Kısa cevap: Yapay zekâyı şirkette güvenli kullanmak için önce hangi araçların onaylı olduğunu belirleyin, ardından hangi bilgilerin bu araçlara asla girilmeyeceğini yazılı bir kullanım politikasıyla netleştirin. Kurumsal hesaplar ve doğru erişim yetkileriyle çalışın, yapay zekâ çıktılarını insan kontrolünden geçirin, kişisel veri içeren kullanımları KVKK açısından değerlendirin ve çalışanları düzenli eğitin.
Yapay zekâ şirketlere hangi riskleri getirir?
- Veri sızıntısı: Çalışanlar müşteri listelerini, teklifleri, sözleşmeleri veya kaynak kodunu herkese açık yapay zekâ araçlarına yapıştırabilir. Bazı ücretsiz araçlarda girilen veriler hizmet sağlayıcı tarafından saklanabilir veya model geliştirmede kullanılabilir.
- Gölge yapay zekâ (shadow AI): BT’nin haberi olmadan kişisel hesaplarla kullanılan araçlar; neyin nereye gittiğini kimse bilmez.
- Hatalı ya da uydurma çıktılar: Yapay zekâ modelleri kendinden emin biçimde yanlış bilgi üretebilir. Kontrol edilmeden müşteriye giden bir rapor ciddi sorun yaratır.
- Aşırı paylaşım: Şirket verilerine bağlanan yapay zekâ asistanları, kullanıcının teknik olarak erişebildiği ama erişmemesi gereken dosyaları da özetleyebilir. Yani mevcut yetki karmaşası yapay zekâyla görünür hale gelir.
- İstem enjeksiyonu (prompt injection): Bir belgeye veya web sayfasına gizlenmiş talimatlar, yapay zekâ aracını beklenmedik işler yapmaya yönlendirebilir.
- Fikri mülkiyet ve gizlilik: Üretilen içeriğin telif durumu ve gizli bilgilerin üçüncü taraflarla paylaşılması hukuki sorular doğurur.
- Daha ikna edici saldırılar: Saldırganlar da yapay zekâ ile kusursuz Türkçe oltalama e-postaları ve ses taklitleri üretebiliyor.
Adım adım güvenli yapay zekâ kullanımı
- Mevcut kullanımı tespit edin. Hangi ekip hangi aracı, hangi amaçla kullanıyor? Kısa bir anket ve ağ trafiği incelemesi gölge kullanımı ortaya çıkarır.
- Onaylı araç listesi oluşturun. Veri işleme koşulları, saklama süreleri, verinin model eğitiminde kullanılıp kullanılmadığı ve sunucu konumu değerlendirilerek araçlar seçilir. Mümkünse kurumsal sözleşmeli sürümler tercih edilir.
- Kullanım politikası yazın. Hangi veri sınıflarının (kişisel veri, müşteri sırrı, finansal veriler, kaynak kod) hangi araçlara girilebileceği açıkça belirtilir. Politika kısa, anlaşılır ve örneklerle desteklenmiş olmalıdır.
- Verileri sınıflandırın. “Gizli”, “iç kullanım”, “genel” gibi etiketler, çalışanın neyi paylaşabileceğini anlamasını kolaylaştırır ve teknik kontrollere temel oluşturur.
- Erişim yetkilerini düzeltin. Şirket verilerine bağlanan bir yapay zekâ asistanını devreye almadan önce dosya paylaşımları ve yetkiler gözden geçirilmelidir.
- Teknik kontroller ekleyin. Kurumsal kimlikle oturum açma, MFA, veri sızıntısı önleme (DLP) kuralları, onaysız araçlara erişimin sınırlanması ve kullanım loglarının izlenmesi.
- İnsan kontrolünü zorunlu kılın. Müşteriye, kamuya veya karar süreçlerine giden her yapay zekâ çıktısı bir sorumlu tarafından doğrulanmalıdır.
- KVKK açısından değerlendirin. Kişisel veri içeren kullanımlarda hukuki sebep, aydınlatma, yurt dışına aktarım ve otomatik karar alma konuları ele alınmalıdır. Kişisel Verileri Koruma Kurumu’nun yapay zekâ alanında yayımladığı tavsiyeler de yol gösterici bir kaynaktır.
- Çalışanları eğitin. Kısa, örnek odaklı eğitimlerle neyin yapılabileceği ve neyin yapılmaması gerektiği anlatılır.
- Düzenli gözden geçirin. Araçlar ve kurallar hızla değiştiği için politika ve araç listesi periyodik olarak güncellenir.
Pratik örnekler: neye evet, neye hayır?
