Şirket İçinde Yasaklı Yapay Zekâ Uygulamaları: Hangi Araçlar ve Kullanımlar Sınırlandırılmalıdır?

Yapay zekâ araçlarının iş hayatında hızla yaygınlaşması, şirketlerin verimliliğini artırırken yeni hukuki ve teknik riskleri de beraberinde getirmektedir. Çalışanlar; metin hazırlamak, rapor oluşturmak, sözleşme incelemek, yazılım kodu yazmak, müşteri verilerini analiz etmek veya sunum hazırlamak amacıyla farklı yapay zekâ uygulamalarından yararlanabilmektedir.

Ancak her yapay zekâ uygulamasının şirket içinde serbestçe kullanılması doğru değildir. Özellikle şirket tarafından incelenmemiş, veri güvenliği yeterli olmayan veya kişisel veri ve ticari sırların korunması bakımından risk yaratan yapay zekâ araçlarının kullanılması ciddi sonuçlara yol açabilir.

Bu nedenle şirketlerin yalnızca “yapay zekâ kullanılabilir” veya “yapay zekâ kullanılamaz” şeklinde genel bir yaklaşım benimsemesi yerine, şirket içinde yasaklı yapay zekâ uygulamalarını ve yasaklı kullanım biçimlerini açıkça belirlemesi gerekir.

Şirket içerisinde kullanılmasına izin verilmeyen yapay zekâ uygulamalarının belirlenmesi; KVKK uyumu, ticari sırların korunması, siber güvenlik, iş hukuku ve sözleşmesel gizlilik bakımından önemli bir kurumsal tedbirdir.

Şirket İçinde Yasaklı Yapay Zekâ Uygulaması Ne Demektir?

Yasaklı yapay zekâ uygulaması, şirket tarafından iş süreçlerinde kullanılmasına izin verilmeyen yapay zekâ tabanlı sistem veya hizmeti ifade eder.

Bu yasak iki farklı şekilde ortaya çıkabilir.

Birincisi, belirli bir yapay zekâ uygulamasının tamamen yasaklanmasıdır.

Örneğin şirket, güvenlik incelemesinden geçmemiş belirli bir yapay zekâ hizmetinin hiçbir kurumsal cihazda kullanılmasına izin vermeyebilir.

İkincisi ise uygulamanın tamamen yasaklanması yerine belirli kullanım biçimlerinin yasaklanmasıdır.

Örneğin şirket ChatGPT benzeri bir yapay zekâ aracının genel metin hazırlamada kullanılmasına izin verirken;

• müşteri verilerinin,
• çalışan özlük bilgilerinin,
• ticari sırların,
• kaynak kodlarının,
• gizli sözleşmelerin

sisteme yüklenmesini yasaklayabilir.

Bu nedenle şirket politikalarında “yasaklı uygulama” ile “yasaklı kullanım” kavramlarının birbirinden ayrılması önemlidir.

Şirketler Neden Bazı Yapay Zekâ Uygulamalarını Yasaklamalıdır?

Her yapay zekâ hizmet sağlayıcısı aynı güvenlik standartlarına sahip değildir.

Bazı uygulamalar;

verileri uzun süre saklayabilir, üçüncü taraflarla paylaşabilir, yurt dışında işleyebilir veya şirketin ihtiyaç duyduğu kurumsal güvenlik özelliklerini sunmayabilir.

Çalışanların ücretsiz veya bilinmeyen yapay zekâ uygulamalarını kullanması hâlinde şirket;

hangi verilerin sisteme aktarıldığını, verilerin nerede işlendiğini, kimlerin verilere erişebildiğini veya verilerin silinip silinmediğini kontrol edemeyebilir.

Bu durum şirket açısından;

kişisel veri ihlali, ticari sırların açığa çıkması, müşteri bilgilerinin sızması, kaynak kodlarının dış sistemlere aktarılması ve sözleşmesel gizlilik yükümlülüklerinin ihlali

gibi riskler yaratabilir.

Yasaklı Yapay Zekâ Uygulamaları Nasıl Belirlenmelidir?

Şirketlerin rastgele bir uygulama listesi hazırlaması doğru değildir.

Her yapay zekâ hizmeti belirli kriterler bakımından değerlendirilmelidir.

