Yapay zekâ araçları şirketlerde araştırma, içerik üretimi, veri analizi, müşteri iletişimi, yazılım geliştirme, raporlama ve süreç otomasyonu gibi birçok alanda kullanılmaya başladı. Çalışanların günlük işlerinde bu araçlardan yararlanması önemli bir verimlilik fırsatı sunarken hangi bilgilerin kullanılabileceği, hangi araçların onaylı olduğu ve yapay zekâ çıktılarının nasıl kontrol edileceği gibi yeni soruları da beraberinde getiriyor.
Şirketler için yapay zekâ politikası, teknolojinin kullanımını yalnızca sınırlandıran bir kurallar listesi değildir. İyi hazırlanmış bir politika; çalışanlara güvenli bir hareket alanı sunar, sorumlulukları netleştirir ve yapay zekânın kurumsal hedeflerle uyumlu biçimde kullanılmasını sağlar.
Politikanın amacı çalışanları teknolojiden uzaklaştırmak yerine yapay zekânın nerede, nasıl ve hangi kontrollerle kullanılabileceğini anlaşılır hâle getirmektir. Böylece ekipler her işlem için ayrı ayrı izin beklemek yerine önceden tanımlanmış sınırlar içinde daha bilinçli hareket edebilir.
Bu rehberde şirketlerin uygulanabilir bir yapay zekâ politikası hazırlarken izlemesi gereken adımları, politikada bulunması gereken bölümleri ve departmanlara göre örnek kullanım kurallarını ele alıyoruz.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. Şirketinize özgü politika; faaliyet alanı, işlenen veriler, kullanılan sistemler ve tabi olunan mevzuat dikkate alınarak hukuk, bilgi güvenliği, insan kaynakları ve ilgili iş birimlerinin katkısıyla hazırlanmalıdır.
Kurumsal Yapay Zekâ Politikası Nedir?
Kurumsal yapay zekâ politikası; çalışanların, yöneticilerin, tedarikçilerin ve gerektiğinde iş ortaklarının yapay zekâ sistemlerini hangi amaçlarla ve hangi koşullarla kullanabileceğini açıklayan yönetişim dokümanıdır.
Politika genellikle şu sorulara yanıt verir:
- Şirket içinde hangi yapay zekâ araçları kullanılabilir?
- Hangi işlerde yapay zekâdan yararlanılabilir?
- Yapay zekâ sistemlerine hangi bilgiler girilebilir?
- Kişisel ve kurumsal veriler nasıl korunmalıdır?
- Yapay zekâ tarafından üretilen içerikleri kim kontrol eder?
- Hangi kararlar bütünüyle insan sorumluluğunda kalır?
- Yeni bir yapay zekâ aracı kullanılmadan önce kimden onay alınır?
- Hatalı veya şüpheli bir kullanım nasıl bildirilir?
- Politikanın uygulanmasını hangi birim takip eder?
Bu soruların cevapları şirketten şirkete değişebilir. Küçük bir hizmet işletmesi ile finans, sağlık, insan kaynakları veya kritik altyapı alanında çalışan bir kuruluşun riskleri ve kontrol gereksinimleri aynı değildir.
Şirketlerin Neden Yapay Zekâ Politikasına İhtiyacı Var?
Çalışanlar yapay zekâ araçlarını kurumsal bir politika bulunmasa da kullanabilir. Bu durumda araç seçimi, veri paylaşımı ve çıktı kontrolü bireysel tercihlere bağlı kalır. Yazılı bir politika, dağınık uygulamaları ortak bir çalışma düzenine dönüştürür.
Veri güvenliğini destekler
Çalışanlar, farkında olmadan müşteri bilgilerini, sözleşmeleri, finansal verileri, kaynak kodlarını veya kurum içi belgeleri üçüncü taraf yapay zekâ sistemlerine yükleyebilir. Politika, hangi verilerin hangi araçlarda kullanılabileceğini açıkça tanımlar.
Kişisel Verileri Koruma Kurumu, üretken yapay zekâ sistemlerinin kullanımında kişisel veri işleme faaliyetlerinin 6698 sayılı Kanun kapsamında değerlendirilmesi gerektiğini; insan merkezli, güvenli, şeffaf ve denetlenebilir bir yaklaşımın önemini vurgulamaktadır. KVKK’nin Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, politika hazırlanırken dikkate alınabilecek temel resmî kaynaklardan biridir.
Çalışanlar için ortak kullanım standardı oluşturur
Bir çalışan yapay zekâyı yalnızca taslak hazırlamak için kullanırken başka bir çalışan müşteriyle paylaşılacak nihai metni doğrudan yapay zekâya bırakabilir. Politika; taslak, kontrol, onay ve yayımlama aşamalarını standartlaştırır.
