ChatGPT’ye şirket bilgisi yüklemek, çoğu kurumda gizlilik ve bilgi güvenliği politikalarını ihlal sayılabildiği için uyarıdan iş akdinin feshine kadar gidebilen sonuçlar doğurabilir. Dış bir hizmete kopyalanan her metin şirketin kontrol alanından çıkar; müşteri listeleri, fiyatlandırma, kaynak kodu, sözleşmeler veya çalışan verileri gibi içerikler ticari sır ya da KVKK kapsamına girebilir. Bu yüzden iş için kullanılacaksa kamuya açık olmayan hiçbir detayı yapıştırmamak, veriyi maskelemek ve kurum içi onay sürecine uymak gerekir. Riskin seviyesi bilginin hassasiyeti, yazılı yasak olup olmadığı ve ihlalin tekrarı gibi faktörlerle belirlenir. En sık yapılan hata, isimleri silince metnin artık güvenli olduğunu sanmaktır.
ChatGPT’ye şirket verisi girmenin iş akdi feshi için eşiği
Tek başına kullanım mı, veri paylaşımı mı?
İş hukukunda kritik ayrım şudur: Çalışan yalnızca ChatGPT’yi “kullanmış” mı, yoksa şirket verisini dışarıya aktarmış mı? Sadece genel, kamuya açık bilgiyle içerik üretmek ile müşteri adı, fiyat, sözleşme maddesi, teknik doküman, kaynak kod gibi şirket içi verileri kopyalayıp yapıştırmak aynı kefede değerlendirilmez. Çünkü ikinci durumda, işverenin kontrol alanı dışındaki bir platforma veri aktarımı ve gizlilik ihlali riski doğar. Bu risk tek başına “fiili zarar” oluşmasa bile güven ilişkisinin zedelenmesi tartışmasını gündeme getirebilir.
Politika ve talimat ihlalinin etkisi
Şirketin yazılı bilgi güvenliği politikası, gizlilik taahhüdü, BYOD ve bulut araçları talimatı, hatta e-posta ile yapılan açık uyarılar fesih eşiğini doğrudan etkiler. Açık bir yasak veya “onaylı araç listesi” varken kişisel hesapla veri girilmesi, işverenin olayı daha ağır görmesine yol açar. Özellikle gizli bilgilerin ifşası veya sadakat borcuna aykırılık iddiası, 4857 sayılı İş Kanunu’ndaki haklı fesih tartışmasına taşınabilir. Ayrıca işveren haklı feshe dayanacaksa, olayı öğrendiği tarihten itibaren 6 iş günü içinde ve her hâlde fiilden itibaren 1 yıl içinde bu hakkını kullanması gerekir; aksi halde haklı fesih iddiası zayıflar.
Somut olayın ağırlığı nasıl ölçülür?
Mahkemeler genelde “etiket”e değil, olayın ağırlığına bakar. Ağırlığı artıran başlıklar şunlardır: Girilen verinin niteliği (ticari sır, müşteri listesi, kişisel veri), verinin kapsamı (tek paragraf mı, dosya mı), çalışanın görevi ve erişim yetkisi, niyet (dikkatsizlik mi, bilinçli mi), tekrar olup olmadığı, uyarıya rağmen sürdürülüp sürdürülmediği ve delillendirme. Bazı olaylar uyarı veya disiplin cezasıyla yönetilebilirken, bazıları güven ilişkisinin onarılamaz şekilde zedelenmesi gerekçesiyle fesih seviyesine çıkabilir. Bu noktada “ölçülülük” ve “son çare” yaklaşımı pratikte belirleyicidir.
