Şirketlerde Yapay Zekâ Kullanımı: Müşteri Verileri, Ticari Sırlar ve Çalışan Politikası

Son güncelleme: 28.10.2026 · Yazar: Av. Coşkun Genç, İstanbul Bilişim Suçu Avukatı

Sohbet tabanlı yapay zekâ araçları; e-posta taslağı, sözleşme özeti, kod düzeltme veya rapor hazırlama gibi işlerde hızla iş hayatına girdi. Sorun, aracın kendisinden çok ona ne yüklendiğidir. Bir satış temsilcisinin müşteri listesini, bir muhasebecinin bordro tablosunu veya bir mühendisin kaynak kodunu herkese açık bir araca yapıştırması, şirket için hem kişisel veri hem de ticari sır riski doğurur. Bu yazı, şirketlerde yapay zekâ kullanımında veri yükleme, onay ve erişim kurallarını hukuki dayanaklarıyla ele alır. Yapay zekâ üreticisinin ürün sorumluluğu ve üretilen içeriğin telif durumu bu yazının konusu değildir.

Çalışanlar yapay zekâ araçlarına hangi verileri yükleyebilir?

Çalışanlar, kural olarak yalnızca şirketin önceden sınıflandırıp izin verdiği verileri, şirketin onayladığı araçlara yükleyebilir. Kamuya açık bilgiler, anonim hâle getirilmiş metinler ve genel nitelikli taslaklar düşük risklidir. Kimliği belirli veya belirlenebilir bir kişiye ait her bilgi ise kişisel veridir ve araca girildiği anda işleme sayılır.

Pratikte en sağlıklı yöntem, verileri dört sınıfa ayırmaktır: herkese açık, şirket içi, gizli ve çok gizli. Aşağıdaki tablo, yaygın veri türlerinin hangi koşulla yüklenebileceğine ilişkin genel bir çerçeve sunar; her şirket kendi sektörüne göre uyarlamalıdır.

Müşteri verilerini yapay zekâ aracına yüklemek KVKK'ya aykırı mı?

Müşteri verisini yapay zekâ aracına yüklemek kendiliğinden yasak değildir; ancak bir işleme şartına dayanmayan, amaçla sınırlı olmayan veya güvencesiz bir aktarıma dönüşen yükleme 6698 sayılı Kişisel Verilerin Korunması Kanunu'na aykırı olur. Çalışan aracı kullanırken şirket adına hareket ettiği için sorumluluk, veri sorumlusu sıfatıyla şirkete yönelir.

Değerlendirme dört soruyla yapılır. Birincisi, KVKK m. 4'teki genel ilkelerdir: veri hukuka ve dürüstlük kurallarına uygun, belirli ve meşru bir amaç için, o amaçla bağlantılı, sınırlı ve ölçülü biçimde işlenmelidir. Bir müşteri şikâyetine cevap taslağı hazırlamak için müşterinin tüm hesap geçmişini araca yapıştırmak, ölçülülük ilkesiyle bağdaşmaz.

İkincisi, KVKK m. 5'teki işleme şartıdır. Kanun açık rızayı kural olarak arar; sözleşmenin ifası, hukuki yükümlülük veya ilgili kişinin temel haklarına zarar vermemek kaydıyla veri sorumlusunun meşru menfaati gibi hâllerde rıza gerekmez. Üçüncüsü, sağlık, biyometrik veri veya ceza mahkûmiyeti gibi özel nitelikli verilerdir: KVKK m. 6'ya göre bunların işlenmesi yasaktır; yalnız maddede sayılan istisnalarda ve Kurulun belirlediği yeterli önlemler alınarak işlenebilir.

Dördüncüsü, yurt dışına aktarımdır. Yapay zekâ hizmetlerinin önemli bir kısmı sunucularını yurt dışında çalıştırır. 2024'te değiştirilen KVKK m. 9, aktarımı önce m. 5 veya 6'daki bir şarta, ardından sırasıyla yeterlilik kararına, uygun güvencelere (örneğin Kurulun ilan ettiği standart sözleşme veya bağlayıcı şirket kuralları) ya da yalnız arızi aktarımlarda kullanılabilecek istisnalara bağlar. Standart sözleşme imzalanmışsa beş iş günü içinde Kuruma bildirilmelidir; bu bildirimin yapılmaması KVKK m. 18/1-d uyarınca ayrıca idari para cezasına bağlanmıştır. Uygulamanın usulü, 10.07.2024 tarihli Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ile düzenlenmiştir. Çalışanın bireysel hesabıyla yaptığı rastgele bir yükleme, bu güvencelerin hiçbirine dayanmaz.

