ChatGPT ve benzeri araçları işte kullanırken veri güvenliği ve KVKK

Çalışanların ChatGPT gibi araçlara yazdığı her şey, şirketin dışına çıkan bir veri aktarımıdır. Bu yüzden güvenli kullanımın ilk kuralı basittir: kişisel veri, müşteri sırları ve henüz açıklanmamış ticari bilgi, kurumsal güvence altında olmayan bir araca girilmez.

Yasaklamak çoğu zaman işe yaramaz; çalışanlar aracı yine kullanır, yalnızca sizden saklar. Daha iyi yol, net bir politika ve doğru araç seçimidir. Bu yazı genel bir çerçeve sunar; hukuki görüş yerine geçmez.

Çalışanlar ChatGPT’ye hangi veriyi girmemeli?

Aşağıdaki liste bir başlangıç noktasıdır:

• Kişisel veriler. Müşteri, çalışan, aday ya da hasta adı, telefon, e-posta, kimlik ve sağlık bilgileri.
• Sözleşmeler ve fiyatlar. İmzalı sözleşmeler, özel fiyat teklifleri, iskonto yapıları.
• Kaynak kodu ve erişim bilgileri. Şifreler, API anahtarları, bağlantı dizeleri, ürüne özgü algoritmalar.
• Finansal ve stratejik bilgi. Açıklanmamış gelir rakamları, yatırım ya da birleşme planları.
• Üçüncü tarafın gizli bilgisi. Gizlilik sözleşmesi (NDA) kapsamındaki her şey.

Bu verilerin çoğu, “özetle”, “çevir” ya da “hatayı bul” gibi masum görünen isteklerle yapıştırılır. Risk niyette değil, alışkanlıktadır.

Tüketici kullanımı ile kurumsal kullanım arasındaki fark nedir?

Aynı marka altında farklı kullanım biçimleri vardır ve veri koşulları birbirinden farklı olabilir. Genel olarak:

	Bireysel/tüketici hesabı	Kurumsal plan ve API
Hesap sahibi	Çalışanın kendisi	Şirket
Yönetim	Yok	Kullanıcı yönetimi, erişim kontrolü
Veri koşulları	Sağlayıcının bireysel kullanım şartları	Genellikle ayrı kurumsal sözleşme ve veri işleme şartları
Denetim	Şirket göremez	Çoğu zaman kayıt ve yönetim araçları

Hangi planın verinizi nasıl işlediği, modelin eğitiminde kullanılıp kullanılmadığı ve verinin saklanma süresi sağlayıcıya ve plana göre değişir ve zamanla güncellenir. Güncel şartları sağlayıcının resmi belgelerinden okuyun ve hukukçunuzla teyit edin; bu yazıdaki hiçbir ifade belirli bir sağlayıcının güvencesi olarak okunmamalıdır.

KVKK açısından nelere dikkat edilmeli?

KVKK, kişisel verilerin işlenmesinde amaç, hukuki dayanak ve veri güvenliği yükümlülükleri getirir. Yapay zekâ araçlarında pratikte üç soru öne çıkar:

1. Kişisel veri araca giriyor mu? Girmiyorsa kapsam dışı kalırsınız; bu yüzden en güvenli yol, kişisel veriyi baştan girmemek ya da anonimleştirmektir.
2. Veri yurt dışına aktarılıyor mu? Birçok yapay zekâ servisi yurt dışında barındırılır. Yurt dışına aktarımın şartları ayrıca düzenlenmiştir ve güncel mevzuata göre değerlendirilmelidir.
3. Aydınlatma ve sözleşme tamam mı? Sağlayıcıyla veri işleme ilişkisi, ilgili kişilere yapılan bilgilendirme ve kayıtlarınız yerinde mi?

Bu sorulara verilecek cevap şirketin durumuna göre değişir. Madde ve yükümlülük ayrıntıları için hukuk danışmanınıza ve KVKK sorumlunuza başvurun.

Şirket içi AI kullanım politikasında hangi maddeler olmalı?

