Çalışan Kişisel ChatGPT Hesabına Müşteri Verisi Yüklerse Şirket Ne Yapmalı? KVKK 2026

Bu yazıyla ilgili genel bir sorunuz mu var? Anonim soru sor

Kişisel ChatGPT Hesabına Müşteri Verisi Yüklemek Neden KVKK Konusudur?

Çalışan bir müşteri e-postasını, Excel listesini, sözleşmeyi, fatura kaydını, kimlik bilgisini veya destek talebini üretken yapay zekâ hesabına yüklediğinde kişisel veri şirketin kontrol ettiği bilgi sisteminden üçüncü bir sisteme aktarılır ve bu sistemde işlenir. Dosyanın yalnız “özet çıkarmak”, “cevap yazdırmak” veya “çeviri yapmak” için gönderilmesi işlemin kişisel veri niteliğini değiştirmez.

KVKK açısından ilk soru, şirketin bu kullanım biçimine izin verip vermediğidir. İkinci soru, izin varsa hangi hesap ve hangi veri kategorilerinin onaylandığıdır. Üçüncü soru ise çalışanın yetkisi dışında veri gönderip göndermediğidir. Kurum politikası bulunmaması, şirketi sorumluluktan kurtarmaz; tam tersine m.12 kapsamındaki idari tedbirlerin yeterliliği bakımından ayrıca incelenir.

Şirket işleme amacını ve araçlarını belirleyen veri sorumlusu konumundaysa, çalışan üzerinden gerçekleşen veri hareketi şirketin veri güvenliği yönetiminin parçasıdır. “Çalışan kendi telefonundan yaptı” veya “kişisel hesabını kullandı” açıklaması, veri sorumlusunun teknik ve idari tedbir yükümlülüğünü sona erdirmez.

Olay Fark Edildiğinde İlk Yapılacak İşlemler

Olayın ilk saatlerinde amaç suçlu aramak değil veri akışını durdurmak ve delili korumaktır. Aşağıdaki sıra uygulanmalıdır:

1. Yükleme durdurulur. İlgili çalışana aynı hesaptan yeni şirket verisi yüklememesi yazılı olarak bildirilir.
2. Olay zamanı belirlenir. İlk yükleme tarihi, son yükleme tarihi ve kullanılan cihazlar kaydedilir.
3. Veri kategorileri çıkarılır. Ad-soyad, iletişim, finans, müşteri numarası, sözleşme, sağlık, biyometrik veri veya özel nitelikli başka veri ayrı listelenir.
4. İlgili kişi sayısı belirlenir. Tek müşterinin metni ile binlerce satırlık müşteri dosyası aynı risk düzeyinde değildir.
5. Hesap türü doğrulanır. Kişisel ücretsiz hesap, bireysel ücretli hesap veya şirketçe yönetilen kurumsal hesap ayrımı kayda alınır.
6. Sağlayıcının veri ayarları kontrol edilir. Sohbet geçmişi, eğitim/model geliştirme kullanımı, saklama ve paylaşım ayarları incelenir.
7. İçerik silme talebi uygulanır. Kullanıcı panelindeki sohbet ve dosya silme seçenekleri kullanılır; mümkünse sağlayıcıya ayrıca silme talebi iletilir.
8. Yetkiler sınırlandırılır. Gerekirse ilgili oturum kapatılır, kurumsal erişim anahtarları yenilenir ve bağlı eklentiler devre dışı bırakılır.
9. Hukuki değerlendirme başlatılır. m.4, m.5 veya m.6, m.9, m.10 ve m.12 yönünden işlem tablosu hazırlanır.
10. İhlal bildirimi gerekip gerekmediği karara bağlanır. Bu karar gerekçesiyle birlikte kayıt altına alınır.

Hangi Veri Türleri Daha Yüksek Risk Taşır?

