Bir çalışanın müşteri listesini, sözleşme taslağını ya da finansal tabloyu denetimsiz bir yapay zeka aracına yapıştırması, çoğu zaman kötü niyetle değil, iyi niyetli bir verimlilik çabasıyla olur. Sonuç ise kişisel veri ihlali, ticari sır sızıntısı ve hukuki sorumluluk olabilir.
Bu nedenle her kurumsal yapay zeka eğitimi, araç kullanımı kadar yapay zeka güvenliği ve yönetişimi de içermelidir. Bu yazıda veri sınıflandırmasını, KVKK ve AB Yapay Zeka Yasası çerçevesini, temel riskleri ve şirket içi yapay zeka kullanım politikasının nasıl kurulacağını özetliyoruz.
Bu yazıda neler var?
- Veri sınıflandırması: Hangi bilgi hangi yapay zeka aracına girebilir?
- KVKK ve AB Yapay Zeka Yasası: Bulut tabanlı AI kullanımının yasal çerçevesi
- Temel riskler: Halüsinasyon, veri sızıntısı ve prompt injection
- Şirket içi yapay zeka kullanım politikası: Kuralların belirlenmesi ve sorumluluğun sahibi
- Sık sorulan sorular
Veri Sınıflandırması: Hangi Bilgi Hangi Yapay Zeka Aracına Girebilir?
Yönetişimin ilk adımı, her bilginin nasıl sınıflandığını bilmektir. Basit bir dört seviyeli model çoğu şirket için yeterli bir başlangıçtır.
| Seviye | Örnek | Kullanım kuralı |
|---|---|---|
| Açık | Yayımlanmış blog, kamuya açık fiyat listesi | Onaylı tüm araçlarda serbest |
| İç kullanım | Toplantı notu, iç prosedür | Yalnızca kurumsal hesaplarda |
| Gizli | Müşteri listesi, teklifler, finansal veriler | Yalnızca onaylı, sözleşmeli kurumsal araçlarda ve yetkiyle |
| Kısıtlı | Sağlık verisi, kimlik numarası, kimlik belgeleri | Varsayılan olarak yasak; yalnızca hukuk/KVKK onayıyla |
Kurumsal ve kişisel hesap farkı burada belirleyicidir. Kişisel hesapta girilen veri, aracın koşullarına göre model geliştirmede kullanılabilir veya saklama süresi sizin kontrolünüz dışında olabilir. Kurumsal hesaplar ise genellikle sözleşmeyle veri kullanımını sınırlar ve yönetici kontrolü sunar. Şirket verisi için kural basittir: Onaylı kurumsal hesap kullanın.
Sınıflandırmayı uygulanabilir kılmak için çalışanlara kısa bir karar ağacı verin: Bu veri bir kişiyi tanımlıyor mu? Müşteriye mi ait? Yayımlanmamış finansal bilgi mi? Cevaplardan biri evet ise onaylı araç dışında kullanmayın, emin değilseniz sorun. Basit kurallar, uzun politika dokümanlarından daha çok uygulanır.
Anonimleştirme de pratik bir araçtır. Müşteri adı ve iletişim bilgisi çıkarılıp “Müşteri A” gibi etiketlerle çalışmak, birçok görevde sonucu bozmadan riski azaltır; ancak anonimleştirmenin gerçekten kimliği gizleyip gizlemediği ayrıca kontrol edilmelidir.
