Gelişen Teknoloji Riskleri Karşısında Anonim Şirkette Üst Gözetim: Bilgi Akışı, Ticari Temsilcinin Konumu ve Sorumluluğun Sınırları

The growing use of artificial intelligence and the increasing significance of cybersecurity risks in corporate activities raise the question of how the board’s oversight duty should operate in relation to technology risks. Although the board is not expected to manage technical processes itself, its oversight duty requires an information framework that enables material risks to reach the board in a timely manner and allows appropriate intervention when necessary. This article examines the issue under Articles 369, 375 and 553 of the Turkish Commercial Code, while also drawing on the oversight doctrine developed through the Caremark line of cases in Delaware law. For determining when technology risks should be escalated to the board, the article proposes a distinction between ordinary reporting, enhanced reporting and immediate notification, taking into account the severity of the risk, its relevance to the company’s activities and emerging warning signs. The implications of this distinction for information flows and intervention mechanisms are illustrated through examples involving artificial intelligence and cybersecurity. When considering how information flows operate in relation to different persons within the corporate organization, the position of managers and commercial representatives is assessed according to their actual functions, access to information and capacity to intervene rather than their formal titles. As regards liability, the occurrence of technological harm alone is insufficient; breach of duty, fault, sphere of control and adequate causation must be established individually. The business judgment rule should likewise be applied to technology-related business decisions by reference to the information available and the decision-making process at the relevant time.

Yapay zeka uygulamalarının ve siber güvenlik risklerinin şirket faaliyetlerinde giderek daha fazla yer tutması, yönetim kurulunun üst gözetim görevinin teknoloji riskleri bakımından nasıl uygulanacağı sorusunu gündeme getirmektedir. Yönetim kurulunun teknik süreçleri bizzat yürütmesi söz konusu olmamakla birlikte, şirket açısından önem taşıyan risklerin zamanında kurul seviyesine ulaşması ve gerektiğinde müdahaleye imkan verecek bir bilgi düzeninin kurulması üst gözetimin kapsamındadır. Çalışmamızda bu mesele TTK m. 369, 375 ve 553 hükümleri çerçevesinde, Delaware hukukunda Caremark ile gelişen gözetim yaklaşımından da yararlanılarak incelenmektedir. Teknoloji risklerinin kurul gündemine taşınmasında riskin ağırlığı, şirket faaliyetindeki yeri ve ortaya çıkan uyarılar esas alınarak olağan, yoğunlaştırılmış ve gecikmeksizin raporlama arasında bir ayrım önerilmektedir. Bu ayrımın bilgi ve müdahale düzenindeki karşılığı, yapay zeka ve siber güvenlik örnekleri üzerinden somutlaştırılmaktadır. Bilgi akışının kişiler bakımından görünümü ele alınırken yönetimle görevli kişiler ile ticari temsilcinin konumu, unvanlarından çok somut organizasyondaki görev, bilgiye erişim ve müdahale imkanları üzerinden değerlendirilmektedir. Sorumluluk bakımından ise teknolojik zararın gerçekleşmesi tek başına yeterli olmayıp görev ihlali, kusur, kontrol alanı ve uygun nedensellik bağının kişisel olarak ortaya konulması gerekir. İş insanı kararı ilkesi de ticari takdir içeren teknoloji kararlarında karar anındaki bilgi ve süreç esas alınarak uygulanmalıdır.