Bu incelemede özellikle;

• veri işleme şartları,
• güvenlik altyapısı,
• verilerin saklama süresi,
• yurt dışı veri aktarımı,
• kurumsal hesap yönetimi,
• erişim yetkileri,
• üçüncü taraf entegrasyonları,
• veri silme mekanizmaları,
• sözleşmesel güvenceler

dikkate alınmalıdır.

Bu değerlendirme sonucunda uygulama;

onaylı, koşullu onaylı veya yasaklı

olarak sınıflandırılabilir.

Ücretsiz ve Bilinmeyen Yapay Zekâ Araçları Neden Risklidir?

Çalışanların internet üzerinde buldukları ücretsiz yapay zekâ araçlarını kullanması Shadow AI riskinin en önemli kaynaklarından biridir.

Örneğin çalışan;

PDF özetleme, sunum hazırlama, tercüme veya sözleşme inceleme amacıyla daha önce şirket tarafından hiç değerlendirilmemiş bir internet sitesine dosya yükleyebilir.

Ancak bu hizmetin;

dosyaları nerede tuttuğu, verileri eğitim amacıyla kullanıp kullanmadığı veya güvenlik altyapısının yeterli olup olmadığı bilinmeyebilir.

Bu nedenle şirketler, özellikle sağlayıcısı ve veri işleme koşulları belirsiz olan yapay zekâ uygulamalarını yasaklı araçlar kategorisine alabilir.

Kişisel Yapay Zekâ Hesapları Yasaklanabilir mi?

Şirketler çalışanların iş amacıyla kişisel yapay zekâ hesaplarını kullanmasını sınırlayabilir.

Örneğin çalışan kendi kişisel ChatGPT hesabından şirket sözleşmesini veya müşteri verilerini işleyebilir.

Bu durumda şirket;

hesabın güvenlik ayarlarını, kullanım geçmişini, veri saklama koşullarını veya hesap kapatıldığında verilerin ne olacağını kontrol edemeyebilir.

Bu nedenle şirket politikalarında;

“Şirket işleri yalnızca şirket tarafından sağlanan veya onaylanan kurumsal yapay zekâ hesapları üzerinden yürütülebilir.”

şeklinde bir düzenleme yapılabilir.

Kişisel Veri İşleyen Yapay Zekâ Uygulamaları Yasaklanmalı mı?

Her kişisel veri işleyen yapay zekâ uygulamasının tamamen yasaklanması gerekmez.

Ancak KVKK bakımından gerekli inceleme yapılmadan kişisel verilerin harici yapay zekâ sistemlerine aktarılması ciddi risk yaratabilir.

Örneğin çalışan;

müşteri listesi, telefon numarası, e-posta adresi, çalışan bilgileri veya kimlik verilerini

yapay zekâ uygulamasına yükleyebilir.

Bu durumda kişisel veri işleme faaliyeti ortaya çıkabilir.

Şirket politikası, kişisel veri içeren içeriklerin yalnızca özel olarak onaylanmış sistemlerde kullanılmasına izin verebilir.

Onaylanmamış sistemlerde kişisel veri işlenmesi ise açıkça yasaklanabilir.

Özel Nitelikli Kişisel Verilerin Yapay Zekâya Yüklenmesi Yasaklanabilir mi?

Özel nitelikli kişisel veriler bakımından daha sıkı kurallar oluşturulması mümkündür ve çoğu şirket açısından gereklidir.

Örneğin;

sağlık raporları, biyometrik veriler, ceza mahkûmiyetine ilişkin bilgiler veya kanunen özel koruma altında bulunan diğer verilerin

onaylanmamış yapay zekâ araçlarına yüklenmesi ciddi hukuki risk yaratabilir.

Özellikle insan kaynakları, sağlık, sigorta ve hukuk departmanları açısından özel nitelikli kişisel verilerin harici yapay zekâ sistemlerinde kullanılması tamamen yasaklanabilir veya yalnızca belirli sistemlere izin verilebilir.

Ticari Sır İçeren Yapay Zekâ Kullanımları Yasaklanmalıdır

Şirketlerin en önemli varlıklarından biri ticari sırlarıdır.

Müşteri listeleri, fiyatlandırma stratejileri, maliyet hesaplamaları, üretim teknikleri, yatırım planları, kaynak kodları ve Ar-Ge çalışmaları ticari sır niteliğinde olabilir.

