Şirket İçi Yapay Zekâ Kullanım Politikası: KVKK ve Veri Güvenliği

Kısa cevap: Şirket içi yapay zekâ kullanım politikası, çalışanların ChatGPT, Gemini, Copilot gibi üretken yapay zekâ araçlarını hangi işler için, hangi hesapla ve hangi veriyle kullanabileceğini yazılı hale getiren iç kuraldır. Politikanın çekirdeği üç sorudur: hangi araç onaylı, hangi veri o araca girebilir ve çıktıyı kim kontrol eder. KVKK'nın 24 Kasım 2025'te yayımladığı üretken yapay zekâ rehberi, 6698 sayılı Kanun'un bu araçlar için de aynen geçerli olduğunu ve yurt dışındaki bir sağlayıcıya kişisel veri girmenin 9. maddedeki aktarım kurallarına tabi olduğunu açıkça hatırlatıyor. AB'ye satış yapıyorsanız AB Yapay Zekâ Yasası'nın (AI Act) 2 Ağustos 2026'dan beri genel olarak uygulandığını da hesaba katmalısınız. Bir KOBİ için gerçekçi başlangıç; tek sayfalık bir kural metni, dört kademeli veri sınıflandırması, kurumsal hesaplardan oluşan kısa bir onaylı araç listesi ve yarım günlük bir eğitimdir.

Önemli not: Bu yazı genel bilgilendirme amaçlıdır, hukuki tavsiye değildir. Kasım 2026 itibarıyla yürürlükteki mevzuata, Kişisel Verileri Koruma Kurumu yayınlarına, Avrupa Komisyonu'nun resmi sayfalarına ve yapay zekâ sağlayıcılarının kendi gizlilik belgelerine dayanır. Şirketinize özel politika metnini, hukuki sebep seçimini, yurt dışı aktarım mekanizmasını ve disiplin hükümlerini bir avukat ya da KVKK danışmanıyla birlikte netleştirin.

Şirket içi yapay zekâ kullanım politikası nedir?

Şirket içi yapay zekâ kullanım politikası, üretken yapay zekâ araçlarının iş yerinde nasıl kullanılacağını belirleyen, çalışanın okuyup imzaladığı ya da onayladığı yazılı bir iç düzenlemedir. Bilgi güvenliği politikasının, KVKK uyum dokümanlarının ve iş sözleşmesindeki gizlilik hükümlerinin üretken yapay zekâya uyarlanmış halidir. Amacı yasaklamak değil, aracın faydasını güvenli bir çerçevede şirkete kazandırmaktır.

Üretken yapay zekâ (İngilizce generative AI), kendisine yazılan bir isteme (prompt) göre metin, görsel, ses, video ya da yazılım kodu üreten sistemlerin genel adıdır. ChatGPT, Gemini, Microsoft Copilot ve benzeri sohbet tabanlı araçlar bu grubun en bilinen örnekleridir. Bu araçların ortak noktası, çalışanın ekrana yazdığı her şeyin şirket dışındaki bir sunucuda işlenmesidir; politika ihtiyacı da tam olarak buradan doğar.

Politika neyi düzenler, neyi düzenlemez?

Bu tür bir politika, çalışanların hazır yapay zekâ araçlarını günlük işlerde kullanmasını düzenler: e-posta taslağı yazmak, rapor özetlemek, teklif metni hazırlamak, kod hatası aramak, görsel taslağı üretmek gibi. Şirketin kendi geliştirdiği yapay zekâ ürünlerini, otomatik karar veren sistemleri ya da kendi başına iş yürüten yazılım ajanlarını ise ayrı bir yönetişim belgesi düzenlemelidir.

Kendi adına işlem yapan sistemleri merak ediyorsanız yapay zekâ ajanlarının işletmelere uyarlanması yazımız bu farkı ayrıntılı anlatıyor. Şirkete özel bir yapay zekâ uygulaması yaptırmayı düşünüyorsanız yapay zekâ destekli özel yazılım rehberi daha doğru başlangıç noktasıdır. Bu yazı yalnızca çalışanın hazır araçla kurduğu ilişkiye odaklanıyor.

Yapay zekâyı tamamen yasaklamak neden işe yaramaz?

Tam yasak, kullanımı ortadan kaldırmaz; yalnızca görünmez hale getirir. Çalışan, işini hızlandıran aracı kendi telefonundan ve kişisel hesabından kullanmaya devam eder, şirket de hangi verinin nereye gittiğini hiç öğrenemez. Bu duruma gölge yapay zekâ (shadow AI) denir.

Microsoft ile LinkedIn'in Mayıs 2024'te yayımladığı 2024 Work Trend Index araştırmasına göre iş yerinde yapay zekâ kullananların yüzde 78'i kendi araçlarını işe getiriyor; küçük ve orta ölçekli işletmelerde bu oran yüzde 80'e çıkıyor. Aynı araştırma, iş yerinde yapay zekâ kullananların yalnızca yüzde 39'unun şirketinden bu konuda eğitim aldığını gösteriyor. Rakamlar 31 ülkedeki 31.000 kişilik ankete dayanıyor ve 2024 verisi; Türkiye'deki tabloyu birebir yansıtmayabilir ama yönü açık: kural yoksa kullanım yine var, sadece kontrolsüz.

Bu yüzden iyi bir politika "kullanmayın" yerine "şu araçla, şu veriyle, şu kontrolle kullanın" der. Yasak listesi kısa ve net, izinli kullanım alanı ise geniş ve somut olduğunda çalışanlar kurala uymayı daha kolay benimser.

Çalışanlar yapay zekâyı kurala bağlanmadan kullanınca hangi riskler doğar?

Kuralsız kullanımın altı temel riski vardır: kişisel veri sızıntısı, ticari sırrın şirket dışına çıkması, halüsinasyon denen kendinden emin yanlışlar, telif ve fikri mülkiyet belirsizliği, önyargılı çıktılar ve kimsenin haberdar olmadığı gölge kullanım. KVKK'nın rehberi de risk başlıklarını benzer şekilde sıralıyor: hatalı ve tutarsız çıktılar, ön yargı, verilerin gizliliği ve güvenliği, fikri mülkiyet ihlalleri ve manipülatif derin sahte (deep fake) içerikler.

Müşteri ve çalışan verisi girişi

En sık ve en ağır risk, çalışanın bir müşteri şikâyetini, bir bordro tablosunu ya da bir adayın özgeçmişini olduğu gibi sohbet penceresine yapıştırmasıdır. Ad, telefon, adres, sipariş numarası, IBAN, sağlık bilgisi içeren her metin kişisel veridir ve araca girildiği anda şirket adına bir veri işleme faaliyeti başlar. Bireysel hesaplarda bu verinin model geliştirme için kullanılması ya da insan incelemecilerin önüne düşmesi mümkündür; ayrıntıları aşağıda sağlayıcı bazında anlatıyoruz.

Ticari sır ve gizli bilgi sızıntısı

Kişisel veri olmasa bile maliyet tablosu, teklif fiyatı, tedarikçi listesi, reçete, kaynak kodu, ihale dosyası ya da yatırım planı şirketin en değerli bilgileridir. Bir çalışanın "şu teklifi daha ikna edici yaz" diyerek fiyat ve iskonto koşullarını kişisel bir hesaba yapıştırması, gizlilik sözleşmesine (NDA) aykırı olabilir. Müşterinizle imzaladığınız sözleşmede "bilgiler üçüncü kişilerle paylaşılmaz" hükmü varsa, yapay zekâ sağlayıcısı da o üçüncü kişi sayılabilir.

Halüsinasyon: kendinden emin yanlış

Halüsinasyon, yapay zekânın gerçekte olmayan bir bilgiyi akıcı ve ikna edici bir dille üretmesidir. KVKK rehberi bunu, içtihat araştıran bir avukatın gerçekte var olmayan mahkeme kararları ve alıntılarla karşılaşması örneğiyle anlatıyor. İş hayatındaki karşılığı; yanlış mevzuat maddesi, uydurulmuş istatistik, hatalı hesaplanmış iskonto ya da var olmayan bir ürün özelliğidir. Rehberin vurguladığı nokta önemlidir: bu modeller istemi anlamaz, eğitildikleri veriden istatistiksel olarak en olası çıktıyı üretir.

