Şirket İçi Yapay Zekâ Politikası: Çalışanlar Yapay Zekâyı Nasıl Kullanmalı?

Şirket içi yapay zekâ politikası nasıl yazılır? Onaylı araçlar, veri sınıflarına göre kullanım kuralları, insan kontrolü, KVKK ve eğitim için yönetim çerçevesi.

Yazar: Abdulaziz Akyol · Kurucu ve CEO, CX Teknoloji

Şirket içi yapay zekâ politikası, çalışanların üretken yapay zekâ araçlarını hangi araçlarla, hangi verilerle, hangi işlerde ve kimin sorumluluğunda kullanabileceğini tanımlayan yazılı kurallar bütünüdür. İyi bir politika kullanımı yasaklamaz; onaylı araçları, veri sınıflarına göre neyin paylaşılabileceğini, çıktının kim tarafından kontrol edileceğini ve sorun çıktığında ne yapılacağını kısa ve uygulanabilir biçimde yazar.

Çoğu şirkette yapay zekâ kullanımı politika yazılmadan çoktan başlamıştır. Satış uzmanı teklif metnini bir sohbet aracında düzeltir, mühendis bir hata mesajını yapıştırıp açıklama ister, insan kaynakları iş ilanı taslağı hazırlatır. Bu kullanımların bir kısmı zararsızdır, bir kısmı ise müşteri çizimini, maaş bilgisini ya da henüz duyurulmamış bir fiyat listesini şirket dışındaki bir hizmete taşır. Yönetimin önündeki soru, kullanımın olup olmadığı değil, hangi kurallarla süreceğidir. Bu politikayı kurumsal yapay zekâ danışmanlığı çalışmalarında genelde teknik altyapıyla birlikte ele alıyoruz, çünkü kural yazılırken kullanılabilir onaylı bir araç sunulmazsa kullanım gözden uzak kanallara kayar.

Yasaklamak neden çoğu zaman işe yaramaz?

Tam yasak ilk bakışta en güvenli seçenek gibi görünür. Ancak araçlar telefonlarda ve kişisel hesaplarda kolayca erişilebilir olduğu için yasak, kullanımı ortadan kaldırmaktan çok görünmez kılar. Görünmeyen kullanım ise ne denetlenebilir ne de iyileştirilebilir. Daha sağlıklı yol, iş ihtiyacını karşılayan onaylı bir araç sağlamak, hassas verinin nereye gidemeyeceğini net yazmak ve çalışanın şüphe duyduğunda kime soracağını belirlemektir. Bazı veri türleri ve süreçler için kesin yasak elbette gerekir; ama bu yasak politikanın tamamı değil, bir parçası olmalıdır.

Politikada hangi bölümler bulunmalı?

1. Amaç ve kapsam: politikanın hangi çalışanları, taşeron ve stajyerleri, hangi cihaz ve hesapları kapsadığı.
2. Tanımlar: üretken yapay zekâ, onaylı araç, kişisel veri, gizli bilgi gibi terimlerin şirket içindeki anlamı.
3. Onaylı araçlar listesi: kullanılabilecek araçlar, kurumsal hesapla mı kullanılacağı ve listenin kim tarafından güncellendiği.
4. Veri sınıflarına göre kurallar: hangi bilginin hangi araca girilebileceği.
5. Kullanım alanları: serbest, onaya bağlı ve yasak kullanımların örneklerle listesi.
6. İnsan kontrolü ve sorumluluk: çıktının kullanılmadan önce kim tarafından ve nasıl kontrol edileceği.
7. Fikri mülkiyet ve gizlilik: üretilen içeriğin ve paylaşılan bilginin hukuki durumu için şirketin tutumu.
8. Kayıt ve denetim: hangi kullanımların kaydedileceği, kimlerin erişebileceği.
9. Eğitim: çalışanların politikayı ve araçların sınırlarını öğrenme yolu.
10. İhlal ve olay bildirimi: yanlışlıkla hassas veri paylaşıldığında ne yapılacağı ve kime haber verileceği.
11. Gözden geçirme: politikanın hangi sıklıkta ve kimin sorumluluğunda güncelleneceği.

Veri sınıflarına göre kullanım kuralları

Politikanın en çok işe yarayan bölümü, çalışanın tek bakışta karar verebileceği bir veri sınıfı tablosudur. Şirketin mevcut bilgi sınıflandırması varsa ona bağlanmalı, yoksa aşağıdaki gibi sade bir yapıyla başlanabilir.

