Şirketler için ChatGPT kullanım politikası nedir, neden yazılı olmalı?
ChatGPT kullanım politikası, çalışanların hangi yapay zekâ araçlarını, hangi veriyle ve hangi kurallarla kullanabileceğini yazan kısa bir iç belgedir. Bir ya da iki sayfa yeterlidir; asıl şart, yönetimin onaylaması ve çalışanların belgeyi gerçekten okumasıdır. Yazılı kural yoksa herkes kendi kişisel hesabıyla, kendi kararıyla çalışır ve şirket hangi verinin nereye gittiğini bilemez.
Risk iki yönlüdür. Birincisi girdi tarafıdır: çalışan müşteri listesini, bir sözleşme taslağını ya da kaynak kodu isteme yapıştırdığında bu veri şirketin denetimi dışındaki bir hizmete gider. OWASP'ın LLM02 maddesi, kişisel veriler, finansal bilgiler, gizli iş verileri ve erişim bilgileri gibi hassas içeriğin dil modeli uygulamalarında ifşa olabileceğini ve kullanıcıların hassas veriyi farkında olmadan girme riskini bilmesi gerektiğini söylüyor. İkincisi çıktı tarafıdır: model inandırıcı ama uydurma bilgi üretebilir. OWASP'ın LLM09 maddesi bunu, güvenilir görünen ama yanlış içeriğin itibar kaybına ve hukuki sorumluluğa yol açabilmesi diye tarif ediyor.
Politika bu iki riski tek bir soruya indirir: hangi araçta, hangi veriyle, kimin onayıyla? Kişisel veri söz konusuysa konu aynı zamanda KVKK'dır. Kişisel Verileri Koruma Kurumu'nun 24 Kasım 2025'te yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, bu sistemlerle yürütülen kişisel veri işleme faaliyetlerini 6698 sayılı Kanun çerçevesinde değerlendiriyor. Rehber bağlayıcı bir yönetmelik değildir; ancak bir inceleme ya da şikâyet geldiğinde makul sayılacak çıtayı gösterir.
Örnek politika maddeleri neler olmalı?
Aşağıdaki tablo, şirketinize uyarlayabileceğiniz yedi maddeyi ve her birinin neden gerektiğini özetliyor. İfadeleri kendi yapınıza göre değiştirin; son hâlini hukuk danışmanınızla birlikte değerlendirin.
| Madde | Örnek ifade | Neden gerekli |
|---|---|---|
| 1. İzinli araçlar | "Yalnızca BT'nin onayladığı araçlar ve şirket hesapları kullanılır." | Kişisel hesap şirketin denetimi dışında kalır. |
| 2. Yasak veri türleri | "Müşteri kişisel verisi, sağlık verisi, parola ve gizli sözleşmeler girilmez." | İfşa riski girdide başlar. |
| 3. Çıktı kontrolü | "Dışarı giden her çıktıyı gönderen kişi doğrular ve sorumluluğu üstlenir." | Model uydurma bilgi üretebilir. |
| 4. Telif ve gizlilik | "Üçüncü kişiye ait telifli metin ve rakip bilgisi isteme yapıştırılmaz." | Hak ihlali ve sır sızıntısı riski. |
| 5. Kayıt ve izleme | "Araç kullanımı üst veri düzeyinde kaydedilir; içerik kaydı ayrıca yetkilendirilir." | Denetim ile çalışan gizliliği dengelenir. |
| 6. Eğitim | "Her çalışan yılda bir kez kısa eğitimi tamamlar." | Bilinmeyen kural uygulanamaz. |
| 7. İhlal bildirimi | "Yanlışlıkla veri girilirse aynı gün BT ve sorumluya bildirilir." | Geç bildirim zararı büyütür. |
Her maddenin yanına bir sorumlu yazın. "Herkes sorumludur" yazan madde pratikte kimsenin sorumlu olmadığı anlamına gelir. Genellikle araç listesi BT'de, veri sınıfları bilgi güvenliği ya da KVKK sorumlusunda, eğitim insan kaynaklarında, ihlal bildirimi ise tek bir iletişim noktasında durur.
