Politika neden tek sayfa olmalı?
Birçok kurumda çalışanlar yapay zeka araçlarını zaten kullanıyor. Yasaklamak çoğu zaman kullanımı yok etmez, gizler. İyi bir politika, kullanımı görünür ve güvenli kılar.
Bu yüzden önce çalışanların gerçekte hangi araçları, hangi işte kullandığını kısa bir formla öğrenin. Sonra kuralları buna göre yazın. Kimsenin uygulayamadığı bir politika, hiç olmayan politikadan kötüdür; çünkü kâğıt üzerinde güvence verir, pratikte ise kimseyi yönlendirmez.
Politika metnini iki bölüme ayırmak işe yarar: herkesin okuyacağı tek sayfalık kurallar ve gerektiğinde bakılacak ayrıntılı ek. Çalışanın yalnızca ilkini ezbere bilmesi yeterlidir.
Politikanın sekiz başlığı
Amaç ve kapsam: kimleri ve hangi araçları kapsıyor.
Onaylı araçlar: kurumun kullanmasına izin verdiği hesaplar ve sürümler. Kişisel hesapla iş verisi girilmesin.
Veri sınıfları: bir sonraki bölümdeki ayrım.
Çıktının doğrulanması: kim, neyi, nasıl kontrol eder.
Şeffaflık: yapay zeka desteği ne zaman belirtilir.
Sorumluluk: son kararın ve imzanın sahibi.
Olay bildirimi: yanlış veri girildiğinde kime haber verilir.
Eğitim ve gözden geçirme: politikanın ne zaman güncelleneceği.
Veri sınıfları nasıl ayrılır?
En kullanışlı yöntem üç renktir.
Yeşil: kamuya açık bilgi, genel metin, taslak fikir. Araca serbestçe girilir.
Sarı: iç belgeler, henüz yayımlanmamış planlar ve maliyet çalışmaları. Yalnızca onaylı araçta ve gerektiğinde bilgi gizlenerek girilir.
Kırmızı: müşteri ve çalışanların kişisel verileri, sözleşmeler, şifreler, ticari sır. Onaylı ve yetkili bir kurulum yoksa asla girilmez.
Çalışanın her seferinde akıl yürütmesine gerek kalmasın diye her sınıfa iki üç somut örnek yazın. “Müşteri listesi kırmızı, kamuya açık basın bülteni yeşil” gibi örnekler, soyut ilkelerden çok daha çabuk öğrenilir.
Kişisel veri ve KVKK
Kişisel Verileri Koruma Kurumu, Kasım 2025’te “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi”ni yayımladı. Basında aktarılan içeriğine göre rehber; veri sorumlusu ve veri işleyen rollerinin belirlenmesini, hukuka uygunluk, şeffaflık ve doğruluk ilkelerini, halüsinasyon, veri güvenliği ve fikri mülkiyet risklerini ve insan denetimiyle doğrulamanın önemini ele alıyor.
Ben hukuk görüşü vermem. Kişisel veri işleyen bir kullanım düşünüyorsanız politikayı bir hukuk danışmanıyla ve kurumun KVKK sorumlusuyla birlikte yazın. Benim katkım, politikayı çalışanın anlayacağı dile çevirmek ve eğitimle yaşatmaktır.
Politika nasıl yaşatılır?
Politikayı e-postayla gönderip bırakmayın. Rol bazlı kısa bir eğitimle gerçek örnekler üzerinden anlatın. Haber, pazarlama, insan kaynakları ve müşteri hizmetleri farklı riskler taşır; her ekibe kendi işinden örnek verin.
Altı ayda bir gözden geçirin. Araçlar hızlı değişir. Ayrıca bir kişiyi, sorusu olanın başvuracağı yer olarak atayın. Sorulabilen bir politika uygulanır. Son olarak, kuralı ihlal eden değil, hatayı fark edip bildiren çalışanı cezalandırmayın; aksi halde olaylar bildirilmez.