Şirket yapay zeka kullanım politikası, çalışanların hangi yapay zeka araçlarını, hangi işlerde, hangi veriyle ve kimin onayıyla kullanabileceğini yazılı hale getiren kurum içi belgedir. İyi bir politika yasak listesinden ibaret değildir: kapsamı, rolleri, kullanım senaryosu onayını, çıktı sorumluluğunu, eğitimi ve gözden geçirme takvimini tek yerde toplar ve imzayla yürürlüğe girer.
Politika yokken şirkette ne oluyor?
Çoğu şirkette yapay zeka kullanımı bir karar olarak değil, bir alışkanlık olarak başladı. Pazarlama metin yazdırıyor, satış teklif özetliyor, yazılım ekibi kod tamamlatıyor, İK ilan metni hazırlatıyor. Her ekip kendi aracını ve kendi kuralını seçmiş durumda. Bu kullanımların iyi kurgulanmış hallerini pazarlamada yapay zeka ve yapay zeka ile teklif hazırlama yazılarımızda anlattık.
Sorun, bu dağınıklığın kimseye ait olmamasıdır. Hangi aracın onaylı olduğunu, yapay zekanın hazırladığı bir sözleşme maddesinden kimin sorumlu olduğunu ya da yeni bir aracın kim tarafından değerlendirileceğini soran çalışan net bir cevap alamaz. Bir olay yaşandığında da "bunu yapmayın" diyen yazılı bir kural bulunmadığı için ne eğitim ne disiplin süreci işler.
Veri tarafındaki riskleri, yani ChatGPT benzeri araçlara neyin girilmemesi gerektiğini ChatGPT ve şirket verisi güvenliği yazımızda ayrıntılı anlattık. Bu yazı bir adım geri çekiliyor ve o kuralları taşıyacak belgenin kendisini ele alıyor: hangi bölümlerden oluşur, kim sahiplenir, nasıl onaylanır ve kâğıtta kalmadan nasıl uygulanır.
Politikasız kullanımın maliyeti
Türkiye'de düzenleyici artık bu boşluğu açıkça adlandırıyor. Kişisel Verileri Koruma Kurumu'nun iş yerlerindeki üretken yapay zeka kullanımına ilişkin duyurusu durumu şöyle özetliyor:
Özellikle bu araçların kullanımının her zaman açık biçimde tanımlanmış bir kurumsal strateji, politika veya yönlendirme çerçevesi içerisinde gerçekleşmemesi ve çoğu durumda çalışanların günlük işlerini kolaylaştırmaya yönelik bireysel tercihler doğrultusunda şekillenmesi, üretken yapay zeka araçlarının kurumsal düzeyde izlenmesi ve yönetilmesini zorlaştırabilmektedir. (KVKK, "İş Yerlerinde Üretken Yapay Zeka Araçlarının Kullanımı" duyurusu, 5 Mart 2026)
Politika boşluğu ihlal verilerinde de görülüyor. IBM Cost of a Data Breach Report 2025 bülteninde ihlal yaşayan kuruluşların %63'ünün yapay zeka yönetişim politikası yoktu ya da hâlâ hazırlanıyordu. Politika, olaydan sonra aceleyle yazılan bir belge olmamalı.
Belirsizlik kullanmayanları da durduruyor. OECD'nin 2025 D4SME KOBİ anketine göre ankete katılan ve üretken yapay zeka kullanmayan KOBİ'lerin %67'si onu nasıl kullanacağından ya da risklerinden emin değildi. Net bir politika, bu kararsız çoğunluğa "şu araçla, şu işte, şu sınırla kullanabilirsin" diyerek kontrollü kullanımın önünü açar.
Olay sayısı da artıyor: Stanford AI Index 2026 raporuna göre AI Incident Database'e kaydedilen yapay zeka kaynaklı olaylar 2024'teki 233'ten 2025'te 362'ye çıktı. Olaylar çeşitlendikçe tek tek yasaklarla yetişmek imkânsızlaşır; ilke ve süreç koyan bir belge gerekir.
Şirket yapay zeka kullanım politikasında hangi bölümler olmalı?
Politikanın uzunluğu değil, her bölümün bir soruyu cevaplaması önemlidir. Aşağıdaki iskelet çoğu KOBİ ve orta ölçekli şirket için yeterlidir; mevcut bilgi güvenliği politikanıza ek olarak da yazılabilir.
