Şirketler İçin Yapay Zeka Kullanım Politikası Nasıl Hazırlanır? Uygulanabilir Politika Şablonu
Şirketler için yapay zeka kullanım politikası, çalışanların hangi araçları hangi amaçlarla kullanabileceğini, hangi verileri paylaşamayacağını ve yapay zeka çıktılarından kimin sorumlu olduğunu açıkça belirleyen kurumsal bir belgedir. İyi hazırlanmış bir politika yalnızca yasak koymaz; güvenli kullanım için izin verilen senaryoları, insan kontrolünü ve bildirim sürecini de tanımlar.
Belgeyi hazırlarken şirketin kullandığı araçlar, iş süreçleri, müşteri verileri, fikri mülkiyet varlıkları ve sektör düzenlemeleri birlikte değerlendirilmelidir. Avrupa Birliği Yapay Zeka Yasası’nın 4. maddesi de yapay zeka sistemleriyle çalışan personelin bilgi ve becerilerini geliştirmeye yönelik önlemler alınmasını öngörür. AB Yapay Zeka Yasası’nın güncel metni, şirket politikasındaki eğitim ve sorumluluk maddeleri için yararlı bir referanstır. Bu başlıkla ilişkili ek bilgiler Yapay Zeka ve İş Dünyası kategorisindeki ilgili yazılar içeriğinde yer alıyor.
Şirketler için yapay zeka kullanım politikası neden gereklidir?
Çalışanlar yapay zeka araçlarını çoğu zaman farklı amaçlarla ve farklı risk seviyelerinde kullanır. Bir çalışanın genel bir metni özetlemesiyle insan kaynaklarının aday değerlendirmesinde yapay zeka kullanması aynı yönetişim gereksinimine sahip değildir. Politika bu farkı görünür kılar.
- Veri sızıntısını önler: Gizli müşteri, çalışan veya şirket bilgilerinin herkese açık araçlara yüklenmesini sınırlar.
- Sorumluluğu belirler: Yapay zeka çıktısını kontrol etme ve son kararı verme görevinin insanda olduğunu açıklar.
- Fikri mülkiyeti korur: Ticari sırların, kaynak kodun ve yayımlanmamış içeriklerin izinsiz paylaşılmasını engeller.
- Denetlenebilirlik sağlar: Kullanılan araç, amaç, veri türü ve onay kaydının nasıl tutulacağını tanımlar.
- Çalışanlara sınırları gösterir: Belirsiz veya sözlü talimatlar yerine herkesin erişebileceği ortak bir çerçeve oluşturur.
Politikanın kapsamını ve sorumluları belirleyin
İlk bölümde politikanın kimleri ve hangi sistemleri kapsadığı yazılmalıdır. Kapsama tam zamanlı çalışanların yanında stajyerler, yükleniciler, danışmanlar ve şirket adına yapay zeka aracı kullanan hizmet sağlayıcılar da dahil edilebilir.
Politikanın sahibi tek bir departman olmak zorunda değildir. Hukuk, bilgi güvenliği, insan kaynakları, bilgi teknolojileri ve ilgili iş birimlerinden oluşan küçük bir yönetişim grubu; araç onayı, risk sınıflandırması, eğitim ve ihlal incelemelerini birlikte yürütebilir.
| Rol | Temel sorumluluk |
|---|---|
| Yönetim | Politikayı onaylamak, kaynak ve risk toleransını belirlemek |
| Bilgi güvenliği | Araçları, erişimleri ve veri aktarım risklerini değerlendirmek |
| Hukuk ve uyum | Gizlilik, fikri mülkiyet, ayrımcılık ve sektörel yükümlülükleri incelemek |
| Çalışan | Onaylı araçları kullanmak, çıktıları kontrol etmek ve olayları bildirmek |
İzin verilen ve yasaklanan kullanım alanlarını yazın
Politika, “yapay zeka kullanılabilir” veya “kullanılamaz” gibi geniş ifadeler yerine kullanım senaryolarını sınıflandırmalıdır. Düşük riskli görevler için ön onay gerekmeyebilir; dış iletişim, karar destek ve hassas veri içeren işlemler için ek kontrol uygulanabilir.
İzin verilebilecek örnekler arasında herkese açık bilgilerin özetlenmesi, taslak metin oluşturma, toplantı notlarının biçimlendirilmesi ve kodun açıklanması bulunabilir. Bu izinler, çıktının doğrulanması ve şirketin gizli bilgilerinin araca gönderilmemesi şartına bağlanmalıdır.
Yasaklanan veya özel onay gerektiren kullanım alanları ise açıkça listelenmelidir:
- Kimlik, sağlık, finans, ücret, performans veya müşteri bilgileri gibi hassas verileri onaysız araca yüklemek
- Gizli sözleşmeleri, ticari sırları veya yayımlanmamış kaynak kodu herkese açık yapay zeka hizmetlerine aktarmak
- İnsan incelemesi olmadan işe alım, terfi, işten çıkarma, kredi, güvenlik veya müşteri uygunluğu kararı vermek
- Yapay zeka tarafından üretilen metni doğrulamadan hukuki, finansal, teknik veya dış iletişim içeriği olarak yayımlamak
- Şirket hesabı yerine kişisel hesapla kurumsal veri işlemek
Veri sınıflandırmasını politika içine yerleştirin
Yasaklı veri listesinin yanında çalışanların hangi veri sınıfını hangi araçta kullanabileceği de belirtilmelidir. “Gizli bilgi paylaşmayın” ifadesi tek başına yeterli değildir; çalışan, gizli bilginin hangi örnekleri kapsadığını bilmelidir.