Her kişisel veri korunur; fakat ihlal değerlendirmesinde verinin niteliği ve doğuracağı sonuç farklıdır. Kimlik numarası, ödeme bilgisi, hesap numarası, sağlık verisi, biyometrik veri, genetik veri, ceza mahkûmiyeti bilgisi, çocuk verisi, parola veya doğrulama bilgisi içeren yüklemeler daha ağır risk yaratır.

Bir çağrı merkezi çalışanının yalnız müşteri adını kullanması ile hastane çalışanının hasta raporunu yüklemesi aynı risk değerlendirmesine tabi tutulmaz. Özel nitelikli kişisel veriler bakımından KVKK m.6’daki işleme şartları ve yeterli önlemler ayrıca uygulanır.

Veri miktarı da önemlidir. Tek bir müşteri kaydı sınırlı kapsamlı olaydır; CRM dışa aktarım dosyasının yüklenmesi ise çok sayıda ilgili kişiyi ve çok sayıda veri kategorisini etkiler. Şirket, “dosya kaç MB?” sorusundan önce “kaç kişi ve hangi veri?” sorusuna cevap vermelidir.

KVKK m.12 Şirkete Ne Yüklüyor?

6698 sayılı Kanun m.12, veri sorumlusuna kişisel verilerin hukuka aykırı işlenmesini önleme, hukuka aykırı erişimi önleme ve verilerin muhafazasını sağlama amacıyla gerekli her türlü teknik ve idari tedbiri alma yükümlülüğü yükler. Çalışanların üretken yapay zekâ araçlarına veri aktarması bu tedbir alanının içindedir.

Şirketin yazılı yapay zekâ politikası, onaylı araç listesi, yasak veri kategorileri, DLP kuralları, eğitim, rol bazlı erişim, kurumsal hesap yönetimi ve olay bildirim kanalı yoksa risk yönetimi eksik kalır. Yalnız çalışan sözleşmesine “KVKK’ya uy” maddesi eklemek yeterli teknik ve idari tedbir değildir.

Şirket, veri işleyen tedarikçi kullanıyorsa veri güvenliği tedbirleri bakımından tedarikçiyi de kontrol etmelidir. Sağlayıcının saklama, model eğitimi, alt işleyen ve ihlal bildirim şartları incelenmeden müşteri verisi aktarımına izin verilmemelidir.

Kişisel Hesap Kullanımında Yurt Dışına Veri Aktarımı

Çalışanın kullandığı yapay zekâ hizmeti veriyi yurt dışındaki tüzel kişiye veya sistemlere aktarıyorsa KVKK m.9 uygulanır. 1 Haziran 2024’ten beri yürürlükte olan yeni aktarım rejimi; yeterlilik kararı, uygun güvenceler ve Kanunda düzenlenen arızi aktarım hâlleri üzerinden işletilir.

Kurumsal sözleşmede standart sözleşme veya başka uygun aktarım mekanizması kurulmuş olsa bile çalışanın kişisel hesabı bu kurumsal düzenlemenin dışında kalabilir. Bu nedenle “şirketin aynı sağlayıcıyla sözleşmesi var” bilgisi tek başına kişisel hesaptaki aktarımı hukuka uygun hâle getirmez. Hangi hesap, hangi tüzel kişi, hangi sözleşme ve hangi veri akışının kullanıldığı ayrı doğrulanmalıdır.

Yurt dışı aktarım yalnız sunucu ülkesinden ibaret değildir. Yurt dışındaki destek personelinin uzaktan erişimi ve alt işleyenlerin veri işlemesi de aktarım haritasına eklenir.

Bu Olay Kişisel Veri İhlali Sayılırsa Ne Yapılır?

KVKK m.12/5, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusunun durumu en kısa sürede ilgili kişiye ve Kurula bildirmesini düzenler. Yapay zekâ hesabına yetkisiz aktarım olayında önce “başkası tarafından elde edilme” ve verinin üçüncü taraf hizmetteki erişim durumu somutlaştırılır.

