Yapay Zekâ ile Mülakat Yasal mı? AB Yapay Zekâ Yasası (AI Act) ve KVKK Rehberi

Evet, yapay zekâ ile mülakat yapabilirsiniz. Ama işe alımda yapay zekâ, dünyada en sıkı düzenlenen yapay zekâ kullanımlarından biri. Türkiye'de KVKK, AB'de ise hem GDPR hem de AB Yapay Zekâ Yasası (AI Act) devreye giriyor.

AB Yapay Zekâ Yasası yalnızca AB'deki şirketleri ilgilendirmez. Bir yapay zekâ sistemi AB'de kullanılıyorsa ya da çıktısı AB'de kullanılıyorsa yasa uygulanır. AB'deki bir pozisyon için aday değerlendiren Türk şirketleri ve AB'ye ürün satan Türk yazılım şirketleri de bu kapsamdadır.

Bu rehber bugün neyin geçerli olduğunu, 2 Aralık 2027'de neyin değişeceğini ve bir yapay zekâ mülakat aracını seçmeden önce neleri kontrol etmeniz gerektiğini anlatıyor. Pratik bir özettir, hukuki tavsiye değildir. Kendi süreciniz için veri koruma sorumlunuza ya da bir avukata danışın.

Kısa cevap

• Yapay zekâ ile mülakat yasaldır, ama adayları değerlendiren yapay zekâ, AB Yapay Zekâ Yasası'na göre yüksek riskli bir kullanımdır.
• Duygu tanıma zaten yasak. 2 Şubat 2025'ten bu yana AB'de iş yerinde duygu çıkarımı yapan yapay zekâ sistemleri yasaktır ve Avrupa Komisyonu'nun yönergeleri işe alım sürecini de iş yeri kapsamında sayar.
• Adaylar bir yapay zekâyla konuştuklarını bilmelidir. Yasanın insanlarla etkileşen sistemlere ilişkin şeffaflık kuralları 2 Ağustos 2026'dan itibaren geçerlidir.
• Yüksek riskli sistemlere ilişkin yükümlülüklerin tamamı 2 Aralık 2027'de başlar. 2026'da kabul edilen "Digital Omnibus" değişikliği bu tarihi 2 Ağustos 2026'dan 2 Aralık 2027'ye erteledi.
• KVKK bugün geçerli. Adaylar bilgilendirilmeli ve yalnızca otomatik sistemlerle yapılan bir analiz sonucunda aleyhlerine çıkan bir sonuca itiraz edebilmelidir.

İşe alımda yapay zekâ neden "yüksek riskli"?

AB Yapay Zekâ Yasası sistemleri risk düzeyine göre sınıflandırır. Yasanın III numaralı ekinde istihdam yüksek riskli alanlar arasında sayılır; işe alım ya da seçim için kullanılan sistemler de buna dâhildir: hedefli iş ilanı yayınlama, başvuruları analiz edip filtreleme ve adayları değerlendirme.

Soru soran ve cevapları değerlendiren bir yapay zekâ mülakatçısı bu kategoriye girer. CV değerlendiren ya da adayları sıralayan araçların çoğu da öyle.

Yüksek riskli olmak yasak olmak demek değildir. Hem sağlayıcının (yazılımı geliştiren şirket) hem de aracı kullanan işverenin yükümlülükleri olduğu anlamına gelir.

Bugün yasak olan: duygu tanıma

Yasanın 5. maddesi doğrudan yasaklanan uygulamaları sayar. Bunlardan biri, tıbbi ya da güvenlik amaçlı kullanımlar dışında, iş yerinde veya eğitimde bir kişinin duygularını çıkarmak için yapay zekâ kullanılmasıdır. Bu yasak 2 Şubat 2025'ten beri uygulanıyor.

Pratikte bunun anlamı şudur: AB'de kullanılan bir yapay zekâ mülakat aracı, adayın gergin, istekli ya da dürüst olup olmadığını yüzünden, sesinden veya beden dilinden çıkaramaz. Bazı eski video mülakat ürünlerinin tanıttığı yüz ifadesi ya da ses tonu puanlaması bu kapsamdadır. Bir sağlayıcı hâlâ adayların yüzü ya da sesi üzerinden duygu veya "duygu durumu" analizi sunuyorsa, tam olarak ne yaptığını sorun.

2 Ağustos 2026'dan itibaren: Adaya yapay zekâ olduğunu söylemek

Yasanın 50. maddesine göre insanlarla doğrudan etkileşen yapay zekâ sistemleri, bağlamdan açıkça anlaşılmıyorsa, kişinin bir yapay zekâyla etkileştiğini bileceği şekilde tasarlanmalıdır. Adaylarla konuşan bir yapay zekâ mülakatçısı bu kurala tabidir. Davette ve mülakatın başında mülakatçının bir yapay zekâ olduğunu açıkça belirtin.