| Bölüm | Cevapladığı soru | Sık yapılan hata |
|---|---|---|
| Amaç ve kapsam | Kimi ve hangi araçları kapsar? Tedarikçiler ve stajyerler dahil mi? | Yalnızca "ChatGPT" demek; e-posta, ofis ve CRM'e gömülü yapay zekayı unutmak |
| Tanımlar | Üretken yapay zeka, ajan, onaylı araç, hassas veri ne demek? | Tanımsız terimlerle yoruma açık kural yazmak |
| Roller ve sorumluluklar | Politikanın sahibi, onay veren, uygulayan kim? | Sorumluluğu yalnızca BT'ye bırakmak |
| Onaylı araçlar ve kullanım senaryoları | Hangi araç hangi işte kullanılabilir? | Araç listesi var, senaryo ayrımı yok |
| Veri kuralları | Hangi veri sınıfı hangi araca girebilir? | Veri sınıflandırmasına bağlanmamış genel ifade |
| Çıktı sorumluluğu ve şeffaflık | Çıktıyı kim kontrol eder, müşteriye ne zaman belirtilir? | "Yapay zeka yazdı" savunmasına açık kapı bırakmak |
| Yasaklı kullanımlar | Hangi işlerde asla kullanılmaz? | Çalışanlar hakkında otomatik karar konusunu atlamak |
| Yeni araç ve istisna süreci | Listede olmayan bir araç nasıl talep edilir? | Talep yolunun olmaması, gölge kullanıma itmek |
| Olay bildirimi | Yanlış veri girildiğinde ne yapılır, kime bildirilir? | Cezalandırıcı dil, bildirimin saklanması |
| Eğitim ve gözden geçirme | Kim, ne zaman eğitilir; belge ne sıklıkla güncellenir? | Bir kez yazıp unutmak |
Veri kuralları bölümü, kurumdaki veri sınıflandırmasına dayanmalıdır; sınıfların ve sahiplerin nasıl belirleneceğini veri yönetişimi çerçevesi yazımızda anlattık. Kişisel veri içeren senaryolarda hukuki sebep ve yurt dışı aktarım sorularını politikaya değil, yapay zeka ve KVKK değerlendirmenize bağlayın; politika yalnızca "bu değerlendirme yapılmadan kişisel veri girilmez" demelidir.
Araç değil kullanım senaryosu onaylayın: yeşil, sarı, kırmızı
Politikaların en sık tökezlediği nokta, yalnızca araç onaylamaktır. Aynı araç bir işte zararsız, başka bir işte ciddi risk taşır. Bu yüzden onayı "araç + senaryo + veri sınıfı" üçlüsüne verin ve senaryoları üç renge ayırın:
| Renk | Örnek senaryo | Koşul |
|---|---|---|
| Yeşil: serbest | Kamuya açık bilgiden taslak metin, genel araştırma, yazım düzeltme | Onaylı araç ve kurumsal hesap |
| Sarı: koşullu | Müşteriye gidecek yazışma, iç belgeden özet, kod önerisi, çeviri | Onaylı araç, insan kontrolü, kaynağın doğrulanması |
| Kırmızı: yasak veya özel onaylı | İşe alım ve performans kararı, kredi ya da fiyat kararı, sağlık verisi, sözleşmenin nihai metni | Ancak ayrı risk değerlendirmesi ve yönetim onayıyla |
Sarı senaryolarda insan kontrolünün neden şart olduğunu yapay zeka halüsinasyonu yazımızda örneklerle gösterdik. Kırmızı listede çalışanlar hakkındaki kararlar özellikle önemlidir; çalışan verisinin işlenme sınırlarını çalışan kişisel verileri ve KVKK rehberimizde ele aldık.
Yapay zekanın yalnızca metin üretmediği, sistemlerde işlem yaptığı senaryolar ayrı bir başlık ister. Ajanlara hangi yetkinin verileceğini ve hangi adımda onay aranacağını yapay zeka ajanı yazımızdaki kontrol listesiyle politikaya ekleyebilirsiniz. Ajanın okuduğu belge ya da e-postaya gizlenmiş talimatlara karşı önlemleri prompt enjeksiyonu yazısında anlattık.
Politikayı yazıp yürürlüğe koymanın 7 adımı
- Mevcut kullanımı çıkarın. Kısa ve cezai sonuç içermeyen bir anketle hangi ekibin hangi aracı hangi iş için kullandığını öğrenin. Politika gerçek kullanımı düzenlemeli, hayali bir durumu değil.
- Sahibi ve kurulu belirleyin. Politikanın bir sahibi olsun; yanında BT/güvenlik, hukuk veya KVKK sorumlusu ve bir iş birimi temsilcisinden oluşan küçük bir onay grubu kurun.
- Senaryo matrisini yazın. Anketten çıkan her kullanımı yeşil, sarı ya da kırmızı olarak sınıflandırın ve onaylı araçları bu matrise bağlayın. Tedarikçi değerlendirmesini tedarikçi bilgi güvenliği değerlendirmesi sorularıyla yapın.
- Talep ve istisna yolunu açın. Yeni araç ya da senaryo için tek sayfalık bir talep formu ve makul bir cevap süresi belirleyin. Yol yoksa çalışan izin istemeden kullanır.
- Teknik kontrolleri eşleştirin. Kurumsal hesap zorunluluğu, web filtreleme ve veri kaybı önleme kurallarıyla politikayı destekleyin; kural ve kontrolün nasıl eşleştiğini DLP ile veri sızıntısı önleme yazımızda anlattık.
