Çalışan Müşteri veya Personel Verisini Üretken Yapay Zekâya Yüklerse Kim Sorumlu Olur?

Çalışanın müşteri veya personel verisini yetkisiz biçimde üretken yapay zekâya yüklemesi, işverenin KVKK kapsamındaki yükümlülüklerini kendiliğinden ortadan kaldırmaz. İşverenin veri sorumlusu veya veri işleyen sıfatı, aldığı güvenlik önlemleri ve olayın gerçekleşme biçimi incelenir. Çalışanın iş sözleşmesinden doğan sorumluluğu ile yapay zekâ sağlayıcısının veri işleme faaliyetlerinden kaynaklanan sorumluluğu ayrıca değerlendirilir.

Bu nedenle “veriyi çalışan yükledi, bütün sorumluluk ondadır” veya “şirket verisiyse yalnız işveren sorumludur” şeklindeki cevaplar yeterli değildir. Yapay zekâya veri yükleme olayında verinin niteliği, yükleme yetkisi, kullanım amacı, sağlayıcının rolü ve yurt dışı aktarım birlikte ele alınmalıdır.

Yapay zekâya veri yükleme ne zaman KVKK kapsamına girer?

Müşteri adı, telefon numarası, gerçek kişiyle ilişkilendirilebilen sipariş geçmişi; çalışanın ücret bilgisi, performans kaydı veya sağlık raporu kişisel veri içerebilir. Bunların bir sohbet alanına yapıştırılması, dosya olarak yüklenmesi veya bağlantılı bir uygulama üzerinden erişilebilir hâle getirilmesi veri işleme niteliği taşıyabilir.

6698 sayılı Kişisel Verilerin Korunması Kanunu m.3/1-e, veri işlemeyi yalnız saklama veya kaydetmeyle sınırlamaz; açıklama, aktarım ve elde edilebilir hâle getirme de bu kapsamdadır. Dış hizmete iletilen verinin model eğitiminde kullanılmaması, aktarımın ve diğer işlemlerin değerlendirilmesini gereksiz kılmaz.

Her şirket bilgisi kişisel veri değildir. Gerçek kişiyle bağlantısı bulunmayan bir tüzel kişi bilgisi, salt bu nedenle KVKK kapsamında olmayabilir. Buna karşılık aynı belgede müşteri temsilcisinin iletişim bilgileri bulunabilir. Kişisel veri içermeyen içerikler de ticari sır veya sözleşmesel gizlilik bakımından korunabilir.

İsimleri silmek anonimleştirme için yeterli mi?

Her zaman yeterli değildir. İsim kaldırılmış olsa bile görev, tarih, konum, işlem geçmişi veya dosya içeriği kişiyi belirlenebilir kılabilir. KVKK m.3/1-b’deki anonimleştirme, başka verilerle eşleştirme dâhil kişiye ilişkin bağın kurulamamasını gerektirir. Kodlama ve basit maskeleme, gerçek anonimleştirmeyle karıştırılmamalıdır.

İşveren, çalışan ve yapay zekâ sağlayıcısı nasıl ayrılır?

KVKK m.3/1-ğ ve ı uyarınca belirleyici unsur, veri işleme amaçlarını ve vasıtalarını kimin belirlediğidir. Örneğin dış kaynak hizmeti sunan bir şirket, müşterisinin talimatıyla işlediği veriler bakımından veri işleyen olabilir. Aynı şirket, kendi personel verileri bakımından veri sorumlusu olabilir.

Çalışanın şirket içindeki görevi kapsamında veri işlemesi, onu sırf bu işlem nedeniyle şirketten bağımsız bir veri işleyen yapmaz. Çalışanın işten bağımsız kendi amaçlarıyla hareket ettiği durumlarda ise veri sorumlusu sıfatı ayrıca tartışılabilir.

İşveren “çalışan izinsiz yaptı” diyerek sorumluluktan kurtulabilir mi?

Yetkisiz kullanım, işverenin veri güvenliği yükümlülüğünü otomatik olarak kaldırmaz. KVKK m.12/1 ve 3, veri sorumlusuna uygun güvenlik düzeyini sağlayacak teknik ve idari tedbirleri alma, gerekli denetimleri yapma veya yaptırma yükümlülüğü getirir. İşverenin bilgisi dışında gerçekleşen bir yükleme de bu yükümlülükler yönünden incelenir.

