Yapay Zeka Kullanım Politikası Nasıl Oluşturulur?

Secure Fors — Yapay Zeka Yönetişim Serisi

Yapay Zeka Kullanım
Politikası Nasıl
Oluşturulur?

İçeriği ne olmalı, nasıl duyurulmalı, kapsamı ne kadar geniş tutulmalı, hangi hatalardan kaçınılmalı? Politikayı hazırlayacak ya da mevcut politikayı gözden geçirecek kurumlar için eksiksiz rehber.

Bu yazı kime hitap ediyor?

►

Kurumunda ilk AI politikasını hazırlayacak olanlara

►

Mevcut politikasını güncellemek veya sıfırdan yeniden yazmak isteyenlere

►

ISO 27001 veya KVKK kapsamında YZ yönetişimi kanıtı gereken ekiplere

►

Politikayı onaylayacak üst yönetim ve hukuk ekiplerine

Bu Yazıda

  1. Yazmadan Önce: Envanter ve Hazırlık Aşaması
  2. Politikanın Olmazsa Olmaz 8 İçerik Bileşeni
  3. Politikanın Kapsamı: Ne Kadar Geniş, Kimleri Kapsıyor?
  4. Politika Nasıl Duyurulmalı ve Benimsetilmeli?
  5. Politikayı Canlı Tutmak: Güncelleme ve Denetim
  6. En Sık Yapılan 7 Hata
  7. Sık Sorulan Sorular
  8. Örnek Şablon: Yapay Zeka Kullanım Politikası

Kurumsal yapay zeka politikası (AI Policy veya YZ Kullanım Politikası), kurumda yapay zeka araçlarının kim tarafından, hangi verilerle, hangi araçlarla ve nasıl bir denetim altında kullanılabileceğini tanımlayan bağlayıcı belgedir. Şirket büyüklüğünden veya sektörden bağımsız olarak, yapay zeka araçlarının çalışanlar tarafından kullanıldığı her kurum bu belgeye ihtiyaç duyar.

İyi bir AI politikası yasaklar listesi değildir. Amacı üretkenliği kısıtlamak değil, güvenli bir çalışma alanı tanımlayarak hem kurumu hem çalışanı korumaktır. Bu ayrımı içselleştirmeden başlanan politika çalışmaları çoğunlukla kâğıt üzerinde kalır.

1. Yazmadan Önce: Envanter ve Hazırlık Aşaması

Pek çok kurum politika metnini yazmaya direkt başlar. Bu yanlış sıradır. Politika yazmak son adımdır; önce sahada ne olduğunu anlamak gerekir. Üç hazırlık adımı:

H1

Kurumda gerçekte ne kullanıldığını öğrenin

Ağ trafiği analizi, çalışan anketi veya bölüm yöneticileriyle görüşme yoluyla mevcut YZ araç kullanımını haritalayın. Hangi araçlar, hangi bölümler, hangi iş süreçlerinde? “ChatGPT yasak” derken kurumun yarısının onu zaten kullandığını bilmek, politikayı gerçekçi yapan bilgidir.

H2

Veri sınıflandırmanızı netleştirin

Politikanın kalbi, veri sınıflandırmasıdır. Hangi veriniz kamuya açık, hangi veriniz dahili, hangi veriniz gizli, hangi veriniz kritik/kişisel? Eğer kurumunuzda bu sınıflandırma henüz yoksa YZ politikasından önce onu oluşturmanız gerekir; yoksa “hassas veri girmeyin” gibi uygulanamaz hükümler yazarsınız.

H3

Paydaşları masaya getirin

Etkili bir AI politikası tek bir departmanın ürünü değildir. Hazırlık sürecine bilgi güvenliği, BT, hukuk/uyum, İK ve en az bir iş birimi temsilcisini dahil edin. Her birinin farklı bir perspektifi vardır ve politikanın o perspektiflere dayanması, sahiplenmeyi artırır.

2. Politikanın Olmazsa Olmaz 8 İçerik Bileşeni

Her kurum kendi bağlamına göre özelleştirme yapacaktır; ancak aşağıdaki sekiz bileşen eksiksiz ve uygulanabilir bir AI politikasının değişmez çerçevesini oluşturur:

BİLEŞEN 1

Amaç, Kapsam ve Tanımlar

Neden gerekli?

Politikanın neden yazıldığını (kurumu korumak, sorumlu kullanımı desteklemek) ve kimi kapsadığını net belirtmeden başlayan politika, “bu beni bağlıyor mu?” sorusuna yanıt veremez.

