Çalışanlarınız kişisel ChatGPT hesabıyla çalışıyorsa: yasaklamak mı, kurumsal hesap vermek mi?

Gölge yapay zeka nedir, ne kadar yaygın?

KVKK'ya göre çalışanlar zaman kazanmak, rutin işi azaltmak ve daha iyi çıktı almak için bu araçlara yöneliyor; araçlar da ücretsiz ya da ucuz; erişmesi ve kullanması kolay. Şirketin politikasının olmaması ya da belirsiz olması bu eğilimi güçlendirebiliyor. Bu yolla dış araçlara giden bilgiler arasında toplantı notları, şirket içi yazışmalar, rapor taslakları ve çalışan ya da müşteri bilgileri sayılıyor.

Melbourne Üniversitesi ve KPMG, 2025'te Türkiye'nin de aralarında olduğu 47 ülkede 48.000'den fazla kişiyle bir araştırma yaptı. İşte yapay zeka kullanan çalışanların %70'i ücretsiz, herkese açık araçları, %42'si işverenin verdiği araçları kullandığını söyledi. Bu çalışanların %48'i şirket bilgisini (finans, satış ya da müşteri verisi gibi) herkese açık bir araca yüklediğini, %57'si yapay zeka kullanımını gizlediğini ya da yapay zekanın ürettiğini kendi işi gibi sunduğunu belirtti. Çalışanlar arasında herhangi bir yapay zeka eğitimi aldığını söyleyenler %47'de kaldı.

Türkiye'de çalışanların kişisel hesap kullanımını ölçen birincil bir araştırma bulamadık. Kendi şirketinizdeki durumu öğrenmenin yolu kısa, anonim bir anket.

Neden yasak tek başına işe yaramıyor?

KVKK'nın belgesi tam yasağa dayanan yaklaşımların uygulamada gerçekçi sonuç vermeyeceğini, yasaklayıcı yaklaşımların kontrol dışı kullanımı teşvik edebileceğini yazıyor; yerine yönlendirme, denge ve farkındalığa dayanan yaklaşımları öneriyor.

Aynı araştırmada hassas şirket bilgisini ya da telif hakkıyla korunan içeriği herkese açık araçlara yüklediğini söyleyenlerin oranı, yapay zekanın yasak olduğu şirketlerin çalışanlarında en yüksekti (%67). Bu oran, kullanımı yönlendiren bir politikası olanlarda %56, hiç politikası olmayanlarda %33'tü. Araştırmacılara göre bu, yasakların etkisiz kalabileceğine ve yalnızca politika yazmanın da uyumu garanti etmediğine işaret ediyor; açık yönlendirme ve eğitim gerekiyor.

Samsung 2023'te mühendislerin şirket kodunu ChatGPT'ye yüklemesinin ardından üretken yapay zekayı şirket cihazlarında ve ağında yasakladı; kişisel cihazlar yasağın dışında kaldı; çalışanlardan bu cihazlarda şirketle ilgili bilgi ya da kişisel veri girmemeleri istendi ve kurala uymamanın işten çıkarmaya kadar gidebileceği bildirildi. Microsoft da kişisel hesapla kullanımın önüne geçmek isteyen yöneticilere Copilot alan adını engellemek yerine kiracı kısıtlamalarını (tenant restrictions) öneriyor; bu ayar şirket ağından ve cihazlarından kişisel hesaplarla girişi sınırlar. Bir siteyi kapatmak kullanımı telefona ve başka araçlara taşır.

Adım 1: Durumu anlayın

Kısa, anonim bir anketle hangi araçların, hangi işler için, hangi hesapla ve hangi bilgilerle kullanıldığını sorun. Anketin başında geçmiş kullanımın cezalandırılmayacağını yazın: amaç suçlu bulmak değil, insanların hangi işte yardıma ihtiyaç duyduğunu görmek. Kullandığını saklayan biri, hangi işte zorlandığını da saklar.

KVKK da çalışanların deneyimlerini ve sorunlarını paylaşabileceği geri bildirim kanalları kurmayı öneriyor. Aynı kanal, onaylı araç gelince neyin eksik kaldığını da gösterir.