Telif ve fikri mülkiyet belirsizliği

Yapay zekâ ile üretilen bir metin, görsel ya da kodun kime ait olduğu ve başkasının eserine fazla benzeyip benzemediği her zaman net değildir. Fikir ve Sanat Eserleri Kanunu eseri, "sahibinin hususiyetini taşıyan" fikir ve sanat ürünü olarak tanımlar; insan katkısı olmadan üretilen içeriğin bu tanıma girip girmeyeceği Türk hukukunda tartışmalıdır. Pratik sonuç şudur: logo, slogan, ambalaj tasarımı gibi tescil ya da koruma isteyeceğiniz işleri yalnızca yapay zekâya bırakmayın ve sağlayıcının çıktı sahipliği koşullarını okuyun.

Önyargı ve ayrımcı çıktı

Modeller eğitim verisindeki dengesizlikleri çıktılarına yansıtabilir. KVKK rehberindeki örnekte bir görsel üretim aracı "doktor" denince çoğunlukla erkek, "hemşire" denince çoğunlukla kadın figür üretiyor. İnsan kaynaklarında aday değerlendirmesi, kredi ya da vade kararı, müşteri segmentasyonu gibi alanlarda bu eğilim doğrudan ayrımcılık riskine dönüşür.

Gölge yapay zekâ

Gölge yapay zekâ, BT ya da yönetimin haberi olmadan kişisel hesaplar, tarayıcı eklentileri ve mobil uygulamalar üzerinden yürüyen kullanımdır. Asıl tehlike, bir veri ihlali yaşandığında şirketin hangi bilginin hangi sağlayıcıya gittiğini bile bilememesidir. Toplantıya otomatik katılıp kayıt alan not uygulamaları ve e-postanıza erişim isteyen eklentiler bu grubun en riskli üyeleridir.

KVKK'nın üretken yapay zekâ rehberi ne diyor?

Kişisel Verileri Koruma Kurumu, "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)" başlıklı belgeyi 24 Kasım 2025'te internet sitesinde yayımladı; belge Kurum yayınları arasında 113 numarayla yer alıyor. Rehberin ana mesajı, 6698 sayılı Kanun'un teknolojiden bağımsız olduğu ve yapay zekâ sistemlerinin yaşam döngüsünün herhangi bir aşamasında kişisel veri işleniyorsa Kanun'un aynen uygulanacağıdır. Belgenin tamamına KVKK'nın rehber sayfasından ulaşabilirsiniz.

Rehber üç bölümden oluşuyor: üretken yapay zekânın nasıl çalıştığını, kullanım alanlarını ve risklerini anlatan temel kavramlar; geliştirme ve kullanım süreçlerinde veri sorumlularının dikkat etmesi gerekenleri ele alan hukuki değerlendirme; bireyler ve çocuklarını korumak isteyen ebeveynler için öneriler. Rehber bağlayıcı bir yönetmelik değildir, ancak Kurum'un bu alandaki bakış açısını gösterdiği için şirket politikanızı yazarken temel referansınız olmalıdır.

Siz kişisel veri girmeseniz bile işleme olabilir mi?

Evet, rehbere göre girdi kişisel veri içermese bile çıktı içeriyorsa veri işleme söz konusu olabilir. Rehberdeki örnekte bir kullanıcı "ünlü bir Türk fizikçinin başarı hikâyesini anlat" diye genel bir istem yazıyor, model ise gerçek bir kişinin adını, çalışma geçmişini ve ödüllerini üretiyor; Kurum, bu faaliyetin kişisel veri işleme kapsamında değerlendirilebileceğini belirtiyor. Buna karşılık yalnızca "yaz indirimi temalı afiş" gibi genel temalarla görsel üreten bir tasarım ajansı örneğinde, girdide ve çıktıda kimliği belirlenebilir kişi olmadığı için kural olarak kişisel veri işleme yok.

Politika açısından anlamı şudur: çalışanlarınıza yalnızca "kişisel veri girmeyin" demek yetmez, "çıktıda gerçek kişilere dair bilgi çıkarsa onu doğrulamadan kullanmayın ve yayımlamayın" kuralını da eklemelisiniz.

Aracı kullanan şirket veri sorumlusu mu?

Çoğu durumda evet. Rehberdeki örnekte bir şirketin insan kaynakları birimi, özgeçmişleri ve motivasyon mektuplarını özetleyip ön değerlendirme puanı üreten bir dil modeli kullanıyor; sisteme hangi verinin yükleneceğine ve çıktının nasıl kullanılacağına şirket karar verdiği için şirket, bu işleme bakımından veri sorumlusu olarak değerlendirilebiliyor. Rehber ayrıca rollerin sözleşmedeki ifadelere göre değil, fiili kontrole ve karar yetkisine göre belirleneceğini vurguluyor.

Bunun pratik sonucu açıktır: çalışanınız müşteri verisini bir yapay zekâ aracına girdiğinde sorumluluk "çalışanın kişisel tercihi" olarak kalmaz, şirketinize döner. Kanun'un 12. maddesi de veri sorumlusunun, verinin kendi adına başka biri tarafından işlenmesi halinde güvenlik tedbirlerinden o kişiyle birlikte müştereken sorumlu olduğunu söyler.

Genel ilkeler yapay zekâ kullanımına nasıl uygulanır?

Kanun'un 4. maddesindeki genel ilkeler (hukuka ve dürüstlük kurallarına uygunluk, doğruluk, belirli ve meşru amaç, amaçla bağlantılı ve ölçülü olma, gerektiği kadar saklama) yapay zekâ kullanımında da birebir geçerlidir. Rehber bu ilkeleri somut örneklerle açıyor ve bazıları doğrudan şirket politikasına çevrilebilecek netlikte.

• Amaç belirliliği: "Yapay zekâ sistemlerimizde kullanmak" ya da "veri tabanımızı geliştirmek" gibi muğlak amaç ifadeleri, rehbere göre belirli ve açık amaç ilkesine aykırı olabilir.
• Doğruluk: Müşteri şikâyetlerini özetleyen bir modelin bazı özetlerde bağlamdan kopması ve kişisel verileri eksik ya da hatalı yansıtması, rehberde doğruluk ilkesine aykırılık örneği olarak geçiyor; çözüm olarak çıktıların düzenli gözden geçirilmesi ve insan gözetimi öneriliyor.
• Saklama: Müşteri destek yazışmalarıyla model eğiten bir e-ticaret platformunun bu kayıtları "ileride yeni sürümler geliştirilebilir" gerekçesiyle belirsiz süre saklaması, rehberde açıkça ilkeye aykırılık örneği olarak veriliyor.
• Ölçülülük: İşe alım için kullanılacak geçmiş başvuru verilerinde yalnızca sistemin amacına ulaşması için gerekli olanların işlenmesi gerektiği vurgulanıyor.

Rehber hangi güvenlik tedbirlerini öneriyor?

Rehberin 13. sorusu, Kanun'un 12. maddesindeki teknik ve idari tedbir yükümlülüğünü yapay zekâya uyarlıyor ve örnek bir tedbir listesi sunuyor. Bu liste, şirket politikanızın "güvenlik" maddesini yazarken doğrudan kontrol listesi olarak kullanılabilir.

• Tasarımdan itibaren ve varsayılan olarak mahremiyet yaklaşımı.
• Riskleri tanımlamak için veri koruma etki değerlendirmesi (rehber bunu iyi uygulama örneği olarak sunuyor).
• İstem enjeksiyonu (prompt injection), jailbreak girişimleri ve benzeri bilinen zafiyetlere karşı teknik kontroller.
• Çalışanlara yönelik bilinçlendirme ve eğitim süreçleri.
• Yama yönetimi ve yazılım güncellemeleri.
• Çok faktörlü kimlik doğrulama.
• İşlem kayıtlarının ve sistem günlüklerinin güvenli ve denetlenebilir biçimde saklanması.

Yapay zekâ aracına veri girmek yurt dışına aktarım sayılır mı?

Sunucuları Türkiye dışında olan bir yapay zekâ aracına kişisel veri girmek, kural olarak kişisel verinin yurt dışına aktarılması anlamına gelir ve 6698 sayılı Kanun'un 9. maddesine tabidir. KVKK rehberi bunu açıkça söylüyor: Türkiye'de faaliyet gösteren veri sorumluları yurt dışında yerleşik hizmet sağlayıcılar aracılığıyla üretken yapay zekâ kullanıyor ve bu yolla kişisel veri yurt dışına aktarılıyorsa, aktarım 9. maddeye ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'e uygun yapılmalıdır. Yönetmelik 10 Temmuz 2024 tarihli Resmî Gazete'de yayımlandı.

