ChatGPT'ye şirket bilgisi yazmak güvenli mi?
ChatGPT'ye şirket bilgisi yazmak, hangi planı kullandığınıza ve ne yazdığınıza bağlı olarak güvenli de olabilir, riskli de. OpenAI'nin kendi sayfasına göre bireysel hesaplarda içeriğiniz model eğitimi için kullanılabilir; kurumsal planlarda ve API'de ise varsayılan olarak kullanılmaz. Müşteri listesi, maaş bordrosu veya teklif dosyası gibi veriler için asıl soru "ChatGPT güvenli mi?" değil, "hangi hesap, hangi ayar, hangi veri?" sorusudur.
Konuya yabancıysanız şöyle düşünün: ChatGPT'ye yazdığınız her metin, şirketinizin dışındaki bir hizmet sağlayıcının sunucularına gider. Orada ne kadar süre kaldığı, kimin görebildiği ve yeni modelleri eğitmek için kullanılıp kullanılmadığı sözleşmeye ve hesap ayarlarına göre değişir. Aynı metin bir çalışanın kişisel hesabında bir sonuç doğurur, şirketin kurumsal planında başka bir sonuç doğurur.
Üç farklı kapı var ve çoğu şirkette üçü de aynı anda açık:
- Bireysel hesap. OpenAI'nin verinin model iyileştirmede nasıl kullanıldığını anlatan sayfası (güncelleme tarihi 13 Mart 2026), bireysel hizmetlerde içeriğin modelleri eğitmek için kullanılabildiğini, kullanıcının bunu kapatabildiğini ve Geçici Sohbet'in eğitimde kullanılmadığını belirtiyor.
- Kurumsal planlar. Aynı sayfa ve OpenAI'nin kurumsal veri gizliliği sayfası, ChatGPT Business ve Enterprise gibi planlarda girdi ve çıktıların varsayılan olarak eğitim için kullanılmadığını yazıyor.
- API. API veri belgeleri, API'ye gönderilen verinin modelleri eğitmek için kullanılmadığını, kötüye kullanım izleme kayıtlarının ise varsayılan olarak en fazla 30 gün tutulduğunu söylüyor. Sıfır veri saklama ise OpenAI'nin ön onayına bağlı.
Bu koşullar değişebilir; karar vermeden önce güncel sayfaları ve sözleşmenizi kontrol edin.
Hangi şirket verisi ChatGPT'ye yazılabilir, hangisi yazılamaz?
Veriyi türüne göre üç gruba ayırmak işe yarar: serbest, koşullu ve yasak. Aşağıdaki tablo bir başlangıç önerisidir; son hâlini hukuk ve bilgi güvenliği ekibinizle birlikte belirleyin.
| Veri türü | Bireysel hesap | Onaylı kurumsal araç |
|---|---|---|
| Herkese açık bilgi, genel soru | Yazılabilir | Yazılabilir |
| Müşteri listesi, ad ve iletişim bilgisi | Yazılmamalı | Koşullu: KVKK değerlendirmesi sonrası |
| Maaş, özlük, sağlık bilgisi | Yazılmamalı | Yazılmamalı; zorunluysa ayrı onay |
| Sözleşme ve teklif metni | Yazılmamalı | Koşullu: gizlilik şartlarına göre |
| Kaynak kod, API anahtarı, şifre | Yazılmamalı | Kod koşullu; anahtar ve şifre asla |
| Adları silinmiş, genelleştirilmiş metin | Koşullu: eğitim ayarı kapalıyken | Yazılabilir |
KVKK Kurumu'nun Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, istemlerde paylaşılan kişisel verilerin ve kurumsal düzeyde hassas bilgilerin açığa çıkma riskini ayrıca anıyor. Rehber, bu sistemlerle bilgi paylaşırken mümkün olduğunca anonimleştirilmiş ve genelleştirilmiş ifadelerin tercih edilmesini, üçüncü kişilere ait kişisel verilerin paylaşılmamasını öneriyor.
KVKK açısından ChatGPT kullanımı nasıl değerlendirilir?
