

Aynı yönelim iç hukukta da görülüyor. Yapay zekâyı düzenlemeyi amaçlayan kanun teklifleri TBMM gündemine taşındı, ama bu metinler henüz yasalaşmadı. Gölge yapay zekâ bugün ağırlıkla 6698 sayılı Kanun üzerinden ele alınsa da, şirketlerin orta vadede hem ulusal hem AB düzeyinde genişleyen bir uyum yüküne hazırlanması isabetli olur.

Sonuç

Üretken yapay zekâ araçları iş hayatının bir parçası hâline gelirken, bu araçların denetimsiz kullanımı kişisel verilerin korunması bakımından somut riskler taşıyor. Kurum’un yaklaşımı, bu araçları reddetmek değil çerçevesi çizilmiş bir kullanımı teşvik etme yönünde. Yazılı politikalar, çalışan eğitimi ve uygun teknik tedbirlerle bu çerçeveyi kuran kurumlar, hukuki riskleri azaltır ve teknolojiden güvenli biçimde yararlanır.

Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki görüş niteliği taşımaz. Somut durumlar bakımından profesyonel hukuki destek alınması önerilir.

Kaynaklar

← Tüm Makaleler