İşverenin Yapay Zekâ ile Çalışan Verisi İşlemesi – KVKK

İşe alım ilanına gelen yüzlerce özgeçmişi saniyeler içinde sıralayan yazılımlar, çağrı merkezinde her görüşmeyi puanlayan duygu analizi araçları, çalışanın klavye hareketlerinden “verimlilik skoru” üreten izleme programları… Yapay zekâ, insan kaynakları süreçlerinin merkezine hızla yerleşiyor. Ancak işveren açısından bu teknolojiyi kullanmak, çalışanın kişisel verilerini daha hızlı, daha derin ve daha görünmez biçimde işlemek anlamına geliyor.

Türk hukukunda yapay zekâya özgü genel bir kanun henüz bulunmuyor. Bu, alanın boş olduğu anlamına gelmez: 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 6098 sayılı Türk Borçlar Kanunu ve 4857 sayılı İş Kanunu, yapay zekâ ile yapılan veri işlemeye de doğrudan uygulanır. Bu yazıda Avukat Ayça Bolak olarak, işverenlerin hangi sınırlar içinde hareket etmesi gerektiğini ve çalışanların hangi haklara sahip olduğunu uygulamadaki örneklerle ele alıyoruz.

Yapay Zekâ Kullanımı KVKK Kapsamına Girer mi?

Evet. KVKK teknolojiden bağımsız bir kanundur. Bir sistem ister geleneksel bir personel yazılımı ister gelişmiş bir yapay zekâ modeli olsun, kimliği belirli veya belirlenebilir bir çalışana ait bilgiyi topluyor, analiz ediyor ya da bu bilgiden çıkarım yapıyorsa, ortada KVKK anlamında bir “veri işleme” faaliyeti vardır.

Kişisel Verileri Koruma Kurumu da bu yaklaşımı açıkça benimsemiştir. Kurum, Kasım 2025’te yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda) ile yapay zekânın yaşam döngüsünün herhangi bir aşamasında kişisel veri işleniyorsa Kanun’un uygulanacağını vurgulamış; aydınlatma yükümlülüğünün ve ilgili kişi haklarının bu sistemler için de geçerli olduğunu belirtmiştir. Kurum ayrıca daha önce yayımladığı Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler metninde risk temelli bir yaklaşımı esas almıştır.

İşveren “veri sorumlusu”, yazılım sağlayıcı çoğunlukla “veri işleyen”

Yapay zekâ aracını hangi amaçla ve hangi verilerle kullanacağına karar veren işveren, veri sorumlusudur. Aracı sağlayan teknoloji şirketi ise işveren adına veri işliyorsa veri işleyen konumundadır. Bu ayrımın pratik sonucu önemlidir:

• Hukuki sorumluluk, aracı “satın aldım” denilerek tedarikçiye devredilemez.
• İşveren ile sağlayıcı arasında KVKK’ya uygun bir veri işleme sözleşmesi yapılmalıdır.
• Sağlayıcı verileri kendi modelini eğitmek gibi kendi amaçları için de kullanıyorsa, o noktada kendisi de ayrıca veri sorumlusu sıfatı kazanabilir.

Hangi Kanun Hükümleri Uygulanır?

İşverenin yapay zekâ ile çalışan verisi işlemesi, birbirini tamamlayan birkaç düzenlemenin kesişiminde değerlendirilir:

Bu tablodaki en kritik hükümlerden biri Türk Borçlar Kanunu’nun 419. maddesidir. Buna göre işveren, işçiye ait kişisel verileri ancak işçinin işe yatkınlığıyla ilgili veya hizmet sözleşmesinin ifası için zorunlu olduğu ölçüde kullanabilir. Yapay zekâ ise doğası gereği “elde ne kadar veri varsa o kadar iyi” mantığıyla çalışır. İşte uyumsuzluğun ve uyuşmazlıkların kaynağı tam olarak bu gerilimdir.

