Çalışanlar için yapay zeka politikası şablonu

Bu şablonu nasıl kullanmalısınız?

Aşağıdaki maddeleri kendi belgenize kopyalayın, köşeli parantez içindeki tüm alanları doldurun ve her maddeyi ilgili iş akışından sorumlu kişiyle görüşün. Kullanılan araçları, bilgileri ve geçerli yükümlülükleri kontrol etmeden bu metni şirket politikası olarak benimsemeyin. Metin, iş verilerini yüklemek için her durumda geçerli bir izin varmış gibi davranmaktan özellikle kaçınır.

Bir çalışanın son hâli verilmiş belgeyi uygulayıp uygulayamadığını görmek için bildiği bir görev kullanın. Örneğin, kamuya açık bilgilere dayanarak e-posta taslağı hazırlamak için hangi hesabın onaylı olduğunu ve bir müşteri raporunu paylaşmadan önce kime danışması gerektiğini söyleyebiliyor mu? Yanıt net değilse çalışanlardan politikayı okuduklarını onaylamalarını istemeden önce politikayı iyileştirin.

Bu şablon genel bilgi içerir, hukuki tavsiye niteliğinde değildir. Veri koruma, istihdam ve sektör kuralları ülkeye göre değişir; kullanacağınız sürümü yetkin bir danışman incelemelidir.

Amaç, kapsam ve sorumluluk maddelerinde neler yer almalı?

İlk üç madde, politikanın neden var olduğunu, kimleri kapsadığını ve belirsizlik durumunda kimin karar vereceğini açıklar. Bunları kısa tutun; amaçları hukuki sonuç doğurmak değil, yol göstermektir.

Madde 1, amaç: "[Şirket], çalışanların taslak hazırlamasına, özet çıkarmasına, araştırma ve analiz yapmasına yardımcı olmak için yapay zeka araçları kullanır. Bu politika hangi araçların onaylı olduğunu, bu araçlarla hangi bilgilerin kullanılabileceğini, çıktıların nasıl kontrol edileceğini ve soruların kime yöneltileceğini açıklar. [Bilgi güvenliği / veri koruma / gizlilik] politikalarımızı destekler; onların yerini almaz."

Madde 2, kapsam: "Bu politika, [Şirket] için iş yapan tüm çalışanlar, yükleniciler ve [serbest çalışanlar / stajyerler] için, kullanılan cihazdan bağımsız olarak geçerlidir. [Ofis yazılım paketi, tasarım aracı, CRM] gibi hâlihazırda kullandığımız yazılımların yerleşik yapay zeka özellikleri de bu kapsamdadır."

Madde 3, sorumluluk: "[Ad, görev], bu politikadan ve onaylı araç kayıt listesinden sorumludur. Ulaşılamadığında [yedek sorumlunun adı] bu görevi üstlenir. Sorular [e-posta adresi veya kanal] üzerinden iletilir. Kişisel bilgi içeren tüm iş akışlarını [ad, görev] onaylar."

Araçlar ve bilgiyle ilgili maddeler nasıl doldurulur?

Riskin büyük bölümü madde 4 ve 5'te yer alır; bu nedenle en somut yanıtlar bu maddelerde verilmelidir. Madde 4 kullanılacak hesapları açıkça belirtir; madde 5 ise her birine hangi bilgi sınıflarının girilebileceğini söyler.

Madde 4, onaylı araçlar: "Yalnızca onaylı araç kayıt listesinde bulunan araçları, [Şirket] hesabınızla oturum açarak kullanın. Kayıt listesinde bulunmayan kişisel hesaplar, ücretsiz planlar ve tarayıcı eklentileri [Şirket] veya müşteri işleri için kullanılmamalıdır. Yeni bir araç talep etmek için [sorumlu] kişisine aracı, planı, görevi ve kullanılacak bilgileri belirten bir e-posta gönderin."

Madde 5, bilgiler: "Onaylı araçlarda kamuya açık bilgileri ve [şirket içi bilgileri] kullanabilirsiniz. Kayıt listesinde söz konusu araç için ilgili göreve yönelik onay bulunmadıkça [müşteriye ait gizli materyaller / fiyatlandırma / yayımlanmamış mali veriler / kaynak kodu / erişim bilgileri] girmemelisiniz. [Ad] ilgili iş akışını onaylamadıkça çalışanlar, adaylar veya müşteriler hakkında kişisel bilgi girmeyin. İsimleri kaldırmak, tek başına bilgileri paylaşmayı güvenli hâle getirmez."