Ancak bir olayın yaşanması, her durumda aynı yaptırımın uygulanacağı anlamına gelmez. Hangi tedbirlerin gerekli olduğu, bunların gerçekten uygulanıp uygulanmadığı ve olayın özellikleri önem taşır. İncelemede özellikle şu belgeler anlamlı olabilir:

• Onaylı araçları ve yüklenebilecek veri türlerini belirleyen kullanım politikası.
• Çalışana verilen talimatlar ve eğitim kayıtları.
• Göreve uygun erişim yetkileri ve veri dışa aktarım kontrolleri.
• Sağlayıcıyla yapılan sözleşmeler ve veri işleme koşulları.
• Risk değerlendirmesi, denetim kayıtları ve olay müdahale planı.

Sadece iş sözleşmesine “bütün veri ihlallerinden çalışan sorumludur” yazılması, veri sorumlusunun kanuni yükümlülüklerini ilgili kişilere veya Kurula karşı ortadan kaldırmaz. Buna karşılık açık talimata rağmen bilinçli yükleme yapılması, çalışanın kusuru değerlendirilirken önem taşıyabilir.

KVKK’nın İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı belgesi, kurumsal bilgi, onay veya kontrol dışında kullanımı “gölge yapay zekâ” olarak ele alır. Belge; açık kullanım sınırları, erişim kontrolü ve çalışan farkındalığına dikkat çeker. Bu açıklamalar, tek başına yeni bir ceza veya otomatik sorumluluk kuralı oluşturmaz.

Çalışanın kişisel sorumluluğu hangi hâllerde doğabilir?

Türk Borçlar Kanunu m.396, işçinin özen ve sadakat borcunu; m.399 ise dürüstlük kurallarının gerektirdiği ölçüde düzenleme ve talimatlara uyma borcunu düzenler. İşçinin işi sırasında öğrendiği korunması gereken bilgileri yetkisiz paylaşması bu borçlara aykırılık oluşturabilir.

TBK m.400 uyarınca işçi, işverene kusuruyla verdiği zarardan sorumludur. Zararın varlığı, yüklemeyle bağlantısı ve çalışanın kusuru ortaya konulmalıdır. İşin niteliği, eğitim gereksinimi ve işçinin bilinen veya bilinmesi gereken yetenekleri de değerlendirmeye girer. İşverenin yönlendirmesi, eksik eğitim veya yetersiz organizasyon göz ardı edilemez.

KVKK para cezası doğrudan çalışana yansıtılabilir mi?

KVKK m.18/2’deki yaptırım muhatabı ile iş ilişkisi içindeki zarar sorumluluğu ayrı konulardır. Özel hukuk tüzel kişisi olan veri sorumlusu şirkete ceza uygulanması, ceza tutarının kendiliğinden çalışanın borcu olması anlamına gelmez. Çalışana yöneltilecek talepte yaptırımın niteliği, kusur, zarar bağlantısı ve uygulanacak hükümler ayrıca incelenir.

Müşteri veya personele verilen zarar bakımından TBK m.66’daki adam çalıştıranın sorumluluğu da gündeme gelebilir. Bu hüküm, gerekli özenin ve işletme düzeninin elverişliliğinin ispatına ilişkin koşullar içerir. Ödenen tazminat için çalışana rücu, çalışanın bizzat sorumlu olduğu ölçüyle sınırlıdır.

Ücretten tek taraflı kesinti de ayrı bir meseledir. TBK m.407/2 uyarınca işveren, işçiden olan alacağını ücret borcuyla işçinin rızası olmadan takas edemez. Kasten verilen ve yargı kararıyla sabit zarara ilişkin istisna, ücretin haczedilebilir kısmıyla sınırlıdır.

Yapay zekâ sağlayıcısı her zaman veri işleyen midir?

Hayır. Sağlayıcının şirketin talimatıyla, onun adına işlem yaptığı faaliyetlerde veri işleyen sıfatı gündeme gelebilir. Verileri kendi belirlediği amaçlarla kullanması hâlinde ise bu faaliyet bakımından veri sorumlusu olarak değerlendirilmesi mümkün olabilir.