Hukuki ve ticari risklerin yönetilmesini kolaylaştırır
Yapay zekâ çıktıları yanlış bilgi, kişisel veri, ayrımcı ifade, fikrî mülkiyet sorunu veya gerçeği yansıtmayan içerik barındırabilir. Politika, hangi durumlarda hukuk veya ilgili uzman görüşü alınması gerektiğini belirler.
Yapay zekâ kullanımını ölçülebilir hâle getirir
Onaylı araçlar, kullanım alanları ve iş sonuçları kayıt altına alındığında şirket; hangi uygulamaların zaman kazandırdığını, hangi süreçlerin iyileştiğini ve hangi yatırımların değer oluşturduğunu daha sağlıklı değerlendirebilir.
Müşteri ve çalışan güvenini güçlendirir
Yapay zekâ kullanımının açık, kontrollü ve sorumlu biçimde yönetilmesi; şirketin teknolojiye yaklaşımını daha güvenilir hâle getirir. Özellikle işe alım, performans değerlendirme, müşteri profilleme ve finansal kararlar gibi insanları doğrudan etkileyen alanlarda şeffaflık büyük önem taşır.
Yapay Zekâ Politikası Hazırlamadan Önce Ne Yapılmalı?
Politika metnine başlamadan önce şirket içindeki mevcut kullanımın fotoğrafı çıkarılmalıdır. Aksi hâlde hazırlanan kurallar günlük iş akışından kopuk kalabilir.
Mevcut yapay zekâ kullanımını envantere alın
Departmanlara şu sorular yöneltilebilir:
- Hangi yapay zekâ araçları kullanılıyor?
- Bu araçlar hangi işler için kullanılıyor?
- Ücretsiz bireysel hesaplar mı, kurumsal hesaplar mı tercih ediliyor?
- Araçlara hangi tür veriler giriliyor?
- Üretilen çıktılar kimlerle paylaşılıyor?
- Çıktılar yayımlanmadan önce kim tarafından kontrol ediliyor?
- Araçlar başka kurumsal sistemlerle bağlantılı mı?
- Kullanım sonucunda hangi zaman veya maliyet kazanımları elde ediliyor?
Bu çalışma yalnızca resmî olarak satın alınan yazılımları değil, çalışanların kişisel olarak kullandığı yapay zekâ araçlarını da kapsamalıdır.
Verileri sınıflandırın
Şirketin tüm bilgileri aynı hassasiyet düzeyinde değildir. Politika hazırlanmadan önce veri sınıfları belirlenebilir:
- Kamuya açık bilgiler
- Kurum içi bilgiler
- Gizli ticari bilgiler
- Kişisel veriler
- Özel nitelikli kişisel veriler
- Müşteri veya iş ortağına ait gizli bilgiler
- Sözleşme ve hukuk dosyaları
- Finansal veriler
- Kaynak kodu ve teknik altyapı bilgileri
- Stratejik planlar ve yayımlanmamış projeler
KVKK kapsamında kişisel veriler üzerinde gerçekleştirilen elde etme, kaydetme, depolama, değiştirme, aktarma ve benzeri işlemler veri işleme olarak kabul edilir. Bu nedenle yapay zekâ aracına veri girişi yalnızca “metin yazdırma” olarak görülmemeli; kullanılan verinin niteliği ve işleme süreci birlikte değerlendirilmelidir. KVKK’nin kişisel verilerin işlenmesine ilişkin açıklaması bu kapsamın anlaşılmasına yardımcı olur.
Kullanım senaryolarını risk düzeyine göre ayırın
Her yapay zekâ kullanımı aynı kontrol seviyesini gerektirmez. Kamuya açık bilgilerden toplantı gündemi oluşturmak ile çalışanların performansını değerlendiren bir sistem kullanmak arasında önemli bir risk farkı vardır.
Şirketler kullanım senaryolarını üç veya dört seviyede sınıflandırabilir:
| Risk düzeyi | Örnek kullanım | Uygulama yaklaşımı |
| Düşük | Genel fikir üretme, kamuya açık metni özetleme, başlık önerisi alma | Onaylı araç ve çalışan kontrolü |
| Orta | Müşteri e-postası taslağı, rapor özeti, pazarlama içeriği, kod önerisi | Yetkili kullanıcı, veri kontrolü ve insan onayı |
| Yüksek | İşe alım, performans değerlendirme, finansal karar, hukuki yorum, müşteri profilleme | Ön değerlendirme, uzman incelemesi, kayıt ve güçlü insan denetimi |
| Kullanımı uygun görülmeyen | Gizli verilerin yetkisiz araca yüklenmesi, tamamen otomatik kritik karar, yanıltıcı kimlik veya içerik üretimi | Politika kapsamında açık şekilde tanımlanır |
Bu sınıflandırma, bütün yapay zekâ kullanımlarına aynı ölçüde kural uygulamak yerine riske uygun bir yönetim modeli oluşturur.
Şirketler İçin Yapay Zekâ Politikası Nasıl Hazırlanır?