Tablodaki genel kullanıma açık araç, şirketle veri işleme sözleşmesi bulunmayan, kişisel hesapla kullanılan hizmetleri ifade eder. Onaylı kurumsal araç ise verinin nerede işlendiği, saklanıp saklanmadığı ve model eğitimi için kullanılıp kullanılmadığı sözleşmeyle belirlenmiş araçtır. Hassas verinin hiç şirket dışına çıkmaması isteniyorsa modeller şirketin kendi altyapısında çalıştırılabilir; bu seçeneği on-premise yapay zekâ yazısında anlattık.

Serbest, onaya bağlı ve yasak kullanımlara örnekler

Çalışanlar soyut kurallardan çok kendi işlerinden örneklerle karar verir. Politikanın kullanım alanları bölümünü üç listeyle yazmak pratik olur:

• Serbest: herkese açık bilgilerle e-posta dilini düzeltmek, genel bir teknik kavramı öğrenmek, sunum taslağı için başlık önerisi almak, onaylı araçta iç doküman özetlemek.
• Onaya bağlı: müşteriye gidecek teklif metni hazırlamak, tedarikçi sözleşmesinin özetini çıkarmak, yazılım kodu üretmek, yapay zekâ çıktısını şirket web sitesinde ya da kataloğunda yayımlamak.
• Yasak: müşteri çizimini, reçeteyi ya da fiyat listesini genel araçlara yüklemek, çalışan veya aday hakkında değerlendirme yaptırmak, sağlık raporu gibi özel nitelikli verileri işlemek, kişisel hesapla şirket verisi paylaşmak.

Listeler her departman için birkaç örnekle zenginleştirilirse çalışanın gri alanda kalma ihtimali azalır; gri alanda kalan durumlar için de danışma noktası devreye girer.

Onaylı araç nasıl seçilir ve sunulur?

Onaylı araç seçiminde yalnız model kalitesine bakmak yetmez. BT ve hukuk birimiyle birlikte şu sorular cevaplanmalıdır: Girilen veriler hangi ülkede işleniyor ve ne kadar süre saklanıyor? Veriler hizmet sağlayıcının modelini eğitmek için kullanılıyor mu? Kurumsal kimlik doğrulama ve kullanıcı yönetimi var mı? Yönetici, kullanım kayıtlarına erişebiliyor mu? Şirket dokümanlarıyla çalışan bir asistan isteniyorsa, kullanıcının yalnız yetkili olduğu dokümanlardan cevap alması nasıl sağlanıyor? Bu son soru, şirket bilgisini kaynak göstererek kullanan kurumsal yapay zekâ asistanı projelerinin temel tasarım konusudur.

Onaylı aracın kullanılabilir olması da bir güvenlik önlemidir. Yavaş, kısıtlı ya da erişimi zor bir araç sunulduğunda çalışanlar tekrar kişisel hesaplarına döner.

İnsan kontrolü ve sorumluluk kimde?

Üretken yapay zekâ akıcı ve ikna edici metin üretir, ancak yanlış bilgi, uydurma kaynak ya da bağlama uymayan sonuç da üretebilir. Politika bu yüzden çıktının sorumluluğunun onu kullanan çalışanda ve onun yöneticisinde kaldığını açıkça yazmalıdır. Uygulamada şu kurallar işe yarar:

• Müşteriye, tedarikçiye ya da resmi kuruma gidecek her metin bir insan tarafından okunur ve onaylanır.
• Teknik hesaplar, ölçüler, mevzuat atıfları ve rakamlar kaynağından doğrulanmadan kullanılmaz.
• Personel değerlendirmesi, işe alım elemesi ve kredi gibi kişiler hakkında sonuç doğuran kararlar yapay zekâya bırakılmaz; yapay zekâ en fazla hazırlık yapar.
• Yazılım kodu, şirketin olağan kod inceleme ve test sürecinden geçmeden üretime alınmaz.
• Yapay zekâ ile hazırlanan içerik gerektiğinde bu şekilde belirtilir; hangi durumlarda belirtileceği politikada örneklenir.

KVKK ve mevzuat açısından dikkat edilecekler

Çalışanın bir yapay zekâ aracına kişisel veri girmesi, şirket açısından bir kişisel veri işleme faaliyetidir. Bu faaliyetin amacı, hukuki dayanağı, aydınlatma yükümlülüğü ve veri güvenliği önlemleri değerlendirilmelidir. Hizmet yurt dışında çalışıyorsa, verinin yurt dışına aktarımına ilişkin hükümler ayrıca ele alınmalıdır. Kurumun rehber ve kararları için Kişisel Verileri Koruma Kurumu sitesi birincil kaynaktır. Yapay zekâ projelerine özgü kontrol adımlarını yapay zekâ projelerinde KVKK kontrol listesi yazısında topladık.

