Şirket İçi Yapay Zeka Kullanım Politikası Nasıl Hazırlanır?

Şirket içi yapay zeka kullanım politikası; veri güvenliği, KVKK/GDPR uyumu, fikri mülkiyet koruması ve çalışan yetkilendirme adımlarını içeren kurumsal bir rehberdir.

İşletmelerin operasyonel süreçlerine üretken yapay zeka (Generative AI) ve büyük dil modellerini (LLM) dahil etmesi; verimlilik artışının yanı sıra kurumsal veri sızıntısı, fikri mülkiyet ihlali ve yasal uyumsuzluk risklerini beraberinde getirir. Karar vericilerin kurumsal varlıkları korurken inovasyonu engellemeyen dengeli bir çerçeve çizmesi gerekir. Bu rehber, Şirket İçi Yapay Zeka Kullanım Politikası Nasıl Hazırlanır? sorusunun teknik, operasyonel ve hukuki boyutlarını ele alarak; araç envanterinin çıkarılmasından API mimarilerine, departman bazlı yetkilendirmeden halüsinasyon denetimine kadar uygulanabilir bir kurumsal yönetim iskeleti sunar.

Yapay Zeka Kullanım Politikası Nedir ve Şirketler İçin Neden Zorunludur?

Kurumsal yapay zeka kullanım politikası, bir işletmenin çalışanları, yüklenicileri ve entegre sistemleri tarafından yapay zeka araçlarının hangi koşullarda, hangi verilerle ve hangi sorumluluk sınırları dahilinde kullanılabileceğini belirleyen bağlayıcı bir iç düzenlemedir. Bu belge yalnızca IT departmanının teknik bir talimatnamesi değil; hukuk, insan kaynakları, siber güvenlik ve operasyon liderlerinin ortaklaşa mutabakata vardığı bir yönetişim standardıdır.

İşletmelerde bu çerçevenin bulunmaması durumunda gölge yapay zeka (Shadow AI) ve gölge BT (Shadow IT) pratikleri hızla yaygınlaşır. Çalışanlar bireysel inisiyatifleriyle üçüncü taraf web tabanlı araçlara müşteri veritabanı dökümlerini, yayınlanmamış kaynak kodlarını veya finansal tabloları yükleyerek prompt tasarımı gerçekleştirmeye başlar. Yönetilmeyen bu süreç, işletmeyi denetlenemeyen bir veri işleme ve üçüncü taraf servis bağımlılığı zincirine hapseder.

Aşağıdaki tablo, kurumsal bir yapay zeka politikası bulunan ve bulunmayan şirketler arasındaki temel operasyonel farkları göstermektedir:

Kurumsal Veri Güvenliği ve Veri Sızıntısı Riskleri

Üretken yapay zeka modellerine sağlanan metin, kod veya doküman girdileri; ilgili servis sağlayıcının kullanım koşullarına (Terms of Service) bağlı olarak modelin yeniden eğitimi (fine-tuning veya pre-training) amacıyla sunucularda saklanabilir. Tüketici odaklı ücretsiz modellerde kullanıcı tarafından girilen tescilli algoritmalar, müşteri kimlik bilgileri veya birleşme/satın alma gibi hassas ticari sırlar, modelin ağırlık matrislerine dolaylı yoldan işlenebilir.

Bu durum, başka bir kullanıcının modelden bilgi talep ettiği durumlarda istem dışı veri ifşasıyla sonuçlanabilir. Veri kaybı önleme (DLP - Data Loss Prevention) sistemleri ile desteklenmeyen kontrolsüz yapay zeka kullanımı, uç nokta (endpoint) seviyesinde veri sızıntılarını tespit etmeyi imkansız hale getirir. Şirket içi politika; hangi kurumsal verilerin hiçbir koşulda harici bir modele aktarılamayacağını kesin sınıflandırma yöntemleriyle (Genel, Dahili, Gizli, Çok Gizli) ortaya koymalıdır.

