Şirketler İçin AI Kullanım Politikası Nasıl Hazırlanır?

Politikanın temel bileşenleri

İyi bir politika; onaylı araç listesi, veri sınıflandırması (paylaşılabilir/paylaşılamaz), kullanım kuralları, sorumluluklar ve ihlal durumunda izlenecek adımları içerir.

Politika statik bir doküman değildir; yeni araçlar ve senaryolar geldikçe güncellenmeli ve düzenli eğitimlerle desteklenmelidir.

Politika Adım Adım Nasıl Hazırlanır?

İlk adım mevcut durumu çıkarmaktır: kurumda hangi yapay zekâ araçlarının kullanıldığı, bunları hangi birimlerin hangi işler için kullandığı ve bu araçlara hangi tür verilerin girildiği tespit edilmelidir. Resmî olarak onaylanmamış ancak fiilen kullanılan araçlar da bu tespite dahil edilmelidir.

İkinci adımda her araç için risk değerlendirmesi yapılır. Değerlendirmede tedarikçinin veri işleme ve saklama koşulları, girilen verinin eğitim amacıyla kullanılıp kullanılmadığı ve verinin yurt dışına aktarılıp aktarılmadığı incelenir. Sonuç, onaylı araç listesine kaydedilir.

Üçüncü adımda kurallar yazılır: hangi aracın hangi veri sınıfıyla kullanılabileceği, yasak kullanımlar, çıktıların insan tarafından kontrol edilmesi zorunluluğu ve kural ihlalinde izlenecek yol. Son adım, metnin üst yönetim onayıyla yayımlanması ve tüm çalışanlara duyurulmasıdır.

Hazırlık sürecine yalnız hukuk ve bilgi teknolojileri birimleri değil, aracı en çok kullanan birimler de katılmalıdır. İnsan kaynakları, müşteri hizmetleri, pazarlama ve yazılım ekipleri farklı veri türleriyle çalışır; kuralların bu ekiplerin gerçek iş akışına uyması, politikanın uygulanabilirliğini artırır.

Veri Sınıflandırması Nasıl Kurgulanır?

Politikanın en kritik bölümü veri sınıflandırmasıdır; çünkü çalışan, bir aracı kullanmadan önce elindeki verinin hangi sınıfa girdiğini hızla anlayabilmelidir. Sınıf sayısı az ve tanımlar örnekli olmalıdır.

Pratik bir ayrım şöyle kurulabilir: kamuya açık bilgiler, kurum içi ancak kişisel veri içermeyen bilgiler, kişisel veri içeren bilgiler ve özel nitelikli kişisel veriler ile ticari sır niteliğindeki bilgiler. Her sınıf için hangi araçların kullanılabileceği açıkça yazılmalıdır.

Kişisel veri içeren bilgiler için varsayılan kural, verinin girilmeden önce anonimleştirilmesi veya yalnızca sözleşmesel güvencesi netleşmiş kurumsal araçlarda kullanılmasıdır. Özel nitelikli kişisel veriler için ayrı ve daha sıkı bir onay süreci tanımlanmalıdır.

Sınıflandırma, veri işleme envanteriyle uyumlu olmalıdır. Envanterde yer alan veri kategorileri ile politikadaki sınıflar aynı dili kullanırsa, çalışan hangi verinin hangi sınıfa girdiğini daha kolay belirler ve denetimde tutarlılık gösterilebilir.

Politikaya kısa bir örnek tablosu eklemek de faydalıdır. Örneğin bir kampanya metninin genel taslağı paylaşılabilir; müşteri listesi, çalışan performans notları veya hasta bilgisi içeren bir metin ise onaylı kurumsal araç dışında hiçbir araca girilemez. Somut örnekler, soyut tanımlardan daha hızlı akılda kalır.

Sınıflandırma kuralları yalnızca metin girişine değil, dosya yüklemeye, ekran görüntüsü paylaşmaya ve tarayıcı eklentilerine de uygulanmalıdır. Bir eklentinin açık olan sayfa içeriğini okuyabilmesi, çalışan farkında olmadan kişisel verinin bir yapay zekâ hizmetine gitmesine yol açabilir.

Politikayı Uygulamak ve Güncel Tutmak

Yayımlanan bir politika, çalışan onu bilmiyorsa koruma sağlamaz. Bu nedenle politika eğitimle birlikte devreye alınmalı; eğitimde gerçek iş senaryolarından örnekler kullanılmalı ve katılım kayıt altına alınmalıdır.

Politikanın uygulanıp uygulanmadığı da izlenmelidir. Onaylı araç listesi dışındaki kullanımların tespiti, kurumsal hesaplarla erişimin sağlanması ve düzenli iç kontroller bu izlemenin temel araçlarıdır.

Gözden geçirme için belirli bir takvim belirlenmeli ve yeni bir araç devreye alındığında, mevcut bir aracın koşulları değiştiğinde ya da mevzuatta bir gelişme olduğunda politika ayrıca güncellenmelidir. Her güncelleme, sürüm ve tarih bilgisiyle kayıt altına alınmalıdır.

Kural ihlali durumunda izlenecek adımlar da önceden yazılmalıdır. Bir çalışan onaysız bir araca kişisel veri girdiğinde durumu kime bildireceğini, bildirimin ne kadar hızlı yapılacağını ve olayın veri ihlali olarak değerlendirilip değerlendirilmeyeceğine kimin karar vereceğini bilmelidir. Bu adımlar, kurumun genel veri ihlali müdahale süreciyle uyumlu olmalıdır.

Politikanın sonunda kısa bir kontrol listesi bulunması, günlük kullanımı kolaylaştırır. Bu liste şu soruları içerebilir: Kullandığım araç onaylı listede mi? Girdiğim veri hangi sınıfa giriyor? Kişisel veriyi çıkarabilir miyim? Çıktıyı kullanmadan önce kontrol ettim mi? Bir sorun olursa kime haber vereceğim? Çalışanların bu soruları her kullanımdan önce kendilerine sorması, politikanın en somut uygulama biçimidir.

Sık Sorulan Sorular