Şirketlerde yapay zekâ kullanım politikası, çalışanların ChatGPT, Gemini, Copilot ve benzeri üretken yapay zekâ araçlarını hangi sınırlar içinde kullanabileceğini belirleyen iç düzenlemedir. Bu politika; kişisel verilerin korunması, ticari sırların güvenliği, müşteri bilgilerinin gizliliği, departman bazlı kullanım kuralları ve onay mekanizmaları bakımından şirket içinde ortak bir çerçeve oluşturur.
Yapay zekâ araçları artık yalnızca teknik ekiplerin değil; insan kaynakları, satış, pazarlama, muhasebe, hukuk, müşteri ilişkileri ve yönetim kadrolarının da günlük iş süreçlerine girmiş durumdadır. Ancak çalışanların bu araçlara hangi bilgileri yazabileceği, hangi verileri kesinlikle paylaşamayacağı, çıktıları nasıl kontrol edeceği ve hangi kullanım senaryolarında yöneticiden onay alacağı önceden belirlenmemişse ciddi KVKK, veri güvenliği ve ticari sır riskleri doğabilir.
Şirketlerde yapay zekâ kullanım politikası, çalışanların yapay zekâ araçlarını güvenli, kontrollü ve KVKK’ya uygun şekilde kullanması için hazırlanır.
Bu politika; yasak veri türlerini, departman bazlı kullanım sınırlarını, onay süreçlerini, eğitim yükümlülüğünü ve veri ihlali risklerine karşı alınacak önlemleri açıkça göstermelidir. Özellikle kişisel veri, özel nitelikli kişisel veri, müşteri sırrı, finansal bilgi, sözleşme taslakları, insan kaynakları kayıtları ve şirket içi stratejik bilgiler yapay zekâ araçlarına kontrolsüz şekilde girilmemelidir.
Şirketiniz için yapay zekâ kullanım politikası ve personel farkındalık süreci hazırlayabiliriz.
Ön Değerlendirme Talep Edin1. Yapay Zekâ Kullanım Politikası Nedir?
Yapay zekâ kullanım politikası, şirket çalışanlarının üretken yapay zekâ araçlarını hangi amaçlarla, hangi verilerle ve hangi onay süreçleriyle kullanabileceğini belirleyen yazılı iç politika metnidir.
Bu politika yalnızca “yapay zekâ kullanılsın mı, kullanılmasın mı?” sorusuna cevap vermez. Daha önemlisi, yapay zekâ kullanımını şirketin KVKK uyum yapısı, bilgi güvenliği politikaları, çalışan yükümlülükleri, ticari sır koruması ve veri ihlali müdahale süreciyle ilişkilendirir.
- Çalışanlar hangi yapay zekâ araçlarını kullanabilir?
- Hangi departman hangi amaçla yapay zekâdan yararlanabilir?
- Yapay zekâ araçlarına hangi bilgiler kesinlikle girilemez?
- Kişisel veri içeren metinler nasıl anonimleştirilecektir?
- Yapay zekâ çıktıları iş kararlarında doğrudan kullanılabilir mi?
- Hangi durumlarda yönetici, IT, hukuk veya KVKK sorumlusundan onay alınmalıdır?
- Veri ihlali şüphesinde çalışan ne yapmalıdır?
Bu yönüyle yapay zekâ kullanım politikası, şirketin dijital dönüşüm sürecinde hem verimlilik hem de risk yönetimi belgesidir.
2. Şirketler Neden Yapay Zekâ Kullanım Politikası Hazırlamalıdır?
Şirketlerde yapay zekâ kullanımı çoğu zaman merkezi bir karar ile değil, çalışanların günlük işlerini hızlandırmak için bireysel tercihleriyle başlar. Bir çalışan e-posta taslağı hazırlamak, başka bir çalışan müşteri şikâyetini özetlemek, bir başka çalışan ise sözleşme maddesi veya kod parçası üretmek için yapay zekâ aracından yararlanabilir.
Bu kullanım faydalı olabilir. Ancak politika yoksa şirket şu risklerle karşılaşabilir:
- kişisel verilerin izinsiz şekilde üçüncü taraf yapay zekâ araçlarına aktarılması,
- özel nitelikli kişisel verilerin kontrolsüz işlenmesi,
- müşteri listeleri, fiyat teklifleri, sözleşmeler veya ticari sırların paylaşılması,
- çalışan performans, disiplin veya işe alım bilgilerinin yapay zekâ aracına girilmesi,
- yapay zekâ çıktılarının doğrulanmadan müşteriye veya yönetime sunulması,
- veri ihlali halinde şirket içinde kimin ne yapacağının bilinmemesi.