Çalışanın bu bilgileri yapay zekâ sistemine yüklemesi şirketin rekabet gücünü ve ekonomik değerini ciddi biçimde etkileyebilir.

Bu nedenle şirket politikalarında;

ticari sır niteliğindeki bilgilerin şirket tarafından özel olarak onaylanmamış hiçbir yapay zekâ uygulamasına aktarılamayacağı

açıkça düzenlenmelidir.

Kaynak Kodunun Yapay Zekâya Yüklenmesi Yasaklanabilir mi?

Evet.

Teknoloji şirketleri bakımından kaynak kodları en hassas veri kategorilerinden biridir.

Yazılım geliştiriciler yapay zekâ araçlarını;

hata tespiti, kod optimizasyonu veya yeni fonksiyon geliştirme

amacıyla kullanabilir.

Ancak kaynak kodunun içerisinde şirketin;

özel algoritmaları, güvenlik mimarisi, müşteriye özel yazılım bileşenleri ve ticari sırları

bulunabilir.

Bu nedenle şirket, kaynak kodlarının yalnızca özel olarak onaylanmış kodlama asistanlarında kullanılmasına izin verebilir.

Diğer bütün yapay zekâ sistemlerine kaynak kodu yüklenmesi yasaklanabilir.

Sözleşmelerin Yapay Zekâ Uygulamalarına Yüklenmesi Yasaklanabilir mi?

Ticari sözleşmeler genellikle çok sayıda gizli bilgi içerir.

Örneğin sözleşmede;

fiyatlandırma, müşteri bilgileri, banka hesapları, ticari sırlar ve özel iş modelleri

bulunabilir.

Çalışan yalnızca sözleşmeyi özetlemek amacıyla bütün belgeyi yapay zekâ uygulamasına yüklediğinde şirket açısından ciddi risk doğabilir.

Bu nedenle özellikle hukuk departmanlarında;

gizli sözleşmelerin yalnızca şirket tarafından onaylanan yapay zekâ araçlarında ve gerektiğinde anonimleştirilmiş biçimde kullanılmasına izin verilmesi

tercih edilebilir.

Dava ve Soruşturma Dosyalarının Yapay Zekâya Yüklenmesi

Şirketlerin hukuk departmanlarında dava ve soruşturma dosyaları yoğun şekilde işlenebilir.

Bu belgelerde;

kişisel veriler, özel nitelikli kişisel veriler, ticari sırlar ve üçüncü kişilere ait gizli bilgiler

bulunabilir.

Dolayısıyla dava veya soruşturma dosyalarının çalışanların kişisel yapay zekâ hesaplarına yüklenmesi yüksek riskli kullanım olarak değerlendirilebilir.

Şirket politikalarında bu tür belgelerin harici yapay zekâ uygulamalarına yüklenmesi açıkça yasaklanabilir.

Müşteri Verilerini Analiz Eden Yapay Zekâ Araçları

Satış ve pazarlama ekipleri yapay zekâyı müşteri davranışlarını analiz etmek amacıyla kullanabilir.

Örneğin çalışan yüzlerce müşteriye ait;

ad, telefon, e-posta, satın alma geçmişi ve harcama tutarlarını

bir yapay zekâ sistemine yükleyebilir.

Bu işlem hem kişisel verilerin korunması hem de şirketin ticari sırları bakımından risk yaratabilir.

Bu nedenle şirket tarafından onaylanmamış AI analiz araçlarında müşteri veri tabanlarının kullanılması yasaklanmalıdır.

İnsan Kaynaklarında Yasaklı Yapay Zekâ Kullanımları

İnsan kaynakları departmanı, yapay zekâ kullanımında en hassas birimlerden biridir.

İş başvuruları, öz geçmişler, çalışan performans kayıtları, ücret bilgileri ve sağlık belgeleri yoğun miktarda kişisel veri içerir.

Şirketler;

• çalışan sağlık verilerinin,
• disiplin kayıtlarının,
• performans değerlendirmelerinin,
• öz geçmişlerin

onaylanmamış yapay zekâ uygulamalarına aktarılmasını yasaklayabilir.

Ayrıca çalışanların işe alınması veya işten çıkarılması gibi önemli kararların yalnızca yapay zekâ sistemine bırakılması da sınırlandırılmalıdır.