Politikada yer almalı

  • Politikanın amacı ve neden yazıldığı
  • Kapsanan bireyler (tam zamanlı, yarı zamanlı, danışman, stajyer)
  • “Yapay zeka”, “üretken YZ”, “LLM”, “onaylı araç” tanımları
  • Politikanın BGYS ve KVKK çerçevesiyle ilişkisi
BİLEŞEN 2

Veri Sınıflandırması ve Kullanım Kuralları

Neden gerekli?

Çalışanların en çok sorduğu soru şudur: “Bu belgeyi bu araca kopyalayabilir miyim?” Bu soruyu yanıtlamadan yazılan politika, günlük karar noktalarında işe yaramaz.

Politikada yer almalı

  • Veri sınıfları: Kamuya açık / Dahili / Gizli / Kişisel veri
  • Her sınıfın hangi araç kategorisiyle kullanılabileceği (Trafik Işığı Modeli)
  • Kişisel veri içeren verilerde mutlak yasak
  • Test ve geliştirme ortamlarında gerçek veri kullanım yasağı
BİLEŞEN 3

Onaylı Araç Listesi ve Araç Onay Süreci

Neden gerekli?

Çalışan onaylanmış araçlara yönlendirilmezse alternatifleri kendisi bulur — bu Shadow AI’ın tam tarifidir. Onaylı liste hem rehber hem de Shadow AI’a karşı bir bariyer işlevi görür.

Politikada yer almalı

  • Onaylı araçlar listesi: araç adı, kullanım kapsamı, lisans türü, veri sınırı
  • Üçlü sınıflandırma: Tüm çalışanlar için / Belirli roller için / Yalnızca BT için
  • Yeni araç talep ve onay süreci (kim talep eder, kim değerlendirir, ne kadar sürer)
  • Kurumsal (Enterprise) lisans ile kişisel hesap ayrımı ve kişisel hesap yasağı
BİLEŞEN 4

İnsan Denetimi (Human-in-the-Loop) ve Hesap Verebilirlik

Neden gerekli?

YZ çıktıları hatalı, önyargılı veya yanıltıcı olabilir. Çalışan “YZ bunu söyledi” diye savunma yapamaz. Kurumun bu sorumluluk zincirini net tanımlaması hem hukuki hem etik açıdan zorunludur.

Politikada yer almalı

  • “YZ çıktısından kullanan çalışan sorumludur” ilkesi
  • YZ hiçbir zaman tek başına karar verici, imza yetkilisi veya onaylayıcı olamaz
  • Dış tarafa sunulan çıktılarda (müşteri raporu, hukuki belge) YZ kullanım beyanı
  • Kritik kararlarda zorunlu insan doğrulama adımı
BİLEŞEN 5

KVKK ve Gizlilik Yükümlülükleri

Neden gerekli?

Kişisel veri içeren herhangi bir girişin yurt dışı sunuculı bir YZ aracına aktarılması KVKK Madde 9 kapsamında hukuki sorumluluk doğurur. Bu bileşen olmayan bir politika, KVKK uyum çerçevesindeki en büyük boşluğu kapatamaz.

Politikada yer almalı

  • Kişisel verilerin (T.C. kimlik, sağlık, finansal vb.) YZ araçlarına girişinin mutlak yasağı
  • Yurt dışı sunuculu araçlar için Madde 9 güvencesi gerekliliği
  • VİS kapsamındaki veri kategorileri için ek kısıtlamalar
  • YZ sağlayıcısının veri işleme sözleşmesi (DPA) zorunluluğu
BİLEŞEN 6

Fikri Mülkiyet ve Gizli Bilgi Koruması

Neden gerekli?

Ticari sırlar, patent başvuruları, stratejik planlar ve kaynak kodu halka açık bir modele girdiğinde ticari sır niteliğini yitirebilir. Çalışan bunu genellikle “zararsız bir taslak yazma isteği” olarak görür.

Politikada yer almalı

  • Ticari sırların ve açıklanmamış stratejik bilgilerin YZ araçlarına girilme yasağı
  • Kaynak kodu, algoritma ve tasarım belgelerinin hangi araçlara girilebileceği
  • YZ tarafından üretilen çıktıların fikri mülkiyet durumu ve telif hakkı belirsizliği
  • Müşteri sözleşmesi kapsamındaki bilgilerin gizlilik yükümlülüğü dahilinde değerlendirilmesi
BİLEŞEN 7

İhlal Bildirimi ve Yaptırım Süreci

Neden gerekli?

