Çalışanlar şirket sırlarını fısıldıyor! Milyonlarca euroluk cezalar kapıda
AB Yapay Zeka Yasası'nın "görünmeyen risk" yükümlülüğü şirketleri hazırlıksız yakalayabilir. Dünya genelinden vakalar bunun sadece teorik bir tehdit olmadığını gösteriyor.
Çalışanların büyük çoğunluğu bugün iş süreçlerinde ChatGPT, Microsoft Copilot, Gemini ya da Claude gibi yapay zeka araçlarını kullanıyor. Çoğu zaman şirket yönetiminin haberi bile olmadan. Müşteri verileri, sözleşme taslakları, finansal raporlar... Bu bilgiler her gün sessizce yapay zeka araçlarına giriliyor. AB Yapay Zeka Yasası'nın "yapay zeka okuryazarlığı" yükümlülüğü (Madde 4) ve genel ceza rejimi (Madde 99) artık bu görünmeyen riski şirketlerin gündemine sokuyor: yasa kapsamındaki cezalar, en üst kademede 35 milyon Euro'ya veya küresel cironun %7'sine kadar çıkabiliyor.
AB YAPAY ZEKA YASASI NEDİR?
AB Yapay Zeka Yasası (Regulation (EU) 2024/1689), Avrupa Birliği'nin yapay zeka sistemlerinin güvenli, şeffaf ve sorumlu şekilde kullanılmasını sağlamak için hazırladığı kapsamlı bir düzenlemedir. Yalnızca büyük teknoloji şirketlerini değil; yapay zeka kullanan her ölçekten şirketi, çalışanı, freelancer'ı ve Avrupa pazarına hizmet veren işletmeleri de kapsıyor.
MADDE 4: SESSİZ AMA KRİTİK YÜKÜMLÜLÜK
Yasanın Madde 4'ü, şirketlerin çalışanlarının ve kendi adlarına yapay zeka ile çalışan kişilerin (yükleniciler, freelancer'lar, ajanslar) bu araçları bilinçli şekilde kullanmasını sağlamakla yükümlü olduğunu belirtiyor. Bu yükümlülük 2 Şubat 2025'ten beri kesintisiz yürürlükte.
Risk, tam olarak burada başlıyor: şirket yapay zeka kullanır, personel yeterince eğitilmemiştir, hassas veriler onay alınmadan araçlara girilir, yönetim hangi araçların kullanıldığından haberdar bile olmaz… Ta ki bir veri sızıntısı, müşteri şikâyeti ya da denetim bu "gölge YZ" kullanımını gün yüzüne çıkarana kadar.
27 Temmuz 2026'da yürürlüğe giren "Digital Omnibus on AI" düzenlemesi (Regulation (EU) 2026/1744) ile Madde 4'ün ifadesi güncellendi: şirketlerden artık belirli bir okuryazarlık seviyesini "sağlaması" değil, bu gelişimi "desteklemesi" bekleniyor. Aynı düzenlemeyle yüksek riskli yapay zeka sistemlerine (Ek III istihdam, eğitim, kritik altyapı, biyometrik tanımlama gibi alanlar) ilişkin ana yükümlülüklerin uygulama tarihi 2 Ağustos 2026'dan 2 Aralık 2027'ye ertelendi. Buna karşılık 2 Ağustos 2026'daki genel uygulama tarihi ve şeffaflık yükümlülükleri (Madde 50 deepfake ve YZ üretimi içerik etiketleme) değişmeden yürürlüğe giriyor.
CEZALAR NE KADAR YÜKSEK?
AB Yapay Zeka Yasası'nın Madde 99'u, üç kademeli bir idari para cezası sistemi öngörüyor:
- 35 milyon € veya küresel cironun %7'si — yasaklı yapay zeka uygulamaları (sosyal skorlama, izinsiz biyometrik tanıma, manipülatif YZ vb.)
- 15 milyon € veya küresel cironun %3'ü — sağlayıcı, kullanıcı (deployer), ithalatçı, distribütör ve şeffaflık yükümlülüklerinin ihlali
- 7,5 milyon € veya küresel cironun %1'i — yetkililere yanlış veya yanıltıcı bilgi verilmesi.
Önemli bir nüans: Madde 4'ün kendisi bu üç ceza kademesinin doğrudan kapsamında yer almıyor; yani yalnızca "yeterli eğitim vermedik" gerekçesiyle otomatik bir para cezası kesilmiyor. Ancak Madde 4 eksikliği, başka bir ihlal (veri sızıntısı, KVKK/GDPR ihlali, yasaklı bir uygulamanın kullanımı) yaşandığında düzenleyicinin "bu şirket gerekli özeni göstermemiş" değerlendirmesine yol açarak süreci ağırlaştırabiliyor. Üye devletler ayrıca kendi ulusal mevzuatlarında Madde 4'e özgü ek yaptırımlar da öngörebiliyor.