ChatGPT, Gemini ve Copilot'un yaygın kullanılan sürümleri yurt dışındaki altyapılarda çalışır. Microsoft'un kendi belgesi de AB dışındaki müşterilerin sorgularının ABD'de, AB'de ya da başka bölgelerde işlenebileceğini belirtiyor. Yani sorunun cevabı çoğu şirket için "evet, aktarım var" olacaktır.

9. madde hangi yolları tanıyor?

2024'te değişen 9. madde, yurt dışına aktarımı üç kademeli bir yapıya bağlar. Önce yeterlilik kararına bakılır; yoksa uygun güvencelerden biri aranır; o da yoksa yalnızca arızi, yani düzenli olmayan durumlarda sınırlı istisnalar devreye girer.

Standart sözleşme imzalanırsa, imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerekir. Kurum bildirimler için internet üzerinden çalışan bir bildirim modülü de kullanıyor. Aktarım mekanizmalarının ayrıntısı için Kurum'un Kişisel Verilerin Yurt Dışına Aktarılması Rehberini okuyun; şirketinize uygun mekanizmayı bir uzmanla seçin.

Pratik karar: kişisel veriyi hangi araca girebilirsiniz?

Kısa cevap: düzenli bir aktarım dayanağı kurmadığınız hiçbir yurt dışı araca kişisel veri girmeyin. Bu kural ilk bakışta sert görünür ama işlerin büyük kısmı kişisel veri olmadan da yapılabilir: bir şikâyet e-postasına cevap taslağı yazdırmak için müşterinin adına, telefonuna ya da sipariş numarasına ihtiyaç yoktur.

1. Önce sorun: Bu iş kişisel veri olmadan yapılabilir mi? Cevap evetse veriyi çıkarın ya da maskeleyin.
2. Yapılamıyorsa, aracın kurumsal sürümü ve sağlayıcıyla imzalanmış bir veri işleme sözleşmesi var mı, bakın.
3. Aktarım için 9. maddedeki dayanak (yeterlilik kararı ya da uygun güvence) kurulmuş mu, KVKK sorumlunuza sorun.
4. Kurulmamışsa o işi yapay zekâ olmadan yapın ya da yurt içinde barındırılan bir çözüm arayın.
5. Özel nitelikli veri (sağlık, biyometrik, sendika üyeliği, ceza mahkûmiyeti gibi) hiçbir genel amaçlı sohbet aracına girilmez.

Anonimleştirme ve maskeleme ne zaman yeter?

Gerçekten anonim hale getirilmiş veri kişisel veri sayılmaz ve Kanun'un kapsamı dışında kalır; ancak rehber, anonim olduğu iddia edilen verinin gerçekten anonim olup olmadığının teknik yöntemler ve nesnel ölçütlerle ortaya konması gerektiğini vurguluyor. "Ahmet Bey" yerine "müşteri" yazmak çoğu zaman yeterli değildir; Kayseri'deki küçük bir sanayi sitesinde tek bir bayinin şikâyetini, adını silseniz bile şehir, ürün ve tarih bilgisiyle tanımak mümkündür.

Çalışanlar için uygulanabilir kural şudur: ad, soyad, telefon, e-posta, adres, T.C. kimlik numarası, IBAN, sipariş ve fatura numarası, plaka gibi doğrudan tanımlayıcıları silin; tarih, ilçe, unvan gibi dolaylı tanımlayıcıları genelleştirin ("12 Mart" yerine "geçen ay", "Talas şubesi" yerine "bir şube"). KVKK rehberinin bireylere yönelik önerisi de aynı yönde: olay anlatırken isim, tarih ve konum yerine soyut ve genel bir anlatım tercih etmek.

AB Yapay Zekâ Yasası (AI Act) Türk şirketlerini etkiler mi?

AB Yapay Zekâ Yasası, yapay zekâ sisteminin ürettiği çıktı AB'de kullanılıyorsa AB dışında kurulu sağlayıcı ve kullanıcıları da kapsayabilir; bu yüzden AB'ye ürün satan, AB'deki müşterilere hizmet veren ya da AB'li bir şirketin tedarikçisi olan Türk şirketleri için ilgilidir. Türkiye'deki bir ekibin yalnızca kendi iç yazışmalarında ChatGPT kullanması ise tek başına çoğu yükümlülüğü tetiklemez. Asıl sorular, ürettiğiniz içeriğin AB'deki kişilere ulaşıp ulaşmadığı ve yapay zekâyı yüksek riskli sayılan bir alanda kullanıp kullanmadığınızdır.

Yasa (Tüzük (AB) 2024/1689) 1 Ağustos 2024'te yürürlüğe girdi ve kademeli olarak uygulanıyor. Takvim 2026'da değişti: Kasım 2025'te önerilen "Digital Omnibus on AI" (AI Omnibus) paketi, Tüzük (AB) 2026/1744 olarak 24 Temmuz 2026'da AB Resmî Gazetesi'nde yayımlandı ve Avrupa Komisyonu'nun AI Act sayfasına göre 27 Temmuz 2026'da yürürlüğe girdi. En önemli değişiklik, yüksek riskli sistem kurallarının ertelenmesi oldu.

Tarihler Kasım 2026 itibarıyla Avrupa Komisyonu'nun resmi sayfasındaki ve Omnibus metnine dair kamuya açık değerlendirmelerdeki bilgilere dayanıyor. Bu takvim bir kez değişti, yeniden değişebilir; kesin uyum planı yapmadan önce Komisyon sayfasını ve EUR-Lex'teki güncel konsolide metni kontrol edin.

Yapay zekâ okuryazarlığı yükümlülüğü ne anlama geliyor?

Yasanın 4. maddesi, yapay zekâ sistemlerini sağlayan ve kullanan kuruluşların, bu sistemlerle çalışan personelinin yapay zekâ okuryazarlığını geliştirmek için önlem almasını ister ve 2 Şubat 2025'ten beri uygulanıyor. Omnibus sonrası değerlendirmelere göre ifade yumuşatıldı: yükümlülük kuruluşlarda kaldı, ancak her çalışan için belirli bir yetkinlik seviyesini garanti etme şartı aranmadığı açıkça yazıldı. Yani beklenen, bir sertifika değil; çalışanın kullandığı aracın sınırlarını, risklerini ve şirket kurallarını bilmesini sağlayan makul bir eğitimdir.

AB'deki bir müşteriniz ya da AB'li ana şirketiniz, tedarikçi denetiminde "yapay zekâ kullanım politikanız ve eğitim kayıtlarınız var mı?" diye sorabilir. Yazılı bir politika ve tarihli eğitim katılım listesi bu soruya verilecek en somut cevaptır.

Şeffaflık kuralları sohbet botu ve görselleri nasıl etkiler?

Yasanın şeffaflık hükümleri genel olarak üç şey ister: kişilerle doğrudan etkileşen sistemlerde kişinin bir yapay zekâyla konuştuğunu bilmesi, yapay zekâ ile üretilen sentetik içeriğin makinece okunabilir biçimde işaretlenmesi ve gerçek kişi, yer ya da olayları andıran derin sahte (deepfake) içeriği yayımlayanların bunun yapay olarak üretildiğini açıklaması. Bu yükümlülüklerin bir kısmı sağlayıcıya, bir kısmı içeriği kullanan şirkete düşer.

AB'deki müşterilerinize hizmet veren bir sohbet botunuz varsa, botun ilk mesajında yapay zekâ olduğunu söylemesi hem AI Act hem de KVKK rehberinin şeffaflık önerisiyle uyumlu, düşük maliyetli bir adımdır. Gerçek bir kişiyi andıran yapay zekâ ile üretilmiş reklam görsellerini ve videolarını ise politikanızda "açıklama zorunlu" sınıfına koyun.

İşe alımda yapay zekâ neden ayrıca önemli?

İstihdam, işe alım ve çalışan yönetimi, AI Act'in Ek III listesinde yüksek riskli kullanım alanları arasında sayılıyor ve bu alanın kuralları Omnibus ile 2 Aralık 2027'ye ertelendi. AB'de personel alan ya da AB'deki adayları değerlendiren bir Türk şirketi, özgeçmiş eleme, aday puanlama veya performans değerlendirmesi için yapay zekâ kullanacaksa bu tarihi şimdiden planına almalı. KVKK rehberinin özgeçmiş örneği de aynı alanı işaret ediyor; bu yüzden politikanızın İK bölümü diğer departmanlardan daha sıkı olmalı.