İşe Alımda Yapay Zekâ Kullanımı Tamamen Serbest Bırakılmamalıdır

Bazı şirketler aday öz geçmişlerini yapay zekâ ile sıralamak isteyebilir.

Ancak yapay zekâ sistemi tarafından yapılan değerlendirme;

kişisel veri işleme, ayrımcılık veya hatalı otomatik karar verme

riskleri doğurabilir.

Bu nedenle yapay zekânın yalnızca yardımcı araç olarak kullanılması ve nihai kararın insan tarafından verilmesi daha güvenli bir yaklaşım olabilir.

Yapay Zekâya Parola ve Erişim Bilgisi Girilmesi Kesinlikle Yasaklanmalıdır

Şirket politikalarında açıkça yasaklanması gereken en önemli kullanımlardan biri;

parola, API anahtarı, erişim tokenı, güvenlik anahtarı veya sistem kullanıcı bilgilerinin

yapay zekâ sistemlerine girilmesidir.

Çalışan teknik destek almak amacıyla hata mesajını sisteme yapıştırırken farkında olmadan erişim bilgilerini paylaşabilir.

Bu tür bilgiler saldırganların şirket sistemlerine erişmesini mümkün hâle getirebilir.

Bu nedenle kimlik doğrulama ve erişim bilgileri bakımından sıfır tolerans yaklaşımı uygulanabilir.

Kurumsal E-Postaya Erişim İsteyen Yapay Zekâ Araçları

Bazı yapay zekâ uygulamaları e-postaları özetlemek veya cevap hazırlamak amacıyla kullanıcının posta kutusuna erişim talep edebilir.

Bu durum son derece dikkatli değerlendirilmelidir.

Çalışanın kişisel inisiyatifiyle bir üçüncü taraf AI uygulamasına şirket e-posta hesabına tam erişim vermesi ciddi güvenlik riski yaratabilir.

Bu nedenle şirket politikalarında çalışanların bilgi teknolojileri biriminin onayı olmadan yapay zekâ uygulamalarına;

e-posta, takvim, Drive veya diğer kurumsal sistem erişimi

vermesi yasaklanmalıdır.

Bulut Depolama Sistemlerine Bağlanan AI Uygulamaları

Yapay zekâ araçlarının şirketin bulut depolama sistemlerine erişmesi hâlinde risk çok daha geniş bir veri setini kapsayabilir.

Örneğin çalışan bir AI uygulamasına şirketin Drive veya dosya sunucusuna erişim izni verdiğinde uygulama çalışanın erişebildiği çok sayıda belgeye ulaşabilir.

Bu nedenle üçüncü taraf yapay zekâ entegrasyonlarının yalnızca merkezi olarak onaylanması önemlidir.

Çalışanların kendi başına kurumsal sistemlere AI entegrasyonu kurması yasaklanabilir.

Tarayıcı Eklentisi Şeklindeki Yapay Zekâ Uygulamaları

Yapay zekâ tabanlı tarayıcı eklentileri de önemli risk oluşturabilir.

Bu eklentiler;

kullanıcının ziyaret ettiği sayfaları okuyabilir, form alanlarına erişebilir veya tarayıcı içerisindeki bilgileri işleyebilir.

Dolayısıyla şirket çalışanlarının istediği her AI tarayıcı eklentisini kurmasına izin verilmesi siber güvenlik açısından uygun değildir.

Kurumsal cihazlara yalnızca bilgi teknolojileri birimi tarafından onaylanmış eklentilerin kurulmasına izin verilebilir.

Otomatik İşlem Yapabilen AI Ajanları

Yapay zekâ teknolojilerinin gelişmesiyle birlikte yalnızca metin üreten sistemlerden, doğrudan işlem gerçekleştirebilen AI ajanlarına geçiş yaşanmaktadır.

Bu sistemler;

e-posta gönderebilir, dosya oluşturabilir, veri tabanına erişebilir veya farklı uygulamalarda işlem gerçekleştirebilir.

Bu nedenle otonom veya yarı otonom yapay zekâ ajanlarına geniş kurumsal yetkiler verilmesi yüksek risklidir.

Şirketler, çalışanların kendi inisiyatifiyle kurumsal sistemlere otonom AI ajanları bağlamasını yasaklayabilir.

Yasaklı Yapay Zekâ Listesi mi, Onaylı Yapay Zekâ Listesi mi?

