Çalışanlar ChatGPT'ye Hangi Verileri Girebilir? İşletmeler İçin Yapay Zekâ Kullanım Politikası Rehberi

Kısaca: Çalışanlar iş yerinde ChatGPT, Gemini, Claude ve benzeri yapay zekâ araçlarını muhtemelen sizin onayınızdan bağımsız olarak zaten kullanıyor. Yasaklamak çoğu zaman “gölge yapay zekâ” kullanımına yol açar; yönetmek daha güvenlidir. İyi bir yapay zekâ kullanım politikası dört soruyu cevaplar: Hangi araçlar onaylı? Hangi veriler girilebilir, hangileri asla girilemez? Çıktılar nasıl doğrulanacak? Sorun olursa kime bildirilecek? Temel kural: kişisel veri, müşteri bilgisi, ticari sır, şifre ve gizli kaynak kod, onaylı ve sözleşmeyle korunan araçlar dışında yapay zekâ servislerine girilmez; çıktı, insan tarafından doğrulanmadan dış dünyaya gönderilmez. Bu rehberde veri sınıflandırması, kural örnekleri ve kopyalanabilir bir politika taslağı bulacaksınız. Bu içerik genel bilgidir, hukuki görüş yerine geçmez.

Son güncelleme: Ekim 2026

Neden politika gerekiyor?

Yapay zekâ araçları verimlilik sağlar: toplantı özeti, e-posta taslağı, kod yardımı, rapor düzenleme, çeviri. Ancak kontrolsüz kullanımda şu riskler doğar:

• Gizlilik ve ticari sır: Çalışan, müşteri teklifini, sözleşme metnini veya finansal tabloyu bir sohbet aracına yapıştırabilir. Verinin nerede saklandığı ve model eğitiminde kullanılıp kullanılmadığı araca ve hesap türüne göre değişir.
• Kişisel veri (KVKK): Müşteri adı, telefon, sağlık veya kimlik bilgisi bir araca girildiğinde kişisel veri işleme ve yurt dışına aktarım sorusu doğabilir. Konu için KVKK'nın üretken yapay zekâ rehberini inceleyin.
• Yanlış bilgi: Modeller makul görünen ama yanlış yanıtlar üretebilir (“halüsinasyon”). Doğrulamadan kullanılan çıktı, hatalı teklif veya yanlış hukuki bilgiye yol açar.
• Telif ve lisans: Üretilen metin, görsel veya kodun kaynak ve lisans durumu belirsiz olabilir.
• Güvenlik: Prompt injection, kötü niyetli eklentiler ve sahte “yapay zekâ” siteleri riski vardır. Bu başlıklar için OWASP LLM Top 10 iyi bir başvuru kaynağıdır.

Politika bu riskleri ortadan kaldırmaz ama ekibe net sınırlar verir ve sorumluluğu belirginleştirir.

Yasaklamak yerine yönetin

Tam yasak çoğu zaman işe yaramaz: Çalışanlar kişisel telefon ve hesaplarıyla aynı araçları kullanmaya devam eder ve siz bunu göremezsiniz. Daha sağlıklı yaklaşım:

1. Onaylı araçlar sunun. Kurumsal hesap, yönetici kontrolü ve sözleşmesel veri koruma güvenceleri olan araçları belirleyin.
2. Net kurallar yazın. Neyin girilebileceğini ve neyin girilemeyeceğini örneklerle anlatın.
3. Eğitim verin. Çoğu ihlal kötü niyetten değil, farkındalık eksikliğinden doğar.
4. Denetleyin ve güncelleyin. Araçlar hızla değişir; politika yılda en az bir kez gözden geçirilmelidir.

Adım 1: Verilerinizi sınıflandırın

Her veriyi aynı kefeye koymayın. Basit bir üç renkli sistem çoğu işletme için yeterlidir:

Sınıflandırmayı somut örneklerle ekibe gösterin; “gizli veri girmeyin” gibi soyut cümleler yeterince net değildir.

Adım 2: Onaylı araç listesi oluşturun

Her araç için şunları değerlendirin:

• Veri kullanımı: Girdiler model eğitiminde kullanılıyor mu? Bu ayar kapatılabiliyor mu? Kurumsal planlarda genellikle farklı koşullar vardır; sözleşme ve gizlilik şartlarını okuyun.
• Saklama ve silme: Konuşmalar ne kadar süre saklanıyor, silinebiliyor mu?
• Erişim kontrolü: Tekli oturum açma (SSO), kullanıcı yönetimi, kayıt (log) var mı?
• Veri konumu ve aktarım: Verinin işlendiği ülke ve aktarım güvenceleri nelerdir?
• Güvenlik sertifikaları ve denetimler: Sağlayıcının yayımladığı güvenlik belgeleri.
• Entegrasyonlar: Eklentiler ve üçüncü taraf bağlantıları kontrol altında mı?