KVKK ve GDPR Açısından Yapay Zeka Uyumluluğu

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ve Birleşik Krallık ile Birleşik Arap Emirlikleri'ndeki eşdeğer veri koruma mevzuatları; kişisel verilerin işlenmesi, aktarılması ve saklanması konusunda işletmelere ağır sorumluluklar yükler. Bir çalışanın müşteri isimlerini, telefon numaralarını veya özel nitelikli kişisel verileri harici bir LLM prompt'una girmesi, teknik olarak veri işleme ve çoğu zaman yurt dışına yetkisiz veri aktarımı suçu teşkil eder.

GDPR Madde 28 ve KVKK yükümlülükleri uyarınca, kullanılan yapay zeka servis sağlayıcısı ile Veri İşleme Sözleşmesi (DPA - Data Processing Agreement) akdedilmelidir. Ayrıca modellerin kullanıcı profil çıkarma, otomatik karar verme mekanizmaları ve silme/unutulma hakkı (Right to be Forgotten) süreçlerine nasıl tepki vereceği belirsiz olduğundan, kişisel verilerin anonimleştirilmeden veya sentetik veri haline getirilmeden modellere beslenmesi hukuken yüksek cezai yaptırımlar doğurur.

Fikri Mülkiyet (IP) Hakları ve Telif Riski Yönetimi

Üretken yapay zeka çıktılarının telif hakkı ve fikri mülkiyet statüsü küresel yargı alanlarında hızla şekillenmektedir. ABD Telif Hakkı Ofisi (USCO) ve Avrupa Fikri Mülkiyet Ofisi kararları doğrultusunda, tamamen yapay zeka tarafından üretilen ve insan yaratıcılığı içermeyen eserlerin telif korumasından yararlanamayacağı genel kabul görmektedir. Bu durum, şirketinizin yapay zekaya yazdırdığı bir yazılım kodunun veya ürettiği bir görsel materyalin kamu malı statüsüne düşmesi ve rakipler tarafından serbestçe kopyalanabilmesi anlamına gelir.

Diğer bir risk ise modellerin eğitim veritabanında yer alan telifli materyalleri kopyalayarak üretmesi sonucu ortaya çıkan ihlal davalarıdır. Bir çalışan, prompt sonucunda bir başka şirketin patentli algoritmasını veya telifli görselini farkında olmadan kurumsal bir ürüne entegre edebilir. Politika belgesi, fikri mülkiyet garantisi (indemnification) sunan kurumsal servislerin sınırlarını çizmeli ve yapay zeka çıktılarının hangi aşamalarda fikri mülkiyet tesciline konu edilemeyeceğini netleştirmelidir.

Yapay Zeka Politikası Hazırlarken İzlenmesi Gereken 5 Temel Adım

Kapsamlı bir yapay zeka çerçevesi oluşturmak, şirketin teknolojik altyapısını, yasal yükümlülüklerini ve operasyonel iş yapış biçimlerini doğrudan etkiler. Başarılı bir politika belgesi, yalnızca çalışanlara yasaklar getiren bürokratik bir metin olmak yerine, güvenli inovasyonun sınırlarını tanımlayan operasyonel bir rehber niteliği taşımalıdır.

Bu sürecin yürütülmesinde Bilgi Teknolojileri (IT), Hukuk Müşavirliği, İnsan Kaynakları ve C-Level yöneticilerden oluşan disiplinlerarası bir Yapay Zeka Yönetişim Kurulu (AI Governance Board) kurulması önerilir. Bu kurul, belgenin yaşayan bir mekanizma olarak güncellenmesini koordine eder.

1. Adım: Mevcut Yapay Zeka Araçlarının ve Entegrasyon İhtiyaçlarının Envanterini Çıkarma

İlk aşama, organizasyon içerisinde halihazırda kullanılan tüm yapay zeka araçlarının tespit edilmesidir. Ağ trafiği analizleri, DNS sorguları ve çalışanlarla yapılacak anketler yardımıyla hangi departmanın hangi üçüncü taraf LLM veya üretken tasarım aracını kullandığı haritalandırılır.

Bu envanter çalışmasında araçlar yalnızca isim bazında değil; lisans türü, sunucuların coğrafi konumu (US, EU, MENA), veri saklama politikası (data retention) ve girdi verilerini model eğitiminde kullanıp kullanmadığı parametreleriyle kayıt altına alınır. Onaylanmamış SaaS yapay zeka araçları belirlenerek sistem seviyesinde sınırlandırılmalı, kurumsal ihtiyaçlar doğrultusunda resmi tedarik süreci başlatılmalıdır.