“Şirket bilgisi” hangi türdeyse risk ve sonuç değişir
Kamuya açık bilgi ve pazarlama metinleri
Web sitesinde, katalogda, basın bülteninde veya sosyal medya paylaşımlarında zaten yer alan içerikler “şirket bilgisi” olsa bile genelde en düşük risk grubudur. ChatGPT’ye bu tür metinleri girip yeniden yazdırmak çoğu işyerinde disiplin bakımından “güvenlik ihlali” sayılmayabilir. Yine de marka dili, yanlış vaatte bulunma ve rekabet hukuku gibi yan riskler vardır. Ayrıca kamuya açık metinlerin içine farkında olmadan kampanya tarihi, indirim oranı veya stok durumu gibi henüz duyurulmamış detaylar karışıyorsa risk seviyesi yükselir.
İç yazışma, sözleşme taslağı, fiyat teklifi
E-posta yazışmaları, toplantı notları, müşteriyle yapılan yazışmalar, sözleşme taslakları ve fiyat teklifleri çoğu zaman “gizli” veya “kurum içi” niteliğindedir. Bu tip içerikler ChatGPT’ye yapıştırıldığında, işveren açısından iki endişe öne çıkar: (1) üçüncü tarafa veri aktarımı ve kontrol kaybı, (2) karşı tarafla yapılan sözleşmesel gizlilik yükümlülüklerinin ihlali. Üstelik metinden isimleri silmek her zaman koruma sağlamaz; proje adı, tarih, teslimat kalemi, ödeme planı gibi ipuçları kişi veya firmayı dolaylı olarak belirlenebilir kılabilir.
Ticari sır, kaynak kod, Ar-Ge dokümanı
Ürün formülü, üretim prosesi, algoritma mantığı, mimari diyagramlar, güvenlik zafiyet raporları, kaynak kod parçaları, Ar-Ge çıktıları ve yol haritaları “ticari sır” veya en azından yüksek değerli know-how olarak değerlendirilir. Bu sınıfta, tek seferlik paylaşım bile işverenin güven ilişkisinin zedelendiği iddiasını güçlendirebilir. Ayrıca çalışan açısından, iyi niyetle “hata ayıklama” yaptığını düşünse bile, dışarıya aktarılan kod veya teknik doküman geri alınamaz bir iz bırakabilir.
Müşteri listesi gibi “özellikle hassas” örnekler
Müşteri listeleri, kişi isimleri, telefon ve e-posta adresleri, satın alma geçmişi, bayi iskonto oranları ve tahsilat durumu gibi veriler hem rekabet açısından kritik, hem de çoğu durumda kişisel veri içerdiği için iki kat risk taşır. Bu tür içerikler için “anonimleştirdim” demek pratikte yeterli olmayabilir; en güvenlisi, bu verileri hiç paylaşmamak ve işverenin onayladığı kapalı sistemlerde çalışmaktır.
Kişisel veri girildiğinde KVKK ve yurt dışı aktarım riski
Müşteri ve çalışan verisi ile özel nitelikli veri
ChatGPT’ye müşteri adı-soyadı, e-posta, telefon, T.C. kimlik no, adres, sipariş geçmişi, performans notu, özgeçmiş, bordro bilgisi gibi içerikler girildiğinde bu bilgiler çoğu zaman kişisel veri sayılır. Sağlık raporu, engellilik bilgisi, biyometrik veri, sendika üyeliği gibi içerikler ise özel nitelikli kişisel veri sınıfına girebilir ve risk seviyesi belirgin şekilde artar. Çünkü bu tür verilerde hem hukuki şartlar daha sıkıdır, hem de sızıntı veya yetkisiz erişim iddiası iş ilişkisini doğrudan etkileyebilir.
Veri sorumlusu rolü ve işleme şartları
Çalışan, işini yaparken çoğu senaryoda işveren adına hareket eder. Bu nedenle ChatGPT’ye kişisel veri girişi, sadece “çalışanın bireysel hatası” değil, işverenin KVKK kapsamındaki yükümlülüklerini de tetikleyebilir. İşveren genelde veri sorumlusu konumundadır; çalışan ise verilen talimatlar çerçevesinde hareket eden kişi olarak değerlendirilir. Burada iki kritik soru ortaya çıkar: (1) Bu veri girişinin hukuki dayanağı var mı? (2) Amaçla sınırlı, ölçülü ve gerekli mi? “Metni hızla özetleteyim” gibi pratik gerekçeler, tek başına her zaman yeterli hukuki dayanak oluşturmaz.
