KVKK, Türkiye'de milyonlarca çalışanı ilgilendiren bir sınır çizdi: işverenin çalışana tahsis ettiği kurumsal e-postayı ve iletişim kanallarını denetleme yetkisi sınırsız değil. Aracın işverene ait olması, içeriğine serbestçe erişme hakkı vermiyor. Karar, denetimi ölçülülük, önceden bilgilendirme ve kayıt şartına bağlıyor. Bu konuyu EY'nin AI yönetişim araştırması, COSO'nun üretken AI rehberi ve Avrupa'da DORA ile NIS2'nin uygulama dönemiyle birlikte değerlendirdiğimizde hepsi aynı yöne işaret ediyor: bir yetkiye ya da politikaya sahip olmak yetmiyor, onu hukuka uygun ve kanıtlanabilir biçimde kullanmak gerekiyor.
Kişisel Verileri Koruma Kurulu'nun 16 Eylül 2026 tarihli, 8 Ekim'de yayımlanan 2026/2035 sayılı İlke Kararı, işverenin kurumsal e-posta ve iletişim kanallarını denetlemesini ölçülülük, somut bilgilendirme ve kademeli erişim şartlarına bağladı. Teknik erişim imkânı, hukuki erişim hakkı anlamına gelmiyor.
→ KVKK · 2026/2035 sayılı İlke KararıKişisel Verileri Koruma Kurulu'nun 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı (8 Ekim'de yayımlandı), Türkiye'de milyonlarca çalışanı ilgilendiren bir sınır çizdi: işverenin kurumsal e-posta ve iletişim kanallarını denetleme yetkisi sınırsız değil. Kararın özü, aracın işverene ait olmasının sınırsız denetim hakkı vermediği. Teknik erişim imkânı, özel iletişim içeriklerine serbestçe erişme hakkı sağlamıyor.
Karar, denetimi somut şartlara bağlıyor: çalışan denetimden önce ve somut biçimde bilgilendirilmeli; "kurumsal e-posta denetlenebilir" gibi genel bir ibare yeterli değil. Denetim amacıyla sınırlı, ölçülü ve kademeli olmalı; içeriğe, kural olarak somut bir şüphe ya da belirli bir olayla bağlantılı meşru bir amaç varsa, önce trafik ve log kayıtları gibi daha az müdahaleci yöntemler değerlendirildikten sonra erişilmeli. Kararda ayrıca, iş ilişkisindeki güç dengesizliği nedeniyle açık rızanın kural olarak öncelikli bir dayanak sayılamayacağı vurgulanıyor.
Kaynak: KVKK · 2026/2035 sayılı İlke Kararı (16 Eylül 2026, 8 Ekim 2026'da yayımlandı)Bu karar bir yasak değil, bir disiplin. Mevcut "kabul edilebilir kullanım politikası"nın bu şartları karşılayıp karşılamadığı gözden geçirilmeli: işe giriş sırasında alınan genel bir onay metni, sonraki her denetimi hukuka uygun kılmaya yetmiyor. İç denetim ve veri koruma ekiplerinin bugün yapması gereken, e-posta ve iletişim denetim süreçlerini amaç, hukuki dayanak, kapsam, en az müdahale ve erişim kaydı ekseninde yeniden tasarlamak.
Çalışan denetimindeki ölçülülük tartışmasının bir benzeri, AI yönetişiminde yaşanıyor. EY'nin AI Risk ve Yönetişim Araştırması'nın (Sayı 15'te etken AI bulgularını paylaştığımız araştırmanın farklı bir kesiti) gösterdiği tablo şu: kurumların yüzde 98'inin resmi bir AI yönetişim politikası var, ancak yüzde 69'u bu kontrolleri güncel tutacak iç uzmanlığa sahip olmadığından endişeli. Daha çarpıcısı: yüzde 47'si, acil bir devreye alım için yönetişim sürecini en az bir kez atladığını kabul ediyor.
Araştırmanın bir diğer bulgusu da hesap verebilirlik tarafında: kurumların yüzde 36'sı geçtiğimiz yıl kurum üzerinde önemli olumsuz etki yaratan bir AI olayı yaşadı, yüzde 41'inde ise üst yönetimin kullanılan tüm AI araçlarına görünürlüğü yok. Politika dokümanı ile kanıtlanmış kontrol arasındaki makas, denetimin yeni çalışma alanı.
Kaynak: EY · AI Yönetişimi Güven Açığını Kapatma Aşamasında, 15 Eylül 2026 (ABD'de en az 1 milyar dolar cirolu halka açık şirketlerde 200+ üst düzey AI yöneticisi)"Politikamız var" artık bir güvence değil, bir başlangıç noktası. Bir iç denetçinin soracağı soru şu: bu politikanın son çeyrekte uygulandığını hangi kanıtla gösterebilirsiniz? Atlanan devreye alımların kaydı tutuluyor mu, ve kim onayladı? Kanıt üretmeyen bir politika, denetimde yoklukla eşdeğer.
Kurumların yüzde 98'inin resmi bir AI yönetişim politikası var; ancak yüzde 47'si acil devreye alımlarda bu süreci en az bir kez atladığını kabul ediyor. Politikanın varlığı ile politikaya uyulması aynı şey değil.
→ EY · AI Yönetişiminde Güven Açığıİç kontrolün küresel referans çerçevesi COSO, Şubat 2026'da "Üretken AI Üzerinde Etkili İç Kontrol" başlıklı bir rehber yayımladı. Bu yeni bir ana standart değil, mevcut iç kontrol çerçevesinin üretken AI'ya nasıl uygulanacağını gösteren bir rehber. EY'nin bu rehbere ilişkin analizi, temel kaymayı şöyle özetliyor: kontrol artık yalnızca kaydedilen sonuçlara değil, AI'ın bu sonuçları nasıl etkilediğine, yani işlem kaydedilmeden önceki karar yoluna da bakmalı.
EY'nin yorumuna göre bunun pratik anlamı, kanıtın sonradan toplanan bir dosya olmaktan çıkıp kontrol tasarımının bir parçası haline gelmesi: karar yolunun eş zamanlı kaydı (girdiler, model çıktısı, insan incelemesi, istisnalar) ve periyodik gözden geçirmeyi tamamlayan olay-tetiklemeli sürekli gözetim.
Kaynak: EY · COSO 2026 ve AI Yönetişimindeki Kayma (Şubat 2026 tarihli COSO üretken AI rehberine ilişkin EY analizi)Rehberin işaret ettiği yön, KVKK ve EY ile aynı: kanıt. Bir kurumun AI destekli bir kredi, fiyatlama ya da işe alım kararı için kaydı sonradan üretmesi mümkün değil, çünkü karar anı geçti. İç denetim için bunun anlamı, finansal raporlamayı etkileyen AI sistemlerini denetim evrenine almak ve sonucun kalitesiyle birlikte kararın arkasındaki anlamlı insan gözetimini de test etmek.
Avrupa'da iki büyük dayanıklılık rejimi artık tam uygulama evresinde. DORA (Dijital Operasyonel Dayanıklılık Yasası) Ocak 2025'ten bu yana finansal kuruluşlara uygulanıyor; bu aşamada yalnızca yazılı uyum değil, uygulamanın ve kontrol etkinliğinin gösterilmesi önem taşıyor. NIS2'nin üye devletlere ulusal mevzuata aktarma son tarihi ise 17 Ekim 2024'tü; aktarım ülkeden ülkeye farklı hızlarda tamamlandığı için yükümlülüklerin fiili yürürlüğü 2025 ve 2026 boyunca ülke bazında devreye giriyor.
Yaptırımlar ciddi: NIS2, temel kuruluşlarda belirli ihlaller için ulusal azami ceza seviyesinin en az 10 milyon avro ya da önceki yılın dünya çapındaki toplam cirosunun yüzde 2'sinden yüksek olanını karşılamasını öngörüyor; kesin uygulama ülke bazında değişiyor. Her iki rejimde de yönetim organı siber ve BT riskinden doğrudan sorumlu; NIS2 kişisel sorumluluğa da kapı açıyor. AB pazarına kritik BT hizmeti veren Türk tedarikçiler için bunun anlamı, müşteri sözleşmeleri üzerinden belirli denetim, olay iş birliği ve alt yüklenici şeffaflığı yükümlülükleriyle karşılaşma ihtimalinin artması.
Kaynak: Avrupa Komisyonu · DORA (uygulama 2025) · NIS2 ulusal aktarma son tarihi 17 Ekim 2024, yürürlük ülke bazındaDORA ve NIS2 de aynı ipliği çekiyor: yazılı bir dayanıklılık politikası değil, test edilmiş ve bildirilmiş dayanıklılık denetleniyor. Türkiye'deki ihracatçı teknoloji ve hizmet şirketleri için bu bir sözleşme riski: düzenleyici sorumluluğun tümü aktarılmıyor, ancak AB'li müşteriniz belirli sözleşmesel yükümlülükleri (denetim hakkı, olay bildirimi, alt yüklenici şeffaflığı) size getirebiliyor. "Biz AB'de değiliz" tek başına bir savunma değil.
Nedir? Kurumların çalışanlardan işe giriş sırasında aldığı genel "kabul edilebilir kullanım" ya da "denetim onayı" metnine dayanarak e-posta ve iletişim denetimi yapması. KVKK'nın yeni kararı, iş ilişkisindeki güç dengesizliği nedeniyle açık rızayı kural olarak öncelikli dayanak saymıyor.
Kurumsal etki: Geçmişte alınmış genel bir onay, sonraki her denetimi meşru kılmıyor. Hukuki dayanağı ölçülülük ve meşru amaç testini karşılamayan bir denetim, bir uyum ihlali ve idari para cezası riski taşıyor.
Temel gerçek: Denetleme imkânına sahip olmak, o imkânın hukuka uygun kullanıldığının kanıtı olmadan bir risk kaynağına dönüşüyor. Yetki değil, uygulamanın kalitesi denetleniyor.
KVKK'nın 2026/2035 kararını kurum içinde uygulanabilir bir kontrole çevirin. Bir çalışanın e-postasını ya da iletişim kaydını incelemeden önce bu altı başlığı yazılı olarak yanıtlayın. Yanıtlanamayan her başlık, bir uyum riskidir.
İşverenin kurumsal e-posta ve iletişim kanallarını denetlemesi ölçülülük, şeffaflık ve kayıt şartına bağlandı : kvkk.gov.tr
Kurumların %98'inin AI politikası var; %47'si acil deployment için süreci atlıyor, %69'u uzmanlık eksikliğinden endişeli : ey.com
Şubat 2026 COSO üretken AI rehberi: AI destekli kararlarda kontrol kaydı işlemden önceye kayıyor.
DORA uygulama dönemi ve NIS2'nin ülke bazında yürürlüğü: dayanıklılık yazılı uyumdan denetlenen uygulamaya geçiyor.
The Governance'ı haber olduktan sonra değil, karar anından önce okuyun. Türkiye'nin bağımsız GRC bültenine ücretsiz abone olun; her Pazartesi, yönetici masasında olması gereken gelişmeler.
Ya da güncellemeleri LinkedIn'de takip edin.
Bu hafta gündemin merkezinde KVKK'nın çalışan iletişimi kararı vardı: işveren denetleyebilir, ama ölçülü, şeffaf ve kayıtlı biçimde. Teknik erişim imkânı, hukuki erişim hakkı demek değil. Aynı mantık AI yönetişiminde EY'nin güven açığında, COSO'nun üretken AI rehberinde ve Avrupa'da DORA ile NIS2'nin uygulama döneminde de karşımıza çıkıyor: bir yetkiye ya da politikaya sahip olmak, onu doğru kullandığınızı kanıtlamaz. The Governance, bu gelişmeleri haber olarak değil, kararlarınızı etkileyen birer gündem maddesi olarak ele alır. Sorular için her zaman açığım.