Şirket içi yapay zekâ kullanım politikası: hangi veri, hangi araç, hangi onay?

Çalışan dosyayı yüklemeden önce neye bakacak?

Bir çalışan katalog metnini kısaltıyor, diğeri fiyat listesini düzenliyor, üçüncüsü müşteri şikâyetlerini özetliyor. Üçü de aynı sohbet ekranını kullanıyor olabilir; fakat verdikleri bilgi ve ürettikleri sonuç aynı değildir. Kullanım politikası, çalışanın bu farkları anlayıp sonraki adımı seçebilmesini sağlamalıdır. Yalnız ‘dikkatli kullanın’ demek, hangi dosyanın hangi ortamda işlenebileceğini açıklamaz. İlk hedefiniz kolay okunur bir karar yolu oluşturmaktır.

KVKK'nın iş yeri yayını, açık kurumsal politika ve yönlendirme olmadan gelişen kullanıma dikkat çeker. Aşağıdaki taslak, bu ihtiyacı somutlaştıran özgün bir eğitim örneğidir.Kaynak: KVKK — İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı

Bu metin tamamlanmış bir hukuk uygunluğu belgesi değildir. Örnek şirketin gerçek sözleşmelerini veya veri işleme koşullarını bilmiyoruz. Taslak, kurumun yetkili hukuk, veri ve BT sorumlularının değerlendirmesini gerektiren alanları görünür tutar. Bir aracın kurumsal hesapla açılması önemli bir bilgi olabilir; buna dayanarak her veri sınıfına otomatik izin verilmez. Aynı şekilde yalnız isimleri silmek de bütün aktarım sorularını çözmez.

Araç adından önce görevi ve ortamı tanımlayın

A ortamı: Kurum tarafından yönetilen çalışma alanı. Bu örnekte yalnız kamuya açık ve belirli iç içerik görevleri için onaylı. Kişisel veri içeren görevlerin izni yok.
B ortamı: Çalışanın kişisel hesabı. Kurum adına kullanım ve veri koşulları incelenmemiş.
Bu adlar gerçek bir sağlayıcının güvenlik derecesini veya hukuki durumunu temsil etmez.

Katalog kamuya açık diye B hesabının kurum adına kullanımı incelenmiş olmaz. Bu örnekte karar yalnız gizlilik düzeyine değil, şirketin araç kullanım kuralına da bağlıdır. Fiyat listesinin A ortamında işlenmesi ise ‘A onaylı’ etiketinden ibaret değildir; hangi amaç, kullanıcı grubu ve veri kümesi için izin verildiği kayda geçmelidir. Yetki kapsamı bulunamazsa çalışanın belirsizliği kendi varsayımıyla kapatması beklenmez.

Destek mesajları için ilk hazırlık, yapılacak analizin gerçekten hangi alanlara ihtiyaç duyduğunu belirlemektir. Veri azaltma makalesindeki alan-amaç tablosu burada kullanılabilir. Azaltmanın izinli bir ortamda yapılması ve kalan verinin tekrar değerlendirilmesi gerekir. Tablonun sonucu ‘kişisel veri varsa hiçbir iş yapılamaz’ değildir; verilmiş bir yetki ve uygun işleme koşulu olmadan aktarım başlatılmamasıdır. Bu ayrım, faydalı görevi tamamen yasaklamak yerine doğru hazırlık işini tanımlar.

Kısa metinde kararın sahibini açık bırakmayın

Politikanın sahibi ile günlük soruyu cevaplayan kişi farklı olabilir. Yönetim ilkeyi onaylar; BT izinli ortamın durumunu tutar; veri sahibi kendi kayıtlarının görev kapsamında kullanılmasını değerlendirir. Çalışanın bilmesi gereken, kararsız kaldığında hangi role nasıl ulaşacağıdır. ‘Gerekli izinleri alın’ ifadesi tek başına yeterli değildir. Başvuru yolunda görevin kısa açıklaması ve kullanılan veri sınıfı istenebilir; onay istemek için ham dosyanın herkese dağıtılması gerekmez.