- Uygun: Kamuya açık bilgilerle blog taslağı hazırlamak, genel bir e-postanın dilini düzeltmek, anonimleştirilmiş verilerle analiz fikri almak, kurumsal ve onaylı araçla iç dokümanları özetlemek.
- Dikkat gerektirir: Müşteri adıyla teklif metni hazırlamak, iç raporları özetletmek, kod yazdırmak; yalnızca onaylı araçlarla ve çıktı kontrolüyle yapılmalıdır.
- Uygun değil: Müşteri veya çalışan listelerini, sağlık bilgilerini, sözleşmeleri, parolaları ya da gizli kaynak kodu kişisel hesaplı herkese açık araçlara yapıştırmak.
Bu tür somut örnekler, uzun politika metinlerinden çok daha akılda kalıcıdır ve çalışanların gri alanlarda doğru karar vermesine yardımcı olur. Örnek listesini, ekiplerden gelen sorularla düzenli olarak güncellemek de politikanın canlı kalmasını sağlar.
Kullanım politikasında olması gerekenler
- Onaylı araçlar ve bu araçlara kurumsal hesapla erişim zorunluluğu,
- Paylaşılması yasak veri türleri ve somut örnekler,
- Çıktıların doğrulanması ve kaynak gösterilmesi kuralları,
- Müşteriye yönelik içerikte yapay zekâ kullanımının nasıl ele alınacağı,
- Bir hata ya da veri paylaşımı fark edildiğinde bildirim yolu,
- Politikanın sahibi ve gözden geçirme sıklığı.
Yönetişim çerçevesi: ISO/IEC 42001
Yapay zekâyı ürünlerinde ya da süreçlerinde yoğun kullanan şirketler için ISO/IEC 42001, yapay zekâ yönetim sistemi kurmaya yönelik uluslararası bir standarttır. Risk değerlendirmesi, sorumluluklar, şeffaflık ve sürekli iyileştirme gibi konuları sistematik hale getirir ve ISO/IEC 27001 ile birlikte uygulanabilir. Ayrıntılı bilgi için ISO 42001 rehberimize bakabilirsiniz. Avrupa Birliği’ne ürün veya hizmet sunan şirketlerin AB’nin yapay zekâ düzenlemesini de takip etmesi gerekir; güncel yükümlülükleri hukuk danışmanınızla teyit edin.
Sık yapılan hatalar
- Yapay zekâyı tamamen yasaklamak; bu genellikle kullanımı ortadan kaldırmaz, gizli kullanıma iter.
- Kurallar koymadan herkese serbest bırakmak.
- Şirket verilerine bağlanan asistanları, yetkileri düzeltmeden devreye almak.
- Yapay zekâ çıktısını kontrol etmeden müşteriye veya kamuya sunmak.
- Kişisel veri içeren kullanımları KVKK açısından hiç değerlendirmemek; bkz. KVKK nedir.
Racoun nasıl yardımcı olur?
Racoun, yapay zekâyı hem pazarlama hem de teknoloji tarafında kullanan bir ekip olarak, şirketlerin bu araçları kontrollü biçimde benimsemesine yardımcı olur. Racurity çatısı altında ISO 42001 yapay zekâ yönetim sistemi danışmanlığı, DLP ile veri sızıntısı önleme ve dijital dönüşüm danışmanlığı sunuyoruz. Şirketinize özel yapay zekâ entegrasyonları için ise kurumsal yazılım ekibimiz devrede.
Sık sorulan sorular
Çalışanların ChatGPT gibi araçları kullanmasını yasaklamalı mıyız?
Tam yasak genellikle işe yaramaz ve gizli kullanıma yol açar. Daha etkili yol, onaylı kurumsal araçlar sunmak, hangi verilerin paylaşılamayacağını netleştirmek ve teknik kontrollerle desteklemektir.
Yapay zekâ araçlarına kişisel veri girmek KVKK’ya aykırı mı?
Otomatik olarak aykırı değildir ama dikkatli değerlendirme gerektirir: hukuki sebep, aydınlatma, hizmet sağlayıcının veri kullanımı ve yurt dışına aktarım kuralları ele alınmalıdır. Somut kullanım için hukuki görüş alınması önerilir.
Kurumsal yapay zekâ sürümleri neden daha güvenli?
Kurumsal sürümler genellikle verilerin model eğitiminde kullanılmamasını, yönetici denetimini, merkezi kullanıcı yönetimini ve kayıt tutmayı sağlar. Yine de sözleşme koşullarının ve yapılandırmanın kontrol edilmesi gerekir.
Racoun ile konuşun: İstanbul merkezli ekibimizle Türkiye genelindeki markalara hizmet veriyoruz. WhatsApp üzerinden yazabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.