Hukuka Uygun İşlemenin Temel Şartları

1. Ölçülülük ve amaçla sınırlılık

KVKK’nın 4. maddesi, verilerin belirli, açık ve meşru amaçlarla, bu amaçlarla bağlantılı, sınırlı ve ölçülü biçimde işlenmesini zorunlu kılar. Bir yapay zekâ aracını devreye almadan önce işverenin şu sorulara somut cevap vermesi gerekir:

1. Bu araçla tam olarak hangi iş sorununu çözüyorum?
2. Bu amaç için gerçekten hangi verilere ihtiyacım var?
3. Aynı sonuca, çalışanın mahremiyetine daha az müdahale eden bir yolla ulaşabilir miyim?

Örneğin bilgi güvenliği amacıyla kurumsal sistemlerdeki anormal veri hareketlerini tespit eden bir araç savunulabilir olabilir. Buna karşılık aynı aracın çalışanın ses tonundan “motivasyon düzeyi” çıkarması ya da mola sürelerinden kişilik profili oluşturması, genel kural olarak ölçülülük ilkesiyle bağdaşmakta güçlük çeker.

2. Doğru hukuki sebebin seçilmesi: Açık rıza her zaman çözüm değildir

Uygulamada en sık rastlanan hata, işe girişte imzalatılan genel bir “açık rıza” metniyle her türlü işlemenin meşrulaştırılabileceğinin düşünülmesidir. Oysa açık rızanın geçerli olabilmesi için özgür iradeyle verilmesi gerekir. İşçi ile işveren arasındaki bağımlılık ilişkisi, bu özgürlüğü doğası gereği tartışmalı hâle getirir. İşe alınmanın ya da işte kalmanın şartı olarak alınan rızanın geçerliliği ciddi biçimde sorgulanabilir.

Bu nedenle işveren, çoğu durumda KVKK’nın 5. maddesinin 2. fıkrasındaki diğer işleme şartlarına dayanmak zorundadır:

• Sözleşmenin ifası: Bordro, izin, görev dağılımı gibi iş ilişkisinin yürütülmesi için zorunlu işlemeler.
• Hukuki yükümlülük: İş sağlığı ve güvenliği, sosyal güvenlik gibi mevzuattan doğan işlemeler.
• Meşru menfaat: İşverenin meşru menfaati için zorunlu olan ve çalışanın temel hak ve özgürlüklerine zarar vermeyen işlemeler. Bu şart, yapay zekâ destekli izleme araçlarında en çok başvurulan ama en dikkatli denge testi (işverenin menfaati ile çalışanın mahremiyetinin tartılması) gerektiren dayanaktır.

3. Özel nitelikli verilere ayrı dikkat

Sağlık bilgisi, biyometrik veri (yüz tanıma, parmak izi, ses izi), sendika üyeliği gibi bilgiler KVKK’nın 6. maddesinde özel nitelikli kişisel veri olarak düzenlenmiştir. 2024 yılında 7499 sayılı Kanun ile yapılan değişiklikle bu verilerin işlenme şartları yeniden düzenlenmiş; istihdam, iş sağlığı ve güvenliği ve sosyal güvenlik alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olan işlemeler de sayılmıştır. Ancak bu şart dar yorumlanmalıdır.

Yapay zekâ bağlamında asıl risk şudur: Sistem, size doğrudan özel nitelikli veri verilmese bile çıkarım yoluyla bu tür bilgiler üretebilir. Ses analizinden stres veya hastalık belirtisi, yazışma diliyle siyasi eğilim tahmini gibi çıktılar, işveren hiç talep etmemiş olsa dahi özel nitelikli veri işlemesi riskini doğurur. Kişisel Verileri Koruma Kurulu’nun biyometrik verilerle çalışan personel takip sistemlerine yaklaşımı da, daha az müdahaleci bir alternatif varken bu yönteme başvurulmasının ölçülü olmadığı yönündedir.