1. Politikanın amacını ve kapsamını belirleyin
Politikanın ilk bölümünde neden hazırlandığı ve kimleri kapsadığı açıklanmalıdır.
Kapsama şu gruplar dâhil edilebilir:
- Tam ve yarı zamanlı çalışanlar
- Yöneticiler
- Stajyerler
- Danışmanlar
- Serbest çalışanlar
- Tedarikçiler
- Şirket sistemlerine erişen iş ortakları
Politikanın yalnızca üretken yapay zekâ araçlarını mı, yoksa tahmin, sınıflandırma, otomasyon ve karar destek sistemleri dâhil bütün yapay zekâ uygulamalarını mı kapsadığı da belirtilmelidir.
Örnek amaç metni:
“Bu politikanın amacı, şirket faaliyetlerinde kullanılan yapay zekâ sistemlerinin güvenli, sorumlu, şeffaf ve iş hedefleriyle uyumlu biçimde kullanılmasını sağlamak; veri güvenliği, insan denetimi ve hesap verebilirlik ilkelerine ilişkin ortak kuralları belirlemektir.”
2. Temel kullanım ilkelerini tanımlayın
Politika, bütün kullanım senaryolarına yön verecek temel ilkeler içermelidir.
Bu ilkeler şu şekilde belirlenebilir:
İnsan sorumluluğu: Yapay zekâ çıktısını kullanan veya onaylayan kişi, ortaya çıkan iş sonucundan sorumludur.
Amaca uygunluk: Yapay zekâ yalnızca tanımlanan iş ihtiyacı ve yetkilendirilmiş amaç doğrultusunda kullanılır.
Veri minimizasyonu: Görevin gerçekleştirilmesi için gerekli olan en az miktarda veri kullanılır.
Doğruluk ve kontrol: Yapay zekâ çıktıları doğrulanmadan kurumsal karar, müşteri iletişimi veya kamuya açık içerik olarak kullanılmaz.
Şeffaflık: Yapay zekâ kullanımının açıklanmasının gerekli olduğu durumlar önceden belirlenir.
Adillik: İnsanları etkileyen değerlendirmelerde ayrımcı veya ölçüsüz sonuçlara karşı kontrol uygulanır.
Güvenlik: Yalnızca şirketin değerlendirdiği ve onayladığı araçlar kullanılır.
Fikri haklara saygı: Kullanılan girdiler ve üretilen çıktılar telif, marka, lisans ve sözleşme koşulları açısından değerlendirilir.
İzlenebilirlik: Kritik kullanımlar, alınan kararın sonradan incelenebilmesini sağlayacak ölçüde kayıt altına alınır.
3. Onaylı ve sınırlı araçları listeleyin
Politikada yalnızca araç adlarının bulunması yeterli değildir. Her araç için kullanım amacı ve veri seviyesi de açıklanmalıdır.
Örnek araç kayıt tablosu:
| Araç | Onaylanan kullanım | Kullanıcı grubu | İzin verilen veri | Onaylayan birim |
| Yapay zekâ yazım aracı | Taslak ve özet hazırlama | Belirlenen çalışanlar | Kamuya açık ve anonimleştirilmiş veri | Bilgi Teknolojileri |
| Kurumsal ofis asistanı | Kurum içi belge özeti | Yetkilendirilmiş kullanıcılar | Sözleşme ve yapılandırmaya göre | Bilgi Güvenliği |
| Görsel üretim aracı | Konsept ve taslak görsel | Pazarlama ekibi | Kişisel veri içermeyen girdiler | Pazarlama yöneticisi |
| Kod asistanı | Kod önerisi ve dokümantasyon | Yazılım ekibi | Onaylanan projeler ve güvenli ortam | Teknoloji yöneticisi |
Araç listesi politika metninin içinde sabitlenmek yerine daha sık güncellenebilen ayrı bir ek dokümanda tutulabilir.
4. Yapay zekâya girilebilecek ve girilemeyecek verileri açıklayın
Çalışanların en çok ihtiyaç duyduğu bölüm genellikle budur. “Gizli veri paylaşmayın” ifadesi tek başına yeterince açık olmayabilir. Somut örnekler verilmelidir.
Yetki ve sistem yapılandırmasına bağlı olarak kullanımı sınırlandırılabilecek bilgiler:
- Müşteri adları ve iletişim bilgileri
- Çalışan özlük dosyaları
- Sağlık bilgileri
- Finansal hesap ve ödeme bilgileri
- Kimlik ve pasaport bilgileri
- İmzalanmamış sözleşmeler
- Yayımlanmamış finansal sonuçlar
- Fiyatlandırma ve teklif stratejileri
- Erişim şifreleri ve API anahtarları
- Kaynak kodunun gizli bölümleri
- Yeni ürün ve yatırım planları
- Hukuki uyuşmazlık belgeleri
- Müşteri veya tedarikçiden gizlilik koşuluyla alınan bilgiler
Özel nitelikli kişisel veriler, daha sıkı koruma gerektiren bir gruptur. KVKK; sağlık, biyometrik, genetik, siyasi düşünce, din, sendika üyeliği ve ceza mahkûmiyeti gibi bilgileri özel nitelikli kişisel veri olarak tanımlamaktadır. KVKK’nin özel nitelikli kişisel verilere ilişkin açıklaması, bu veri grubuna uygulanacak kurallar belirlenirken dikkate alınmalıdır.