Yaptırımı olmayan kural, tavsiye olarak kalır. Çalışanın politikayı ciddiye alması için sonuçlarının gerçek olduğunu bilmesi gerekir. Aynı zamanda çalışanı korumak için “ne yapacağını bilmeden yanlış yaptım” senaryosuna karşı çıkış yolu da tanımlanmalıdır.

Politikada yer almalı

  • İhlal türleri ve ağırlık dereceleri (ihmal / kasıtlı ihlal / tekrarlayan ihlal)
  • İhlal bildirim kanalı: çalışanın kendi bildirmesi durumunda indirimli değerlendirme
  • Yaptırım kademeleri: uyarı → disiplin → iş sözleşmesine yansıma
  • İhlal sonrası acil adımlar: BT’ye bildirim, etkilenen verinin belirlenmesi
BİLEŞEN 8

Gözden Geçirme Takvimi ve Sürüm Yönetimi

Neden gerekli?

YZ alanı aylık değil, haftalık değişiyor. Bugün onaylı olan bir araç, altı ay içinde veri politikasını değiştirmiş ve artık güvenli olmayan bir platforma dönüşmüş olabilir. Statik bir politika hızla eskir ve yanlış güvence verir.

Politikada yer almalı

  • Planlı gözden geçirme sıklığı: en az yılda bir; YZ alanında ideal olarak 6 ayda bir
  • Olağanüstü güncellemeyi tetikleyecek olaylar: büyük araç politika değişikliği, yeni yasa, veri ihlali
  • Sürüm numarası, yürürlük tarihi, onaylayan birim
  • Eski sürümlerin arşivlenmesi ve erişilebilirliği (denetim izi)

3. Politikanın Kapsamı: Ne Kadar Geniş, Kimleri Kapsıyor?

Kapsam kararları, politikanın uygulanabilirliğini doğrudan etkiler. Çok dar tutulursa boşluklar kalır; çok geniş tutulursa uygulanamaz hale gelir. Aşağıdaki dört boyutta netlik şarttır:

Kişi Kapsamı

Politika yalnızca tam zamanlı çalışanları değil, kurumsal veri veya sistemlere erişen herkesi kapsamalıdır.

Dahil

Tam ve yarı zamanlı çalışanlar

Dahil

Danışman ve serbest çalışanlar

Dahil

Stajyerler ve geçici personel

Değerlendir

Tedarikçi ve dış hizmet sağlayıcılar

Araç Kapsamı

Yalnızca ChatGPT gibi sohbet araçlarını değil, tüm YZ özellikli sistemleri kapsamayı düşünün.

Kapsıyor

Üretken YZ sohbet araçları (ChatGPT, Claude, Gemini…)

Kapsıyor

Yazılım geliştirme asistanları (GitHub Copilot, Cursor…)

Kapsıyor

YZ destekli tercüme araçları (DeepL, vb.)

Kapsıyor

YZ özelliği entegre ofis araçları (M365 Copilot, Notion AI…)

Cihaz Kapsamı

Çalışan kişisel cihazından kurumsal veri ile YZ aracı kullanıyorsa bu da kapsama girer. BYOD politikasıyla uyumlu olması sağlanmalıdır.

■

Kurumsal cihazlarda: Politikanın tamamı geçerli

■

Kişisel cihazlarda: Kurumsal veri kullanıldığında politika geçerli

■

Kişisel hesaplar: Kurumsal veriyle kullanımı yasak

Coğrafi ve Yargı Alanı Kapsamı

AB veya başka ülkelerde faaliyet gösteren ya da AB’ye hizmet veren kurumlar için politikanın çok yargı alanını kapsayacak şekilde hazırlanması gerekir.

■

Yalnızca Türkiye’de faaliyet: KVKK + Siber Güvenlik Kanunu

■

AB’ye hizmet veya AB’de faaliyet: EU AI Act eklenir

■

ABD ile iş yapıyorsanız: Sektöre göre HIPAA, SOC 2 vb. ek gereksinimler

4. Politika Nasıl Duyurulmalı ve Benimsetilmeli?

Politikanın yayınlanması, politikanın hayata geçmesi anlamına gelmez. Kurumların en sık yaptığı hata burada başlar: intranet portala yüklenir, bir e-posta gönderilir ve “ilan edildi” sayılır. Bu yaklaşımla oluşturulan politika denetimde kâğıt üzerinde vardır; pratikte ise yoktur.