4. Şeffaflık: Çalışan, yapay zekâ tarafından değerlendirildiğini bilmelidir

KVKK’nın 10. maddesi uyarınca işveren, veri toplama anında çalışanı aydınlatmakla yükümlüdür. Yapay zekâ kullanılan süreçlerde aydınlatma metni yalnızca “verileriniz işlenmektedir” demekle yetinmemeli; en azından şunları anlaşılır biçimde açıklamalıdır:

• Hangi süreçte (işe alım, performans, güvenlik vb.) yapay zekâ kullanıldığı,
• Hangi veri kategorilerinin sisteme girdiği,
• Sistemin çıktısının karar sürecinde ne ağırlıkta rol oynadığı,
• Verilerin yurt dışına aktarılıp aktarılmadığı.

Otomatik Kararlar ve Çalışanın İtiraz Hakkı

KVKK’nın 11. maddesi, ilgili kişiye işlenen verilerin münhasıran otomatik sistemler (yalnızca makine) vasıtasıyla analiz edilmesi sonucunda aleyhine bir sonuç doğmasına itiraz etme hakkı tanır. Bu hüküm, yapay zekâ çağında çalışanın elindeki en güçlü araçlardan biridir.

Bu nedenle Bolak Hukuk Bürosu olarak müvekkil işverenlerimize, işe alım reddi, terfi, prim dağıtımı veya fesih gibi çalışan aleyhine sonuç doğurabilecek kararlarda yapay zekâ çıktısını tek başına belirleyici kılmamalarını, anlamlı bir insan denetimi öngörmelerini tavsiye ediyoruz. “Anlamlı” ifadesi önemlidir: Sistemin önerisini sorgulamadan onaylayan bir yöneticinin varlığı, kararı fiilen otomatik olmaktan çıkarmayabilir.

Yapay zekâ çıktısına dayanan fesih

İş güvencesi kapsamındaki bir çalışanın sözleşmesi feshedilirken işveren, feshin geçerli nedene dayandığını ispatlamakla yükümlüdür. “Algoritma düşük puan verdi” şeklindeki bir gerekçe, puanın nasıl üretildiği, hangi verilere dayandığı ve doğruluğu somut olarak ortaya konulamadıkça mahkeme önünde zayıf kalabilir. Ayrıca hukuka aykırı yollarla elde edilen veriye dayanılması, delilin değerlendirilmesini de tartışmalı hâle getirir. Bu tür durumlarda çalışanın başvurabileceği yollar, iş sözleşmesinin hukuka aykırı feshinde çalışanın sahip olduğu haklar çerçevesinde değerlendirilmelidir.

Uygulamadan Örnekler

Aşağıdaki örnekler isimsiz ve varsayımsal olup konunun günlük hayattaki karşılığını göstermek amacıyla hazırlanmıştır.

Örnek 1: Çağrı merkezinde duygu analizi

Bir çağrı merkezi, tüm müşteri görüşmelerini yapay zekâ ile analiz ederek temsilcilere “empati skoru” vermeye başlar. Skoru düşük çıkan bir temsilcinin sözleşmesi performans gerekçesiyle feshedilir. Çalışanlara bu analizin varlığı yalnızca genel bir aydınlatma metniyle bildirilmiştir.

Bu senaryoda şu sorular gündeme gelir: Ses verisinden duygu çıkarımı ölçülü müdür? Çalışan, puanlama kriterlerinden haberdar edilmiş midir? Fesih öncesinde insan değerlendirmesi yapılmış mıdır? Bu soruların cevabı somut olayın özelliklerine göre değişmekle birlikte, eksiklikler çalışanın işe iade davası açması hâlinde işverenin ispat yükünü belirgin biçimde ağırlaştırır.

