Şirketlerde Shadow AI Politikası Nasıl Hazırlanır?

Yapay zekâ araçlarının iş hayatında hızla yaygınlaşması, şirketlerin çalışma biçimlerini önemli ölçüde değiştirmiştir. Çalışanlar artık e-posta hazırlamak, sözleşme özetlemek, rapor oluşturmak, yazılım kodu geliştirmek, veri analizi yapmak, tercüme hazırlamak veya müşteri taleplerini cevaplamak amacıyla ChatGPT ve benzeri üretken yapay zekâ sistemlerinden yararlanmaktadır.

Ancak bu kullanımın şirket yönetiminin bilgisi ve kontrolü dışında gerçekleşmesi, Shadow AI olarak adlandırılan önemli bir kurumsal risk alanının ortaya çıkmasına neden olmaktadır.

Shadow AI; çalışanların şirket tarafından onaylanmamış yapay zekâ araçlarını iş süreçlerinde kullanması veya kullanılmasına izin verilen bir yapay zekâ sistemini şirketin belirlediği sınırların dışında kullanması şeklinde ortaya çıkabilir.

Çalışanın kendi hesabından şirket sözleşmesini yapay zekâ sistemine yüklemesi, müşteri listesini analiz ettirmesi, kaynak kodunu üçüncü taraf yapay zekâ aracına göndermesi veya çalışan verilerini yapay zekâ ile değerlendirmesi Shadow AI bakımından tipik örneklerdir.

Bu nedenle şirketlerin artık yalnızca bilgi güvenliği politikaları değil, kapsamlı bir Shadow AI ve Kurumsal Yapay Zekâ Kullanım Politikası hazırlaması giderek daha önemli hâle gelmektedir.

Ancak etkili bir Shadow AI politikası yalnızca;

“Çalışanların ChatGPT kullanması yasaktır.”

şeklindeki tek cümlelik bir düzenlemeden ibaret olmamalıdır.

Politikanın şirketin gerçek iş süreçlerine, veri yapısına, çalışanların ihtiyaçlarına ve hukuki yükümlülüklerine göre hazırlanması gerekir.

Shadow AI Politikası Nedir?

Shadow AI politikası, çalışanların yapay zekâ araçlarını iş süreçlerinde hangi şartlarla kullanabileceğini düzenleyen şirket içi kurallar bütünüdür.

Politikanın temel amacı yapay zekâyı tamamen yasaklamak değil, şirket içerisindeki yapay zekâ kullanımını;

görünür, kontrollü, güvenli ve hukuka uygun

hâle getirmektir.

İyi hazırlanmış bir politika;

hangi yapay zekâ araçlarının kullanılabileceğini, hangi verilerin bu sistemlere girilemeyeceğini, çalışanların hangi durumlarda yönetici onayı alması gerektiğini ve yapay zekâ kullanımından kaynaklanan bir veri ihlalinde nasıl hareket edileceğini açık şekilde düzenlemelidir.

Şirketler Neden Shadow AI Politikası Hazırlamalıdır?

Çalışanların yapay zekâ kullanmasını hiç düzenlememek, kullanımın gerçekleşmediği anlamına gelmez.

Aksine çalışanlar işlerini hızlandırmak amacıyla;

kişisel ChatGPT hesaplarını, ücretsiz yapay zekâ uygulamalarını, tarayıcı eklentilerini veya bilinmeyen üçüncü taraf AI hizmetlerini

kullanmaya devam edebilir.

Şirket yönetimi ise hangi verilerin hangi sistemlere aktarıldığından haberdar olmayabilir.

Böyle bir durumda şirket açısından;

• KVKK ihlalleri,
• ticari sırların açığa çıkması,
• müşteri bilgilerinin yetkisiz kullanılması,
• sözleşmesel gizlilik yükümlülüklerinin ihlali,
• kaynak kodlarının dış sistemlere aktarılması,
• fikrî mülkiyet sorunları,
• siber güvenlik riskleri ve
• iş hukuku uyuşmazlıkları

ortaya çıkabilir.

Shadow AI politikası bu riskleri önleyici bir kurumsal uyum mekanizması işlevi görür.

Shadow AI Politikası Hazırlanmadan Önce Mevcut Kullanım Tespit Edilmelidir

Politika hazırlamanın ilk aşaması, şirket içerisinde hâlihazırda hangi yapay zekâ araçlarının kullanıldığını tespit etmektir.

