Şirket içi yapay zeka kullanım politikası nasıl yazılır?

Yapay zeka araçları şirketlere çoğunlukla resmi bir kararla değil, tek tek çalışanların kendi hesaplarıyla girdi. Bu, hız açısından iyi bir şey; veri güvenliği ve sorumluluk açısından ise yönetilmesi gereken bir durum.

Bu yazı politikanın kapsaması gereken altı başlığı, veri sınıflandırmasının nasıl yapılacağını, onay eşiklerini ve belgeyi tek sayfada tutmanın neden önemli olduğunu anlatıyor.

Politika neden gerekli?

Politikanın amacı yasaklamak değildir; belirsizliği kaldırmaktır. Yazılı kural yokken iki kötü sonuç birlikte görülür: bir kısım çalışan hiçbir şey yapamayacağını düşünüp aracı kullanmaz, bir kısmı da müşteri verisini kontrolsüz biçimde dışarı taşır.

İkisi de maliyetlidir. Birincisi verimlilik kaybı, ikincisi risk üretir. Yazılı ve kısa bir politika, ikisini de ortadan kaldırır.

İkinci gerekçe sorumluluktur: yapay zeka çıktısıyla üretilmiş bir belge dışarı gittiğinde sorumluluk şirkete aittir. Bu gerçeğin yazılı olması, kalite kapısını herkes için zorunlu kılar.

Altı başlık

1. İzinli araçlar. Hangi araçlar kurumsal olarak onaylı? Kurumsal hesap ile bireysel hesap arasındaki fark yazılmalı; bu farkın tablosu veri gizliliği yazısında.
2. Veri sınıfları. Hangi veri hangi araçta kullanılabilir?
3. Yasak veriler. Hiçbir koşulda dışarı çıkmayacak veri türleri.
4. Onay eşikleri. Hangi çıktı doğrudan kullanılabilir, hangisi ikinci bir gözden geçirme ister?
5. Çıktı sorumluluğu. Üreten kişi sorumludur; araç mazeret değildir.
6. İhlal durumunda ne olur? Ceza değil, bildirim yolu. Hatanın saklanması, hatanın kendisinden pahalıdır.

Altı başlık bir sayfaya sığar ve sığmalıdır.

Veri sınıflandırması

Politikanın kalbi burasıdır. Üç sınıf çoğu şirket için yeterlidir:

Açık veri: zaten kamuya açık bilgi. Web sitesi metinleri, yayımlanmış tanıtımlar, genel sektör bilgisi. Serbestçe kullanılabilir.

İç veri: şirket içi ama gizlilik derecesi düşük bilgi. Süreç belgeleri, iç eğitim metinleri, taslak planlar. Yalnızca kurumsal hesapta kullanılır.

Hassas veri: kişisel veri, müşteri verisi, sözleşme içerikleri, finansal tablolar, kimlik ve erişim bilgileri. Dış araca hiç girmez; gerekiyorsa kimliksizleştirilerek ya da yerel çalışan bir kurulumla işlenir.

Üçüncü sınıf için yerel araç kurulumu pratik bir çözümdür: veri cihazdan çıkmaz.

Onay eşikleri

Her çıktının aynı titizlikte denetlenmesi gereksiz yavaşlık üretir. Üç kademeli bir eşik iyi çalışır:

• Serbest: iç kullanımda kalan taslaklar, notlar, özetler. Üreten kişi kendi kontrol eder.
• Gözden geçirilir: müşteriye gidecek metinler, teklifler, sunumlar. Bir başkası okur.
• Uzman onayı: hukuki, mali ve teknik yükümlülük doğuran içerik. İlgili uzman onaylamadan çıkmaz.

Eşikler araca göre değil, çıktının nereye gittiğine göre belirlenir. Bu ayrım politikayı araç değişimlerinden bağımsız hâle getirir.

Politika şablonunda hangi madde hangi kuralı taşır?

Kişisel Verileri Koruma Kurumu, 5 Mart 2026 tarihli duyurusunda iş yerlerinde üretken yapay zeka araçlarının kullanımının çoğu durumda çalışanların bireysel tercihleriyle şekillendiğini ve bunun kurumsal izleme ile yönetimi zorlaştırabildiğini belirtiyor.

