Şirket İçi Yapay Zekâ Kullanım Politikası Nasıl Yazılır? (Şablonla)
Kısa cevap
İyi bir şirket içi yapay zekâ politikası iki sayfayı geçmez ve dört soruyu net yanıtlar: (1) hangi veriler hiçbir yapay zekâ aracına girilmez — kişisel veriler, müşteri kimlik ve finansal bilgileri, imzalı sözleşmeler, kaynak kodun tamamı, henüz açıklanmamış ticari bilgiler; (2) hangi işler yapay zekâya devredilebilir; (3) çıktıdan kim sorumludur — her zaman onaylayan insan; (4) hangi araçlar onaylıdır ve kim onaylar. Yasak listesi yerine izin verilen alanı tarif eden politikalar uygulanır; her şeyi yasaklayan politikalar sadece kullanımı görünmez kılar.
Politikaya neden ihtiyacın var (ve neden acil)?
Basit bir gerçekle başlayalım: şirketinde yapay zekâ kullanımını sen başlatmadın. Ekibin zaten kullanıyor — telefonundan, kişisel hesabından, senin haberin olmadan. Politika yazmadığında olan şey, kullanımın durması değil; görünmez olması.
Görünmez kullanımın iki maliyeti var. Birincisi veri: kişisel veri içeren bir müşteri listesi, ücretsiz bir hesaba yapıştırıldığında bu bir KVKK/GDPR meselesine dönüşebilir. İkincisi kalite: kimse neyin nasıl üretildiğini bilmediğinde, hatalı bir çıktı müşteriye ulaştığında sorumluluk zinciri kurulamıyor.
Bizim tarafımızda bu mesele teorik değil. Gurizon olarak müşterilerimizin CRM sistemlerini kuruyoruz; ICEFUE ve OFM Klinik gibi sağlık alanındaki markalarda ise ortada hasta verisi var. Böyle bir işte "bir deneyelim bakalım" diye bir şey yok — hangi verinin nereye gidebileceği, daha proje başlamadan yazılı olmak zorunda. Sağlık tarafında çalışmak bize bu disiplini erken kazandırdı, sonra bunu tüm müşterilere taşıdık.
İşe yarayan politikanın 4 kuralı
İki sayfayı geçme
On sayfalık politikaları kimse okumaz; okunmayan politika, olmayan politikadır. Hukuk metni gibi değil, ekibe yazılmış bir not gibi yaz. Cümleler kısa, örnekler somut olsun.
Yasak listesi değil, izinli alan tarif et
"Şunlar yasak" diye başlayan politikalar, listede olmayan her şeyi serbest sanmaya yol açar ve insanları saklanmaya iter. Bunun yerine "şu üç veri türü hiçbir koşulda dışarı çıkmaz, geri kalanı onaylı araçlarda serbesttir" demek hem uygulanabilir hem de dürüst bir kullanım kültürü kurar.
Sorumluluğu bir isme bağla
Politikanın en önemli cümlesi budur: çıktıdan, onu onaylayan kişi sorumludur. "Yapay zekâ yazdı" bir savunma değildir — ne müşteriye karşı, ne hukuken. Bu cümle yazılı olduğunda çıktı kalitesi kendiliğinden yükseliyor.
Onaylı araç listesi tut ve güncelle
Hangi araçlar onaylı, kim onaylıyor ve yeni bir araç önerisi nasıl yapılır — bunlar yazılı olmalı. Onay ölçütü tek cümlelik olabilir: kurumsal planda ve verimizi model eğitiminde kullanmadığını taahhüt eden araçlar onaylıdır.
Kopyalayabileceğin şablon
Aşağıdaki metni kendi şirket adınla uyarlayıp kullanabilirsin. Bunu bir hukuk metni olarak değil, iç iletişim metni olarak yazdım; sektörün düzenlemeye tabiyse (sağlık, finans, hukuk) mutlaka hukuk danışmanına gözden geçirt.
- AMAÇ — Bu belge, [Şirket] çalışanlarının yapay zekâ araçlarını hangi işlerde ve hangi sınırlarla kullanabileceğini tanımlar. Amacı kullanımı kısıtlamak değil, güvenli hâle getirmektir.
- ASLA GİRİLMEYECEK VERİLER — Müşterilerin kimlik bilgileri (ad-soyad ile birlikte TC/pasaport, adres, telefon, e-posta listeleri), sağlık ve finansal veriler, imzalı sözleşmelerin tam metni, kaynak kodun bütünü, henüz kamuya açıklanmamış ticari bilgiler (fiyat stratejisi, satın alma görüşmeleri, yeni ürün planları) ve çalışan özlük bilgileri hiçbir yapay zekâ aracına girilmez.
- SERBEST KULLANIM ALANLARI — Metin taslağı hazırlama, düzenleme ve özetleme; kamuya açık bilgilerle araştırma; fikir üretme; kod yardımı (yukarıdaki sınırlar dâhilinde); çeviri; sunum ve içerik taslağı; toplantı notu çıkarma (katılımcılar bilgilendirildiği sürece).
