İşyerinde yapay zekâ kullanım politikası, “ChatGPT kullanmak serbesttir” veya “yasaktır” cümlesinden ibaret olmamalıdır. Amaç; hangi işlerde hangi aracın kullanılabileceğini, hangi verilerin girilemeyeceğini, çıktıyı kimin kontrol edeceğini ve hata olduğunda nasıl hareket edileceğini açıklaştırmaktır. İyi bir politika, çalışanı belirsizlikte bırakmadan kişisel veri, ticari sır, fikri hak ve iş süreçleri risklerini yönetir.
> Kısa cevap: Etkili bir yapay zekâ politikası; kapsam, onaylı araçlar, veri sınıflandırması, yasaklı veri kategorileri, insan denetimi, müşteri/çalışan verisi, fikri haklar, tedarikçi şartları, eğitim ve ihlal bildirimi başlıklarını içermelidir. Tek tip şablon yerine şirketin kullandığı araç ve veriye göre hazırlanmalıdır.
Yapay zekâ kullanım politikası neden gerekir?
Çalışanlar üretken yapay zekâyı e-posta taslağı, rapor özeti, kod, müşteri yanıtı, iş ilanı, değerlendirme veya sunum için kullanabilir. Bu kullanım verimlilik sağlayabilir; ancak kişisel veri, ticari sır veya hatalı çıktı riskini de taşır. Bir çalışanın müşteri sözleşmesini, sağlık verisini veya soruşturma dosyasını açık bir araca yüklemesi; şirketin bilgisi dışında veri işleme ve yurt dışına aktarım sorunları doğurabilir.
Politika, sadece yasak koymak için değil, güvenli kullanım yolunu göstermek için hazırlanır. Hangi araçların şirket tarafından onaylandığı, hangi görevlerde insan onayı gerektiği ve kimden destek isteneceği açık olduğunda gölge BT kullanımı azalabilir. Yani çalışanların denetimsiz kişisel hesaplara yönelmesi yerine güvenli ve izlenebilir süreç kurulabilir.
İlk adım: Kullanım envanteri çıkarın
Politika yazılmadan önce şirket içinde yapay zekânın nerede kullanıldığı haritalanmalıdır. Pazarlama ekibi metin üretiyor, insan kaynakları özgeçmiş özeti çıkarıyor, yazılım ekibi kod asistanı kullanıyor veya satış ekibi müşteri görüşmelerini özetliyor olabilir. Her kullanım alanı; iş amacı, kullanılan araç, girilen veri, çıktıdan etkilenen kişi ve insan denetimi bakımından ayrı değerlendirilmelidir.
Envanterde şu sorular yardımcı olur: Araç şirket hesabıyla mı, kişisel hesapla mı kullanılıyor? Veri sağlayıcının sisteminde saklanıyor mu? Çıktı müşteriye veya çalışanlara doğrudan gönderiliyor mu? Çıktı bir kararın tek dayanağı oluyor mu? Araç yurt dışındaki sunucularla çalışıyor mu? Bu harita, politikadaki yasakların ve izinlerin gerçek ihtiyaca göre kurulmasını sağlar.
Kişisel veri ve ticari sır için açık kurallar koyun
Politikanın en görünür bölümünde, hangi verilerin onaysız araçlara kesinlikle girilemeyeceği yazılmalıdır. T.C. kimlik numarası, iletişim bilgisi, sağlık verisi, finansal bilgi, çalışan performans kaydı, müşteri listesi, dava dosyası, kaynak kod, fiyatlandırma ve henüz kamuya açıklanmamış strateji buna örnek olabilir. Ancak liste şirketin veri sınıflandırma düzeniyle uyumlu hazırlanmalıdır.
KVKK bakımından kişisel verinin işlenme şartı, amaçla sınırlılık, güvenlik tedbirleri ve yurt dışına aktarım boyutu ayrıca ele alınır. Veriyi kısmen silmek veya adı rumuzlaştırmak her zaman gerçek anonimleştirme sağlamaz. Politika, “kişisel veri girmeyin” demekle yetinmemeli; özetleme ihtiyacı varsa onaylı araç, maskeleme yöntemi ve izin akışını göstermelidir.
Onaylı araç listesi ve tedarikçi incelemesi
Şirketin kullanabileceği araçlar isim veya kategori bazında belirlenmelidir. Her araç için kurumsal hesap kullanımı, yönetici denetimi, veri saklama süresi, model eğitimi için veri kullanımı, erişim logları, alt işleyenler ve sözleşmesel güvence değerlendirilmelidir. Ücretsiz kişisel hesap ile kurumsal lisansın veri koşulları aynı olmayabilir.
Tedarikçi sözleşmesinde veri işleme rolü, gizlilik, güvenlik olayı bildirimi, denetim imkânı, hizmet sonu veri silme, yurt dışı aktarım ve fikri haklara ilişkin hükümler incelenmelidir. Politika, onaylı olmayan bir aracı kullanmak isteyen ekibin hangi birimden onay alacağını da göstermelidir.
İnsan denetimi hangi işlerde zorunlu olmalı?
Müşteriye gönderilen yazışmalar, hukuki/finansal tavsiyeler, işe alım ve performans değerlendirmeleri, fiyatlama, kredi veya sigorta kararları, sağlıkla ilgili içerikler, güvenlik olayları ve sözleşme metinleri yüksek riskli alanlardır. Bu alanlarda yapay zekâ çıktısı doğrudan uygulamaya konulmamalı; yetkili bir insan tarafından kaynak, doğruluk, ayrımcılık riski ve kişisel veri bakımından gözden geçirilmelidir.