Şirketler iki farklı yaklaşım kullanabilir.

Birincisi yasaklı uygulamalar listesi oluşturmaktır.

Bu yöntemde yalnızca belirli uygulamalar yasaklanır ve diğerleri kullanılabilir.

Ancak yapay zekâ uygulamalarının sürekli yenilendiği düşünüldüğünde bu yöntem yetersiz kalabilir.

Daha güvenli yaklaşım onaylı uygulamalar listesi oluşturmaktır.

Bu yöntemde;

“Şirket işleri için yalnızca listede bulunan yapay zekâ uygulamaları kullanılabilir.”

kuralı benimsenir.

Böylece henüz değerlendirilmemiş yeni uygulamalar otomatik olarak izin dışı kalır.

Yasaklı Yapay Zekâ Politikası Nasıl Hazırlanmalıdır?

Politika çalışanların anlayabileceği kadar açık olmalıdır.

Örneğin yalnızca;

“Güvensiz AI sistemlerinin kullanılması yasaktır.”

denilmesi yeterli olmayabilir.

Çalışan hangi sistemin güvensiz olduğunu bilemeyebilir.

Bunun yerine politika;

Onaylı AI Araçları

Yasaklı AI Araçları

Yasaklı Veri Kategorileri

Yasaklı Entegrasyonlar

Onay Gerektiren Kullanımlar

şeklinde bölümlere ayrılabilir.

Şirket İçinde Yasaklanabilecek Kullanımlara Örnekler

Şirket politikalarında aşağıdaki kullanımlar açıkça yasaklanabilir:

• Kişisel yapay zekâ hesaplarına şirket belgelerinin yüklenmesi,
• onaylanmamış AI uygulamalarına kişisel veri aktarılması,
• özel nitelikli kişisel verilerin harici AI sistemlerinde kullanılması,
• ticari sırların yapay zekâ sistemlerine girilmesi,
• kaynak kodlarının izinsiz AI uygulamalarında kullanılması,
• parola ve erişim bilgilerinin AI sistemlerine yazılması,
• yapay zekâ uygulamalarına izinsiz e-posta veya bulut erişimi verilmesi,
• onaylanmamış AI tarayıcı eklentilerinin kurulması,
• yapay zekâ çıktılarının kontrol edilmeden müşteriye gönderilmesi,
• çalışanlar hakkında otomatik karar verilmesi.

Bu liste şirketin faaliyet alanına göre genişletilebilir.

Yasaklama Çalışanlara Bildirilmelidir

Şirket içinde bir yapay zekâ uygulamasının yasak olması için yalnızca yönetimin bu yönde karar vermesi yeterli olmayabilir.

Kuralların çalışanlara açık şekilde bildirilmesi önemlidir.

Yapay zekâ kullanım politikası;

iş sözleşmesi, çalışan el kitabı, bilgi güvenliği politikası veya ayrı bir kurumsal AI politikası

şeklinde düzenlenebilir.

Çalışanlara ayrıca eğitim verilmesi, ihlallerin önlenmesinde etkili olacaktır.

Yasaklı Yapay Zekâ Kullanımı İşten Çıkarma Sebebi Olabilir mi?

Şirket tarafından yasaklanan yapay zekâ uygulamasının kullanılması iş hukuku bakımından sonuç doğurabilir.

Ancak her yasak ihlali otomatik olarak haklı fesih sebebi değildir.

Örneğin çalışanın ilk kez ve herhangi bir gizli veri kullanmadan yasaklanan bir araca erişmesiyle, şirketin açık talimatına rağmen bütün müşteri veri tabanını kişisel AI hesabına yüklemesi aynı şekilde değerlendirilemez.

Fesih bakımından;

• ihlalin ağırlığı,
• aktarılan verinin niteliği,
• çalışanın uyarılıp uyarılmadığı,
• şirketin zarar görüp görmediği,
• güven ilişkisinin zedelenme derecesi

birlikte değerlendirilmelidir.

İşveren Yasaklı AI Kullanımını Denetleyebilir mi?

Şirketler belirli teknik tedbirlerle yasaklı yapay zekâ araçlarına erişimi kontrol edebilir.

Örneğin;

kurumsal ağdan belirli sitelere erişim engellenebilir, uygulama yükleme yetkileri sınırlandırılabilir veya hassas dosyaların dış sistemlere aktarılması teknik olarak önlenebilir.