Türkiye'de yapay zekâya özel bir kanun var mı?

Kasım 2026 itibarıyla tespit edebildiğimiz kadarıyla Türkiye'de şirketlerin yapay zekâ kullanımını doğrudan düzenleyen, yürürlükte bir yapay zekâ kanunu bulunmuyor. 18 Ağustos 2026 tarihli Resmî Gazete'de yayımlanan 2026/9 sayılı Cumhurbaşkanlığı Genelgesi ile Türkiye Yapay Zekâ Eylem Planı (2026-2030) yürürlüğe girdi; ancak bu bir eylem planıdır, şirket içi kullanım için ayrıntılı kural seti getiren bir kanun değildir. Bugün şirket içi kullanımın temel çerçevesini 6698 sayılı Kanun, Kurul kararları, iş hukuku, ticari sır ve fikri mülkiyet kuralları ile sözleşmeleriniz oluşturuyor. Yeni bir düzenleme çıkıp çıkmadığını Resmî Gazete'den ve Kurum duyurularından takip edin.

İyi bir yapay zekâ kullanım politikasında hangi maddeler olmalı?

İyi bir yapay zekâ kullanım politikası en az on iki madde içerir: amaç ve kapsam, tanımlar, izinli kullanım, yasak kullanım, veri sınıflandırma, onaylı araç listesi, hesap ve ayar kuralları, insan onayı, kaynak ve doğrulama, müşteriye karşı şeffaflık, eğitim, ihlal ve bildirim. Bu maddeler birbirine bağlıdır; örneğin veri sınıflandırması olmadan "gizli bilgi girmeyin" kuralı çalışan için anlamsız kalır, çünkü neyin gizli olduğu tanımlanmamıştır.

Politikayı uzun bir hukuk metni gibi yazmak yerine, ana metni kısa tutup ayrıntıları eklere taşımak daha iyi çalışır. Ana metin ilkeleri söyler; ekler (veri sınıflandırma tablosu, onaylı araç listesi, departman örnekleri) daha sık güncellenir ve politikanın yeniden onaylanmasını gerektirmez.

Sonraki bölümlerde bu maddelerin en çok soru doğuranlarını, örnek ifadelerle birlikte tek tek açıyoruz.

Veri sınıflandırma tablosu nasıl hazırlanır?

Veri sınıflandırma tablosu, şirketteki bilgileri hassasiyetine göre birkaç sınıfa ayırır ve her sınıfın hangi yapay zekâ aracına girebileceğini tek bakışta gösterir. KOBİ'ler için dört sınıf yeterlidir: herkese açık, iç kullanım, gizli ve çok gizli. Sınıf adları trafik ışığı gibi renklerle eşleştirilirse çalışan karar anında tabloyu açmadan da hatırlar.

Tabloyu hazırlarken soyut tanımlar yerine kendi şirketinizden somut örnekler yazın. "Ticari sır" ifadesi çalışana bir şey anlatmaz; "maliyet tablosu, bayi iskonto listesi, kalıp çizimi" ise anlatır.

Kişisel veri için neden ayrı bir kural gerekir?

Kişisel veri, hassasiyet derecesinden bağımsız olarak kendi hukuki rejimine tabidir; bu yüzden sınıflandırma tablosuna ek olarak ayrı bir satırla ele alınmalıdır. Bir bayinin satın alma sorumlusunun adı ve cep telefonu numarası "gizli" görünmeyebilir ama kişisel veridir ve yurt dışındaki bir araca girildiğinde aktarım kuralları devreye girer. Politika metnine şu cümleyi doğrudan yazabilirsiniz: "Kişisel veri, sınıfı ne olursa olsun, yalnızca Ek-2'de 'kişisel veri girilebilir' olarak işaretlenmiş araçlara ve yalnızca gerekli olduğu ölçüde girilir."

Ek-2'de bu işareti alacak araç sayısı çoğu KOBİ'de sıfır ya da bir olacaktır. Bu bir eksiklik değil, bilinçli bir tercihtir: kişisel veri gerektiren işlerin çoğu, maskeleme ile ya da yapay zekâ olmadan yapılabilir.

Çalışan 10 saniyede nasıl karar verir?

Çalışanın her seferinde tabloya bakmasını beklemek gerçekçi değildir; bu yüzden politikaya üç soruluk bir hızlı kontrol ekleyin. Üç sorudan birine "evet" cevabı geliyorsa metin olduğu gibi yapıştırılmaz.

1. Bu metinde bir kişiyi tanıtan bilgi (ad, telefon, e-posta, adres, numara, fotoğraf) var mı?
2. Bu bilgi rakibin ya da kamuoyunun eline geçse şirkete zarar verir mi?
3. Bu bilgiyi bir müşteriyle ya da tedarikçiyle paylaşırken gizlilik taahhüdü vermiş miydik?

Aynı iş için riskli ve güvenli istem nasıl görünür?

Politikanın en akılda kalan kısmı genellikle somut istem örnekleridir. Aşağıdaki tablo, aynı işin kişisel veri ve ticari sır içermeden nasıl yaptırılabileceğini gösteriyor; kendi departmanlarınızdan örneklerle çoğaltın.

Onaylı araç listesi ve kurumsal sürüm ayarları nasıl belirlenir?

Onaylı araç listesi, şirketin kullanımına izin verdiği yapay zekâ araçlarını ad, sürüm, hesap türü, girilebilecek en yüksek veri sınıfı ve sorumlu kişi bilgisiyle sıralayan kısa bir tablodur. Listeye girecek araçlarda öncelik, sağlayıcının resmi belgelerinde iş verisini varsayılan olarak model eğitiminde kullanmadığını taahhüt ettiği, yöneticinin saklama ve erişim ayarlarını yönetebildiği kurumsal sürümlerdir. Liste kısa tutulmalı; her yeni araç bir değerlendirme sürecinden geçerek eklenmelidir.

Bireysel hesap ile kurumsal hesap arasındaki fark nedir?

En büyük fark, girdiğiniz verinin sağlayıcının modellerini geliştirmek için kullanılıp kullanılmadığı ve verinin kimin kontrolünde saklandığıdır. Aşağıdaki bilgiler, Kasım 2026 itibarıyla sağlayıcıların kendi resmi sayfalarından aktarılmıştır; koşullar sık değiştiği için karar vermeden önce güncel sayfayı ve imzaladığınız sözleşmeyi esas alın.

• OpenAI, kurumsal gizlilik sayfasında ChatGPT Business, Enterprise ve Edu çalışma alanlarındaki iş verisini varsayılan olarak model eğitiminde kullanmadığını, eğitimin yalnızca müşteri açıkça izin verirse yapıldığını belirtiyor; Enterprise'ta saklama politikası yönetici tarafından ayarlanabiliyor.
• OpenAI'ın veri kontrolleri sayfasına göre Free, Plus ve Pro gibi bireysel hesaplarda "Improve the model for everyone" (modeli herkes için geliştir) ayarı varsayılan olarak açık geliyor ve kapatılabiliyor; geçici sohbetler model eğitiminde kullanılmıyor ve 30 gün sonra siliniyor.
• Google'ın Gemini Apps gizlilik merkezi, bireysel hesaplarda sohbetlerin bir kısmının insan incelemeciler tarafından okunduğunu ve "bir incelemecinin görmesini istemeyeceğiniz gizli bilgileri girmeyin" uyarısını açıkça yapıyor. Etkinlik kaydetme ayarı (İngilizce arayüzde "Keep Activity") açıksa sohbetler üretken yapay zekâ modellerinin eğitimi dahil hizmet geliştirmede kullanılabiliyor; kapalıyken bile yeni sohbetler yanıt verebilmek için 72 saat saklanıyor.
• Google'ın Workspace gizlilik merkezine göre iş ya da okul hesabıyla kullanılan Gemini'de içerik, izin olmadan insan incelemesine sokulmuyor ve alan adınızın dışında model eğitimi için kullanılmıyor; mevcut Workspace korumaları otomatik uygulanıyor.
• Microsoft'un Copilot veri ve gizlilik belgesine göre istemler, yanıtlar ve Microsoft Graph üzerinden erişilen veriler temel dil modellerinin eğitiminde kullanılmıyor; Copilot yalnızca kullanıcının en az görüntüleme yetkisi olduğu kurum verisini yanıtlarında kullanıyor ve yöneticiler Microsoft Purview ile saklama politikası belirleyebiliyor.