Bu işlem bir anlamda yapay zekâ envanteri çıkarılmasıdır.

Şirket şu sorulara cevap aramalıdır:

Hangi departmanlar yapay zekâ kullanıyor?

Hangi yapay zekâ uygulamaları kullanılıyor?

Çalışanlar kişisel hesaplarını mı, kurumsal hesapları mı kullanıyor?

Hangi veri kategorileri sisteme aktarılıyor?

Yapay zekâ hangi iş süreçlerinde kullanılıyor?

Yapay zekâ çıktıları kimler tarafından kontrol ediliyor?

Veriler yabancı hizmet sağlayıcıların sistemlerine aktarılıyor mu?

Bu inceleme yapılmadan hazırlanacak genel bir politika şirketin gerçek risklerini karşılamakta yetersiz kalabilir.

Kullanılmasına İzin Verilen Yapay Zekâ Araçları Belirlenmelidir

Shadow AI politikasının en önemli unsurlarından biri onaylı yapay zekâ araçları listesi oluşturulmasıdır.

Şirket çalışanlarına;

“Herhangi bir AI kullanabilirsiniz.”

şeklinde sınırsız yetki verilmesi önemli riskler doğurabilir.

Bunun yerine şirket tarafından bilgi güvenliği ve hukuk incelemesinden geçirilmiş belirli yapay zekâ sistemleri kullanılabilir.

Politikada örneğin;

“Şirket faaliyetleri kapsamında yalnızca şirket tarafından onaylanmış ve kurumsal erişim sağlanmış yapay zekâ sistemleri kullanılabilir.”

şeklinde bir temel kural getirilebilir.

Yeni bir yapay zekâ uygulamasının kullanılmak istenmesi hâlinde ise bilgi teknolojileri veya hukuk biriminden önceden onay alınması öngörülebilir.

Kişisel Yapay Zekâ Hesaplarının Kullanımı Düzenlenmelidir

Şirketlerde önemli Shadow AI kaynaklarından biri çalışanların kişisel hesaplarını kullanmasıdır.

Çalışan şirket bilgisayarından kendi kişisel ChatGPT veya başka bir yapay zekâ hesabına giriş yaparak şirket belgelerini sisteme yükleyebilir.

Bu durumda şirket;

verilerin hangi hesapta bulunduğunu, kullanım geçmişini, güvenlik ayarlarını ve olası veri silme süreçlerini kontrol etmekte zorlanabilir.

Bu nedenle politikada;

kişisel yapay zekâ hesaplarının şirket işleri için kullanılıp kullanılamayacağı

açıkça belirlenmelidir.

Yüksek güvenlik gerektiren şirketlerde iş amaçlı kullanımın yalnızca şirket tarafından yönetilen kurumsal hesaplardan gerçekleştirilmesi tercih edilebilir.

Hangi Verilerin Yapay Zekâya Yüklenemeyeceği Açıkça Yazılmalıdır

Bir Shadow AI politikasının en önemli bölümü yasaklanan veri kategorileridir.

Politikada yalnızca;

“Gizli bilgiler yapay zekâya yüklenemez.”

şeklindeki genel ifade yeterli olmayabilir.

Çalışanın hangi bilgilerin gizli olduğunu kolaylıkla anlayabilmesi gerekir.

Bu nedenle özellikle;

• kişisel veriler,
• özel nitelikli kişisel veriler,
• müşteri listeleri,
• çalışan özlük dosyaları,
• kimlik belgeleri,
• sağlık raporları,
• banka ve ödeme bilgileri,
• ticari sırlar,
• fiyatlandırma tabloları,
• maliyet hesaplamaları,
• kaynak kodları,
• algoritmalar,
• Ar-Ge belgeleri,
• yatırım planları,
• birleşme ve satın alma belgeleri,
• gizlilik sözleşmesi kapsamındaki belgeler,
• dava ve soruşturma dosyaları

gibi veri kategorileri açıkça belirtilmelidir.

Veri Sınıflandırması Yapılmalıdır

Şirket içerisindeki bütün bilgilerin aynı güvenlik seviyesinde olmadığı açıktır.

Bu nedenle Shadow AI politikasının şirketin veri sınıflandırma sistemiyle birlikte hazırlanması yararlı olacaktır.

