Pratik rehber · Her araç için

Şirket için yapay zeka kullanım politikası nasıl yazılır?

İlkem Kayıcan Dipçin · Son kontrol 22 Ekim 2026

KVKK'nın 5 Mart 2026'da duyurduğu İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı belgesi, çalışanların şirketin denetimi dışında yapay zeka kullanmasına Gölge Yapay Zekâ (Shadow AI) diyor. Belgeye göre tam yasak uygulamada gerçekçi sonuç vermiyor ve kullanımı kontrol dışına itebiliyor; önerilen, duyurulmuş, kolay bulunan ve sınırları belli bir politika. Her şirkete uyan tek bir metin yok; aşağıdaki başlıklar KVKK'nın önerilerine ve Hamburg veri koruma kurumunun sohbet botları için yayımladığı kontrol listesine dayanıyor.

Adım adım

1. 1

   Amacı ve kapsamı yazın: politika, şirket dışından sağlanan ve herkese açık yapay zeka araçlarının iş için kullanımını kapsar. İzin verilen ve yasak kullanımlara örnek verin; kural yoksa kontrolsüz kullanımın sorumluluğu işverene kalabilir.

2. 2

   Onaylı araçları ve hesapları sayın: hangi araç, hangi iş ve amaç için, hangi koşulla. Çalışanlar yalnızca şirketin belirlediği araçlara erişsin; kişisel hesap değil şirketin sağladığı hesaplar kullanılsın, özel kullanım olmasın, model eğitimi için veri paylaşımı kapatılsın.

3. 3

   Girilmeyecek verileri açıkça yazın: kişisel veriler, ticari sırlar, müşteri dosyaları, İK verileri ve şirket içi yazışmalar. KVKK'nın aktardığı bazı kurum politikaları beyin fırtınasına, dil düzeltmeye ve herkese açık web içeriğini özetlemeye ancak bu tür veri yoksa izin veriyor. Adları, tarihleri ve yerleri genelleştirin; bağlam kişiyi hâlâ tanıtıyorsa adı silmek yetmez.

4. 4

   İnsan kontrolünü yazın: yapay zeka çıktısı kararı destekler, nihai kararın tek dayanağı olmaz. Çıktı doğruluk ve önyargı açısından kontrol edilsin; kişiler hakkında hukuki sonuç doğuran otomatik kararlar verilmesin.

5. 5

   Şeffaflığı yazın: müşteriyle bir sohbet botu konuşuyorsa kişi yapay zekayla konuştuğunu açıkça bilmeli; 6698 sayılı Kanun'un 10. maddesindeki aydınlatma yükümlülüğü de geçerli. AB Yapay Zeka Yasası da deepfake içeriklerin yapay zekayla üretildiğinin belirtilmesini istiyor.

6. 6

   Güvenliği ve erişimi yazın: erişim rol ve ihtiyaca göre verilsin, araçlar yalnızca şirket cihazlarından ve çok adımlı doğrulamayla kullanılsın, onaylanmamış platformlar ağ düzeyinde sınırlansın.

7. 7

   Eğitimi yazın: çalışanlar kullanım alanlarını, riskleri ve çıktıyı eleştirel okumayı öğrensin. Verilen eğitimlerin kaydını tutun; Avrupa Komisyonu sertifika gerekmediğini söylüyor ve şirket içi bir kayıt tutmayı öneriyor.

8. 8

   Bildirim yolunu yazın: çalışanların yanlışlıkla girilen bir veriyi ya da şüpheli bir durumu bildirebileceği bir kanal kurun. Kişisel veri ihlali, öğrenildiği andan itibaren en geç 72 saat içinde KVKK Kurulu'na bildirilmeli, etkilenen kişilere de en kısa sürede haber verilmeli.

9. 9

   Sahibini ve gözden geçirme tarihini yazın: politikayı kimin yönettiğini ve onayladığını (varsa veri koruma sorumlusunu) belirtin, çalışanların geri bildirimiyle düzenli gözden geçirin ve güncellemeleri hemen duyurun.

Şablonun kısa hali

[Şirket adı] Yapay Zeka Kullanım Politikası
Sürüm: [1.0] · Yürürlük: [tarih] · Sahibi: [birim ya da kişi] · Gözden geçirme: [tarih]

1. Kapsam: Bu politika, çalışanların iş için kullandığı üretken yapay zeka araçlarını kapsar.
2. Onaylı araçlar: [araç] yalnızca şirket hesabıyla ve [işler] için kullanılır. Listede olmayan bir araç için [birim] onayı gerekir.
3. Girilmeyecek bilgiler: müşterilerin ve çalışanların kişisel verileri, sağlık ve finans bilgileri, ticari sırlar, sözleşmeler, şirket içi yazışmalar.
   İzin verilen işler: kişisel veri içermeyen metinlerde taslak, dil düzeltme, özet ve beyin fırtınası.
4. İnsan kontrolü: Yapay zeka çıktısı kullanılmadan önce bir çalışan tarafından kontrol edilir. Kişileri etkileyen kararlar yalnızca yapay zekaya dayanmaz.
5. Şeffaflık: Müşteriyle yapay zeka aracılığıyla iletişim kurulduğunda bu açıkça belirtilir.
6. Güvenlik: Erişim rol ve ihtiyaca göre verilir. Araçlar yalnızca şirket cihazlarından ve çok adımlı doğrulamayla kullanılır.
7. Eğitim: Araç kullanan her çalışan [eğitim] alır; kayıtları [birim] tutar.
8. Bildirim: Yanlışlıkla girilen bir veri ya da şüpheli bir durum hemen [kanal] üzerinden bildirilir.
9. Gözden geçirme: Politika [altı ayda bir] ve araçlar değiştiğinde güncellenir; değişiklikler [kanal] üzerinden duyurulur.