Yapay zekâ araçları; raporları özetlemekten müşteri e-postası hazırlamaya, verileri sınıflandırmaktan sunum oluşturmaya kadar birçok iş sürecini hızlandırabiliyor. Ancak bu araçlardan sonuç alabilmek için kullanılan metinler, belgeler ve veriler zaman zaman müşterilere, çalışanlara veya şirketin iç operasyonlarına ilişkin bilgiler içerebiliyor.
Bir sözleşmeyi özetletmek, toplantı notunu düzenletmek veya satış verilerini analiz ettirmek ilk bakışta sıradan bir işlem gibi görünebilir. Yüklenen belgede müşteri isimleri, fiyatlandırma stratejileri, kişisel veriler, ticari sırlar ya da henüz kamuya açıklanmamış bilgiler bulunuyorsa işlem farklı bir güvenlik ve hukuk boyutu kazanır.
Bu nedenle temel soru yalnızca “Yapay zekâya veri girilebilir mi?” değildir. Doğru soru şudur:
Hangi veri, hangi amaçla, hangi yapay zekâ aracına, hangi yetkiyle ve hangi güvenlik önlemleriyle girilebilir?
Güvenli kullanım, yapay zekâ araçlarını tamamen dışarıda bırakmak anlamına gelmez. Şirketin verilerini sınıflandırması, uygun araçları seçmesi ve çalışanlara anlaşılır bir kullanım çerçevesi sunması gerekir.
Bu rehberde yapay zekâ araçlarına şirket verisi girerken dikkat edilmesi gereken noktaları, uygulanabilir örnekler ve çalışanlar için kontrol listesiyle birlikte ele alıyoruz.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. Kişisel veri, sözleşme, ticari sır veya sektörel düzenlemelere tabi bilgi içeren uygulamalar; şirketin hukuk, KVKK, bilgi güvenliği ve ilgili iş birimleri tarafından özel olarak değerlendirilmelidir.
Yapay Zekâ Araçlarına Girilen Verilere Ne Olur?
Bir çalışan yapay zekâ aracına metin yazdığında, belge yüklediğinde veya kurumsal bir sistemi bağladığında bu bilgiler hizmet sağlayıcının teknik altyapısında işlenebilir. Verinin nasıl işlendiği ise kullanılan araca, hesap türüne, sözleşmeye, sistem ayarlarına ve hizmet sağlayıcının güncel veri politikalarına göre değişir.
Araçlar arasında şu konularda önemli farklar bulunabilir:
- Verinin işlendiği ve saklandığı ülke
- Verinin saklanma süresi
- Kullanıcı girdilerinin model geliştirmede kullanılıp kullanılmadığı
- Geçmiş konuşmaların kaydedilip kaydedilmediği
- Verinin silinme yöntemi
- Alt hizmet sağlayıcıların sürece katılımı
- Kurumsal yönetim ve erişim özellikleri
- Denetim kayıtlarının bulunması
- Verilerin şifrelenme biçimi
- Yöneticilerin kullanıcı yetkilerini kontrol edebilmesi
- Yüklenen dosyaların başka sistemlerle paylaşılması
Bu nedenle bir aracın popüler olması, ücretsiz sunulması veya yaygın biçimde kullanılması tek başına kurumsal kullanım için yeterli değerlendirme ölçütü değildir.
Şirketin aracı kullanmadan önce “Girdiğimiz veriler nasıl işleniyor?” sorusuna açık ve güncel bir yanıt bulması gerekir.
Şirket Verisi Nedir?
Şirket verisi yalnızca finansal tablolar veya stratejik raporlardan oluşmaz. Çalışanların günlük işlerinde kullandığı birçok bilgi, kurumsal veri kapsamına girebilir.
Kişisel veriler
Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin bilgiler kişisel veri niteliği taşıyabilir. Örneğin:
- Ad ve soyadı
- Telefon numarası
- E-posta adresi
- Adres bilgisi
- Kimlik ve pasaport bilgileri
- Müşteri kayıtları
- Çalışan özlük bilgileri
- Performans notları
- IP adresi ve cihaz bilgileri
- Fotoğraf, ses ve video kayıtları
Kişisel Verileri Koruma Kurumuna göre kişisel verilerin elde edilmesi, kaydedilmesi, depolanması, değiştirilmesi, açıklanması, aktarılması ve benzeri işlemler kişisel veri işleme kapsamında değerlendirilmektedir. Bu nedenle kişisel verinin bir yapay zekâ aracına yazılması veya dosya olarak yüklenmesi, yalnızca basit bir içerik üretme işlemi olarak görülmemelidir. KVKK’nin kişisel verilerin işlenmesine ilişkin açıklaması bu kapsamın anlaşılmasına yardımcı olur.
