Kişisel Verileri Koruma Kurulu (KVKK), Kasım 2026 itibarıyla yayımladığı ilke kararıyla işverenler tarafından çalışanlara tahsis edilen kurumsal e-posta, anlık mesajlaşma uygulamaları ve bilgisayar sistemlerinin yapay zekâ destekli algoritmik araçlarla denetlenmesine yönelik bağlayıcı usul ve esasları belirledi.
İşyerlerinde “gölge yapay zekâ” (shadow AI) kullanımının ve veri sızıntılarının önlenmesi amacıyla yaygınlaşan otomatik izleme yazılımlarına karşı alınan karar, işverenin yönetim hakkı ile çalışanın özel hayatının gizliliği arasındaki hassas dengeyi yeniden tanımlamaktadır.
İlke kararının getirdiği temel hukuki standartlar
Kurul kararında, 6698 sayılı Kişisel Verilerin Korunması Kanunu ve Anayasa Mahkemesi içtihatları doğrultusunda şu kritik ilkeler vurgulanmıştır:
- Yönetim hakkının sınırları ve meşru amaç: İşverenin ticari sırları ve işyeri güvenliğini koruma hakkı bulunmakla birlikte, bu hak sınırsız değildir. Denetim faaliyeti somut bir meşru amaca dayanmalı ve ulaşılmak istenen hedefle sınırlı olmalıdır.
- Önceden ve şeffaf aydınlatma yükümlülüğü: Çalışanlara, kendilerine tahsis edilen donanım ve yazılımların yapay zekâ veya otomatik log analiz sistemleriyle taranacağı, hangi verilerin ne sıklıkla işleneceği konusunda açık, anlaşılır ve müstakil bir bilgilendirme yapılması zorunludur.
- Ölçülülük ve veri minimizasyonu: Denetim yapılırken doğrudan iletişimin içeriğine müdahale edilmemeli; varsa üst veri (metadata), trafik bilgisi veya daha az müdahaleci yöntemler tercih edilmelidir. Sürekli ve otomatik ekran kaydı veya yapay zekâ ile klavye vuruş takibi (keylogger) kural olarak hukuka aykırı kabul edilmektedir.
- Gizli izleme yasağı ve hukuka aykırı delil: Çalışanın haberi olmaksızın gizlice yürütülen yapay zekâ denetimleri sonucunda elde edilen veriler hukuka aykırı delil niteliğinde olup, iş akdinin feshinde haklı fesih gerekçesi yapılamaz.
İşverenler ve kurumsal hukuk birimleri için uyum rehberi
İlke kararı karşısında kurumların ve insan kaynakları birimlerinin gecikmeksizin atması gereken adımlar şunlardır:
- Çalışan aydınlatma metinlerinin güncellenmesi: Kurumsal iletişim politikalarında yapay zekâ izleme araçlarının varlığı açıkça belirtilmeli, aydınlatma yükümlülüğü açık rızadan ayrı olarak yerine getirilmelidir.
- DLP ve yapay zekâ izleme filtrelerinin revizyonu: Veri kaybı önleme (DLP) yazılımlarının ve yapay zekâ denetleyicilerinin yalnızca şüpheli dosya transferlerini tespit edecek şekilde yapılandırılması, kişisel yazışmaları ayrıştırması sağlanmalıdır.
- Log saklama ve silme takvimi: İzleme sonucu elde edilen kayıtların saklama süreleri KVKK saklama ve imha politikalarına uygun olarak belirlenmeli, gereksiz tutulan veriler imha edilmelidir.