Kazanimlar:
- Sekiz bölümlük politika şablonunu kullanarak taslak üretme
- Dört seviyeli veri sınıflandırmasına dayalı kullanım kuralları yazma
- Politikayı uygulamaya alma ve yürürlük kontrol listesini takip etme
Bir uyum sorumlusunun masasına "önümüzdeki cuma yönetim kuruluna sunulacak bir AI politikası taslağı" görevi düştüğünde, çoğu kişi boş sayfa korkusu yaşar. Oysa iyi bir AI politikası mimari olarak standarttır: sekiz bölümlük, öngörülebilir bir iskeleti vardır. Bu ünitede o iskeleti bölüm bölüm kuracak, kalbi olan veri sınıflandırmasını derinlemesine işleyecek ve taslağı yürürlüğe alma adımlarını göreceğiz. Amaç, cuma günü sunulabilecek somut bir belge çıkarmaktır.
Politika yazımının altın kuralı
İyi bir politikanın tek cümlelik testi şudur: "Bir çalışan bu belgeyi 10 dakikada okuyup 'ben ne yapabilirim, ne yapamam' sorusunu net yanıtlayabiliyor mu?" Eğer belge 30 sayfaysa, hukuk diliyle yazıldıysa ve somut örnek içermiyorsa test başarısızdır. Politika kısa, örnekli ve eyleme dönük olmalıdır.
Sekiz bölümlük iskelet
Aşağıdaki tablo, kanıtlanmış bir AI politikası iskeletidir. Her kurum bunu kendi bağlamına uyarlar.
#
Bölüm
Ne cevaplar?
1
Amaç ve kapsam
Politika kimi, hangi araçları kapsar?
2
Tanımlar
AI, gölge AI, kişisel veri gibi terimler ne demek?
3
Roller ve sorumluluklar
Kim onaylar, kim denetler, kim sorumludur?
4
Veri sınıflandırması ve kullanım kuralları
Hangi veri hangi araca girilebilir?
5
Onaylı araçlar ve onay süreci
Hangi araçlar serbest, yeni araç nasıl onaylanır?
6
Yasak kullanımlar
Hiçbir koşulda yapılmayacaklar neler?
7
İnsan denetimi ve doğrulama
Çıktı nasıl kontrol edilir, sorumluluk kimde?
8
İhlal, yaptırım ve yürürlük
Kural çiğnenirse ne olur, belge ne zaman güncellenir?
İpucu: Politikayı önce bu sekiz başlıkla bir sayfaya sığdırmayı hedefle. Ayrıntıyı ekler (onaylı araç listesi, sınıflandırma rehberi) olarak sonradan bağla. Ana metin ne kadar kısaysa o kadar okunur.
Kalp: dört seviyeli veri sınıflandırması
Politikanın en kritik bölümü, hangi veri türünün hangi AI aracına girilebileceğini belirleyen veri sınıflandırmasıdır. Dört seviye yaygın ve yeterlidir:
Seviye
Örnek veri
AI'da kullanım kuralı
Açık (public)
Yayınlanmış broşür, basın bülteni
Serbest; her onaylı araca girilebilir
Kurum içi (internal)
İç prosedür, toplantı notu (kişisel/gizli değil)
Yalnızca kurumsal (sözleşmeli) araçlarda
Gizli (confidential)
Müşteri listesi, sözleşme, finansal veri
Yalnızca onaylı kurumsal araç + maskeleme; kişisel araç yasak
Özel nitelikli / kritik
Sağlık, ırk, din, biyometrik, sabıka verisi
Kural olarak girilmez; ancak özel onay ve hukuki dayanakla
Özel nitelikli kişisel veri, KVKK'nın ekstra koruma getirdiği hassas veri kategorisidir: sağlık, cinsel hayat, ırk, etnik köken, siyasi görüş, felsefi inanç, din, mezhep, kılık kıyafet, dernek/vakıf/sendika üyeliği, ceza mahkûmiyeti ve biyometrik/genetik veri. Bu verilerin işlenmesi çok daha katı koşullara tabidir; bir AI aracına girilmesi neredeyse her zaman özel bir hukuki değerlendirme gerektirir.