Özel nitelikli kişisel veriler
Bazı kişisel veriler, ilgili kişiler açısından daha yüksek hassasiyet taşır. KVKK kapsamında özel nitelikli kişisel verilere şu bilgiler dâhildir:
- Sağlık bilgileri
- Biyometrik ve genetik veriler
- Irk ve etnik köken bilgileri
- Siyasi düşünce
- Din, mezhep veya diğer inançlar
- Dernek, vakıf veya sendika üyeliği
- Ceza mahkûmiyeti ve güvenlik tedbirleri
- Cinsel hayata ilişkin bilgiler
- Kılık ve kıyafet bilgileri
Bu veriler daha sıkı işleme şartlarına ve güvenlik önlemlerine tabidir. KVKK’nin özel nitelikli kişisel verilere ilişkin açıklaması, kurumların bu veri grubunu belirlerken başvurabileceği temel resmî kaynaklardan biridir.
Ticari ve kurumsal açıdan gizli veriler
Her gizli şirket verisi kişisel veri olmayabilir. Bununla birlikte ticari açıdan korunması gerekir.
Örnekler:
- Müşteri listeleri
- Teklif ve fiyatlandırma bilgileri
- Kâr marjları
- Satış hedefleri
- Tedarikçi sözleşmeleri
- Ürün geliştirme planları
- Pazarlama stratejileri
- Yayımlanmamış kampanyalar
- Birleşme ve yatırım planları
- Yönetim kurulu raporları
- Teknik çizimler
- Üretim yöntemleri
- Kaynak kodu
- Sistem mimarisi
- Erişim bilgileri
- İç denetim raporları
- Hukuki uyuşmazlıklara ilişkin belgeler
Bu verilerin yetkisiz bir yapay zekâ aracına girilmesi; sözleşme ihlali, rekabet avantajının kaybı, müşteri güveninin zedelenmesi veya güvenlik açığı gibi sonuçlar doğurabilir.
Yapay Zekâ Araçlarına Şirket Verisi Girerken Dikkat Edilmesi Gereken 12 Nokta
1. Önce verinin türünü belirleyin
Her işlem, “Bu bilgi hangi veri sınıfına giriyor?” sorusuyla başlamalıdır. Çalışanların veri sınıflarını kolayca ayırt edebilmesi için şirket içinde açık bir sistem kurulabilir.
Örnek sınıflandırma:
| Veri sınıfı | Örnekler | Yapay zekâ kullanım yaklaşımı |
| Kamuya açık | Web sitesi metni, yayımlanmış duyuru, kamuya açık ürün bilgisi | Onaylı araçlarda kullanılabilir |
| Kurum içi | Süreç taslakları, genel toplantı gündemleri, yayımlanmamış iç yazışmalar | Kullanım amacı ve araç kontrol edilir |
| Gizli | Fiyatlandırma, müşteri listesi, sözleşme, finansal sonuç | Yalnızca yetkilendirilmiş kurumsal sistem ve onaylı süreç |
| Kişisel veri | Müşteri ve çalışan bilgileri | KVKK, amaç ve işleme şartları değerlendirilir |
| Özel nitelikli veri | Sağlık, biyometrik ve benzeri hassas bilgiler | Yüksek düzeyli değerlendirme ve özel güvenlik önlemleri |
| Çok kritik | Şifreler, API anahtarları, güvenlik mimarisi, ticari sırlar | Genel amaçlı araçlara girilmez |
Bu tablonun şirketin faaliyet alanına göre ayrıntılandırılması gerekir.
2. Veriyi neden kullandığınızı netleştirin
Bir veriyi kullanmadan önce amaç belirlenmelidir. Aynı bilgi farklı amaçlarla kullanıldığında farklı riskler ortaya çıkabilir.
Örneğin bir müşteri görüşmesini özetlemek için müşterinin adı, telefon numarası ve açık adresi çoğu zaman gerekli değildir. Yapay zekâya yalnızca görüşmenin konusu ve anonimleştirilmiş notlar verilerek aynı sonuç alınabilir.
Çalışan şu soruları sormalıdır:
- Bu görevi gerçekleştirmek için bu veriye gerçekten ihtiyacım var mı?
- Daha az veriyle aynı sonucu alabilir miyim?
- Veriyi özetleyerek veya anonimleştirerek kullanabilir miyim?