Microsoft satırındaki son öneri gözden kaçmamalı: Copilot, kullanıcının erişim yetkisi olan her belgeyi yanıtında kullanabildiği için, yıllardır "herkesle paylaşılmış" duran bir maaş tablosu birden o dosyaya erişimi olan herkesin sorusuna cevap olabilir. Kurumsal yapay zekâyı açmadan önce dosya paylaşım izinlerini gözden geçirmek, en ucuz ve en etkili güvenlik adımıdır. Hangi ofis paketinin size uygun olduğuna karar vermediyseniz Microsoft 365 ile Google Workspace karşılaştırmamız iyi bir başlangıçtır; paket ve plan farkları için Google Workspace planları rehberine bakabilirsiniz. Güncel fiyatları her zaman sağlayıcının resmi sayfasından kontrol edin.

Bir aracı onaylamadan önce hangi sorular sorulmalı?

Yeni bir aracı listeye eklemeden önce BT ve KVKK sorumlusu birlikte kısa bir değerlendirme yapmalıdır. Aşağıdaki soruların cevaplarını sağlayıcının resmi belgelerinden bulun ve araç kartına yazın; cevabı bulunamayan soru "hayır" kabul edilir.

1. Girilen veri varsayılan olarak model eğitiminde kullanılıyor mu, kapatılabiliyor mu?
2. Veri ne kadar süre saklanıyor ve yönetici bu süreyi değiştirebiliyor mu?
3. Sağlayıcı insan incelemesi yapıyor mu, hangi durumlarda?
4. Veri hangi ülkelerde işleniyor ve saklanıyor?
5. Bir veri işleme sözleşmesi (DPA) ya da benzeri bir sözleşme imzalanabiliyor mu?
6. Çok faktörlü kimlik doğrulama ve tek oturum açma (SSO) destekleniyor mu?
7. Yönetici, kullanıcıları ekleyip çıkarabiliyor ve ayrılan çalışanın verisini yönetebiliyor mu?
8. Kullanım kayıtları (kim, ne zaman, hangi özelliği kullandı) yönetici tarafından görülebiliyor mu?
9. Araç e-posta, takvim, dosya ya da CRM gibi başka sistemlere bağlanıyor mu, bu bağlantılar kapatılabiliyor mu?
10. Çıktıların sahipliği ve kullanım hakları kullanım koşullarında nasıl tanımlanmış?

CRM, muhasebe ya da e-ticaret yazılımlarınızın içine gömülü yapay zekâ özelliklerini de aynı sorularla değerlendirin. Bu özellikler çoğu zaman ayrı bir "araç" gibi görünmediği için listeden kaçar. CRM seçimi aşamasındaysanız CRM programı seçim rehberimizdeki kriterlere yapay zekâ veri ayarlarını da ekleyin.

Hesap ve ayar kuralları neleri kapsamalı?

Doğru araç yanlış ayarla kullanıldığında kurumsal sürümün sağladığı korumanın bir kısmı kaybolur. Politikanın hesap maddesi kısa ama net olmalıdır.

• İş için kullanılan her yapay zekâ hesabı şirket e-posta adresiyle açılır; kişisel e-postayla açılmış hesaplarda iş verisi işlenmez.
• Çok faktörlü kimlik doğrulama zorunludur; hesap paylaşımı yasaktır.
• Bireysel hesap kullanılmasına izin verilen istisnai durumlarda model geliştirme için veri paylaşımı ayarı kapatılır.
• Sohbetleri herkese açık bağlantıyla paylaşma özelliği yalnızca yeşil sınıf içerik için kullanılır.
• E-posta, takvim, dosya ve CRM bağlantıları (connector) BT onayı olmadan açılmaz.
• Tarayıcı eklentileri ve toplantıya otomatik katılan not alma araçları onaylı listede değilse kurulmaz.
• İşten ayrılan çalışanın yapay zekâ hesapları, e-posta hesabıyla aynı gün kapatılır ya da devredilir.

Hesap güvenliğinin genel çerçevesi için web sitesi güvenliği rehberimizdeki parola ve yetki yönetimi önerileri burada da geçerlidir. Kişisel veri işlemesi kaçınılmaz olan tekrarlı bir iş varsa (örneğin binlerce müşteri talebini sınıflandırmak), genel amaçlı sohbet aracına zorlamak yerine veriyi sizin kontrol ettiğiniz bir altyapıda işleyen bir çözüm düşünülebilir; bu tür projelerde özel yazılım geliştirme seçeneği, veri akışını baştan tasarlama imkânı verir.

İnsan onayı, kaynak ve doğrulama kuralı nasıl yazılır?

İnsan onayı kuralının özü tek cümledir: yapay zekâ taslak hazırlar, karar veren ve imzalayan insandır. Politikada bu ilke, hangi çıktıların kimin onayı olmadan şirket dışına çıkamayacağını sayan bir tabloyla somutlaştırılmalıdır. KVKK rehberi de sistem çıktılarının düzenli izlenmesini ve gerektiğinde insan gözetimi mekanizmalarıyla desteklenmesini öneriyor.

Hangi çıktılar mutlaka insan onayından geçmeli?

Doğrulama adım adım nasıl yapılır?

Doğrulama, yapay zekânın cevabını başka bir yapay zekâya sormak değildir; iddiayı birincil kaynakla karşılaştırmaktır. Politikaya aşağıdaki sırayı ekleyin ve özellikle müşteriye giden içeriklerde uygulanmasını isteyin.

1. Metindeki her rakamı, oranı ve tarihi işaretleyin.
2. Mevzuat ve vergi bilgilerini Resmî Gazete, mevzuat.gov.tr, GİB ya da ilgili kurumun sayfasından kontrol edin.
3. Alıntı ve kaynak gösterilen yayınları açıp gerçekten var olduklarını ve o cümleyi içerdiklerini görün.
4. Hesaplamaları bir tabloda ya da hesap makinesinde yeniden yapın.
5. Ürün özelliklerini kendi teknik föyünüz ve stok bilgilerinizle karşılaştırın.
6. Metinde gerçek bir kişiye dair bilgi varsa ya çıkarın ya da güvenilir bir kaynaktan doğrulayın.

Yapay zekâ kullanımı iç kayıtlarda nasıl belirtilir?

Her yapay zekâ kullanımını kayıt altına almak gereksiz bürokrasi yaratır; ama müşteriye ya da kamuya giden önemli belgelerde bir iç işaret faydalıdır. Örneğin teklif dosyasının iç notuna "ilk taslak yapay zekâ ile hazırlandı, rakamlar X tarafından kontrol edildi" yazmak, bir hata çıktığında sürecin nerede aksadığını bulmayı kolaylaştırır. Bu iç işaret, müşteriye karşı şeffaflık yükümlülüğünden ayrıdır; ona sonraki bölümde değiniyoruz.

Müşteriye karşı şeffaflık: yapay zekâ kullandığınızı ne zaman söylemelisiniz?

Müşteri bir yapay zekâ ile doğrudan yazışıyorsa, yapay zekâ ile üretilmiş bir görsel, ses ya da video gerçek bir kişi veya olay izlenimi veriyorsa ve müşterinin kişisel verisi yapay zekâ araçlarıyla işleniyorsa bunu açıkça söylemelisiniz. Çalışanın yapay zekâdan taslak alıp kendisi kontrol ettiği, sahiplendiği ve imzaladığı bir e-posta için ise genel bir açıklama yükümlülüğü yoktur; ölçüt müşteriyi yanıltmamaktır. Politikanın şeffaflık maddesi bu üç durumu ayrı ayrı tarif etmelidir.

Sohbet botu ve otomatik cevaplarda ne söylenmeli?

KVKK rehberi, kullanıcıyla doğrudan etkileşen sohbet botu gibi sistemlerde bireylerin bir üretken yapay zekâ sistemiyle iletişim kurduklarını açıkça bilmelerini önemli buluyor ve sistemin yapay zekâ temelli olduğunu belirten bir bilgilendirme mekanizması öneriyor. AI Act'in şeffaflık kuralları da AB'deki kullanıcılar için aynı yönde. Pratikte bu, botun ilk mesajında kendini tanıtması ve kullanıcıya bir insana ulaşma yolu göstermesi demektir.