Onaylanan araçların listesini tek bir yerde (iç wiki) yayımlayın ve kimin neden onay verdiğini kaydedin. Liste dışı araçlar için “talep ve inceleme” süreci tanımlayın.

Adım 3: Kuralları örneklerle yazın

Girilemez (kırmızı çizgiler)

• Müşteri, çalışan veya aday kişisel verisi (ad-soyad ile birlikte telefon, e-posta, adres, kimlik/TCKN, sağlık verisi vb.)
• Sözleşmeler, teklifler, fiyat listeleri, maliyet ve kâr marjı
• Şifreler, API anahtarları, erişim belirteçleri
• Gizli kaynak kod ve mimari dökümanlar (yalnızca onaylı araç ve izinle)
• Finansal tablolar ve yayımlanmamış bilgiler
• Üçüncü tarafla gizlilik anlaşması (NDA) kapsamındaki her bilgi

Girilebilir (örnekler)

• Herkese açık bilgiler ve kendi yayımlanmış içerikleriniz
• Genel, kişisel veri içermeyen sorular (“Bir müşteri şikâyet e-postasına nasıl nazik yanıt verilir?”)
• Anonimleştirilmiş örnekler (isimler, şirket adları ve tanımlayıcı ayrıntılar çıkarılmış)

Yapılması gerekenler

• Çıktıyı mutlaka kontrol edin: gerçekler, rakamlar, kaynaklar ve alıntılar doğrulanmalı.
• Hukuk, finans, sağlık gibi alanlarda yapay zekâ çıktısı uzman onayı olmadan kararın dayanağı yapılmamalı.
• Dışarıya giden metinlerde (teklif, sözleşme, basın açıklaması) sorumluluk çalışandadır, araçta değil.
• Yapay zekâ ile üretilen içeriği, politikanın gerektirdiği hallerde belirtin (ör. müşteri iletişiminde veya yayında).
• Şüpheli durumlarda sormak serbest ve teşvik edilmeli.

Adım 4: Süreç ve sorumluluk

Yanlışlıkla gizli veri girildiğinde panik veya ceza odaklı bir yaklaşım, olayların gizlenmesine yol açar. “Hata yaparsanız hemen bildirin” kültürü, sizi riskten daha çok korur. Kişisel veri içeren bir olay varsa hukuk/KVKK sorumlunuza danışın.

Kopyalayıp uyarlayabileceğiniz kısa politika taslağı

Yapay Zekâ Araçları Kullanım Politikası (Taslak)

1. Amaç. Çalışanların yapay zekâ araçlarından verimli ve güvenli yararlanmasını sağlamak; şirket, müşteri ve çalışan verilerini korumak.

2. Kapsam. Metin, görsel, ses, kod üreten veya analiz eden tüm üretken yapay zekâ araçları.

3. Onaylı araçlar. İş amaçlı kullanım yalnızca [Onaylı Araç Listesi]'ndeki araçlarla ve kurumsal hesapla yapılır. Listede olmayan araç kullanımı için [Sorumlu Birim]'e başvurulur.

4. Yasak veri. Kişisel veri, müşteri/çalışan bilgisi, sözleşme ve fiyat bilgisi, finansal bilgi, şifre ve anahtar, gizli kaynak kod ve NDA kapsamındaki bilgiler onaylı ve yetkilendirilmiş kullanım dışında hiçbir yapay zekâ aracına girilemez.

5. Anonimleştirme. İç dökümanlar kullanılacaksa isimler, şirket adları ve tanımlayıcı bilgiler önceden çıkarılır.

6. Doğrulama. Yapay zekâ çıktısı yayımlanmadan veya paylaşılmadan önce çalışan tarafından doğrulanır. Çıktıdan doğan sorumluluk çalışana aittir.

7. Şeffaflık. Müşteriye veya kamuya yönelik içerikte yapay zekâ kullanımı gerektiğinde belirtilir.

8. Bildirim. Yanlışlıkla yasak veri girilirse [Sorumlu Kişi]'ye derhal bildirilir; bildirim yapan çalışan cezalandırılmaz.

9. Eğitim ve güncelleme. Politika yılda en az bir kez gözden geçirilir; çalışanlar eğitilir.

Bu metin bir başlangıç noktasıdır; sektörünüze, sözleşmelerinize ve mevzuat yükümlülüklerinize göre hukuk danışmanınızla uyarlayın.