- Veriyi kullanma amacım, verinin ilk toplanma amacıyla uyumlu mu?
- İlgili kişinin veya müşterinin makul beklentisi bu kullanımı kapsıyor mu?
3. Yalnızca gerekli olan veriyi kullanın
Veri minimizasyonu, yapay zekâ kullanımında temel güvenlik yaklaşımlarından biridir. Sisteme görevin gerektirdiğinden daha fazla bilgi aktarılmamalıdır.
Örnek:
Bir müşteri şikâyetine yanıt hazırlamak için bütün müşteri veri tabanını yüklemek yerine yalnızca şikâyetin anonimleştirilmiş özeti kullanılabilir.
Bir çalışan performans görüşmesi için metin hazırlarken çalışanın tüm özlük dosyasını paylaşmak yerine görüşmede ele alınacak gözlemler kimliksiz hâle getirilerek aktarılabilir.
Bir satış raporunu yorumlatırken müşteri adları yerine sektör, müşteri grubu veya kod kullanılabilir.
Daha fazla veri, her zaman daha kaliteli sonuç anlamına gelmez. İyi tanımlanmış ve gerekli ölçüde sınırlandırılmış veri, hem güvenliği hem de çıktı kalitesini destekler.
4. Veriyi anonimleştirin veya maskeleyin
Yapay zekâ aracının gerçek kişi veya şirket adını bilmesi gerekmiyorsa tanımlayıcı bilgiler çıkarılmalıdır.
Maskeleme örnekleri:
- “Ayşe Demir” yerine “Çalışan A”
- “ABC Otel” yerine “Müşteri 1”
- Gerçek e-posta yerine “musteri@ornek.com”
- Telefon numarasının tamamı yerine son dört hanesi
- Kesin adres yerine şehir veya bölge
- Kimlik numarası yerine işlem kodu
- Kesin fiyat yerine fiyat aralığı
- Proje adı yerine “Proje X”
Ancak yalnızca ismin silinmesi her zaman yeterli değildir. Pozisyon, şehir, yaş, proje adı ve olay tarihi bir araya geldiğinde kişi yeniden belirlenebiliyorsa veri hâlâ kişisel nitelik taşıyabilir.
Anonimleştirme ile takma ad kullanımı da aynı şey değildir. Verinin ek bilgilerle tekrar belirli bir kişiye bağlanabilmesi durumunda tamamen anonim bir yapıdan söz edilemeyebilir. Bu nedenle yüksek hacimli veya hassas veriler için uzman değerlendirmesi alınmalıdır.
5. Kullanılan aracın hesap türünü kontrol edin
Aynı yapay zekâ hizmetinin bireysel, ekip ve kurumsal sürümleri farklı veri güvenliği özellikleri sunabilir. Ücretsiz veya kişisel hesapla yapılan işlem ile şirket tarafından sözleşmeli şekilde kullanılan kurumsal hesap aynı koşullara sahip olmayabilir.
Kurumsal kullanımda şu özellikler değerlendirilmelidir:
- Girdilerin model geliştirmede kullanılıp kullanılmadığı
- Veri saklama süresinin yönetilebilmesi
- Yönetici paneli
- Kullanıcı ekleme ve çıkarma yetkileri
- Tek oturum açma
- Çok faktörlü kimlik doğrulama
- Rol bazlı erişim
- Denetim kayıtları
- Veri silme seçenekleri
- Kurumsal destek
- Güvenlik ve gizlilik belgeleri
- Sözleşmesel taahhütler
Çalışanların iş amaçlı verileri kişisel hesaplardan kullanması, şirketin erişim ve denetim imkânını azaltabilir. Bu nedenle hangi hesapların kullanılabileceği yazılı olarak belirlenmelidir.
6. Hizmet sağlayıcının veri koşullarını inceleyin
Araç kullanılmadan önce yalnızca tanıtım sayfası değil, güncel sözleşme ve gizlilik belgeleri de incelenmelidir.
Kontrol edilmesi gereken başlıca sorular:
- Girdi ve dosyalar ne kadar süre saklanıyor?
- Veriler model geliştirme veya hizmet iyileştirme amacıyla kullanılıyor mu?
- Bu kullanım kapatılabiliyor mu?
- Veriler hangi ülkelerde işleniyor?
- Alt hizmet sağlayıcılar kimler?
- Veriler üçüncü kişilerle hangi durumlarda paylaşılıyor?
- Hesap kapatıldığında veriler ne zaman siliniyor?