Örnek açılış cümlesi: "Merhaba, ben şirketimizin yapay zekâ destekli asistanıyım. Sipariş ve ürün sorularınızda yardımcı olabilirim; dilediğiniz an 'temsilci' yazarak ekibimize bağlanabilirsiniz." WhatsApp üzerinden otomatik yanıt kuruyorsanız WhatsApp Business uygulaması ile API farkını anlatan yazımız, hangi altyapıda bu tür otomasyonların kurulabildiğini gösteriyor.

Aydınlatma metninizi güncellemeniz gerekir mi?

Müşteri, çalışan ya da aday verisini bir yapay zekâ aracıyla işlemeye başladıysanız, büyük olasılıkla evet. Aydınlatma metni, verinin hangi amaçla işlendiğini, kimlere ve hangi amaçla aktarılabileceğini, toplama yöntemini ve hukuki sebebini söylemek zorundadır; yurt dışındaki bir yapay zekâ sağlayıcısı bu "aktarılan alıcılar" arasında yer alıyorsa metne yansımalıdır. KVKK rehberi ayrıca işleme amacı değiştiğinde ilgili kişilere yeniden aydınlatma yapılması gerektiğini ve açık rızaya dayanan işlemelerde aydınlatma ile açık rızanın ayrı ayrı yerine getirilmesi gerektiğini hatırlatıyor.

Kurul'un 18.02.2026 tarihli ve 2026/347 sayılı ilke kararı da aydınlatma metni ile açık rıza metninin ayrı olmasını şart koşuyor. Sitenizdeki yasal metinlerin tam listesi için e-ticaret sitesinde olması gereken sözleşmeler rehberimize bakabilirsiniz. Taslak hazırlamak için KVKK aydınlatma metni oluşturucu ile başlayıp, açık rıza gereken durumlar için açık rıza metni oluşturucuyu ayrıca kullanın; çıkan metni mutlaka bir hukukçuya kontrol ettirin.

Yapay zekâ ile üretilen reklam görselleri ve yorumlar için kural ne olmalı?

Politika, yapay zekâ ile müşteri yorumu, puan ya da referans üretmeyi açıkça yasaklamalıdır. 1 Ağustos 2026'da yürürlüğe giren Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliği değişikliği sahte yorum ve yanıltıcı uygulamalara karşı kuralları sıkılaştırdı; ayrıntıları yeni reklam yönetmeliği rehberimizde bulabilirsiniz. Yapay zekâ ile üretilmiş bir "mutlu müşteri" fotoğrafı ya da uydurma bir yorum, hem tüketiciyi yanıltır hem de marka güvenini zedeler.

Ürün görsellerinde arka plan temizleme, ışık düzeltme ve sahne oluşturma kabul edilebilir kullanımlardır; ürünün rengini, boyutunu, dokusunu ya da özelliğini olduğundan farklı göstermek değildir. Görsel düzenlemenin sınırlarını ürün görseli optimizasyonu rehberimizde anlattık.

B2B müşterilerinize ne taahhüt etmelisiniz?

Kurumsal müşteriler ve AB'li alıcılar, tedarikçi değerlendirmelerinde "bizim verilerimizi yapay zekâ araçlarına giriyor musunuz?" diye sorabilir. Bu soruya hazırlıksız yakalanmamak için politikanızın şeffaflık maddesini, müşteriye verilebilecek standart bir cevapla destekleyin.

Departman bazında yapay zekâ kullanım örnekleri nelerdir?

Her departmanın elindeki veri farklı olduğu için yapay zekâ kuralı da departmana göre değişir: pazarlama çoğunlukla herkese açık veriyle çalıştığından en geniş alana sahiptir, insan kaynakları ve muhasebe ise kişisel ve finansal veri yoğunluğu nedeniyle en sıkı kurallara tabi olmalıdır. Politikanın ekine her departman için "izinli, yasak, kontrol eden" üçlüsünü içeren kısa bir sayfa eklemek, genel kuralları çalışanın günlük işine tercüme etmenin en kolay yoludur.

Pazarlama ekibi yapay zekâyı nasıl kullanmalı?

Pazarlama ekibi; kampanya fikri, başlık varyasyonu, ürün açıklaması taslağı, çeviri, e-posta konu satırı ve görsel taslağı gibi işlerde yapay zekâdan en çok verim alan ekiptir. İçerik üretiminin SEO ve GEO tarafını yapay zekâ ile içerik üretimi rehberimizde ayrıntılı anlattığımız için burada yalnızca politika kurallarına odaklanıyoruz.

• İzinli: Ürün açıklaması taslağı (teknik föy verisiyle), sosyal medya fikirleri, reklam metni varyasyonları, rakiplerin kamuya açık içeriklerinin genel analizi, çeviri taslağı.
• Yasak: Sahte yorum ve referans üretmek, rakip hakkında doğrulanmamış iddia yazmak, müşteri listesini segmentasyon için bireysel hesaba yüklemek, influencer sözleşmesini ya da kampanya bütçesini paylaşmak.
• Kontrol: Her iddia için kanıt, sağlık ya da performans iddialarında mevzuat kontrolü, gerçek kişi izlenimi veren görsellerde açıklama.

Ürün açıklamalarında yapay zekâ taslağını nasıl özgün ve satış getiren bir metne çevireceğinizi SEO uyumlu ürün açıklaması rehberimizde bulabilirsiniz. Markanızın yapay zekâ aramalarında nasıl göründüğü ise ayrı bir konudur; onu yapay zekâ aramalarında görünürlük rehberimizde ele aldık. Pazarlama süreçlerinize yapay zekâyı kontrollü biçimde yerleştirmek için dışarıdan bir göz isterseniz dijital pazarlama danışmanlığı kapsamında bu kuralları ekibinizin iş akışına uyarlayabiliriz.

Satış ekibi için kurallar neler olmalı?

Satış ekibi, yapay zekâyı e-posta taslağı, itiraz karşılama senaryosu, görüşme hazırlığı ve teklif metninin anlatım kısmı için güvenle kullanabilir. Asıl risk, CRM dökümlerinin, müşteriye özel fiyatların ve müşteriden gelen gizli teknik dokümanların kişisel hesaplara yapıştırılmasıdır.

• İzinli: Hedef firmanın kamuya açık bilgileriyle görüşme hazırlığı, kişisel bilgi içermeyen e-posta şablonları, teklif metninin fayda anlatımı.
• Yasak: CRM'den alınmış kişi listeleri, müşteriye özel fiyat ve iskonto koşulları (bireysel hesapta), müşteriden gelen çizim, şartname ve numuneye ait gizli bilgiler.
• Kontrol: Teklifteki rakamları satış yöneticisi onaylar; yapay zekâ fiyat hesaplamaz.

Muhasebe ve finans ekibi ne yapabilir, ne yapamaz?

Muhasebe ekibi için yapay zekâ, Excel formülü yazmak, rapor şablonu hazırlamak ve genel mevzuat sorularına ilk cevabı bulmak için faydalıdır; ancak cevapların her biri resmi kaynaktan doğrulanmalıdır. Vergi oranları, istisnalar ve son tarihler sık değişir ve modelin eğitim verisi güncel olmayabilir.

• İzinli: Formül ve makro yardımı, kişisel veri içermeyen örnek tablolarla analiz yöntemi, mevzuat sorusu (resmi kaynak doğrulamasıyla).
• Yasak: Bordro, cari hesap ekstresi, banka hareketleri, e-fatura dökümleri ve vergi kimlik numaralarının yüklenmesi.
• Kontrol: Mali tablo ve beyanlara giren her bilgi mali müşavir ya da muhasebe sorumlusu tarafından kontrol edilir.

İnsan kaynakları neden en sıkı kurala tabi olmalı?

İnsan kaynakları; özgeçmiş, sağlık raporu, disiplin kaydı, maaş gibi en hassas kişisel verileri tutar ve yapay zekânın önyargı riskinin doğrudan ayrımcılığa dönüşebileceği alandır. KVKK rehberinin özgeçmiş örneği ve AI Act'in istihdamı yüksek riskli alanlar arasında sayması aynı noktayı gösteriyor.