• Anket soruları ve hazır form: yapay zeka eğitim ihtiyaç analizi →

Adım 2: Onaylı bir araç verin

KVKK, çalışanların yalnızca kurumun belirlediği araçlara, görev ve ihtiyaca göre erişmesini öneriyor. Hamburg veri koruma kurumunun kontrol listesi de şirkete ait hesaplar verilmesini ve bu hesapların özel işler için kullanılmamasını söylüyor. Microsoft 365 ya da Google Workspace kullanıyorsanız bunun için yeni bir satın alma gerekmeyebilir:

• →Microsoft 365: Copilot Chat iş hesabıyla ek ücret olmadan geliyor ve kurumsal veri koruması altında: istem ve cevaplar temel modellerin eğitiminde kullanılmıyor. Ekranda “Work” (İş) etiketi ve yeşil kalkan görünür.
• →Google Workspace: Gemini iş hesabıyla kullanıldığında içerik izniniz olmadan kuruluşunuzun dışında model eğitiminde kullanılmıyor ve sohbetler insan incelemesine gitmiyor.
• →ChatGPT Business ya da Enterprise: iş verisi varsayılan olarak model eğitiminde kullanılmıyor; yönetici paneli, tek oturum açma ve çok adımlı doğrulama var.
• →Karşılaştırma için kişisel hesaplar: ChatGPT'nin Free, Go, Plus ve Pro planlarında içerik modeli eğitmek için kullanılabiliyor, kullanıcı bunu kapatabiliyor. Kişisel Gemini'de etkinlik kaydı açıkken sohbetler model eğitiminde kullanılabiliyor, bir kısmını insanlar okuyor; kayıt kapalıyken bile sohbetler 72 saat saklanıyor.

• Şirketiniz için ChatGPT mi, Copilot mu, Gemini mi? →
• ChatGPT'de sohbetlerin model eğitiminde kullanılmasını kapatma →

Adım 3: Kuralları yazın

KVKK'nın önerdiği politika hangi araçların, hangi işler ve amaçlar için kullanılacağını, hangi bilgilerin girilebileceğini, çıktının nasıl kullanılacağını ve çalışanların nasıl eğitileceğini kapsıyor. Politika duyurulmalı ve kolayca bulunabilmeli. KVKK'nın örnek olarak aktardığı bazı kuruluş politikalarında müşteri dosyaları, İK verileri ve şirket içi yazışmalar girilmeyecek bilgiler arasında; KVKK de kendi önerisi olarak sağlık, finans ve hukuki süreç bilgilerinde daha temkinli olunmasını istiyor. Ad, tarih ve yer gibi bilgiler genelleştirilir; çıktı nihai kararın dayanağı olarak görülmez, destekleyici bir girdi olarak bir insan tarafından kontrol edilir.

Onaylı aracı verdiğiniz gün kuralları da duyurun. Araç olup kural yoksa aynı bilgi bu kez kurumsal hesaptan girilir.

• Yapay zeka kullanım politikası örneği ve Word şablonu →

Adım 4: Eğitin ve ölçün

KVKK, çalışanların aracın amaçları ve riskleri konusunda bilgilendirilmesini, çıktıyı eleştirel okumak için de eğitilmesini öneriyor. Eğitimi ekibin kendi işleri üzerine kurun: kuralı en iyi, kendi müşteri e-postası ya da raporu üzerinde çalışan kişi öğrenir.

Ardından ölçün. Aynı anonim anketi 30. ve 90. günde tekrarlayın: kişisel hesap kullanımı azalıp onaylı araca geçiş artıyorsa yol doğru.

Kullanımı izlemek isterseniz

KVKK Kurulu'nun 16 Eylül 2026 tarihli ve 2026/2035 sayılı ilke kararı, işin yürütülmesi için kullanılan iletişim kanallarının denetimini düzenliyor. Karar yapay zekayı anmıyor; yapay zeka kullanımını izlemeye uygulanabileceği bizim yorumumuz.

Karara göre denetim bir kişisel veri işleme faaliyeti ve hukuki bir dayanak gerektiriyor. Çalışanlara amaç, kapsam, yöntem, içeriğe ne zaman bakılabileceği ve saklama süresi önceden ve açıkça bildirilmeli; genel bir uyarı yetmiyor. Önce en az müdahaleci yöntem seçilmeli, içerik ancak somut bir şüphe ya da belirli bir olayla bağlantılı bir amaçla incelenmeli, erişim az sayıda yetkiliyle sınırlanıp kayıt altına alınmalı. Böyle bir izleme kurmadan önce hukuk danışmanınızla konuşun.