- Kullanıcı kendi verilerini silebiliyor mu?
- Güvenlik ihlali durumunda bildirim yapılıyor mu?
- Hizmet sağlayıcının sorumluluk sınırları nelerdir?
- Kurumsal müşteriler için ayrı veri işleme sözleşmesi sunuluyor mu?
Hizmet koşulları zaman içinde değişebileceği için değerlendirme tek seferlik yapılmamalıdır.
7. Yurt dışına veri aktarımı ihtimalini değerlendirin
Birçok yapay zekâ hizmetinin sunucuları veya alt hizmet sağlayıcıları yurt dışında bulunabilir. Bu durumda kişisel verilerin yurt dışına aktarılması gündeme gelebilir.
Verinin kullanıcının ekranından çıkması, tek başına aktarımın bütün ayrıntılarını göstermez. Verinin hangi ülkede işlendiği, yedeklendiği, teknik destek kapsamında erişildiği ve alt hizmet sağlayıcılara iletilip iletilmediği incelenmelidir.
KVKK, kişisel verilerin yurt dışına aktarılmasına ilişkin güncel mekanizmaları ve uygulanabilecek güvenceleri ayrıntılı biçimde açıklamaktadır. Şirketler değerlendirmelerini Kişisel Verilerin Yurt Dışına Aktarılması Rehberi ve yürürlükteki mevzuat doğrultusunda, hukuk ve KVKK uzmanlarıyla birlikte yapmalıdır.
8. Aracın diğer sistemlerle bağlantılarını kontrol edin
Yapay zekâ araçları yalnızca yazılan promptu işlemeyebilir. E-posta, bulut depolama, CRM, doküman yönetimi, proje yönetimi veya mesajlaşma sistemleriyle bağlantı kurabilir.
Bir entegrasyon yapılmadan önce şu sorular yanıtlanmalıdır:
- Araç hangi klasörlere erişebiliyor?
- Bütün e-posta kutusunu mu, yalnızca seçilen iletileri mi görebiliyor?
- Dosyaları yalnızca okuyabiliyor mu, değiştirebiliyor mu?
- Kullanıcı adına mesaj veya e-posta gönderebiliyor mu?
- Erişim süresi ne kadar?
- Yetki sonradan kaldırılabiliyor mu?
- Çalışan işten ayrıldığında erişim otomatik olarak kapanıyor mu?
- Entegrasyon faaliyetleri kayıt altına alınıyor mu?
Araca yalnızca ihtiyaç duyduğu en düşük yetki verilmelidir. Bir toplantıyı özetlemek için bütün kurumsal arşive erişim sağlanması gerekli olmayabilir.
9. Şifreleri ve erişim bilgilerini hiçbir zaman prompta eklemeyin
Çalışanlar teknik bir hata için yardım isterken kaynak kodunun yanında hassas erişim bilgilerini de farkında olmadan paylaşabilir.
Aşağıdaki bilgiler genel amaçlı yapay zekâ araçlarına yazılmamalıdır:
- Kullanıcı adı ve şifreler
- API anahtarları
- Güvenlik anahtarları
- Erişim belirteçleri
- Veritabanı bağlantı bilgileri
- Sunucu adresleri ve yönetici girişleri
- Gizli sertifikalar
- Kurtarma kodları
- Ödeme sistemi anahtarları
- Özel ağ yapılandırmaları
Kod veya hata kaydı paylaşılmadan önce gizli bilgiler temizlenmelidir. Teknik ekipler, bu tür bilgileri otomatik olarak tespit eden güvenlik araçlarından da yararlanabilir.
Hassas erişim bilgisinin yanlışlıkla paylaşılması hâlinde yalnızca konuşmayı silmek yeterli kabul edilmemelidir. İlgili anahtar veya şifre değiştirilmeli ve şirketin güvenlik olayı bildirim süreci uygulanmalıdır.
10. Yapay zekâ çıktısını şirket verisi gibi koruyun
Güvenlik yalnızca sisteme girilen verilerle sınırlı değildir. Yapay zekâ tarafından üretilen çıktı da şirket verisi içerebilir.
Örneğin:
- Yüklenen satış verilerinden oluşturulan analiz
- Sözleşmeden çıkarılan yükümlülük özeti
- Çalışan değerlendirme notlarından üretilen rapor
- Kaynak kodundan oluşturulan teknik dokümantasyon
- Müşteri verilerinden çıkarılan segmentasyon
- Yayımlanmamış ürün bilgileriyle hazırlanan kampanya metni
Bu çıktılar indirildiğinde, e-postayla gönderildiğinde veya başka sistemlere aktarıldığında şirketin veri sınıflandırma ve erişim kurallarına tabi olmalıdır.
