Neden yazılı bir politika gerekir?
Yasaklamak çözüm değil. Çalışan işini hızlandırmak için kişisel hesabıyla bir araç açabilir ve müşteri bilgisini farkında olmadan metnin içine yapıştırabilir. Politika yokluğunda kimsenin neyin serbest, neyin yasak olduğunu bilmesi beklenemez.
Politika hem koruma hem rehberdir. Çalışana “şunu yapabilirsin” der, kuruma “şu riski yönetiyoruz” diyebilme imkânı verir. Bunu bir ceza metni gibi değil, kısa ve anlaşılır bir yardımcı belge gibi yazmanızı öneririm. Dil sade olursa uygulama da kolaylaşır.
Burada önemli bir ayrım yapmak gerekiyor: politika, teknoloji karşıtlığı değil, sorumlu kullanım çerçevesidir. Çalışanlar güvenle denemek istiyorsa neyin serbest olduğunu bilmeli. Belirsizlik ya aşırı çekingenliğe ya da aşırı rahatlığa yol açar; ikisi de kurum için maliyetlidir.
Politikaya hangi dokuz başlık girer?
Yabancı kaynaklarda öne çıkan içerik şöyle: kapsam ve hedef kitle, onaylı ve yasaklı araçlar, veri gizliliği, insan denetimi ve sorumluluk, yapay zekayla üretilen kod, şeffaflık ve açıklama, yeni araç onay süreci, olay bildirimi ve ihlal sonuçları.
Her kurum hepsine ihtiyaç duymaz. Kod yazmayan bir iletişim ekibi için üretilen kod başlığı gerekmez. Ama kapsam, veri sınırı, insan denetimi ve olay bildirimi neredeyse her yerde gerekli. Listeyi kurumun işine göre kısaltıp uyarlayın.
Veri sınırı nasıl çizilir?
En kritik kural, hangi bilginin araçlara girebileceği. Müşteri adı, kimlik bilgisi, sözleşme metni, gizli fiyat bilgisi, çalışan verisi gibi kalemleri açıkça listeleyin. Üçüncü taraf araçlarda bu bilgilerin sızma ya da mevzuata aykırı kullanım riski vardır.
Türkiye’de bu, KVKK ile doğrudan ilişkilidir. Araç verileri yurt dışındaki sunucularda işliyorsa yurt dışına aktarım kuralları devreye girebilir. Bu yüzden onaylı araç listesi hazırlarken hukuk ve bilgi güvenliği ekiplerinin görüşünü alın.
Pratik bir yöntem: verileri üç sınıfa ayırın. Herkese açık bilgi araca girebilir. Kuruma özel ama hassas olmayan bilgi onaylı araçlarda kullanılabilir. Kişisel veri, sözleşme ve gizli bilgi hiçbir kamuya açık araca girmez. Üç basamaklı bu liste çalışanın hatırlaması kolay bir kuraldır.
İnsan denetimi ve açıklama kuralı
Yapay zekanın ürettiği metin, hesap ya da öneri bir insan tarafından kontrol edilmelidir. Yanlış bilgi, uydurma kaynak ve tutarsız ton sık görülen sorunlar. Sorumluluk araçta değil, çıktıyı kullanan kişidedir; politika bunu açıkça yazmalı.
Ne zaman açıklama yapılacağını da yazın. Müşteriye giden bir metinde yapay zeka kullanıldı mı, kullanıldıysa belirtilecek mi? Bu karar sektöre, mevzuata ve kurumun değerlerine göre verilir. Kararı herkes aynı biçimde uygulasın diye örnek cümleler ekleyin.
Politikayı çalışanlara nasıl ulaştırırım?
Belgeyi bir kez yayımlayıp bırakmak yetmez. Kısa bir eğitim, somut örnekler ve sorulacak bir kişi gerekir. Çalışan politikayı değil kendi işini ilgilendiren durumu hatırlar: “bu müşteri listesini araca yapıştırabilir miyim?” gibi.
Politikayı belirli aralıklarla güncelleyin. Araçlar hızlı değişiyor; altı ayda bir gözden geçirmek makul. Kurumsal yapay zeka eğitimi bu aşamada politikayı canlı tutar ve yeni çıkan sorunları erken yakalar.
Politikayı bir kez yazıp bırakmak yerine, kurum içinde bir sorumlu belirleyin. Çalışanlar yeni bir araç görünce ona soru sorabilmeli. Bu kişi aynı zamanda olay bildirimlerini toplar ve politikayı güncel tutar. Sorumlusu olmayan politika, kısa sürede rafa kalkar.