Hangi araçlar ve hangi veriler izinli olmalı?
İzinli araç listesi politikanın en işe yarayan bölümüdür; çünkü "ChatGPT yasak" ya da "ChatGPT serbest" demek yerine somut bir yol gösterir. Listeyi hazırlarken her araç için tedarikçinin teknik belgelerinden şunları kontrol edin: istemler model eğitiminde kullanılıyor mu, veri hangi bölgede işleniyor, ne kadar süre saklanıyor, yönetici kontrolleri var mı. Pazarlama sayfası yerine sözleşmeyi ve gizlilik belgesini okuyun. Konunun ayrıntısını şirket verisiyle kendi ChatGPT'nizi kurmak yazımızda anlattık.
Veri sınıfları için üç basamak çoğu şirkete yeter:
- Serbest: kamuya açık bilgi, genel yazım ve çeviri işleri, kişi içermeyen taslaklar.
- Yalnızca onaylı araçta: iç belgeler, kişi adı içermeyen müşteri yazışmaları, kaynak kod parçaları.
- Yasak: özel nitelikli kişisel veri, parola ve anahtarlar, imzalanmamış teklif bilgisi, gizlilik yükümlülüğü altındaki sözleşmeler.
Sınıfları somut örneklerle yazın. "Hassas veri girilmez" cümlesini herkes farklı yorumlar; "müşteri listesi, maaş tablosu ve parolalar girilmez" cümlesini yorumlamak zordur. Kişisel veri içeren iş akışlarında verinin yurt dışındaki bir sağlayıcıda işlenip işlenmediğine bakın. 6698 sayılı Kanun yurt dışına aktarımı ayrı bir maddede düzenliyor; bu durum hukuk danışmanıyla değerlendirilmelidir.
Politikayı nasıl yazıp devreye alırsınız?
- Mevcut kullanımı öğrenin. Çalışanlara hangi araçları ne için kullandıklarını anonim bir formla sorun. Yasaklamadan önce gerçek kullanımı bilmek, kuralın işe yarayıp yaramayacağını belirler.
- Riskleri sınıflayın. Her departmanın tipik işini üç veri sınıfına yerleştirin. Satış ve muhasebe ile yazılım ekibinin riskleri aynı değildir.
- Onaylı bir araç sağlayın. Alternatif vermeden yasak koyarsanız kullanım gizlenir. Kurumsal bir plan ya da şirket içi bir asistan, kuralı uygulanabilir kılar.
- Taslağı yazın ve iki kişiye okutun. Biri hukuk ya da KVKK sorumlusu, diğeri sahada çalışan bir kullanıcı olsun. Birincisi doğruluğu, ikincisi anlaşılırlığı denetler.
- Eğitim verin. Yirmi dakikalık bir oturumda üç gerçek örnek gösterin: doğru kullanım, hatalı kullanım ve yanlışlıkla veri girildiğinde yapılacaklar.
- Gözden geçirin. Araçlar ve mevzuat hızlı değişir. Politikaya bir sürüm numarası ve inceleme tarihi koyun; altı ayda bir gözden geçirin.
Politika, daha geniş bir yönetişim çerçevesinin parçası olmalıdır. NIST Yapay Zekâ Risk Yönetimi Çerçevesi gönüllü kullanım için hazırlanmıştır; NIST ayrıca 26 Temmuz 2024'te üretken yapay zekâya özel bir profil yayımlamıştır. Küçük bir şirketseniz çerçevenin tamamını uygulamanız gerekmez; sorumluluk atama, riskleri belirleme, ölçme ve yönetme fikri kısa bir politika için de yol göstericidir. Daha geniş soruları kurumsal yapay zekâ yönetişimi yazımızda bulabilirsiniz.
Çıktı kontrolü, kayıt ve ihlal bildirimi nasıl işler?