2. Adım: Kullanım Senaryolarını Risk Seviyelerine Göre Sınıflandırma

Her operasyonel süreç aynı seviyede güvenlik veya doğruluk riski taşımaz. AB Yapay Zeka Yasası (EU AI Act) ve ISO/IEC 42001 standartlarıyla uyumlu bir yaklaşım benimsenerek şirket içi kullanım senaryoları dört ana risk kategorisinde gruplandırılmalıdır:

• Yasaklı Senaryolar: Müşteri PII (Personally Identifiable Information) verilerinin genel modellere beslenmesi, otonom İK işe alım/çıkarma kararları, kimlik avı simülasyonlarının dış sistemlere yaptırılması.

• Yüksek Riskli Senaryolar: Üretim ortamına doğrudan kod yazımı, finansal tahminleme, yasal sözleşme analizi. Bu senaryolarda çift katmanlı insan onayı zorunludur.

• Orta Riskli Senaryolar: Dahili pazarlama metinleri, genel dokümantasyon çevirileri, brainstorming ve pazar araştırması sentezleri.

• Düşük/Minimal Riskli Senaryolar: Herkese açık verilerin özetlenmesi, dilbilgisi denetimleri, sentetik test verisi oluşturma.

3. Adım: Veri Gizliliği ve Prompt Mühendisliği Standartlarını Belirleme

Politika, çalışanların yapay zeka modelleriyle kurduğu metinsel iletişimin (prompt) kurallarını belirlemelidir. Prompt içerisine doğrudan kurumsal veriler yazılmamalı; veri maskeleme ve sözde anonimleştirme (pseudonymization) teknikleri uygulanmalıdır. Örneğin bir müşteri şikayetinin özetlenmesi gerekiyorsa, gerçek müşteri adı ve sözleşme numarası silinerek Müşteri_A ve X_Paketi şeklinde parametrik hale getirilmelidir.

Ayrıca istem enjeksiyonu (prompt injection) ve jailbreak yöntemlerine karşı çalışanlar bilinçlendirilmelidir. Üçüncü taraflardan gelen ve işlenmek üzere yapay zekaya aktarılan dokümanların, modelin güvenlik filtrelerini devre dışı bırakabilecek zararlı prompt kodları içerebileceği güvenlik protokollerine eklenmelidir.

4. Adım: Doğruluk Kontrolü ve İnsan Denetimi (Human-in-the-Loop) Mekanizması Kurma

Üretken yapay zeka çıktıları hiçbir zaman operasyonel süreçlerde nihai karar verici veya doğrudan son kullanıcıya sunulan içerik olarak kabul edilmemelidir. Politika belgesi, "Human-in-the-loop" (İnsan Denetimi) ilkesini zorunlu kılmalıdır. Çıktıyı üreten personel, o çıktının doğruluğundan, tarafsızlığından ve kurumsal standartlara uygunluğundan kişisel olarak sorumlu olduğunu bilmelidir.

Doğrulama süreci; model tarafından sağlanan kaynakların (URL, referans, dokümantasyon) manuel olarak doğrulanmasını, üretilen kodların statik güvenlik analiz araçlarından (SAST) geçirilmesini ve teknik hesaplamaların harici algoritmalarla teyit edilmesini içermelidir.

5. Adım: Çalışan Yetkilendirme, Eğitim ve Geri Bildirim Süreçlerini Yapılandırma

Politika belgesinin imzalanması tek başına yeterli değildir. Her çalışan, rolüne ve kullandığı araç türüne uygun zorunlu bir yapay zeka yetkinlik ve güvenlik eğitiminden geçirilmelidir. İK departmanı, politika belgesini çalışan iş sözleşmelerinin ve bilgi güvenliği taahhütnamelerinin ayrılmaz bir eki haline getirmelidir.

Aynı zamanda çalışanların karşılaştığı operasyonel aksaklıkları, model yetersizliklerini veya potansiyel güvenlik açıklarını raporlayabilecekleri şeffaf bir geri bildirim kanalı kurulmalıdır. Kurallar statik kalmamalı; üçer veya altışar aylık periyotlarla piyasaya çıkan yeni model mimarileri ve regülasyonlar doğrultusunda güncellenmelidir.

