Çalışanlar ChatGPT'ye Şirket Verisi Girebilir mi? Gölge Yapay Zeka ve KVKK
Çalışanın müşteri veya şirket verisini ChatGPT gibi araçlara girmesi bir veri işlemedir. KVKK'nın 5 Mart 2026 gölge yapay zeka uyarısı, riskler ve somut önlemler.
Kısa cevap: çok dikkatli olun. Bir çalışan; müşteri listesini, bir özgeçmişi ya da içinde isim, telefon, T.C. kimlik numarası geçen bir metni ChatGPT, Gemini veya benzeri kamuya açık bir yapay zeka aracına yapıştırdığında, bu bir kişisel veri işleme faaliyetidir. Aracın yalnızca bir yardımcı gibi görünmesi bu gerçeği değiştirmez. İşletme, bu işlemenin veri sorumlusudur ve 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun tüm yükümlülükleri yürürlüktedir. Kişisel Verileri Koruma Kurumu 5 Mart 2026 tarihli dokümanında tam olarak bu duruma, yani çalışanların bu araçları kurumun bilgisi ve onayı dışında kullanmasına dikkat çekti ve buna 'gölge yapay zeka' adını verdi. Veriyi bir yapay zeka aracına girmek, çoğu zaman onu hukuki bir dayanak olmadan üçüncü bir tarafa ve büyük olasılıkla yurt dışına aktarmak anlamına gelir.
Neden bir KVKK meselesi olduğuna yakından bakalım. Yapay zeka aracının istem kutusuna, yani prompt'a yazdığınız her şey o araç tarafından işlenen bir veridir. Somut örnekler ortada: satış ekibinden biri müşteri listesini özetletmek için yapıştırır, insan kaynakları bir adayın özgeçmişini elemek için sisteme verir, bir yazılımcı gerçek kullanıcı kayıtları içeren bir hata günlüğünü ayıklamak için gönderir, bir muhasebeci bordroyu tabloya döktürmek ister. Bunların hepsinde ad, iletişim bilgisi, kimlik numarası, maaş, hatta sağlık durumu gibi kişisel veriler araca akar. Veriyi giren işletme veri sorumlusudur; aracı sunan şirket ise kural olarak veri işleyen ya da kendi amaçları için ayrı bir veri sorumlusu konumundadır.
Kurumun bu alandaki yaklaşımı bir anda oluşmadı, üç belgeyle kademeli olarak şekillendi. İlki 15 Eylül 2021 tarihli Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler'di; tasarımdan itibaren veri koruma, veri minimizasyonu ve insan müdahalesinin korunması gibi ilkeleri geliştiriciler ve karar alıcılar için sıralıyordu. İkincisi 24 Kasım 2025 tarihli Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi oldu; on beş soru üzerinden bu sistemlerin işleyişini ve hukuki çerçevesini anlattı. Üçüncüsü ise doğrudan iş yerlerini hedef alan 5 Mart 2026 tarihli doküman. Kurumun tonu yasakçı değil; amacı farkındalık yaratmak ve bilinçli kullanımı teşvik etmek.
Gölge yapay zeka tam olarak nedir? Kurumun tarifiyle, çalışanların bu araçları açıkça tanımlanmış bir kurumsal strateji, politika ya da yönlendirme çerçevesi olmadan, günlük işlerini kolaylaştırmak için kendi tercihleriyle kullanması. Sorun da burada başlıyor: kullanım kurumun radarına girmediği için izlenmesi ve yönetilmesi zorlaşır. Doküman bu kontrolsüz kullanımın açtığı riskleri sıralıyor: veri ihlali, fikri mülkiyet haklarının ihlali, kurumsal itibarın zedelenmesi, çıktıların denetlenebilirliğinin ortadan kalkması ve hukuki uyum eksikliği. Bir çalışanın iyi niyetle, işini hızlandırmak için attığı bir adım, şirketin ticari sırrını ya da müşterisinin verisini kalıcı biçimde dışarı taşıyabilir.
En çok gözden kaçan nokta ücretsiz ve bireysel sürümlerde saklı. Bu araçların kamuya açık sürümlerinde, girdiğiniz metin çoğu zaman sağlayıcı tarafından modeli eğitmek ve hizmeti geliştirmek için saklanır ve işlenir. Yani bir kez yapıştırdığınız müşteri listesi sizin denetiminizden çıkar; teorik olarak modelin sonraki çıktılarında bir başkasının karşısına çıkabilir. Kurumsal ya da API üzerinden sunulan sürümlerde sağlayıcılar çoğunlukla girdileri eğitim için kullanmadıklarını taahhüt eder, ama bu otomatik bir güvence değildir. Sözleşmenin ne dediğini ve verinin nerede işlendiğini görmeden emin olamazsınız.
Bir de aktarım boyutu var. Popüler üretken yapay zeka araçlarının büyük bölümü verileri yurt dışındaki sunucularda işler. Bu, araca kişisel veri girmenin çoğu zaman aynı anda yurt dışına veri aktarımı sayılması demektir. 6698 sayılı Kanun'da 2024 yılında yapılan değişiklikle yurt dışına aktarım kendi rejimine bağlandı: yeterlilik kararı, standart sözleşme, bağlayıcı şirket kuralları ya da sayılı istisnalar gibi bir dayanak aranıyor. Gerçek kişisel veriyi böyle bir araca yapıştırmak, bu dayanaklardan hiçbiri yokken, tek bir hareketle iki ayrı yükümlülüğü birden çiğneyebilir.