• İzinli: İş ilanı taslağı (ayrımcı ifade kontrolüyle), eğitim içeriği, genel mülakat soru havuzu, politika ve prosedür taslağı.
• Yasak: Özgeçmişleri yapay zekâya puanlatmak ya da elemek, performans ve disiplin değerlendirmesi yaptırmak, sağlık raporu ve benzeri özel nitelikli verileri yüklemek.
• Kontrol: İşe alım ve değerlendirme kararlarının tamamı insan tarafından verilir ve gerekçesi kayda geçirilir.

Yazılım ve BT ekibi için hangi kurallar gerekir?

Yazılımcılar kod açıklaması, test senaryosu, hata ayıklama ve dokümantasyon için yapay zekâdan büyük verim alır; risk ise kaynak kodla birlikte şifrelerin, API anahtarlarının ve gerçek müşteri verisi içeren veritabanı örneklerinin dışarı çıkmasıdır. Ayrıca yapay zekânın önerdiği kod parçalarının lisans durumu ve güvenlik açıkları ayrıca kontrol edilmelidir.

• İzinli: Gizli anahtarları temizlenmiş kod parçaları, sahte (test) verilerle örnekler, dokümantasyon taslağı.
• Yasak: Şifre, token, API anahtarı, müşteri veritabanı örnekleri, şirketin çekirdek algoritmasının tamamı.
• Kontrol: Yapay zekâ ile yazılan her kod ikinci bir geliştiricinin incelemesinden ve testlerden geçmeden canlıya alınmaz.

Örnek senaryo: Kayseri'de 45 kişilik bir üretici politikayı nasıl kurar?

Kayseri'de 45 kişilik, Avrupa'ya ihracat yapan bir metal mobilya aksesuarı ve bağlantı parçası üreticisi, yapay zekâ politikasını dört haftada kurup bir sayfalık kural metni, sınıflandırma tablosu, kısa bir araç listesi ve eğitim kaydıyla yürürlüğe alabilir. Aşağıdaki senaryo gerçek bir müşteri vakası değildir; bölgedeki üreticilerde sık gördüğümüz durumların genel bir kurgusudur.

Başlangıç durumu tanıdık: satış ekibi İngilizce teklif e-postalarını kişisel ChatGPT hesaplarında yazıyor, muhasebe Excel formüllerini soruyor, İK ilan metinlerini yapay zekâya hazırlatıyor. Bir gün AB'deki distribütörden gelen tedarikçi anketinde "yapay zekâ kullanım politikanız ve çalışan eğitim kayıtlarınız" sorusu çıkıyor ve şirketin elinde gösterecek bir belge yok.

1. Birinci hafta: Çalışanlara isimsiz kısa bir anket gönderilir; hangi aracı, hangi hesapla, hangi iş için kullandıkları sorulur. Amaç suçlu aramak değil, gerçek kullanımı görmektir.
2. İkinci hafta: Veri sınıflandırma tablosu şirketin kendi örnekleriyle doldurulur. Kalıp çizimleri ve ürün reçeteleri kırmızı, bayi iskonto listesi ve maliyet tabloları turuncu, katalog ve web sitesi metinleri yeşil sınıfa yazılır.
3. Üçüncü hafta: Şirket zaten bir kurumsal ofis paketi kullandığı için onun yapay zekâ özelliği ana araç olarak seçilir ve dosya paylaşım izinleri temizlenir. Bireysel hesaplar yalnızca yeşil sınıf içerik için ve model geliştirme ayarı kapalıyken serbest bırakılır.
4. Dördüncü hafta: Üç saatlik bir eğitim yapılır, politika her çalışana okutulup onay alınır, katılım listesi tarihlenerek saklanır. Distribütöre politika özeti ve eğitim kaydıyla cevap verilir.

Bu tür üreticilerin dijital pazarlama ve ihracat tarafındaki yol haritasını Kayseri metal ve makine sektörü için B2B dijital pazarlama rehberimizde anlattık. AB'ye doğrudan satış yapıyorsanız vergi ve gümrük tarafı için Avrupa'ya e-ihracat ve AB KDV rehberine de göz atın; yazılı bir yapay zekâ politikası, AB'li alıcıların tedarikçi değerlendirmesinde sorabileceği belgelerden biridir.

Çalışan eğitimi nasıl planlanır?

Yapay zekâ kullanım eğitimi, işe girişte kısa bir oturum ve yılda en az bir kez tazeleme olarak planlanmalı, katılım tarihli bir kayıtla saklanmalıdır. Eğitimin amacı çalışanı yapay zekâ uzmanı yapmak değil; aracın sınırlarını, şirketin veri sınıflarını ve hata anında ne yapacağını bilmesini sağlamaktır. Bu yaklaşım, KVKK rehberinin önerdiği çalışan bilinçlendirmesiyle ve AI Act'in yapay zekâ okuryazarlığı beklentisiyle de örtüşür.

En iyi sonuç veren format, kısa bir anlatımın ardından çalışanların kendi işlerinden örneklerle yaptığı uygulamadır. Gerçek bir şikâyet e-postasını maskeleyip güvenli bir isteme çevirmek, on slayt kuraldan daha kalıcı öğretir. Departmanınıza özel kullanım fikirleri arıyorsanız e-ticarette somut yapay zekâ kullanım senaryoları yazımız uygulama bölümüne malzeme sağlar.

Politika ihlal edilirse ne yapılmalı?

Politika ihlal edildiğinde öncelik cezalandırmak değil, zararı sınırlamak ve olayın kişisel veri ihlali sayılıp sayılmadığını hızla değerlendirmektir. Bu yüzden politikanın ihlal maddesi önce bir bildirim kanalı ve ilk adımları, ardından kademeli yaptırımları tarif etmelidir. Hatasını kendisi bildiren çalışana daha hafif davranılacağını açıkça yazmak, gizlenen olay sayısını azaltır.

Hata fark edildiğinde ilk adımlar nelerdir?

1. Çalışan, yanlışlıkla girilen veriyi ve aracı not eder; ekran görüntüsü alır, sohbeti hemen silmeden önce ne paylaşıldığını kaydeder.
2. Aynı gün belirlenen kanaldan (KVKK sorumlusu, BT ya da yöneticisi) bildirim yapar.
3. BT, aracın hesap ayarlarını ve saklama koşullarını kontrol eder; mümkünse sohbet silinir ve hesabın veri paylaşım ayarı kapatılır. Silmenin sağlayıcı tarafındaki kayıtları her zaman hemen ortadan kaldırmayabileceği unutulmamalıdır.
4. KVKK sorumlusu ve hukukçu, olayın kişisel veri ihlali niteliği taşıyıp taşımadığını değerlendirir.
5. İhlal söz konusuysa Kurul'un 2019/10 sayılı kararındaki usule göre Kurul'a gecikmeksizin ve en geç 72 saat içinde bildirim, ilgili kişilere de makul en kısa sürede bilgilendirme yapılır.
6. Olayın kök nedeni (eğitim eksikliği, belirsiz kural, yanlış araç ayarı) bulunur ve politika ya da eğitim buna göre güncellenir.

Yaptırımlar nasıl kademelendirilmeli?

Yaptırımlar ihlalin ağırlığına ve kasıt olup olmadığına göre kademelendirilmelidir. İlk kez ve dikkatsizlikle yeşil ya da mavi sınıf veriyi yanlış araca girmek ile bilerek müşteri veritabanını kişisel hesaba yüklemek aynı sonuca bağlanmamalıdır. Disiplin hükümlerinin iş sözleşmesi, personel yönetmeliği ve iş hukuku ile uyumlu olması için bu maddeyi mutlaka bir iş hukuku uzmanıyla yazın.

Politika nasıl uygulanır ve denetlenir?

Politika, bir sahibi, ölçülebilir birkaç göstergesi ve düzenli bir gözden geçirme takvimi olduğunda uygulanır; aksi halde imzalanıp dosyaya kaldırılan bir belgeye dönüşür. KOBİ'lerde sahip genellikle KVKK sorumlusu ya da BT yöneticisidir; departman yöneticileri ise kendi ekiplerindeki uygulamadan sorumludur.

Teknik kontroller politikayı destekler ama yerini tutmaz. Kurumsal hesaplarda tek oturum açma, yönetici panelinden kullanıcı yönetimi, onaysız tarayıcı eklentilerinin engellenmesi ve hassas veri sızıntısını tespit eden araçlar (DLP) kullanılabilir. Çalışanların yapay zekâ kullanımını kayıt altına almak ya da izlemek de bir kişisel veri işleme faaliyetidir; bunu yapacaksanız çalışanları önceden aydınlatın ve izlemeyi amacıyla ölçülü tutun.