11. Çıktı doğruluğunu ve gizli bilgi sızıntısını kontrol edin
Yapay zekâ çıktıları eksik, hatalı veya bağlamdan uzak bilgiler içerebilir. Ayrıca uzun bir konuşma içerisinde daha önce paylaşılan bilgiler sonraki yanıtlara yansıyabilir.
Çıktı kullanılmadan önce şu kontroller yapılmalıdır:
- Kişisel veya gizli bilgi bulunuyor mu?
- Başka bir müşteriye veya projeye ait bilgi karışmış mı?
- Sayısal değerler kaynakla eşleşiyor mu?
- İsimler, tarihler ve unvanlar doğru mu?
- Yapay zekâ verilmeyen bir bilgiyi eklemiş mi?
- Ticari veya hukuki yorumlar uzman tarafından doğrulandı mı?
- Çıktı yalnızca yetkili kişilerle mi paylaşılacak?
- İçerikte telif veya lisans sorunu oluşturabilecek bölüm var mı?
Yapay zekâdan alınan yanıt, doğrulanmış kurumsal kayıt yerine geçmez.
12. Hatalı veri paylaşımı için bildirim süreci oluşturun
Bir çalışan yanlışlıkla gizli veriyi yapay zekâ aracına yüklediğinde ne yapacağını bilmelidir. Açık bir bildirim süreci, olayın erken değerlendirilmesini sağlar.
Çalışanın atması gereken ilk adımlar şirket politikasına göre tanımlanabilir:
- İşlemi durdurmak.
- Mümkünse yüklenen içerik veya konuşmayı silmek.
- Araca bağlı entegrasyonları kapatmak.
- Bilgi güvenliği veya belirlenen sorumluya bildirim yapmak.
- Paylaşılan verinin türünü, kapsamını ve zamanını açıklamak.
- Parola veya erişim anahtarı paylaşılmışsa değiştirmek.
- Şirketin olay değerlendirme sürecini takip etmek.
Çalışanların olayları gecikmeden bildirmesini sağlayan destekleyici bir kurum kültürü oluşturulmalıdır. Hızlı bildirim, teknik ve hukuki değerlendirmenin zamanında yapılmasına yardımcı olur.
Yapay Zekâya Hangi Şirket Verileri Girilmemeli?
Aracın kurumsal olarak değerlendirilmediği ve özel bir yetkilendirme bulunmadığı durumlarda aşağıdaki bilgilerin genel amaçlı yapay zekâ araçlarına girilmemesi temel güvenlik yaklaşımı olarak benimsenebilir:
- Parolalar ve erişim anahtarları
- Kimlik ve pasaport kopyaları
- Sağlık raporları
- Çalışan özlük dosyaları
- Kredi kartı ve banka hesap bilgileri
- İmzalanmamış veya gizlilik içeren sözleşmeler
- Müşteri veri tabanları
- Ham çalışan performans verileri
- Kamuya açıklanmamış finansal sonuçlar
- Birleşme ve yatırım planları
- Kaynak kodunun kritik bölümleri
- Ağ ve güvenlik yapılandırmaları
- Ticari sır niteliğindeki formüller ve yöntemler
- Devam eden hukuki dosyalar
- Müşteri tarafından gizlilik koşuluyla paylaşılan belgeler
Kurumsal ve sözleşmeli bir sistemin kullanılması da bütün verilerin otomatik olarak paylaşılabileceği anlamına gelmez. Kullanım amacı, yetki, hukuki dayanak, veri miktarı ve insan denetimi ayrıca değerlendirilmelidir.
Güvenli ve Güvensiz Kullanım Arasındaki Fark
Örnek 1: Müşteri e-postası
Uygun olmayan kullanım:
“Müşterimiz Ahmet Yılmaz’ın telefon numarası, adresi ve sipariş geçmişi aşağıdadır. Bu müşteriye satış e-postası hazırla.”
Daha güvenli yaklaşım:
“Üretim sektöründe faaliyet gösteren, daha önce [ürün kategorisi] satın almış kurumsal müşteriye yeni hizmetimizi tanıtan kısa bir takip e-postası hazırla. Gerçek kişi ve iletişim bilgisi kullanma.”
Örnek 2: Çalışan değerlendirmesi
Uygun olmayan kullanım:
Çalışanın adı, sağlık durumu, devamsızlık bilgileri ve performans notlarının tamamını genel amaçlı araca yükleyerek terfi kararı istemek.