BU RİSKLER ZATEN GERÇEKLEŞTİ: DÜNYADAN VAKA ÖRNEKLERİ
"Gölge YZ" kullanımı, denetimsiz chatbot dağıtımı ve YZ çıktısına kör güven, teorik bir senaryo değil. Son üç yılda dünya genelinde şirketleri hem maddi hem itibari olarak ciddi şekilde vurdu:
VERİ SIZINTISI: "GÖLGE YZ" RİSKİNİN KLASİK ÖRNEĞİ
Samsung (Güney Kore, Mart 2023) Mühendislere ChatGPT kullanım izni verildikten sonraki 20 gün içinde 3 ayrı olayda gizli kaynak kodu, donanım verisi ve toplantı notları harici YZ sunucularına sızdı. Şirket sonunda kurumsal ağlarda kişisel YZ araçlarını tamamen yasakladı. Bu, AB Yapay Zeka Yasası Madde 4'ün tam olarak önlemeyi hedeflediği senaryodur: eğitimsiz personel + denetimsiz araç kullanımı.
CHATBOT SORUMLULUĞU: ŞİRKET, BOTUN SÖYLEDİĞİNDEN SORUMLU
Air Canada (Kanada, Şubat 2024 karar) Şirketin web sitesindeki chatbot bir müşteriye yanlış indirim bilgisi verdi. Air Canada "bot ayrı bir tüzel kişiliktir" savunmasını yaptı; mahkeme bunu reddederek şirketi tazminata mahkûm etti. Emsal net: kurumsal YZ aracının hatası, şirketin hatasıdır.
DPD (İngiltere, Ocak 2024) Kargo firmasının ChatGPT destekli chatbot'u bir müşteriye küfretti ve kendi şirketini eleştirdi; olay viral olunca bot saatler içinde kapatıldı. Denetimsiz YZ dağıtımının itibar riskine örnek.
Chevrolet Bayii (ABD, Aralık 2023) Bir kullanıcı "prompt injection" yöntemiyle bayii chatbot'unu 76 bin dolarlık bir aracı 1 dolara "satmaya" ikna etti. Satış geçersiz sayıldı, ama olay YZ araçlarının harici manipülasyona ne kadar açık olduğunu gösterdi.
YZ Halüsinasyonu: Kör Güvenin Bedeli
Mata v. Avianca (ABD, Haziran 2023) Bir avukat, ChatGPT'nin uydurduğu 6 sahte mahkeme kararını doğrulamadan dilekçeye koyup mahkemeye sundu; hâkim avukatlara ve hukuk bürosuna toplam 5.000 dolar para cezası kesti. Ders: kritik kararlarda YZ çıktısı mutlaka insan tarafından doğrulanmalı.
Algoritmik Önyargı: Eğitim Verisi Kaderdir
Amazon İşe Alım Algoritması (ABD, 2015-2018) Geçmiş işe alım verileriyle eğitilen sistem, kadın adayları sistematik olarak düşük puanladı. Şirket düzeltemeyince projeyi tamamen iptal etti. AB Yapay Zeka Yasası'nda işe alım sistemleri tam da bu nedenle "yüksek riskli" kategoride sayılıyor.
KAMU SEKTÖRÜNDE DENETİMSİZ YZ
NYC MyCity Chatbot (ABD, 2024) New York Belediyesi'nin küçük işletmelere yol göstermesi için kurduğu resmi chatbot, ev sahiplerine ve işverenlere yasalara aykırı tavsiyeler verdi. Kamu kurumu olması bile, denetimsiz YZ dağıtımının sonuçlarından muaf tutmadı.
ŞİRKETLER NE YAPMALI?
Yukarıdaki örneklerin ortak noktası açık: hiçbiri "kötü niyetli" bir YZ kullanımından değil, denetimsizlik, eğitimsizlik ve şeffaflık eksikliğinden kaynaklandı. AB Yapay Zeka Yasası'nın Madde 4 yükümlülüğü tam olarak bunu hedefliyor. Şirketlerin atması gereken somut adımlar:
- Şirket içinde hangi yapay zeka araçlarının kullanıldığını tespit etmek
- "Gölge YZ" kullanımını görünür hale getirmek
- Hangi verilerin yapay zeka araçlarına girilebileceğini net şekilde belirlemek
- Yazılı bir yapay zeka kullanım politikası oluşturmak
- Çalışanlara düzenli farkındalık eğitimi vermek ve bunu belgelemek
- Müşteriye açık chatbot/YZ araçlarında insan denetim ve doğrulama mekanizması kurmak
"Amaç yapay zekayı yasaklamak değil; güvenli, bilinçli ve kontrollü kullanımı sağlamak" değerlendirmesi yapılıyor. Ancak hazırlıksız yakalanan şirketler için hem yasal hem de itibar riski giderek büyüyor. Yukarıdaki örnekler bunun soyut bir olasılık değil, tekrar eden bir örüntü olduğunu gösteriyor.