KVKK’nın Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, rollerin sözleşmedeki adlandırmadan çok fiilî karar ve kontrol yetkisine göre belirlenmesi gerektiğini açıklar. Aynı sağlayıcının farklı faaliyetlerdeki rolleri de farklı olabilir.

KVKK m.12/2’deki müşterek sorumluluk, veri sorumlusunun kendi adına veri işlettirdiği kişilerle veri güvenliği tedbirleri bakımındandır. Bu hükümden, her sağlayıcının her yüklemede tüm sonuçlardan aynı kapsamda sorumlu olduğu çıkarılamaz. Yetkisiz kişisel hesap kullanımında da gerçek ilişki araştırılmalıdır.

İşverenin izni veya kurumsal hesap yüklemeyi hukuka uygun yapar mı?

İşverenin onayı, çalışan açısından yetki sorununu çözebilir; fakat kişisel veri işlemenin ve aktarımın hukuki dayanağının yerine geçmez. Kurumsal hesap, ücretli abonelik veya “eğitim için kullanılmaz” taahhüdü de tek başına KVKK uygunluğu sağlamaz.

Yüklemeden önce şu sorular cevaplanmalıdır:

1. Veri gerekli mi? Görev, kişisel veri içermeyen bir örnekle yapılabiliyorsa gerçek kişi verisinin yüklenmesi neden gerekli?
2. Hukuki sebep var mı? KVKK m.5 veya özel nitelikli verilerde m.6 kapsamında hangi işleme şartına dayanılıyor?
3. Aktarım uygun mu? Yurt içi aktarım için m.8, yurt dışı aktarım için m.9 koşulları karşılanıyor mu?
4. Güvenlik ve aydınlatma tamam mı? İşlemenin amacı, alıcıları, saklama koşulları ve erişim sınırları değerlendirilmiş mi?

Bir işleme şartının bulunması, KVKK m.4’teki amaçla bağlantılılık ve ölçülülük ilkelerini ortadan kaldırmaz. Müşteriyle sözleşme yapılmış olması, bütün müşteri dosyasının dış araca yüklenmesini kendiliğinden gerekli kılmaz. Personel verilerinde TBK m.419’daki kullanım sınırı da gözetilir.

Sağlık raporu ve diğer özel nitelikli veriler

Sağlık, sendika üyeliği, biyometrik veri ve ceza mahkûmiyeti gibi kategoriler KVKK m.6’da özel nitelikli kişisel veri olarak düzenlenir. Güncel m.6/3 bazı durumlarda açık rıza dışındaki işleme şartlarına da izin verir; m.6/4 yeterli önlemleri ayrıca arar.

Örneğin iş sağlığı veya istihdam yükümlülüğü nedeniyle bir raporun işlenebilmesi, raporun bütünüyle harici yapay zekâya aktarılmasını otomatik olarak haklı kılmaz. Veriyi elde tutmanın dayanağı ile dış hizmete aktarmanın gerekliliği ayrı değerlendirilir.

Yurt dışındaki yapay zekâ hizmetine yükleme nasıl değerlendirilir?

Verinin yurt dışındaki veri sorumlusu veya veri işleyene iletilmesi ya da erişilebilir hâle getirilmesi yurt dışı aktarım sayılabilir. Yurt Dışına Aktarım Yönetmeliği m.4/1-e bu tanımı içerir. Bu nedenle yalnız sunucunun bulunduğu ülkeye değil, yurt dışından erişim ve sonraki aktarımlara da bakılır.

Güncel KVKK m.9, işleme şartıyla birlikte yeterlilik kararı; bunun bulunmaması hâlinde kanundaki koşullarla uygun güvenceler; bunlar da sağlanamıyorsa arızi aktarımlara özgü istisnalar üzerinden bir sistem kurar. Uygun güvenceler arasında standart sözleşmeler ve Kurulca onaylanan bağlayıcı şirket kuralları bulunur.

Sağlayıcının genel kullanım şartları, Kurulun ilan ettiği standart sözleşmenin yerine kendiliğinden geçmez. KVKK m.9/5’e göre standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerekir.

Yönetmelik m.16/1 uyarınca arızi aktarım; düzenli olmayan, tek veya birkaç kez gerçekleşen, süreklilik taşımayan ve olağan faaliyet akışının dışında kalan aktarımdır. Sürekli müşteri veya personel dosyası yüklenen bir iş akışı, sırf rıza alınarak arızi istisna kapsamında gösterilemez. Tek yükleme yapılmış olması da diğer hukuki şartların eksikliğini gidermez.