Üç ayda bir yapılan kısa bir gözden geçirme toplantısı yeterlidir: onaylı araç listesi güncellenir, olaylar ve sık sorulan sorular konuşulur, gerekiyorsa departman ekleri düzeltilir. Yılda bir kez de politika ana metni, mevzuat ve AI Act takvimindeki değişikliklerle birlikte yeniden onaylanır.

Yapay zekâ kullanım politikasında sık yapılan hatalar nelerdir?

En sık hata, politikayı ya tamamen yasaklayıcı ya da tamamen soyut yazmaktır; ikisi de çalışanın gerçek işine dokunmadığı için uygulanmaz. Sahada en çok karşılaştığımız hatalar şunlardır:

• Tam yasak koyup gölge kullanımı görünmez hale getirmek.
• "Gizli bilgi girmeyin" deyip gizli bilginin ne olduğunu örneklerle tanımlamamak.
• Araç listesinde yalnızca marka adı yazıp sürüm ve hesap türünü (bireysel ya da kurumsal) belirtmemek.
• Kurumsal sürüm satın alıp çalışanların kişisel hesaplarla devam etmesini fark etmemek.
• Copilot gibi kurum verisine erişen araçları, dosya paylaşım izinlerini temizlemeden açmak.
• Yazılımların içine gömülü yapay zekâ özelliklerini (CRM, e-posta, toplantı araçları) değerlendirme dışında bırakmak.
• Yurt dışı aktarım konusunu hiç ele almamak ya da düzenli kullanımı "arızi aktarım" sanmak.
• İK'da özgeçmiş eleme ve puanlamayı yapay zekâya bırakmak.
• Eğitimi yalnızca bir e-posta duyurusuyla geçiştirmek, katılımı kayıt altına almamak.
• Politikayı bir kez yazıp araçlar ve mevzuat değiştiği halde güncellememek.

KOBİ için 1 sayfalık başlangıç sürümü nasıl görünür?

Bir KOBİ için başlangıç sürümü, tek sayfaya sığan on iki kuraldan ve kısa eklerden (veri sınıflandırma tablosu, onaylı araç listesi, onay tablosu, ihlal kademeleri) oluşabilir. Aşağıdaki metni şirketinize uyarlayarak kullanabilirsiniz; köşeli parantez yerine kendi bilgilerinizi yazın ve yürürlüğe almadan önce bir hukukçuya kontrol ettirin.

[Şirket Adı] Üretken Yapay Zekâ Kullanım Politikası, sürüm 1.0, yürürlük tarihi: [tarih]. Politika sahibi: [ad, unvan]. Bu politika tüm çalışanları, stajyerleri ve şirket adına çalışan dış hizmet sağlayıcıları kapsar.

1. Amaç: Üretken yapay zekâ araçlarını verimlilik için kullanırız; kişisel verileri, ticari sırlarımızı ve müşterilerimizin güvenini koruyarak.
2. Onaylı araçlar: İş için yalnızca Ek-2'deki araçları, belirtilen hesap türüyle kullanırız. Yeni araç ya da eklenti için [BT sorumlusu] onayı gerekir.
3. Hesap: İş hesapları şirket e-postasıyla açılır, çok faktörlü doğrulama zorunludur, hesap paylaşılmaz.
4. Veri sınıfları: Ek-1'deki tabloya uyarız. Kırmızı sınıf bilgi hiçbir yapay zekâ aracına girilmez; turuncu sınıf yalnızca kurumsal araçta ve yönetici onayıyla kullanılır.
5. Kişisel veri: Ad, telefon, e-posta, adres, kimlik, sipariş, fatura ve hesap numaraları gibi bilgileri çıkarır ya da maskeleriz. Özel nitelikli kişisel veri hiçbir araca girilmez.
6. Müşteri bilgisi: Müşterilerimizin ve tedarikçilerimizin bize gizlilik taahhüdüyle verdiği belgeleri yazılı izin olmadan yapay zekâ araçlarına yüklemeyiz.
7. İnsan onayı: Yapay zekâ taslak hazırlar, karar veren ve imzalayan insandır. Müşteriye, kamuya ve resmi kurumlara giden içerikler Ek-3'teki onaydan geçer.
8. Doğrulama: Rakam, tarih, mevzuat, alıntı ve ürün özelliklerini birincil kaynaktan kontrol ederiz.
9. Yasak kullanımlar: Sahte yorum ve referans üretmek, çalışan ya da aday hakkında otomatik karar vermek, gerçek kişileri taklit eden içerik üretmek, başkasının eserini kopyalamaya yönelik kullanım yasaktır.
10. Şeffaflık: Müşteriyle yazışan botlarda yapay zekâ olduğunu belirtiriz; gerçek kişi izlenimi veren yapay zekâ görsellerinde açıklama yaparız.
11. Eğitim: Her çalışan işe girişte ve yılda bir kez yapay zekâ kullanım eğitimine katılır; katılım kayıt altına alınır.
12. Bildirim: Yanlışlıkla paylaşılan bilgiyi aynı gün [bildirim kanalı] üzerinden bildiririz. Kendiliğinden yapılan bildirim olumlu değerlendirilir; ihlaller Ek-4'teki kademelere göre ele alınır.

Politikayı yayına almadan önce son kontrol

Kural metni hazır olduğunda, yürürlüğe almadan önce aşağıdaki maddeleri tek tek işaretleyin. Eksik kalan madde varsa yürürlük tarihini ertelemek, eksik bir politikayla başlamaktan daha iyidir.

Yapay zekâ kullanım politikası ne sıklıkla güncellenmeli?

Ana metin yılda bir kez, onaylı araç listesi ise üç ayda bir gözden geçirilmeli; bunların dışında belirli olaylar ara güncellemeyi tetiklemelidir. Yapay zekâ araçlarının özellikleri ve gizlilik koşulları sık değiştiği için, sabit bir belgeden çok yaşayan bir sistem gibi yönetilmesi gerekir.

• Bir sağlayıcı veri kullanım, saklama ya da bölge koşullarını değiştirdiğinde.
• Yeni bir araç, eklenti ya da yazılım içi yapay zekâ özelliği devreye alındığında.
• KVKK yeni bir rehber, ilke kararı ya da yurt dışı aktarım düzenlemesi yayımladığında.
• AI Act takviminde ya da Türkiye'de yapay zekâya özgü düzenlemelerde değişiklik olduğunda.
• Şirket AB'ye satışa başladığında, yeni bir pazara girdiğinde ya da İK süreçlerine yapay zekâ eklediğinde.
• Bir ihlal ya da ramak kala olay yaşandığında.

Özet: ilk 30 günlük yol haritası

Yapay zekâ kullanım politikasını kurmanın en hızlı yolu, mükemmel bir belge beklemek yerine dört haftalık bir planla tek sayfalık sürümü yürürlüğe almak ve üç ayda bir geliştirmektir. Aşağıdaki tablo, bu yazıdaki adımları tek bir takvimde topluyor.

Akılda tutulacak üç cümle: kişisel veri ve ticari sır, aktarım dayanağı kurulmamış yurt dışı araçlara girmez; yapay zekâ taslak yazar, insan karar verir; politika yasaklamak için değil, aracı güvenle kullanmak için vardır.

Alis Dijital'den nasıl destek alabilirsiniz?

Alis Dijital, Kayseri merkezli, 10 yıllık deneyime sahip bir e-ticaret, dijital pazarlama ve yazılım ajansıdır; ikas partneri ve Shopify Partner olarak son 5 yılda 200+ markayla çalıştık. Pazarlama, satış ve içerik süreçlerinize yapay zekâyı veri güvenliğini gözeterek yerleştirmek için ekibinizle birlikte çalışabiliriz.

Markanızın ChatGPT ve Google'ın yapay zekâ özetlerinde nasıl göründüğünü iyileştirmek istiyorsanız GEO ajansı hizmetimize bakabilirsiniz. Kişisel veriyi kendi kontrolünüzde işleyen, şirketinize özel bir yapay zekâ destekli araç ihtiyacınız varsa veri akışını baştan tasarlayan özel yazılım projeleri yürütüyoruz. Politika metninin hukuki son kontrolünü avukatınızla yapmanızı öneriyoruz; iş akışı, araç seçimi ve ekip eğitimi tarafında destek için bizimle iletişime geçebilirsiniz.