Üç mini vaka: sınıflandırma kararları
Vaka 1 — Maaş bordrosu. İK uzmanı, 120 çalışanın maaş bordrosunu bir AI'a "analiz et ve maaş eşitsizliği raporu çıkar" diye vermek ister. Bordro hem gizli hem içinde ad-soyad olduğu için kişisel veri içerir. Doğru karar: veriyi anonimleştir (isimleri "Çalışan-001" gibi kodla, bölümü koru), yalnızca onaylı kurumsal araca gir. Anonimleştirilmiş 120 satırlık analiz güvenle yapılır; ham bordro asla kişisel araca girmez.
Vaka 2 — Hasta öyküsü. Bir sağlık kuruluşunda hemşire, hasta öyküsünü özetlemek için AI kullanmak ister. Bu özel nitelikli veridir. Politika gereği bu tür veri kişisel araçta kesinlikle yasaktır; ancak sağlık verisi için özel sözleşme ve hukuki dayanak taşıyan, kurumun onayladığı bir sistemde işlenebilir. Sınıflandırma tablosu bu ayrımı tek bakışta gösterir.
Vaka 3 — Basın bülteni. Pazarlama, yayınlanmış bir basın bültenini AI'a "sosyal medya için 5 farklı versiyona dönüştür" diye verir. Veri açık olduğu için hiçbir kısıt yoktur; çalışan tereddüt etmeden onaylı araçta çalışır. İyi bir sınıflandırma gereksiz sürtünmeyi de ortadan kaldırır: açık veri için "hayır" demez, gizli veri için net "dur" der.
Dikkat: Bir veriyi sınıflandırırken "içinde tek bir kişisel veri bile var mı?" ve "kuruma zarar verir mi?" sorularını birlikte sor. Bir belge iş açısından açık ama içinde bir müşteri adı varsa, o belge artık kişisel veri taşır ve sınıfı yükselir.
Yasak kullanımlar bölümü
Politikanın en çok okunan bölümü genellikle yasaklardır. Somut ve örnekli olmalıdır. Tipik yasaklar:
- Özel nitelikli kişisel veriyi (sağlık, biyometrik vb.) onaysız araca girmek.
- Gizli veri veya şirket sırrını bireysel/kişisel AI hesaplarına girmek.
- AI çıktısını doğrulamadan hukuki, tıbbi, finansal karar olarak kullanmak.
- İşe alım, terfi, kredi gibi kişiyi etkileyen kararları yalnızca AI'a bıraktırmak.
- AI'ı bir kişiyi taklit etmek, sahte içerik veya yanıltıcı bilgi üretmek için kullanmak.
- Telifli içeriği izinsiz üretip yayınlamak.
Kopyalanabilir şablonlar
ŞABLON 1 — Amaç ve kapsam bölümü taslağı:"Bir [sektör] şirketi için AI politikasının 'Amaç ve Kapsam'bölümünü yaz. Şunları netleştirsin: politika kimleri (tüm çalışanlar,danışmanlar) ve hangi araçları (üretken AI, kod asistanları) kapsar;amaç 'sorumlu ve uyumlu kullanımı mümkün kılmak' olarak ifade edilsin.En fazla 150 kelime, sade dil."
ŞABLON 2 — Veri sınıflandırma tablosu üretme:"Aşağıdaki veri türlerini açık / kurum içi / gizli / özel nitelikliolarak sınıflandır ve her biri için AI kullanım kuralı öner:[veri türlerini listele]. Çıktıyı 3 sütunlu tablo yap: veri türü,sınıf, AI kuralı. Emin olmadığın türe '*hukuk teyidi' işareti koy."
ŞABLON 3 — Yasak kullanımlar listesi:"Bir KVKK'ya tabi kurum için 'Yasak Kullanımlar' bölümünü maddemadde yaz. Her madde somut bir örnek içersin ('Örneğin: ... ').En az 8 madde. Ton: net ve emredici, ama gerekçeli."
ŞABLON 4 — Çalışan özeti (tek sayfalık):"Bu 20 sayfalık AI politikasını çalışanların masasına asılacaktek sayfalık bir özete indir: 'Yapabilirsin' ve 'Yapamazsın'sütunları + 5 altın kural + soru sorulacak kişi. Sade, görsel, akılda kalıcı."