Örneğin veriler;

Kamuya Açık

Şirket İçi

Gizli

Çok Gizli

şeklinde sınıflandırılabilir.

Ardından hangi veri sınıfının hangi yapay zekâ sisteminde kullanılabileceği belirlenebilir.

Örneğin kamuya açık içeriklerin onaylı yapay zekâ araçlarında kullanılmasına izin verilirken “Gizli” ve “Çok Gizli” kategorisindeki bilgilerin harici yapay zekâ sistemlerine yüklenmesi yasaklanabilir.

Bu yaklaşım çalışanların kuralları uygulamasını da kolaylaştırır.

KVKK Açısından Yapay Zekâ Kullanım Kuralları Belirlenmelidir

Shadow AI politikası hazırlanırken 6698 sayılı Kişisel Verilerin Korunması Kanunu mutlaka dikkate alınmalıdır.

Çalışanların yapay zekâ sistemlerine;

müşteri adı, telefon numarası, e-posta adresi, çalışan bilgileri veya diğer gerçek kişilere ilişkin bilgileri

yüklemesi kişisel veri işleme faaliyetine neden olabilir.

Bu nedenle politikada kişisel verilerin yapay zekâ sistemlerinde hangi koşullarda kullanılabileceği ayrıca düzenlenmelidir.

Özellikle;

kişisel veri işleme şartı, veri minimizasyonu, veri güvenliği, özel nitelikli kişisel veriler ve yurt dışına veri aktarımı

konuları dikkate alınmalıdır.

Veri Minimizasyonu Kuralı Getirilmelidir

Yapay zekâ kullanımında en önemli prensiplerden biri mümkün olan en az miktarda verinin kullanılmasıdır.

Örneğin çalışan yalnızca bir sözleşme maddesini analiz etmek istiyorsa bütün sözleşmenin sisteme yüklenmesi gerekmeyebilir.

Yalnızca gerekli bölüm kullanılabilir.

Benzer şekilde isim, telefon, kimlik numarası veya banka bilgisi yapay zekâ işlemi için gerekli değilse bu bilgiler sisteme girilmemelidir.

Shadow AI politikasında;

“Yapay zekâ sistemlerinde yalnızca işlemin gerçekleştirilmesi için gerekli olan asgari veri kullanılabilir.”

şeklinde bir veri minimizasyonu kuralına yer verilmesi yararlı olabilir.

Anonimleştirme ve Maskeleme Kuralları Belirlenmelidir

Bazı işlemlerde yapay zekâ kullanımı gerekli olabilir ancak belgedeki kişisel verilerin sisteme aktarılmasına ihtiyaç bulunmayabilir.

Bu durumda belge yapay zekâ sistemine yüklenmeden önce kişisel veriler çıkarılabilir veya uygun teknik yöntemlerle maskelenebilir.

Örneğin;

“Ahmet Yılmaz” yerine “Müşteri A”,

“T.C. kimlik numarası” yerine “XXX”,

şirket adı yerine “Şirket A”

kullanılabilir.

Ancak yalnızca isimlerin silinmesi her durumda anonimleştirme anlamına gelmez.

Kişinin diğer bilgiler üzerinden belirlenebilmesi mümkünse veri hâlen kişisel veri niteliğinde olabilir.

Bu nedenle anonimleştirme ve maskeleme yöntemleri şirketin KVKK politikalarıyla uyumlu hazırlanmalıdır.

Özel Nitelikli Kişisel Verilere Daha Sıkı Kurallar Getirilmelidir

Sağlık bilgileri ve diğer özel nitelikli kişisel veriler bakımından daha yüksek koruma seviyesi uygulanmalıdır.

Özellikle;

insan kaynakları, sağlık, sigorta ve hukuk departmanlarında

bu tür bilgiler yoğun şekilde bulunabilir.

Şirket politikasında özel nitelikli kişisel verilerin harici yapay zekâ sistemlerine yüklenmesi tamamen yasaklanabilir veya yalnızca özel olarak onaylanmış sistemlerde kullanılmasına izin verilebilir.

Yurt Dışına Veri Aktarımı Değerlendirilmelidir

Birçok yapay zekâ hizmet sağlayıcısı uluslararası şirketlerden oluşmaktadır.

Bu nedenle yapay zekâ sistemlerine kişisel veri girildiğinde verilerin yurt dışında işlenmesi veya saklanması gündeme gelebilir.