- Eğitin ve imzalatın. Politikayı örnek senaryolarla anlatan kısa bir eğitim verin ve okunduğunu kayıt altına alın; bunu mevcut siber güvenlik farkındalık eğitimi programınıza bağlamak işi kolaylaştırır. Eğitimin rol ve iş tanımlarıyla nasıl birleştiğini çalışan ve yapay zeka iş birliği yazımızda anlattık.
- Ölçün ve güncelleyin. Talep sayısı, istisnalar ve bildirilen olaylar üzerinden en az yılda bir, yeni bir araç ya da mevzuat değişikliğinde ise hemen gözden geçirin.
AB pazarında yapay zeka sistemi sunan ya da yapay zeka çıktıları AB'de kullanılan şirketler için bir not: AB Yapay Zeka Yasası'nın yapay zeka okuryazarlığı yükümlülüğü Avrupa Komisyonu'nun uygulama takvimine göre 2 Şubat 2025'ten beri uygulanıyor. Altıncı adımdaki eğitim kayıtları bu açıdan da işe yarar; yasanın Türk şirketlerini hangi durumda kapsadığını AB Yapay Zeka Yasası yazımızda anlattık.
Politika kâğıtta kalmasın: güvenli alternatif ve sürekli yönetim
Bir politika ancak çalışana yasakladığı şeyin yerine bir seçenek sunduğunda tutulur. "Müşteri belgesini dış araca yapıştırma" kuralı, "bunu şu kurumsal asistanda yapabilirsin" cevabıyla birlikte gelmelidir. Yetkiye bağlı ve kurum belgeleri üzerinde çalışan bir asistanın mimarisini RAG nedir yazımızda açıkladık.
Politikanın yaşaması için şu üç göstergeyi düzenli izleyin: onay bekleyen talep sayısı, kırmızı senaryolara ilişkin istisnalar ve olay bildirimleri. Bildirim sayısının sıfır olması, sorun olmadığından çok çalışanların bildirmekten çekindiğine işaret edebilir. Bu yüzden olay bölümünde iyi niyetli bildirimi cezalandırmayan bir dil kullanın.
Yapay zekaya kurum olarak nereden başlayacağınızı henüz belirlemediyseniz politikayı şirketlerde yapay zeka yol haritasıyla birlikte ele almanızı öneririz; hangi senaryoların öncelikli olduğu politika matrisini de şekillendirir. Kurumda bir ISO 27001 bilgi güvenliği yönetim sistemi varsa politikanın kontrolleri de bu sistemin içine yerleşir.
Digital Bridge'de bu işi nasıl yapıyoruz?
Politikayı masa başında değil, şirketin gerçek kullanımından yola çıkarak yazıyoruz:
- Keşif ve ihtiyaç analizi. Siber güvenlik danışmanlığı kapsamında ekiplerle görüşüp mevcut araçları, hesap türlerini ve veri akışlarını çıkarıyor; senaryo matrisini ve politika taslağını birlikte hazırlıyoruz.
- KVKK ve veri sınıflandırması. KVKK uyum danışmanlığı ile kişisel veri içeren senaryoları aydınlatma metinleri, veri envanteri ve aktarım değerlendirmesiyle eşleştiriyor; veri yönetişimi ve kalite çalışmasıyla sınıfları ve veri sahiplerini netleştiriyoruz.
- Pilot ve güvenli alternatif. Sarı senaryolardan birini seçip küçük bir ekiple pilot yapıyoruz. Hassas belgeler için yetkiye bağlı, her yanıtta kaynak gösteren bir kurumsal LLM asistanı kuruyoruz; gerektiğinde tamamen kurum sunucusunda çalışacak şekilde.
- Entegrasyon. Onaylanan senaryoları ERP, CRM veya intranet gibi mevcut sistemlere yapay zeka entegrasyonu ile bağlıyoruz; böylece çalışan onaylı kanalı ayrı bir araç aramadan kullanıyor.
Hazır araç tarafında kendi geliştirdiğimiz Smart360 ürün ailesi, politikanın "kim, hangi veriyle, ne kadar" sorusunu ürünün içinde uygular. SmartMail kurumsal e-postasında ve SmartFiles'ta yapay zeka kişi kişi verilen ayrı bir izindir; kullanım kurumun panelde görünen aylık hakkına işlenir ve SmartFiles'ta yönetici özelliği tamamen kapatabilir. SmartMail'in denetim kaydında yapay zekanın yaptığı işlemler "Sistem" olarak ayrıca görünür.
Sonraki adım
Bu hafta iki şey yapın: ekibe hangi yapay zeka araçlarını hangi işte kullandığını soran kısa bir anket gönderin ve sonuçları yukarıdaki yeşil-sarı-kırmızı tabloya yerleştirin. Ortaya çıkan tablo, politikanızın ilk taslağıdır. Taslağı birlikte olgunlaştırmak ve pilot senaryoyu seçmek için iletişim sayfamızdan bize ulaşın. Konuyla ilgili diğer yazılar Yapay Zeka rehberimizde yer alıyor.