Ancak çalışan denetiminin de hukuki sınırları vardır.

Şirket, AI kullanımını denetlemek amacıyla çalışanların bütün özel yazışmalarını veya kişisel hesaplarını sınırsız biçimde inceleyemez.

Denetim;

meşru, şeffaf ve ölçülü

olmalıdır.

Teknik Engelleme mi, Disiplin Politikası mı?

En etkili yöntem genellikle iki yaklaşımın birlikte kullanılmasıdır.

Örneğin son derece riskli olduğu bilinen bir yapay zekâ uygulamasına erişim teknik olarak engellenebilir.

Bunun yanında çalışanlara neden bu uygulamanın yasak olduğu açıklanabilir.

Yalnızca disiplin cezasına dayalı bir sistem, çalışanların kişisel cihazlar üzerinden kullanımını önlemeyebilir.

Yalnızca teknik engelleme ise çalışanların güvenlik farkındalığını geliştirmez.

Bu nedenle şirketler;

teknik önlem + açık politika + çalışan eğitimi

modelini birlikte uygulamalıdır.

Departmanlara Göre Farklı Yasaklar Getirilebilir

Her departmanın yapay zekâ riski aynı değildir.

Örneğin insan kaynakları departmanında kişisel veriler yoğunken yazılım departmanında kaynak kodları daha kritik olabilir.

Bu nedenle şirket genel politikasına ek olarak departman bazlı kurallar oluşturulabilir.

Örneğin;

İnsan Kaynakları: CV, sağlık raporu ve performans verilerinin onaylanmamış AI sistemlerinde kullanılması yasaklanabilir.

Hukuk: Dava dosyalarının ve gizli sözleşmelerin harici AI sistemlerine yüklenmesi sınırlandırılabilir.

Finans: Banka bilgileri ve finansal projeksiyonların işlenmesi yasaklanabilir.

Yazılım: Kaynak kodlarının onaylanmamış sistemlerde kullanılması yasaklanabilir.

Satış: Müşteri listelerinin kişisel AI hesaplarına aktarılması engellenebilir.

Yöneticiler İçin de Aynı Kurallar Geçerli Olmalıdır

Shadow AI yalnızca çalışanlardan kaynaklanan bir risk değildir.

Üst düzey yöneticiler;

yatırım planları, yönetim kurulu raporları, birleşme ve satın alma belgeleri veya finansal projeksiyonlar

gibi çok daha hassas verilere erişebilir.

Bu nedenle şirket içi yapay zekâ yasakları yalnızca çalışanları değil, yöneticileri ve gerektiğinde danışmanları da kapsamalıdır.

Taşeron ve Danışmanların Yapay Zekâ Kullanımı Düzenlenmeli midir?

Evet.

Şirket dışarıdan yazılım geliştirici, danışman, muhasebeci veya başka hizmet sağlayıcılarla çalışabilir.

Bu kişilerin şirket verilerini kendi yapay zekâ araçlarında kullanması da aynı riskleri yaratabilir.

Bu nedenle hizmet sözleşmelerine;

şirket verilerinin onaylanmamış yapay zekâ sistemlerinde kullanılamayacağına

ilişkin özel hükümler eklenebilir.

Yapay Zekâ Yasakları Düzenli Olarak Güncellenmelidir

Yapay zekâ teknolojileri son derece hızlı değişmektedir.

Bugün yalnızca metin üreten bir uygulama yarın;

şirket e-postalarına, dosya sistemlerine ve CRM altyapısına

doğrudan erişim sağlayabilir.

Bu nedenle yasaklı AI listesi bir kez hazırlanıp yıllarca aynı şekilde bırakılmamalıdır.

Şirketler uygulamaları düzenli olarak yeniden değerlendirmelidir.

Şirketlerin Yapabileceği En Büyük Hata: Her Şeyi Yasaklamak

Bütün yapay zekâ uygulamalarını yasaklamak ilk bakışta güvenli bir yöntem gibi görünebilir.

Ancak bu yaklaşım çalışanların yapay zekâ kullanımını tamamen ortadan kaldırmayabilir.

Çalışanlar;

kişisel telefon, tablet veya kişisel hesaplar

üzerinden AI araçlarını kullanmaya devam edebilir.