Bu nedenle şirketlerde yapay zekâ kullanım kuralları, yalnızca teknoloji departmanının değil; yönetim, insan kaynakları, hukuk, KVKK, bilgi güvenliği ve iş birimlerinin birlikte ele alması gereken bir konudur.
3. Politika Kimler İçin Hazırlanmalıdır?
Yapay zekâ kullanım politikası yalnızca büyük teknoloji şirketleri için gerekli değildir. Dijital araç kullanan, müşteri verisi işleyen, çalışan verisi tutan, teklif, rapor, sözleşme, analiz veya pazarlama içeriği üreten her şirket bu konuda iç düzenleme yapmalıdır.
- CEO ve üst yönetim,
- İK yöneticileri,
- IT ve bilgi güvenliği ekipleri,
- satış ve pazarlama ekipleri,
- müşteri ilişkileri birimleri,
- muhasebe ve finans ekipleri,
- hukuk ve uyum birimleri,
- proje, yazılım ve operasyon ekipleri,
- dış hizmet sağlayıcılarla çalışan şirketler.
Şirket küçük ölçekli olsa bile, çalışanların kişisel veri veya ticari sır içeren bilgileri yapay zekâ araçlarına girmesi mümkündür. Bu nedenle politika, şirketin büyüklüğüne göre sadeleştirilebilir; ancak tamamen ihmal edilmemelidir.
4. Hangi Yapay Zekâ Araçları Politika Kapsamına Alınmalıdır?
Politika yalnızca belirli bir uygulama adıyla sınırlı tutulmamalıdır. Çünkü çalışanlar farklı dönemlerde farklı yapay zekâ araçları kullanabilir. Bu nedenle politika, araç isimleri yanında kullanım türlerini de kapsamalıdır.
- metin üreten yapay zekâ araçları,
- görsel, ses veya video üreten araçlar,
- kod yazma ve yazılım geliştirme asistanları,
- toplantı kaydı alan ve özetleyen uygulamalar,
- e-posta, sunum ve rapor hazırlama araçları,
- müşteri hizmetleri chatbotları,
- CRM, ERP veya insan kaynakları yazılımlarına entegre yapay zekâ modülleri,
- bulut tabanlı analiz ve otomasyon araçları.
Politika hazırlanırken ücretsiz bireysel hesaplar ile kurumsal lisanslı yapay zekâ araçları birbirinden ayrılmalıdır. Kurumsal lisans kullanılsa bile veri işleme şartları, yurt dışına aktarım ihtimali, saklama ayarları ve üçüncü taraf hizmet sağlayıcı koşulları ayrıca incelenmelidir.
5. Çalışanların Yapay Zekâ Kullanım Sınırları Nasıl Belirlenir?
Çalışanların yapay zekâ kullanım sınırları, “serbest”, “sınırlı”, “onaya tabi” ve “yasak” kullanım alanları şeklinde sınıflandırılabilir.
Serbest kullanım alanları, kişisel veri veya şirket sırrı içermeyen genel metin, fikir, taslak, başlık, eğitim notu veya kamuya açık bilgiye dayalı çalışmalar olabilir.
Sınırlı kullanım alanlarında çalışan, şirket içi bilgileri anonimleştirmeli, kişisel verileri çıkarmalı ve yapay zekâ çıktısını insan kontrolünden geçirmelidir.
Onaya tabi kullanım alanlarında ise çalışan, belirli bir veriyi veya iş sürecini yapay zekâ aracına aktarmadan önce yöneticisinden, IT biriminden, hukuk biriminden veya KVKK sorumlusundan onay almalıdır.
Yasak kullanım alanları ise açıkça yazılmalıdır. Örneğin sağlık verisi, kimlik numarası, bordro bilgisi, performans değerlendirmesi, müşteri listesi, ticari sır, sözleşme görüşmesi veya henüz kamuya açıklanmamış finansal veri yapay zekâ araçlarına girilmemelidir.
6. Yapay Zekâ Araçlarına Hangi Veriler Girilmemelidir?
Yapay zekâ kullanım politikasının en kritik bölümü yasak veri türleridir. Çünkü çalışan çoğu zaman yapay zekâ aracına yazdığı metnin şirket dışındaki bir sisteme aktarıldığını fark etmeyebilir.