Bir sayfayı geçmeyen, herkesin okuyacağı bir politika, 20 sayfalık bir metinden daha çok işe yarar. Şablon maddeler:

1. Kapsam. Politika hangi araçları ve kimleri kapsar (çalışanlar, stajyerler, yüklenici ekipler).
2. Onaylı araçlar. Hangi araçlar ve hangi plan kullanılabilir. Listede olmayan araçlar için başvuru yolu.
3. Yasak veri sınıfları. Yukarıdaki gibi, örnekleriyle yazılmış liste.
4. Anonimleştirme kuralı. Gerekirse isim, firma ve rakamları değiştirerek kullanma yöntemi.
5. Çıktı sorumluluğu. Üretilen içerik kullanılmadan önce insan tarafından doğrulanır; hata sorumluluğu kullanana aittir.
6. Müşteri ve sözleşme yükümlülükleri. Müşteri sözleşmesinde AI kullanımını kısıtlayan bir madde varsa o geçerlidir.
7. Olay bildirimi. Yanlışlıkla yasak veri girilirse kime, ne kadar sürede haber verilir.
8. Eğitim ve güncelleme. Politikanın hangi sıklıkla gözden geçirileceği.

Hızlı kontrol listesi

• Hangi AI araçlarının fiilen kullanıldığını öğrendik (anket, kısa görüşme).
• Onaylı araç ve plan listesi hazır.
• Kurumsal planlarda hesaplar şirket adına açıldı, yönetici erişimi var.
• Yasak veri sınıfları örnekleriyle yazıldı.
• Çalışanlara kısa bir eğitim yapıldı.
• Yurt dışı aktarım ve sağlayıcı koşulları hukukçuyla teyit edildi.
• Olay bildirimi için kişi ve süreç belli.
• Politika altı ayda bir gözden geçiriliyor.

Kurumsal bir asistan ne zaman daha iyi bir çözüm?

Çalışanlar genel amaçlı bir aracı sürekli şirket dokümanlarıyla kullanıyorsa, daha güvenli çözüm çoğunlukla şirket verisine bağlı, yetkilendirmesi olan bir asistan kurmaktır. Nasıl çalıştığı kurumsal yapay zekâ asistanı yazısında anlatılıyor. Genel çerçeve için yapay zekâ otomasyonu nereden başlanır, web tarafındaki güvenlik pratikleri için web sitesi güvenliği yazılarına bakabilirsiniz. Hizmet kapsamımız yapay zekâ ve otomasyon sayfasında. Kendi ürününüze AI eklemek istiyorsanız konu özel yazılım tarafına geçer.

Sık sorulan sorular

ChatGPT’yi tamamen yasaklamalı mıyız? Çoğu şirket için tavsiye edilmez. Yasak, kullanımı görünmez hâle getirir. Onaylı araç, net kurallar ve eğitim daha sürdürülebilir bir denge sağlar.

Veriyi anonimleştirirsek sorun kalmaz mı? Anonimleştirme riski ciddi biçimde azaltır, ama yalnızca isim silmek yetmeyebilir; bağlamdan kişiyi ya da müşteriyi tanımak mümkün olabilir. Yöntemi hukukçunuzla gözden geçirin.

API kullanımı sohbet arayüzünden daha güvenli mi? Genel olarak API ve kurumsal planlar yönetim, denetim ve sözleşme açısından daha fazla kontrol sunar. Ancak “daha güvenli” ifadesi sağlayıcı ve plan şartlarına bağlıdır; güncel belgeleri okuyun.

Politikayı kim yazmalı? Yönetim, BT ve hukuk/KVKK sorumlusu birlikte yazmalıdır. Tek başına BT’nin ya da tek başına hukukun yazdığı politikalar ya uygulanamaz ya da yetersiz kalır.

Çalışan yanlışlıkla gizli veriyi girerse ne yapılmalı? Olay bildirim maddesi işletilir: kısa sürede sorumluya haber verilir, ne girildiği kaydedilir, sağlayıcıdaki silme ve saklama seçenekleri incelenir, gerekiyorsa hukuk ekibi devreye girer.

Ekibinizin AI kullanımı için politika ya da kurumsal bir çözüm düşünüyorsanız durumunuzu kısaca anlatın. İletişim formunu doldurun ya da info@boygantech.com adresine yazın.