ChatGPT, Gemini, Claude ve Copilot gibi üretken yapay zekâ araçları artık çoğu çalışanın günlük işinin parçası. E-posta taslağı, rapor özeti, sunum hazırlığı, veri yorumlama… Kazanılan zaman gerçek. Ancak bu araçlara girilen her metin, kurumun dışındaki bir sunucuda işleniyor. Yanlış bilgi yanlış araca girildiğinde sonuç kişisel veri ihlali, ticari sır sızıntısı ya da hatalı kararlar olabiliyor.
Kişisel Verileri Koruma Kurumu (KVKK) da bu riske dikkat çekmek için 24 Kasım 2025'te "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi"ni yayımladı. Rehber, üretken yapay zekâ kullanımının 6698 sayılı Kanun kapsamında değerlendirilmesi gerektiğini ve çıktıların insan denetimiyle doğrulanmasının önemini vurguluyor.
Aşağıdaki 10 kural, çalışanların bu araçları hem verimli hem güvenli kullanması için pratik bir çerçeve sunuyor.
1. Kişisel veri girmeyin
Müşteri adı, T.C. kimlik numarası, telefon, adres, sağlık bilgisi, maaş… Bir kişiyi tanımlayabilecek hiçbir bilgiyi genel amaçlı yapay zekâ araçlarına yazmayın. İhtiyaç varsa veriyi önce anonimleştirin: "Ahmet Yılmaz" yerine "Müşteri A", gerçek tutarlar yerine örnek değerler kullanın.
2. Gizli belgeleri ve ticari sırları yüklemeyin
Sözleşmeler, fiyat teklifleri, strateji dokümanları, kaynak kod ve iç yazışmalar kurumun en değerli varlıkları arasında. Bu belgeleri özetletmek cazip gelse de onaylı ve kurumsal bir araç yoksa yüklemeyin.
3. Sadece kurumun onayladığı araçları kullanın
Çalışanların kişisel hesaplarıyla, kurumun haberi olmadan kullandığı yapay zekâ araçlarına gölge yapay zekâ (shadow AI) deniyor. Bu araçların veri işleme koşulları kontrol edilmemiş olur. Kurumsal sürümler genellikle daha güçlü veri koruma taahhütleri sunar; hangi aracın onaylı olduğunu bilmiyorsanız sorun.
4. Verilerin model eğitiminde kullanılıp kullanılmadığını kontrol edin
Bazı ücretsiz veya bireysel sürümler, girilen içerikleri modeli geliştirmek için kullanabilir. Kurumsal sürümlerde bu genellikle kapalıdır, ama ayarları ve sözleşme koşullarını BT ve hukuk ekibinizle birlikte doğrulayın.
5. Yurt dışına veri aktarımını unutmayın
Yaygın yapay zekâ araçlarının çoğu verileri yurt dışındaki sunucularda işler. Kişisel verinin yurt dışına aktarımı KVKK'nın 9. maddesine tabidir. 1 Haziran 2024'te yürürlüğe giren değişikliklerle aktarım rejimi yenilendi; örneğin standart sözleşme kullanılıyorsa sözleşmenin imzadan itibaren 5 iş günü içinde Kurul'a bildirilmesi gerekiyor. Bu nedenle kişisel veri içeren her kullanım senaryosu hukuk biriminizin onayından geçmeli.
6. Çıktıyı her zaman doğrulayın
Üretken yapay zekâ akıcı ve ikna edici metinler üretir, ama yanlış bilgi uydurabilir (halüsinasyon). Rakamları, mevzuat atıflarını, isimleri ve kaynakları mutlaka kontrol edin. KVKK rehberi de çıktıların insan denetimiyle doğrulanmasının önemini özellikle vurguluyor.
7. Kişiler hakkında kararı yapay zekâya bırakmayın
İşe alım, performans değerlendirmesi, kredi veya müşteri şikâyeti gibi kişileri doğrudan etkileyen kararlarda yapay zekâ yalnızca yardımcı olmalı. Nihai karar ve sorumluluk bir insanda kalmalı.
8. Çıktıyı olduğu gibi dışarıya yayınlamayın
Yapay zekâ çıktıları başka kaynaklardan izinsiz içerik barındırabilir veya kurumun üslubuna uymayabilir. Müşteriye, basına veya sosyal medyaya gidecek her metni bir insan gözden geçirmeli.
9. Tanımadığınız içeriklere karşı dikkatli olun
Bir web sayfasını, e-postayı veya dosyayı yapay zekâya işletirken, içine gizlenmiş talimatlar aracı yanlış yönlendirebilir. Buna prompt injection deniyor. Özellikle e-posta gönderebilen veya sistemlere erişebilen yapay zekâ ajanlarında bu risk büyür.
10. Şüphe durumunda sorun, sorun olduğunda bildirin
Bir veriyi girip giremeyeceğinizden emin değilseniz girmeden önce sorun. Yanlışlıkla kişisel veya gizli bir bilgiyi paylaştıysanız bunu hemen bilgi güvenliği veya KVKK sorumlunuza bildirin. Erken bildirim, olası bir ihlalin yönetilmesi için kritik.
Kurallar yetmez, alışkanlık gerekir
Bu kurallar bir kez e-postayla duyurulduğunda çoğu zaman unutulur. Kalıcı etki için üç şey gerekir:
- Yazılı bir yapay zekâ kullanım politikası: Hangi aracın hangi veriyle kullanılabileceğini netleştiren kısa ve anlaşılır bir doküman.
- Kısa ve uygulamalı bir eğitim: Çalışanların gerçek örnekler üzerinden "neyi yapabilirim, neyi yapamam" sorusunu deneyimlemesi.
- Onaylı ve kullanışlı araçlar: Çalışanlara güvenli bir alternatif sunulmazsa gölge yapay zekâ kullanımı devam eder.
Üretken Yapay Zekâyı Güvenli Kullanmak eğitimimiz tam olarak bu ihtiyaç için tasarlandı: 2–3 saatte tüm çalışanlarınıza güvenli kullanımın temel kurallarını uygulamalı olarak kazandırır.
Kaynaklar