Küçük bir işletme için yapay zeka politikası nasıl oluşturulur?

Yapay zeka politikası nedir?

Yapay zeka politikası, çalışanlara hangi yapay zeka araçlarını, hangi görevlerde, hangi bilgilerle kullanabileceklerini ve yapay zeka yardımıyla üretilen bir çıktı kullanılmadan önce nelerin yapılması gerektiğini anlatan kısa bir şirket belgesidir. Küçük bir işletmede genellikle birkaç sayfa uzunluğundadır ve sorumluluğu bir kurucuya, operasyon sorumlusuna veya veri ve sözleşmelerle zaten ilgilenen kişiye aittir.

Bu ifade, insanların sık sık birbirine karıştırdığı birkaç belgeyi kapsar. Kabul edilebilir kullanım politikası, çalışanların günlük işlerinde uyduğu kurallardır. Üretken yapay zeka politikası; metin, görsel veya kod üreten araçları ve üretilen içerikle birlikte gelen riskleri ele alır. Yönetişim çerçevesi ise her ikisinin arkasındaki yönetim katmanıdır: aracı kimin onayladığı, kayıt listesini kimin tuttuğu, kararların ne sıklıkla gözden geçirildiği. 200 kişiden az çalışanı olan şirketlerin çoğu, her bölüm açıkça etiketlenmek koşuluyla üçünü de tek belgede bir araya getirebilir.

Bu rehber, hayalî bir şirket için örnek maddelerle birlikte her yapay zeka politikasında ele alınması gereken kararları kapsar. Genel bilgi niteliğindedir, hukuki danışmanlık değildir. Veri koruma, istihdam ve tüketicinin korunmasına ilişkin yasalar ülkeye ve sektöre göre değişir; bu nedenle uygulayacağınız sürümü yetkin bir danışmana inceletin.

Küçük bir şirketin yapay zeka politikası ne sağlamalı?

İşe yarayan bir politika, kişinin bir araca bilgi girmeden veya aracın çıktısını kullanmadan önce ne yapacağına karar vermesine yardımcı olur. Onaylı hizmetleri, uygun görevleri, bilgi paylaşım sınırlarını, kontrol sorumluluklarını ve konunun kime iletileceğini belirtmelidir. Bu pratik kararları içermeyen bir uyarı listesi, çalışanları tahmin yürütmeye zorlar. Tahmin yürütmek zorunda kalanlar da ya araçları kullanmayı bırakır ya da kimseye söylemeden kullanır.

İnsanların gerçekten yürüttüğü iş akışlarıyla başlayın. Kamuya açık bilgilerden hazırlanan bir davetiye taslağı ile gizli müşteri belgelerinin özeti farklı kontroller gerektirir. Her iş akışı için amacı, kaynak malzemeyi, hedef okuyucuyu ve bir hatanın doğuracağı sonucu yazın. Bu bağlam, yapay zekanın her kullanımını aynı kabul etmekten daha iyi bir başlangıç noktasıdır.

İyi bir ölçüt, işe yeni başlayan birinin belgeyi okuduktan sonra şu üç soruya yanıt verip veremediğidir: hangi hesabı kullanmalıyım, neleri asla yapıştırmamalıyım ve kime sormalıyım? Belge bunları yanıtlayamıyorsa ne kadar kapsamlı görünürse görünsün henüz işlevini yerine getirmiyordur.

Küçük bir işletmenin yasal olarak bir yapay zeka politikasına sahip olması gerekir mi?

Çoğu yerde, her küçük işletmenin yapay zeka politikası adlı bir belgeye sahip olmasını zorunlu kılan genel bir yasa yoktur. Ancak mevcut yükümlülükler, çalışanların yapay zekayı nasıl kullandığı konusunda da geçerlidir. Taslağı bir araç hazırladı diye veri koruma mevzuatı, müşteri sözleşmelerindeki gizlilik hükümleri, iş hukuku ve reklam kuralları geçerliliğini yitirmez. Bir politika, mevcut yükümlülüklerin yapay zeka kullanımına nasıl uygulandığını çalışanlara göstermenin pratik yoludur.

