Bir çalışanınız müşteriye gidecek teklifi daha akıcı yazmak istiyor. Tarayıcıda ücretsiz bir yapay zekâ aracı açıyor, teklifin tamamını kopyalayıp yapıştırıyor: müşterinin adı, fiyatlar, iskonto oranı, belki birkaç kişinin telefon numarası. Metin iki dakikada düzeliyor. Bu sırada şirket verisi, şirketin hiçbir sözleşmesinin, ayarının ya da kaydının ulaşmadığı bir hesaba girmiş oluyor.
Bu sahne çoğu işletmede her gün yaşanıyor ve kimse kötü niyetli değil. Çalışan işini hızlandırmaya çalışıyor; şirket ise hangi aracın, hangi hesapla, hangi veriyle kullanıldığını bilmiyor. Yapay zekâ kullanım politikası tam olarak bu boşluğu kapatır. Bu yazıda böyle bir politikanın neden gerekli olduğunu, neleri cevaplaması gerektiğini ve kâğıtta kalmaması için ne yapılacağını anlatıyoruz.
Sorun araçta değil, hesapta
Gemini, Copilot ya da ChatGPT; aynı aracın kişisel ve kurumsal sürümleri farklı kurallarla çalışır. Fark çoğu zaman arayüzde görünmez, kullanım koşullarında yazar.
Kurumsal lisanslarda büyük üreticiler açık taahhütler veriyor:
- Google, Google Workspace içindeki Gemini’nin şirket içeriğinizi Gemini’yi ya da başka üretken yapay zekâ modellerini eğitmek veya geliştirmek için kullanmadığını belirtiyor.
- Microsoft, Microsoft 365 Copilot’taki istemlerin, yanıtların ve Microsoft Graph üzerinden erişilen şirket verilerinin temel büyük dil modellerini eğitmek için kullanılmadığını belirtiyor.
- Microsoft ayrıca Copilot’un bir çalışana yalnızca en azından görüntüleme yetkisi olduğu şirket verilerini gösterdiğini söylüyor.
Kişisel hesaplarda tablo farklıdır. Google, kişisel hesapla Gemini uygulamalarına aktarılan verinin o hizmetin kendi koşullarına göre işlendiğini ve model eğitiminde kullanılabileceğini belirtiyor. Yani aynı teklif metni, kurumsal hesapta şirketin sözleşmesi altında kalırken kişisel hesapta başka bir kurala tabi olur.
Bu, kurumsal lisansın her şeyi çözdüğü anlamına gelmiyor. Kişisel Verileri Koruma Kurumu’nun Kasım 2025’te yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, kullanıcıların istemlerde paylaştığı kişisel verilerin bir risk alanı olduğuna dikkat çekiyor. Rehber ayrıca istemde hiçbir kişisel veri olmasa bile modelin çıktısında kişisel veri ortaya çıkabileceğini hatırlatıyor. Bu yüzden politika yalnız aracı değil, araca giren veriyi ve araçtan çıkan metni de ele almalı.
İyi bir politika beş soruyu cevaplar
Yapay zekâ kullanım politikası kalın bir belge olmak zorunda değil. İki sayfayı geçmeyen, herkesin okuyup anladığı bir metin, kimsenin açmadığı yirmi sayfadan daha çok işe yarar. Politikanın cevaplaması gereken beş soru:
- Hangi araçlar kullanılabilir? Şirketin onayladığı araçları ve sürümlerini adıyla yazın: “Google Workspace içindeki Gemini, şirket hesabıyla” gibi. Listede olmayan araç için kime sorulacağını belirtin.
- Hangi veriler hiçbir yapay zekâ aracına girmez? Müşterilerin ve çalışanların kişisel verileri, sağlık bilgileri, finansal bilgiler, şifreler ve erişim bilgileri, gizlilik sözleşmesi kapsamındaki belgeler gibi.
- Kişisel hesapla iş verisi işlenebilir mi? Cevabın “hayır” olması ve bunun açıkça yazılması önerilir.
- Yapay zekânın ürettiği metin kimin onayından geçer? Müşteriye, kamuya ya da resmî kuruma gidecek her metni bir insan okumalı ve sorumluluğu üstlenmeli.
- Kurallara uyulmazsa ne olur? Yaptırım ağır olmak zorunda değil, ama belirsiz de olmamalı. Bir hatanın nasıl bildirileceğini de yazın; çalışan hatasını saklamak yerine söyleyebilmeli.