Etkili duyuru ve benimseme süreci birbirini izleyen dört katmandan oluşur:

Duyuru ve Benimseme: 4 Katman

1

Liderlik İletişimi — Üstten aşağıya mesaj

Politikayı bir bilgi güvenliği veya BT duyurusu olarak değil, üst yönetimden gelen kurumsal bir karar olarak sunun. CEO, CISO veya direktör seviyesinde imzalı bir yazı, politikanın ciddiyetini doğrudan yansıtır. “Güvenlik ekibi bir şeyler yayınladı” ile “yönetimimiz bu konuda ciddi” arasında davranışsal fark büyüktür.

2

Zorunlu Eğitim ve Okundu-Anlaşıldı Kaydı

Politika metnini okumak ile politikayı anlamak farklı şeylerdir. Eğitim, çalışanın kendi iş akışına nasıl uygulayacağını öğrenmesini sağlar. Okundu-anlaşıldı imzası veya dijital onay kaydı ise denetimde “çalışan bildirildi” kanıtını oluşturur. Bu kayıt KVKK kapsamında idari tedbir kanıtı olarak da kullanılabilir.

3

Hızlı Başvuru Kartı — Günlük Kullanım İçin

Politika belgesi çoğunlukla uzun ve teknik bir metindir. Çalışanın her gün başvurması için buna ek olarak tek sayfalık bir “hızlı başvuru kartı” hazırlayın: Trafik Işığı veri sınıflandırması, onaylı araçlar listesi ve ihlal bildirim kanalı. Bu kart ekrana yapıştırılabilecek, paylaşılabilecek formatta olmalıdır.

4

Soru Kanalı ve İlk 90 Gün Desteği

Politika yayınlandığında çalışanların soruları olacaktır. Bunları yanıtlayacak belirli bir kanal (BT servisi, Slack kanalı, e-posta adresi) açın. İlk 90 gün soru-cevap dönemi olarak değerlendirin: gelen sorular, politikada hangi noktaların anlaşılmadığını gösterir ve bir sonraki güncelleme için değerli geri bildirimdir.

Duyuru İçin Önerilen Kanal Kombinasyonu

✉

Üst yönetim e-postası

İlk duyuru ve politika linki ile birlikte

▶

Bölüm toplantıları

Bölüme özgü sorular ve örnekler ile

📄

Hızlı başvuru kartı

Yazdırılabilir veya dijital, her çalışana

📺

Kısa e-öğrenme modülü

Okundu kaydı oluşturulabilecek format

📄

İntranet / BGYS portali

Kalıcı erişim noktası; tüm sürümler arşivli

📝

İşe alım süreci

Yeni çalışanlar için başlangıç eğitimine eklenmeli

5. Politikayı Canlı Tutmak: Güncelleme ve Denetim

Yapay zeka alanı aylık değil haftalar içinde değişiyor. Bugün onaylı olan bir araç, altı ay içinde veri politikasını köklü biçimde değiştirmiş; bugün bilinmeyen bir risk, yaygın bir saldırı vektörüne dönüşmüş olabilir. Bu nedenle AI politikasının etkin olabilmesi için dinamik tutulması zorunludur.

Planlı Gözden Geçirme

ISO 27001 kapsamındaki politikalar için yıllık gözden geçirme standarttır; ancak YZ politikası için 6 ayda bir gözden geçirme daha uygundur. Gözden geçirmede: onaylı araç listesinin geçerliliği, yeni araç talepleri, gerçekleşen ihlaller ve çalışan geri bildirimleri değerlendirilir.

Not: Gözden geçirme tarihi politika metninde açıkça yer almalıdır. Denetçi bunu soracaktır.

Olağanüstü Güncelleme Tetikleyicileri

Aşağıdaki olaylardan herhangi biri gerçekleştiğinde planlı takvim beklenmeden güncelleme yapılmalıdır:

  • Onaylı bir YZ aracının veri politikası değişikliği
  • Kurumda YZ kaynaklı bir güvenlik olayı yaşanması
  • İlgili mevzuatta değişiklik (KVKK, yeni Siber Güvenlik düzenlemeleri)
  • ISO 27001 veya başka bir denetimde YZ politikasına ilişkin bulgu

Uyum İzleme

Politika çıkarıldıktan sonra uyumun izlenmesi gerekir. Bu teknik araçlarla (ağ trafiği analizi, DLP kuralları) ve idari yollarla (periyodik farkındalık testi, bölüm yöneticisi bildirimi) yapılabilir.

DLP sisteminiz YZ servislerine yapılan veri transferlerini izlemeye ayarlı mı? Değilse, politika pratikte gözetimsizdir.