Politika, çalışanlara anonimleştirme ve maskeleme konusunda da yol göstermelidir.
Örnek:
“Ahmet Yılmaz’ın 2026 performans puanı 62’dir” yerine “A çalışanının performans göstergeleri aşağıdadır” şeklinde tanımlayıcı unsurlar kaldırılabilir. Bununla birlikte yalnızca adı silmek her zaman yeterli anonimleştirme sağlamaz. Kişinin diğer bilgilerle yeniden belirlenip belirlenemeyeceği ayrıca değerlendirilmelidir.
5. İnsan denetimi gereken işlemleri belirleyin
Yapay zekâ çıktılarının tamamı aynı düzeyde kontrol gerektirmez. Politika, hangi işlemlerde kimin onayının alınacağını göstermelidir.
Mutlaka insan incelemesinden geçmesi gereken alanlar arasında şunlar yer alabilir:
- İşe alım ve aday değerlendirmeleri
- Çalışan performansına ilişkin kararlar
- Ücret, terfi ve işten ayrılma süreçleri
- Finansal tahmin ve ödeme kararları
- Hukuki görüş ve sözleşme yorumları
- Sağlık ve iş güvenliğiyle ilgili değerlendirmeler
- Müşteriye gönderilecek bağlayıcı teklifler
- Kamuoyuyla paylaşılacak kurumsal açıklamalar
- Teknik güvenliği etkileyen kodlar
- İnsanların hak ve fırsatlarını etkileyen sınıflandırmalar
İnsan denetimi yalnızca bir kişinin “onayla” düğmesine basması değildir. İncelemeyi yapan kişinin yeterli bilgiye, karar yetkisine ve yapay zekâ önerisini değiştirebilme imkânına sahip olması gerekir.
6. Çıktı doğrulama kurallarını oluşturun
Üretken yapay zekâ sistemleri akıcı ve ikna edici görünen ancak doğru olmayan bilgiler üretebilir. Bu nedenle politikanın doğrulama bölümü açık olmalıdır.
Çalışanlardan şu kontroller istenebilir:
- Sayısal verileri özgün kaynaktan doğrulama
- Mevzuat ve hukuki bilgileri yetkili kaynaklardan kontrol etme
- Alıntıların gerçekliğini inceleme
- Kaynak bağlantılarını açarak doğrulama
- İsim, unvan ve tarihleri kontrol etme
- Hesaplamaları yeniden yapma
- Marka dili ve kurum politikalarıyla uyumu değerlendirme
- Ayrımcı veya dışlayıcı ifadeleri inceleme
- Gizli ya da kişisel veri sızıntısı bulunup bulunmadığını kontrol etme
- Görsel ve metinlerin kullanım haklarını değerlendirme
Yapay zekâ çıktısı, kaynağın kendisi olarak kabul edilmemelidir. Özellikle finans, hukuk, sağlık ve insan kaynakları gibi yüksek etkili konularda alan uzmanının değerlendirmesi sürece dâhil edilmelidir.
7. Şeffaflık kurallarını belirleyin
Her yapay zekâ kullanımının müşteriye veya kamuoyuna açıklanması gerekmeyebilir. Buna karşılık insanların karşılarında bir yapay zekâ sistemi bulunduğunu bilmesi gereken kullanım senaryoları olabilir.
Şirket şu durumlar için açıklama standardı oluşturabilir:
- Müşteriyle doğrudan iletişim kuran sohbet botları
- Yapay olarak üretilmiş veya değiştirilmiş gerçekçi görseller
- Yapay ses ve video kullanımları
- İnsanları etkileyen otomatik değerlendirme sistemleri
- Yapay zekâ destekli araştırma ve raporlar
- Kurum adına yayımlanan ve büyük ölçüde yapay zekâ tarafından üretilen içerikler
Avrupa Birliği’nde faaliyet gösteren, AB pazarına ürün veya hizmet sunan ya da AB’deki kişileri etkileyen sistemler kullanan şirketler ayrıca AB Yapay Zekâ Tüzüğü’nün kapsamını değerlendirmelidir. Tüzük risk temelli bir yaklaşım benimsemekte; yasaklanan uygulamalar, yapay zekâ okuryazarlığı, genel amaçlı yapay zekâ ve yüksek riskli sistemler için farklı yükümlülükler öngörmektedir. Uygulama tarihleri ve yükümlülükler için Avrupa Komisyonunun resmî AI Act sayfası takip edilmelidir.