Şirketler yapay zekâ uygulamasını kurumsal olarak kullanmaya başlamadan önce;

verinin nerede işlendiğini, hangi alt hizmet sağlayıcıların kullanıldığını ve KVKK’nın yurt dışına veri aktarımı hükümleri bakımından hangi hukuki mekanizmanın uygulanacağını

değerlendirmelidir.

Bu değerlendirme Shadow AI politikasının yalnızca çalışan davranışlarını değil, şirketin yapay zekâ satın alma ve tedarik süreçlerini de kapsaması gerektiğini göstermektedir.

Ticari Sırların Korunmasına Özel Hükümler Konulmalıdır

Shadow AI bakımından kişisel veriler kadar önemli başka bir konu ticari sırlardır.

Çalışanın;

müşteri listesini, fiyatlandırma politikasını, üretim formülünü, kaynak kodunu veya yatırım stratejisini

yapay zekâ sistemine yüklemesi şirketin rekabet gücünü ciddi şekilde etkileyebilir.

Türk Borçlar Kanunu kapsamında işçinin sadakat ve sır saklama yükümlülüğü bulunduğu unutulmamalıdır.

Bu nedenle yapay zekâ politikasında ticari sır niteliğindeki bilgilerin üçüncü taraf yapay zekâ sistemlerine aktarılması açık şekilde sınırlandırılmalıdır.

Kaynak Kodlarının Kullanımı Ayrıca Düzenlenmelidir

Teknoloji şirketlerinde Shadow AI politikasının özel bir bölümünün yazılım geliştirme süreçlerine ayrılması gerekebilir.

Yazılım geliştiriciler yapay zekâ sistemlerinden;

kod yazma, hata tespiti ve kod optimizasyonu

amacıyla yoğun şekilde yararlanabilir.

Ancak şirketin özel kaynak kodlarının veya müşteriye özel geliştirdiği yazılımların harici sistemlere aktarılması;

ticari sır, fikrî mülkiyet ve siber güvenlik riskleri

yaratabilir.

Bu nedenle hangi kod parçalarının hangi yapay zekâ araçlarında kullanılabileceği açıkça belirlenmelidir.

Sözleşmelerin Yapay Zekâya Yüklenmesi Düzenlenmelidir

Şirket çalışanları özellikle uzun sözleşmeleri yapay zekâ aracılığıyla özetlemek isteyebilir.

Ancak sözleşmeler;

kişisel veriler, özel fiyatlar, ödeme koşulları ve üçüncü tarafların gizli bilgilerini

içerebilir.

Politikada gizlilik hükümleri bulunan sözleşmelerin yapay zekâ sistemlerine yüklenmesine ilişkin açık kısıtlamalar bulunmalıdır.

Özellikle hukuk departmanlarının hangi yapay zekâ sistemlerini kullanabileceği ayrıca düzenlenebilir.

Gizlilik Sözleşmeleri ile Yapay Zekâ Politikası Uyumlu Olmalıdır

Şirket müşterileriyle veya iş ortaklarıyla imzaladığı gizlilik sözleşmelerinde bilgilerin üçüncü kişilere açıklanmayacağını taahhüt etmiş olabilir.

Yapay zekâ hizmet sağlayıcısına veri aktarılması, kullanılan sistemin ve sözleşmenin özelliklerine göre bu yükümlülüklerin değerlendirilmesini gerektirebilir.

Bu nedenle Shadow AI politikası hazırlanırken şirketin mevcut NDA ve gizlilik sözleşmeleri de gözden geçirilmelidir.

Yapay Zekâ Çıktılarının İnsan Tarafından Kontrol Edilmesi Zorunlu Olmalıdır

Shadow AI politikası yalnızca sisteme hangi verilerin girileceğini düzenlememelidir.

Yapay zekâdan alınan çıktıların nasıl kullanılacağı da açıkça belirtilmelidir.

Üretken yapay zekâ sistemleri;

yanlış bilgi, hatalı hesaplama, gerçekte bulunmayan mahkeme kararı veya yanlış teknik değerlendirme

üretebilir.

Bu nedenle şirket politikasında;

“Yapay zekâ tarafından oluşturulan hiçbir çıktı yetkili kişi tarafından kontrol edilmeden müşteriye, kamu kurumuna veya üçüncü kişiye gönderilemez.”