Web Arayüzü ile API Kullanımı Arasındaki Kritik Veri Farkları

Kurumsal yapay zeka politikasının teknik altyapı bölümünde en sık yapılan hata, tüm yapay zeka etkileşimlerinin aynı veri akışına sahip olduğunun varsayılmasıdır. Tüketici odaklı web arayüzleri ile kurumsal API bağlantıları veya yerel (on-premise) kurulumlar, veri gizliliği ve yasal sorumluluk açısından taban tabana zıt prensiplerle çalışır.

Yöneticilerin bütçe planlaması yaparken yalnızca lisans maliyetini değil; veri saklama garantilerini, şifreleme standartlarını (at-rest ve in-transit) ve regülasyonel uyum sertifikalarını (SOC 2 Type II, ISO 27001, HIPAA) dikkate alması gerekir.

Genel Kullanıma Açık LLM'ler Neden Kurumsal Risk Taşır?

Web tarayıcıları üzerinden erişilen standart tüketici hesapları (örneğin ücretsiz veya bireysel abonelikli ChatGPT, Claude veya Gemini sürümleri), kullanıcı sözleşmelerinde aksi belirtilmedikçe girilen verileri varsayılan olarak modelin gelişiminde kullanma hakkını saklı tutar. Kullanıcı profil ayarlarından "eğitimi kapatma" seçeneği işaretlense dahi veriler kötüye kullanım denetimi (abuse monitoring) amacıyla sağlayıcının sunucularında 30 güne kadar şifrelenmemiş veya geçici erişilebilir halde saklanabilir.

Bu arayüzlerde kurumsal kimlik yönetimi (SSO / SAML entegrasyonu), rol tabanlı erişim kontrolü (RBAC) ve denetim izi (audit log) kayıtları bulunmaz. Bir çalışanın sisteme yüklediği şirket verisi üzerinde merkezi IT departmanının hiçbir görünürlüğü veya müdahale şansı yoktur. Bu kontrolsüzlük, denetimlerde doğrudan bilgi güvenliği standardı ihlali sayılır.

Kurumsal API Entegrasyonları ve Veri Gizliliği Avantajları

Buna karşılık, doğrudan model sağlayıcılarının kurumsal API'leri (OpenAI API, Anthropic API, Google Cloud Vertex AI veya AWS Bedrock) üzerinden kurulan entegrasyonlar katı kurumsal veri politikalarına tabidir. Bu servislerin kurumsal şartnamelerinde; API üzerinden aktarılan müşteri girdilerinin ve çıktıların asla temel modellerin eğitiminde kullanılmayacağı (zero data retention opsiyonu dahil) sözleşmesel olarak garanti edilir.

Ayrıca kurumsal API mimarileri aşağıdaki kritik avantajları sağlar:

• Özel Uç Noktalar (Private Endpoints): Veri trafiği genel internete açılmadan AWS PrivateLink veya Azure ExpressRoute üzerinden izole kurumsal ağ üzerinden taşınabilir.

• Ayrıntılı Denetim Kayıtları: Hangi personelin veya servisin, ne zaman, hangi prompt ile işlem yaptığı merkezi SIEM (Security Information and Event Management) sistemlerine kaydedilir.

• Veri Yerleşimi (Data Residency): Verilerin belirli bir coğrafi bölgede (örneğin sadece AB veya BAE sınırları içinde) işlenmesi ve saklanması garanti altına alınabilir.

Hassas Veriler İçin Yerel (On-Premise) ve Açık Kaynaklı Model Alternatifleri

Savunma sanayii, finans, sağlık veya kritik altyapı sektörlerinde faaliyet gösteren işletmeler için üçüncü taraf bulut API'leri dahi regülasyonlar nedeniyle kabul edilemez bulunabilir. Bu senaryolarda politika, şirket içi donanımlarda veya izole sanal özel bulutlarda (VPC) çalıştırılan açık kaynaklı ağırlıklara sahip modellerin (örneğin Llama ailesi, Mistral modelleri) kullanımını şart koşmalıdır.

