Üretken yapay zeka araçları neden kendilerine özgü politika kurallarına ihtiyaç duyar?
Üretken araçlar yalnızca mevcut bilgileri getirmek veya sıralamak yerine yeni metin, görsel, ses veya kod üretir. Bu nedenle temel risk, girdiden çıktıya kayar. Bir arama aracı inceleyebileceğiniz sayfalar getirir; üretken bir araç ise uydurma bilgiler, başkasından alınmış ifadeler veya yanlı bir bakış açısı içerebilen, kendinden emin bir taslak sunar. Politika her iki yönü de kapsamalıdır.
NIST Üretken Yapay Zeka Profili, üretken yapay zekaya özgü olan veya üretken yapay zekanın artırdığı on iki riski sıralar. Sıradan bir küçük işletmenin politikasında bunların beşi temel ihtiyaçların çoğunu karşılar: halüsinasyon (kendinden emin biçimde sunulan ancak yanlış olan içerik), veri gizliliği (sızıntı veya yetkisiz ifşa), fikrî mülkiyet (korunan içeriğin kopyalanması veya ticari sırların açığa çıkarılması), bilgi bütünlüğü (gerçek ile görüşü ayırmayan veya belirsizliği belirtmeyen içerik) ve NIST'in insan-yapay zeka yapılandırması olarak adlandırdığı, otomasyon yanlılığını ve aşırı bağımlılığı da içeren alan.
Bu kuralları kabul edilebilir kullanım kurallarınızla aynı belgeye koyabilirsiniz. Birçok küçük şirket bunu yapar. Bu sayfa, içeriğe özgü maddelere odaklanır. Genel bilgilendirme amaçlıdır; hukuki tavsiye değildir.
| NIST profilinde risk | İş yerinde nasıl görünür | İlgili durumu ele alan politika kuralı |
|---|---|---|
| Uydurma bilgi üretme | Uydurulmuş bir istatistik veya atıf yapılan bilgiyi içermeyen bir sayfaya kaynak gösterilmesi | Kullanmadan önce her olgusal iddiayı açıp incelediğiniz bir kaynakla karşılaştırarak kontrol edin |
| Veri gizliliği | Adres mektup birleştirme taslağı hazırlamak için yapıştırılan müşteri iletişim listesi | Onaylı hesaplarla ilişkilendirilmiş bilgi sınıfları |
| Fikri mülkiyet | Tanınmış bir sanatçının tarzında bir görsel veya lisanslı bir projeden kopyalanmış kod | Üslup istemleri, yeniden kullanım ve lisans kontrollerine ilişkin kurallar |
| Bilgi bütünlüğü | Bir tahmini gerçekmiş gibi sunan özet | İncelenen taslaklarda belirsizliğin açıkça belirtilmesini şart koşun |
| Aşırı bağımlılık | Verileri okumadan üretilen analizi kabul etmek | İnsanların vereceği kararları belirleyin |
Çalışanlara yönelik bir ChatGPT politikası neler içermeli?
Çalışanlara yönelik bir ChatGPT politikası; hangi hesabın kullanılacağını, bir isteme asla nelerin yazılmayacağını, yanıtın nasıl kontrol edileceğini ve kime danışılacağını belirtmelidir. Aynı kurallar Claude, Gemini, Copilot ve benzeri asistanlar için de geçerli olmalıdır. Açıklık sağlamak için başlıkta tek bir ürünün adını kullanabilirsiniz; ancak kuralları, ekip başka bir araç eklediğinde yeniden yazılması gerekmeyecek şekilde hazırlayın.
En önemli ayrım, kişisel hesaplarla şirket hesapları arasındadır. Aynı asistanın bireysel ve kurumsal planlarında model eğitimi, veri saklama ve yönetici denetimi koşulları farklı olabilir. Örneğin Microsoft belgeleri, kuruluşların kullandığı Copilot Chat'in veri koruma ek sözleşmesi kapsamında olduğunu, istemlerin ve yanıtların temel modelleri eğitmek için kullanılmadığını ve denetimlerin plana göre değiştiğini belirtir. Bunu varsaymak yerine, onayladığınız her araç için aynı konudaki açıklamayı kontrol ettiğiniz tarihle birlikte kaydedin.
Örnek madde: "[asistan] aracını yalnızca [Şirket] iş hesabınız üzerinden kullanın. Kısa bir soru için bile olsa şirket işleri için kişisel hesap kullanmayın; kişisel hesaplar sağlayıcıyla yaptığımız sözleşmenin kapsamında değildir."
Çalışanlar üretken yapay zekaya verdikleri talimatlara asla neleri eklememeli?