Şirket olay tutanağında; ihlal zamanı, tespit zamanı, etkilenen kişi ve kayıt sayısı, veri kategorileri, sistem adı, hesap türü, erişimin kimlere açık olduğu, alınan acil tedbirler ve devam eden riskleri yazmalıdır. Karar yalnız “sohbeti sildik” cümlesine dayandırılmamalıdır. Sağlayıcının kendi saklama döngüsü ve silme mekanizması da incelenir.

Kurulun veri ihlali bildirim yaklaşımında “en kısa sürede” ifadesi 72 saatlik bildirim hedefiyle uygulanmaktadır. Gecikme varsa gecikmenin gerekçesi ayrıca açıklanır. Bildirim kararı, olayın yeterli teknik ve hukuki verisi toplandıktan sonra fakat gereksiz gecikme yaratmadan alınmalıdır.

Çalışan Yönünden İş Hukuku Sonucu

Çalışanın işverenin açık veri güvenliği politikasına aykırı biçimde müşteri verisini yetkisiz üçüncü taraf sisteme yüklemesi iş sözleşmesinden doğan sadakat ve talimata uyma borçları bakımından ayrıca değerlendirilir. Ancak her olayda doğrudan “haklı fesih” sonucu çıkarılamaz. Fiilin ağırlığı, kast veya ihmal düzeyi, verinin niteliği, şirketin açık talimatı, çalışanın eğitimi, daha önceki uyarılar ve doğan zarar birlikte incelenir.

İşveren disiplin sürecini yürütürken hukuka uygun delil kullanmalı ve çalışanın savunmasını almalıdır. Olayın teknik kayıtları korunmadan yalnız sözlü kabule dayanmak, hem iş hukuku hem KVKK incelemesinde eksik dosya oluşturur.

Şirketin hiç politika oluşturmamış ve çalışanlara izinli/yasak kullanım sınırlarını bildirmemiş olması, çalışanın her davranışını hukuka uygun yapmaz; fakat işverenin kendi m.12 tedbirlerini yerine getirip getirmediği ayrıca değerlendirilir.

Şirkette Yapay Zekâ Kullanım Politikası Nasıl Kurulmalı?

Etkin politika soyut etik ilkelerden değil, günlük iş akışından başlamalıdır. Politika en az şu alanları düzenlemelidir:

• Onaylı yapay zekâ araçları ve hesap türleri;
• Kişisel hesap kullanım yasağı veya sınırı;
• Kesinlikle yüklenemeyecek veri kategorileri;
• Maskeleme ve anonimleştirme yöntemi;
• Müşteri, çalışan ve üçüncü kişi verilerinin kullanım şartları;
• Özel nitelikli kişisel veri yasağı veya özel onay süreci;
• Dosya yükleme, eklenti ve API kullanım kuralları;
• Yurt dışı aktarım kontrolü;
• Çıktıların insan kontrolü;
• Olay bildirimi için hukuk ve bilgi güvenliği iletişim kanalı;
• Saklama ve sohbet geçmişi ayarları;
• Periyodik eğitim ve denetim.

Politika yalnız imzalatılıp arşivlenmemelidir. Teknik erişim kontrolleriyle desteklenmeli; onaylı olmayan araçların kurumsal veriyle kullanılması mümkün ölçüde sınırlandırılmalıdır.

Olay Delilleri Nasıl Korunmalı?

Şirket, çalışanın hesabına hukuka aykırı şekilde girerek delil toplamamalıdır. Çalışanın sunduğu ekran görüntüleri, kurumsal cihaz logları, DLP kayıtları, e-posta veya dosya aktarım kayıtları, hizmet sağlayıcının yönetim paneli kayıtları ve olay tutanağı hukuka uygun yöntemlerle toplanır.

Ekran görüntüsünde hesap adı, tarih-saat, sohbet başlığı ve yüklenen dosyanın adı görünüyorsa bunlar dosyalanır. Dosyanın kendisinde kişisel veri bulunduğu için olay dosyasına erişim sınırlandırılır. İnceleme için gerekmeyen kopyalar çoğaltılmaz.