6698 sayılı Kanun her koşulda uygulandığına göre temel kurallar da yerinde duruyor. Kişisel veriyi işlemek için 5. maddedeki hukuki sebeplerden birine dayanmanız gerekir; işlemeyi bir yapay zeka aracı üzerinden yapmak bu şartı ortadan kaldırmaz. 4. maddedeki veri minimizasyonu ve ölçülülük ilkesi, amaç için gerekmeyen veriyi baştan girmemenizi söyler; bir metni özetletmek için içindeki kimlik numaralarına ihtiyaç yoktur. Sağlık verisi, ceza mahkumiyeti, din veya biyometrik veri gibi özel nitelikli veriler söz konusuysa 6. madde çok daha katı davranır; bu tür verileri kamuya açık bir araca girmek en riskli davranışların başında gelir.
Bunun teorik bir kaygı olmadığını görmek için Avrupa'ya bakmak yeterli. İtalya'nın veri koruma otoritesi Garante, Mart 2023'te ChatGPT'ye geçici erişim engeli getiren ilk otorite oldu; hizmet ancak şeffaflık önlemleri sağlandıktan sonra yeniden açıldı. Süreç 20 Aralık 2024'te OpenAI'a 15 milyon euro idari para cezasıyla sonuçlandı. Gerekçeler tanıdık: modeli eğitmek için kişisel verilerin yeterli hukuki dayanak olmadan kullanılması, şeffaflık eksikliği, yaş doğrulamasının yetersizliği ve bir veri ihlalinin bildirilmemesi. Türkiye'de henüz bu ölçekte bir karar çıkmadı, ama Kurumun yayımladığı belgeler aynı endişeleri paylaşıyor; yönün nereye baktığı belli.
Peki Kurum ne yapılmasını öneriyor? İş yeri dokümanının işaret ettiği yol açık. Önce net bir yapay zeka kullanım politikası hazırlayın: hangi araçların kullanılabileceğini, hangi veri türlerinin bu araçlara asla girilemeyeceğini ve hangi işlerde kullanımın serbest olduğunu yazıyla belirleyin. Mümkün olduğunca anonimleştirilmiş ya da genelleştirilmiş veriyle çalışın. Çıktılara mutlak güvenle yaklaşmayın; yapay zekanın bilgi uydurabildiğini ve yanlı sonuç üretebildiğini unutmadan insan gözetimini koruyun. Erişimi rol bazında sınırlayın ve çalışanları yalnızca kurumun onayladığı araçlara yönlendirin. Bütün bunları bir kez yazıp rafa kaldırmak yetmez; düzenli eğitimle canlı tutmak gerekir.
Çalışan tarafında pratik kural sade tutulabilir. Gerçek ad, telefon, T.C. kimlik numarası, adres, sağlık bilgisi ya da maaş verisini araca girmeyin. Müşteri listesini, imzalı bir sözleşmeyi, bir özgeçmişi ya da dava dosyasını olduğu gibi yapıştırmayın. Bir metni özetletmeniz gerekiyorsa isimleri ve numaraları önce çıkarın veya kişi X, A firması gibi genel ifadelerle değiştirin. Kod ya da kayıt (log) paylaşacaksanız içindeki gerçek verileri maskeleyin. İşletme tarafında ise aydınlatma metninizi ve veri envanterinizi bu yeni işleme faaliyetini kapsayacak biçimde güncelleyin; çünkü kağıt üstünde hiç var olmayan bir işleme, bir denetimde başlı başına eksiklik sayılır.
Yanlış yapmanın bedeli soyut değil. Kişisel verilerin güvenliğine ilişkin 12. madde yükümlülüğünün ihlali, 2026 yılında 256.357 TL ile 17.092.242 TL arasında idari para cezasına konu olabilir. Buna kolayca eklenenler var: kaybedilen ticari sır, sarsılan müşteri güveni, dışarı sızan fikri mülkiyet. İş hukuku tarafında da bir boyut mevcut. Bir çalışan gizli veriyi kurallara aykırı biçimde bir araca sızdırırsa bu disiplin işlemine, hatta fesihe dayanak olabilir; ama işverenin bunu ileri sürebilmesi için önceden açık bir kullanım politikası koymuş ve çalışanı bilgilendirmiş olması beklenir. Kural koymadan cezalandırmak zordur.
Şirketinizde çalışanların ChatGPT ve benzeri araçları hangi verilerle kullandığını, ortada bir kullanım politikası olup olmadığını ve aydınlatma metninizin bu işlemeyi kapsayıp kapsamadığını bilmiyorsanız, riski görmenin en hızlı yolu bir değerlendirmedir. KVKK Danışman'ın ücretsiz ön değerlendirmesinde mevcut uygulamalarınızı gözden geçirip yapay zeka kullanım politikasından çalışan eğitimine, aydınlatma metninden yurt dışı aktarım dayanağına kadar öncelikli adımları birlikte çıkarabiliriz.