KVKK ve AB Yapay Zeka Yasası: Bulut Tabanlı AI Kullanımının Yasal Çerçevesi
KVKK (6698 sayılı Kanun)
Yapay zeka aracına kişisel veri girdiğinizde bu bir kişisel veri işleme faaliyetidir ve Kanun’un genel ilkeleri geçerlidir: hukuka uygunluk, amaçla sınırlılık, veri minimizasyonu, aydınlatma ve güvenlik. Kişisel Verileri Koruma Kurumu, 24 Kasım 2025’te “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)” başlıklı rehberini yayımlamıştır; veri sorumlusu ve veri işleyenin belirlenmesi, hukuki sebep, şeffaflık, ilgili kişi hakları, güvenlik tedbirleri ve yurt dışına aktarım gibi konuları ele alır. Rehber ayrıca istem enjeksiyonu (prompt injection) gibi yapay zekâya özgü zafiyetlere karşı teknik önlemler alınmasını da önerir. Bulut tabanlı yapay zeka hizmetlerinin çoğunda sunucular yurt dışında olduğundan, yurt dışına aktarım kuralları özellikle kontrol edilmelidir.
AI Act (Tüzük 2024/1689)
Yasa, yapay zeka sistemlerini risk düzeyine göre düzenler ve kademeli olarak yürürlüğe girmektedir. Yasanın yapay zeka okuryazarlığına ilişkin 4. maddesi 2 Şubat 2025’ten beri uygulanmaktadır. 27 Temmuz 2026’da yürürlüğe giren Dijital Omnibüs düzenlemesi (Tüzük 2026/1744) bu maddeyi, “yeterli düzeyi sağlamak” yerine okuryazarlığın gelişmesini destekleyecek tedbirleri almak şeklinde yumuşatmıştır; bağımsız yüksek riskli sistemlere ilişkin yükümlülükleri 2 Aralık 2027’ye, ürünlere gömülü yüksek riskli sistemlere ilişkin yükümlülükleri ise 2 Ağustos 2028’e ertelemiştir.
Yaptırımlar ihmal edilecek düzeyde değildir. Yasanın 99. maddesine göre yasaklı yapay zeka uygulamalarının ihlalinde idari para cezası 35 milyon avroya veya şirketin bir önceki mali yıldaki küresel yıllık cirosunun yüzde 7’sine kadar çıkabilir (hangisi yüksekse); diğer yükümlülüklerin ihlalinde üst sınır 15 milyon avro veya yüzde 3’tür.
AB’de yerleşik olmayan şirketler de kapsam dışında değildir: Yasa, AB pazarına yapay zeka sistemi sunan üçüncü ülke sağlayıcılarını ve sistemin ürettiği çıktı AB’de kullanılıyorsa üçüncü ülkedeki sağlayıcı ve kullanıcıları kapsayabilir. AB pazarına hizmet sunan veya AB’de yapay zeka çıktısı kullanılan Türk şirketleri bu çerçeveden etkilenebilir.
Önemli not: Bu bölüm genel bilgilendirme amaçlıdır ve hukuki danışmanlık değildir. Mevzuat hızlı değiştiği için kurumunuza özgü kararları hukuk müşavirinizle veya KVKK uzmanınızla netleştirin.
Pratik bir KVKK kontrol listesi şöyle olabilir:
- Hangi kişisel veri giriliyor?
- Hukuki sebep ve aydınlatma var mı?
- Veri yurt dışına aktarılıyor mu ve koşullar sağlanıyor mu?
- Sağlayıcı verileri model eğitiminde kullanıyor mu?
- Saklama süresi ve silme imkânı nedir?
- Sağlayıcıyla yapılan sözleşme yeterli güvence veriyor mu?
Bu soruları sağlayıcıyı seçmeden önce cevaplamak, sonradan oluşabilecek maliyeti ciddi biçimde azaltır.
Temel Riskler: Halüsinasyon, Veri Sızıntısı ve Prompt Injection
Yapay zeka güvenliği, dört temel riskin tanınmasıyla başlar:
- Halüsinasyon: Modelin yanlış bilgiyi güvenle sunması. Hukuki metin, rakam ve alıntıların doğrulanması zorunludur.
- Veri sızıntısı: Gizli verinin yetkisiz araca girmesi veya yanlış kişilerle paylaşılan çıktıda yer alması.
- Prompt injection: Bir web sayfasına, e-postaya veya belgeye gizlenmiş talimatların yapay zekayı kandırarak istenmeyen işlem yaptırması. Araçlara erişimi olan ajanlarda risk büyür.