Bulut tabanlı araçlarda aktarım ve saklama tartışması
Bulut tabanlı yapay zekâ araçlarında en tartışmalı nokta, girilen kişisel verinin yurt dışına aktarım sayılıp sayılmayacağıdır. Veri Türkiye dışındaki sunuculara gidebiliyorsa veya yurt dışından erişilebilir bir altyapıda işleniyorsa, aktarım riski gündeme gelir. 2024 sonrası KVKK rejiminde yurt dışına aktarım için yeterlilik kararı veya uygun güvenceler (örneğin standart sözleşmeler gibi) gibi mekanizmalar önem kazandı. Bu yüzden kurum onayı olmadan kişisel veri girişi, sadece disiplin yönünden değil KVKK uyumu yönünden de ciddi sonuçlar doğurabilir. Konuyu çerçeveleyen resmi yaklaşım için KVKK “Yurt Dışına Aktarım” rehber sayfası iyi bir referanstır.
Haklı fesih mi geçerli fesih mi: Yargısal ölçütler
Güven ilişkisinin zedelenmesi ve zarar ihtimali
İşverenler bu tip olaylarda genelde iki yoldan birini tartışır: haklı nedenle derhal fesih (bildirimsiz) mi, yoksa geçerli nedenle fesih (bildirimli) mi? Mahkemelerin baktığı ana eksen, çalışanın davranışının işverenle arasındaki güven ilişkisini ne ölçüde sarstığıdır. ChatGPT’ye veri girme eyleminde “somut zarar doğmadı” savunması tek başına yeterli olmayabilir. Çünkü bazı veri türlerinde, özellikle ticari sır veya kişisel veri söz konusuysa, zarar gerçekleşmese bile zarar ihtimali ve kontrol kaybı ağır kabul edilebilir.
Buna karşılık, kamuya açık bilgiyle çalışma, şirketin açık bir yasağının olmaması veya düşük hassasiyetli içerik gibi durumlar feshi otomatik olarak “haklı” seviyeye taşımaz. Bu noktada ölçülülük ve iş ilişkisinin sürdürülebilirliği tartılır.
Niyet, tekrar, uyarı ve savunma süreçleri
Yargısal değerlendirmede çalışanın niyeti ve davranışın çerçevesi belirleyicidir. Kasıt, bilinçli saklama, talimata rağmen devam etme, aynı ihlalin tekrarı ve “benzer riskleri” daha önce yaşatmış olma fesih gerekçesini güçlendirir. Buna karşılık, ilk defa gerçekleşen, sınırlı kapsamlı ve hızlıca telafi edilmeye çalışılan durumlarda çoğu işyerinde önce uyarı, eğitim ve erişim kısıtı gibi ara önlemler beklenir.
Geçerli fesih gündeme geliyorsa, uygulamada savunma alınması ve çalışana iddia edilen eylemin net şekilde bildirilmesi kritik olur. Usul hataları, işverenin elini zayıflatabilir.
Delillendirme ve ispat yükü pratikleri
Fesih uyuşmazlıklarında ispat yükü pratikte işverenin üzerinde yoğunlaşır: “Ne veri girildi?”, “Hangi hesap kullanıldı?”, “Politika neydi?”, “Çalışana tebliğ edildi mi?”, “Kapsam ne kadar?” gibi sorular netleşmeden güçlü bir dosya kurulmaz. Log kayıtları, DLP uyarıları, erişim kayıtları, e-posta yazışmaları, ekran görüntüleri ve olay tutanakları delillendirmede kullanılır. Çalışan açısından ise veri maskeleme, yöneticiden onay alma, veriyi yüklemeden önce uyarı bildirme gibi adımlar olayın değerlendirmesini belirgin şekilde etkileyebilir.