Genel kural olarak aşağıdaki bilgiler yapay zekâ araçlarına girilmemelidir:
- T.C. kimlik numarası, pasaport numarası ve kimlik görselleri,
- sağlık verisi, engellilik bilgisi, rapor ve tanı bilgileri,
- biyometrik veri,
- ceza mahkûmiyeti ve güvenlik tedbiri bilgileri,
- çalışan özlük dosyası bilgileri,
- bordro, ücret, prim ve yan hak bilgileri,
- performans, disiplin ve işe alım değerlendirmeleri,
- müşteri listeleri ve müşteri iletişim bilgileri,
- tedarikçi sözleşmeleri ve fiyat teklifleri,
- finansal tablolar, bütçe, maliyet ve kârlılık analizleri,
- şirket stratejileri, yatırım planları ve yönetim kurulu bilgileri,
- henüz yayımlanmamış rapor, teklif, ihale ve proje dokümanları,
- kullanıcı adı, parola, API anahtarı, erişim kodu ve sistem kimlik bilgileri.
Veri anonimleştirilmeden veya maskeleme yapılmadan yapay zekâ aracına aktarılmamalıdır. Anonimleştirme yalnızca isimleri silmekten ibaret görülmemeli; verinin bağlamdan yeniden kişiye veya şirkete bağlanıp bağlanamayacağı da değerlendirilmelidir.
7. Departman Bazlı Yapay Zekâ Kullanım Kuralları Nasıl Düzenlenir?
Yapay zekâ kullanım politikası genel ilkelerle sınırlı kalırsa uygulamada yetersiz olabilir. Çünkü insan kaynakları ile pazarlama biriminin, IT ile finans departmanının riskleri aynı değildir. Bu nedenle departman bazlı kullanım kuralları oluşturulmalıdır.
Aşağıdaki tablo, şirketlerde örnek departman bazlı yapay zekâ kullanım çerçevesini göstermektedir:
| Departman | Uygun Kullanım Örneği | Dikkat Edilecek Risk |
|---|---|---|
| İnsan Kaynakları | Genel eğitim içeriği ve ilan taslağı hazırlama | Aday, çalışan, performans, sağlık ve disiplin verileri girilmemelidir. |
| Satış ve Pazarlama | Genel kampanya fikri, slogan, sosyal medya taslağı | Müşteri listesi, telefon, e-posta, satın alma geçmişi ve özel teklifler paylaşılmamalıdır. |
| Finans ve Muhasebe | Genel rapor dili, açıklama metni, sunum taslağı | Mali tablolar, ücret bilgileri, müşteri cari bilgileri ve banka verileri girilmemelidir. |
| IT ve Yazılım | Kod taslağı, hata analizi, dokümantasyon | Kaynak kod, API anahtarı, erişim bilgisi ve güvenlik açığı içeren veri paylaşılmamalıdır. |
| Hukuk ve Uyum | Genel madde taslağı, kontrol listesi, mevzuat araştırma notu | Somut sözleşme, dava, ihtar, ticari sır ve kişisel veri içeren belge girilmemelidir. |
| Müşteri Hizmetleri | Genel cevap şablonu ve sınıflandırma önerisi | Şikâyet sahibinin kimliği, iletişim bilgisi ve özel durum bilgileri paylaşılmamalıdır. |
| Üst Yönetim | Genel strateji sunumu, gündem taslağı, karar notu | Stratejik plan, birleşme/devralma, yatırım ve yönetim kurulu bilgileri girilmemelidir. |
Bu tablo şirketin faaliyet alanına göre genişletilebilir. Sağlık, finans, sigorta, e-ticaret, eğitim, yazılım veya danışmanlık sektörlerinde daha özel kurallar gerekebilir.
8. Onay Mekanizması Nasıl Kurulmalıdır?
Yapay zekâ kullanım politikası yalnızca yasak listesi içermemelidir. Çalışanın tereddüt ettiği durumda kime danışacağını da göstermelidir.