Kişisel Verileri Koruma Kurumu, 24.11.2025 tarihinde "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)" adlı rehberi yayımlamıştır. Rehber, bu sistemlerle yapılan veri işlemeyi 6698 sayılı Kanun çerçevesinde değerlendirir ve politika hazırlarken başvurulacak resmî kaynaklardan biridir. Kişisel verilerin hukuka aykırı verilmesinin ceza boyutu için TCK 135–136 yazımıza bakılabilir; kısaca TCK m. 136, kişisel verileri hukuka aykırı olarak başkasına veren, yayan veya ele geçiren kişiye iki yıldan dört yıla kadar hapis cezası öngörür.

Ticari sır yapay zekâ aracına girildiğinde hangi sorumluluklar doğar?

Ticari sırrın şirket dışındaki bir araca yetkisiz aktarılması; iş hukuku, ticaret hukuku ve ceza hukuku bakımından ayrı ayrı sonuç doğurabilir. Sırrın hangi aşamada ve kimin eliyle dışarı çıktığı, sorumluluğun türünü belirler.

• TBK m. 396 (sadakat borcu): İşçi, işverenin teslim ettiği teknik sistemleri usulüne uygun kullanmak ve iş sırasında öğrendiği üretim ve iş sırlarını kendi yararına kullanmamak, başkalarına açıklamamakla yükümlüdür. İşverenin haklı menfaati gerektirdiği ölçüde bu borç iş ilişkisi bittikten sonra da sürer.
• 4857 sayılı İş Kanunu m. 25/II-e: İşverenin güvenini kötüye kullanmak veya işverenin meslek sırlarını ortaya atmak gibi doğruluk ve bağlılığa uymayan davranışlar, işverene bildirim süresini beklemeden fesih hakkı verir. Hangi davranışın bu ağırlıkta olduğu somut olaya göre değerlendirilir.
• TTK m. 55/1-d (haksız rekabet): Gizlice veya hukuka aykırı biçimde öğrenilen iş sırlarını değerlendiren veya başkalarına bildiren kişi dürüstlüğe aykırı davranmış olur; m. 55/1-b-3 ayrıca çalışanları sır ifşasına yöneltmeyi haksız rekabet sayar. Bu hâlde tespit, men, tazminat gibi hukuki talepler gündeme gelir.
• TCK m. 239: Sıfatı, görevi veya mesleği gereği vakıf olduğu ticari sır, bankacılık sırrı ya da müşteri sırrı niteliğindeki bilgi veya belgeleri yetkisiz kişilere veren veya ifşa eden kişi, şikâyet üzerine bir yıldan üç yıla kadar hapis ve beş bin güne kadar adlî para cezasıyla cezalandırılır. Sırrın Türkiye'de oturmayan bir yabancıya açıklanmasında ceza üçte bir artırılır ve şikâyet aranmaz. Ceza sorumluluğu kasta bağlıdır; dikkatsizlikle yapılan bir yükleme ile bilerek sızdırma aynı değerlendirilmez.

Yargıtay önünde, yapay zekâ olmasa da, çalışanın işyerinde edindiği müşteri bilgilerini yeni işyerinde kullanması meselesi tartışılmıştır. Bölge adliye mahkemesi, sır saklama yükümlülüğünün kanundan doğduğunu kabul ederek cezai şartı (indirimle) hüküm altına almış; Yargıtay 11. Hukuk Dairesi bu kararı onamıştır:

"…işverenin iş sözleşmesinin sona ermesinden sonra da iş yerine sır niteliğindeki bilgilerin ifşa edilmemesinde veya başkaları tarafından izinsiz kullanılmamasında haklı menfaati bulunduğu, bunun ihlali halinde ceza şart kararlaştırılmasında 6098 sayılı Kanun'un 20-23 üncü madde hükümlerine aykırılık bulunmadığı…"

Yargıtay 11. Hukuk Dairesi, E. 2023/390, K. 2024/3936, T. 15.05.2024 (alıntı, Yargıtay'ca onanan bölge adliye mahkemesi gerekçesinden)

Bu karar, gizlilik ve cezai şart hükümlerinin iş sözleşmesine açıkça yazılmasının pratik değerini gösterir. Yapay zekâ politikası, bu hükümlerin "hangi araca hangi bilgi girilemez" sorusuna nasıl uygulanacağını somutlaştırmalıdır.

