Kurumunuz için yapay zeka kullanım politikası oluşturun

1. Amaç ve kapsam

Bu politika, Şirket bünyesinde yapay zeka araçlarının hangi işlerde, hangi verilerle ve hangi kurallarla kullanılacağını belirler. Amacı kullanımı engellemek değil, kullanımı öngörülebilir ve denetlenebilir hâle getirmektir.

Politika; Şirket çalışanlarını, stajyerlerini ve şirket adına iş yapan tedarikçi ve danışmanları kapsar. Şirketin verisine erişen her taraf bu kurallara tabidir.

2. Tanımlar

• Yapay zeka aracı: Metin, görsel, ses, kod ya da analiz üreten; girdi olarak verilen içeriği işleyen yazılım ve hizmetler.
• Dış araç: Hizmeti şirket dışındaki bir sağlayıcının sunucularında çalışan araçlar.
• Kurum içi araç: Şirketin kendi altyapısında çalışan ve verisi dışarıya çıkmayan araçlar.
• Çıktı: Araç tarafından üretilen metin, görsel, tablo, kod ya da öneri.
• Hassas veri: Bu politikanın dördüncü bölümünde sayılan, araçlara verilmesi yasak olan veri türleri.

3. İzin verilen araçlar

Şirkette kullanımına izin verilen araçlar şunlardır: ChatGPT, Claude / Claude Code. Listede yer almayan bir aracın iş amacıyla kullanılması, kullanılmadan önce Bilgi işlem birimi onayına bağlıdır.

Araçlar kurumsal hesaplarla kullanılır. Kişisel hesap üzerinden iş verisi işlenmez; çalışan ayrıldığında kurumsal hesabın erişimi kapatılır.

• Onaylı araç listesi güncel tutulur ve çalışanların erişebileceği bir yerde yayımlanır.
• Ücretsiz sürümlerde verinin model eğitiminde kullanılabileceği varsayılır; iş verisiyle ücretsiz sürüm kullanılmaz.
• Tarayıcı eklentileri, ekran okuyan yardımcılar ve toplantı kaydı alan araçlar da bu listeye tabidir.

4. Araçlara verilemeyecek veriler

Aşağıdaki veriler, kurum içi araçlar dışında hiçbir yapay zeka aracına girilmez. Tereddüt hâlinde veri paylaşılmaz ve bilgi işlem birimine sorulur.

• Kimliği belirli kişilere ait veriler
• Müşteri listeleri ve iletişim bilgileri
• Sözleşmeler ve ticari sır niteliğindeki belgeler
• Sağlık, biyometrik ve diğer özel nitelikli veriler
• Kimlik, pasaport ve banka bilgileri

5. Kişisel verilerin korunması

Bir yapay zeka aracına kişisel veri girilmesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında bir veri işleme faaliyetidir. Bu nedenle kişisel veri içeren her kullanım, şirketin mevcut veri envanteri ve aydınlatma metinleriyle birlikte değerlendirilir.

Çalışan, bir işi yapay zeka aracıyla yapmaya başlamadan önce şu soruyu sorar: bu veriyi bu araca vermem, şirketin verdiği aydınlatma metninde kapsanıyor mu? Cevap bilinmiyorsa veri paylaşılmaz.

• Kişisel veri içeren işlerde önce kimliksizleştirme yapılır; ad, iletişim bilgisi ve kimlik numarası sütunları çıkarılır.
• Verinin yurt dışındaki sunuculara aktarılması söz konusu olduğunda aktarım şartları ayrıca değerlendirilir.
• Araç sağlayıcılarıyla yapılan sözleşmelerde veri işleme koşulları kayıt altına alınır.
• İlgili kişi başvurularında, yapay zeka araçlarıyla yapılan işlemler de cevaplanacak kapsamın içindedir.