Bu yüzden şablonun ilk maddesi araç adı değil, hesap tipidir. Altı başlığı örnek kurallara çeviren tablo aşağıda; kendi araç listene ve veri sınıflarına göre uyarla. Hangi kodlama aracını seçeceğin ayrı bir karardır ve Claude Code, Codex ve Cursor karşılaştırması bu karara girdi verir.

Onay eşikleri maddesi aslında bir insan onayı kuralıdır: hangi çıktının kimden geçeceğini önceden yazarsın, sonra tartışmazsın.

Kişisel Verileri Koruma Kurumu’nun 25 Kasım 2025’te yayımlanan 15 soruluk üretken yapay zeka rehberi, kişisel veri işleme faaliyetlerinde veri sorumlusu statüsündeki kurumlara yol göstermeyi amaçlıyor.

Eylül 2026 itibarıyla Anthropic’in gizlilik merkezi, API girdi ve çıktılarının arka uç sistemlerden en geç 30 gün içinde silindiğini yazıyor; bu tür süreler ve KVKK yükümlülükleri politikadaki yasak veriler maddesinin gerekçesini oluşturur.

Politikayı kim yazar, kim sahiplenir?

Politika hukuk biriminin tek başına yazdığı bir belge olduğunda uygulanmaz; çünkü işin nasıl yapıldığını bilmeyen bir metin, pratikte imkânsız kurallar koyar.

İşleyen kurgu üç taraflıdır. İşi yapan ekip neyin gerçekten gerektiğini söyler, hukuk ya da uyum tarafı sınırları çizer, yönetim onaylar ve sahiplenir. Üçü olmadan yazılan politika ya fazla gevşek ya fazla katı olur.

Sahiplik tek bir kişide olmalıdır: politikanın güncel kalmasından, sorular geldiğinde cevap vermekten ve üç aylık gözden geçirmeden sorumlu bir isim. Sahipsiz politika, altı ay içinde araç listesiyle birlikte eskir.

Son olarak politika bir yasak listesi değil, bir izin haritası gibi yazılmalıdır. Neyin yapılabileceğini net söyleyen bir belge, neyin yasak olduğunu sayan bir belgeden daha çok uygulanır ve ekibi araçları gizlice kullanmaya itmez.

Politikayı yaşayan hâle getirmek

Yazılıp intranete konan ve bir daha açılmayan bir politika, hiç olmamasından yalnızca biraz iyidir. Üç pratik adım onu yaşatır.

Örneklerle yaz. Soyut kural yerine somut örnek: “Müşteri listesini yükleme” cümlesi, “kişisel veri işlemeyin” cümlesinden daha uygulanabilir.

Onboarding'e ekle. Yeni başlayan herkesin ilk hafta okuduğu belgeler arasına gir. Yanına ekip için hazır bir Türkçe prompt şablonu seti koymak, çalışanı kontrolsüz denemeden kurtarır.

Üç ayda bir gözden geçir. Araçlar ve yetenekler hızlı değişiyor; politikanın gözden geçirme tarihi belgenin üstünde yazılı olsun.

Son bir not: politika, kullanımı ölçmenin de kapısıdır. Hangi işlerde kullanıldığını bilmeden kazancı da ölçemezsin.

Yazılı politika ne zaman yetmez?

Tek sayfalık bir politika tek başına üç durumda yetmez.

• Kurumsal hesap yoksa. Şirket onaylı bir hesap sağlamıyorsa “kişisel hesap kullanma” kuralı çalışanı işsiz bırakır ve kullanım gizlenir.
• Kural denetlenmiyorsa. Politika sahibi araç listesine ve gelen sorulara bakmıyorsa belge altı ayda eskir.
• Kişisel veri işleniyorsa. Metin bir başlangıç noktasıdır, hukuki görüş yerine geçmez; veri aktarımı ve aydınlatma gibi konularda uzman avukata gösterilmelidir.

Küçük bir ekipte bu üç sorun çoğu zaman aynı çözümle kapanır: önce kurumsal hesabı aç, sonra tek sayfayı yaz ve ilk üç ayda ekibin sorularına göre güncelle.