| Kullanım Seviyesi | Kural |
|---|---|
| Düşük riskli kullanım | Çalışan, kişisel veri ve şirket sırrı içermeyen genel taslak çalışmalarında ön onay almadan yapay zekâ kullanabilir. |
| Orta riskli kullanım | Departman yöneticisi onayı gerekir. Müşteriyle paylaşılacak metin, rapor veya sunum taslağı kontrol edilmelidir. |
| Yüksek riskli kullanım | IT, hukuk, KVKK veya bilgi güvenliği onayı gerekir. Sistem entegrasyonu, çalışan verisi, müşteri verisi, özel nitelikli veri veya yurt dışı aktarım ihtimali varsa ön değerlendirme yapılmalıdır. |
| Yasak kullanım | Sağlık verisi, kimlik bilgisi, bordro bilgisi, ticari sır, sistem erişim bilgisi ve gizli şirket belgeleri yapay zekâ aracına girilmemelidir. |
Onay süreci yazılı olmalı ve mümkünse basit bir talep formu ile izlenmelidir. Böylece şirket, hangi yapay zekâ aracının hangi amaçla kullanıldığını kayıt altına alabilir.
9. Eğitim ve Farkındalık Süreci Neden Önemlidir?
Yapay zekâ kullanım politikası hazırlanıp personele gönderildiğinde süreç tamamlanmış sayılmaz. Çalışanların politikayı anlaması, örnek olaylarla uygulaması ve riskli durumları ayırt edebilmesi gerekir.
- yapay zekâ araçlarının temel çalışma mantığı,
- kişisel veri ve özel nitelikli kişisel veri örnekleri,
- yapay zekâ araçlarına girilmemesi gereken bilgiler,
- anonimleştirme ve maskeleme örnekleri,
- ticari sır ve müşteri sırrı koruması,
- yapay zekâ çıktılarının doğruluk kontrolü,
- veri ihlali şüphesinde yapılacak bildirim,
- departman bazlı kullanım senaryoları.
Eğitimler yalnızca teorik olmamalıdır. Örneğin “bu müşteri şikâyeti yapay zekâ aracına yazılabilir mi?”, “bu CV metni anonimleştirilmiş sayılır mı?”, “bu sözleşme maddesi paylaşılabilir mi?” gibi pratik örneklerle çalışanların karar verme becerisi güçlendirilmelidir.
10. Veri İhlali ve Ticari Sır Riski Nasıl Azaltılır?
Yapay zekâ araçlarına kontrolsüz veri girilmesi, bazı durumlarda veri ihlali veya ticari sır kaybı riski doğurabilir. Bu nedenle politika, olay meydana geldikten sonra yapılacakları da içermelidir.
- kurumsal yapay zekâ araç listesini belirlemek,
- bireysel ve kontrolsüz araç kullanımını sınırlandırmak,
- yasak veri türlerini açıkça yazmak,
- özel nitelikli kişisel veriler için daha sıkı kurallar koymak,
- yapay zekâ araçlarına veri girilmeden önce anonimleştirme standardı belirlemek,
- yetkisiz araç kullanımını IT politikalarıyla izlemek,
- çalışanlara düzenli farkındalık eğitimi vermek,
- tedarikçi ve hizmet sağlayıcı sözleşmelerini kontrol etmek,
- veri ihlali şüphesinde iç bildirim akışını netleştirmek,
- ticari sır içeren belgelerin yapay zekâ araçlarına girilmesini yasaklamak.
Ticari sır koruması, yalnızca büyük şirketler için değil; müşteri portföyü, fiyatlama yapısı, teklif stratejisi, yazılım kodu, iş modeli, tedarikçi bilgisi veya know-how sahibi olan her şirket için önemlidir.
11. Politika Hazırlanırken Sık Yapılan Hatalar
Şirketlerde yapay zekâ kullanım politikası hazırlanırken en sık yapılan hata, belgeyi yalnızca genel etik ilkelerden ibaret bırakmaktır. Oysa çalışan günlük işinde somut kurala ihtiyaç duyar.
- yalnızca “kişisel veri girmeyin” denilmesi, ancak örnek verilmemesi,
- departman bazlı kuralların yazılmaması,
- ücretsiz ve kurumsal yapay zekâ araçlarının ayrıştırılmaması,
- özel nitelikli kişisel veriler için ayrı güvenlik standardı belirlenmemesi,
- yurt dışına veri aktarımı ihtimalinin değerlendirilmemesi,
- ticari sır ve müşteri sırrı başlıklarının ihmal edilmesi,
- yapay zekâ çıktılarının insan kontrolünden geçmesi gerektiğinin yazılmaması,
- çalışanlara eğitim verilmemesi,
- onay ve iç bildirim mekanizmasının kurulmaması,
- politikanın KVKK veri envanteri, bilgi güvenliği politikası ve çalışan aydınlatma metinleriyle ilişkilendirilmemesi.