2 Aralık 2027'den itibaren: Yüksek riskli sistem yükümlülükleri

2 Aralık 2027'den itibaren işe alımda yüksek riskli yapay zekâ kullanan işverenler, yasanın 26. maddesi kapsamında kullanıcı yükümlülükleri üstlenir. Başlıcaları:

1. Sistemi sağlayıcının talimatlarına uygun kullanmak.
2. İnsan gözetimini, gerekli yetkinliğe, eğitime ve yetkiye sahip, gerektiğinde sistemin sonucunu değiştirebilecek kişilere vermek.
3. Sistemin nasıl çalıştığını izlemek ve ciddi sorunları sağlayıcıya bildirmek.
4. Sistemin ürettiği kayıtları, kontrolünüzde olduğu ölçüde en az altı ay saklamak.
5. Çalışan temsilcilerini ve ilgili çalışanları, yüksek riskli bir sistemi iş yerinde kullanmaya başlamadan önce bilgilendirmek.
6. Adayları, yüksek riskli bir yapay zekâ sisteminin kullanımına tabi olduklarını bildirmek.
7. Talep üzerine kararı açıklamak. 86. maddeye göre yüksek riskli bir sistemin çıktısına dayanan bir karardan etkilenen kişi, yapay zekânın karardaki rolüne ilişkin açık bir açıklama isteyebilir.

Sağlayıcıların yükümlülükleri daha ağırdır: risk yönetimi, veri kalitesi, teknik dokümantasyon, doğruluk ve sağlamlık testleri ve sistem AB pazarına sunulmadan önce uygunluk değerlendirmesi.

KVKK bugün ne istiyor?

Türkiye'de aday verisi işleyen her işveren için 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) geçerlidir. Yapay zekâ ile mülakat açısından dört nokta öne çıkar:

• Aydınlatma yükümlülüğü (10. madde). Adaylara hangi verileri, hangi amaçla ve hangi hukuki sebeple işlediğinizi, verileri kimlere aktarabileceğinizi ve haklarını anlatın. Yapay zekânın değerlendirmedeki rolünü de açıkça yazın.
• Otomatik kararlara itiraz hakkı (11. madde). İlgili kişi, verilerinin yalnızca otomatik sistemlerle analiz edilmesi sonucunda aleyhine çıkan bir sonuca itiraz etme hakkına sahiptir. Bu yüzden adayı eleme kararında bir insanın gerçekten rol alması önemlidir: kanıtı görmeli ve farklı karar verebilmelidir.
• Hukuki dayanak ve ölçülülük. Değerlendirmenin gerektirdiği veriyi toplayın. Mülakat kayıtlarını ve dökümlerini ihtiyacınız kalmadığında silin.
• Yurt dışına aktarım (9. madde). Mülakat aracı verileri yurt dışında işliyorsa, 2024'te yürürlüğe giren değişikliklerle düzenlenen aktarım kurallarına uyun. Standart sözleşme kullanıyorsanız, imzaladıktan sonra beş iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirmeniz gerekir.

AB'deki adaylar için ayrıca GDPR geçerlidir. GDPR'ın 22. maddesi, kişi üzerinde önemli etkisi olan ve yalnızca otomatik işlemeye dayanan kararları sınırlar; adayları yapay zekâ ile değerlendirmek de çoğu zaman bir veri koruma etki değerlendirmesi (DPIA) gerektirir.

Bir sağlayıcıya sormanız gereken sorular

Bir sonraki demoda bu listeyi kullanın:

1. Araç adayın yüzünden, sesinden ya da videosundan duygu, kişilik ya da dürüstlük çıkarımı yapıyor mu? AB'de cevap "hayır" olmalı.
2. Kararı kim veriyor? Bir insan her sonucun arkasındaki kanıtı görüp farklı karar verebiliyor mu?
3. Her sonuç açıklanıyor mu? Bir adaya hangi cevabın hangi değerlendirmeye yol açtığını gösterebiliyor musunuz?
4. Adaya mülakatçının yapay zekâ olduğu nasıl söyleniyor, aydınlatma ve onay nasıl alınıyor?
5. Hangi kriterler değerlendiriliyor, bunları görüp düzenleyebiliyor musunuz?
6. Araç hassas kişisel verilerle nasıl ilgileniyor? Bunları sormaktan kaçınıyor ve değerlendirmenin dışında tutuyor mu?
7. Veriler nerede, ne kadar süre saklanıyor ve alt veri işleyenler kimler?
8. Veri işleme sözleşmesi imzalıyor ve etki değerlendirmenize destek veriyor musunuz?
9. 2 Aralık 2027'de başlayacak yüksek riskli sistem yükümlülükleri için planınız ne?
10. Teknik bir sorun yaşayan ya da özel bir düzenlemeye ihtiyaç duyan adaya ne oluyor?

Firstview'un yaklaşımı

Firstview'un yapay zekâ ile mülakat ürünü bu kurallar göz önünde bulundurularak tasarlandı:

• Yüz ya da duygu analizi yok. Firstview yüz, mimik ya da jest analizi yapmaz ve video hiçbir zaman değerlendirmeye katılmaz. Mülakat sırasında kamera yalnızca güvenlik için kontrol edilir; örneğin sanal kamera kullanılmadığından emin olunur.
• Kararı bir insan verir. Firstview her kriter için adayın kendi sözlerine dayanan bir değerlendirme raporu yazar. Kimin ilerleyeceğine hiçbir zaman kendisi karar vermez; belirsiz durumlar bir insana gider.
• Açıklanabilir sonuçlar. Her CV sonucunun her kriter için bir gerekçesi vardır ve her mülakat kararı, kayıtta adayın o cevabı verdiği âna bağlanır.
• Adaylar bilgilendirilir ve onay verir. Adaylar başvuru ve mülakat akışında onay verir; aday verilerine erişim role göre belirlenir.

Veri işleme sözleşmesi ya da güvenlik soru formu için security@firstview.ai adresine yazabilirsiniz.