Daha güvenli yaklaşım:
Yetkilendirilmiş sistemde, iş için gerekli ve önceden belirlenmiş ölçütleri kullanarak değerlendirme görüşmesi için soru taslağı hazırlamak; nihai değerlendirme ve kararı yetkili yöneticinin vermesi.
Örnek 3: Sözleşme özeti
Uygun olmayan kullanım:
Tarafların bilgileri, fiyatlar, banka hesapları ve ticari koşullar bulunan sözleşmenin tamamını onaylanmamış araca yüklemek.
Daha güvenli yaklaşım:
Sözleşmeyi hukuk ve bilgi güvenliği tarafından onaylanan kurumsal sistemde işlemek veya tanımlayıcı ve ticari açıdan hassas bölümleri çıkararak yalnızca ilgili madde yapısını değerlendirmek.
Örnek 4: Satış analizi
Uygun olmayan kullanım:
Müşteri isimleri, iletişim bilgileri ve satın alma geçmişlerini içeren ham CRM çıktısını paylaşmak.
Daha güvenli yaklaşım:
Müşterileri kodlayarak, iletişim bilgilerini kaldırarak ve verileri ürün grubu, sektör veya dönem bazında toplulaştırarak analiz ettirmek.
Yapay Zekâ Aracı Seçerken Kullanılabilecek Kontrol Listesi
Bir şirket, yeni bir yapay zekâ aracını kullanıma almadan önce aşağıdaki sorulara yanıt arayabilir:
Veri ve gizlilik
- Araç hangi verileri topluyor?
- Promptlar ve dosyalar ne kadar süre saklanıyor?
- Veriler model geliştirme için kullanılıyor mu?
- Bu kullanım kapatılabiliyor mu?
- Veriler hangi ülkelerde işleniyor?
- Alt hizmet sağlayıcılar kimler?
- Veri silme süreci nasıl işliyor?
- Yurt dışına veri aktarımı değerlendirildi mi?
Güvenlik
- Veriler aktarımda ve depolamada şifreleniyor mu?
- Çok faktörlü kimlik doğrulama bulunuyor mu?
- Rol bazlı yetkilendirme yapılabiliyor mu?
- Denetim kayıtları tutuluyor mu?
- Güvenlik olayları nasıl bildiriliyor?
- Bağımsız güvenlik değerlendirmeleri veya geçerli güvenlik belgeleri bulunuyor mu?
Kurumsal yönetim
- Kullanıcı hesapları merkezî olarak yönetilebiliyor mu?
- Çalışan ayrıldığında erişim kapatılabiliyor mu?
- Kurumsal içeriklerin paylaşımı sınırlandırılabiliyor mu?
- Yönetici kullanım raporu alabiliyor mu?
- Entegrasyon izinleri ayrı ayrı yönetilebiliyor mu?
- Veri saklama süreleri yapılandırılabiliyor mu?
Sözleşme ve hukuk
- Verinin sorumluluğu sözleşmede nasıl tanımlanıyor?
- Fikrî mülkiyet koşulları nelerdir?
- Üretilen çıktı ticari amaçla kullanılabilir mi?
- Müşteri verilerinin işlenmesine ilişkin hükümler yeterli mi?
- Hizmet sona erdiğinde veriler nasıl siliniyor?
- Uyuşmazlık ve yetkili hukuk hükümleri nelerdir?
Şirket İçinde Güvenli Yapay Zekâ Kullanımı Nasıl Kurulur?
Onaylı araç listesi hazırlayın
Çalışanların hangi araçları hangi amaçla kullanabileceği açıklanmalıdır. Liste yalnızca araç adını değil, izin verilen veri sınıfını da göstermelidir.
Tek sayfalık kullanım rehberi oluşturun
Uzun politika metninin yanında günlük kullanım için kısa bir rehber hazırlanabilir:
- Hangi bilgiler kullanılabilir?
- Hangi bilgiler kullanılmamalıdır?
- Veriler nasıl anonimleştirilir?
- Kimden onay alınır?
- Olay kime bildirilir?
Departman bazlı kullanım senaryoları belirleyin
Pazarlama, satış, insan kaynakları, finans ve yazılım ekiplerinin ihtiyaçları farklıdır. Her departman için uygun ve sınırlı kullanım örnekleri hazırlanmalıdır.
Kurumsal hesapları merkezî biçimde yönetin
Çalışanların iş verilerini kişisel hesaplarda kullanması yerine şirket tarafından yönetilen hesaplar tercih edilebilir. Erişimler görev ve yetki seviyesine göre düzenlenmelidir.