Zayıf prompt / Güçlü prompt
ZAYIF: "Şirketim için AI politikası yaz, her şeyi kapsasın."-> Model 15 sayfalık, kimsenin okumadığı, kuruma uymayan genel bir metin üretir; veri sınıfları ve onay süreci belirsiz kalır.GÜÇLÜ: "80 kişilik bir e-ticaret şirketiyiz, müşteri adres vesipariş verisi işliyoruz. AI politikasının 4 seviyeli verisınıflandırma tablosunu, 6 yasak maddesini ve tek sayfalık çalışanözetini üret. Kişisel veri için maskeleme kuralını dahil et.Emin olmadığın hukuki noktalara işaret koy, karar bana kalsın."-> Model kısa, uygulanabilir, bağlama uygun ve doğrulanabilir çıktı verir.
Politikayı yürürlüğe alma adımları
Yazmak yarısıdır; asıl iş politikayı yaşayan bir kurala dönüştürmektir. Adımlar:
- Taslak: Sekiz bölümü doldur, ekleri hazırla.
- Paydaş görüşü: Hukuk, IT, İK ve iş birimlerinden yazılı geri bildirim al.
- Hukuk onayı: KVKK ve mevzuat uyumu için hukuk/uyum imzası.
- Üst yönetim onayı: Belgeyi resmî bir kurum politikası yapan imza.
- Duyuru ve eğitim: Herkese kısa bir oturum; tek sayfalık özet dağıt.
- Onay kaydı: Çalışanların "okudum, anladım" onayını sistemde tut.
- Gözden geçirme takvimi: En az 6 ayda bir güncelleme tarihi belirle.
İpucu: Politikanın son sayfasına bir "sürüm ve tarih" kutusu koy. AI ve mevzuat çok hızlı değişir; hangi sürümün geçerli olduğunu bilmek denetimde hayat kurtarır.
Sık yapılan hatalar
- Politikayı çok uzun ve hukuk diliyle yazıp okunmaz kılmak.
- Veri sınıflandırmasını atlayıp "dikkatli olun" gibi belirsiz ifadelerle geçmek.
- Özel nitelikli veri kategorisini normal gizli veriyle karıştırmak.
- Onaylı araç listesi ve onay süreci koymadan yasaklar yazmak.
- Yasakları somut örnek vermeden, soyut yazmak.
- Çalışan eğitimi ve onay kaydı adımını atlayıp "e-posta ile duyurdum" demek.
- Gözden geçirme takvimi koymayıp politikayı bir kez yazıp unutmak.
Özetle
- İyi bir politika sekiz standart bölümden oluşur; kısa, örnekli ve eyleme dönük olmalıdır.
- Kalbi, hangi verinin hangi araca girileceğini belirleyen dört seviyeli veri sınıflandırmasıdır.
- Özel nitelikli kişisel veri (sağlık, biyometrik vb.) en katı kurala tabidir; kural olarak AI'a girilmez.
- Yasak kullanımlar somut ve örnekli olmalı; onaylı araçlar ve onay süreciyle birlikte tanımlanmalıdır.
- Politika yazıldıktan sonra paydaş görüşü, hukuk ve yönetim onayı, eğitim ve düzenli gözden geçirmeyle yaşatılır.
Uygulama görevi
Seçtiğin bir kurum için sekiz bölümlük iskeletin en az üç bölümünü (Amaç ve Kapsam, Veri Sınıflandırması, Yasak Kullanımlar) somut olarak doldur. Veri sınıflandırma tablosunu dört seviyeyle kur ve kurumunun işlediği en az sekiz gerçek veri türünü bu tabloya yerleştir; her biri için AI kuralı yaz. Ardından bu üç bölümü çalışanların masasına asılabilecek tek sayfalık bir "Yapabilirsin / Yapamazsın" özetine indir. Son olarak politikayı yürürlüğe alma adımlarından hangi ikisini kurumunda en zor bulacağını ve nasıl aşacağını not et.
Kontrol listesi
- [ ] Sekiz bölümlük iskeleti kurumuma uyarladım.
- [ ] Dört seviyeli veri sınıflandırma tablosunu doldurdum.
- [ ] Özel nitelikli veriyi ayrı ve en katı kurala bağladım.
- [ ] Yasak kullanımları somut örneklerle yazdım.
- [ ] Onaylı araçlar ve onay sürecini tanımladım.
- [ ] Tek sayfalık çalışan özeti hazırladım.
- [ ] Hukuk onayı ve gözden geçirme takvimi planladım.