Sürüm Yönetimi ve Arşivleme

Her politika sürümü numaralandırılmalı, yürürlük tarihi ve onaylayan birim kaydedilmeli, eski sürümler erişilebilir biçimde arşivlenmelidir. Bu, bir olay sonrasında “o tarihte hangi politika yürürlükteydi?” sorusunu yanıtlamak için zorunludur.

Örnek format: YZ-POL-001 v1.0 | Yürürlük: 01.06.2025 | Onay: BGYS Komitesi

6. En Sık Yapılan 7 Kritik Hata

Yüzlerce kurum tarafından hazırlanan AI politikaları incelendiğinde yedi hata tekrar tekrar öne çıkmaktadır. Bunların büyük çoğunluğu teknik değil, yapısal ve iletişim kaynaklıdır:

H1

Veri sınıflandırması olmadan politika yazmak

“Hassas veri kullanmayın” hükmü, kurumda neyin hassas sayıldığı tanımlı değilse anlamsızdır. Veri sınıflandırması olmadan yazılan AI politikası, çalışanın günlük kararını yönlendirme kapasitesinden yoksundur.

H2

Yalnızca yasakları listelemek, izin verilenler listesi sunmamak

“Bu araçları kullanmayın” dediniz ama çalışan işini yapması gerekiyor. Alternatif olarak ne kullanabileceğini bilmiyorsa kendi çözümünü bulur — Shadow AI’ın ana kaynağı budur. Her yasak, karşısında bir izin verilenler listesi barındırmalıdır.

H3

Üst yönetimi kapsam dışı bırakmak

McKinsey 2025 verisine göre üst düzey yöneticilerin %93’ü onaylanmamış YZ araçları kullanıyor. Yönetimi kapsam dışında tutan politika, en riskli kullanıcı grubunu dışarıda bırakır. Politika herkes için geçerlidir — bu yönetim katına da açıkça iletilmelidir.

H4

KVKK’yı görmezden gelmek

Pek çok AI politikası veri güvenliğinden bahseder ama KVKK yükümlülüklerini ve özellikle Madde 9 yurt dışı veri aktarımı yasağını ayrıca ele almaz. Bu büyük bir eksiktir. YZ aracının sunucusunun Türkiye dışında olması, her kişisel veri girişini potansiyel KVKK ihlaline dönüştürebilir.

H5

Politikayı yayınlayıp bırakmak

İntranet portala yüklenen ve bir yıl sonra güncellenmemiş politika, sektörün değişim hızında çok çabuk geçersiz hale gelir. “Politikamız var” demek, politikanın uygulandığı veya güncel olduğu anlamına gelmez. Güncelleme mekanizması olmayan politika zamanla kurumu korumaz hale gelir.

H6

Tedarikçi ve danışmanları kapsam dışı bırakmak

Bir danışman firma verilerinizle çalışırken kendi YZ araçlarını kullanıyorsa bu da sizin riskinizdir. Tedarikçi sözleşmelerine YZ kullanım kısıtlamaları eklemeden yapılan AI politikası, dış kaynak kullandığı noktalarda tamamen delik kalır.

H7

YZ ajanlarını ve otomasyonları atlamak

Pek çok AI politikası sohbet araçlarını (ChatGPT vb.) kapsar ama sistemlere entegre edilmiş YZ ajanlarını, RPA + YZ kombinasyonlarını ve API üzerinden bağlı modelleri gözden kaçırır. Üretken YZ’nin gelişimiyle bu araçlar giderek daha yaygın hale gelmekte; politika boşluğu da buna paralel büyümektedir.

7. Sık Sorulan Sorular

Politikanın kaç sayfadan oluşması gerekir?

Uzunluk değil kapsam ve netlik belirleyicidir. Uygulamada işlevsel bir AI politikası genellikle 4–8 sayfa arasında olur: giriş ve kapsam, veri sınıflandırması, onaylı araçlar listesi, sorumluluklar, ihlal süreci ve gözden geçirme takvimi. Buna ek olarak çalışana yönelik ayrı bir tek sayfalık hızlı başvuru kartı hazırlanması önerilir. Politika ne kadar uzun yazılırsa çalışanın onu okuması da o kadar düşük olasılıklıdır.

Politikayı kim onaylamalı?

İdeal onay zinciri şöyle şekillenir: Bilgi güvenliği veya BT birimi hazırlar; hukuk/uyum birimi KVKK ve ilgili yasal boyutları inceler; İK politikanın çalışan boyutunu değerlendirir; üst yönetim (genel müdür veya direktör düzeyi) onaylar. ISO 27001 kapsamındaki kurumlar için politikanın BGYS komitesi tarafından onaylanması ve bu onayın belgeli olması ek önem taşır.

