İşyerinde AI politikası yazın: Yasak listesi tek başına veri sızıntısını önlemez

İşyerinde üretken yapay zekâ politikası hazırlarken onaylı araçları, izinli görevleri ve bu araçlara girilebilecek veri türlerini birlikte tanımlayın. Çıktıyı kimin onaylayacağını, yeni bir aracı kimin inceleyeceğini ve yanlış veri paylaşımının nereye bildirileceğini de yazın. KVKK’nin işyerlerinde üretken yapay zekâ kullanımına ilişkin belgesi, tüm kullanımı yasaklamanın çalışanları kurumsal kontrol ve görünürlük dışındaki araçlara yöneltebileceğine dikkat çekiyor.

Küçük bir ekipte işe yarayan metin, çalışanın işe başlamadan önce yanıtlayabileceği sorular üretir: Görev uygun mu, girdi paylaşılabilir mi, araç onaylı mı, sonuç kimden geçecek? NIST AI Risk Management Framework, yapay zekâ risklerini tasarım, geliştirme, kullanım ve değerlendirme boyunca yönetmeye yönelik gönüllü bir çerçevedir. Aşağıdaki örnek maddelerde köşeli parantezler, işletmenin kendi sorumluları ve kanallarıyla doldurulacak alanları gösterir.

Kapsamı ve karar sahiplerini yazın

Politikanın kimleri bağladığını ve hangi iş kullanımını kapsadığını ilk bölümde belirtin. Çalışanların kişisel hesapla açtığı araçlar, tarayıcı eklentileri ve mevcut yazılımlara eklenen üretken yapay zekâ özellikleri iş verisine erişiyorsa aynı değerlendirmeye girmelidir. Şirketin bir araca ödeme yapması, onu her görev ve veri türü için uygun hâle getirmez.

NIST’in üretken yapay zekâ profili, GOVERN, MAP, MEASURE ve MANAGE işlevleri altında yönetişim, tedarikçi riskleri, kullanımdan önce test ve olay bildirimi için önerilen eylemler içerir. Bu gönüllü çerçeve bir KOBİ politikasına şöyle çevrilebilir: GOVERN kural ve sorumluyu, MAP görev ile veri sınırını, MEASURE çıktı denetimini, MANAGE ise erişim kararını ve olaya müdahaleyi karşılar.

Politika maddesi — GOVERN: “İş amaçlı üretken yapay zekâ kullanımı, [sorumlu rol] tarafından yayımlanan onaylı araç ve görev listesiyle sınırlıdır. Çalışan, yeni bir araç veya kullanım amacı için iş verisi yüklemeden önce [başvuru kanalı] üzerinden onay ister.” Listeye nereden ulaşılacağını ve başvuruyu kimin karara bağlayacağını da belirtin; aksi hâlde çalışan için geçerli sınır belirsiz kalır.

Görevi ve girdiyi ayrı ayrı sınıflandırın

İzinli bir görev, her girdinin izinli olduğu anlamına gelmez. Kamuya açık ürün açıklamasından kampanya fikri istemek ile gerçek bir müşteri dosyasını özetletmek farklı veri aktarımlarıdır. Politika, “Bu iş yapılabilir mi?” ve “Bu bilgi bu araca verilebilir mi?” sorularına ayrı cevap vermelidir.

Pratik bir başlangıç olarak bilgiyi kamuya açık, şirket içi ve gizli diye ayırın; kişisel veriyi bulunduğu sınıftan bağımsız olarak ayrıca işaretleyin. Genel kullanıma açık bir araç için kamuya açık bilgi ve kişiyi tanımlamayan kurgusal örneklerle sınırlı izin tanımlanabilir. Müşteri kayıtları, çalışan özlük bilgileri, yayımlanmamış teklifler, iç yazışmalar, kaynak kod ve erişim bilgileri için açık sınır koyun. Veri sınıflarına göre sınır çizmek, bu ayrımı çalışanların kullandığı somut girdilere taşır.

Politika maddesi — MAP: “Çalışan, onaylı görev için gerekli en az bilgiyi kullanır. Kamuya açık olmayan şirket bilgileri, müşteri veya çalışan verileri ve erişim bilgileri, ilgili veri türü için ayrıca onaylanmamış harici araca girilemez. Kişi ya da şirket başka ayrıntılardan tanınabiliyorsa yalnızca adın çıkarılması girdiyi uygun hâle getirmez.” Bu madde, aracın adından bağımsız olarak paylaşılacak bilginin niteliğine uygulanır.

İzin kararını gündelik örneklerle görünür kılın: Kamuya açık ürün metni için alternatif başlık üretmek izinli olabilir; müşteri şikâyetini ad, sipariş ve iletişim bilgileriyle bir araca yapıştırmak yasaktır. Gerçek kayıt yerine tamamen kurgusal bir şikâyet için yanıt taslağı istemek, yalnızca onaylı araçta ve izinli görev kapsamında kabul edilebilir. Bunlar örnek politika kararlarıdır; işletme kendi veri sınıflarını ve onay koşullarını metne işlemelidir.