Birleşik Krallık'ta Bilgi Komiserliği Ofisi, yapay zeka ve veri koruma konusunda bir rehber ve kuruluşlar için bir risk araç seti yayımlar. Her iki sayfada da şu anda Veri Kullanımı ve Erişimi Yasası sonrasında rehberin gözden geçirilmekte olduğu belirtiliyor. Bu nedenle herhangi bir ayrıntıya dayanmadan önce güncel durumu kontrol edin. AB'de EU AI Act'in yapay zeka okuryazarlığına ilişkin 4. maddesi, 2 February 2025 tarihinden beri yapay zeka sistemlerini sağlayan ve kullanan kuruluşlar için geçerlidir. Avrupa Komisyonunun yapay zeka okuryazarlığı soru ve yanıtları, herkese uyan tek bir yaklaşım bulunmadığını, sertifika gerekmediğini ve kurum içi eğitim kaydının yeterli olduğunu belirtir. Ayrıca reklam metni veya çeviri için sohbet asistanı kullanan çalışanları örnek verir ve bu çalışanların halüsinasyon gibi belirli riskler hakkında bilgilendirilmesi gerektiğini söyler.

AB'ye satış yapıyor, orada çalışan istihdam ediyor veya AB'de yaşayan kişilerin kişisel verilerini işliyorsanız hangi kuralların sizin için geçerli olduğu konusunda danışmanlık alın. Bu rehberin ele aldığı nokta daha dardır: yazılı bir politika ile uygulamalı eğitim, insanlara risklerin ve bu risklerle nasıl başa çıkılacağının anlatıldığını göstermenin makul bir yoludur.

Kararların sorumluluğunu kim üstlenmeli?

Politikadan sorumlu bir kişi ile araçları ve hassas iş akışlarını onaylayabilecek kişileri belirleyin. 12 kişilik bir şirkette tüm bunlardan kurucu sorumlu olabilir. 80 kişilik bir şirkette ise araçlardan operasyon sorumlusu, kişisel bilgilerden veri koruma sorumlusu, kendi alanlarındaki çıktıların kontrolünden de bölüm yöneticileri sorumlu olabilir. Çalışanların, politikanın kapsamadığı soruları iletebilecekleri tek bir başvuru noktası olmalıdır.

NIST Yapay Zeka Risk Yönetimi Çerçevesi Uygulama Rehberi'nin Yönetişim bölümünde tanımlanmış roller ve sorumluluklar, personele yönelik yapay zeka risk eğitimi ve iletişim kanalları ele alınır. Buradaki yapı, küçük bir ekibin işleyişine uyarlanmıştır. Bu başlıkları kullanmak, bir politikayı herhangi bir yasaya uygun veya NIST tarafından onaylanmış hâle getirmez.

Politikanın içine yalnızca bir unvan değil, sorumlu kişinin ve yedeğinin adını da yazın. Küçük şirketlerde unvanlar belgelerden daha hızlı değişir. Sorunu üst makama taşıma süreci, kimsenin üstlenmediği bir role yönlendiriyorsa işlevsizdir.

Onaylı araçları nasıl kayıt altına almalısınız?

Hizmetin, planın ve izin verilen kullanımın tam olarak ne olduğunu kaydedin; çünkü marka adı tek başına önemli farkları gizler. Aynı ürünün bireysel kullanıcı hesabı, şirket çalışma alanı ve API entegrasyonu; saklama, model eğitimi ve yönetici denetimi açısından farklı koşullara sahip olabilir. Tek bir ifadenin tüm sürümler için geçerli olduğunu varsaymak yerine ilgili ayarları ve koşulları kaydedin.

Model eğitimi, saklama süreleri, erişim, işleme konumları ve silme hakkında ayrı ayrı sorular sorun. Verilerin eğitimde kullanılmadığına dair bir açıklama, hiç saklanmadıklarını veya bir müşteri belgesini yükleme izniniz olduğunu göstermez. Sağlayıcıların bunu nasıl açıkladığına bir örnek olarak, Microsoft'un kuruluşlar tarafından kullanılan Copilot Chat belgelerinde, istemlerin ve yanıtların veri koruma ek sözleşmesi kapsamında olduğu ve temel modelleri eğitmek için kullanılmadığı, ayrıca belirli kontrollerin abonelik planına göre değiştiği belirtilir. Kontrol ettiğiniz tarihle birlikte kaydetmeniz gereken, plana özgü açıklama türü budur.