İç soruşturma raporu varsayıma değil kayıt zincirine dayanmalıdır: veri hangi kaynaktan çıktı, kim yükledi, hangi hesaba gitti, sağlayıcı nasıl işledi, ne zaman silindi, kimler erişti ve hangi önlem alındı.

Sık Sorulan Sorular

1. Çalışanın kişisel ChatGPT hesabına müşteri verisi yüklemesi otomatik olarak veri ihlali midir?

Olay derhal ihlal analizi gerektirir. İhlal bildiriminin gerekip gerekmediği verinin kanuni olmayan yollarla üçüncü tarafça elde edilip edilmediği, erişim ve saklama durumu üzerinden belirlenir.

2. Sohbet silinirse sorun tamamen çözülür mü?

Hayır. Silme acil bir tedbirdir; ilk işlemenin hukuka uygunluğu, yurt dışı aktarım, sağlayıcı saklama süresi ve veri ihlali boyutu ayrıca incelenir.

3. Müşteri adı tek başına kişisel veri midir?

Belirli veya belirlenebilir gerçek kişiye ilişkin isim kişisel veridir. Tüzel kişi unvanı tek başına gerçek kişi verisi değildir; fakat iletişim kişisi bilgileri KVKK kapsamına girer.

4. Kurumsal ChatGPT hesabı kullanılsaydı her şey hukuka uygun olur muydu?

Hayır. Kurumsal hesap yönetim ve güvenlik imkânı sağlar; işleme şartı, minimizasyon, aydınlatma ve aktarım yükümlülükleri yine uygulanır.

5. Şirket çalışana ceza verebilir mi?

İş hukuku sonucu olayın ağırlığı, şirket politikası, eğitim, kast veya ihmal ve doğan zarar üzerinden belirlenir. Disiplin ve fesih süreci somut delille yürütülmelidir.

6. Veri yurt dışına gittiyse ne yapılır?

KVKK m.9 kapsamındaki aktarım yöntemi ve hesabın hangi sözleşmeye tabi olduğu belirlenir. Kişisel hesap kurumsal aktarım mekanizmasının dışında kalıyorsa bu husus ayrıca kayda alınır.

7. Sağlık verisi yüklenmişse ne değişir?

Sağlık verisi m.6 kapsamında özel nitelikli kişisel veridir. Olayın riski artar; işleme şartı, yeterli önlemler ve aktarım ayrıca değerlendirilir.

8. Çalışan “veriyi model eğitimi için kullanma ayarını kapattım” derse yeterli midir?

Hayır. Bu ayar önemli bir teknik unsurdur; fakat hukuki sebep, aktarım, saklama ve veri güvenliği yükümlülüklerini tek başına karşılamaz.

9. Şirket müşterilere bildirim yapmak zorunda mı?

KVKK m.12/5 şartları oluştuğunda ilgili kişiye bildirim gerekir. Olayın ihlal niteliği ve kapsamı kayıtlarla belirlenir.

10. Aynı olayın tekrarını önlemek için en etkili tedbir nedir?

Onaylı araç ve hesap sistemi, yasak veri listesi, DLP/erişim kontrolü, çalışan eğitimi ve hızlı olay bildirim prosedürü birlikte uygulanmalıdır.

Türkiye Geneli ve Mersin Uygulaması

Bu kurallar Türkiye genelindeki veri sorumluları için geçerlidir. Mersin’de lojistik, liman, dış ticaret, sağlık, eğitim, üretim, çağrı merkezi ve profesyonel hizmet sektörlerinde çalışanların üretken yapay zekâ kullanımı özellikle müşteri ve çalışan verilerinin yoğun işlendiği süreçlerde yazılı politika ve teknik kontrollerle yönetilmelidir.

Resmî Kaynaklar ve İlgili Yazılar

• KVKK – Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi
• KVKK – Yurt Dışına Aktarım

İç bağlantılar: ChatGPT’e kişisel veri yüklemek · Yapay zekâda veri sorumlusu ve veri işleyen · CV saklama ve KVKK

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →