Algoritmik Kararlarda Yönetim Kurulu Neden Sorumlu Tutulur?

Yapay zekâ sistemlerinin kurumsal karar süreçlerine entegrasyonu, şirketler hukuku bakımından sorumluluk tartışmasının ağırlık merkezini temelden değiştirmektedir. Geleneksel algı, yapay zekâ kaynaklı zararlarda sorumluluğu “algoritmayı kimin kodladığı” teknik sorusuna indirgeme eğilimindedir. Oysa şirketler hukuku dogmatiği açısından asıl belirleyici olan; bu sistemin şirketin merkezî işleyişinde belirleyici bir araç hâline gelmesine kimin karar verdiği, bu tercihin hangi bilgi temeline dayandığı ve karar alma yetkisi ile doğan zarar arasında nasıl bir örgütsel mimarinin kurulduğudur.

Esasen bu mesele teknik bir yazılım kusurundan ziyade bir “teşkilatlanma ve gözetim” sorunudur. 6102 sayılı Türk Ticaret Kanunu’nun (TTK) anonim ortaklık yönetim kurulu sorumluluğuna ilişkin kurgusu; yönetimin yapılandırılması, görev ve yetki dağılımının yapılması, bilgi akışının güvenceye alınması ve üst gözetimin kesintisiz işletilmesi esasına dayanır. Yapay zekâ modellerinin bu yapıya eklenmesi sorumluluğu ortadan kaldırmadığı gibi; karara giden teknik ve sözleşmesel halkaları çoğaltarak nedensellik zincirini uzatmakta ve sorumluluğun adresini belirsizleştirme riski taşımaktadır.

Bu çalışmanın amacı, yapay zekâdan kaynaklanan tüm genel hukuki ihtilafları tüketmek değildir. İncelememiz; anonim şirket yönetim kurulunun yapay zekâ sistemlerinin seçimi, karar süreçlerine yerleştirilmesi, performansının izlenmesi ve kriz anında durdurulması bağlamındaki kanuni görev ve sorumluluklarıyla sınırlandırılmıştır. Bu doğrultuda; ilk olarak model çıktısının şirket kararları içerisindeki hukuki niteliği ve organizasyondaki konumu açıklanacak, ardından TTK m.369, m.375, m.378 ve m.553 hükümleri çerçevesinde yönetim kurulunun özen ve gözetim yükümlülüğü incelenecek, karşılaştırmalı hukuktaki AB Yapay Zekâ Tüzüğü ve Delaware gözetim içtihadının Türk hukuku bakımından öğretici işlevi değerlendirilecek, ve son olarak yönetim kurulundan uygulamada beklenebilecek somut örgütsel tedbirler formüle edilecektir.

Bu incelemenin temelinde şu önerme bulunmaktadır: Türk hukukunda yapay zekâ sistemlerinden kaynaklanan yönetim kurulu sorumluluğu bakımından bir düzenleme boşluğu bulunmamaktadır. Belirsiz olan sorumluluğun varlığı değil; TTK m.369’da kaynağını bulan “tedbirli yönetici” özen ölçüsünün somut içeriğidir. Model dokümantasyonunun, ölçülmüş hata oranlarının, gerçek bir insan müdahalesinin ve olay kayıtlarının belirli bir sektörde olağanlaşmasıyla birlikte, tedbirli bir yöneticiden beklenen davranışın kapsamı da genişleyecektir. Dolayısıyla özen ölçüsü, yeni bir kanuni düzenlemeyi beklemeksizin sektör uygulamasından ve giderek yaygınlaşan belgelendirme standartlarından beslenerek sertleşmektedir.

Yapay Zekâ Sisteminin Şirket Organizasyonundaki Yeri

Genel Olarak

Yapay zekâ sistemleri şirket faaliyetlerinin farklı aşamalarında kullanılabilmektedir. Çalışanların hazırladığı metinlerin düzeltilmesine yardımcı olan bir sistem ile kredi tahsisi, fiyatlandırma, işe alım, sigorta kabulü veya müşteri kabulü gibi şirketin hukuki ve ekonomik sonuç doğuran kararlarını fiilen belirleyen bir sistemin aynı kapsamda değerlendirilmesi mümkün değildir. İlk hâlde sistem, şirket çalışanının faaliyetini kolaylaştıran yardımcı bir araç niteliğindedir. İkinci hâlde ise sistem, şirketin karar akışına yerleşmekte ve çok sayıdaki bireysel işlem bakımından belirleyici hâle gelmektedir.

Bu ayrım yapay zekâ sisteminin teknik niteliğinden çok, şirket organizasyonu içerisindeki işleviyle ilgilidir. Aynı model bir şirkette yalnızca tavsiye üretirken başka bir şirkette herhangi bir insan müdahalesi bulunmaksızın hukuki sonuca dönüşebilir. Bu nedenle bir sistemin şirketler hukuku bakımından doğuracağı risk, yalnızca modelin nasıl çalıştığına bakılarak değil, model çıktısının şirket içerisinde kim tarafından, hangi ağırlıkla ve hangi denetim altında kullanıldığı tespit edilerek belirlenmelidir.

TTK m.375/1-(b), şirket yönetim teşkilatının belirlenmesini yönetim kurulunun devredilemez görev ve yetkileri arasında saymıştır. Bu düzenleme yapay zekâ sistemleri bakımından teknik bir ayrıntı değildir. Zira bir model çıktısının öneri olarak kalması veya otomatik biçimde işleme dönüşmesi; modelin kendisinden ziyade, şirket içerisinde kurulan karar ve yetki düzeninin sonucudur. Hâsılı yapay zekâ sisteminin hukuki önemini belirleyen husus, yalnızca sistemin kabiliyeti değil, bu kabiliyetin şirket organizasyonunda kendisine verilen yerdir.

Model Çıktısının Hukuki Niteliği

Yapay zekâ sisteminin ürettiği çıktı, tek başına hukuki anlamda bir “karar” değildir. Bu tespit, yapay zekâ sistemini önemsiz görmek amacıyla yapılmış retorik bir nitelendirme değil, hukuki süjenin ve irade açıklamasının niteliğinden kaynaklanan bir sonuçtur. Türk hukukunda irade açıklamasında bulunma ehliyetine sahip bir süje mevcut olmadıkça, model tarafından üretilen değerlendirmenin kendisine bağımsız bir hukuki karar niteliği atfedilemez.

Bu nedenle model çıktısı; bilirkişi raporu, aktüerya hesabı veya danışman görüşü gibi karar alma sürecinde kullanılan bir “malzeme”dir. Ancak yapay zekâ çıktısını bu örneklerden ayıran önemli bir husus bulunmaktadır. Danışman raporu çoğunlukla belirli aralıklarla hazırlanır, yetkili kişilerce okunur ve tartışılır. Yapay zekâ çıktısı ise bir gün içerisinde binlerce defa üretilebilir ve çoğu durumda hiçbir kişi tarafından ayrıca değerlendirilmeden uygulamaya geçirilebilir. Bu sebeple yapay zekâ sistemlerinin yarattığı risk, çıktının hukuki niteliğini değiştirmemekle birlikte, çıktının ölçeğini ve görünürlüğünü değiştirmektedir.

Burada sorumluluk incelemesinin ağırlık merkezi de değişmektedir. İncelemenin konusu, her bir çıktının isabetli olup olmadığıyla sınırlı tutulamaz. Asıl incelenmesi gereken, model çıktısının otomatik veya yarı otomatik olarak hukuki ve ekonomik işleme dönüşmesine izin veren organizasyonun nasıl kurulduğudur. Diğer bir ifade ile mesele, yapay zekânın şirket adına karar verip vermediğinden ziyade, şirketin kendi kararını hangi şartlar altında model çıktısına bağladığıdır.

Karar Akışı ile Sorumluluk Arasındaki İlişki

Yapay zekâ sistemleri, kararın hazırlanması ile kararın sonuç doğurması arasındaki mesafeyi uzatabilir. Modelin geliştiricisi, sistemi sağlayan teşebbüs, sistemi şirket bünyesine entegre eden birim, çıktıyı kullanan çalışan ve nihai işlemi gerçekleştiren kişi birbirinden farklı olabilir. Bu durumda zararlı sonucun ortaya çıktığı yere bakılarak sorumluluk merkezinin kolayca tespit edilmesi mümkün olmayabilir.

Ancak karar sürecindeki halkaların artması, yönetim kurulunun sorumluluğunu kendiliğinden ortadan kaldırmaz. Bilakis yönetim kurulunun görevi, bu halkalar arasında yeterli bilgi ve yetki akışının kurulmasını sağlamaktır. Şirket faaliyetinin merkezinde kullanılan bir sistemin hangi verilerle çalıştığı, hangi kararı ne ölçüde etkilediği, hata ve sapmaların kime raporlanacağı ve sistemin hangi şartlarda durdurulacağı belirlenmemişse, zararlı sonucun uzak bir operasyon biriminde meydana gelmiş olması teşkilatlanma eksikliğini önemsiz hâle getirmeyecektir.

Bu bağlamda zarar gören kişinin ileri süreceği iddia da değişecektir. Yapay zekâ sistemi bulunmayan klasik bir uyuşmazlıkta, yönetim kurulunun hatalı bir karar verdiği iddia edilebilir. Yapay zekâ sisteminin karar akışına yerleştiği bir uyuşmazlıkta ise iddia çoğu zaman yönetim kurulunun tekil ve hatalı bir karar verdiği değil, hatalı kararların tekrarlanmasını ve giderek kaçınılmaz hâle gelmesini sağlayan bir düzen kurduğu veya böyle bir düzenin kurulmasına kayıtsız kaldığı yönünde olacaktır. Bu ikinci iddia, özellikle TTK m.375/1-(b) ve (c)’de düzenlenen teşkilatın belirlenmesi ile muhasebe, finans denetimi ve finansal planlama için gerekli düzenin kurulması görevleri bakımından önem arz eder.

Türk Hukukunda Yönetim Kurulunun Özen ve Gözetim Yükümlülüğü

Özen Ölçüsü (TTK m.369)

TTK m. 369/1 uyarınca yönetim kurulu üyeleri ve yönetimle görevli üçüncü kişiler, görevlerini tedbirli bir yöneticinin özeniyle yerine getirmek ve şirketin menfaatlerini dürüstlük kurallarına uyarak gözetmekle yükümlüdür. Hükümde benimsenen özen ölçüsü sübjektif değil, objektif ve tipikleştirilmiş bir ölçüdür. Bu nedenle yönetim kurulu üyesinin kendi kişisel bilgi ve tecrübesi tek başına belirleyici olmayacaktır. Esas alınması gereken; ilgili sektörde, benzer büyüklükteki bir şirkette ve aynı görevi üstlenen tedbirli bir yöneticiden beklenebilecek davranıştır.

Elbette bu ölçü, yönetim kurulu üyesinin yazılım mühendisi gibi davranmasını veya kullanılan modelin mimarisini teknik ayrıntılarıyla bilmesini gerektirmez. TTK m. 369’daki ölçünün amacı yönetim kurulu üyesini şirket faaliyetinin bütün teknik ayrıntılarına hâkim bir uzman hâline getirmek değildir. Buna karşılık yönetim kurulu üyesinin teknik bilgisinin sınırlı olması, şirketin merkezî karar süreçlerinde kullanılan sistem hakkında hiçbir bilgi talep etmemesini de haklı göstermez. Tedbirli yöneticiden beklenen, modelin kodunu incelemesi değil; sistemin hangi amaçla kullanıldığını, şirket kararlarına hangi ağırlıkla dâhil olduğunu, hangi hata profilini taşıdığını ve öngörülen risklerin nasıl yönetildiğini anlayabilecek bir bilgi düzeni kurmasıdır.

Özen ölçüsünün yapay zekâ sistemleri bakımından en önemli özelliği, içeriğinin zaman içerisinde değişebilmesidir. Model dokümantasyonu, ölçülmüş hata oranı, ayrımcı sonuçların sınanması, insan müdahale noktası, değişiklik bildirimi ve olay kaydı belirli bir sektörde olağan uygulamalar hâline geldiğinde, aynı sektörde faaliyet gösteren bir şirket yönetim kurulunun bu tedbirleri bütünüyle göz ardı etmesi TTK m. 369 karşısındaki konumunu zayıflatacaktır. Burada yeni bir sorumluluk türü meydana gelmemektedir. Değişen husus, mevcut objektif özen yükümlülüğünün somut olayda gerektirdiği davranışların kapsamıdır.

O hâlde çalışmamız bakımından savunduğumuz temel sonuç şudur: Yönetim kurulunun özen yükümlülüğünün kanuni kaynağı TTK m. 369’dur; ancak bu yükümlülüğün yapay zekâ sistemleri bakımından somut ölçüsü, kanun metninde tüketilmiş değildir. Söz konusu ölçü, sektör uygulamalarından, teknik ve örgütsel standartlardan ve giderek AB kaynaklı belgelendirme pratiklerinden beslenerek sertleşir. Bu sertleşme, her defasında yeni bir kanun çıkarılmasını gerektirmediği gibi, uygulamanın kanuni düzenlemeden önce geliştiği hâllerde yönetim kurulunun sorumluluğunu da kendiliğinden ertelemez.

Sorumluluğun Kurucu Unsurları ve Nedensellik (TTK m.553)

TTK m. 553/1’de kurucuların, yönetim kurulu üyelerinin, yöneticilerin ve tasfiye memurlarının kanundan ve esas sözleşmeden doğan yükümlülüklerini kusurlarıyla ihlal etmeleri hâlinde şirkete, pay sahiplerine ve şirket alacaklılarına karşı verdikleri zarardan sorumlu olacakları düzenlenmiştir. Bu kapsamda sorumluluk incelemesi görev ihlali, kusur, zarar ve uygun nedensellik bağı unsurları üzerinden yapılacaktır. Yapay zekâ sisteminin kullanılması bu unsurların hiçbirini ortadan kaldırmaz. Bununla birlikte yapay zekâ, zararlı sonucu meydana getiren sürece yeni aktörler ve teknik işlemler ekleyerek nedensellik zincirini uzatır; ayrıca ispat edilmesi gereken hususun niteliğini değiştirir.

Tekil bir model çıktısının neden yanlış olduğunu açıklamak her zaman mümkün olmayabilir. Buna karşılık sistemin kullanımına ilişkin yönetim kurulu kararlarının, iç yönergelerin, performans raporlarının, olay kayıtlarının ve insan müdahalesine ilişkin fiilî uygulamanın incelenmesi mümkündür. Bu sebeple zarar gören kişi bakımından daha elverişli iddia, yönetim kurulunun belirli bir dosya hakkında yanlış karar verdiği değil, sistematik biçimde yanlış sonuç üretmeye müsait bir karar düzeni kurduğu veya var olan düzeni düzeltmediği yönünde olabilir.

Nedensellik bağının uzaması, sorumluluğun kesildiği anlamına gelmemelidir. Sistemin sağlayıcısı tarafından yapılan bir model değişikliği, veri akışındaki bozulma veya şirket çalışanının model çıktısına ilişkin hatalı işlemi somut olayın şartlarına göre nedensellik değerlendirmesinde önem taşıyacaktır. Ancak yönetim kurulunun kurmakla yükümlü olduğu bilgi ve gözetim düzeninin amacı tam da bu tür risklerin şirket içerisinde tespit edilmesini sağlamaktır. Dolayısıyla her yeni halka, yönetim kurulu bakımından bir sorumsuzluk sebebi olarak değil; önceden öngörülmesi, görev ve yetki bakımından konumlandırılması gereken bir risk olarak ele alınmalıdır.

Yönetimin Devri ve Dışarıdan Sistem Temininin Ayrılması

TTK m. 367/1 uyarınca yönetim kurulu, esas sözleşmeye konulacak bir hükme dayanarak ve düzenleyeceği iç yönergeye göre yönetimi kısmen veya tamamen bir veya birkaç yönetim kurulu üyesine yahut üçüncü kişiye devretmeye yetkili kılınabilir. Yönetim devredilmediği takdirde ise TTK m. 367/2 gereğince yönetim bütün yönetim kurulu üyelerine aittir. Usulüne uygun bir yetki devrinin yapılması hâlinde TTK m. 553/2, devreden organ veya kişilerin, devralanların seçiminde makul derecede özen göstermedikleri ispat edilmedikçe, bu kişilerin fiil ve kararlarından sorumlu tutulamayacağını öngörmektedir.

Bu noktada uygulamada birbirine karıştırılabilecek iki farklı hukuki ilişkiyi ayırmak gerekir. Bir yapay zekâ sisteminin dışarıdaki bir sağlayıcıdan satın alınması veya hizmet olarak temin edilmesi, TTK m. 367 anlamında “yönetimin devri” değildir. Sağlayıcı, şirket yönetim teşkilatı içerisinde yetkilendirilmiş bir organ veya kişi değil, şirketin sözleşme ilişkisinde bulunduğu karşı taraftır. Bu nedenle TTK m. 553/2’nin usulüne uygun yönetim devri bakımından öngördüğü sorumluluk daralması, sırf sistemin dışarıdan temin edilmiş olması nedeniyle uygulanamaz.

Sağlayıcının seçiminde gösterilen özen elbette hukuken önemsiz değildir. Sağlayıcının yeterliliğinin araştırılması, sistemin kullanım amacına uygunluğunun sınanması, model değişikliklerinin bildirilmesi, denetim hakkı, veri kalitesi, olayların raporlanması ve sözleşmenin sona erdirilmesi gibi hususlar yönetim kurulunun kendi özen yükümlülüğünün ifa görünümlerindendir. Ancak sağlayıcı seçiminde özen gösterilmiş olması, TTK m. 553/2 anlamında yönetim kurulunun sorumluluğunu daraltan bağımsız bir savunma olarak değil, TTK m. 369 kapsamında yerine getirilen özen yükümlülüğünün bir unsuru olarak değerlendirilmelidir.

Benzer şekilde sağlayıcı sözleşmesinde yer alan sorumsuzluk veya sorumluluğu sınırlama kayıtları da yönetim kurulu üyesinin şirkete, pay sahiplerine ve şirket alacaklılarına karşı kanundan doğan sorumluluğunu ortadan kaldırmaz. Bu tür kayıtlar, kural olarak şirket ile sağlayıcı arasındaki sorumluluk ve rücu ilişkisini düzenler. Şirket içi yönetim devrinin usulüne uygun olarak yapıldığı hâllerde dahi TTK m. 375’te sayılan üst düzey yönetim, yönetim teşkilatının belirlenmesi ve TTK m. 375/1-(e)’de yer alan üst gözetim görevi yönetim kurulunda kalmaya devam eder.

“Kontrol Dışılık” Savunmasının Sınırları (TTK m.553/3)

TTK m. 553/3’e göre hiç kimse kontrolü dışında kalan kanuna veya esas sözleşmeye aykırılıklar ya da yolsuzluklar sebebiyle sorumlu tutulamaz; bu sorumlu olmama durumu gözetim ve özen yükümü gerekçe gösterilerek geçersiz kılınamaz. Yapay zekâ sistemleri bakımından bu hükmün cazip bir savunma meydana getirebileceği düşünülebilir. Modelin açıklanabilir olmadığı, tekil çıktının öngörülemediği ve bu nedenle zararlı sonucun yönetim kurulu üyesinin kontrol alanı dışında kaldığı ileri sürülebilir.

Kanaatimizce açıklanamayan veya yeterince denetlenemeyen bir sistemin şirketin karar akışına yerleştirilmesi, tek başına “kontrol dışı” bir olay olarak nitelendirilemez. Çünkü burada öngörülemezliğin kaynağı, yönetim kurulunun etki alanının tamamen dışında gelişen bir olgu olmayabilir. Yönetim kurulu, şirketin karar süreçlerine denetlenebilirliği sınırlı bir aracı dâhil etmeyi veya böyle bir kullanımın sürdürülmesini kabul etmişse, denetlenebilirliğin azalması bizzat bir yönetim tercihinin sonucudur. Öngörülemezliği meydana getiren tercih ile bu tercihin devamında ortaya çıkan öngörülemez sonuç aynı hukuki kategori içerisinde değerlendirilemez.

TTK m. 553/3’ün koruduğu tipik hâl; yönetim kurulu üyesinin bilgisine ve etki alanına girmeyen, makul bir organizasyon ve bilgi akışı kurulmuş olsa dahi erişilemeyecek aykırılıklardır. Sağlayıcının sözleşmesel bildirim yükümlülüğüne rağmen gizlediği bir model değişikliği veya eğitim verisine dışarıdan yapılan ve şirketin makul tedbirlerle tespit edemeyeceği bir müdahale bu kapsamda değerlendirilebilir. Ancak bu hâllerin dahi savunma değeri taşıyabilmesi için yönetim kurulunun sağlayıcıdan gerekli bilgi akışını sözleşmesel ve örgütsel olarak talep etmiş, uygun izleme mekanizmalarını kurmuş ve buna rağmen bilgiye ulaşamamış olması gerekir.

İş Adamı Kararı İlkesi ve Otomasyon Kayması

Türk öğretisinde tartışılan iş adamı kararı ilkesi, yönetim kurulunun aldığı kararın ekonomik bakımdan isabetli çıkmasını garanti altına alan bir kural değildir. İlkenin koruduğu husus, kararın sonucundan ziyade kararın alınma sürecidir. Gerekli bilginin toplandığı, alternatiflerin değerlendirildiği, çıkar çatışmasının bulunmadığı ve kararın şirket menfaati gözetilerek alındığı hâllerde, sonradan olumsuz bir sonuç meydana gelmesi tek başına sorumluluk için yeterli kabul edilmemelidir.

Yapay zekâ sistemleri bu noktada “otomasyon kayması” olarak ifade edilebilecek özgün bir risk meydana getirir. Sayısal, kesin ve tarafsız olduğu izlenimini veren bir model çıktısı, karar vericilerin tartışmayı erken sona erdirmesine neden olabilir. Yönetim kurulunun veya yetkilendirilmiş kişinin model önerisini gerekçesini tartışmaksızın kabul ettiği hâlde, iş adamı kararı ilkesinin koruduğu bilgilendirilmiş ve alternatifleri değerlendirilmiş bir karar sürecinden bahsetmek güçleşecektir.

Meselenin simetrik yönü de gözden kaçırılmamalıdır. Model çıktısının gerekçesiz biçimde reddedilmesi de somut olayın şartlarına göre görev ihlali meydana getirebilir. Zira ilke, model çıktısına uyulmasını veya uyulmamasını tek başına korumaz. Korunan husus, bu iki seçenek arasındaki tercihi taşıyabilecek nitelikte bilgilendirilmiş, gerekçeli ve kayda geçirilmiş bir muhakeme sürecidir. Böyle bir kayıt bulunmadığı takdirde yönetim kurulunun elinde savunulabilir bir karar sürecinden ziyade yalnızca olumlu veya olumsuz bir sonuç kalacaktır.

Riskin Erken Saptanması ve Model Riski (TTK m.378)

TTK m. 378/1, pay senetleri borsada işlem gören şirketlerde yönetim kurulunu; şirketin varlığını, gelişmesini ve devamını tehlikeye düşüren sebeplerin erken teşhisi, gerekli önlemler ile çarelerin uygulanması ve riskin yönetilmesi amacıyla uzman bir komite kurmak, sistemi çalıştırmak ve geliştirmekle yükümlü kılmıştır. Pay senetleri borsada işlem görmeyen şirketlerde ise denetçi gerekli gördüğü takdirde yazılı bildirimde bulunarak komitenin kurulmasını isteyebilir. TTK m. 378/2 uyarınca komite, yönetim kuruluna iki ayda bir rapor vererek tehlikelere işaret eder ve gerekli çareleri gösterir; rapor aynı zamanda denetçiye de gönderilir.

Bu düzenlemenin yapay zekâ sistemleri düşünülerek kaleme alınmadığı açıktır. Ancak hükmün lafzı ve amacı, model riskinin erken risk teşhisi sistemi içerisinde değerlendirilmesine engel değildir. Kredi tahsisi, fiyatlandırma, sigorta kabulü veya müşteri kabulü gibi şirket faaliyetinin merkezî unsurlarının bütünüyle veya ağırlıklı olarak bir modele bağlandığı şirketlerde, model performansındaki sistematik bir sapma şirketin varlığını, gelişmesini ve devamını tehlikeye düşüren bir sebep hâline gelebilir.

Bu sebeple pay senetleri borsada işlem gören şirketlerde model riskinin komite gündemine girmesi için yapay zekâya özgü yeni bir kanuni düzenlemenin yapılması zorunlu değildir. TTK m. 378, bu riski taşıyabilecek kanuni çerçeveyi hâlihazırda sunmaktadır. Komitenin iki aylık raporlama düzeni de yapay zekâ sistemlerinin performansının, hata yönlerinin, önemli olaylarının ve alınan tedbirlerin yönetim kurulu seviyesinde izlenmesi bakımından doğal bir raporlama ritmi sağlayabilir.

Kişisel Verilerin Korunması ve Sektörel Düzenlemeler

6698 sayılı Kişisel Verilerin Korunması Kanunu m. 11/1-(g), ilgili kişiye işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkı tanımaktadır. Düzenlemede tamamen otomatik karar almaya ilişkin genel bir yasak veya ayrıntılı bir yapısal güvence sistemi kurulmamış; ilgili kişiye aleyhe sonucun meydana gelmesinden sonra kullanılabilecek bir itiraz hakkı tanınmıştır.

Bu tercihin şirketler hukuku bakımından doğrudan bir sonucu vardır. İtirazın kime yöneltileceği, hangi süre içerisinde değerlendirileceği, itirazı inceleyecek kişinin hangi yetkilere sahip olacağı, model çıktısının nasıl yeniden inceleneceği ve yapılan değerlendirmenin nasıl kayda geçirileceği KVKK m. 11/1-(g)’de ayrıntılı olarak düzenlenmemiştir. Bu düzeni kurma yükümlülüğü bir boşlukta kalmaz. Şirketin yönetim teşkilatının belirlenmesi ve gerekli düzenin kurulmasına ilişkin TTK m. 375/1-(b) ve (c) hükümleri, söz konusu itiraz hakkının fiilen kullanılabilir olmasını sağlayacak örgütsel yapının kurulmasını yönetim kurulunun görev alanına taşır. Dolayısıyla otomatik değerlendirmeye itiraz hakkının etkili biçimde kullanılabilmesi, veri koruma hukuku kadar bir şirket organizasyonu meselesidir.

Sektörel düzenlemelerin bulunduğu alanlarda genel özen ölçüsü ayrıca somutlaşacaktır. Bankacılık sektöründe bilgi sistemlerinin yönetişimi, 15 Mart 2020 tarihli ve 31069 sayılı Resmî Gazete’de yayımlanan Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik ile ayrıntılı biçimde düzenlenmiş; Yönetmelik 1 Temmuz 2020 tarihinde yürürlüğe girmiştir. Bu ve benzeri sektörlerde yönetim kurulunun bilgi sistemlerine ilişkin gözetim yükümlülüğü, genel TTK hükümlerine kıyasla daha ayrıntılı ve somut bir içerik kazanır. Yapay zekâ sisteminin bu bilgi sistemleri içerisinde merkezî bir işleve sahip olması hâlinde, sektörel düzenlemenin öngördüğü yönetişim ilkeleri TTK m. 369’daki tedbirli yönetici ölçüsünün değerlendirilmesinde de dikkate alınacaktır.

Karşılaştırmalı Hukuk ve Yasama Çalışmalarının İşlevi

Aşağıda incelenecek AB Yapay Zekâ Tüzüğü ile Delaware gözetim içtihadı, Türk hukukunda doğrudan uygulanan bağlayıcı hukuk kuralları değildir. Bu kaynaklara başvurulmasının nedeni Türk hukukundaki sorumluluk rejimini yabancı hukuk kurallarıyla ikame etmek değildir. Söz konusu kaynaklar, model riskinin sınıflandırılması, belgelendirilmesi ve yönetim kurulu seviyesindeki bilgi akışının değerlendirilmesi bakımından ölçütleri somutlaştırmaya yardımcı olabilir.

Bu noktada karşılaştırmalı kaynakların işlevi ile hukuki kaynak niteliği birbirinden ayrılmalıdır. Yabancı hukukta geliştirilen her çözümün Türk hukukuna doğrudan aktarılması mümkün değildir. Ancak şirketin iş modelinin merkezinde bulunan bir riskin nasıl teşhis edildiği, bu risk hakkında hangi bilgilerin toplandığı ve karar sürecinin nasıl kayda geçirildiği incelenerek TTK m. 369, m. 375 ve m. 378’in somut olayda gerektirdiği davranışlar daha belirli hâle getirilebilir.

Avrupa Birliği Yapay Zekâ Tüzüğü

Regulation (EU) 2024/1689, diğer bir ifadeyle AB Yapay Zekâ Tüzüğü, Avrupa Birliği üyesi devletlerde doğrudan uygulanan yürürlükte bir tüzüktür; Türkiye’de doğrudan uygulanmaz. Türk şirketleri bakımından Tüzüğün önemi çoğu zaman Türk şirketler hukukunda bir sorumluluk kaynağı olmasından değil, AB pazarına erişim koşulu meydana getirmesinden kaynaklanacaktır. AB pazarına sistem veya bu sistemin çıktısını sunan Türk şirketleri, Tüzükten doğan yükümlülükleri sözleşme ve uyum süreçleri aracılığıyla üstlenmek zorunda kalabilir.

Tüzüğün uygulama takvimi 2026 yılında önemli ölçüde değişmiştir. Dijital omnibus düzenlemesi 16 Haziran 2026 tarihinde Avrupa Parlamentosu, 29 Haziran 2026 tarihinde Konsey tarafından onaylanmış; 24 Temmuz 2026 tarihinde Avrupa Birliği Resmî Gazetesi’nde yayımlanarak 27 Temmuz 2026 tarihinde yürürlüğe girmiştir. Bu düzenleme sonucunda Ek III kapsamındaki yüksek riskli sistemlere ilişkin yükümlülüklerin uygulanma tarihi 2 Ağustos 2026’dan 2 Aralık 2027’ye, Ek I kapsamındaki yükümlülüklerin uygulanma tarihi ise 2 Ağustos 2028’e ertelenmiştir. Ayrıca 2 Ağustos 2026 tarihinden önce piyasaya sürülmüş sentetik içerik üreten sistemler bakımından şeffaflık yükümlülükleri için 2 Aralık 2026 tarihi öngörülmüştür.