Gölge yapay zekâ ve bireysel hesap kullanımının doğurduğu sorunlar
Onaylı araç ile kişisel hesap arasındaki fark
Gölge yapay zekâ, çalışanın işi kolaylaştırmak için kurumun onaylamadığı yapay zekâ araçlarını veya kendi kişisel hesabını kullanmasıdır. Aynı model kullanılıyor olsa bile “onaylı kurumsal kullanım” ile “kişisel hesap” arasında büyük fark vardır. Onaylı araçlarda veri işleme şartları, saklama ayarları, erişim politikaları ve tedarikçi sözleşmeleri genelde kurum tarafından değerlendirilir. Kişisel hesapta ise bu kontrol kaybolur. En basitinden, çalışan işten ayrıldığında hesap ve sohbet geçmişi kurumun erişemeyeceği bir yerde kalabilir. Bu da hem denetim hem de veri güvenliği açısından ciddi bir açık yaratır.
Erişim yetkisi, rol bazlı kullanım, log kaydı
Kurumsal bilgi güvenliği tarafında “kim, neye, ne zaman erişti?” sorusu hayati önem taşır. Onaylı sistemlerde rol bazlı yetkilendirme ve log kayıtlarıyla izlenebilirlik sağlanabilir. Kişisel hesapla yapılan kullanımda ise çoğu kez log ve denetim izi ya hiç yoktur ya da kurumun elinde değildir. Bu durum olay çıktığında hasar tespiti yapmayı zorlaştırır: Hangi veri girildi, hangi çıktı üretildi, çıktı nerede kullanıldı gibi sorular cevapsız kalır. Ayrıca yetkisiz kişi paylaşımları, ekran görüntüsü alınması veya cihaz senkronizasyonu gibi pratik riskler de artar.
Sözleşmesel yükümlülükler ve müşteri taahhütleri
Birçok şirkette müşteri sözleşmeleri, tedarikçi anlaşmaları ve gizlilik taahhütleri “veri üçüncü tarafla paylaşılmayacak” veya “alt işleyen onayı alınacak” gibi hükümler içerir. Çalışanın kişisel hesabıyla ChatGPT’ye müşteri dokümanı yapıştırması, işverenin bu sözleşmesel taahhütlerini ihlal ettiği iddiasına yol açabilir. Sonuç sadece iş hukuku ile sınırlı kalmayabilir; müşteri nezdinde bildirim yükümlülüğü, tazminat ve itibar kaybı riski de doğabilir. Bu yüzden işyerinde net bir onay mekanizması ve “hangi veri, hangi araçta işlenebilir?” çizgisinin yazılı olması kritik hale gelir.
Yapay zekâ çıktısındaki hata ve telif riskinde çalışanın sorumluluğu
Kontrol edilmeden kullanılan çıktıların doğuracağı sonuçlar
ChatGPT çıktısı, “taslak” gibi düşünülmediğinde sorun büyür. Çünkü yapay zekâ metni ikna edici yazabilir ama yanlış bilgi, eksik hüküm, hatalı hesap veya uydurma kaynak üretebilir. Çalışan bu çıktıyı kontrol etmeden müşteriye gönderirse ya da sözleşmeye, rapora, teklif dosyasına koyarsa; işveren açısından maddi zarar, müşteri kaybı ve itibar riski doğar. Çalışan açısından ise disiplin süreci ve tazminat tartışmaları gündeme gelebilir.
Uygulamada kritik nokta, çıktıların “kim tarafından, hangi standartla” doğrulandığıdır. Özellikle hukuk, finans, mühendislik, İK gibi alanlarda ikinci göz kontrolü, onay akışı ve versiyon takibi yoksa risk artar. “Ben sadece araç kullandım” savunması her zaman koruyucu olmaz. Çünkü iş görme borcu kapsamında çalışandan makul özen beklenir. Çıktı kullanılacaksa, en azından rakamlar, isimler, tarih ve hukuki ifadeler satır satır kontrol edilmelidir.
Telif ve lisans ihlali iddiaları ne zaman gündeme gelir?