Çıktı kontrolü de görev türüne bağlanmalıdır. Bir iç özetin kaynak doğruluğu ile müşteriye sunulan fiyatın yetkisi aynı sorumluluk değildir. Kontrol eden kişi yalnız yazım hatasını düzeltip ticari koşulların onaylandığını varsaymamalıdır. Politika, AI çıktısını teslim eden iş sahibinin sorumluluğunu anlaşılır tutar. Teknik kısıtlar mümkün olan davranışları daraltabilir; kısa bir metindeki yasak cümlesi tek başına bu kısıtların uygulanmış olduğuna kanıt sayılmaz.

Bir istisna genel izne dönüşmesin

Politikanın erişilebilir kopyası da yönetilmelidir. İzinli araç listesinin eski bir ekran görüntüsü ekip içinde dolaşıyorsa çalışan doğru niyetle yanlış kayda dayanabilir. Tek başvuru noktası, güncel sürüm tarihi ve sorumlu rol birlikte gösterilsin. Değişiklik duyurusunda hangi görevin etkilendiği örnekle açıklansın. Böylece kullanıcı yalnız yeni metni okumakla kalmaz; kendi alıştığı işin hangi adımında farklı davranması gerektiğini anlayabilir.

İstek: İç fiyat listesinden ürün grubu özeti.
Ortam: A; yalnız satın alma çalışma grubu.
Kapsam: Seçilen dönem ve ürünler; müşteri satırları yok.
Karar sahibi: Fiyat verisi sorumlusu.
Süre: Bu analiz tamamlanana kadar; sonraki kullanım yeniden değerlendirilecek.
Çıktı: İç değerlendirme tablosu; dış paylaşım izni içermez.
Kapanış: Çıktı kontrolü ve çalışma kopyasının kurum kuralına göre yönetimi.

Bu kartın amacı çok sayıda onay üretmek değildir. Tekrarlanan düşük belirsizlikli işler için önceden tanımlanmış kapsam bulunabilir. İstisna, bu kapsamın dışında kalan kararı açıklamalıdır. Süresi ve görevi belli olmayan ‘AI kullanımına uygundur’ notu zamanla başka işlere taşınabilir. Her yeni dosyada aynı onayı baştan almak da gereksiz yük yaratabilir. Kurum, hangi değişikliğin yeniden inceleme gerektirdiğini açıkça tanımlayarak iki durumu ayırır.

Politikayı üç çalışan sorusuyla deneyin

Bağlam: Sentetik kurumun A/B ortam kaydı ve üç görev tablosu. Görev: Her görevde işlem yapılabilir mi, hangi izin eksik, kim değerlendirmeli açıkla. Araç markasından güvenlik veya hukuk uygunluğu çıkarma. Eksik onayı verilmiş sayma. Çıktı: görev, mevcut karar, eksik kanıt ve sorumlu rol. Kontrol: Her izin verilen kapsamla sınırlı kalmalı; veri azaltma aktarım izni yerine geçmemeli.

1. Çalışan doğru ortamı ayırt edebiliyor mu?
2. Veri sahibini ve açık izni bulabiliyor mu?
3. Çıktının dışarıya gönderilip gönderilemeyeceğini anlıyor mu?
4. Görev değişince hangi kararı yenileyeceğini biliyor mu?

Küçük alıştırma: Fiyat listesi için verilen istisna kartı kullanılarak aynı dosyaya müşteri adları eklensin. Eski onay geçerli midir? Beklenen cevap, veri kapsamı değiştiği için kartın bu yeni görevi kapsamadığıdır. Çalışma kopyası eski kapsamda tutulur veya yeni inceleme istenir. Yalnız dosya adının aynı kalması yetkiyi genişletmez. Politikanın yararı, çalışan bu durumu belgeyi ezberlemeden açıklayabildiğinde ortaya çıkar.