şeklinde bir insan denetimi kuralı getirilebilir.

Yapay Zekâ ile Alınabilecek Kararlar Sınırlandırılmalıdır

Şirketler yapay zekâyı yalnızca içerik üretiminde değil, karar alma süreçlerinde de kullanmaya başlayabilir.

Örneğin yapay zekâ;

işe alınacak adayları, işten çıkarılacak çalışanları, kredi verilecek müşterileri veya yüksek riskli müşterileri

belirlemekte kullanılabilir.

Bu tür kararların hukuki sonuçları daha ağır olabilir.

Bu nedenle Shadow AI politikasında yapay zekânın hangi alanlarda yalnızca yardımcı araç olduğu ve hangi kararların mutlaka insan tarafından verilmesi gerektiği düzenlenmelidir.

Yapay Zekâ Tarafından Üretilen İçeriğin Doğruluğu Kontrol Edilmelidir

Şirket çalışanları yapay zekânın verdiği bilgileri kesin doğru olarak kabul etmemelidir.

Politikada çalışanlara;

mevzuat, mahkeme kararı, teknik veri, istatistik veya finansal hesaplama

gibi bilgilerin güvenilir kaynaklardan doğrulanması gerektiği açıkça bildirilmelidir.

Özellikle hukuk, finans, sağlık ve teknik sektörlerde bu kontrol daha sıkı uygulanmalıdır.

Fikrî Mülkiyet Hakları Politikaya Dahil Edilmelidir

Yapay zekâ sistemlerinin oluşturduğu;

metin, yazılım kodu, tasarım ve görsellerin

ticari kullanımında fikrî mülkiyet sorunları ortaya çıkabilir.

Bu nedenle çalışanların yapay zekâ çıktısını doğrudan şirket ürünü hâline getirmeden önce gerekli fikrî mülkiyet kontrollerini yapması sağlanmalıdır.

Aynı şekilde şirketin kendi telif hakkı veya ticari sır niteliğindeki içeriklerinin yapay zekâ sistemlerine yüklenmesi de sınırlandırılmalıdır.

Yeni Yapay Zekâ Araçları İçin Onay Prosedürü Oluşturulmalıdır

Çalışanların sürekli yeni yapay zekâ uygulamaları kullanmaya başlaması Shadow AI riskinin büyümesine neden olabilir.

Bu nedenle şirket içerisinde basit bir AI onay prosedürü oluşturulabilir.

Örneğin çalışan yeni bir AI hizmeti kullanmak istediğinde;

uygulamanın adı, kullanım amacı ve kullanılacak veri türlerini

bilgi teknolojileri veya hukuk birimine bildirebilir.

Risk değerlendirmesi sonrasında kullanım onaylanabilir veya reddedilebilir.

Bu yöntem çalışanların gizlice araç kullanması yerine kontrollü bir sürece yönlendirilmesini sağlar.

Yapay Zekâ Hizmet Sağlayıcıları Hukuken İncelenmelidir

Şirketin kullanacağı yapay zekâ hizmeti seçilirken yalnızca fiyat ve performans değerlendirmesi yapılmamalıdır.

Hizmet sağlayıcının;

veri işleme koşulları, gizlilik politikası, güvenlik sertifikaları, veri saklama süresi, alt işleyenleri ve yurt dışı veri aktarım yapısı

da incelenmelidir.

Özellikle yüksek miktarda kişisel veri veya ticari sır kullanacak şirketlerde tedarikçi sözleşmelerine özel veri güvenliği hükümleri eklenebilir.

Shadow AI Politikası ile Bilgi Güvenliği Politikası Birlikte Çalışmalıdır

Yapay zekâ politikası şirketin mevcut bilgi güvenliği kurallarından bağımsız hazırlanmamalıdır.

Şirketin;

parola politikaları, erişim yetkileri, e-posta güvenliği, bulut sistemi kullanımı ve kişisel cihaz politikaları

ile yapay zekâ politikası arasında uyum bulunmalıdır.

Örneğin çalışanların gizli şirket dosyalarını kişisel e-postalarına göndermesi yasakken aynı belgeleri kişisel yapay zekâ hesabına yüklemelerine izin verilmesi tutarsız olacaktır.

Çalışanların Yapay Zekâ Kullanımı Denetlenebilir mi?

Şirket belirli ölçüde kurumsal sistemlerin kullanımını denetleyebilir.