ChatGPT Enterprise edindik, kişisel hesap yasağı kaldırılabilir mi?

Enterprise lisans, kurumsal güvence sağlar: veriler model eğitimine dahil edilmez, merkezi yönetim ve denetim imkânı sunar. Bu çerçevede kurumsal hesap üzerinden kullanımın bir kısım verilerle (dahili ve gizli, ancak kişisel veri hariç) açılması mantıklıdır. Ancak kişisel hesap üzerinden kurumsal veri kullanım yasağı korunmalıdır; zira kişisel hesaptaki veri işleme koşulları farklıdır ve denetim dışındadır. Ayrıca Enterprise alınmış olsa bile çalışanın hangi verilerle kullanabileceği hâlâ sınıflandırmaya dayalı olarak politikada tanımlı olmalıdır.

Küçük ölçekli bir firmada ayrı bir AI politikasına gerek var mı?

Büyüklükten bağımsız olarak, KVKK kapsamında kişisel veri işleyen her kurum için YZ araçlarına ilişkin bir kullanım çerçevesi belirlemek önerilir. Küçük ölçekli bir firmada bu bağımsız bir politika belgesi olmak zorunda değildir; mevcut bilgi güvenliği veya kabul edilebilir kullanım politikasına eklenen bir bölüm olarak da biçimlendirilebilir. Önemli olan çalışanın ne yapabileceği ve ne yapamayacağını bilmesi ve bu bilginin belgelenmiş olmasıdır.

ISO 27001 sertifikasyon sürecinde AI politikası zorunlu mu?

ISO 27001:2022, YZ politikasını başlı başına zorunlu kılmaz. Ancak Madde 5.2 (Politika), Madde 6.1 (Risk ve fırsatların ele alınması) ve Ek A kontrolleri kapsamında YZ araçlarının kullanımının yönetildiğine dair kanıt beklenir. Özellikle Ek A 5.10 (Bilgi ve diğer varlıkların kabul edilebilir kullanımı) ve 5.12 (Bilgi sınıflandırma) kapsamında YZ araçlarına ilişkin bir çerçevenin bulunmaması denetimde soru işareti yaratır. Denetçi “çalışanlar YZ araçlarını nasıl kullanıyor, bu nasıl kontrol ediliyor?” diye sorduğunda yanıtınız olmalıdır.

8. Örnek Şablon: Yapay Zeka Kullanım Politikası

Aşağıdaki şablon, kurumunuzun ihtiyaçlarına göre özelleştirilebilecek bir başlangıç çerçevesi sunar. Köşeli parantez içindeki alanlar [kuruma özgü bilgi] ile doldurulmalıdır.

Uyarı: Bu şablon bilgilendirme amacıyla sunulmaktadır. Kurumunuzun hukuki, sektörel ve teknik gereksinimleri farklılık gösterebilir. Uygulamadan önce hukuk ve bilgi güvenliği ekiplerinizle gözden geçirmeniz önerilir.

Yapay Zeka Kullanım Politikası — Doldurmaya Hazır Şablon

Belge No: [YZ-POL-001]

Sürüm: [1.0]

Yürürlük: [gg.aa.yyyy]

Kurum

[KURUM ADI]

Yapay Zeka Kullanım Politikası

1. AMAÇ

Bu politika, [KURUM ADI] bünyesinde yapay zeka (YZ) araçlarının güvenli, sorumlu ve yasal düzenlemelere uygun biçimde kullanılmasını sağlamak amacıyla hazırlanmıştır. Politikanın hedefleri şunlardır: kurumsal veri ve kişisel verilerin korunması, KVKK başta olmak üzere ilgili mevzuata uyumun güvence altına alınması, Shadow AI olarak adlandırılan denetimsiz ve yetkisiz YZ kullanımının önüne geçilmesi ve çalışanlara güvenli bir kullanım çerçevesi sunularak inovasyonun desteklenmesi.

2. KAPSAM

Bu politika; kurumun tüm tam ve yarı zamanlı çalışanlarını, danışmanları, stajyerleri ve [kurumsal veri veya sistemlere erişen diğer tarafları] kapsar.

Politika, kurumsal cihazlarda ve kişisel cihazlarda kurumsal veriyle gerçekleştirilen tüm YZ araç kullanımlarını kapsar. Aşağıdaki araç kategorilerini kapsamaktadır: üretken YZ sohbet araçları (ChatGPT, Claude, Gemini ve benzerleri), kod geliştirme asistanları (GitHub Copilot, Cursor ve benzerleri), YZ destekli çeviri ve metin araçları ile kurumsal yazılımlara entegre YZ özellikleri (Microsoft 365 Copilot, Notion AI ve benzerleri).