Hizmet veya iş akışı değiştiğinde listenin güncellenebilmesi için her onaya bir sorumlu ve gözden geçirme tarihi atayın. Yönetişim çerçevesi rehberinde tek sayfaya sığan bir kayıt formatı gösterilir.

Çalışanlar bir yapay zeka aracına neleri yapıştırabilir?

Araçtan, verilerden ve şirketin yükümlülüklerinden bağımsız, herkes için geçerli bir yanıt yoktur. Bu nedenle politika, sizin koşullarınız için bir yanıt vermelidir. Bilgileri birkaç açık sınıfa ayırarak başlayın: kamuya açık bilgiler, kurum içi bilgiler, gizli şirket veya müşteri bilgileri ve kişisel bilgiler. Ardından onaylanmış her araç için hangi sınıflara izin verildiğini belirtin. Bir adı kaldırmak, tek başına bir belgeyi anonim hale getirmez veya yüklenmesine izin verildiği anlamına gelmez.

Birleşik Krallık Ulusal Siber Güvenlik Merkezinin büyük dil modellerine ilişkin rehberi, genel ilkeyi açıkça belirtir: Sorgu, modeli sağlayan kuruluş tarafından görülebilir. Rehber, herkese açık modellere yöneltilen sorgulara hassas bilgi eklenmemesini ve hassas sorular sormadan önce kullanım koşullarıyla gizlilik politikasının okunmasını önerir. Politikanız, bunu onayladığınız hesaplar için somut talimatlara dönüştürebilir.

Çalışanlara, onaylanmış her iş akışı için izin verilen ve kullanımı kısıtlanan içeriklere dair somut örnekler verin. Eğitimde kurgusal veriler veya kullanımı açıkça onaylanmış düşük riskli veriler kullanın. Durum net değilse çalışanlar, görevin ortasında mahremiyet konusunda kendi başlarına karar vermek yerine durmalı ve belirlenen sorumluyla iletişime geçmelidir.

Bir çıktı kullanılmadan önce ne yapılmalı?

Yapay zeka desteğiyle üretilen her çıktı, kullanım amacına uygun bir kontrolden geçmelidir ve politika bu kontrolü kimin yapacağını belirtmelidir. Bir e-posta taslağını, sağlanan bilgilerle karşılaştırarak okumak yeterli olabilir. Sayısal bir açıklama, bağımsız bir hesaplama gerektirir. Hukuk, sağlık, para veya güvenlikle ilgili bir ifade, yetkin bir uzman tarafından incelenmelidir. Politika, yapay zeka desteğinin mevcut onayları gereksiz kıldığını ima etmek yerine bu onay süreçlerini korumalıdır.

Çalışanlardan, oluşturulan taslağı kullanım için onaylanan sürümden ayrı tutmalarını isteyin. Önemli işlerde hangi kaynağın kullanıldığını, nelerin değiştiğini ve son kararı kimin verdiğini gösterecek yeterli bir inceleme kaydı tutun. Akıcı bir yanıt veya modelin kendi yanıtının doğru olduğuna dair güvencesi, bağımsız doğrulama değildir.

Hangi kararların insanlarda kalacağını açıkça belirtin. Yaygın bir örnek madde şöyledir: Yapay zeka araçları taslak hazırlamaya veya özet çıkarmaya yardımcı olabilir, ancak sorumlu olduğu belirtilen bir kişi dayanak bilgileri incelemeden işe alım, ücret, performans, kredi veya müşteri şikayetiyle ilgili bir kararın temeli olamazlar.

Gerçek hayattaki bir ekip için tamamlanmış bir politika nasıl olur?