Ancak çalışan denetiminin de hukuki sınırları vardır.

İşverenin;

çalışanların temel haklarına, özel hayatın gizliliğine ve kişisel verilerin korunmasına

dikkat etmesi gerekir.

Bu nedenle politikada hangi kullanım kayıtlarının tutulduğu ve hangi amaçla denetim yapılabileceği açık şekilde düzenlenmelidir.

Gizli ve sınırsız çalışan takibi, Shadow AI riskini azaltmaya çalışırken başka bir hukuki uyuşmazlık yaratabilir.

İhlal Bildirim Prosedürü Oluşturulmalıdır

Çalışan yanlışlıkla kişisel veri veya ticari sır içeren bir belgeyi yapay zekâ sistemine yükleyebilir.

Bu durumda yapılabilecek en büyük hatalardan biri olayın gizlenmesidir.

Şirket politikası çalışanı hızlı bildirim yapmaya teşvik etmelidir.

Örneğin;

“Yanlışlıkla şirket verisini yetkisiz yapay zekâ sistemine yükleyen çalışan, olayı derhâl bilgi güvenliği ve hukuk birimine bildirmelidir.”

şeklinde bir prosedür oluşturulabilir.

Bildirim sonrasında kullanılan sistem, yüklenen veri, veri kategorileri ve olası etkiler araştırılmalıdır.

Shadow AI Olaylarına Müdahale Planı Hazırlanmalıdır

Şirketlerin yalnızca kullanım politikasına değil, bir ihlal meydana geldiğinde uygulanacak müdahale planına da ihtiyacı vardır.

Shadow AI olayı tespit edildiğinde;

1. kullanılan yapay zekâ sistemi belirlenmeli,
2. sisteme aktarılan veriler tespit edilmeli,
3. hesap ve erişim kayıtları korunmalı,
4. verilerin silinmesinin mümkün olup olmadığı araştırılmalı,
5. KVKK bakımından veri ihlali değerlendirmesi yapılmalı,
6. gizlilik sözleşmeleri kontrol edilmeli,
7. gerekiyorsa ilgili iş ortaklarına bildirim yapılmalı,
8. çalışanın davranışı iş hukuku bakımından değerlendirilmelidir.

Bu süreç önceden hazırlanmışsa olaylara daha hızlı müdahale edilebilir.

Disiplin Yaptırımları Açıkça Düzenlenmelidir

Politikaya aykırı yapay zekâ kullanımının sonuçlarının çalışanlar tarafından bilinmesi gerekir.

Ancak;

“Her Shadow AI ihlali haklı fesih sebebidir.”

şeklindeki otomatik bir yaklaşım doğru değildir.

İhlalin ağırlığına göre;

uyarı, disiplin yaptırımı, erişim yetkisinin sınırlandırılması, geçerli nedenle fesih veya ağır durumlarda haklı nedenle fesih

gündeme gelebilir.

Örneğin kamuya açık bir metnin yanlış uygulamada kullanılmasıyla yüz binlerce müşterinin kişisel verisinin bilinçli şekilde üçüncü taraf yapay zekâ sistemine aktarılması aynı yaptırıma tabi tutulmamalıdır.

Çalışanlara Yapay Zekâ Eğitimi Verilmelidir

Shadow AI politikasının yalnızca çalışanlara gönderilmesi yeterli olmayabilir.

Çalışanların kuralları gerçekten anlaması gerekir.

Eğitimlerde teorik bilgilerden ziyade günlük iş hayatından örnekler verilmesi daha etkili olacaktır.

Örneğin;

“Bir müşteri sözleşmesini ChatGPT’ye yükleyebilir miyim?”

“Kaynak kodumu AI ile kontrol ettirebilir miyim?”

“CV’leri yapay zekâya yükleyebilir miyim?”

“Müşteri adını silersem belgeyi kullanabilir miyim?”

gibi sorular çalışanlarla birlikte değerlendirilmelidir.

Departmanlara Göre Farklı Kurallar Oluşturulabilir

Her departmanın yapay zekâ riski aynı değildir.

Örneğin;

İnsan Kaynakları: çalışan ve aday verileri,

Hukuk: sözleşmeler ve dava dosyaları,

Finans: banka ve mali bilgiler,

Satış: müşteri listeleri ve fiyatlandırma,

Yazılım: kaynak kodları,

Ar-Ge: yeni ürün ve teknolojiler

bakımından farklı risklerle karşılaşabilir.

