Birçok şirkette çalışanlar, yönetim bilmeden AI araçlarını kullanıyor: teklif metni yazdırıyor, müşteri e-postası özetletiyor, kod düzelttiriyor. 2023'te büyük bir teknoloji şirketinde mühendislerin gizli kaynak kodunu genel bir sohbet aracına yapıştırması, bu riskin dünyadaki en bilinen örneği oldu.
Politikada olması gereken başlıklar
- Onaylı araçlar: Kurumsal sözleşmesi ve veri koruma güvencesi olan araçların listesi.
- Yasak veriler: Müşteri kişisel verileri, ticari sırlar, kaynak kod, finansal tablolar, sözleşme taslaklarının gizli bölümleri.
- İnsan kontrolü: Dışarıya gönderilen her AI çıktısının sorumlu bir çalışan tarafından okunması.
- Şeffaflık: Müşteriye sunulan işlerde AI kullanımının hangi durumlarda bildirileceği.
- Kayıt ve denetim: Kullanımın izlenme yöntemi ve çalışanların bilgilendirilmesi.
Neden yasak tek başına işe yaramıyor?
Tam yasak, çalışanları kişisel hesaplarla ve kayıt dışı kullanıma yöneltebilir. Onaylı ve güvenli bir alternatif sunmak, riski daha iyi kontrol eder.
İş hukuku boyutu
Politika çalışanlara yazılı olarak bildirilmeli ve iş sözleşmeleri veya iç yönetmeliklerle uyumlu olmalıdır. Ticari sırların izinsiz paylaşılması, somut olaya göre iş sözleşmesinin feshi dahil ciddi sonuçlar doğurabilir; bu nedenle kuralların önceden açık olması önemlidir.
Uygulama adımları
- Mevcut kullanımı anonim bir anketle tespit edin.
- Veri sınıflandırması yapın: açık, iç, gizli, çok gizli.
- Her sınıf için AI kullanım kuralını yazın.
- Kısa bir eğitim ve örnek senaryolarla politikayı duyurun.
Sık sorulan sorular
Çalışanların ChatGPT kullanmasını yasaklamalı mıyız?
Tam yasak yerine onaylı araçlar ve yasak veri kategorileri içeren bir politika daha etkili olur. Sektörünüzün özel yükümlülükleri ayrıca değerlendirilmelidir.
Çalışan müşteri verisini AI'ya yüklerse şirket sorumlu olur mu?
Veri sorumlusu olarak şirket, çalışanının işlemlerinden KVKK karşısında sorumlu tutulabilir. Bu nedenle teknik ve idari tedbirlerin alınmış olması önemlidir.
AI kullanım politikası çalışanlara nasıl bildirilmeli?
Yazılı olarak, erişilebilir biçimde ve tercihen imza veya elektronik onay ile bildirilmesi ispat açısından önemlidir.
Resmî ve kurumsal kaynaklar
TBB — Avukatlıkta Yapay Zekâ Kullanımına İlişkin Tavsiye RehberiKVKK — Üretken Yapay Zekâ ve Kişisel Verilerin Korunması RehberiKVKK — İş Yerlerinde Üretken Yapay Zekâ Araçlarının KullanımıMevzuat Bilgi Sistemi — Türk Ticaret Kanunuİlgili rehberler
Yapay zekâ araçlarına veri göndermek yurt dışına aktarım sayılır mı? KVKK m.9 rehberiÇalışanların yapay zekâ ile izlenmesi ve performans puanlaması: Sınırlar nerede?Şirketler için yapay zekâ hizmet sözleşmesi (SaaS): İmzadan önce kontrol edilecek 8 madde