Bugün şirketinizde bir yerde bir çalışan bir chatbota bir şey yapıştırdı. Belki “temizlik” için bir müşteri listesi, “özet” için bir sözleşme, “debug” için bir kod dosyası. Her yapıştırma aynı anda bir KVKK olayı, olası bir ticari sır ifşası ve (metin bir müşteriye aitse) bir gizlilik ihlali. Çözüm yasak değil; işleyen bir iç yapay zeka kullanım politikası. Gerçekten uyulan bir politikanın anatomisi şöyle.
“Yasaklayın gitsin” neden çalışmaz?
Yasak, kullanımı kişisel telefonlara ve özel hesaplara iter: tüm kontrolü kaybeder, tüm sorumluluğu tutarsınız. Araştırmalar bilgi çalışanlarının çoğunluğunun politikadan bağımsız yapay zeka kullandığını tutarlı biçimde gösteriyor. Gerçekçi hedef kanalize kullanım: onaylı araçlar, net kırmızı çizgiler ve uyumlu yolu kolay yol yapan varsayılanlar.
Politikayı kuran beş karar
- Araç katmanlaması. Belirli araçları belirli katmanlarda onaylayın: iş verisi için eğitime kapalı, saklama kontrollü kurumsal hesaplar; tüketici araçları yalnızca kamuya açık bilgi için. İsim verin; “sağduyulu kullanın” diyen politika, politika değildir.
- Veri kırmızı çizgileri. Dört kategori, düz dille: özel nitelikli kişisel veri (asla), müşteri gizli materyali (varsa yalnızca müşterinin onayladığı katmanda), ticari sır ve açıklanmamış finansallar (loglu kurumsal katman), kamuya açık/genel içerik (herhangi bir onaylı araç). Bunları KVKK kategorilerine eşleyin ki veri sorumlusu temsilciniz savunabilsin.
- Çıktı sorumluluğu. Gönderen insan sahiplenir. Yapay zeka destekli iş ürünü, insan işiyle aynı incelemeden geçer; hukuk, finans, güvenlik veya üretime giden koda dokunan çıktılarda ekstra dikkatle. Bu tek cümle, “yapay zeka yazdı” savunmasının kültürünüzde hiç oluşmamasını sağlar.
- Açıklama kuralları. İçeride: yapay zeka katkısı esaslıysa teslimatta belirtin. Dışarıda: müşteri sözleşmelerinizle hizalanın; bazıları artık verilerinin rızasız yapay zekayla işlenmesini yasaklıyor; politikanız o maddeyi, bağladığı kişilerin önüne koymalı.
- Olay yolu. Yanlış yapıştırma olur. Bunu, suçlamasız ilk saatiyle raporlanabilir bir olay olarak tanımlayın: biri “yanlış şeyi yapıştırdım” dediği anda seçenekleriniz artar; tedarikçiye silme talebi, 72 saat refleksiyle KVKK ihlal değerlendirmesi, müşteri bildirimine sessizliğin değil avukatın karar vermesi.
KVKK omurgası
Çalışanların yapay zeka araçları kullanımı sizin adınıza veri işlemedir: tedarikçi bir veri işleyendir; işleyen envanteriniz, aktarım analiziniz (araçların çoğu yurt dışında işler. Türk veri aktarım kuralları uygulanır) ve VERBİS kayıtlarınız gerçeği yansıtmalı. Müşteri verisiyle kullanılan onaysız bir tüketici aracı, şikâyete dönüşene kadar hiç görmediğiniz kayıt dışı bir yurt dışı aktarımıdır.
Bir sprintte gerçek yapın
- Tek sayfayı yayımlayın (yukarıdaki beş karar bir sayfaya sığar); tedarikçi slaytlarıyla değil kendi örneklerinizle 30 dakikada eğitin.
- İnsanların zaten kullandığı iki aracın kurumsal katmanını satın alın; politikanın itibarı burada satın alınır.
- Aynı çeyrekte yapay zeka maddesini işe alım evrakına, müşteri sözleşmelerine ve tedarikçi DPA’larına ekleyin.
Bu politikaları iki dilde, KVKK dosyalarınıza ve müşteri sözleşmesi yükümlülüklerinize eşleyerek hazırlıyoruz; genellikle bir haftada. İlgili: KVKK ve yapay zeka yazımız.
Bu yazı yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. Temmuz 2026 itibarıyla geçerli durumu yansıtır.
Yazar
Bu konu masanızdaysa
Kurucu Akademisi'nde şablonlar ve kontrol listeleri ücretsiz; spesifik bir durum için 30 dakikalık ön görüşme planlayabilirsiniz.
Kurucu AkademisiGörüşme planlayın