Çıktı kontrolü için tek bir kural yeter: yapay zekâ taslak hazırlar, insan yayınlar. Dışarıya giden metni, rakamı, sözleşme maddesini ya da kod parçasını gönderen kişi kontrol eder ve sahip çıkar. Modelin kaynak göstermediği bir iddiayı bağımsız bir kaynaktan doğrulamadan kullanmak, halüsinasyon riskini şirkete taşımaktır.
Kayıt konusunda dengeli olun. Araç kullanımını kullanıcı, tarih ve araç düzeyinde kaydetmek çoğu zaman yeterlidir; istem ve yanıt metinlerini kaydetmek yeni bir hassas veri deposu yaratabilir. KVKK Kurumu rehberini mühendislik açısından yorumladığımız KVKK üretken yapay zekâ rehberi yazımızda, içeriksiz kayıt ile sınırlı içerik kaydını nasıl ayıracağınızı anlattık. Çalışanların izlenmesi ayrıca bir aydınlatma konusudur; ne kaydedildiğini politikada açıkça yazın.
İhlal bildirimi için kısa bir akış belirleyin: kim bildirir, kime bildirir, ne kadar sürede? Kişisel veri söz konusuysa süreyi ve sorumluları KVKK sorumlunuzla birlikte belirleyin. Çalışanı cezalandırmaktan çok bildirmeye teşvik edin; saklanan hata, bildirilen hatadan pahalıdır.
Örnek: 60 kişilik bir şirket politikayı nasıl uygular?
Örneğin 60 çalışanı olan varsayımsal bir hizmet şirketini düşünelim. Anonim bir form, satış ve destek ekiplerinin müşteri e-postalarını kişisel ChatGPT hesaplarında özetlediğini gösteriyor. Şirket önce üç veri sınıfını ve yedi maddeyi yazıyor. Ardından bir kurumsal plan açıyor, kişisel hesapların iş verisiyle kullanımını yasaklıyor ve BT'yi araç listesinin sorumlusu yapıyor.
İlk iki hafta yalnızca satış ve destek ekibi pilot olarak kullanıyor. Her cuma yirmi dakikalık bir toplantıda kuralların aksadığı yerler listeleniyor. Üçüncü haftada eğitim tüm şirkete açılıyor, altıncı ayda politika yeniden gözden geçiriliyor. Bu rakamlar yalnızca örnektir; sizin şirketinizde süre ve ekip yapısı farklı olabilir. Sıra aynı kalır: önce kullanımı öğrenmek, sonra onaylı bir yol açmak, sonra yazılı kuralı sahaya taşımak.
Politika yazarken sık yapılan hatalar nelerdir?
- Genel yasak koymak: alternatif sunmadan yasaklanan araç gizlice kullanılmaya devam eder.
- Belirsiz ifade kullanmak: "hassas veri girilmez" cümlesi örneksiz uygulanamaz.
- Sorumlu atamamak: araç listesini kimin güncellediği, ihlali kimin aldığı belli değildir.
- Eğitimi atlamak: imzalatılan ama anlatılmayan politika kimseyi korumaz.
- Politikayı bir kez yazıp bırakmak: araçların veri koşulları değişir, belge eskir.
- Başka şirketin metnini aynen kopyalamak: sektörünüzün veri türleri ve sözleşme yükümlülükleri farklıdır.
Hatson Tech bu konuda nasıl yardımcı oluyor?
Hatson Tech, politikanın yazılı kalmasını değil işe yaramasını önemser. Yapay zekâ danışmanlığı hizmetimizde önce şirketinizdeki mevcut kullanımı ve veri akışlarını çıkarıyor, hangi işlerin hangi araçla güvenle yapılabileceğini birlikte belirliyoruz. Gerektiğinde modeli verinizin dışarı çıkmadığı biçimde, sizin sunucularınızda çalıştırabiliyoruz. İlk görüşme ve keşif ücretsizdir; sabit fiyat yayımlamıyoruz, kapsama göre teklif veriyoruz.
Daha derin bir okuma için kurumsal ChatGPT ve şirket verisi ile KVKK üretken yapay zekâ rehberi yazılarına göz atabilirsiniz.