Örnek 2: Özgeçmiş eleme yazılımı ve ayrımcılık riski

Bir şirket, geçmiş yıllarda işe aldığı kişilerin verileriyle eğitilmiş bir eleme aracı kullanır. Geçmiş işe alımların büyük çoğunluğu belirli bir yaş grubundan olduğu için sistem, daha ileri yaştaki adayları sistematik olarak düşük puanlar.

Burada işverenin ayrımcılık yapma niyeti olmasa bile, sonuç itibarıyla İş Kanunu’nun 5. maddesindeki eşit davranma ilkesi ve 6701 sayılı Türkiye İnsan Hakları ve Eşitlik Kurumu Kanunu bakımından sorun doğabilir. Algoritmik önyargı (sistemin geçmiş verideki dengesizlikleri öğrenip yeniden üretmesi), işverenin kusursuzluğunu kendiliğinden ispatlamaz.

Örnek 3: Çalışanın İK verilerini sohbet botuna yüklemesi

İnsan kaynakları uzmanı, performans raporlarını özetletmek için çalışanların ad, maaş ve değerlendirme notlarını içeren tabloyu herkese açık bir üretken yapay zekâ hizmetine yükler. Hizmetin sunucuları yurt dışındadır.

Bu durumda KVKK’nın 9. maddesi kapsamında yurt dışına veri aktarımı ve 12. maddesi kapsamında veri güvenliği yükümlülüğü gündeme gelir. İşveren, kurum içi bir yapay zekâ kullanım politikası oluşturmamışsa, çalışanının bu eyleminden doğan sorumluluktan kurtulması güçtür. Verilerin yetkisiz kişilerce ele geçirilmesi hâlinde konu cezai boyut da kazanabilir; bu yönüyle kişisel verilerin hukuka aykırı olarak ele geçirilmesi suçu ayrıca değerlendirilmelidir.

Yüksek Mahkemelerin ve AİHM’in Yaklaşımı

Yapay zekâya özgü yerleşik bir içtihat henüz oluşmamış olsa da, işverenin çalışanı elektronik araçlarla denetlemesine ilişkin kararlar bu alana doğrudan ışık tutmaktadır.

Avrupa İnsan Hakları Mahkemesi, Bărbulescu – Romanya (Büyük Daire, Başvuru No. 61496/08, 5 Eylül 2017) kararında, işverenin çalışanın iş amaçlı yazışmalarını denetleyebileceğini ancak çalışanın bu denetimin kapsamı ve niteliği hakkında önceden bilgilendirilmesi, denetimin meşru bir gerekçeye dayanması ve daha az müdahaleci yöntemlerin değerlendirilmesi gerektiğini ortaya koymuştur. López Ribalda ve Diğerleri – İspanya (Büyük Daire, Başvuru No. 1874/13 ve 8567/13, 17 Ekim 2019) kararında ise işyerinde kamera ile izlemenin orantılılığı benzer ölçütlerle değerlendirilmiştir.

Anayasa Mahkemesi de bireysel başvuru kararlarında, işverenin kurumsal e-posta yazışmalarını inceleyerek elde ettiği bilgilere dayanarak yaptığı feshi, çalışanın denetim konusunda önceden bilgilendirilip bilgilendirilmediği ve müdahalenin ölçülü olup olmadığı açısından değerlendirmiştir.

Yargıtay ise işverenin denetim yetkisini tanımakla birlikte, işçinin bu denetimden haberdar edilmesini ve denetimin işin gereğiyle sınırlı kalmasını aramaktadır.

Bu kararlardan çıkan ortak sonuç açıktır: Önceden bilgilendirme, meşru amaç ve ölçülülük üçlüsü sağlanmadıkça, teknolojik izleme yoluyla elde edilen sonuçlara dayanmak işveren açısından ciddi risk taşır. Yapay zekâ, denetimin kapsamını ve derinliğini artırdığı için bu ölçütlerin daha sıkı uygulanması beklenebilir.