6. Çıktının kontrolü ve sorumluluk

Yapay zeka çıktısı taslaktır. Çıktıyı kullanan çalışan, o çıktının doğruluğundan ve uygunluğundan sorumludur. "Araç böyle üretti" bir gerekçe değildir.

Dışarıya giden her çıktı, gönderilmeden önce bir kişi tarafından okunur ve doğrulanır. Sayısal sonuçlar kaynağına karşı kontrol edilir.

• Müşteriye, kamuya ya da resmi kuruma giden metinlerde kontrol zorunludur.
• Hukuki, mali ve tıbbi içerik, yetkili kişinin onayı olmadan kullanılamaz.
• Çıktıdaki kaynak ve istatistik iddiaları, kaynağı görülmeden kullanılmaz.

7. Üçüncü taraflara bildirim

Müşteriye sunulan çıktıda yapay zeka kullanıldıysa bu durum, teslim sırasında uygun bir biçimde belirtilir. İç çalışmalarda ayrıca bildirim yapılmaz.

Müşteri sözleşmesinde yapay zeka kullanımına ilişkin bir kısıtlama varsa, sözleşme bu politikanın önünde gelir.

8. Fikri mülkiyet

• Üretilen içeriğin üçüncü kişilere ait eserlerle benzerliği kontrol edilir.
• Marka, logo ve telife tabi görseller araçlara girdi olarak verilmez.
• Üretilen görseller ticari kullanımda, kullanılan aracın lisans koşullarına uygunluk açısından değerlendirilir.
• Şirket adına üretilen içeriğin hakları şirkete aittir; çalışan bu içeriği kişisel işlerinde kullanamaz.

9. Güvenlik kuralları

• Araç hesaplarında iki adımlı doğrulama açılır.
• Paylaşılan ekip hesapları kullanılmaz; her çalışanın kendi erişimi olur.
• Araçların kurum sistemlerine bağlanması (dosya sistemi, e-posta, veri tabanı) Bilgi işlem birimi onayına tabidir.
• Otomatik çalışan akışlar, hangi veriye eriştiği yazılı olarak kayıt altına alınmadan devreye alınmaz.

10. İhlal bildirimi

Bu politikaya aykırı bir kullanım fark edildiğinde, fark eden çalışan durumu gecikmeden bilgi işlem birimine bildirir. Bildirimde bulunan çalışan, iyi niyetle hareket ettiği sürece olumsuz bir sonuçla karşılaşmaz.

Hassas verinin bir araca girildiği anlaşılırsa, ilgili hesap ve sohbet kaydı incelenir, gerekiyorsa kayıt silinir ve olay kaydı tutulur. Kişisel veri ihlali söz konusuysa mevzuattaki bildirim yükümlülükleri değerlendirilir.

11. Eğitim ve yetkinlik

Yapay zeka araçlarını kullanan her çalışan, kullanıma başlamadan önce bu politikayı okur ve kurumun verdiği eğitimi tamamlar. Yeni başlayanların uyum programına bu politika eklenir.

Eğitim, aracın nasıl açıldığını değil, işin araçla nasıl doğru yapıldığını öğretir. Çıktının kontrolü eğitimin zorunlu parçasıdır.

12. Yürürlük ve güncelleme

Bu politika, yönetim onayının ardından yürürlüğe girer.

Politika en az altı ayda bir gözden geçirilir. Araç listesi, veri kuralları ve mevzuattaki değişiklikler bu gözden geçirmede güncellenir. Güncelleme sorumluluğu bilgi işlem birimindedir.

13. Ek: tek sayfalık hatırlatma

• Kurumsal hesapla çalış, kişisel hesapla iş verisi işleme.
• Hassas veriyi araca verme; emin değilsen sorma yerine paylaşmamayı seç.
• Çıktıyı taslak say; dışarıya gitmeden önce oku ve doğrula.
• Sayı ve kaynak iddialarını kaynağından kontrol et.
• Yeni bir araç kullanacaksan önce onay al.
• Bir hata fark edersen gecikmeden bildir.