8. Fikrî mülkiyet ve içerik sahipliği kurallarını yazın
Yapay zekâ araçlarına yüklenen belgeler ve bu araçlardan alınan çıktılar; telif hakkı, lisans, marka ve ticari sır açısından değerlendirilmelidir.
Politika şu sorulara yanıt vermelidir:
- Çalışanlar telifli içerikleri araca yükleyebilir mi?
- Üretilen görseller ticari projelerde kullanılabilir mi?
- Kullanılan aracın lisans koşulları kim tarafından kontrol edilir?
- Müşteriye teslim edilen içerikte yapay zekâ kullanımı açıklanacak mı?
- Marka, kişi veya sanatçı taklidi içeren üretimler nasıl ele alınacak?
- Yapay zekâ tarafından oluşturulan kod hangi lisans kontrollerinden geçecek?
- Kurumun özgün üretimlerinin modele girdi olarak verilmesine izin var mı?
Özellikle ticari kullanımda, aracın güncel sözleşme ve lisans koşulları hukuk veya satın alma birimi tarafından incelenmelidir.
9. Tedarikçi ve araç değerlendirme süreci oluşturun
Yeni bir yapay zekâ aracının kullanıma alınması yalnızca özellik ve fiyat karşılaştırmasıyla sınırlı kalmamalıdır.
Değerlendirme sırasında şu başlıklar incelenebilir:
- Veriler nerede işleniyor ve saklanıyor?
- Veriler model geliştirmek için kullanılıyor mu?
- Veri saklama süresi nedir?
- Kullanıcı verileri silinebiliyor mu?
- Yurt dışına veri aktarımı söz konusu mu?
- Erişim yetkileri nasıl yönetiliyor?
- Çok faktörlü kimlik doğrulama bulunuyor mu?
- Kurumsal hesap ve yönetim paneli sunuluyor mu?
- Alt işleyenler kimlerdir?
- Güvenlik olayı bildirim süreci nasıldır?
- Hizmet sona erdiğinde veriler nasıl iade veya imha edilir?
- Denetim kaydı ve kullanım raporu alınabiliyor mu?
- Sözleşme, gizlilik ve fikrî hak koşulları nelerdir?
Bir aracın yaygın kullanılması, şirket açısından otomatik olarak uygun ve güvenli olduğu anlamına gelmez. Aracın şirketin veri yapısına ve kullanım amacına uygunluğu ayrıca değerlendirilmelidir.
10. Sorumlulukları açıkça dağıtın
Yapay zekâ politikası yalnızca bilgi teknolojileri biriminin sorumluluğunda görülmemelidir. Etkili bir uygulama için farklı birimlerin görevleri belirlenmelidir.
Üst yönetim: Politikanın sahipliğini üstlenir, kaynak ve öncelikleri belirler.
Bilgi teknolojileri ve bilgi güvenliği: Araçların teknik güvenliğini, erişimlerini ve entegrasyonlarını değerlendirir.
Hukuk ve KVKK sorumluları: Veri işleme, sözleşme, şeffaflık ve mevzuat boyutunu inceler.
İnsan kaynakları: Çalışan iletişimini, yetkinlik gelişimini ve çalışma kurallarıyla bağlantıyı yönetir.
Satın alma: Tedarikçi sözleşmelerini ve hizmet koşullarını kontrol eder.
Departman yöneticileri: Kullanım senaryolarını onaylar ve çıktıların iş süreçlerine uygunluğunu izler.
Çalışanlar: Politikaya uygun araç kullanır, çıktıları kontrol eder ve şüpheli durumları bildirir.
Yapay zekâ yönetişim grubu: Yüksek etkili kullanım senaryolarını değerlendirir, politika güncellemelerini koordine eder.
Küçük şirketlerde bu görevler daha az kişi tarafından yürütülebilir. Önemli olan her sorumluluğun belirli bir kişi veya göreve atanmasıdır.
11. Olay bildirim sürecini tanımlayın
Politika yalnızca doğru kullanım kurallarını değil, bir sorun yaşandığında ne yapılacağını da açıklamalıdır.
Bildirilmesi gereken durumlara örnekler:
- Gizli verinin yanlışlıkla bir yapay zekâ aracına yüklenmesi
- Kişisel veri içeren çıktının yetkisiz kişilerle paylaşılması
- Gerçeği yansıtmayan içeriğin müşteriye gönderilmesi
- Ayrımcı veya uygunsuz sonuç üretilmesi
- Yetkisiz bir aracın kurumsal hesaplarla kullanılması
- Şüpheli bir entegrasyon veya veri aktarımı tespit edilmesi
- Yapay zekâ tarafından üretilen zararlı kodun kullanılması
- Sahte ses, görüntü veya kimlik taklidiyle karşılaşılması
Çalışan, hatayı gizlemek yerine hızlı şekilde bildirmeye yönlendirilmelidir. Bildirim kanalı, sorumlu ekip ve ilk müdahale adımları açıkça tanımlanmalıdır.