Çalışanınız bir müşterinin adını ve şikâyetini ChatGPT'ye yazdığında, şirketiniz kişisel veri işlemiş olur. Veri sorumlusu siz olduğunuz için bu işlemenin hukuka uygunluğunu, aydınlatmayı ve güvenlik önlemlerini değerlendirmeniz gerekir. Hesap bireysel olsa bile iş şirket adına yapılıyorsa sorumluluk şirkete dönebilir.
6698 sayılı Kanun açısından en az üç madde gündeme gelebilir:
- Madde 10, aydınlatma. Müşterilere ve çalışanlara verilerinin hangi amaçla ve kimlere aktarılarak işlendiğinin anlatılması gerekebilir.
- Madde 12, veri güvenliği. Veri sorumlusunun, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için uygun teknik ve idari tedbirleri alması beklenir. Çalışanların hangi araca ne yazabileceğini belirleyen bir kural bu tedbirlerin parçası olarak değerlendirilebilir.
- Madde 9, yurt dışına aktarım. Hizmet sağlayıcı yurt dışındaysa istemdeki kişisel veri yurt dışına aktarılmış sayılabilir ve Kanun'daki aktarım şartlarından birinin sağlanması gerekebilir. Güncel yönetmeliği ve Kurul kararlarını kontrol edin.
Kişisel veri içermeyen ticari sırlar (fiyat listesi, strateji sunumu) için KVKK değil, sözleşmeler ve iç politikalar belirleyicidir. Müşteri sözleşmenizde gizlilik maddesi varsa o içeriği üçüncü bir hizmete yüklemek maddeyle çelişebilir. Bu yüzden sözleşme metinlerini değerlendirirken avukatınıza danışın.
ChatGPT'yi şirket verisiyle güvenli kullanmak için hangi adımlar atılmalı?
Yasaklamak çoğu zaman çalışanları kişisel hesaplara iter. Daha dayanıklı yol, kuralı yazmak ve onaylı bir araç sunmaktır. Beş adım yeterli bir başlangıç sağlar.
- Veri sınıflarını yazın. Yukarıdaki tabloyu kendi verilerinize uyarlayın: serbest, koşullu, yasak. Her sınıf için bir örnek ekleyin.
- Onaylı bir hesap türü seçin. Kurumsal plan ya da API üzerinden kurulan kendi uygulamanız olabilir. Plan koşullarında eğitim, saklama süresi ve işleme yerini yazılı olarak doğrulayın.
- Bireysel hesapları kapsam dışı bırakın. İş verisi için kişisel hesap kullanılamayacağını kurala yazın. Zorunlu hâllerde eğitimde kullanım ayarının kapalı olması şartı koyun.
- Veriyi göndermeden önce temizleyin. Ad, kimlik numarası, tutar ve şirket adı gibi alanları çıkarın ya da genel ifadelerle değiştirin. KVKK Kurumu'nun rehberi de bu yönde.
- Çalışanı eğitin. Kural tek seferlik bir e-posta olmasın; yeni çalışana ilk hafta anlatılsın, yılda bir güncellensin. İhlal bildirimi için kime yazılacağını belirtin.
Verinin hiçbir koşulda şirket dışına çıkmaması gerekiyorsa üçüncü bir seçenek var: modeli kendi sunucunuzda çalıştırmak. Bu durumda veri bulut tedarikçisine gitmez; karşılığında kurulum ve işletme sorumluluğu sizde olur. Karşılaştırmayı şirket verisiyle kendi ChatGPT'nizi kurma rehberimizde bulabilirsiniz.
Örnek: Bir satış ekibi teklif yazarken ne yapmalı?
Örneğin 12 kişilik bir satış ekibi, müşterilere gönderdiği teklif metinlerini ChatGPT'ye yazdırıyor olsun. Teklifte müşteri adı, yetkili kişinin adı, ürün kalemleri ve indirim oranı yer alıyor. Bu örnekteki tüm rakamlar varsayımsaldır.
İlk durumda ekip, kişisel hesaplarıyla teklifin tamamını yapıştırıyor. Yetkilinin adı ve iletişim bilgisi kişisel veridir, indirim oranı ise ticari sır niteliği taşıyabilir. Hesapta eğitimde kullanım ayarı açıksa metin model iyileştirmede kullanılabilir.