Bu hatalar nedeniyle politika kâğıt üzerinde kalabilir. Etkili bir yapay zekâ kullanım politikası, çalışanların günlük iş akışına uygulanabilir açıklıkta olmalıdır.
12. Lilyum Danışmanlık Nasıl Destek Olur?
Lilyum Danışmanlık, şirketlerin yapay zekâ kullanımını KVKK, veri güvenliği, çalışan farkındalığı ve ticari sır koruması bakımından değerlendirmesine destek olur.
- mevcut yapay zekâ kullanım alışkanlıkları analiz edilebilir,
- departman bazlı kullanım riskleri çıkarılabilir,
- yasak ve onaya tabi veri türleri belirlenebilir,
- şirket içi yapay zekâ kullanım politikası hazırlanabilir,
- personel farkındalık eğitimi planlanabilir,
- KVKK veri envanteri ve aydınlatma metinleriyle uyum kontrolü yapılabilir,
- tedarikçi ve bulut hizmet sağlayıcı riskleri değerlendirilebilir,
- veri ihlali şüphesinde iç bildirim akışı oluşturulabilir.
Şirketiniz için yapay zekâ kullanım politikası ve personel farkındalık süreci hazırlayabiliriz.
İletişime GeçinSık Sorulan Sorular
Şirketlerde yapay zekâ kullanım politikası zorunlu mudur?
KVKK’da her şirket için açıkça “yapay zekâ kullanım politikası” adıyla düzenlenmiş bağımsız bir belge zorunluluğu bulunmamaktadır. Ancak kişisel veri güvenliği, çalışan farkındalığı, teknik-idari tedbirler, denetim yükümlülüğü ve veri ihlali riskleri dikkate alındığında, yapay zekâ araçlarını kullanan şirketler bakımından iç politika hazırlanması güçlü bir uyum tedbiri olarak değerlendirilmelidir.
Çalışanlar ChatGPT veya benzeri araçlara müşteri bilgisi girebilir mi?
Müşteri adı, telefon numarası, e-posta adresi, satın alma geçmişi, şikâyet içeriği, özel teklif, sözleşme ve cari hesap bilgisi gibi veriler yapay zekâ araçlarına kontrolsüz şekilde girilmemelidir. Kullanım gerekiyorsa veriler anonimleştirilmeli, şirket politikası ve onay mekanizması işletilmelidir.
Yapay zekâ araçlarına çalışan verisi girilebilir mi?
Çalışan özlük dosyası, bordro, performans, disiplin, sağlık raporu, işe alım değerlendirmesi ve benzeri bilgiler yüksek risklidir. Bu tür veriler yapay zekâ araçlarına girilmemeli; zorunlu bir iş ihtiyacı varsa KVKK, iş hukuku, veri güvenliği ve onay süreci birlikte değerlendirilmelidir.
Yapay zekâ çıktıları doğrudan kullanılabilir mi?
Yapay zekâ çıktıları doğrudan nihai karar veya belge olarak kullanılmamalıdır. Çıktılar insan kontrolünden geçirilmeli, doğruluk, güncellik, hukuki uygunluk, şirket dili ve gizlilik bakımından incelenmelidir.
Yapay zekâ kullanım politikası kim tarafından hazırlanmalıdır?
Politika yalnızca IT departmanı tarafından hazırlanmamalıdır. Yönetim, insan kaynakları, hukuk, KVKK, bilgi güvenliği ve ilgili iş birimleri birlikte çalışmalıdır. Böylece politika hem teknik hem hukuki hem de operasyonel açıdan uygulanabilir hale gelir.
Resmî Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu
- Kişisel Verileri Koruma Kurumu — Rehberler
- Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi
- İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı
- Veri Güvenliğine İlişkin Yükümlülükler
- Özel Nitelikli Kişisel Verilerin İşlenmesinde Alınması Gereken Yeterli Önlemlere İlişkin 2018/10 sayılı Kurul Kararı
- Kişisel Verilerin Yurt Dışına Aktarımı — Standart Sözleşmeler
- Regulation (EU) 2024/1689 — Artificial Intelligence Act
Bilgilendirme Notu
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır. Şirketlerde yapay zekâ kullanım politikası; sektör, kullanılan araç, işlenen veri türleri, yurt dışı aktarım ihtimali, çalışan sayısı, tedarikçi yapısı ve mevcut KVKK uyum dosyası dikkate alınarak somut olay özelinde değerlendirilmelidir.