12. Politikanın güncelleme dönemini belirleyin
Yapay zekâ araçları ve ilgili düzenlemeler hızlı biçimde değişmektedir. Bu nedenle politika tek sefer hazırlanıp bırakılmamalıdır.
Politika şu durumlarda gözden geçirilebilir:
- Belirli periyotlarda, örneğin altı ayda bir
- Yeni bir yapay zekâ aracı kullanılmaya başlandığında
- Yeni bir yüksek etkili kullanım senaryosu geliştirildiğinde
- Mevzuat veya resmî rehberler değiştiğinde
- Güvenlik olayı yaşandığında
- Müşteri veya çalışanlardan önemli geri bildirim alındığında
- Yapay zekâ sistemi başka kurumsal sistemlerle entegre edildiğinde
Dokümanda sürüm numarası, yürürlük tarihi, son gözden geçirme tarihi ve politika sahibi bulunmalıdır.
Yapay Zekâ Politikasında Bulunması Gereken Temel Bölümler
Uygulanabilir bir politika aşağıdaki ana başlıklarla hazırlanabilir:
- Amaç
- Kapsam
- Tanımlar
- Temel kullanım ilkeleri
- Onaylı yapay zekâ araçları
- İzin verilen kullanım alanları
- Onay veya değerlendirme gerektiren kullanımlar
- Kullanımına izin verilmeyen işlemler
- Veri sınıflandırması ve kişisel veriler
- Bilgi güvenliği kuralları
- İnsan denetimi ve çıktı doğrulama
- Şeffaflık ve açıklama yükümlülükleri
- Fikrî mülkiyet ve içerik sahipliği
- Tedarikçi değerlendirmesi
- Kayıt, izleme ve denetim
- Olay bildirim süreci
- Görev ve sorumluluklar
- Çalışanların yetkinlik gelişimi
- Politika ihlallerinin değerlendirilmesi
- Güncelleme ve yürürlük
Politika metni şirketin büyüklüğüne göre kısa veya kapsamlı olabilir. Çalışanların sık başvuracağı kuralların tek sayfalık bir “hızlı kullanım rehberi” hâline getirilmesi de günlük uygulamayı kolaylaştırır.
Departmanlara Göre Yapay Zekâ Kullanım Kuralları
İnsan kaynakları
İnsan kaynakları ekipleri iş ilanı taslağı, görüşme soruları, çalışan duyuruları ve gelişim programı fikirleri için yapay zekâdan yararlanabilir.
Aday eleme, performans puanlama, terfi ve ücret kararları gibi insanları doğrudan etkileyen işlemler ise daha güçlü kontroller gerektirir. Bu alanlarda kullanılan veriler, değerlendirme ölçütleri, olası ayrımcılık etkisi ve insan denetimi ayrıca incelenmelidir.
Pazarlama ve iletişim
Pazarlama ekipleri içerik fikri, kampanya taslağı, araştırma soruları ve metin alternatifleri üretebilir. Yayımlanacak her içerik marka dili, bilgi doğruluğu, fikrî haklar ve görsel gerçeklik açısından kontrol edilmelidir.
Gerçek kişileri veya olayları temsil eden yapay görsellerin yanıltıcı bir izlenim oluşturmaması için açıklama ve onay standartları belirlenmelidir.
Satış
Satış ekipleri toplantı hazırlığı, teklif taslağı, müşteri soruları ve takip e-postalarında yapay zekâ kullanabilir. Müşteri bilgileri, fiyatlandırma stratejileri ve sözleşme koşulları yalnızca onaylanmış sistemlerde ve tanımlanan yetkiler çerçevesinde işlenmelidir.
Yapay zekânın hazırladığı teklif, müşteriye gönderilmeden önce yetkili çalışan tarafından kontrol edilmelidir.
Finans
Yapay zekâ; rapor açıklaması, senaryo oluşturma ve veri sınıflandırma amacıyla kullanılabilir. Ödeme, kredi, bütçe ve yatırım kararlarının yalnızca yapay zekâ çıktısına dayanması uygun bir yönetişim modeli oluşturmaz.
Hesaplamalar, veri kaynakları ve varsayımlar finans uzmanı tarafından doğrulanmalıdır.
Yazılım ve teknoloji
Kod asistanları geliştirme hızını destekleyebilir. Buna karşılık kaynak kodunun harici sistemlere aktarılması, güvenlik açığı içeren kod önerileri ve lisans uyumsuzlukları açısından kontrol gerekir.
Yapay zekâ tarafından üretilen kod; test, güvenlik taraması, kod incelemesi ve dokümantasyon süreçlerinden geçirilmelidir.
Yönetim
Yöneticiler yapay zekâyı senaryo geliştirme, rapor özetleme ve karar seçeneklerini değerlendirme amacıyla kullanabilir. Stratejik kararların gerekçesi, yalnızca sistem tarafından üretilen açıklamalara dayandırılmamalıdır.