3. TANIMLAR
Terim Tanım
Yapay Zeka (YZ) Aracı Büyük dil modelleri (LLM), üretken YZ sistemleri ve yapay zeka destekli uygulamaların tümü.
Onaylı Araç Bilgi güvenliği biriminin değerlendirdiği ve Ek-1’deki listede yer alan YZ araçları.
Shadow AI Kurum onayı alınmadan, BT denetimi dışında kullanılan YZ araçları.
Kişisel Hesap Çalışanın kişisel e-posta veya kişisel bilgilerle oluşturduğu YZ araç hesabı.
Kurumsal Hesap Kurumun satın aldığı, merkezi olarak yönetilen ve veri işleme garantileri olan YZ araç lisansı.
4. VERİ SINIFLANDIRMASI VE KULLANIM KURALLARI

Aşağıdaki trafik ışığı modeli, hangi verinin hangi araç kategorisiyle kullanılabileceğini gösterir. Tüm çalışanlar bu tabloyu günlük YZ kullanım kararlarında esas alır.

Renk Veri Sınıfı Örnekler YZ Araç Kullanım Kuralı
KIRMIZI
Kesinlikle Yasak		 T.C. kimlik no, sağlık verisi, biyometrik veri, müşteri kişisel bilgileri, çalışan özlük bilgileri, açıklanmamış finansal veriler, kaynak kodu, patent başvuruları, sözleşmeler Hiçbir YZ aracına — kurumsal veya halka açık — girilemez.
SARI
Koşullu Kullanım		 Stratejik planlar (kimlik bilgisi temizlenmiş), iç raporlar, proje taslakları, müzakere pozisyonları Yalnızca kurumsal hesap üzerinden, veri anonimleştirilmiş veya kurum adı/kimlik bilgileri temizlenmiş biçimde kullanılabilir.
YEŞİL
Serbestçe Kullanılabilir		 Kamuya açık veriler, genel yazma ve düzenleme görevleri, teknik kavram araştırması, formatlama, kurum adı/kimlik bilgisi içermeyen taslaklar Onaylı araçlarla, kurumsal veya kişisel hesap üzerinden kullanılabilir.
5. ONAYLI ARAÇLAR VE KISITLAMALAR

5.1 Onaylı Araç Listesi (Ek-1)

Kurumun onayladığı YZ araçları, her aracın kullanım kapsamı ve veri sınıfı kısıtlamalarıyla birlikte Ek-1’de listelenmektedir. Ek-1, bilgi güvenliği birimi tarafından en az [6 ayda bir] güncellenir.

Ek-1 Örnek Tablosu (Kuruma özgü doldurulacak)

Araç Adı Lisans Türü Kullanım Kapsamı Azami Veri Sınıfı Yetkili Kullanıcılar
[Araç Adı] [Enterprise / Kişisel] [Yazı / Kod / Analiz…] [Yeşil / Sarı] [Tüm çalışanlar / BT…]
… (Diğer onaylı araçlar Ek-1’e eklenir)

5.2 Kişisel Hesap Kullanım Yasağı

Çalışanlar, kurumsal veriyi kişisel e-posta veya kişisel bilgileriyle oluşturdukları YZ araç hesaplarında kullanamaz. Kurumun temin ettiği Enterprise lisanslı araçlar, kurumsal hesap üzerinden kullanılır.

5.3 Yeni Araç Talep Süreci

Onaylı listede yer almayan bir YZ aracının kullanılmak istenmesi durumunda çalışan, [talep kanalı: servis masası / e-posta adresi] üzerinden bilgi güvenliği birimine başvurur. Değerlendirme süresi en fazla [X iş günü]‘dür. Onay alınmadan araç kullanılamaz.

6. İNSAN DENETİMİ VE SORUMLULUK
▲

Çalışan sorumluluğu: YZ araçları tarafından üretilen her çıktıdan, o çıktıyı kullanan çalışan sorumludur. “YZ bunu önerdi” geçerli bir savunma değildir.

▲

Karar verici yasağı: YZ araçları hiçbir koşulda tek başına karar verici, onaylayıcı veya imza yetkilisi olarak kullanılamaz.

▲

Doğrulama yükümlülüğü: YZ çıktıları kullanılmadan önce doğruluğu, uygunluğu ve gizlilik gereksinimleri açısından çalışan tarafından kontrol edilir.

