Şirket içi yapay zekâ kullanım politikası nasıl hazırlanır?

Muhasebedeki çalışanınız bir e-postayı yapay zekâ ile toparlıyor, satış ekibi teklif metnini bir sohbet asistanına yazdırıyor, üretim şefi bir makine arızasının nedenini soruyor. Bunların çoğu iyi niyetli ve gerçekten zaman kazandırıyor. Ancak şirketin kuralı yoksa, herkes kendi kararını veriyor demektir. Bir gün müşteri listesi, maaş tablosu ya da gizli bir teklif, kimsenin fark etmediği bir şekilde dışarıdaki bir araca yapıştırılabilir.

Bu yüzden büyük bir uyum projesine değil, kısa ve anlaşılır bir yapay zekâ kullanım politikasına ihtiyacınız var. Bu yazıda, teknik bilgi gerektirmeden bir öğleden sonra içinde ilk sürümünü hazırlayabileceğiniz bir yol haritası sunuyoruz.

Neden şimdi bir politikaya ihtiyacınız var?

Kişisel Verileri Koruma Kurumu (KVKK), Kasım 2025'te "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi"ni yayımladı. Rehber, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun teknolojiden bağımsız olduğunu hatırlatıyor. Yani bir yapay zekâ aracının yaşam döngüsünün herhangi bir aşamasında kişisel veri işleniyorsa, kanun uygulanıyor.

Aynı rehber, bu araçların önemli risklerini de sıralıyor. Çıktılar yanlış, tutarsız ya da önyargılı olabiliyor. Verilerin gizliliği ve güvenliği, fikri mülkiyet ihlalleri ve sahte görüntü ya da ses gibi yanıltıcı içerikler de öne çıkan risk başlıkları arasında.

Avrupa'ya ihracat yapıyorsanız bir neden daha var. Avrupa Komisyonu'nun soru cevap sayfasına göre AB Yapay Zekâ Yasası'ndaki yapay zekâ okuryazarlığı yükümlülüğü sürüyor. Belirli bir seviye şart koşulmasa da şirketlerden, çalışanlarının bu araçları bilinçli kullanmasını destekleyen önlemler alması bekleniyor. Yazılı bir politika ve kısa bir eğitim, bu yönde atılabilecek en makul ilk adımlardan biri.

İyi bir politika neye benzer?

İyi bir politika uzun değil, net olur. Çalışanın masasında açıp iki dakikada okuyabileceği, iki ya da üç sayfalık bir belge yeterli. Amaç yasaklamak değil, güvenli kullanımı kolaylaştırmak. Yasakçı bir metin, çalışanların aracı gizlice kullanmasına yol açar. Bu da en riskli durumdur.

ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), 26 Ocak 2023'te gönüllü kullanım için bir Yapay Zekâ Risk Yönetimi Çerçevesi yayımladı. 26 Temmuz 2024'te de üretken yapay zekâya özel bir ek profil çıkardı. Bu profil 13 riske ve bunları yönetmek için 400'den fazla önerilen eyleme odaklanıyor. Eylemler dört başlık altında toplanıyor: yönetişim, haritalama, ölçme ve yönetme. Bir KOBİ'nin 400 eylemin hepsine ihtiyacı yok. Ancak bu dört başlık, kendi politikanız için iyi bir iskelet sunuyor.

Adım adım politika hazırlama

1. Sorumluyu belirleyin

Politikanın bir sahibi olmalı. Bu kişi genel müdür, bilgi işlem sorumlusu ya da operasyon müdürü olabilir. Çalışanlar "bu aracı kullanabilir miyim?" diye sorduğunda kime gideceklerini bilmeli. Bu, çerçevedeki yönetişim adımının en sade hâlidir.

2. Mevcut kullanımı listeleyin

Önce ekiplere kısa bir soru sorun: hangi yapay zekâ araçlarını, hangi işler için kullanıyorsunuz? Cevaplar sizi şaşırtabilir. Sohbet asistanları, çeviri araçları, görsel üreticiler, toplantı notu tutan uygulamalar ve ofis yazılımlarına eklenmiş asistanlar bu listede yer alabilir. Bu, haritalama adımıdır.

3. Araçları üç gruba ayırın

Listeyi basit bir trafik ışığı mantığıyla sınıflandırın:

• Onaylı araçlar: Şirketin sözleşmesi ya da kurumsal hesabı olan, veri işleme koşulları incelenmiş araçlar.
• Sınırlı kullanım: Yalnızca kişisel ya da gizli veri içermeyen işler için kullanılabilecek araçlar.
• Yasak araçlar: Veri koşulları belirsiz ya da güvenilmeyen araçlar.