Politika, “insan denetimi”ni soyut bir ilke olarak bırakmamalıdır. Kimin onay vereceği, hangi kontrol listesinin kullanılacağı, onayın nerede kayıt altına alınacağı ve hatalı çıktının nasıl geri çekileceği belirtilmelidir. Özellikle çalışanlar veya müşteriler üzerinde etkili kararlar için yalnızca otomatik sonuca dayanılmaması gerekir.
Çalışanlar için prompt ve çıktı kuralları
Güvenli kullanım için kısa ve uygulanabilir kurallar gerekir. Onaylı araca yalnızca gerekli ve mümkünse maskelenmiş veri girilmeli; kaynak belgelerden gelen gizli bilgiler yapıştırılmamalı; çıktı gerçekmiş gibi kabul edilmeden doğrulanmalı; uydurma atıf veya rakam tespit edilirse kullanılmamalıdır. Çalışan, yapay zekâ çıktısını kendi mesleki yargısının yerine koymamalıdır.
Müşteriye veya kamuya giden içeriklerde yapay zekâ kullanımının açıklanması gerekip gerekmediği, ürün türüne ve düzenlemelere göre belirlenmelidir. Örneğin üretken içerik, deepfake veya otomatik karar süreçleri için şeffaflık yükümlülükleri daha yüksek olabilir. Politika, içerik etiketleme ve onay sürecini ayrı başlık altında düzenleyebilir.
Fikri haklar ve kod güvenliği
Yapay zekâ tarafından üretilen kod, metin veya görselin üçüncü kişi haklarını ihlal etmeyeceği garanti değildir. Yazılım ekipleri için açık kaynak lisans kontrolü, gizli anahtar taraması ve kod incelemesi; tasarım ekipleri için marka, fotoğraf ve kişilik hakkı kontrolü önemlidir. Şirket, yapay zekâ çıktısının hangi projede kullanıldığını ve kim tarafından onaylandığını kayda almalıdır.
Politika ayrıca çalışanların şirkete ait materyalleri model eğitimi, örnekleme veya kişisel portföy için kullanıp kullanamayacağını netleştirmelidir. İş sözleşmesi, gizlilik sözleşmesi ve fikri hak devri hükümleriyle çelişen geniş izinler verilmemelidir.
Eğitim, denetim ve ihlal bildirimi
Politikanın duyurulması tek başına yeterli değildir. Kullanım örnekleri, yasak veri örnekleri, gerçekçi hata senaryoları ve ihlal bildirimi kanalıyla desteklenmelidir. Yeni işe başlayanlar ve yüksek riskli ekipler için hedefli eğitim planlanabilir. Eğitim içeriği, yapay zekâ okuryazarlığının sadece teknik bilgiden ibaret olmadığını; doğrulama, gizlilik ve ayrımcılık riskini de kapsadığını göstermelidir.
Bir çalışan yanlışlıkla gizli veriyi onaysız araca yüklediyse, cezalandırılma korkusu nedeniyle olayın gizlenmesi yerine hızlı bildirim teşvik edilmelidir. Politika; ekran görüntüsü alma, erişimi kesme, tedarikçiyle iletişim, etki değerlendirmesi ve gerekirse ilgili mercilere bildirim akışını tanımlamalıdır.
Sık sorulan sorular
İşyerinde ChatGPT kullanmak yasaklanmalı mı?
Her şirket için tam yasak zorunlu değildir. Kullanım alanı, veri türü ve onaylı kurumsal aracın imkânına göre kontrollü kullanım daha uygun olabilir. Yüksek riskli veriler için daha sıkı sınırlama gerekir.
Çalışanların kişisel hesaplarla AI kullanması engellenebilir mi?
Şirket; gizlilik, bilgi güvenliği ve iş araçlarının kullanımı bakımından makul kurallar koyabilir. Kuralın ölçülü, açık, çalışanlara duyurulmuş ve iş hukuku yükümlülükleriyle uyumlu olması önemlidir.
Yapay zekâ ile özgeçmiş elemek hukuka uygun mu?
Kullanımın amacı, veri işleme şartı, ayrımcılık riski ve insan denetimi birlikte değerlendirilmelidir. Otomatik elemenin adaylar üzerinde önemli etkisi varsa daha dikkatli bir süreç tasarlanmalıdır.
Politikayı hazır şablondan almak yeterli mi?
Şablon başlangıç noktası olabilir; ancak şirketin kullandığı araç, veri sınıfları, çalışan rolleri ve sözleşmeleriyle uyarlanmalıdır. Aksi hâlde politika uygulanamaz veya riskleri kapsamaz.
Sonuç
İşyerinde yapay zekâ politikası, teknoloji tercihinden çok yönetişim belgesidir. Onaylı araçlar, veri sınıflandırması, insan denetimi, tedarikçi şartları, fikri haklar ve olay bildirimi aynı çerçevede ele alınmalıdır. En iyi politika, çalışanların hangi durumda ne yapacağını açıkça bildiği; buna karşılık şirketin de gerçek kullanım biçimlerini düzenli olarak gözden geçirdiği politikadır. Kişisel veri, müşteri bilgisi, işe alım veya hukuki içerik kullanılan süreçlerde politika ile veri koruma ve iş hukuku uygulamasının birlikte tasarlanması gerekir.
İlgili içerik önerileri: Yapay zekâ araçlarına veri girerken KVKK açısından nelere dikkat edilmeli? · Yapay zekâ kullanımında hukuki sorumluluk kimde kalır?
İçerik kapsamı: Bu yazı genel bilgilendirme amacı taşır; somut olayın özellikleri ayrıca değerlendirilmelidir.