Kontrolü sizde tutan alternatif: kendi yapay zekâ çözümünüz

Hassas veriyle çalışan işletmeler için bir yol, kendi kontrol ettikleri bir yapay zekâ çözümü kurmaktır: şirket içi bilgi tabanına bağlanan, erişim yetkileri sınırlanmış, kayıtları tutulan ve gerektiğinde veriyi dışarı çıkarmayan bir asistan. Bu yaklaşımın temeli RAG (Retrieval-Augmented Generation) mimarisidir; ayrıntıları RAG sistemi yazımızda ve yapay zekâ chatbot rehberimizde bulabilirsiniz. Güvenlik tarafı için web uygulaması güvenliği rehberimize bakın.

Her işletme için özel çözüm gerekmez; çoğu için net bir politika, onaylı kurumsal araç ve eğitim yeterlidir. Ancak yüksek hacimli veya hassas iş akışlarında özel çözüm, hem güvenlik hem verimlilik açısından anlamlı olabilir. Yatırımı değerlendirmek için yapay zekâ ROI hesaplama yazımıza bakabilirsiniz.

Uygulamaya geçiş: 30 günlük plan

Sık yapılan 6 hata

1. Sadece yasaklamak. Gölge kullanımı artar, görünürlük azalır.
2. Soyut kurallar yazmak. “Gizli veri girmeyin” yerine örnek ve sınıflandırma verin.
3. Ücretsiz bireysel hesapları iş için kullandırmak. Kurumsal koşullar çoğu zaman daha güçlü koruma sağlar.
4. Çıktıyı doğrulamamak. Yanlış bilgi, işletme adıyla dışarı çıkar.
5. Eğitimi atlamak. Politika yayımlanıp unutulursa uygulanmaz.
6. Politikayı güncellememek. Araçlar ve mevzuat hızla değişir.

Aktaş Digital ile yapay zekâyı güvenle kullanmak

İşletmelere yalnızca araç önermiyor, kendi verinizle çalışan, yetki ve kayıt kontrollü yapay zekâ çözümleri geliştiriyoruz: AI chatbot sistemleri, AI doküman analizi ve RAG sistemleri ve AI müşteri destek asistanı. Kullanım senaryonuzu, veri sınıflandırmanızı ve güvenlik gereksinimlerinizi birlikte değerlendirmek için teklif formumuzdan yazabilirsiniz.

Sık Sorulan Sorular

Çalışanlar ChatGPT'ye müşteri e-postası yapıştırabilir mi?

Kişisel veri içeren e-postayı, onaylı ve sözleşmeyle korunan bir araç dışında hiçbir genel araca yapıştırmamaları gerekir. E-postadaki isim, telefon ve tanımlayıcı bilgiler çıkarılarak anonimleştirilmiş bir metin, politikanızın izin verdiği ölçüde kullanılabilir.

Kurumsal planlar “veri güvenli” demek mi?

Kurumsal planlar genellikle daha güçlü veri koruma, yönetici kontrolü ve model eğitiminde kullanmama gibi güvenceler sunar; ancak koşullar sağlayıcıya ve plana göre değişir. Sözleşme ve gizlilik şartlarını inceleyin; KVKK kapsamındaki aktarım değerlendirmesini yapın.

Yapay zekâ kullanımını izlemek çalışan gizliliğine aykırı mı?

İzleme, aydınlatma yükümlülüğü ve ölçülülük ilkeleriyle yapılmalıdır. Çalışanı bilgilendirin ve yalnızca gerekli olan izlemeyi uygulayın. Ayrıntı için hukuk danışmanınıza başvurun.

Yapay zekâ ile ürettiğimiz içeriğin telifi kimin?

Bu konu hukuken gelişmekte olan bir alandır ve ülkeye göre değişebilir. Kritik içeriklerde (logo, marka, uzun metin) hukuki görüş alın; araçların kullanım şartlarındaki mülkiyet ve lisans maddelerini okuyun.

Küçük bir ekip için bile politika gerekli mi?

Evet, ama kısa olabilir: bir sayfa, birkaç net örnek ve onaylı araç listesi yeterlidir. Önemli olan ekibin neyi girip neyi giremeyeceğini bilmesidir.

Politikayı kim hazırlamalı?

Bilgi güvenliği/BT, hukuk veya KVKK sorumlusu ve iş birimleri birlikte hazırlamalıdır. Kuralları uygulayacak kişilerin sürece katılması benimsemeyi kolaylaştırır.

Sonuç

Yapay zekâ politikasının amacı yeniliği durdurmak değil, güvenle kullanılmasını sağlamaktır. Verilerinizi sınıflandırın, onaylı araçlar belirleyin, kuralları örneklerle yazın, çıktıyı doğrulatın ve ekibi eğitin. Bugün yapabileceğiniz ilk iş: ekibinize hangi yapay zekâ araçlarını, hangi işler için kullandıklarını kısa bir formla sormak.