İşte kurgusal, 25 kişilik bir pazarlama ajansı olan Harbour Lane Studio için uygulamalı bir örnek. Çalışanlar, bir sohbet asistanının şirkete ait kurumsal çalışma alanını ve ofis yazılım paketindeki yapay zeka özelliklerini kullanıyor. Bazı çalışanların kişisel hesapları da vardı. Politikadan kurucu sorumlu; müşteri materyali içeren her şeyi ise müşteri hizmetleri müdürü onaylıyor.

Örnek madde, onaylı araçlar: "Yalnızca [asistan] aracının Harbour Lane kurumsal çalışma alanını ve ofis paketimizdeki yapay zeka özelliklerini, şirket hesabınızla oturum açarak kullanın. Şirket veya müşteriyle ilgili hiçbir iş için kişisel hesap kullanmayın."

Örnek madde, bilgiler: "Onaylı araçlarda kamuya açık bilgileri ve kurum içi bilgileri kullanabilirsiniz. Müşteri hizmetleri yöneticisi ilgili müşteri ve görevi kayıt listesinde onaylamadıkça müşteri dosyalarını, müşteriye özel fiyatları veya gizli olarak işaretlenmiş hiçbir bilgiyi girmeyin. Adaylar, çalışanlar veya müşteriler hakkında kişisel bilgileri asla girmeyin."

Örnek madde, inceleme: "Yapay zeka destekli bir çalışma müşteriye gönderilmeden önce, müşteri sorumlusu her olgusal iddiayı iş talimatına veya belirtilen bir kaynağa göre kontrol eder ve kaynağı doğrulanamayan tüm istatistikleri, sonuçları veya destek beyanlarını çıkarır. Yapay zeka destekli çalışmalar, diğer taslaklarla aynı standartlara tabidir."

Örnek madde, üst sorumluya başvurma: "Emin değilseniz durun ve [kurucu adı] adlı kişiye, o yoksa [yedek sorumlu adı] adlı kişiye sorun. Kısıtlı bilgilerin yanlış araca girildiğini düşünüyorsanız aynı gün kendilerine bildirin. Zamanında bildirim yaptığınız için cezalandırılmazsınız."

Harbour Lane daha sonra politikayı imzalatmadan önce gerçek bir görevde denedi: müşteri brifinden bir kampanya özeti hazırladı. Deneme bir eksikliği ortaya çıkardı: müşterinin marka kılavuzunun gizli bilgi sayılıp sayılmadığını kimse bilmiyordu. Kurucu, kararı her müşteri sorumlusuna bırakmak yerine kayıt listesine bir satır ekledi.

Politika belirsizlikleri ve hataları nasıl ele almalı?

Politika; yanlışlıkla bilgi ifşasını, dayanağı olmayan bir çıktıyı veya artık verilen onayın kapsamına uymayan bir iş akışını bildirmek için açık bir yol sunmalı ve çalışanların güvenle bildirim yapabilmesini sağlamalıdır. Çalışanların neyi durduracaklarını, kiminle iletişime geçeceklerini ve sorumlu kişi için hangi kanıtları saklayacaklarını bilmeleri gerekir. Veri veya güvenlik sorunları için zaten uyguladığınız prosedürle çelişen genel bir olay prosedürü oluşturmayın; mevcut prosedüre yönlendirin.

Politikayı uygulamaya almadan önce kısa bir masa başı tatbikatı yapın: birisi erişimi kısıtlı bir belgeyi onaylanmamış kişisel bir hesaba yapıştırmış olsun. Çalışan, olayı nasıl bildireceğini bulabiliyor mu? Sorumlu kişi hangi hizmetin ve hesabın kullanıldığını ve sağlayıcının hangi silme seçeneklerini sunduğunu biliyor mu? Eksikleri belirleyip ilgili incelemecilerle birlikte mevcut prosedürü iyileştirin.

İnsanların buna gerçekten uyabilmesini nasıl sağlarsınız?

İmzalı bir teslim alındı onayı, kişinin politikayı aldığını gösterir; onu uygulayabildiğini göstermez. İnsanlar sınırları gerçekçi bir görevde uygulayarak öğrenir: isteme neleri dahil etmeyeceğine karar vererek, üretilen bir iddiayı kaynağıyla karşılaştırarak ve yaptığı düzenlemeyi açıklayarak. Avrupa Komisyonunun soru-cevap metninde, çalışanların yaptıkları işe özgü riskler hakkında bilgilendirilmesinden söz edilirken anlatılan da budur.