Kayıt listesindeki her onayda hizmet ve plan, izin verilen görev, kullanılmasına izin verilen bilgiler, incelemeyi yapan kişi ve inceleme tarihi bulunmalıdır. Sağlayıcılara verilerinizin eğitimde kullanılması, saklama süreleri, yönetici erişimi ve silme hakkında ayrı ayrı sorular sorun. Güncel koşullarında ne yazdığını, kontrol ettiğiniz tarihle birlikte kaydedin. Verilerin eğitimde kullanılmadığına dair bir beyan, verilerin saklanmadığı anlamına gelmez.

Çıktıların incelenmesine ve kişiler hakkında alınan kararlara ilişkin maddeler ne demeli?

Madde 6, çıktıyı kullanan kişiyi onu kontrol etmekten sorumlu tutar; madde 7 ise insanlar hakkındaki kararların insanlarda kalmasını sağlar. Her ikisi de mevcut onay süreçlerinizle uyumlu olmalı, onların yerini almamalıdır.

Madde 6, çıktı incelemesi: "Kullandığınız veya gönderdiğiniz tüm yapay zeka destekli çalışmalardan siz sorumlusunuz. Kullanmadan önce olguları, sayısal verileri, alıntıları ve kaynak atıflarını kaynak materyalle veya açıkça belirtilen bir kaynakla karşılaştırarak kontrol edin. Kaynağını bulamadığınız her türlü istatistiği, sonucu, destek beyanını veya kaynak atfını çıkarın. Normalde [hukuk birimi / finans birimi / bir yönetici] tarafından incelenmesi gereken işler yine onlar tarafından incelenir."

Madde 7, insanlar hakkındaki kararlar: "Yapay zeka araçları işe alım, ücret, performans, disiplin, kredi veya müşteri şikâyetiyle ilgili kararlara dayanak olarak kullanılmamalıdır. Materyal taslağı hazırlamaya veya düzenlemeye yardımcı olabilirler; ancak dayanak oluşturan bilgileri belirlenmiş bir kişi incelemeli ve kararı o vermelidir."

Ekibiniz destek yanıtları gibi yüksek hacimli işler yapıyorsa örneklem kontrolleri hakkında bir cümle ekleyin: yapay zeka destekli yanıtları kim, ne sıklıkla örnekleyerek kontrol ediyor ve tekrarlayan bir hata örüntüsü görüldüğünde ne yapılıyor?

Açıklama, raporlama ve inceleme maddeleri nasıl işler?

Son üç madde, yapay zeka kullanıldığının başkalarına ne zaman söyleneceğini, bir sorun çıktığında ne yapılacağını ve politikanın nasıl güncel tutulacağını açıklar.

Madde 8, kullanımın açıklanması: "Bir taslak büyük ölçüde yapay zekayla üretildiyse bunu inceleyen kişiye bildirin. Yapay zekayla üretilen içerik konusunda müşteri sözleşmelerine ve platform ya da yayın kurallarına uyun. [İsteğe bağlı: Yapay zekayla üretilen, müşterilere yönelik görseller veya metinler [ifade] şeklinde etiketlenir.]"

Madde 9, bildirim: "Kısıtlı bilgilerin onaysız bir araca girilmiş olabileceğini düşünüyorsanız veya yapay zeka destekli bir çıktı bir soruna yol açtıysa ya da neredeyse açacak olduysa, aynı gün [sorumlu] kişisine aracı, hesabı ve ne paylaşıldığını bildirin. Geçerli olduğu durumlarda [mevcut olay müdahale prosedürü] uyarınca hareket edin. Gecikmeden yapılan bildirim, disiplin ihlali olarak değerlendirilmeyecektir."

Madde 10, gözden geçirme: "[Sorumlu], bu politikayı ve kayıt listesini en az [altı / on iki] ayda bir ve bir araç, plan, sözleşme veya iş akışı değiştiğinde gözden geçirir. Sürüm [numara], [tarih] tarihinde [ad] tarafından onaylanmıştır."

Hangi yer tutucuları doldurmak için somut kararlar alınmalı?

Köşeli parantez içindeki her alan, güvenli bir varsayılanı değil, henüz verilmemiş bir kararı temsil eder. Bu nedenle bilinmeyen maddeleri kulağa makul gelen bir kuralla doldurmak yerine incelenmek üzere işaretleyin. Şirket; politika sorumlusunu, onaylı hizmetleri ve abonelik planlarını, izin verilen görevleri, kullanımı kısıtlı bilgileri, inceleme sorumluluklarını, bildirim kanalını ve gözden geçirme tarihini sağlamalıdır.

Bir aracın belirli bir görev için neden onaylandığını kaydedin. Model eğitimi ayarları, saklama, erişim denetimleri ve sözleşmeye dayalı izin birbirinden ayrı konulardır. Bir aracın bir kullanımı kabul edilebilirken başka bir kullanımı ek onay gerektirebilir. Bu ayrımı kayıtta açıkça gösterin.