Bu ertelemeden Türk şirketleri bakımından da genel bir mühlet doğduğu sonucu çıkarılmamalıdır. Türk yönetim kurulunun özen yükümlülüğünün kaynağı AB Yapay Zekâ Tüzüğü değil, TTK m. 369’dur. AB hukukundaki uyum takviminin ertelenmesi, Türk hukukundaki özen yükümlülüğünü ertelemez. Erteleme yalnızca AB kaynaklı belirli uyum yükümlülüklerinin yürürlüğe girme zamanını değiştirir; Türk şirketinin kendi karar süreçlerini örgütleme ve belgelendirme yükümlülüğüne doğrudan etki etmez.

AB Yapay Zekâ Tüzüğünün şirketler hukuku bakımından öğretici olan diğer yönü muhatabın belirlenmesidir. Tüzük, kural olarak yapay zekâ sisteminin sağlayıcısını ve sistemi kullananı muhatap almakta; şirket organının sorumluluğunu bağımsız biçimde düzenlememektedir. İnsan gözetimi de bir şirket organına değil, görevlendirilmiş gerçek kişilere bağlanmaktadır. Dolayısıyla Tüzük esasen bir ürün ve piyasa düzenlemesidir; yönetim kurulu üyelerinin organ sorumluluğu sorununu çözmez.

Tüzüğün meydana getirdiği uyum yükümlülükleri Türk şirketler hukukuna ancak dolaylı biçimde girebilir. Yönetim kurulunun, şirketin tabi olduğu hukuk kurallarına uygun bir teşkilat kurma yükümlülüğü bu dolaylı bağlantının temelini oluşturur. Ancak bu sonuç mekanik bir aktarıma dayanmaz. “AB hukukunda bu şekilde düzenlenmiştir; o hâlde Türk hukukunda da aynı çözüm geçerlidir” şeklindeki bir çıkarım hukuken isabetli olmayacaktır. Tüzük, en fazla TTK’daki objektif özen ölçüsünün ve belgelendirme beklentisinin somutlaştırılmasında dikkate alınabilecek uygulama verilerinden biridir.

Delaware Gözetim İçtihadı (Caremark ve Marchand)

Delaware hukukunda In re Caremark International Inc. Derivative Litigation kararıyla başlayan ve Marchand v. Barnhill kararıyla belirginleşen içtihat çizgisi, yönetim kurulunun şirketin merkezî riski bakımından bir izleme ve raporlama sistemi kurmak için iyi niyetli bir çaba göstermemesini bağımsız bir ihlal olarak değerlendirmektedir. In re Boeing Co. Derivative Litigation kararında ise bu yaklaşım güvenlik riski bağlamında sürdürülmüştür.

Bu içtihat Türk hukukunda bağlayıcı bir kaynak değildir. Ayrıca Delaware hukukundaki sorumluluk sisteminin dogmatik temeli Türk hukukundan farklıdır. Delaware mahkemeleri meseleyi sadakat ve iyi niyet yükümlülüğü üzerinden ele alırken, Türk hukukunda aynı sorun TTK m. 369’daki özen ve bağlılık yükümlülüğü ile TTK m. 375’teki teşkilatlanma ve üst gözetim görevleri üzerinden değerlendirilir.

Bununla birlikte söz konusu içtihat çizgisinin Türk hukuku bakımından aktarılabilir bir “teşhis biçimi” bulunmaktadır. Şirketin iş modelinin merkezinde bulunan risk ile çevresel ve ikincil risk arasında ayrım yapılması ve özellikle merkezî risk hakkında yönetim kurulu seviyesinde düzenli bilgi akışının aranması, Türk hukukundaki değerlendirmeye yardımcı olabilir. Bu ayrım, TTK m. 375/1-(c)’de yer alan “şirketin yönetiminin gerektirdiği ölçüde” ibaresi ile TTK m. 378’de yer alan “şirketin varlığını, gelişmesini ve devamını tehlikeye düşüren” ölçütün yorumunda faydalı bir düşünce aracı niteliğindedir. Ancak tekrar ifade etmek gerekir ki burada Delaware içtihadı bir hukuk kaynağı olarak değil, Türk hukukundaki kanuni ölçütlerin somutlaştırılmasını kolaylaştıran karşılaştırmalı bir araç olarak kullanılmaktadır.

Türkiye’deki Yasama Çalışmaları

Türkiye Büyük Millet Meclisine 25 Haziran 2024, 10 Kasım 2025 ve 3 Aralık 2025 tarihlerinde yapay zekâya ilişkin kanun teklifleri sunulmuştur. Bu tekliflerde risk temelli sınıflandırma, yapay zekâ tarafından üretilen içeriklerden doğan sorumluluk ve müşterek sorumluluk gibi başlıklar ön plana çıkmaktadır. Bununla birlikte anılan tekliflerin hiçbiri şirket organlarının sorumluluğunu bağımsız ve sistematik bir konu olarak ele almamaktadır.

Bu durum ilk bakışta bir eksiklik olarak değerlendirilebilir. Ancak organ sorumluluğunun zaten TTK’nın konusu olduğu gözden kaçırılmamalıdır. Yapay zekâ sistemlerinin şirket faaliyetlerinde kullanılmasından doğan her yeni risk için ayrı bir organ sorumluluğu düzenlemesi yapılması zorunlu değildir. Çalışmamızda savunduğumuz görüş de bu yöndedir. Mesele bir sorumluluk boşluğundan ziyade, mevcut özen ve gözetim ölçüsünün yapay zekâ sistemleri bakımından henüz yeterince somutlaştırılmamış olmasıdır.