Yetkisiz yükleme tespit edilince ne yapılmalıdır?

Önce yeni yüklemeler durdurulmalı, olayın kapsamı belirlenmeli ve ilgili kayıtlar korunmalıdır. Çalışanın iş sözleşmesiyle ilgili değerlendirme, veri ihlali müdahalesinin tamamlanmasını bekleyen tek süreç hâline getirilmemelidir.

1. Yüklenen içeriği belirleyin: Dosya, komut, ekler, kişi grupları, yükleme zamanı ve kullanılan hesap türü.
2. Alıcıları ve veri akışını inceleyin: Sağlayıcı, entegrasyonlar, erişim yetkileri, saklama ve model kullanım koşulları.
3. Yayılmayı sınırlandırın: Gerekli erişim kısıtlamalarını uygulayın; sağlayıcıdan silme veya işleme kısıtlama imkânlarını ve yazılı teyidi araştırın.
4. Bildirim yükümlülüğünü değerlendirin: Veri sorumlusu ve veri işleyenin rollerini belirleyerek gerekli bildirimleri yürütün.
5. Olayı ve önlemleri kaydedin: Tespit, etki, alınan tedbir ve değerlendirme gerekçelerini belgeleyin.

Sohbetin kullanıcı ekranından silinmesi, verinin sağlayıcının bütün sistemlerinden veya varsa eğitim süreçlerinden çıkarıldığına dair yeterli kanıt değildir. İnceleme sırasında çalışanların özel hesaplarına sınırsız erişim de varsayılmamalı; kayıt incelemesi hukuka uygun, amaçla sınırlı ve ölçülü yürütülmelidir.

KVKK’ya 72 saat içinde bildirim gerekir mi?

KVKK m.12/5, işlenen verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde bildirim öngörür. Her iç politika ihlali otomatik olarak bu bildirim şartını oluşturmaz; ancak kişisel verinin yetkisiz biçimde dış sağlayıcıya iletilmesi, şartların gerçekleşip gerçekleşmediği yönünden gecikmeden incelenmelidir. Verinin internette herkesçe görülebilir olması şart değildir.

Kurulun 24.01.2019 tarihli ve 2019/10 sayılı kararına ilişkin resmî duyuruya göre, bildirim gereken ihlal öğrenildiğinde Kurula gecikmeksizin ve en geç 72 saat içinde bildirilir. Etkilenen kişiler belirlendikten sonra bu kişilere makul olan en kısa sürede bildirim yapılır; iki yükümlülüğün süresi aynı biçimde düzenlenmemiştir.

Bilgiler tek seferde tamamlanamıyorsa aşamalı bildirim yapılabilir. Veri işleyen, ihlali gecikmeden veri sorumlusuna bildirir. Çalışanın savunmasını veya disiplin incelemesinin sonucunu beklemek, Kurula bildirim süresini kendiliğinden durdurmaz.

Çalışan bu nedenle işten çıkarılabilir mi?

Her yükleme otomatik olarak haklı fesih sebebi değildir. İş Kanunu m.25/II-e’deki güveni kötüye kullanma veya doğruluk ve bağlılığa aykırı davranışlar, olayın ağırlığına göre gündeme gelebilir. Daha hafif davranışlarda iş güvencesi kapsamında geçerli neden veya başka bir disiplin tedbiri değerlendirilir.

Verinin hassasiyeti, yüklemenin amacı, kast veya ihmal, açık talimat, eğitim, tekrar ve olayın etkisi birlikte incelenmelidir. İşverenin onayıyla yapılan kullanım ile açık yasağın bilinçli biçimde aşılması aynı şekilde değerlendirilemez.

İş güvencesi kapsamındaki davranışa dayalı geçerli fesihte m.19’daki yazılı ve açık gerekçe ile savunma koşulları gözetilir; m.25/II şartlarına uygun fesih hakkına ilişkin istisna korunur. Haklı fesihte m.26’daki öğrenmeden itibaren altı iş günü ve kural olarak fiilden itibaren bir yıllık süre de ayrıca incelenmelidir. İşçinin maddi çıkar sağlaması hâlinde bir yıllık süre uygulanmaz.