Basit bir veri sınıflandırması politikayı uygulanabilir yapar.
| Veri türü | Örnek | Kurumsal yapay zekâ aracı | Kişisel hesap |
|---|---|---|---|
| Herkese açık | Web sitesindeki ürün tanıtımı, yayımlanmış duyurular | Kullanılabilir | Kullanılabilir |
| Şirket içi | Toplantı notları, iç yazışmalar, süreç belgeleri | Kullanılabilir | Kullanılmaz |
| Gizli | Teklifler, sözleşmeler, finansal tablolar | Politikadaki kurallarla, yetkili kişilerce | Kullanılmaz |
| Kişisel ve özel nitelikli veri | Müşteri ve çalışan bilgileri, sağlık verisi | Yalnız açıkça tanımlanmış bir iş için ve hukuki değerlendirmeyle | Kullanılmaz |
Politikayı ayarlarla uygulayın
Yazılı kural ilk adımdır, ama tek başına yetmez. Kuralı kullandığınız araçların yönetim ayarlarıyla desteklemezseniz politika bir PDF olarak çekmecede kalır.
Microsoft’un Copilot için verdiği taahhüt bu açıdan öğretici:
“İstemler, yanıtlar ve Microsoft Graph üzerinden erişilen veriler, Microsoft Copilot’ın kullandıkları da dahil olmak üzere temel büyük dil modellerini eğitmek için kullanılmaz.”
Aynı sayfa, Copilot’un bir çalışana yalnızca görme yetkisi olan verileri gösterdiğini de söylüyor. Bunun pratik bir sonucu var: Yıllar içinde herkese açık bırakılmış bir klasör, yapay zekâ devreye girdiğinde çok daha kolay bulunur hâle gelir. Bu yüzden kurumsal yapay zekâyı açmadan önce paylaşım izinlerini gözden geçirmek iyi bir başlangıçtır.
Politikayı uygulamaya bağlayan başlıca ayarlar:
- Kurumsal hesapla oturum: Yapay zekâ özelliklerini yalnız şirket hesaplarına açın; lisansları ihtiyacı olan ekiplere verin.
- Paylaşım izinleri: Ortak sürücülerde ve klasörlerde “bağlantıya sahip herkes” türü geniş paylaşımları temizleyin.
- Yönetici paneli: Hangi yapay zekâ özelliklerinin kimlere açık olduğunu Google Workspace ya da Microsoft 365 yönetici panelinden yönetin.
- Eğitim: Kuralları ekibinize kendi işlerinden örneklerle anlatın. “Teklif metnini nasıl güvenle düzeltirim?” sorusunun cevabını gösteren yarım saatlik bir oturum, uzun bir yasak listesinden daha etkilidir.
İlk ay için yol haritası
Her şeyi bir haftada kurmanız gerekmez. Küçük ve orta ölçekli bir işletme için gerçekçi bir sıra şöyle olabilir:
- 1. hafta · Durumu görün: Ekibin bugün hangi yapay zekâ araçlarını, hangi hesaplarla kullandığını sorun. Amaç suçlu aramak değil, resmi görmek.
- 2. hafta · Aracı seçin: Ekibiniz Google Workspace kullanıyorsa Gemini, Microsoft 365 kullanıyorsa Copilot çoğu zaman en hızlı başlangıçtır. Kurumsal lisansı ihtiyaç duyan ekiplere kurun.
- 3. hafta · Politikayı yazın: Yukarıdaki beş soruyu cevaplayan iki sayfalık metni hazırlayın; yönetim onaylasın.
- 4. hafta · Ayarlayın ve anlatın: Paylaşım izinlerini temizleyin, yönetici ayarlarını yapın, ekibe kısa bir eğitim verin. Altı ay sonra politikayı yeniden gözden geçirmek için takvime not düşün.
Kişisel verilerle ilgili kararlarda, özellikle sağlık ve finans gibi alanlarda, politikanızı bir hukukçuyla birlikte değerlendirmenizi öneririz.
Özetle
Çalışanlarınız yapay zekâyı büyük ihtimalle zaten kullanıyor; asıl soru hangi hesapla ve hangi veriyle kullandıkları. Kurumsal bir araç verin, hangi verinin hangi araca girebileceğini iki sayfalık bir politikayla yazın ve bu kuralları araçların ayarlarıyla uygulayın. İlk adım olarak bu hafta ekibinize tek bir soru sorun: “İşinizde hangi yapay zekâ aracını, hangi hesapla kullanıyorsunuz?”