Bu nedenle genel Shadow AI politikasının yanında departmanlara özel ek protokoller hazırlanabilir.

Yöneticiler de Shadow AI Politikasına Tabi Olmalıdır

Shadow AI yalnızca alt kademe çalışanlardan kaynaklanan bir risk değildir.

Şirket yöneticileri de;

stratejik planları, yönetim kurulu raporlarını veya finansal tabloları

kişisel yapay zekâ hesaplarına yükleyebilir.

Hatta üst düzey yöneticilerin erişebildiği bilgiler daha hassas olduğundan ortaya çıkabilecek zarar daha yüksek olabilir.

Bu nedenle yapay zekâ politikası bütün çalışanları ve yöneticileri kapsamalıdır.

Politika İş Sözleşmelerine ve İç Yönetmeliklere Bağlanmalıdır

Shadow AI politikası ayrı bir şirket politikası olarak hazırlanabileceği gibi;

iş sözleşmeleri, çalışan el kitapları, bilgi güvenliği politikaları ve gizlilik taahhütnameleri

ile bağlantılı hâle getirilebilir.

Çalışanların politikayı aldığının ve içeriğini bildiğinin ispatlanabilmesi için uygun bildirim ve kayıt sistemi oluşturulması önemlidir.

Politika Düzenli Olarak Güncellenmelidir

Yapay zekâ teknolojisi son derece hızlı gelişmektedir.

Bugün kullanılan yapay zekâ sistemi birkaç ay içerisinde yeni özelliklere kavuşabilir.

Örneğin sistem;

şirket e-postasına, bulut depolamasına veya müşteri yönetim sistemine

doğrudan bağlanabilir hâle gelebilir.

Bu nedenle Shadow AI politikası bir kez hazırlanıp yıllarca değiştirilmeden bırakılmamalıdır.

Şirketler politikayı düzenli olarak;

yeni teknolojiler, mevzuat değişiklikleri ve yaşanan güvenlik olayları

doğrultusunda güncellemelidir.

Shadow AI Politikası Kim Tarafından Hazırlanmalıdır?

Shadow AI politikası yalnızca bilgi teknolojileri departmanının hazırlayacağı teknik bir belge olarak görülmemelidir.

Politika hazırlanırken;

hukuk, bilgi teknolojileri, bilgi güvenliği, KVKK, insan kaynakları ve ilgili iş birimleri

birlikte çalışmalıdır.

Bilgi teknolojileri ekibi sistemlerin teknik risklerini değerlendirirken hukuk birimi KVKK, ticari sırlar, iş hukuku ve sözleşmesel riskleri analiz etmelidir.

İnsan kaynakları ise politikanın çalışanlara bildirilmesi, eğitimler ve disiplin süreçleri bakımından sürece dahil olmalıdır.

Şirketler İçin Örnek Shadow AI Politikası Yapısı

Kapsamlı bir Shadow AI politikası temel olarak şu bölümlerden oluşturulabilir:

1. Amaç

Politikanın neden hazırlandığı açıklanır.

2. Kapsam

Politikanın çalışanlar, yöneticiler, stajyerler, danışmanlar ve gerektiğinde taşeronlar açısından uygulanıp uygulanmayacağı belirlenir.

3. Tanımlar

Yapay zekâ, üretken yapay zekâ, Shadow AI, kişisel veri ve gizli bilgi gibi kavramlar açıklanır.

4. Onaylı Yapay Zekâ Araçları

Kullanılabilecek sistemler belirlenir.

5. Yasaklanan Kullanımlar

Kişisel veri, ticari sır ve gizli belge aktarımına ilişkin sınırlar düzenlenir.

6. Veri Sınıflandırması

Hangi verinin hangi risk kategorisinde olduğu belirlenir.

7. İnsan Denetimi

Yapay zekâ çıktılarının doğrulanması zorunlu tutulur.

8. Yeni AI Aracı Onay Süreci

Yeni uygulamaların nasıl onaylanacağı açıklanır.

9. Veri İhlali ve Olay Bildirimi

Yanlışlıkla veri aktarılması hâlinde uygulanacak süreç belirlenir.

10. Çalışan Denetimi

İşverenin hangi ölçüde kullanım takibi yapacağı düzenlenir.

