Çalışanlarınız ChatGPT'yi Zaten Kullanıyor: Kurallar Yoksa Ne Olur?

Birçok şirkette yapay zekâ tartışması hâlâ “kullanalım mı?” sorusuyla sürüyor. Çalışanlar ise bu sorunun yanıtını çoktan vermiş durumda: E-posta taslağı, toplantı özeti, rapor düzeltme ve Excel formülü için ChatGPT ve benzeri araçları kendi hesaplarıyla kullanıyorlar. Microsoft ve LinkedIn’in 31 ülkede 31.000 kişiyle yaptığı 2024 Work Trend Index araştırmasına göre bilgi çalışanlarının yüzde 75’i işte yapay zekâ kullanıyor ve bu kullanıcıların yüzde 78’i aracı kendisi getiriyor.

Şirkette ChatGPT kullanımı kurallar olmadan büyüdüğünde sorun aracın kendisi değil, görünmezliğidir. Bu yazıda kuralsız kullanımın dört riskini ve şirketlerin önündeki iki seçeneği ele alıyoruz.

Gölge yapay zekâ kullanımı

Kişisel Verileri Koruma Kurumu, Mart 2026’da yayımladığı “İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı” dokümanında gölge yapay zekâyı (shadow AI), üretken yapay zekâ araçlarının kurumun bilgisi, onayı veya kurumsal kontrolü dışında çalışanlar tarafından iş süreçlerinde kullanılması olarak tanımlar. Doküman bu durumun birçok kuruluş için artık teorik bir risk değil, günlük iş akışında karşılaşılan bir olgu olduğunu belirtir.

Gölge kullanımın nedenleri anlaşılırdır: Araç ücretsiz ya da ucuzdur, kullanımı kolaydır ve gerçekten zaman kazandırır. Kurum dokümanı, kurumsal politika ve yönlendirmelerin bulunmamasının ya da yeterince açık olmamasının bu eğilimi güçlendirdiğini de not eder.

Sorun, yönetimin neyin olduğunu görememesidir. Hangi aracın hangi amaçla kullanıldığı, araca hangi verilerin girildiği ve çıktıların hangi kararlarda kullanıldığı bilinmez. Bir ihlal ya da şikâyet geldiğinde bu soruların yanıtı da bulunamaz.

Gizli bilginin istem (prompt) içine yazılması

İstem (prompt), kullanıcının yapay zekâ aracına yazdığı talimat ya da sorudur. Aracın iyi sonuç vermesi için bağlam gerekir; çalışan da en kolay bağlamı verir: müşteri e-postasının tamamını, bir çalışanın performans notlarını, bir teklifin fiyat tablosunu ya da yazılım kodunu doğrudan yapıştırır.

Kurum dokümanı bu noktada açıktır: Toplantı notları, iç yazışmalar, rapor taslakları, çalışanlara veya müşterilere ait bilgiler ve kamuya açık olmayan kurumsal veriler üçüncü taraf araçlarla paylaşılabilmektedir. Bu bilgiler bazı durumlarda model geliştirme veya iyileştirme süreçlerinde kullanılabilir ya da yetkisiz kişilerce erişilebilir hâle gelebilir.

Kişisel veri söz konusu olduğunda konu yalnızca bilgi güvenliği değildir. 6698 sayılı KVKK teknolojiden bağımsızdır; bir çalışanın aday özgeçmişini bir yapay zekâ aracına yüklemesi de bir kişisel veri işleme faaliyetidir ve aynı yükümlülüklere tabidir. Kurum, kişi adı, tarih ve konum gibi ayırt edici ayrıntılar yerine anonimleştirilmiş ve genelleştirilmiş ifadeler kullanılmasını öneriyor.

Doğrulanmayan çıktılar

Üretken yapay zekâ, gerçeğe uymayan ama akıcı ve ikna edici içerik üretebilir. Bu duruma halüsinasyon denir. ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) de üretken yapay zekâ risk profilinde bu riski “confabulation” (uydurma) başlığıyla ayrı bir risk olarak sayar.

İş hayatında halüsinasyon şöyle görünür: Var olmayan bir mevzuat maddesine atıf yapan bir müşteri yanıtı, yanlış hesaplanmış bir oran içeren bir sunum, gerçekte olmayan bir kaynağa dayanan bir rapor. Kurum dokümanı ayrıca “otomasyon ön yargısına” (automation bias) dikkat çeker: Kullanıcı otomatik sistemin çıktısını sorgulamadan doğru kabul eder ve kendi muhakemesini ikinci plana atar.

Kurallar yoksa çıktının kim tarafından, nasıl kontrol edileceği de tanımlı değildir. Hata, belge müşteriye ya da yönetim kuruluna ulaştıktan sonra fark edilir.

Telif ve marka riski

Yapay zekâ ile üretilen metin, görsel ve kodun kime ait olduğu, nasıl kullanılabileceği ve başkasının eserine benzerse kimin sorumlu olacağı sorularının yanıtı ülkeden ülkeye ve araçtan araca değişiyor. Bu alan hukuken hâlâ tartışmalıdır; araçların kullanım koşulları da farklı hükümler içerebilir.