4. Verileri sınıflandırın

Politikanın kalbi bu bölümdür. Çalışanlara hangi bilginin hiçbir koşulda dışarıdaki bir araca girilmeyeceğini açıkça yazın. Örnekler şunlar olabilir: müşteri ve çalışan kişisel verileri, sağlık bilgileri, maaş ve bordro bilgileri, gizli teklifler ve fiyat listeleri, teknik çizimler ve üretim reçeteleri, şifreler ve erişim bilgileri. KVKK rehberinin de vurguladığı gibi, kişisel veri işleniyorsa kanunun bütün yükümlülükleri geçerli olur. Bunlara yurt dışına veri aktarımı ve aydınlatma yükümlülüğü de dahildir.

5. Kontrol kuralını yazın

Yapay zekâ çıktısı bir taslaktır, nihai karar değildir. Müşteriye giden her metin, her teknik değer ve her hukuki ya da mali bilgi bir insan tarafından kontrol edilmeli. Bu kural, yanlış ya da uydurma bilgilerin şirketiniz adına dışarı çıkmasını önler. Bu da çerçevedeki ölçme adımına karşılık gelir.

6. Şeffaflık ilkesini ekleyin

Müşterilerle yapılan yazışmalarda ya da yayımlanan içeriklerde yapay zekâdan ne ölçüde yararlanıldığını nasıl belirteceğinizi kararlaştırın. Özellikle görsel ve ses içeriklerinde, gerçek bir kişiyi taklit eden üretimleri tamamen yasaklamak akıllıca olur.

7. Olay bildirimini tanımlayın

Bir çalışan yanlışlıkla gizli bir bilgiyi bir araca yapıştırdığında ne yapmalı? Cezalandırılma korkusu olmadan, hemen sorumluya haber verebileceği basit bir yol tanımlayın. Erken öğrenilen bir hata, saklanan bir hatadan çok daha az zarar verir. Bu, yönetme adımıdır.

8. Eğitin ve düzenli gözden geçirin

Politikayı bir e-postayla göndermek yetmez. Otuz dakikalık kısa bir oturumda gerçek örneklerle anlatın. Araçlar hızla değiştiği için politikayı en az altı ayda bir gözden geçirin ve onaylı araç listesini güncelleyin.

Sık yapılan hatalar

• Her şeyi yasaklamak: Çalışanlar aracı kişisel telefonlarından kullanmaya başlar ve görünürlüğü tamamen kaybedersiniz.
• Hukuki dille yazmak: Kimsenin okumadığı bir politika, hiç olmamasıyla aynıdır.
• Tek seferlik iş sanmak: Yeni bir araç ya da yeni bir kullanım alanı çıktığında politika da güncellenmeli.
• Örnek vermemek: "Gizli bilgi" ifadesi herkes için farklı anlama gelir. Somut örnekler yazın.

Basit bir şablon başlığı

Politikanızın içindekiler bölümü şöyle olabilir: amaç ve kapsam, sorumlu kişi, onaylı ve yasak araçlar, asla paylaşılmayacak bilgiler, insan kontrolü kuralı, şeffaflık, olay bildirimi, eğitim ve gözden geçirme takvimi. Her başlık için iki ya da üç cümle çoğu KOBİ için yeterlidir.

Sık sorulan sorular

Küçük bir işletmenin de politikaya ihtiyacı var mı? Evet. Çalışan sayısı az olsa bile kişisel veri ve ticari sır riski aynıdır. Kısa bir belge, büyük bir sorunun önüne geçebilir.

Bu yazı hukuki tavsiye mi? Hayır. Bu yazı resmî kaynakları özetliyor. Kişisel veri işleyen özel bir kullanım için bir hukuk danışmanına başvurun.

Sonuç

Yapay zekâ kullanım politikası, şirketinizi korumanın ve çalışanlarınızın bu araçlardan güvenle verim almasını sağlamanın en ucuz yollarından biri. Sorumluyu belirleyin, mevcut kullanımı listeleyin, asla paylaşılmayacak bilgileri net yazın ve kısa bir eğitimle başlayın.

Şirketinizde yapay zekâ ve otomasyonun nerelerde kullanıldığını çıkarmak ve güvenli bir başlangıç çerçevesi kurmak isterseniz, AtomAxis bu ilk adımda size yardımcı olabilir.