Sürekli İzleme, Baskı ve Mobbing Boyutu

Yapay zekâ destekli izleme, yalnızca bir veri koruma meselesi değildir. Çalışanın her hareketinin ölçüldüğü, sürekli skorlandığı ve bu skorların kamuya açık “liderlik tablolarında” paylaşıldığı bir çalışma ortamı, Türk Borçlar Kanunu’nun 417. maddesi uyarınca işverenin işçinin kişiliğini koruma borcuyla çatışabilir.

Belirli bir çalışanın sistematik olarak hedef alınması, aşağılanması ya da istifaya zorlanması için izleme verilerinin kullanılması hâlinde, durum psikolojik tacize dönüşebilir. Böyle bir tabloda çalışanın mobbing nedeniyle iş sözleşmesini haklı olarak feshetmesi ve kıdem tazminatı talep etmesi gündeme gelebilir.

Yaptırımlar: İşvereni Neler Bekler?

• İdari para cezası: KVKK’nın 18. maddesi uyarınca aydınlatma, veri güvenliği ve Kurul kararlarına uyma yükümlülüklerinin ihlali hâlinde Kişisel Verileri Koruma Kurulu idari para cezası uygular. Ceza tutarları her yıl yeniden değerleme oranında güncellenmektedir. 2024 değişikliğiyle bu cezalara karşı başvuru yolu idare mahkemeleri olarak belirlenmiştir.
• Cezai sorumluluk: Türk Ceza Kanunu’nun 135 ila 138. maddeleri, kişisel verilerin hukuka aykırı kaydedilmesi, verilmesi veya ele geçirilmesi ile yok edilmemesini suç olarak düzenler.
• Tazminat: Hukuka aykırı veri işleme, çalışanın kişilik haklarının ihlali niteliği taşıyorsa maddi ve manevi tazminat talebine konu olabilir.
• İş hukuku sonuçları: Feshin geçersizliği, işe iade, haklı fesih nedeniyle kıdem tazminatı ödeme yükümlülüğü.

Türkiye ve Avrupa Birliği’nde Güncel Durum

Türkiye’de yapay zekâyı genel olarak düzenleyen bir kanun henüz yürürlükte değildir; TBMM’ye sunulmuş kanun teklifleri bulunmakla birlikte bunlar yasalaşmamıştır. Öte yandan 18 Ağustos 2026 tarihli Resmî Gazete’de yayımlanan genelgeyle Türkiye Yapay Zekâ Eylem Planı (2026-2030) yürürlüğe girmiştir. Kişisel Verileri Koruma Kurumu da yapay zekâ konusundaki rehber çalışmalarını sürdürmekte olup Şubat 2026’da etken yapay zekâ (insan onayı olmadan eylem başlatabilen sistemler) hakkında da bir çalışma yayımlamıştır.

Avrupa Birliği’nde ise Yapay Zekâ Tüzüğü (AI Act), işe alım, aday değerlendirme, performans izleme, görev dağılımı, terfi ve fesih kararlarında kullanılan sistemleri yüksek riskli kabul etmektedir. 27 Temmuz 2026’da yürürlüğe giren Dijital Omnibus düzenlemesi (Tüzük (AB) 2026/1744) ile bu sistemlere ilişkin yükümlülüklerin uygulanma tarihi 2 Ağustos 2026’dan 2 Aralık 2027‘ye ertelenmiştir. AB’de çalışanı bulunan veya AB pazarına hizmet veren Türk şirketleri için bu takvim doğrudan önem taşır; diğer işverenler açısından ise yakın gelecekte Türk mevzuatının yöneleceği istikameti gösteren güçlü bir işarettir.