Şirket içi yapay zekâ kullanım politikası nasıl hazırlanır?

Yapay zekâ kullanım politikası, mevcut veri envanterine ve sözleşmelere dayanan, çalışana tebliğ edilmiş ve denetlenen yazılı bir düzenleme olarak hazırlanır. Tek sayfalık bir yasak listesi yerine, aşağıdaki adımları izleyen bir süreç önerilir:

1. Mevcut kullanımı tespit edin: Hangi birimlerin hangi araçları, hangi hesaplarla ve hangi işler için kullandığını anket ve teknik kayıtlarla belirleyin.
2. Verileri sınıflandırın: Herkese açık, şirket içi, gizli ve çok gizli sınıflarını; kişisel veri, özel nitelikli veri ve ticari sır ayrımıyla birlikte tanımlayın.
3. Onaylı araç listesi oluşturun: Sağlayıcı sözleşmesini; girilen verinin modeli eğitmekte kullanılıp kullanılmadığı, saklama süresi, sunucu konumu ve alt işleyenler bakımından inceleyin.
4. Aktarım dayanağını kurun: Kişisel veri işlenecekse KVKK m. 5/6 şartını ve yurt dışı aktarım için m. 9'daki güvenceyi belirleyin; standart sözleşme imzalandıysa beş iş günlük bildirim süresini takip edin.
5. Onay ve erişim kurallarını yazın: Kimin hangi araca erişebileceğini, hangi veri sınıfı için kimden onay alınacağını rol bazında düzenleyin.
6. Aydınlatma ve tebliğ yapın: Politikayı çalışanlara imza karşılığı veya kayıtlı elektronik yolla tebliğ edin; kullanım kayıtlarının tutulacağını açıkça bildirin.
7. Eğitim verin ve belgeleyin: Örnek senaryolarla (müşteri e-postası, bordro, kaynak kod) eğitim yapın, katılımı kayıt altına alın.
8. Denetleyin ve güncelleyin: KVKK m. 12/3 uyarınca periyodik iç denetim yapın; yeni araç veya mevzuat değişikliğinde politikayı güncelleyin.

Avrupa Birliği'nde de faaliyet gösteren şirketler, 1 Ağustos 2024'te yürürlüğe giren ve aşamalı olarak uygulanan (AB) 2024/1689 sayılı Yapay Zekâ Tüzüğü'nü ayrıca dikkate almalıdır. Tüzüğün çalışanların yapay zekâ okuryazarlığına ilişkin 4. maddesi 2 Şubat 2025'ten beri uygulanmaktadır. Yalnız Türkiye'de faaliyet gösteren şirketler için belirleyici çerçeve KVKK ve iç hukuktaki sır hükümleridir.

Yapay zekâ araçlarında onay ve erişim kuralları nasıl kurulmalı?

Onay ve erişim kuralları, "görevi gerektirmeyen kişi veriye ve araca erişemez" ilkesi üzerine kurulmalıdır. KVKK m. 12, veri sorumlusuna hukuka aykırı işlemeyi ve erişimi önlemek için gerekli her türlü teknik ve idari tedbiri alma borcu yükler; veri işleyenle birlikte müşterek sorumluluğu ve şirket içi denetim yükümlülüğünü de düzenler. Bu borcun ihlali, KVKK m. 18/1-b uyarınca idari para cezası yaptırımına bağlanmıştır.

Kişisel Verileri Koruma Kurulu, bir çalışanın yetkisini aşarak müşteri kayıtlarını görüntüleyip paylaştığı bir olayda (yapay zekâ ile ilgili olmayan bir şikâyette) erişim sınırlaması ve eğitim eksikliğini doğrudan m. 12 ihlali saymıştır:

"…veri sorumlusu tarafından kişisel verilere erişim ile ilgili sınırlama getirilmemesi ve çalışanlara verilen eğitimin yetersiz olması sebebiyle Kanunun 12 nci maddesinde yer alan veri güvenliğinin sağlanmasına yönelik gerekli idari ve teknik tedbirlerin alınmadığı kanaatine varıldığından…"

Kişisel Verileri Koruma Kurulu, K. 2020/124, T. 13.02.2020

Aynı mantık yapay zekâ araçlarına da taşınabilir: Herkesin her araca her veriyi yükleyebildiği bir düzende, tek bir çalışanın hatası şirketin tedbir eksikliği olarak değerlendirilebilir. Bu nedenle erişim matrisi şu unsurları içermelidir:

• Kurumsal hesap zorunluluğu: Şirket işleri için yalnız şirketin yönettiği, tek oturum açma ile bağlanan hesaplar kullanılmalı; kişisel hesaplar yasaklanmalıdır.
• Rol bazlı yetki: Gizli veri sınıfı yalnız belirli rollerde ve belirli araçlarda açılmalı; çok gizli sınıf için ayrıca yönetici veya veri koruma sorumlusu onayı aranmalıdır.
• Teknik engeller: Veri sızıntısı önleme yazılımları, onaysız alan adlarına erişim kısıtları ve dosya yükleme sınırlamaları kurulmalıdır.
• Kayıt ve çıkış süreci: Kullanım kayıtları belirli süre saklanmalı; işten ayrılan çalışanın erişimi aynı gün kapatılmalıdır.

Çalışanın yapay zekâ kullanımı işveren tarafından izlenebilir mi?

İşveren, şirket araçlarındaki yapay zekâ kullanımını izleyebilir; ancak çalışanın bu izlemeden önceden ve açıkça haberdar edilmiş olması şarttır. Gizli izleme ile elde edilen kayıtlar, ihlali gösterse bile fesih gerekçesi olarak kullanılamayabilir. Yargıtay 22. Hukuk Dairesi, işçinin bilgisayarına haberi olmadan klavye kayıt programı kurulan bir olayda bu ilkeyi şöyle ifade etmiştir:

"İşverenin yönetim hakkının bir sonucu olarak işçiyi elektronik ortamda izlemesi ve takip etmesi her zaman mümkündür. Ancak bunun için işçinin bu izleme hakkında bilgilendirilmiş olması şarttır. İşçinin izlendiğine dair bilgilendirilmemesi veya gizlice izlenmesi, bu izleme neticesinde elde edilen veriler, iş sözleşmesinin işçi tarafından ihlal edildiğini açıkça ortaya koysa dahi, hukuka aykırı olarak kabul edilmelidir."

Yargıtay 22. Hukuk Dairesi, E. 2017/21857, K. 2019/9884, T. 07.05.2019

Daire, bu gerekçeyle feshi haklı sayan ilk derece kararını bozmuştur. Dolayısıyla politikada; hangi araçların kayıt altına alındığı, kayıtların kim tarafından, hangi amaçla ve ne süreyle tutulduğu açıkça yazılmalı ve çalışana tebliğ edilmelidir. İzleme, amaçla sınırlı ve ölçülü olmalı; özel yazışmaları ayrım gözetmeden toplayan yöntemlerden kaçınılmalıdır.

Veri yanlışlıkla yapay zekâ aracına yüklenirse ne yapılmalı?

Yanlış yükleme fark edildiğinde önce kaydın silinmesi ve kapsamın tespiti, ardından veri ihlali bildirimi gerekip gerekmediğinin değerlendirilmesi gerekir. KVKK m. 12/5'e göre işlenen kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Bildirim kararı, verinin üçüncü bir kişinin erişimine açılıp açılmadığına ve sağlayıcının saklama koşullarına göre verilir; bu değerlendirme belgelenmelidir.

İç inceleme ve olası disiplin veya hukuk süreci için aşağıdaki belgelerin hazır tutulması önerilir:

• ✓Çalışana tebliğ edilmiş yapay zekâ kullanım politikası ve imza veya onay kaydı
• ✓İş sözleşmesindeki gizlilik, sır saklama ve varsa cezai şart hükümleri
• ✓Onaylı araç listesi ve sağlayıcıyla yapılan sözleşme, veri işleme eki
• ✓Yurt dışı aktarım için standart sözleşme ve Kuruma bildirim belgesi
• ✓Eğitim katılım kayıtları ve eğitim içeriği
• ✓Olaya ilişkin kullanım ve erişim kayıtları, zaman damgalarıyla
• ✓Silme talebi ve sağlayıcının cevabı, ihlal değerlendirme tutanağı
• ✓Çalışanın yazılı savunması

Çalışana uygulanacak yaptırım, eylemin ağırlığıyla orantılı olmalıdır. İyi niyetli ve ilk kez yapılan bir hata ile müşteri listesinin bilerek rakibe aktarılması aynı sonuca bağlanmamalıdır. Kurumsal e-posta hesaplarının ele geçirilmesiyle yapılan dolandırıcılıklar gibi dış tehditler için IBAN değiştirme dolandırıcılığı yazımız ayrıca incelenebilir.

Şirketlerde sık yapılan hatalar ve istisnalar nelerdir?