Telif riski iki senaryoda daha çok ortaya çıkar. Birincisi, yapay zekânın ürettiği metnin veya görselin üçüncü bir esere “fazla benzemesi” ve bunun ticari kullanımda yayımlanmasıdır. İkincisi, özellikle yazılım tarafında, modelin ürettiği kod parçasının bir lisans yükümlülüğü doğurabilecek şekilde başka bir kaynaktan birebir veya çok yakın üretildiği iddiasıdır. Bu durumda işveren; FSEK kapsamında eser sahibinin iddialarıyla, sözleşmesel sorumluluklarla veya platform politikalarıyla karşı karşıya kalabilir.
Risk, “çıktıyı aynen kopyala yapıştır” yaklaşımıyla büyür. En güvenli pratik, telif hassasiyeti olan işlerde çıktıyı doğrudan yayınlamak yerine yeniden yazmak, benzerlik kontrolü yapmak, görsellerde hak sahipliğini netleştirmek ve kod tarafında lisans uyum kontrolünü devreye almaktır.
Olay yaşandıktan sonra yapılacak ilk aksiyonlar ve hasar kontrolü
Hangi verinin paylaşıldığını tespit etme ve erişimi kesme
İlk hedef, olayın kapsamını büyütmeden “ne gitti, ne kadar gitti?” sorusunu netleştirmektir. Bunun için çalışanla hızlı görüşme yapılır ve mümkünse prompt, çıktı, dosya, ekran görüntüsü gibi kayıtlar toplanır. Ardından erişim kesme adımları gelir: ilgili hesabın oturumu kapatılır, parola yenilenir, varsa API anahtarları iptal edilir, cihazlarda senkronizasyon ve otomatik yedekleme kontrol edilir. Kurumsal tarafta e-posta, dosya paylaşım linkleri ve yetkiler gözden geçirilir.
Bu aşamada en sık hata, panikle sohbet geçmişini veya cihaz kayıtlarını silmektir. Delil kaybı, hem hasar tespitini hem de ileride doğabilecek iş hukuku ve KVKK süreçlerini zorlaştırabilir. Doğru yaklaşım, log ve kayıtların korunması, erişimin kontrollü şekilde durdurulması ve olayın zaman çizelgesinin çıkarılmasıdır.
KVKK bildirimi ve sözleşmesel bildirim yükümlülükleri
Kişisel veri söz konusuysa, olay bir “veri ihlali” sayılabilir ve veri sorumlusu olarak işverenin Kurul’a ve ilgili kişilere bildirim yükümlülüğü gündeme gelir. Uygulamada “en kısa süre” ölçütü kritik olduğu için, olay öğrenilir öğrenilmez hukuk ve bilgi güvenliği ekiplerinin devreye girmesi gerekir. Kurul, birçok durumda 72 saat içinde bildirim beklentisini esas alır; bu süre aşılıyorsa gerekçenin ayrıca açıklanması beklenir.
Ayrıca müşteri sözleşmeleri, gizlilik anlaşmaları ve sektör düzenlemeleri “ihlal bildirimi” yükümlülüğü doğurabilir. Bu yüzden sadece KVKK değil, sözleşmesel bildirim takvimi de kontrol edilmelidir. Bildirim kanalı olarak KVKK ihlal bildirimi modülü kullanılır.
Tekrarı önleyen politika ve eğitim güncellemeleri
Olay kapandıktan sonra asıl değerli iş, tekrarını önlemektir. “Yapay zekâ ile çalışma” kuralı net değilse, çalışanlar gri alanlarda karar vermek zorunda kalır. Pratikte işe yarayan önlemler şunlardır: hangi veri türlerinin asla girilmeyeceğini yazılılaştırmak, maskeleme standartları belirlemek, onaylı araç listesini duyurmak, kişisel hesap kullanımını sınırlamak ve periyodik farkındalık eğitimi yapmak. En önemlisi, politika ile teknik önlemleri (erişim yetkisi, DLP, loglama) birlikte tasarlamaktır.
