Çalışanlarınızın büyük ihtimalle bir kısmı şu anda e-posta taslağı, rapor özeti, Excel formülü veya kod parçası için yapay zekâ araçlarını kullanıyor. Bunun bir kısmı şirketin haberi olmadan, kişisel hesaplarla ve şirket verileri girilerek yapılıyor. Bu duruma shadow AI (gölge yapay zekâ) deniyor. Yasaklamak genellikle işe yaramaz; kullanım yer altına iner. Doğru yaklaşım, açık ve uygulanabilir bir yapay zekâ kullanım politikası yazmaktır. Bu yazıda böyle bir politikanın ana başlıklarını ve örnek maddelerini paylaşıyoruz.
Politikanın amacı
- Çalışanların yapay zekâdan güvenle verim almasını sağlamak
- Kişisel verilerin ve ticari sırların sızmasını önlemek
- Yanlış veya yanıltıcı çıktının iş kararlarına girmesini engellemek
- Mevzuata (KVKK, sektör düzenlemeleri, AB'ye hizmet veriyorsanız AI Act) uyum
1. Onaylı araçlar listesi
Hangi araçların, hangi planla kullanılabileceğini açıkça yazın. Kurumsal planlar genellikle girilen verilerin model eğitiminde kullanılmamasını, veri saklama sürelerini ve yönetici kontrolünü sözleşmeyle güvence altına alır. Kişisel ücretsiz hesapların iş verisiyle kullanımını sınırlayın. Ajan tarayıcılar ve tarayıcı eklentileri için ayrı bir değerlendirme yapın; bkz. yapay zekâ tarayıcıları.
2. Veri sınıflandırması
Çalışanın her seferinde "bunu girebilir miyim?" diye düşünmesi yerine basit bir tablo verin:
- Serbest: Herkese açık bilgiler, genel sorular, kişisel veri içermeyen metin taslakları.
- Yalnızca onaylı kurumsal araçta: İç süreç belgeleri, kişisel veri içermeyen raporlar, kod (gizli anahtarlar çıkarılmış olarak).
- Yasak: Müşteri ve çalışan kişisel verileri (maskelenmedikçe), sağlık ve özel nitelikli veriler, parolalar ve API anahtarları, kart bilgileri, henüz açıklanmamış finansal sonuçlar, sözleşme gereği gizli müşteri bilgileri.
KVKK açısından değerlendirme için yapay zekâ ve KVKK yazımıza bakabilirsiniz.
3. İnsan kontrolü
- Yapay zekâ çıktısı, bir çalışan tarafından kontrol edilmeden müşteriye, kamuya veya resmî kurumlara gönderilmez.
- Rakam, tarih, mevzuat ve kaynak içeren çıktılar mutlaka asıl kaynağından doğrulanır. Bkz. yapay zekâ halüsinasyonu.
- İşe alım, performans değerlendirme, kredi ve fiyat kararları gibi insanları etkileyen kararlarda yapay zekâ yalnızca destek aracı olarak kullanılır; nihai kararı insan verir.
4. Fikri mülkiyet
- Yapay zekâ ile üretilen kod, metin ve görsellerin telif ve lisans durumu belirsiz olabilir. Bkz. yapay zekâ içeriği ve telif.
- Kodda önerilen kütüphanelerin lisansı ve gerçekten var olup olmadığı kontrol edilir.
- Müşteri için üretilen işlerde yapay zekâ kullanımı, sözleşme gerektiriyorsa müşteriye bildirilir.
5. Şeffaflık ve etiketleme
Müşteriyle doğrudan konuşan sohbet botlarında yapay zekâ kullanıldığı belirtilir. Gerçek kişi veya olay gibi görünen üretilmiş görsel ve videolar etiketlenir. Ayrıntılar: yapay zekâ içeriğini etiketleme.
6. Güvenlik
- Yapay zekâ araçlarına şirket sistemlerine erişim (e-posta, dosya, CRM) verilmeden önce BT onayı alınır.
- Ajanlara yazma, silme ve gönderme yetkisi verilirken onay adımı zorunludur.
- Şüpheli çıktı, beklenmeyen davranış veya veri sızıntısı şüphesi bildirilir.
- Yapay zekâ ile kod yazarken güvenlik ilkeleri uygulanır: AI ile kod yazarken güvenlik.
7. Eğitim ve destek
Politika yalnızca imzalatılan bir belge olarak kalmamalı. Kısa bir eğitimle iyi istem yazma, doğru araç seçimi ve yasak veri örnekleri gösterilmeli. Departmanlara göre örnek kullanım senaryoları paylaşmak benimsemeyi hızlandırır.
Örnek kısa politika metni
1. Şirket işleri için yalnızca BT'nin onayladığı yapay zekâ araçları ve
kurumsal hesaplar kullanılır.
2. Kişisel veriler, parolalar, kart bilgileri ve gizli ticari bilgiler
yapay zekâ araçlarına girilmez; gerekiyorsa önce maskelenir.
3. Yapay zekâ çıktıları kontrol edilmeden dışarıya gönderilmez;
rakam ve kaynaklar doğrulanır.
4. İnsanları etkileyen kararlar yapay zekâya bırakılmaz.
5. Müşteriyle konuşan yapay zekâ sistemleri bunu açıkça belirtir.
6. Şüpheli durumlar bilgi güvenliği sorumlusuna bildirilir.
7. Politika yılda bir gözden geçirilir.Sık sorulan sorular
Yapay zekâyı tamamen yasaklamak daha güvenli değil mi?
Kâğıt üzerinde evet, pratikte hayır. Yasak genellikle kişisel cihaz ve hesaplarla kontrolsüz kullanıma yol açar. Onaylı ve güvenli bir alternatif sunmak riski daha çok azaltır.
Küçük bir şirket için politika gerekli mi?
Evet, ama kısa olabilir. Yukarıdaki yedi maddelik örnek, küçük bir ekip için iyi bir başlangıçtır.
Politikayı kim hazırlamalı?
BT, hukuk/KVKK sorumlusu ve iş birimlerinden temsilcilerin birlikte hazırlaması, uygulanabilir bir metin çıkmasını sağlar.
Sonuç
Yapay zekâ kullanım politikası, çalışanlarınızı yavaşlatmak için değil, güvenle hızlandırmak için var. Onaylı araçlar, net veri kuralları ve insan kontrolüyle shadow AI riskini yönetebilirsiniz. Kurumsal yapay zekâ araçlarının güvenli kurulumu için destek alabilirsiniz.