Yapay zekâ, karar vericinin yerine geçen bir otorite değil; farklı seçenekleri görünür hâle getiren bir karar destek aracı olarak kullanılmalıdır.
Çalışanlara Verilebilecek Kısa Yapay Zekâ Kontrol Listesi
Bir yapay zekâ aracını kullanmadan önce:
- Bu araç şirket tarafından onaylandı mı?
- Kullanım amacım görevimle ve şirket politikasıyla uyumlu mu?
- Gireceğim metinde kişisel, gizli veya ticari bilgi bulunuyor mu?
- Aynı sonucu daha az veri kullanarak alabilir miyim?
- Aracın ürettiği çıktıyı kontrol edecek yeterli bilgim var mı?
- Çıktı başka bir kişiyi veya önemli bir kararı etkiliyor mu?
- Ek yönetici, hukuk veya bilgi güvenliği onayı gerekiyor mu?
Çıktıyı kullanmadan önce:
- Bilgileri güvenilir kaynaklardan doğruladım mı?
- İsimleri, tarihleri, sayıları ve hesaplamaları kontrol ettim mi?
- Metin kurumun dili ve politikalarıyla uyumlu mu?
- Kişisel veya gizli bilgi açığa çıkıyor mu?
- Telif, lisans veya marka sorunu bulunuyor mu?
- İçeriğin yapay zekâ ile üretildiğinin açıklanması gerekiyor mu?
- Nihai sonucun sorumluluğunu üstlenebilir miyim?
Yapay Zekâ Politikası Çalışanlara Nasıl Aktarılmalı?
Politikayı e-posta ile gönderip okunmasını beklemek yeterli olmayabilir. Çalışanların kuralları gerçek iş örnekleri üzerinden görmesi gerekir.
Uygulama süreci şu adımlarla yürütülebilir:
- Yönetim tarafından politikanın amacı açıklanır.
- Departmanlara göre kullanım örnekleri hazırlanır.
- Onaylı araç listesi çalışanlarla paylaşılır.
- Kısa ve uygulamalı farkındalık oturumları düzenlenir.
- Çalışanlara güvenli prompt örnekleri sunulur.
- Sık sorulan sorular için ortak bir sayfa oluşturulur.
- Yeni kullanım senaryoları için başvuru kanalı açılır.
- Belirli aralıklarla örnek olay çalışmaları yapılır.
- Politika geri bildirimlerle güncellenir.
Yapay zekâ okuryazarlığı yalnızca araca komut yazmayı değil; veriyi sınıflandırmayı, çıktıyı doğrulamayı, belirsizliği fark etmeyi ve doğru durumda insan görüşüne başvurmayı da kapsar.
Yapay Zekâ Politikasının Uygulanması Nasıl Ölçülür?
Politikanın başarısı yalnızca ihlal sayısıyla değerlendirilmemelidir. Güvenli ve verimli kullanımın birlikte gelişip gelişmediğine bakılmalıdır.
Takip edilebilecek göstergeler:
- Onaylı araç kullanan çalışan oranı
- Yapay zekâ farkındalık programına katılım
- Departman bazında tanımlanan kullanım senaryosu sayısı
- Kayıt altına alınan zaman ve maliyet kazanımı
- İnsan kontrolünden geçen kritik çıktı oranı
- Yetkisiz araç kullanımındaki değişim
- Veri güvenliği bildirimlerinin türü ve çözüm süresi
- Güncellenen veya kullanımdan kaldırılan araç sayısı
- Çalışanların politika hakkındaki bilgi düzeyi
- Yapay zekâ destekli süreçlerde kalite göstergeleri
Amaç, kullanım sayısını tek başına artırmak değildir. Değer üreten, güvenli ve denetlenebilir kullanım oranını yükseltmektir.
Pronex Kurumsal ile Yapay Zekâ Kullanım Çerçevesi
Kurumsal yapay zekâ politikası hazırlamak yalnızca bir metin oluşturma işi değildir. Politikanın şirketin gerçek iş süreçleriyle, kullanılan verilerle ve çalışanların günlük ihtiyaçlarıyla eşleşmesi gerekir.
Pronex Kurumsal kapsamında planlanan uygulamalı yapay zekâ workshoplarında ekiplerin:
- Mevcut kullanım alanlarını belirlemesi,
- Departmanlara göre kullanım senaryoları oluşturması,
- Güvenli veri kullanımını öğrenmesi,
- Onay ve insan denetimi noktalarını tanımlaması,
- İşlerine uygun prompt şablonları geliştirmesi,
- Ortak bir yapay zekâ kullanım kültürü oluşturması
amaçlanır.
Bu yaklaşım sayesinde politika, çalışanların yalnızca imzaladığı bir doküman olmaktan çıkar; günlük kararları kolaylaştıran uygulanabilir bir çalışma sistemine dönüşür.