İkinci durumda yönetici üç değişiklik yapıyor. Şirket kurumsal plan satın alıyor ve ekibe bu hesabı veriyor. Teklif şablonunda müşteri adı "[Müşteri]", yetkili adı "[Yetkili]" ve indirim oranı "[Oran]" olarak bırakılıyor; ChatGPT yalnızca metni düzenliyor, gerçek değerler sonradan elle ekleniyor. Kural tek sayfaya yazılıyor ve ekip bir kez bilgilendiriliyor.
Sonuçta ekip aynı hızla çalışıyor, ama kişisel veri ve fiyat bilgisi dışarı gitmiyor. Maliyet ise bir lisans ve yarım günlük bir eğitimden ibaret.
Kuralın işlediğini nasıl anlarsınız?
Yazılı bir kural tek başına yetmez; uygulanıp uygulanmadığını görmeniz gerekir. Küçük bir şirket için bile şu dört kontrol makuldür:
- Hangi araçların kullanıldığını sorun. Anonim bir anketle çalışanlara hangi yapay zekâ araçlarını, hangi hesapla kullandıklarını sorun. Yargılamadan sorarsanız gerçek tabloyu görürsünüz.
- Onaylı hesabın ayarlarını denetleyin. Eğitim, saklama süresi ve paylaşım ayarlarını üç ayda bir yönetim panelinden kontrol edin. Tedarikçi koşulları değiştiyse kuralı da güncelleyin.
- Örnek istemleri inceleyin. Onaylı araçta, çalışanların izniyle ve kurumsal planın izin verdiği ölçüde, birkaç örnek istemi gözden geçirip yasak veri sınıfı kaçıp kaçmadığına bakın.
- Olay prosedürünü deneyin. Biri yanlışlıkla bir müşteri listesini yapıştırırsa kime haber verecek, hangi adımlar atılacak? Bunu bir kez masa başında prova edin.
Kuralın bir sahibi de olsun. Sahipsiz bir veri sınıfı tablosu hızla eskir: yeni araçlar çıkar, tedarikçi koşulları değişir, çalışanlar sınırın nerede olduğunu unutur. Sahip, BT'den bir yönetici ve hukuktan biriyle üç ayda bir yapılacak kısa bir gözden geçirme çoğu zaman yeterlidir.
Bu kontroller bir izleme sistemi kurmayı gerektirmez. Çalışan istemlerini izlemek ayrıca kişisel veri işleme anlamına gelebileceği için, izleme düşünüyorsanız önce amacı, kapsamı ve aydınlatmayı hukuk ekibinizle netleştirin.
ChatGPT'de şirketlerin en sık yaptığı hatalar neler?
- Yalnızca yasaklamak. Onaylı alternatif sunulmazsa çalışanlar kişisel hesaba geçer ve şirket ne yazıldığını bilemez.
- Hesap türünü ayırmamak. Bireysel hesaptaki koşulları kurumsal plan için, kurumsal planınkini bireysel hesap için geçerli sanmak.
- Pazarlama sayfasına güvenmek. Eğitim, saklama ve işleme yerini sözleşme ve resmî belgelerden doğrulamamak.
- Müşteri sözleşmesindeki gizlilik maddesini unutmak. Kişisel veri olmasa bile içerik üçüncü bir hizmete yüklenemeyebilir.
- Anahtar ve şifreleri kodla birlikte yapıştırmak. Bir kez sızsa bile değiştirilmeleri gerekir.
- Çıktıyı kontrol etmemek. Hatalı bilginin sorumluluğu şirkette kalır; yanıtı göndermeden önce bir insan okumalıdır.
Hatson Tech bu konuda nasıl yardımcı oluyor?
Hatson Tech, yapay zekâ danışmanlığı kapsamında şirketinizin hangi verisinin hangi araca gidebileceğini haritalamanıza ve kullanım kuralınızı yazmanıza yardımcı olur. Gerekirse modeli sizin sunucularınızda çalıştırarak veriyi şirket dışına çıkarmadan kurumsal bir asistan kurabiliriz. İlk görüşme ve keşif ücretsizdir; sabit fiyat yayımlamıyoruz, kapsamı keşiften sonra birlikte netleştiriyoruz.
Devamı için KVKK üretken yapay zekâ rehberi yazımıza ve yapay zekâda veri gizliliği yazımıza göz atabilirsiniz.