Çalışanlara uygulamalı farkındalık kazandırın
Çalışanların yalnızca kuralları okuması değil, gerçek senaryolar üzerinden güvenli uygulamayı görmesi gerekir. Anonimleştirme, veri minimizasyonu, çıktı doğrulama ve olay bildirimi örneklerle çalışılmalıdır.
Düzenli denetim ve güncelleme yapın
Yeni araçlar, entegrasyonlar ve özellikler ortaya çıktıkça değerlendirme yenilenmelidir. Daha önce onaylanan bir aracın hizmet koşullarındaki değişiklikler de takip edilmelidir.
Çalışanlar İçin 10 Saniyelik Veri Kontrolü
Yapay zekâ aracına “gönder” demeden önce çalışan şu beş soruyu kendine sorabilir:
- Bu araç şirket tarafından onaylandı mı?
- Metinde kişi, müşteri veya çalışanı tanımlayan bilgi var mı?
- Bu bilgi şirket dışında paylaşılsa ticari veya hukuki sonuç doğurur mu?
- Aynı işi daha az ve anonimleştirilmiş veriyle yapabilir miyim?
- Bu işlemin sorumluluğunu ve çıktının doğruluğunu kontrol edebilir miyim?
Sorulardan biri belirsiz kalıyorsa işlem durdurulmalı ve ilgili yönetici, bilgi güvenliği veya KVKK sorumlusundan görüş alınmalıdır.
KVKK Açısından Yapay Zekâ Kullanımında Temel Yaklaşım
Kişisel verilerin yapay zekâ sistemlerinde kullanılması, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki yükümlülükleri ortadan kaldırmaz. Veri sorumluları; veri işleme amacını, hukuki şartı, veri miktarını, saklama süresini, aktarımı ve güvenlik tedbirlerini değerlendirmelidir.
Kişisel Verileri Koruma Kurumu tarafından yayımlanan Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, üretken yapay zekâ sistemlerinin kişisel veriler açısından yaşam döngüsü boyunca değerlendirilmesini; insan merkezli, güvenli, şeffaf ve denetlenebilir bir yaklaşımı vurgulamaktadır.
Şirketlerin uygulamada şu başlıkları birlikte değerlendirmesi gerekir:
- İşleme amacı
- Hukuki işleme şartı
- Aydınlatma yükümlülüğü
- Veri minimizasyonu
- Veri doğruluğu
- Saklama süresi
- Teknik ve idari güvenlik tedbirleri
- Yurt içi ve yurt dışı aktarım
- İlgili kişilerin hakları
- Veri ihlali yönetimi
Her kullanım senaryosu kendi özelliklerine göre incelenmelidir. Bir aracın yalnızca metin üretmesi, kişisel veri sorumluluklarını kendiliğinden ortadan kaldırmaz.
Pronex Kurumsal ile Güvenli Yapay Zekâ Kullanımı
Şirketlerde güvenli yapay zekâ kullanımı yalnızca teknik ekibin konusu değildir. Satış temsilcisinden insan kaynakları uzmanına, pazarlama ekibinden yöneticilere kadar yapay zekâ kullanan herkesin temel veri güvenliği yaklaşımını bilmesi gerekir.
Pronex Kurumsal kapsamında planlanan uygulamalı yapay zekâ workshopları, ekiplerin kendi günlük işlerinden hareketle güvenli kullanım senaryoları geliştirmesine odaklanır.
Çalışmalarda şu başlıklar ele alınabilir:
- Şirket verilerinin sınıflandırılması
- Onaylı araç ve hesap kullanımı
- Güvenli prompt hazırlama
- Veri minimizasyonu
- Anonimleştirme ve maskeleme
- Departmanlara göre örnek senaryolar
- Yapay zekâ çıktılarının doğrulanması
- Şüpheli veri paylaşımının bildirilmesi
- Kurumsal prompt ve kullanım kütüphanesi oluşturulması
- Şirket içi yapay zekâ kullanım rehberinin geliştirilmesi
Bu yaklaşım, çalışanların yapay zekâdan daha verimli yararlanırken şirket verilerini koruyan ortak bir çalışma refleksi geliştirmesine katkı sağlar.
Sonuç
Yapay zekâ araçlarına şirket verisi girerken alınabilecek en etkili önlem, her türlü kullanımı durdurmak değil; veriyi, aracı ve kullanım amacını birlikte değerlendirmektir.