11. Eğitim

Çalışanların yapay zekâ farkındalık eğitimleri belirlenir.

12. Disiplin Hükümleri

Politikaya aykırılıkların sonuçları açıklanır.

13. Politikanın Güncellenmesi

Belgenin hangi sıklıkta gözden geçirileceği belirlenir.

Sadece Yapay Zekâyı Yasaklamak Yeterli midir?

Çoğu şirket açısından hayır.

Tam yasak, özellikle yapay zekânın günlük işlerde ciddi verimlilik sağladığı işletmelerde uygulanabilir olmayabilir.

Çalışanlar yapay zekâ araçlarını kişisel telefon veya hesaplar üzerinden kullanmaya devam edebilir.

Bu durumda kullanım sona ermek yerine şirket açısından görünmez hâle gelir.

Daha doğru yaklaşım;

yasaklamak yerine yönetmek, sınıflandırmak ve denetlemektir.

Şirket çalışanlarına güvenli ve onaylı araçlar sunduğunda Shadow AI kullanımının azalması mümkün olabilir.

Shadow AI Politikası KVKK Uyum Sürecinin Bir Parçası Olmalıdır

Şirketlerin mevcut KVKK uyum çalışmalarının yapay zekâ kullanımından bağımsız düşünülmesi artık yeterli olmayabilir.

Veri envanteri hazırlanmış olsa dahi çalışanların kişisel verileri yetkisiz yapay zekâ sistemlerine aktarması şirketin öngördüğü veri akışını değiştirebilir.

Bu nedenle yapay zekâ kullanımı;

kişisel veri işleme envanteri, bilgi güvenliği tedbirleri, çalışan eğitimleri ve yurt dışına veri aktarımı süreçleri

ile birlikte değerlendirilmelidir.

Shadow AI Politikası Hazırlamanın Şirket Açısından Faydaları

Doğru hazırlanan bir politika yalnızca hukuki riskleri azaltmaz.

Aynı zamanda;

çalışanların hangi araçları güvenle kullanabileceğini bilmesini, bilgi teknolojileri biriminin sistemleri daha kolay yönetmesini, şirket verilerinin korunmasını ve yapay zekâ yatırımlarının kontrollü gerçekleştirilmesini

sağlar.

Böylelikle şirket yapay zekâyı tamamen yasaklamak zorunda kalmadan teknolojinin sağladığı avantajlardan yararlanabilir.

Sonuç

Şirketlerde Shadow AI politikası hazırlanması, yapay zekâ kullanımının hızla yaygınlaştığı günümüzde önemli bir kurumsal hukuk ve bilgi güvenliği ihtiyacı hâline gelmiştir.

Etkili bir Shadow AI politikası yalnızca;

“Çalışanlar izinsiz yapay zekâ kullanamaz.”

şeklindeki genel bir yasaktan oluşmamalıdır.

Politika;

hangi yapay zekâ araçlarının kullanılabileceğini, hangi veri kategorilerinin sisteme girilemeyeceğini, kişisel verilerin ve ticari sırların nasıl korunacağını, çalışanların kişisel hesaplarının kullanılıp kullanılamayacağını, yapay zekâ çıktılarının nasıl kontrol edileceğini ve bir ihlal gerçekleştiğinde hangi prosedürün uygulanacağını

açık şekilde düzenlemelidir.

Şirketlerin ayrıca veri sınıflandırması yapması, onaylı yapay zekâ araçları belirlemesi, çalışanlara düzenli eğitim vermesi ve yapay zekâ hizmet sağlayıcılarını hukuki ve teknik açıdan değerlendirmesi gerekir.

Shadow AI politikası;

KVKK, iş hukuku, ticari sırların korunması, sözleşmesel gizlilik, fikrî mülkiyet ve bilgi güvenliği

kurallarıyla birlikte hazırlanmalıdır.

Önümüzdeki dönemde şirketler açısından temel mesele çalışanların yapay zekâ kullanıp kullanmadığını tartışmak değil, bu kullanımın hangi kurallar çerçevesinde gerçekleştirileceğini belirlemek olacaktır.

Bu nedenle iyi hazırlanmış bir Shadow AI politikası, şirketin yalnızca hukuki risklerini azaltan bir belge değil, aynı zamanda kurumsal yapay zekâ yönetişiminin temel unsurlarından biri olarak değerlendirilmelidir.