Uygulamalı bir vaka: 18 kişilik kurgusal bir muhasebe bürosu önce 5. maddeyi doldurmaya çalıştı ve yanıt veremediğini gördü; çünkü müşteri hizmet sözleşmelerinde yapay zekadan hiç söz edilmiyordu. İşletme sahibi tahmin yürütmek yerine, inceleme tamamlanana kadar müşteri bilgilerinin kullanımına izin verilmediğini kaydetti, kamuya açık bilgilerle ve kurum içi bilgilerle kullanımı hemen onayladı ve sözleşmeleri güncellemek için danışmanıyla bir görüşme planladı.

İncelemeyi yapan kişi neleri kontrol etmeli?

İncelemeyi yapan kişi, politikanın mevcut bilgi güvenliği, gizlilik, istihdam ve yayımlama süreçleriyle uyumlu olduğunu ve bunları fark ettirmeden geçersiz kılmadığını kontrol etmelidir. Kısa bir yapay zeka belgesi, gizli verileri veya önemli sonuçlar doğuran kararları zaten düzenleyen bir kuralı gevşetmemelidir. İncelemeyi kimlerin yapması gerektiği kuruluşa, iş akışına ve geçerli hukuk düzenine bağlıdır.

NIST Yapay Zeka Risk Yönetimi Çerçevesi Uygulama Rehberi'nin Yönetişim bölümünde roller, sorumluluklar, eğitim ve üçüncü taraf riskleri ele alınır; bu şablon, küçük ekipler için hazırladığımız pratik bir uyarlamadır. ICO'nun yapay zeka ve veri koruma rehberi, kişisel verilerle ilgili sorular için Birleşik Krallık'ın resmî kaynaklarından biridir. Sayfalarında şu anda Veri (Kullanım ve Erişim) Yasası sonrasında rehberin gözden geçirildiği belirtiliyor; bu nedenle güncel sürümü kontrol edin. Şablon, bir uyumluluk belgesi veya şirketinizin kontrolleri uyguladığına dair bir beyan değildir.

Politika ekibe nasıl tanıtılır?

Bunu bir okuma ödeviyle değil, kendi işlerinizden örneklerle tanıtın. İzin verilen bir örneği, kısıtlı bir örneği ve belirsiz bir durumu birlikte inceleyin. Katılımcılardan aradaki farkı açıklamalarını ve konuyu gerektiğinde kime ileteceklerini bulmalarını isteyin. Gerçekte kullandıkları araçlar ve hesaplar hakkında soru sormaları için zaman tanıyın. Bir kişinin yalnızca anladığını onaylaması, bir sınırı uygulayabildiğini göstermez.

İlk uygulama oturumundan sonra politikaya geri dönün. Karar vermeyi kolaylaştıran örnekleri ekleyin ve iş akışına uymayan talimatları düzeltin. Çalışanların güncel kuralları nerede bulacaklarını bilmeleri için bir sürüm numarası belirleyin ve sorumlu bir kişi atayın.

Yapılandırılmış pratik yapmak istiyorsanız Tosheo.ai, her role gerçek bir yapay zeka aracında uygulamalı görevle biten ve açıkça görülebilen değerlendirme ölçütlerine göre puanlanan kısa dersler sunmak üzere geliştiriliyor. Politikanızı yazmaz veya onaylamaz.

Genel bir şablon ne zaman yanlış bir başlangıç noktasıdır?

Sattığınız bir ürüne yapay zeka entegre ediyorsanız, özel nitelikli kişisel veri işliyorsanız, düzenlemeye tabi bir meslekte faaliyet gösteriyorsanız veya yapay zeka koşullarını zaten belirleyen sözleşmeleriniz varsa genel bir şablon yanlış bir başlangıç noktasıdır. Yetkin bir danışmanla birlikte bu yükümlülüklerden başlayın ve bu yapıyı yalnızca ele alınacak konuların kontrol listesi olarak kullanın.

Sorumluluğunu kimse üstlenmeyecekse de yanlıştır. Bir kez doldurulup bir daha incelenmeyen şablon, ekibin artık kullanmadığı araçlarla ilgili bir kurallar listesine dönüşür. 4. maddeyi doldurmadan önce sorumluyu belirleyin.

Kaynaklar ve kapsam

NIST yapay zeka risk yönetimi uygulama kılavuzu: Yönetişim, kontrol tarihi: 16 October 2026 ↗

ICO, Yapay zeka ve veri koruma rehberi (gözden geçiriliyor), kontrol tarihi: 16 October 2026 ↗

ICO, Yapay zeka ve veri koruma risk araç seti (gözden geçiriliyor), kontrol tarihi: 16 October 2026 ↗