Güvenli bir süreç için önce veri sınıflandırılmalı, ardından görevin gerektirdiği en az miktarda bilgi kullanılmalıdır. Kişisel ve ticari bilgiler mümkün olduğunda anonimleştirilmeli, yalnızca şirket tarafından onaylanan araç ve hesaplar tercih edilmelidir. Hizmet sağlayıcının veri saklama, model geliştirme, alt işleyen ve yurt dışı aktarım koşulları düzenli olarak incelenmelidir.
Çalışanların hangi veriyi kullanabileceğini anlaması, yapay zekâ çıktısını doğrulaması ve şüpheli bir durumda kime başvuracağını bilmesi, teknik güvenlik önlemleri kadar önemlidir.
Doğru yönetişim modeli kurulduğunda şirketler, yapay zekânın sunduğu hız ve üretkenlikten yararlanırken müşteri güvenini, çalışan mahremiyetini ve kurumsal bilgiyi birlikte koruyabilir.
Sık Sorulan Sorular
Yapay zekâ araçlarına şirket verisi girilebilir mi?
Verinin türüne, kullanım amacına, aracın özelliklerine, hesap ve sözleşme koşullarına göre değerlendirme yapılmalıdır. Kamuya açık veya doğru biçimde anonimleştirilmiş veriler daha düşük risk taşırken kişisel, gizli ve ticari veriler için özel kontrol gerekir.
ChatGPT’ye müşteri bilgisi yazılabilir mi?
Kullanılan hesap türü, kurumun politikası, veri işleme amacı ve KVKK yükümlülükleri değerlendirilmeden müşteri bilgisi paylaşılmamalıdır. Çoğu içerik üretme işi gerçek müşteri bilgileri çıkarılarak yapılabilir.
Yapay zekâya yüklenen veriler kaydedilir mi?
Bu durum kullanılan hizmete, hesap türüne ve güncel ayarlara göre değişebilir. Veri saklama süresi, model geliştirme kullanımı ve silme seçenekleri hizmet sağlayıcının güncel sözleşme ve gizlilik belgelerinden kontrol edilmelidir.
Veriyi anonimleştirmek yeterli midir?
Anonimleştirme önemli bir önlemdir; ancak kişi veya şirket ek bilgilerle yeniden belirlenebiliyorsa veri tamamen anonim sayılmayabilir. Hassas kullanım senaryolarında uzman değerlendirmesi gerekir.
Şirket sözleşmeleri yapay zekâya yüklenebilir mi?
Sözleşmede kişisel veriler, fiyatlandırma, banka bilgileri, ticari sırlar veya gizlilik hükümleri bulunabilir. Belge yalnızca şirket tarafından onaylanan güvenli sistemlerde ve yetkili süreç kapsamında kullanılmalıdır.
Çalışanlar kişisel yapay zekâ hesaplarını iş için kullanabilir mi?
Şirketin açık bir yetkilendirmesi bulunmadığında kişisel hesapların kurumsal veriler için kullanılmaması daha güvenli bir yaklaşımdır. Kurumsal hesaplar merkezî erişim, kullanıcı yönetimi ve denetim açısından daha fazla kontrol sağlayabilir.
Yapay zekâ aracına yanlışlıkla gizli bilgi girilirse ne yapılmalıdır?
İşlem durdurulmalı, mümkünse içerik silinmeli ve olay gecikmeden şirketin bilgi güvenliği veya belirlenmiş sorumlusuna bildirilmelidir. Erişim anahtarı veya şifre paylaşılmışsa ilgili bilgiler değiştirilmelidir.
Yapay zekâya şifre veya API anahtarı girilir mi?
Hayır. Parolalar, API anahtarları, erişim belirteçleri ve benzeri kimlik doğrulama bilgileri genel amaçlı yapay zekâ araçlarına girilmemelidir.
Kurumsal yapay zekâ hesabı kullanmak bütün riskleri ortadan kaldırır mı?
Kurumsal hesap daha güçlü yönetim ve güvenlik seçenekleri sunabilir; ancak verinin amacı, miktarı, hukuki dayanağı, erişim yetkisi ve doğrulama süreci yine değerlendirilmelidir.
Yapay zekâ veri güvenliği konusunda çalışanlara nasıl rehberlik edilmelidir?
Onaylı araç listesi, veri sınıflandırma tablosu, anonimleştirme örnekleri, departman bazlı kullanım senaryoları, kısa kontrol listesi ve olay bildirim kanalı çalışanlarla açık biçimde paylaşılmalıdır.