Yönetim Kurulundan Beklenebilecek Örgütsel Tedbirler

 Sistemin Kullanım Alanı ve Karardaki Ağırlığının Belirlenmesi

Yönetim kurulundan kullanılan yapay zekâ sisteminin mimarisini bütün teknik ayrıntılarıyla anlaması beklenemez. Ancak sistemin şirketin hangi faaliyetinde ve hangi kararında kullanıldığını bilmesi beklenebilir. Çalışanın bir metin taslağı hazırlamasına yardımcı olan bir araç ile kredi, işe alım, fiyatlandırma, sigorta kabulü veya müşteri kabulü kararını fiilen belirleyen bir sistemin aynı yönetişim düzenine tabi tutulması isabetli değildir.

Bu sebeple ilk olarak sistemlerin kullanım amaçlarına ve doğurdukları risklere göre sınıflandırılması gerekir. Model çıktısının tavsiye niteliğinde mi olduğu, kararda yalnızca belirli bir ağırlık mı taşıdığı yoksa kural olarak otomatik biçimde mi uygulandığı açıkça belirlenmelidir. Böyle bir ayrımın yapılmamış olması, teknik bir eksiklikten önce bir teşkilatlanma kusurudur. Çünkü şirket, hangi kararın insan muhakemesine, hangi kararın model çıktısına ve hangi kararın ikisinin birleşimine dayandığını bilmiyorsa görev, yetki ve sorumluluk dağılımını da sağlıklı biçimde kuramaz.

Hata Profilinin Bilinmesi

Bir yapay zekâ sisteminin genel doğruluk oranı, yönetim kurulunun ihtiyaç duyduğu bilgiyi her zaman sağlamaz. Önemli olan yalnızca sistemin ne sıklıkla hata yaptığı değil, hangi yönde ve kimin aleyhine hata yaptığıdır. Yüksek bir ortalama doğruluk oranı, belirli bir müşteri grubu, coğrafi bölge veya işlem türü bakımından ortaya çıkan sistematik sapmayı gizleyebilir.

Hukuki sorumluluk çoğu durumda ortalama performanstan değil, belirli bir grup veya işlem türü üzerinde yoğunlaşan sapmadan doğacaktır. Bu nedenle performans raporlarının yalnızca genel başarı oranını göstermesi yeterli sayılmamalıdır. Hata türlerinin, etkilenen kişi ve işlem gruplarının, önceki dönemlere göre değişimin ve yapılan model güncellemelerinin sonuçlarının yönetim kuruluna veya görevli komiteye anlaşılır biçimde raporlanması gerekir.

Bu raporlama yapılırken yönetim kuruluna ham teknik verilerin sunulması da tek başına yeterli değildir. Bilginin, yönetim kurulu üyesinin riskin büyüklüğünü, yönünü ve şirket üzerindeki muhtemel etkisini kavrayabileceği bir içeriğe dönüştürülmesi gerekir. Aksi hâlde çok sayıda teknik gösterge sunulmuş olsa dahi hukuken işlevsel bir bilgi akışından söz edilemeyebilir.

İnsan Müdahalesinin Gerçek Olması

Yapay zekâ sistemlerinin kullanıldığı karar süreçlerinde çoğu zaman nihai kararın bir insan tarafından verildiği ifade edilir. Ancak bu kişinin model çıktısının aksine karar verme yetkisinin bulunmaması, değerlendirme yapmaya yeterli zamanının olmaması veya model çıktısına aykırı davrandığında olumsuz bir sonuçla karşılaşması hâlinde gerçek bir insan gözetiminden söz edilemez. Bu durumda insan müdahalesi, fiilî bir denetim mekanizması olmaktan çıkarak kâğıt üzerinde atılan bir imzaya dönüşür.

İnsan halkasının gerçekliği iç yönergenin lafzına bakılarak değil, uygulamanın fiilî akışı incelenerek belirlenmelidir. Yetkili kişinin kaç dosyayı ne kadar sürede değerlendirdiği, model çıktısına hangi sıklıkla aykırı karar verebildiği, aykırı kararların gerekçelendirilip gerekçelendirilmediği ve bu kişilerin performans değerlendirmesinde hangi ölçütlerin kullanıldığı önem taşır. Bu unsurlar, görünüşte var olan insan müdahalesinin gerçekte kararın içeriğini etkileyip etkilemediğini gösterecektir.

Durdurma Yetkisinin Önceden Belirlenmesi

Model performansında önemli bir sapma tespit edildiğinde sistemin kim tarafından, hangi eşikte ve kimin onayı aranmaksızın durdurulabileceği önceden belirlenmelidir. Durdurma yetkisinin yalnızca yönetim kuruluna bırakılması, özellikle yüksek işlem hacmine sahip sistemlerde gerekli müdahalenin gecikmesine neden olabilir. Buna karşılık durdurma yetkisinin sınırlarının hiç belirlenmemesi de yetki karmaşası yaratacaktır.

Bu nedenle eşikler, yetkili kişiler, bildirim zinciri ve yeniden devreye alma şartları iç düzenlemelerde açıkça gösterilmelidir. Kriz anında kimin karar vereceğinin belirlenmemiş olması, krizin ortaya çıkmasından sonra kolayca giderilebilecek basit bir eksiklik değildir. Kriz anında bulunamayan yetki, geriye dönük sorumluluk değerlendirmesinde yönetim kurulunun teşkilatlanma görevinin gereği gibi yerine getirilmediğini gösterebilir.

Karar ve Risklerin Kayıt Altına Alınması

Yapay zekâ sisteminin hangi amaçla seçildiği, alternatif sistemlerin neden tercih edilmediği, hangi uzman görüşlerinin alındığı, hangi risklerin öngörüldüğü, bu riskler için hangi tedbirlerin kabul edildiği ve hangi artık risklerin şirket tarafından üstlenildiği karar belgelerine yansıtılmalıdır. Bu kayıtlar yalnızca ileride açılabilecek bir sorumluluk davası bakımından delil meydana getirmez. Aynı zamanda modelin kullanım amacı ile fiilî kullanım biçimi arasındaki sapmanın zaman içerisinde tespit edilmesini sağlar.

Kararın ve izleme faaliyetinin kayda geçirilmediği bir durumda, uyuşmazlık ortaya çıktığında yönetim kurulunun elinde savunulabilecek bir süreç değil, yalnızca meydana gelmiş bir sonuç kalır. Sonucun olumsuz olması hâlinde geriye dönük bakış, kararın alındığı tarihte mevcut olan bilgi ve seçenekleri görünmez hâle getirebilir. Bilgilendirilmiş karar sürecinin zamanında oluşturulan kayıtlarla ortaya konulması, bu nedenle hem özen yükümlülüğünün ifası hem de iş adamı kararı ilkesinin uygulanması bakımından önemlidir.