AB'ye ürün ya da hizmet sunan şirketler için AB Yapay Zekâ Yasası da gündemdedir; yasa, yapay zekâ sistemlerini kullanan kuruluşların personelinin yapay zekâ okuryazarlığını da ele alır. Yasanın üretim sahasındaki karşılığını AI Act ve fabrikada kamera analitiği yazısında inceledik. Yükümlülüklerin şirketinize nasıl uygulanacağı için hukuk danışmanınızla çalışmanız gerekir. Bu bölümdeki bilgiler genel bilgidir, hukuki danışmanlık yerine geçmez.

Politika nasıl hayata geçirilir?

Yazılı bir politika, intranette duran bir PDF olarak kalırsa davranışı değiştirmez. Uygulamaya geçiş için şu sıra önerilir:

1. Mevcut kullanımı anlamak: departmanlarla kısa görüşmelerle hangi araçların hangi işlerde kullanıldığını öğrenin; amaç cezalandırmak değil, ihtiyacı görmek olmalı.
2. Onaylı aracı hazırlamak: politikayı yayımlamadan önce kurumsal hesapları açın ve erişimi test edin.
3. Kısa sürüm yazmak: tam metnin yanında, çalışanın masasında duracak tek sayfalık bir özet hazırlayın.
4. Rol bazlı eğitim vermek: satış, mühendislik, insan kaynakları ve finans için kendi örnekleriyle kısa oturumlar düzenleyin.
5. Danışma noktası belirlemek: çalışanın emin olmadığı durumda soracağı bir kişi ya da e-posta adresi tanımlayın.
6. Gözden geçirmek: araçlar ve mevzuat hızlı değiştiği için politikayı düzenli aralıklarla güncelleyin.

CX Teknoloji olarak yapay zekâ politikasını teknik altyapıdan ayrı düşünmüyoruz. Politika taslağını yönetim, BT ve hukuk ekibinizle birlikte hazırlıyor, onaylı aracı gerekirse şirket içinde çalışacak şekilde kuruyor ve çalışan eğitimlerini rol bazlı örneklerle veriyoruz. Mevcut durumunuzu görmek için ücretsiz dijital olgunluk ön değerlendirmesi talep edebilirsiniz.

Sık sorulan sorular

Şirket içi yapay zekâ politikası neleri kapsamalı?

Politika en az onaylı araçları, veri sınıflarına göre kullanım kurallarını, insan kontrolü ve sorumluluğu, eğitim ve ihlal bildirimi adımlarını kapsamalıdır. Kapsam bölümünde taşeron ve stajyerlerin de dahil olup olmadığı yazılmalıdır. Politikanın kim tarafından ve hangi sıklıkta güncelleneceği de belirtilmelidir.

Çalışanların ChatGPT gibi araçları kullanması yasaklanmalı mı?

Tam yasak çoğu zaman kullanımı ortadan kaldırmaz, görünmez kılar. Daha sağlıklı yol, onaylı bir kurumsal araç sunmak ve hassas verinin genel araçlara girilmesini net biçimde yasaklamaktır. Belirli veri türleri ve kararlar için kesin yasak politikanın bir parçası olarak kalmalıdır.

Yapay zekâ aracına kişisel veri girmek KVKK'ya aykırı mı?

Bu, işlemenin amacına, hukuki dayanağına, aracın verileri nerede ve nasıl işlediğine bağlıdır. Yurt dışında çalışan hizmetlerde aktarım hükümleri ayrıca değerlendirilmelidir. Bu genel bilgidir, hukuki danışmanlık yerine geçmez; somut durum için hukuk danışmanınıza başvurun.

Yapay zekâ ile üretilen içeriğin sorumluluğu kimdedir?

Sorumluluk, içeriği kullanan çalışanda ve onun yöneticisindedir. Politika, dışarıya gidecek her metnin bir insan tarafından okunup onaylanmasını ve rakamların kaynağından doğrulanmasını şart koşmalıdır. Kişiler hakkında sonuç doğuran kararlar yapay zekâya bırakılmamalıdır.

Yapay zekâ politikası ne sıklıkla güncellenmeli?

Araçlar ve mevzuat hızlı değiştiği için politika düzenli aralıklarla ve önemli bir değişiklik olduğunda gözden geçirilmelidir. Yeni bir aracın onaylanması, yeni bir kullanım alanının açılması ya da bir ihlal yaşanması güncelleme için tetikleyici olarak tanımlanabilir. Güncellemenin sahibi politikada adıyla belirtilmelidir.