İnsan onayının yerini ve ölçütünü belirleyin

“Çıktıları kontrol edin” ifadesi tek başına yeterince açık değildir. Kontrolün gönderimden, yayından veya bir kişi hakkında karar verilmesinden önce yapılacağını yazın; onaylayanın doğruluğa, bağlama, kişisel ya da gizli bilginin çıktıya taşınıp taşınmadığına ve uygun dile bakmasını isteyin. İnsan incelemesi, çıktı başka birine ulaştıktan sonra yapılan düzeltmeyle aynı işlevi görmez.

Yeni bir kullanım amacı için gerçek iş verisi içermeyen örnek girdilerle kısa bir deneme tanımlayın. Örneğin müşteri destek ekibi, kurgusal sorulara verilen taslak yanıtlarda yanlış ürün bilgisi veya gerçekte var olmayan bir iade koşulu bulunup bulunmadığını inceleyebilir. Bulunan hata, hangi içeriğin insan tarafından ayrıca doğrulanacağını belirlemeye yarar; deneme tek başına bütün olası durumlarda güvenilirlik garantisi vermez.

Politika maddesi — MEASURE: “Üretken yapay zekâ çıktısı taslaktır. Müşteriye iletilen, yayımlanan veya çalışanı etkileyen içerik, [yetkili rol] tarafından doğruluk, gizlilik ve uygunluk açısından onaylanmadan kullanılmaz. Yeni kullanım amacı, gerçek iş verisi yüklenmeden önce örnek girdilerle denenir; saptanan hata türleri görev talimatına işlenir.” Böylece denetim, belirsiz bir dikkat çağrısı yerine iş akışındaki belirli bir karara dönüşür.

Tedarikçi onayını veri koşullarına bağlayın

Onaylı araç listesi hazırlarken hizmetin girilen içeriği nasıl işlediğini ayrıca inceleyin. Araç sahibi veya satın almadan sorumlu kişi, içeriğin hangi amaçla kullanıldığını, ne kadar saklandığını, kimlerin erişebildiğini, silme olanağını ve alt hizmet sağlayıcılarını değerlendirmelidir. Koşullar belirsizse onayı ertelemek veya kullanımı yalnızca kamuya açık bilgilerle sınırlamak, politikanın açıkça tanımlayabileceği kararlardır.

Kayıtta yalnızca araç adı bulunmasın. İzinli görev, veri sınıfı, kullanıcı grubu, incelemeyi yapan rol ve koşulların yeniden ele alınacağı durum da yazılsın. Örneğin hizmetin saklama ya da veri kullanımı koşulu değiştiğinde hangi onayın gözden geçirileceği bu kayıttan anlaşılmalıdır. Ücretli kurumsal hesap, gizli verinin aktarılması için tek başına izin sayılmamalıdır.

Politika maddesi — GOVERN ve MANAGE: “Yeni üretken yapay zekâ hizmeti, [sorumlu rol] tarafından veri kullanımı, saklama, erişim, silme ve sözleşme koşulları açısından değerlendirilmeden iş verisiyle kullanılamaz. Onay kaydı araç, görev, veri sınıfı ve kullanıcı grubunu birlikte belirtir. Bu koşullardan biri değişirse ilgili kullanım yeniden değerlendirilir.” Bu kayıt, aynı hizmet için farklı ekiplerin birbirinden habersiz izinler vermesini de önlemeye yardımcı olur.

Yanlış paylaşım için açık bir bildirim yolu kurun

Çalışan yanlış dosyayı veya istemi yüklediğini fark ettiğinde bildirim kanalı ve sorumlu kişi kolayca bulunabilmelidir. Kesin zarar kanıtı beklemek yerine şüpheli paylaşımın erken bildirilmesini isteyin; böylece hangi aracın kullanıldığı, neyin gönderildiği ve erişimi sınırlamak için hangi seçeneklerin bulunduğu değerlendirilebilir. Olayı yöneten kişi, kişisel veriyle ilgili yükümlülükleri ve gerekli dış bildirimleri ayrıca incelemelidir.

Politika maddesi — MANAGE: “Çalışan, kişisel veya gizli bilginin yanlışlıkla bir araca girildiğinden şüphelenirse kullanımı durdurur ve [bildirim kanalı] üzerinden gecikmeden [sorumlu role] haber verir. Bildirimde araç, yaklaşık zaman, veri türü ve yapılan işlem belirtilir; aynı içerik inceleme amacıyla başka bir harici araca yeniden yüklenmez. Sorumlu rol erişim, saklama, tedarikçiyle iletişim ve gerekli müdahale adımlarını değerlendirir.”

Metin yayımlanmadan önce köşeli parantezlerdeki roller ve kanallar gerçek karşılıklarıyla doldurulmalıdır. Çalışanlara araç listesiyle birlikte izinli ve yasaklı girdi örneklerini göstermek, soyut kuralları günlük işe bağlar. Görev, veri sınırı veya tedarikçi koşulu değiştiğinde ilgili örnek ve onay kaydı da güncellenmelidir.

Ayrıca okuyun:

• Şirket içi AI politikası: Yasak listesinden önce veriyi sınıflandırın
• AI verimliliği nasıl ölçülür? Süre kazancı tek başına başarı değildir
• ABD kamu işe alımında AI genişliyor: İnsan onayı tek başına yetmiyor