Kendi işlerinizden izin verilen bir örneği, kısıtlı bir örneği ve belirsiz bir durumu ekiple birlikte inceleyin. Her kişiden aradaki farkı açıklamasını ve konuyu kime, nasıl ileteceğini bulmasını isteyin. Ardından politikaya dönün ve karar vermeyi kolaylaştıran örnekleri ekleyin.

Tosheo.ai bu uygulama adımı için hazırlanıyor. İlk sürümde yöneticinin rolleri ve ekibin kullandığı yapay zeka araçlarını seçmesi, her katılımcının kısa bir seviye belirleme değerlendirmesine katılması ve derslerin gerçek bir araçta, herkesin görebildiği bir puanlama kılavuzuna göre değerlendirilen uygulamalı bir görevle bitmesi planlanıyor. Yöneticilerin ham sohbet kayıtlarını değil, beceri gelişimini ve tamamlanma durumunu görmesi planlanıyor. Politikalarınızı yazmaz veya uygulamaz; insanların bir politikanın gerektirdiği alışkanlıkları uygulamasına yardımcı olmayı amaçlar.

Politikanın faydalı kalmasını nasıl sağlarsınız?

Araçlar, planlar, sözleşmeler veya iş akışları değiştiğinde ve yılda en az bir kez belirli bir tarihte politikayı gözden geçirin. Çalışanlara hangi kararları vermekte hâlâ zorlandıklarını sorun. Kimsenin uygulayamadığı bir politika için bir onay kutusu daha değil, daha açık örnekler veya konuyu üst yetkiliye taşımak için daha iyi bir yol gerekir.

Hangi kuralın güncel olduğu bilinsin diye en üstte bir sürüm tarihi ve değişiklik notu bulundurun. Bir sağlayıcı koşullarını değiştirdiğinde veya bir müşteri sözleşmeye yapay zekayla ilgili bir madde eklediğinde, yıllık incelemeyi beklemek yerine ilgili kayıt girdisini güncelleyin ve etkilenen kişileri bilgilendirin.

Bu rehber ne zaman doğru çözüm değildir?

Bu yaklaşım, günlük bilgi işlerinde hazır yapay zeka asistanları kullanan yaklaşık 5 ila 200 kişilik ekipler için tasarlanmıştır. Yapay zeka sistemleri geliştiriyor veya satıyorsanız, kişiler hakkında otomatik kararlar veriyorsanız, sağlık, finansal danışmanlık veya hukuk hizmetleri gibi sıkı düzenlemelere tabi bir sektörde çalışıyorsanız ya da müşteri sözleşmelerinizde yapay zekaya özel hükümler varsa tek başına yeterli değildir. Bu durumlarda politika son hâlini almadan önce yetkin uzmanlarca hukuk ve veri koruma incelemesi yapılması, ayrıca gerekirse resmî bir risk değerlendirmesi gerekir.

Bilgi güvenliği programının yerini de tutmaz. Şirketinizde parolalar, cihaz güvenliği veya veri sınıflandırması için temel kurallar yoksa önce bunları düzeltin; temelsiz bir yapay zeka politikası işlemez.

Kaynaklar ve kapsam

NIST yapay zeka risk yönetimi uygulama kılavuzu: Yönetişim, kontrol tarihi: 16 October 2026 ↗

ICO, Yapay zeka ve veri koruma rehberi (gözden geçiriliyor), kontrol tarihi: 16 October 2026 ↗

ICO, Yapay zeka ve veri koruma risk araç seti (gözden geçiriliyor), kontrol tarihi: 16 October 2026 ↗

Avrupa Komisyonu, Yapay Zeka Okuryazarlığı - Sorular ve Yanıtlar, son güncelleme: 27 July 2026 ↗

NCSC, ChatGPT ve büyük dil modelleri: risk nedir?, 14 Mart 2023 ↗

Microsoft Learn, Microsoft Copilot ve Copilot Chat'te kurumsal veri koruması, kontrol tarihi: 16 October 2026 ↗