- SORUMLULUK — Yapay zekâ ile üretilen her çıktının sorumluluğu, onu kullanan ve onaylayan çalışana aittir. Dışarıya (müşteri, tedarikçi, kamu) giden hiçbir çıktı, bir çalışan tarafından okunup onaylanmadan gönderilemez.
- ONAYLI ARAÇLAR — Şirket hesabıyla kullanılan [araç listesi] onaylıdır. Kişisel/ücretsiz hesaplar iş verisiyle kullanılamaz. Yeni bir araç önerisi [sorumlu kişi]'ye iletilir; ölçüt, aracın kurumsal planda olması ve verimizi model eğitiminde kullanmadığını taahhüt etmesidir.
- ŞEFFAFLIK — Müşteri, üretim sürecinde yapay zekâ kullanılıp kullanılmadığını sorarsa dürüstçe yanıtlanır. Bir çıktının tamamı yapay zekâ ile üretilmişse ve bu, teslim edilen işin doğasını etkiliyorsa müşteriye bildirilir.
- HATA DURUMU — Yanlış veri girildiği fark edilirse [sorumlu kişi]'ye aynı gün bildirilir. Bildiren çalışan hakkında yaptırım uygulanmaz; bildirmemek yaptırım sebebidir.
- GÜNCELLEME — Bu politika altı ayda bir gözden geçirilir. Sorular ve öneriler için: [e-posta].
Yedinci maddeye dikkat: hata bildiren çalışanın cezalandırılmayacağını yazmak, politikanın işleyip işlemeyeceğini belirleyen maddedir. Cezalandırılacağını düşünen insan, hatayı gizler — ve gizlenen veri sızıntısı, bildirilenden kat kat pahalıdır.
Politikayı nasıl duyurmalısın?
- E-posta ile göndermekle yetinme. 30 dakikalık bir toplantıda tek tek anlat; asıl amacı "neyi neden yasakladığımızı" açıklamak.
- Kısıtla değil, izinle başla. "Şunları rahatça kullanabilirsiniz" cümlesiyle açılan bir sunum, "şunlar yasak" ile açılandan çok daha iyi karşılanıyor.
- Gerçek bir örnek göster. "Bu müşteri listesini yapıştırmak neden sorun" sorusunu somut bir örnekle anlatmak, üç paragraf metinden etkili.
- Politikayı bir kişiye zimmetle. Sahibi olmayan politika altı ay içinde eskiyor ve kimse güncellemiyor.
Ben bu konuşmayı ekibimle yaparken şu cümleyi kullanıyorum: "Amacım kullanmanızı engellemek değil, sizi korumak." Bu doğru bir cümle çünkü riskin çoğu çalışanın üzerinde: yanlış veriyi yapıştıran kişi, sonrasında en zor durumda kalan kişi oluyor. Politikayı bir kısıtlama değil, sınırların net olduğu bir güvenli alan olarak anlattığında ekip gerçekten uyguluyor.
Özet: aklında kalsın
- Politika yazmasan da ekibin yapay zekâ kullanıyor; tek fark, kullanımın görünmez olması.
- İki sayfayı geçme — okunmayan politika, olmayan politikadır.
- Yasak listesi yerine izinli alanı tarif et; yasak listesi insanları saklanmaya iter.
- En kritik cümle: çıktıdan onaylayan insan sorumludur.
- Hata bildireni cezalandırma maddesi, politikanın işleyip işlemeyeceğini belirler.
Sık sorulanlar
Küçük bir ekibim var, politikaya gerçekten gerek var mı?
Üç kişilik bir ekipte bile evet, ama bir sayfa yeterli. Asıl gerekli olan üç madde: hangi veriler girilmez, çıktıdan kim sorumlu, hangi hesaplar kullanılır. Küçük ekipte politika bürokrasi değil; herkesin aynı sınırı bilmesini sağlayan tek belge.
Çalışanların kişisel hesaplarını kullanmasını nasıl engellerim?
Engellemek yerine gereksiz kıl: şirket hesabı ver. İnsanlar kişisel hesap kullanıyorsa bunun sebebi genelde şirketin bir seçenek sunmamasıdır. Kişi başı aylık 20-30 dolar, bu riski ortadan kaldırmanın en ucuz yolu.
Müşterilerimize yapay zekâ kullandığımızı söylemek zorunda mıyız?
Yasal bir genel zorunluluk çoğu iş için yok, ama sözleşmende gizlilik ya da alt yüklenici maddeleri varsa oraya bakman gerekir. Ticari açıdan tavsiyem: sorulduğunda dürüst ol, teslim edilen işin doğasını etkileyen durumlarda sen söyle. Sonradan öğrenilen her şey, baştan söylenenden pahalıya patlıyor.
KVKK açısından en riskli kullanım hangisi?
Kişisel veri içeren listelerin (müşteri, aday, hasta) analiz için bir araca yapıştırılması. Bu, çoğu zaman iyi niyetle ve "sadece bir kez" diye yapılıyor. İkinci sırada, toplantı kayıtlarının katılımcılara söylenmeden işlenmesi geliyor — katılımcıları bilgilendirmek basit bir çözüm ve çoğu şirket bunu atlıyor.