Çalışanlar bir isteme asla parola, anahtar veya başka gizli erişim bilgileri girmemeli; gizli, müşteriye ait ya da kişisel bilgileri yalnızca onaylı bir iş akışı izin verdiğinde girmelidir. Birleşik Krallık Ulusal Siber Güvenlik Merkezi'nin rehberi, bir sorgunun modeli sağlayan kuruluş tarafından görülebildiğini belirtir ve kamuya açıklanması halinde sorun yaratacak sorguların gönderilmemesini önerir.
Yüklenen dosyalar da istem sayılır. Grafik istemek için eklenen bir hesap tablosu, sorunun gerektirmediği sütunlar da dahil olmak üzere tüm sütunları içerir. "Yüklemeden önce ihtiyaç duymadığınız sütunları kaldırın" diyen bir politika maddesini uygulamak kolaydır ve sık yaşanan bir kazayı önler.
Örnek madde: "Yapıştırmadan veya yüklemeden önce görev için gerekmeyen her şeyi çıkarın. Sır niteliğindeki bilgileri asla dahil etmeyin. Kayıt listesinde ilgili araç ve görev onaylanmadıkça müşteri bilgilerini veya kişisel bilgileri dahil etmeyin. Emin değilseniz önce [sorumlu] kişiye sorun."
Üretilen içerik kullanılmadan önce nasıl kontrol edilmeli?
Üretilen içerik, nerede kullanılacağına uygun ölçüde kontrol edilmelidir: kişisel bir fikir çalışması için göz atmak yeterlidir; müşteriye sunulacak bir çıktıda her iddianın kaynağı doğrulanmalıdır; hukuk, finans veya güvenlikle ilgili her içerik ise yetkin bir kişi tarafından incelenmelidir. Politika, her çıktı türünü kimin kontrol edeceğini belirtmelidir. Bu kişi genellikle içeriği gönderecek veya yayımlayacak kişidir.
15 kişilik kurgusal işe alım danışmanlığı şirketi Fenwick Talent'tan uygulamalı bir örnek. Bir danışman şu istemi yazıyor: "Finans direktörleri için Leeds'te yönetim muhasebecisi işe alımları hakkında 150 kelimelik bir piyasa güncellemesi yaz." Taslak, adı verilen bir maaş araştırmasını kaynak göstererek talebin bu yıl hızla arttığını ve maaşların belirli bir yüzde oranında yükseldiğini söylüyor. Danışman ne araştırmayı ne de rakamı bulabiliyor.
Olduğu gibi bırakılan zayıf çıktı: "[anket] verilerine göre Leeds'te yönetim muhasebecilerine talep bu yıl keskin biçimde arttı ve maaşlar [rakam] yükseldi." Gözden geçirilmiş sürüm: "Bu çeyrekte işe alımını tamamladığımız pozisyonlarda finans direktörleri en çok ihbar sürelerini ve hibrit çalışma koşullarını sordu. Teklif aşamasında daha fazla karşı teklifle karşılaşıyoruz." Gözden geçirilmiş sürüm yalnızca Fenwick'in kendi gözlemlerini kullanıyor. Düzenlemeye dayanak olan politika maddesi: "Kaynağını açıp doğrulayamadığınız her türlü istatistiği, anketi veya sonucu çıkarın."
Bunun bir iş rolüyle nasıl bağlantılı olduğunu görmek ister misiniz?
Planlanan ekip denemesini keşfedin ↗Çalışanlar içeriğin yapay zekayla üretildiğini ne zaman açıklamalıdır?
Çalışanlar, en azından, bir taslağın büyük ölçüde yapay zeka tarafından oluşturulduğunu inceleyen kişiye bildirmeli ve bunu açıklamayı gerektiren müşteri sözleşmelerine, platform kurallarına veya yayın kurallarına uymalıdır. Bunun ötesinde, yapay zeka kullanımının açıklanıp açıklanmayacağı, hedef kitleye ve bağlama bağlı bir şirket tercihidir.
Kamuya açık örnekler farklılık gösterir. Boston Belediyesi'nin May 2023'te yayımladığı geçici personel yönergeleri, çalışanlardan yapay zeka kullanımını ve kullanılan modeli açıklamalarını ister; ayrıca "Bu açıklama ChatGPT 3.5 tarafından oluşturulmuş ve düzenleyen kişi:" gibi bir ifadenin ardından çalışanın adının belirtilmesini önerir. Bu yaklaşım bir kamu kurumu için uygundur. Küçük bir ajans ise sıradan metinlerde incelemeyi yapan kişiye kurum içi bildirimde bulunmayı yeterli görebilir; oluşturulan görseller veya sentetik sesler için dışarıya yönelik etiketleme isteyebilir.