| Veri sınıfı | Yapay zeka kullanım kuralı |
|---|---|
| Herkese açık | Onaylı araçlarda düşük riskli görevler için kullanılabilir |
| Şirket içi | Yalnızca şirket tarafından onaylanan ortamlarda kullanılabilir |
| Gizli | Veri sahibinin ve yetkili birimin onayı olmadan işlenemez |
| Hassas veya özel nitelikli | Politika kapsamında varsayılan olarak yapay zeka araçlarına yüklenemez |
Veri anonimleştirme de ayrıca açıklanmalıdır. İsimleri silmek her zaman yeterli olmayabilir; tarih, görev, müşteri numarası ve olay ayrıntıları birlikte kullanıldığında kişi yeniden tanımlanabilir.
İnsan onayı ve çıktı doğrulama sürecini tanımlayın
Yapay zeka çıktısı şirketin nihai görüşü veya kararı olarak kabul edilmemelidir. Çalışan; doğruluk, kaynak, gizlilik, önyargı, telif ve amaca uygunluk kontrollerini yapmadan çıktıyı kullanmamalıdır.
İnsan onayının zorunlu olduğu durumlar politika içinde örneklenebilir. Müşteriye gönderilecek yanıtlar, çalışanları etkileyen kararlar, hukuki veya finansal açıklamalar, güvenlik işlemleri ve kamuya açık marka iletişimi bu gruba alınabilir. Yapay zeka otomasyonlarında insan onayının nerede gerektiğini belirlemek, bu maddeleri operasyonel hale getirmeye yardımcı olur.
Onaylı araç, kayıt ve olay bildirim kuralları ekleyin
Şirketler için yapay zeka kullanım politikası, yalnızca çalışan davranışını değil, araç seçimini de yönetmelidir. Yeni bir araç kullanılmadan önce sağlayıcının veri saklama süresi, model eğitimi için veri kullanımı, erişim kontrolleri, sözleşme şartları ve silme seçenekleri incelenmelidir.
Riskli işlemler için basit bir kayıt formu kullanılabilir. Formda araç adı, kullanım amacı, veri sınıfı, çıktıyı inceleyen kişi, onay tarihi ve varsa alınan düzeltici işlem yer alabilir. Çalışanlar yanlış veri paylaşımı, hatalı çıktı, güvenlik açığı veya şüpheli otomasyon davranışını cezalandırılma korkusu olmadan bildirebilmelidir.
Politikanın risk yönetimi yaklaşımını güçlendirmek isteyen şirketler, gönüllü bir çerçeve olarak NIST’in üretken yapay zeka risk yönetimi profilini inceleyebilir. Bu kaynak; yönetişim, riskleri tanımlama, ölçme ve yönetme adımlarını birlikte ele alır.
Çalışanlara verilecek politika şablonu
Aşağıdaki yapı, kurumun hukuk ve bilgi güvenliği ekipleri tarafından şirketin faaliyet alanına göre uyarlanabilir:
- Amaç: Yapay zekanın güvenli, sorumlu ve iş hedefleriyle uyumlu kullanımını sağlamak.
- Kapsam: Çalışanlar, yükleniciler, danışmanlar ve şirket adına kullanılan tüm yapay zeka sistemleri.
- İzin verilen kullanım: Düşük riskli, insan tarafından kontrol edilen ve gizli veri içermeyen görevler.
- Yasaklı kullanım: Hassas verilerin onaysız aktarılması, otomatik nihai kararlar ve doğrulanmamış dış iletişim.
- Veri kuralları: Veri sınıfları, anonimleştirme şartları ve onaylı araç listesi.
- İnsan sorumluluğu: Çıktıyı kullanan kişinin doğrulama, düzeltme ve nihai onay yükümlülüğü.
- Olay bildirimi: Yanlış paylaşım, hatalı çıktı veya güvenlik ihlalinin nereye ve ne kadar sürede bildirileceği.
- Eğitim: İşe giriş eğitimi, periyodik yenileme ve role özel uygulamalı eğitim.
- İnceleme: Yeni araçlar, mevzuat değişiklikleri ve yaşanan olaylar sonrasında politikanın güncellenmesi.
Politikayı nasıl yürürlükte tutarsınız?
Belgeyi yayımlamak tek başına davranış değişikliği oluşturmaz. Şirket, çalışanlara kısa örnekler sunmalı, onaylı araçları erişilebilir kılmalı ve yöneticilere riskli kullanımda ne yapacaklarını öğretmelidir. Eğitim kaydı, araç envanteri, olay bildirimleri ve periyodik politika incelemesi izlenebilir tutulmalıdır.
Kurumsal yönetişimi daha sistematik kurmak isteyen kuruluşlar için ISO/IEC 42001 yapay zeka yönetim sistemi standardı, politika, sorumluluk, risk değerlendirmesi ve sürekli iyileştirme süreçlerini bir yönetim sistemi yaklaşımında ele alır.
Kısa karar: Uygulanabilir bir yapay zeka politikası; hangi aracın kullanılacağını söylemekten çok, hangi verinin paylaşılabileceğini, hangi işlemin insan onayı gerektirdiğini ve hata olduğunda kimin harekete geçeceğini netleştirmelidir. Bu üç soru yanıtlanmadığında belge kapsamlı görünse bile günlük kullanımda etkisiz kalır.