Sonuç
Şirketler için yapay zekâ politikası; teknolojiyi sınırlandıran tek yönlü bir talimat değil, güvenli kullanım alanını tanımlayan kurumsal bir yol haritasıdır. Etkili bir politika; çalışanların hangi araçları kullanabileceğini, hangi verileri paylaşabileceğini, çıktıları nasıl kontrol edeceğini ve hangi işlemlerde ek onay alacağını açık şekilde gösterir.
Hazırlık süreci mevcut kullanımın envanteriyle başlamalı; veri sınıflandırması, risk seviyeleri, insan denetimi, araç değerlendirmesi ve olay bildirimi gibi başlıklarla devam etmelidir. Politika hukuk, bilgi güvenliği, insan kaynakları, teknoloji ve iş birimlerinin ortak katkısıyla oluşturulmalıdır.
En önemlisi, doküman yaşayan bir yapı olarak ele alınmalıdır. Araçlar, kullanım senaryoları ve düzenlemeler değiştikçe politika da güncellenmelidir. Böylece şirketler yapay zekânın sağladığı verimlilikten yararlanırken kurumsal bilgiyi, çalışanları, müşterileri ve marka güvenini koruyan sağlam bir kullanım kültürü geliştirebilir.
Sık Sorulan Sorular
Şirketler için yapay zekâ politikası nedir?
Çalışanların ve ilgili paydaşların yapay zekâ araçlarını hangi amaçlarla, hangi verilerle ve hangi kontroller altında kullanabileceğini açıklayan kurumsal yönetişim dokümanıdır.
Küçük işletmelerin de yapay zekâ politikasına ihtiyacı var mı?
Evet. Politikanın uzunluğu şirketin büyüklüğüne göre değişebilir. Küçük işletmeler için onaylı araçlar, veri güvenliği, çıktı kontrolü, insan sorumluluğu ve olay bildirimi başlıklarını içeren kısa bir politika hazırlanabilir.
Çalışanların yapay zekâ kullanması tamamen serbest bırakılabilir mi?
Kullanım alanlarının, araçların ve veri seviyelerinin tanımlanması daha sağlıklı bir yaklaşım sağlar. Özellikle kişisel, ticari veya gizli verilerin işlendiği durumlarda yetkilendirme ve kontrol gerekir.
Yapay zekâ araçlarına müşteri bilgileri girilebilir mi?
Bu sorunun yanıtı kullanılan aracın sözleşmesine, teknik yapılandırmasına, veri işleme koşullarına, şirketin yetkilendirmesine ve ilgili mevzuata bağlıdır. Genel kullanıma açık araçlara kişisel veya gizli müşteri bilgilerinin girilmemesi temel güvenlik yaklaşımı olarak benimsenebilir.
Yapay zekâ çıktısından kim sorumludur?
Kurumsal işlemde çıktıyı kullanan, onaylayan veya yayımlayan kişi ve ilgili şirket süreçleri sorumluluğunu korur. “Yapay zekâ hazırladı” ifadesi doğrulama ve gözetim sorumluluğunu ortadan kaldırmaz.
Yapay zekâ çıktıları nasıl doğrulanmalıdır?
Sayısal veriler, isimler, tarihler, alıntılar, mevzuat bilgileri ve kaynaklar özgün ve güvenilir kaynaklardan kontrol edilmelidir. Yüksek etkili alanlarda ilgili uzman veya yetkili yönetici incelemesi uygulanmalıdır.
Şirket politikası ücretsiz yapay zekâ araçlarını yasaklamalı mı?
Tek bir genel kural yerine aracın veri işleme koşulları, güvenlik özellikleri ve kullanım amacı değerlendirilmelidir. Şirket, belirli veri türleri için yalnızca kurumsal hesapların kullanılmasına karar verebilir.
Yapay zekâ kullanımının müşteriye açıklanması gerekir mi?
Bu gereklilik kullanım biçimine, sözleşmelere, sektör düzenlemelerine ve içeriğin niteliğine göre değişebilir. Müşteriyle doğrudan etkileşim kuran sistemler, gerçekçi sentetik içerikler ve kişileri etkileyen otomatik kararlar için şeffaflık kuralları özellikle değerlendirilmelidir.
Yapay zekâ politikası ne sıklıkla güncellenmelidir?
En azından belirlenen periyotlarda ve yeni araç, entegrasyon, mevzuat değişikliği veya güvenlik olayı sonrasında gözden geçirilmelidir. Hızlı değişen kullanım ortamında altı aylık değerlendirme birçok şirket için uygun bir başlangıç olabilir.
Politikanın hazırlanmasına hangi birimler katılmalıdır?
Üst yönetim, hukuk, KVKK sorumluları, bilgi teknolojileri, bilgi güvenliği, insan kaynakları, satın alma ve ilgili iş birimleri sürece katılmalıdır. Şirketin yapısına göre bu görevler ortak bir yapay zekâ yönetişim grubu tarafından koordine edilebilir.