Kurallar olmadığında çalışan, bir kampanya görselini ya da bir web sitesi metnini doğrudan yayına alabilir. Ortaya çıkan içerik başka bir markanın görseline veya metnine fazla benziyorsa şirket bir hak ihlali iddiasıyla karşılaşabilir. Ters yönde de risk vardır: Kurum dokümanı, kaynak kod, ürün tasarımı, iş stratejisi ve ticari sır niteliğindeki bilgilerin harici araçlarla paylaşılmasının fikri mülkiyet üzerindeki kurumsal kontrolü zayıflatabileceğini belirtir.

Kurumsal itibar da bu riskin parçasıdır. Doğruluğu kontrol edilmemiş, düşük kaliteli ya da başka bir markayı çağrıştıran içerik, şirketin paydaşlar nezdindeki güvenilirliğini zedeler.

Yasaklamak mı, yönetmek mi?

Riskleri görünce ilk refleks yasaklamak olabilir. Kişisel Verileri Koruma Kurumu’nun dokümanı bu konuda net bir değerlendirme yapar: Kullanımı tamamen yasaklayan yaklaşımların uygulamada gerçekçi sonuçlar doğurmayacağı, çünkü çalışanları araçları kurumsal kontrol ve görünürlük dışında kullanmaya iteceği düşünülmektedir. Kurum, yasaklayıcı yaklaşımlar yerine yönlendirme, denge ve farkındalık temelli bir yaklaşım öneriyor.

Yönetmek, birkaç temel kararı yazılı hâle getirmek demektir. Dokümanın saydığı başlıklar şunlardır: hangi araçların kullanılabileceği, hangi işlerde ve amaçlarla kullanılabileceği, araçlara hangi bilgilerin girilebileceği, çıktıların nasıl kullanılacağı, erişimin görev ve ihtiyaca göre nasıl verileceği ve çalışanlara yönelik eğitim ve farkındalık faaliyetleri. Doküman ayrıca çalışanların deneyimlerini ve karşılaştıkları sorunları paylaşabilecekleri bir geri bildirim mekanizması kurulmasını önerir.

Politika tek başına yetmez. Çalışan, müşteri verisini neden araca yazmaması gerektiğini, istemi nasıl anonim hâle getireceğini ve çıktıyı nasıl kontrol edeceğini bilmiyorsa kural kâğıt üzerinde kalır. Bu nedenle politika ile eğitim birlikte planlanmalıdır.

Şirketinizde gölge kullanım olduğunu gösteren işaretler

Aşağıdaki durumlardan birkaçı tanıdık geliyorsa kuralsız kullanım büyük olasılıkla başlamıştır:

• Yazılı bir kural yok. Hangi yapay zekâ araçlarının iş için kullanılabileceğine dair bir politika, duyuru ya da yönerge bulunmuyor.
• Üslup değişti. Raporlarda, e-postalarda ve sunumlarda üslup ve biçim kısa sürede belirgin biçimde değişti, ama kimse bunun nasıl olduğunu konuşmuyor.
• Kişisel hesaplar. Çalışanlar araçlara kişisel e-posta hesaplarıyla giriyor; şirketin bu hesaplar üzerinde görünürlüğü yok.
• Kontrol adımı yok. Yapay zekâ yardımıyla hazırlanan bir belgenin yayından ya da gönderimden önce kim tarafından kontrol edileceği tanımlı değil.

Sonuç ve sonraki adım

Şirkette ChatGPT kullanımı, kural yazılsın ya da yazılmasın, büyük olasılıkla zaten var. Kurallar olmadığında gizli bilgi istemlere girer, doğrulanmayan çıktılar belgelere karışır ve telif ile itibar riskleri görünmez hâle gelir. Yasaklamak bu kullanımı ortadan kaldırmaz; yalnızca daha görünmez yapar.

Sonraki adım olarak ekiplerinize hangi araçları, hangi işler için kullandıklarını sorun. Bu kısa envanter, politikanın hangi başlıklarla başlaması gerektiğini gösterir. Çalışanların araçları verimli ve güvenli kullanmasına yönelik içeriği ChatGPT ve Yapay Zekâ Kullanımı Eğitimi sayfasında, insan kaynakları ekiplerine özel uygulamaları ise Yapay Zekâ ile İnsan Kaynakları Süreçlerinin Dijitalleşmesi sayfasında inceleyebilirsiniz. Kurum geneli planlama için kurumsal çözümler sayfasına bakabilirsiniz.

Kaynaklar

• İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı — Kişisel Verileri Koruma Kurumu, 05.03.2026: www.kvkk.gov.tr/Icerik/8674/is-yerlerinde-uretken-yapay-zeka-araclarin
• Microsoft and LinkedIn release the 2024 Work Trend Index on the state of AI at work — Microsoft, 08.05.2024: blogs.microsoft.com/blog/2024/05/08/microsoft-and-linkedin-release-the
• Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile (NIST AI 600-1) — NIST, Temmuz 2024: nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf
• 6698 sayılı Kişisel Verilerin Korunması Kanunu — Mevzuat Bilgi Sistemi: www.mevzuat.gov.tr/mevzuatmetin/1.5.6698.pdf

Son güncelleme: Ekim 2026 · Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş yerine geçmez.