Personel verileriyle üretilen bir puanın feshe dayanak yapılması ise farklı bir sorundur. Bu ayrım, yapay zekâ performans puanına dayalı fesih kapsamında ayrıca ele alınabilir.

Üç varsayımsal örnekte sorumluluk nasıl değişir?

• Açık yasağa rağmen müşteri listesinin kişisel hesaba yüklenmesi: Talimat ve eğitim kayıtları, çalışanın kusurunu destekleyebilir. İşverenin aldığı güvenlik önlemleri ve bildirim yükümlülüğü yine incelenir.
• Yöneticinin “dosyayı yapay zekâyla özetle” talimatı vermesi: Kurumsal yönlendirme, olayın yalnız çalışanın kişisel tercihi olarak değerlendirilmesini güçleştirir. İşleme ve aktarım dayanağının bulunup bulunmadığı ayrıca araştırılır.
• Gerçek kişilerle ilişkilendirilemeyen örnek metnin onaylı araçta kullanılması: Gerçek anonimleştirme sağlanmışsa kişisel veri değerlendirmesi farklılaşır. Ticari sır, fikrî hak ve sözleşmesel gizlilik kontrolü yine gerekebilir.

Bu örnekler, tek başına yaptırım sonucu vermez. Sorumluluk değerlendirmesi, yüklemenin kim tarafından yapıldığını belirlemenin yanında kurumun kararları ve veri akışının nasıl yönetildiğini de ortaya koymalıdır.

Verisi yüklenen müşteri veya personel hangi haklara sahiptir?

İlgili kişi, KVKK m.11 kapsamında verisinin işlenip işlenmediğini, işleme amacını ve yurt içi veya yurt dışındaki alıcıları öğrenmeyi; şartları varsa silme veya yok etme işlemlerini talep edebilir. Kanuna aykırı işleme nedeniyle zarar görmüşse zararın giderilmesini isteme hakkı da vardır.

KVKK m.13 uyarınca veri sorumlusuna yapılan başvuru en geç otuz gün içinde sonuçlandırılır. Başvurunun reddi, yetersiz cevap veya cevapsızlık hâlinde m.14’teki ön başvuru ve şikâyet süreleri gözetilir: cevabın öğrenilmesinden itibaren otuz gün ve her hâlde başvurudan itibaren altmış gün.

Hukuka aykırı biçimde kişisel veriyi başkasına verme, yayma veya ele geçirme yönünden Türk Ceza Kanunu m.136 da gündeme gelebilir. Bununla birlikte her KVKK aykırılığı otomatik olarak suç oluşturmaz; fiil, hukuka aykırılık ve kast dâhil suçun unsurları ayrı incelenir.

Sık sorulan sorular

Çalışanın kişisel hesabını kullanması şirketi sorumluluktan çıkarır mı?

Hayır. Hesabın kime ait olduğu önemli bir olgudur; ancak verinin hangi iş için kullanıldığı, yetki ve talimatlar ile şirketin güvenlik yükümlülükleri de değerlendirilir.

Yerel çalışan bir yapay zekâ sistemi kullanılırsa sorun çözülür mü?

Tamamen yerel kullanım, dış aktarım riskini azaltabilir. Yine de kişisel veri işleme şartları, amaç, ölçülülük, erişim ve saklama yükümlülükleri devam eder. Uzaktan destek veya bulut bağlantısının gerçekten bulunup bulunmadığı da kontrol edilmelidir.

Yükleme yanlışlıkla yapıldıysa sorumluluk doğmaz mı?

Yanlışlıkla yapılması kast değerlendirmesini etkileyebilir; fakat veri güvenliği, bildirim ve kusura dayalı zarar sorumluluğu incelemesini ortadan kaldırmaz. Olayın gecikmeden bildirilmesi ve kapsamının doğru açıklanması müdahaleyi kolaylaştırır.

Bu makale genel bilgilendirme amacıyla hazırlanmış olup hukuki danışmanlık niteliği taşımaz. Somut hukuki sorunlarınız için bir avukata danışmanız gerekir.

Yazar: Av Batuhan Can ZANBAK   Yayınlanma Tarihi: 13.10.2026   Son Güncellenme Tarihi: 13.10.2026