Bu durumda kullanım şirket açısından tamamen görünmez hâle gelebilir ve Shadow AI riski artabilir.

Bu nedenle daha etkili yaklaşım;

güvenli uygulamaları serbest bırakmak, riskli olanları yasaklamak ve hassas kullanım alanlarını sınırlandırmaktır.

Şirketler İçin Örnek Yapay Zekâ Sınıflandırması

Şirketler yapay zekâ uygulamalarını üç gruba ayırabilir:

Onaylı Yapay Zekâ Araçları

Hukuki ve teknik incelemesi yapılmış, kurumsal kullanımına izin verilen sistemlerdir.

Koşullu Kullanılabilir Yapay Zekâ Araçları

Yalnızca kamuya açık veya anonimleştirilmiş verilerle kullanılabilecek sistemlerdir.

Yasaklı Yapay Zekâ Araçları

Şirket verileriyle kullanılmasına izin verilmeyen veya güvenlik nedeniyle tamamen yasaklanan sistemlerdir.

Bu model, çalışanlara basit ve anlaşılır bir çerçeve sunabilir.

Şirket İçinde Yasaklı Yapay Zekâ Politikası Kim Tarafından Hazırlanmalıdır?

Politikanın yalnızca bilgi teknolojileri departmanı tarafından hazırlanması yeterli olmayabilir.

Yapay zekâ kullanımında;

hukuk, KVKK, siber güvenlik, insan kaynakları, bilgi teknolojileri ve ilgili iş birimleri

birlikte çalışmalıdır.

Teknik ekip uygulamanın güvenliğini değerlendirirken hukuk birimi;

kişisel veriler, ticari sırlar, sözleşmesel gizlilik ve iş hukuku

bakımından risk analizi yapmalıdır.

Sonuç

Şirket içinde yasaklı yapay zekâ uygulamalarının belirlenmesi, yapay zekâ teknolojilerinin kurumsal iş süreçlerinde yaygınlaşmasıyla birlikte önemli bir hukuki ve bilgi güvenliği ihtiyacı hâline gelmiştir.

Ancak şirketlerin yalnızca belirli uygulama isimlerinden oluşan bir “yasaklı AI listesi” hazırlaması yeterli değildir.

Asıl düzenlenmesi gereken;

hangi yapay zekâ sistemlerinin kullanılabileceği, hangi veri kategorilerinin hiçbir şekilde bu sistemlere aktarılamayacağı ve hangi kullanımların önceden onay gerektirdiğidir.

Özellikle;

kişisel verilerin, özel nitelikli kişisel verilerin, ticari sırların, kaynak kodlarının, müşteri bilgilerinin, erişim şifrelerinin ve gizli sözleşmelerin

onaylanmamış yapay zekâ sistemlerine aktarılması şirket politikalarında açık şekilde sınırlandırılmalıdır.

Bunun yanında kişisel AI hesaplarının kullanımı, tarayıcı eklentileri, kurumsal sistemlere bağlanan yapay zekâ uygulamaları ve otonom AI ajanları da risk değerlendirmesine tabi tutulmalıdır.

Şirketlerin bütün yapay zekâ araçlarını tamamen yasaklaması ise her zaman en etkili çözüm değildir. Tam yasaklama, çalışanların bu araçları kişisel cihazlarda ve şirketin göremediği ortamlarda kullanmasına neden olarak Shadow AI riskini artırabilir.

Bu nedenle en sağlıklı yaklaşım;

onaylı araçlar belirlemek, yüksek riskli araçları yasaklamak, hassas veri kullanımını sınırlandırmak ve çalışanları açık kurallar konusunda eğitmektir.

Yapay zekâ kullanımının hızla arttığı günümüzde şirketlerin sorması gereken soru artık yalnızca;

“Hangi yapay zekâ uygulamalarını yasaklamalıyız?”

değildir.

Asıl soru şudur:

“Hangi yapay zekâ araçlarının, hangi şirket verileriyle ve hangi hukuki sınırlar içerisinde kullanılmasına izin vermeliyiz?”

Şirket içinde yasaklı yapay zekâ uygulamalarına ilişkin açık ve uygulanabilir bir politika oluşturulması; KVKK uyumu, ticari sırların korunması, siber güvenlik ve iş hukuku açısından şirketlerin yapay zekâ kaynaklı risklerini önemli ölçüde azaltabilir.