En sık hata, yapay zekâyı tamamen yasaklayıp gerçek kullanımı görmezden gelmektir; bu durumda çalışanlar kişisel hesaplara yönelir ve şirket ne olduğunu bilmez hâle gelir. Uygulamada karşılaşılan diğer hatalar şunlardır:

• "Anonim" sanılan veri: İsmi silmek yetmez; sipariş numarası, unvan ve tarih bir araya gelince kişi belirlenebilir kalabilir.
• Sözleşmesiz kurumsal kullanım: Ücretli abonelik, kendiliğinden veri işleme ve aktarım güvencesi anlamına gelmez; sözleşme koşulları ayrıca incelenmelidir.
• Açık rızaya aşırı güvenmek: Her işleme için rıza toplamak hem işlevsizdir hem de rızanın geri alınmasıyla süreç durabilir; doğru şartın seçilmesi gerekir.
• Tebliğsiz politika: Çalışana bildirilmemiş kural, fesih veya disiplin sürecinde dayanak olmakta zorlanır.
• Çıktıyı denetlememek: Araç tarafından üretilen müşteri yazışması veya rapor, insan kontrolünden geçmeden gönderilmemelidir; yanlış veya başka bir müşteriye ait bilgi içerebilir.

İstisnalar da vardır: Verinin tamamen kamuya açık olması, gerçek anlamda anonimleştirilmiş olması veya aracın şirket bünyesindeki sunucularda dış aktarım olmadan çalışması hâlinde risk profili belirgin şekilde değişir. Ancak bu durumda dahi KVKK m. 4'teki ilkeler ve m. 12'deki güvenlik borcu devam eder. Sahte ses ve görüntüye dayalı dolandırıcılık riskleri için deepfake yazımıza bakılabilir.

İstanbul Kişisel Veri Avukatı ile Yapay Zekâ Politikası Hazırlığı

Şirketlerde yapay zekâ kullanımında dosyanın seyrini çoğu zaman üç nokta belirler: yurt dışı aktarımın KVKK m. 9'daki bir güvenceye dayanıp dayanmadığı, politikanın çalışana usulüne uygun tebliğ edilip edilmediği ve izlemenin önceden bildirilip bildirilmediği. Av. Coşkun Genç Hukuk Bürosu, İstanbul'da şirketlere yapay zekâ kullanım politikası ve veri sınıflandırması hazırlanması, sağlayıcı sözleşmelerinin incelenmesi, veri ihlali değerlendirmesi ile ticari sır ifşası nedeniyle şikâyet ve dava süreçlerinde hukuki destek verir. İstanbul kişisel veri avukatı olarak yürütülen çalışmada amaç, kuralların işin akışını durdurmadan uygulanabilir olmasıdır.

İstanbul bilişim hukuku avukatı ile ön değerlendirme yapmak isteyen şirketler; mevcut KVKK envanteri, kullanılan yapay zekâ araçlarının listesi ve sözleşmeleri, iş sözleşmesindeki gizlilik hükümleri ve varsa olaya ilişkin kayıtları hazırlayabilir. Büronun iletişim bilgilerine iletişim sayfasından ulaşılabilir; çalışma alanlarına ilişkin bilgi bilişim suçları sayfasında yer almaktadır.

Kaynaklar

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu, m. 4, 5, 6, 9, 12, 18 – mevzuat.gov.tr
2. Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (RG 10.07.2024) – mevzuat.gov.tr
3. 6098 sayılı Türk Borçlar Kanunu, m. 396 – mevzuat.gov.tr
4. 6102 sayılı Türk Ticaret Kanunu, m. 55 – mevzuat.gov.tr
5. 4857 sayılı İş Kanunu, m. 25/II-e – mevzuat.gov.tr
6. 5237 sayılı Türk Ceza Kanunu, m. 136, 239 – mevzuat.gov.tr
7. Kişisel Verileri Koruma Kurumu, Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda), 24.11.2025 – kvkk.gov.tr
8. Kişisel Verileri Koruma Kurulu, K. 2020/124, T. 13.02.2020
9. Yargıtay 11. Hukuk Dairesi, E. 2023/390, K. 2024/3936, T. 15.05.2024
10. Yargıtay 22. Hukuk Dairesi, E. 2017/21857, K. 2019/9884, T. 07.05.2019
11. Avrupa Parlamentosu ve Konseyinin (AB) 2024/1689 sayılı Yapay Zekâ Tüzüğü – eur-lex.europa.eu