Kayıt düzeni tek seferlik bir yönetim kurulu kararıyla sınırlı tutulmamalıdır. Sistemin performansında, kullanım alanında, veri kaynağında veya sağlayıcısında meydana gelen önemli değişiklikler; gerçekleşen olaylar ve bu olaylar üzerine alınan tedbirler de düzenli biçimde kayda geçirilmelidir. Böylece sistemin şirkete ilk defa dâhil edilmesi sırasında yapılan değerlendirme ile sınırlı olmayan, sistemin bütün yaşam döngüsünü kapsayan bir gözetim düzeni kurulabilir.

Sonuç

Yapay zekâ sistemlerinin şirket faaliyetlerinde kullanılması, yönetim kurulu üyelerinin her hatalı model çıktısından şahsen sorumlu tutulacağı anlamına gelmez. Böyle bir yaklaşım hem TTK’nın kusura dayalı sorumluluk sistemiyle bağdaşmaz hem de uygulamada işlevsel olmaz. Sorumluluk incelemesinde esas alınması gereken husus, tekil çıktının sonradan bakıldığında doğru veya yanlış görünmesi değildir. İncelenmesi gereken; sistemin seçilmesi, şirket organizasyonundaki yerinin belirlenmesi, performansının izlenmesi ve gerektiğinde durdurulması bakımından makul, işleyen ve belgelendirilebilir bir yönetim düzeninin kurulup kurulmadığıdır.

Yapay zekâ sisteminin ürettiği çıktı hukuki anlamda bağımsız bir karar değil, şirketin karar sürecinde kullanılan bir girdidir. Ancak bu girdinin çok büyük bir ölçekte ve çoğu zaman ayrıca okunmaksızın işleme dönüşmesi, sorumluluk incelemesinin ağırlık merkezini tekil karardan teşkilatlanmaya taşır. Modelin kim tarafından yazıldığı elbette bazı uyuşmazlıklarda önem taşıyabilir. Fakat şirketler hukuku bakımından asıl soru, model çıktısının şirket kararına nasıl dönüştüğü ve bu dönüşümün hangi bilgi, yetki ve gözetim düzeni içerisinde gerçekleştiğidir.

Türk hukukunda bu soruları karşılayabilecek kanuni bir çerçeve mevcuttur. TTK m. 369 objektif özen ölçüsünü; TTK m. 375 yönetim teşkilatının belirlenmesi ile üst gözetim görevini; TTK m. 378 belirli şirketlerde riskin erken saptanması sistemini; TTK m. 553 ise görev ihlalinden doğan sorumluluğun esaslarını düzenlemektedir. Yapay zekâ sistemleri bu hükümlerin yerine yeni bir sorumluluk rejimi getirmez. Bununla birlikte nedensellik zincirini uzatır, bilgi akışını karmaşıklaştırır ve özen yükümlülüğünün somut içeriğinin yeniden belirlenmesini gerektirir.

Çalışmamızda ulaşılan temel sonuç, yapay zekâ sistemleri bakımından belirsiz olanın sorumluluğun varlığı değil, özenin ölçüsü olduğudur. Bu ölçünün kanuni kaynağı değişmemektedir; ancak içeriği sektör uygulamasından, teknik ve örgütsel standartlardan ve giderek yaygınlaşan AB kaynaklı belgelendirme pratiklerinden beslenerek sertleşmektedir. Dolayısıyla yönetim kurulunun yükümlülüklerinin somutlaşması, yapay zekâya özgü yeni bir kanuni düzenlemenin yürürlüğe girmesini beklemeyebilir.

Nihayet yönetim kurulundan teknolojiye bütün teknik ayrıntılarıyla hâkim olması beklenemez. Beklenebilecek olan; şirketin hangi riski aldığını, bu riskin hangi yöntemlerle yönetildiğini, model çıktısının hangi kişi tarafından gerçek bir değerlendirmeye tabi tutulduğunu ve sistemin gerektiğinde kim tarafından durdurulabileceğini bilmesidir. Uyuşmazlık meydana geldiğinde geriye kalacak olan modelin kendisinden ziyade, bu sorulara kararın alındığı tarihte verilmiş ve kayda geçirilmiş cevaplar olacaktır.

Alan haritasındaki yeri. Bu yazı, alan haritasında şu sorulara cevap veriyor:

• Yönetim kurulunun devredilemez görev ve yetkileri (TTK m.375) bir sisteme fiilen kayabilir mi; bu kayma hukuken ne sayılır?
• Tedbirli yöneticinin özeni (TTK m.369) sistem çıktısına dayanan kararda hangi ölçütle değerlendirilir?
• Sisteme duyulan güven sorumluluğu (TTK m.553) kaldırır mı; kaldırmıyorsa hangi gözetim yükümlülüğü doğar?
• Riskin erken saptanması ve yönetimi (TTK m.378) bakımından model riski nerede durur?
• Sözleşmeyle dağıtılan sorumluluk, yönetim kurulunun TTK m.375 uyarınca devredilemeyen üst gözetim görevini hangi noktada sınırlar?

Yazı, ikinci başlıktaki soruların tamamını değil, özen ölçütü, gözetim yükümlülüğü ve model riskinin erken saptanmasına ilişkin olanları ele alıyor; pay sahibinin bilgi alma hakkı (TTK m.437) ve yönetici sorumluluk sigortası bakımından model kaynaklı zarar bu yazının dışında.

Kaynaklar: 6102 sayılı Türk Ticaret Kanunu m.367, m.369, m.375, m.378, m.553 · 6698 sayılı Kişisel Verilerin Korunması Kanunu m.11 · Regulation (EU) 2024/1689 (AB Yapay Zekâ Tüzüğü) ve 2026 tarihli dijital omnibus değişikliği

Bu sitede yayımlanan değerlendirmeler genel niteliktedir ve somut bir olaya ilişkin hukuki görüş oluşturmaz.