Retrieval-Augmented Generation (RAG) mimarisi ile şirket içi vektör veritabanları (Chroma, Qdrant, Pinecone vb.) doğrudan kurum içinde host edildiğinde; gizli kurumsal dokümanlar internet ortamına çıkmadan LLM yetenekleriyle taranabilir hale gelir. Politika belgesi, "Çok Gizli" ve "Ticari Sır" sınıfındaki verilerin yalnızca bu tür hava boşluklu (air-gapped) veya yerel altyapılarda işlenebileceğini kesin olarak emretmelidir.

Departman Bazlı Yapay Zeka Kullanım Sınırları Nasıl Çizilir?

Şirket genelinde geçerli olan soyut kurallar, departmanların kendine has çalışma dinamikleriyle örtüşmediğinde çalışanlar tarafından göz ardı edilir. Bu nedenle yapay zeka politikası; yazılım, pazarlama, insan kaynakları, müşteri ilişkileri ve finans ekipleri için özelleştirilmiş alt yönergeler içermelidir.

Departman bazlı kurallar, her birimin maruz kaldığı teknik ve etik riskleri minimize ederken birimin iş temposunu yavaşlatmayacak netlikte tanımlanmalıdır.

Yazılım Geliştiriciler İçin Güvenli Kod Asistanı Politikası

GitHub Copilot, Tabnine veya Claude Code gibi araçlar yazılım geliştirme hızını ciddi oranda artırırken iki büyük tehlike doğurur: Açık kaynak lisans ihlalleri ve güvenlik zafiyetleri barındıran kod bloklarının üretim sistemlerine sızması.

Yazılım ekipleri için belirlenecek kurallar şunları içermelidir:

1. Kamuya Açık Kod Eşleme Filtreleri: Kod asistanlarında "kamuya açık kodlarla eşleşen önerileri engelle" (block suggestions matching public code) ayarı zorunlu olarak aktif edilmelidir. Aksi takdirde GPL veya AGPL lisanslı telifli kodlar kurumsal kapalı kaynak kod tabanına karışarak yasal ihtilaflara yol açabilir.

2. Statik Güvenlik Taraması (SAST): Yapay zeka tarafından üretilen hiçbir kod bloğu doğrudan canlı ortama (production) alınamaz. Kodlar SAST/DAST analiz araçlarından geçirilmeli ve kıdemli bir yazılımcı tarafından "Pull Request" denetiminde incelenmelidir.

3. API Anahtarları ve Kimlik Bilgileri: Geliştiricilerin model girdi pencerelerine şifre, veritabanı bağlantı metni (connection string) veya gizli API anahtarları yapıştırması kesinlikle yasaklanmalı ve yerel Git hook'ları ile engellenmelidir.

Pazarlama ve İçerik Ekipleri İçin Görsel ve Metin Üretim Kuralları

Pazarlama ve kurumsal iletişim ekipleri, üretken yapay zekayı en yoğun kullanan birimlerin başında gelir. Burada asıl riskler marka itibarı, telif hakkı ihlalleri ve arama motoru optimizasyonu (SEO/GEO) cezalarıdır.

• Telif Hakları ve Marka Varlıkları: Görsel üretim araçlarında (Midjourney, DALL-E, Stable Diffusion) yaşayan sanatçıların özel üsluplarını taklit eden veya rakip markaların tescilli logolarını barındıran prompt tasarımları yasaklanmalıdır.

• İçerik Kalitesi ve İntihal: Metin çıktılarında intihal taraması yapılmalı, modelin ürettiği metinler tamamen ham haliyle yayınlanmamalıdır. İçerik stratejisti çıktıyı kurumsal marka tonuyla zenginleştirmeli ve özgün verilerle desteklemelidir.

• Şeffaflık İlkesi: Kamuya açık paylaşılan veya basın bülteni niteliği taşıyan materyallerde yapay zeka kullanım oranının hangi düzeyde belirtileceği kurumsal etik kurallarına bağlanmalıdır.

