Çalışanların İşyerinde Gölge Yapay Zeka (Shadow AI) Kullanması: Bilinmeyen KVKK Riskleri
Kişisel Verileri Koruma Kurumu’nun bu yıl yayımladığı “İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı” başlıklı kılavuz, şirketlerin henüz gündemine almadığı bir riski isimlendirdi: Gölge Yapay Zeka (Shadow AI). Yani çalışanların kurumun bilgisi, onayı veya denetimi dışında ChatGPT benzeri araçları iş süreçlerine dahil etmesi.
Kurum Neden Kılavuz Yayınladı?
Kurul, bu davranışın kötü niyetli bir ihlal değil, çoğunlukla kurumsal politika eksikliğinin doğal bir sonucu olduğunu, bu bağlamda sorumluluğun yalnızca çalışanda değil, kurum yönetiminde de olduğunu belirtiyor. Öyle ki yapay zeka araçları; ücretsiz ve/veya oldukça düşük bir ücret verilerek ulaşılıyor olması, teknik bilgi gerektirmemesi ve çoğu şirketin İK politikasının bu konuyu hiç kapsamaması nedeniyle çalışanların aktif olarak kullanımında. Üstelik bu durum yalnızca Türkiye’de değil, tüm dünyada geçerli bir hal almış durumda. Uluslararası araştırmalar gösteriyor ki çalışanların büyük kısmı üretken yapay zeka araçlarına iş verisi yapıştırıyor, bu işlemin önemli bir bölümü çalışanların kişisel hesapları üzerinden gerçekleşiyor ve böylelikle Gölge yapay zeka üzerinden yaşanan veri ihlalleri, ortalama bir ihlale kıyasla belirgin şekilde daha büyük ve maliyetli oluyor.
Riskler ve İK’ya Özgü Senaryolar
Kurum kılavuzda riski tek bir “veri sızıntısı” olarak değerlendirmeyip, gölge yapay zeka kullanımının; kişisel veri güvenliği, ticari sırların dışarı çıkması, denetlenebilirlik kaybı, ayrımcılık riski ve itibar zedelenmesi gibi çok sayıda veri sızıntısına sebebiyet verdiğini belirtiyor.
Gerçekten de günlük pratikte bunun çok sayıda somut karşılığı var. Örneğin;
- Aday CV’lerinin veya mülakat notlarının (isim, iletişim bilgisi dahil) bir sohbet robotuna yapıştırılıp özetletilmesi,
- Performans değerlendirme taslağının çalışanın adı ve somut örnekleriyle birlikte harici bir araca yazdırılması,
- Bir mobbing veya iç soruşturma şikayetinin gizli detaylarının “daha düzgün yazsın” amacıyla yapay zekaya girilmesi,
- İşe alım sıralamasında yapay zeka önerisinin doğrudan filtre olarak kullanılması (Bu durumda hem ayrımcılık riski doğuyor hem de ret kararının gerekçesi sonradan açıklanamıyor.)
- Bir işin gerçekleştirilmesi ya da yapılan işin kontrolü için sözleşme, evrak veya şirketin başkaca gizli verilerinin yapay zekaya girilmesi.
Şirketlerin Takip Etmesi Gereken Adımlar
Kılavuz yapay zeka araçlarının tamamen yasaklanmasının işe yaramadığını zira çalışanın yasaklanan yapay zeka aracını kişisel telefonu ya da bilgisayarından kullanmaya devam edeceğini, yasaklamanın yalnızca görünürlüğü azalttığını ifade ediyor. Bu kapsamda şirketlere 4 maddeden oluşan bir öneri listesi sunuyor:
- Açık bir kurumsal politika: Hangi araçların onaylı olduğu net biçimde tanımlanmalı.
- “Kesinlikle paylaşılmayacak veri” listesi: Müşteri ya da çalışan kişisel verileri, özel nitelikli veriler ve ticari sırlar bu listede açıkça sayılarak ayrılmalı.
- İnsan denetimi ilkesi: İşe alım ve performans süreçlerinde yapay zeka çıktısı nihai karar olarak kullanılmamalı.
- Çalışan farkındalığı: Çok sayıda uzun prosedür yerine “şu dört veri türünü asla yapıştırma” gibi tek sayfalık, akılda kalıcı bir kural seti kullanılmalı.
Netice itibarıyla;
Kurum, ihlalin ve şirketler için gerek tazminat gerek ceza sorumluluğu doğuran risklerin, şirketlerin Gölge Yapay Zeka kullanımına ilişkin politika üretmemesinden doğduğunu, bu nedenle de ihlalde payın büyüğünün şirketlerde olduğunu belirtiyor.
İşe alım, performans değerlendirmesi ve iç soruşturma gibi kişisel verilerin yoğun İnsan Kaynakları süreçlerinde harici yapay zeka kullanımı, KVKK’nın veri güvenliği, yurt dışı aktarım ve aydınlatma yükümlülüklerini aynı anda gündeme getirebiliyor.
Yasaklamak yerine yönlendirmek, onaylı araç listesi, paylaşılmayacak veri listesi ve insan denetimi ilkesiyle desteklenen bir politika hem uyum hem de uygulanabilirlik açısından daha isabetli olup, şirketlerin ihlalden doğacak idari, hukuki ve cezai yaptırımlara karşı kendisini korumasını sağlayacak başlıca düzenlemeler.
Avukat & Arabulucu
Baran ÇAĞDAVUL