Örnek madde: "Bir taslağın önemli bir bölümü yapay zeka tarafından oluşturulduysa inceleyen kişiye bildirin. Müşterilere sunulan, yapay zekayla oluşturulmuş görsel, ses veya videoları [ifade] şeklinde etiketleyin. Yapay zeka kullanımına ilişkin müşteri talimatlarına uyun; bu talimatlar bu maddeden önceliklidir."
Üretken yapay zeka politikası telif haklarını ve görselleri nasıl ele almalı?
Politika, çalışanların koruma altındaki eserleri kasıtlı olarak çoğaltmasını engellemeli, üretilen kod veya içerikler yeniden kullanılmadan önce lisans kontrolü yapılmasını zorunlu kılmalı ve gerçek kişilerin görüntülerinin veya seslerinin rızaları olmadan üretilmesini yasaklamalıdır. NIST'in risk profili, telif hakkı, ticari marka veya lisansla korunan içeriklerin çoğaltılmasının ve ticari sırların açığa çıkarılmasının kolaylaşmasını üretken yapay zeka riskleri arasında sayar.
Yapay zekayla üretilen içeriklere ilişkin telif hakkı mevzuatı ülkeden ülkeye değişir ve hâlâ gelişmektedir. Bu nedenle politika, üretilen her çıktının şirkete ait olduğunu veya tescil ettirilebileceğini vaat etmemelidir. Şirketin belirsizlikleri nasıl ele aldığını belirtmelidir: örneğin, üretilen görseller şirket içi taslaklarda serbestçe kullanılabilir; ancak bir müşteri kampanyasında kullanılacak her içerik önce aracın lisans koşulları ve müşterinin talimatları açısından kontrol edilir.
Örnek maddeler: "Adı belirtilen, yaşayan bir sanatçının veya markanın tarzında içerik üretmesini ya da telif hakkıyla korunan metinleri yeniden oluşturmasını bir araçtan istemeyin. Gerçek bir kişinin yazılı izni olmadan o kişiye ait görsel, ses veya video oluşturmayın. Oluşturulan içerikleri müşteri işlerinde kullanmadan önce aracın ticari kullanım koşullarını kontrol edin." Bulunduğunuz yargı alanındaki hukuki durum hakkında danışmanlık alın.
Hangi kararlar insana bırakılmalı?
İşe alım, ücret, performans, kredi, şikâyetler ve sağlık ya da güvenlikle ilgili konular gibi bir kişiyi önemli ölçüde etkileyen kararlar, dayanak oluşturan bilgileri inceleyen, sorumluluğu açıkça belirlenmiş bir kişide kalmalıdır. Üretken yapay zeka araçları bu kararlar için taslak hazırlamaya, bilgileri yapılandırmaya veya özetlemeye yardımcı olabilir; kararları kendileri vermemelidir.
NIST profili, otomasyon yanlılığını ve aşırı güveni insan-yapay zeka yapılandırması riskinin bir parçası olarak tanımlar. Bir politika buna basit bir testle karşılık verir: Kararı veren kişi, aracın söylediklerine atıfta bulunmadan kararını açıklayabilmelidir. Kişisel veriler söz konusu olduğunda, ICO'nun yapay zeka ve veri koruma rehberi Birleşik Krallık'taki resmî başvuru kaynağıdır; rehberin sayfalarında şu anda Veri (Kullanım ve Erişim) Yasası sonrasında gözden geçirildiği belirtiliyor.
Üretken yapay zeka politikası ne zaman uygun bir araç değildir?
Bir ürüne üretken özellikler ekliyorsanız, modelleri müşteri verileriyle ince ayardan geçiriyorsanız veya sizin adınıza halkla konuşan bir sohbet robotu kullanıma sunuyorsanız, çalışanlara yönelik bir üretken yapay zeka politikası yeterli değildir. Bunlar, çalışan kurallarının çok ötesine geçen ürün, güvenlik ve hukuk incelemeleri gerektirir.
Ayrıca uygulama yapmanın yerini tutamaz. Bir taslakta uydurma bir rakam olabileceğini bilmek, zaman baskısı altında o rakamı fark etmekten farklıdır. Tosheo.ai, bu uygulama adımı için geliştiriliyor: planlanan role özel öğrenme programlarında her ders, gerçek bir yapay zeka aracında yapılan ve açıkça görülebilen bir puanlama kılavuzuna göre değerlendirilen uygulamalı bir görevle sona erecek. Politikanızı hazırlamaz veya uygulanmasını sağlamaz.
Kaynaklar ve kapsam
NIST, Üretken yapay zeka profili (NIST AI 600-1), July 2024 ↗
NCSC, ChatGPT ve büyük dil modelleri: risk nedir?, 14 Mart 2023 ↗
ICO, Yapay zeka ve veri koruma rehberi (gözden geçiriliyor), kontrol tarihi: 16 October 2026 ↗