İnsan Kaynakları ve Karar Destek Süreçlerinde Yapay Zeka Sınırları

İnsan Kaynakları (İK) departmanı, bireylerin iş hayatını doğrudan etkileyen kararlar aldığı için yapay zeka regülasyonlarının en katı denetlendiği alandır. EU AI Act kapsamında işe alım, performans değerlendirme ve terfi süreçlerinde kullanılan yapay zeka algoritmaları "Yüksek Riskli" kategorisinde yer alır.

Politika gereği, aday CV'lerinin ön elemesinde kullanılan algoritmaların cinsiyet, ırk, yaş veya mezuniyet kökenine dayalı önyargı (bias) üretip üretmediği düzenli denetime tabi tutulmalıdır. Nihai işe alım veya işten çıkarma kararları hiçbir koşulda otonom bir algoritmaya devredilemez; yapay zeka yalnızca özet çıkarıcı bir karar destek asistanı olarak konumlandırılabilir. Adayların özgeçmiş verileri KVKK/GDPR kapsamında açık rızaları olmaksızın genel LLM sistemlerine yüklenemez.

Yapay Zeka Politikalarında Halüsinasyon ve Doğruluk Riski Nasıl Yönetilir?

Büyük dil modelleri olasılıksal (probabilistic) bir mantıkla çalışır; yani gerçeği bildikleri için değil, bir sonraki gelmesi en muhtemel kelime dizilimini matematiksel olarak tahmin ettikleri için çıktı üretirler. Bu mimari zorunluluk, modelin son derece ikna edici ve profesyonel bir üslupla tamamen hayal ürünü, asılsız veya hatalı bilgiler üretmesine yol açar; bu duruma teknik literatürde "halüsinasyon" adı verilir.

Kurumsal bir politika, personelin yapay zekayı bir "arama motoru" veya "mutlak bilgi kaynağı" olarak görmesini engelleyecek kesin operasyonel mekanizmalar kurmalıdır. Aksi halde şirketler hatalı finansal analizler, geçersiz yasal referanslar veya teknik olarak imkansız mühendislik önerileriyle operasyonel felaketlerle karşılaşabilir.

Üretken Yapay Zeka Çıktılarının Doğrulanma Süreçleri

Halüsinasyon riskini minimize etmek için çıktıyı kullanan her birim için katı "Çift Doğrulama" (Double Check) kuralı yürürlüğe konulmalıdır. Politika belgesinde aşağıdaki doğrulama zincirine yer verilmelidir:

• Birincil Kaynak Doğrulaması: Model tarafından sunulan kanun maddeleri, bilimsel makale atıfları, API kütüphane dokümantasyonları veya pazar verileri ilgili kurumların resmi dokümanlarından manuel olarak kontrol edilmelidir.

• Sentetik ve Mantıksal Çelişki Denetimi: Modelden karmaşık mantık yürütme süreçlerinde "Düşünce Zinciri" (Chain-of-Thought) yöntemini kullanması istenmeli, adımlar arasındaki mantıksal sıçramalar kontrol edilmelidir.

• Deterministik Araçlarla Kontrol: Sayısal ve matematiksel veriler LLM çıktısına bırakılmamalı; Python betikleri, muhasebe motorları veya hesap tabloları gibi deterministik hesaplama araçlarıyla çapraz kontrolden geçirilmelidir.

Yanlış Bilgilendirmeden Kaynaklı Operasyonel Risklerin Önlenmesi

Yapay zeka tarafından üretilen bir içeriğin kurumsal bir hasara yol açması durumunda yasal ve idari sorumluluk doğrudan şirkete aittir. Üçüncü taraflara, müşterilere veya hissedarlara "Yapay zekanın hatasıydı" savunması hukuken ve ticari olarak geçerli kabul edilmez.

Şirket içi politika belgesi bu sorumluluk zincirini açıkça belirtmelidir: Çıktıyı iş akışına dahil eden personel ve o personelin bağlı bulunduğu birim yöneticisi, bilginin doğruluğunun nihai teminatçısıdır. Halüsinasyon ihtimali yüksek olan yaratıcı görevler ile kesin bilgi gerektiren operasyonel görevler ayrıştırılmalı; riskli görevlerde sistem prompt seviyesinde sıcaklık (temperature) parametresi 0.0 veya 0.2 gibi deterministik seviyelere çekilmiş RAG mimarileri zorunlu kılınmalıdır.