İşverenler İçin Uyum Kontrol Listesi

1. Envanter çıkarın: Şirkette hangi süreçlerde, hangi yapay zekâ araçlarının kullanıldığını (çalışanların kendi başına kullandıkları dahil) tespit edin.
2. Amaç ve hukuki sebebi belgeleyin: Her araç için işleme amacını ve dayandığınız KVKK şartını yazılı hâle getirin; açık rızaya otomatik olarak yaslanmayın.
3. Etki değerlendirmesi yapın: Özellikle izleme ve değerlendirme araçlarında, çalışanların hak ve özgürlüklerine etkisini önceden analiz edin.
4. Aydınlatma metinlerini güncelleyin: Yapay zekâ kullanımını açık ve anlaşılır biçimde bildirin; VERBİS kayıtlarınızı da gözden geçirin.
5. İnsan denetimini kurumsallaştırın: Çalışan aleyhine sonuç doğuran kararlarda yapay zekâ çıktısını tek başına belirleyici kılmayın.
6. Tedarikçi sözleşmelerini inceleyin: Veri işleme sözleşmesi, verilerin model eğitiminde kullanılıp kullanılmayacağı ve yurt dışı aktarım koşulları netleştirilmelidir.
7. Kurum içi kullanım politikası hazırlayın: Çalışanların hangi verileri hangi yapay zekâ araçlarına yükleyebileceğini açıkça düzenleyin ve eğitim verin.
8. Ayrımcılık testleri yapın: İşe alım ve değerlendirme araçlarının sonuçlarını yaş, cinsiyet gibi kriterler bakımından düzenli olarak denetleyin.

Sıkça Sorulan Sorular

İşveren, çalışanı yapay zekâ ile izleyebilir mi?

Genel kural olarak, meşru bir amaç bulunması, izlemenin ölçülü olması ve çalışanın önceden açıkça bilgilendirilmesi şartıyla sınırlı bir izleme mümkündür. Sürekli, ayrıntılı ve kişilik profili çıkaran izleme ise hukuka aykırılık riski taşır.

İşe alımda yapay zekâ ile elenen aday ne yapabilir?

Aday, KVKK’nın 11. maddesi uyarınca işverene başvurarak verilerinin nasıl işlendiğini öğrenebilir ve münhasıran otomatik analiz sonucu aleyhine doğan sonuca itiraz edebilir. Ayrımcılık şüphesi varsa eşit davranma ilkesi kapsamında da hak arayabilir.

Çalışandan alınan açık rıza her işlemeyi hukuka uygun hâle getirir mi?

Hayır. İş ilişkisindeki bağımlılık nedeniyle rızanın özgürce verildiği tartışmalıdır. Ayrıca rıza alınmış olsa bile işlemenin ölçülü ve amaçla sınırlı olması gerekir.

Yapay zekânın verdiği düşük performans puanı fesih için yeterli midir?

Tek başına yeterli kabul edilmesi güçtür. İşveren, puanın hangi verilere ve kriterlere dayandığını, doğruluğunu ve fesih kararında insan değerlendirmesi yapıldığını somut olarak ispatlayabilmelidir.

Yapay Zeka Hukuku’nu Avukat Ayça Bolak Anlatıyor

Yapay zekâ, insan kaynakları süreçlerine hız ve verimlilik kazandırabilir; ancak çalışanın kişisel verileri üzerindeki hakları, kullanılan teknolojinin gelişmişliğiyle birlikte zayıflamaz. Ölçülülük, şeffaflık, doğru hukuki sebep ve anlamlı insan denetimi sağlanmadan devreye alınan her araç, işveren için idari, cezai ve iş hukuku kaynaklı riskler doğurur. Çalışan açısından ise bu hakların bilinmesi, haksız bir fesih veya ayrımcı bir karar karşısında etkili bir savunma imkânı sunar.

Bolak Hukuk Bürosu olarak hem işverenlere yapay zekâ kullanımına yönelik KVKK ve iş hukuku uyum süreçlerinde, hem de bu sistemlerin kararlarından etkilenen çalışanlara hak arama süreçlerinde destek veriyoruz. Somut durumunuza ilişkin değerlendirme için iş hukuku alanındaki hizmetlerimizi inceleyebilir ve büromuzla iletişime geçebilirsiniz.