▲

Beyan yükümlülüğü: Dış taraflara (müşteri, denetleyici kurum) sunulan raporlarda YZ araçlarından önemli ölçüde yararlanıldıysa bu durum [kurum politikasına göre belirlenen ölçüde] beyan edilir.

7. KVKK VE KİŞİSEL VERİ KORUMASI

6698 sayılı KVKK kapsamında kişisel veri içeren her türlü bilginin YZ araçlarına girilmesi kesinlikle yasaktır. Bu yasak, araç türü veya lisans modelinden bağımsız olarak geçerlidir.

Kişisel veri kapsamında değerlendirilen veri türleri şunlardır ancak bunlarla sınırlı değildir: ad-soyad, T.C. kimlik numarası, iletişim bilgileri, sağlık ve biyometrik veriler, finansal bilgiler, işe alım ve özlük dosyası verileri.

YZ araçlarına kişisel veri girildiğinin fark edilmesi veya şüphe duyulması halinde, çalışan durumu derhal [bilgi güvenliği birimine / DPO’ya] bildirmekle yükümlüdür.

8. İHLAL BİLDİRİMİ VE YAPTIRIMLAR

8.1 İhlal Bildirimi

Bu politikaya aykırı bir kullanım gerçekleştiğinde veya şüphe duyulduğunda çalışan, [bildirim kanalı: e-posta/servis masası/telefon] aracılığıyla bilgi güvenliği birimine en kısa sürede bildirimde bulunur. Kendi kendine bildirimi teşvik etmek amacıyla, kasıtlı olmayan ihlallerde gönüllü bildirim, değerlendirmede olumlu unsur olarak dikkate alınır.

8.2 Yaptırımlar

İhlal Türü Yaptırım
Farkındalık eksikliğinden kaynaklanan, ilk kez gerçekleşen ihmal Yazılı uyarı ve zorunlu ek eğitim
Tekrarlayan ihmal veya politikayı bilmesine rağmen bilinçli risk alma Disiplin soruşturması, YZ araç erişim kısıtlaması
Kasıtlı ihlal veya veri sızdırma amacıyla yanlış kullanım İş sözleşmesine yansıma ve/veya hukuki işlem
KVKK kapsamında kişisel veri ihlali gerçekleşmesi Kurul’a 72 saat bildirimi, kapsamlı soruşturma; bireysel yaptırım ihlal türüne göre belirlenir
9. POLİTİKA GÜNCELLEMESI VE SÜRÜM YÖNETİMİ

Bu politika [6 ayda bir] düzenli olarak gözden geçirilir. Aşağıdaki olayların gerçekleşmesi durumunda planlı takvim beklenmeksizin güncelleme yapılır: onaylı araçlardan birinin veri politikasının önemli ölçüde değişmesi, kurumda YZ kaynaklı bir güvenlik olayı yaşanması, ilgili mevzuatta değişiklik veya ISO 27001 denetiminde bu politikaya ilişkin bulgu elde edilmesi.

Her sürüm; belge numarası, sürüm numarası, yürürlük tarihi ve onaylayan birim ile birlikte arşivlenir. Eski sürümlere [BGYS portalı / arşiv konumu] üzerinden erişilebilir.

10. ONAY VE YÜRÜRLÜK

Hazırlayan

[Ad Soyad]

Bilgi Güvenliği Birimi

[Tarih]

İnceleyen

[Ad Soyad]

Hukuk / Uyum Birimi

[Tarih]

Onaylayan

[Ad Soyad]

Üst Yönetim / BGYS Komitesi

[Tarih]

Bu şablon Secure Fors Siber Güvenlik tarafından hazırlanmıştır — securefors.com

Kurumunuza özel hazırlanmış, tam kapsamlı bir AI Policy için bize ulaşın.

Secure Fors — Yapay Zeka Yönetişim Danışmanlığı

Yapay Zeka Politikanızı
Birlikte Oluşturalım

Kurumunuza özgü veri sınıflandırması, onaylı araç listesi, KVKK uyumu ve ISO 27001 entegrasyonunu da kapsayan, denetlenebilir ve uygulanabilir bir yapay zeka kullanım politikası hazırlamanıza destek oluyoruz.

✓

Mevcut durum analizi ve Shadow AI tespiti

✓

Veri sınıflandırması ve Trafik Işığı Modeli

✓

Kurumsal AI Policy belgesi hazırlanması

✓

KVKK ve ISO 27001 ile uyum sağlanması

✓

Çalışan eğitimi ve farkındalık programı

✓

ISO 42001 yönetişim yol haritası

Sosyal medyada paylaş
Facebook
Twitter
LinkedIn
Telegram