- Gölge yapay zeka: Çalışanların onaysız araçları gizlice kullanması. Yasaklamak yerine onaylı alternatif sunmak daha etkilidir.
Riskleri azaltmanın en etkili yolu bir kombinasyondur: teknik önlem (kurumsal hesap, yetki sınırı), süreç önlemi (onay noktaları, kayıt) ve insan önlemi (eğitim, farkındalık). Tek başına yasaklar ya da tek başına eğitim yeterli olmaz.
- Hassas içerikte çıktıyı yayımlamadan önce ikinci kişi kontrolü yapın.
- Yapay zekanın ürettiği kaynak ve alıntıları doğrulamadan kullanmayın.
- Tarayıcı eklentilerini ve üçüncü taraf uygulamaları BT onayından geçirin.
- Olası ihlalde bildirim yolunu önceden belirleyin; ilk saatler kritik önemdedir.
Şirket İçi Yapay Zeka Kullanım Politikası: Kuralların Belirlenmesi ve Sorumluluğun Sahibi
İyi bir politika kısa, anlaşılır ve uygulanabilirdir. Genellikle şu başlıkları içerir:
- Amaç ve kapsam: Kimleri ve hangi araçları kapsar?
- Onaylı araçlar listesi ve hesap türü kuralı.
- Veri sınıflandırması ve yasaklı veri türleri.
- İnsan kontrolü: Hangi çıktılar yayından önce mutlaka gözden geçirilir?
- Şeffaflık: Yapay zeka destekli içeriğin müşteriye veya kamuya ne zaman bildirileceği.
- İhlal ve olay bildirimi: Hata veya sızıntı fark eden kime, ne kadar sürede haber verir?
- Eğitim ve gözden geçirme: Politika yılda en az bir kez güncellenir.
Sorumluluğun sahibi net olmalıdır. Pratikte bilgi teknolojileri, hukuk/KVKK, insan kaynakları ve iş birimlerinden oluşan küçük bir yapay zeka çalışma grubu ve tek bir politika sahibi en iyi sonucu verir. Politikanın kâğıt üzerinde kalmaması için çalışanlara düzenli yapay zeka eğitimi verilmesi şarttır.
Politikayı yayımlamak yeterli değildir; benimsetmek gerekir. Tek sayfalık bir özet, sık sorulan sorular ve yönetici desteği, politikanın uygulanma oranını belirgin biçimde artırır. Yeni çalışan oryantasyonuna yapay zeka kullanım kurallarını eklemek de iyi bir alışkanlıktır.
Sık Sorulan Sorular
ChatGPT’ye müşteri verisi girmek KVKK’ya aykırı mı?
Bu, verinin niteliğine, hukuki sebebe, kullanılan hesaba ve yurt dışı aktarım şartlarına bağlıdır. Onaysız bir araca kimliği belirlenebilir müşteri verisi girmek ciddi risk taşır; önce hukuki değerlendirme yapılmalıdır. Güvenli yol, veriyi anonimleştirmek ya da yalnızca onaylı kurumsal hesapta, hukuk veya KVKK uzmanının görüşüyle çalışmaktır.
AB Yapay Zeka Yasası Türk şirketlerini kapsar mı?
AB’de yerleşik olmasanız da sistem ya da çıktısı AB’de kullanılıyorsa kapsama girebilirsiniz. Yasanın kapsamı yalnızca şirketin bulunduğu yere değil, sistemin piyasaya sunulduğu veya çıktısının kullanıldığı yere de bakar. Kapsamı faaliyetinize göre bir hukuk uzmanıyla değerlendirmeniz önerilir. Bu değerlendirmeyi yapay zeka güvenliği ve uyum planınızın bir parçası yapın.
Prompt injection nedir?
Yapay zekanın okuduğu web sayfası, e-posta veya belgeye gizlenmiş talimatlarla kandırılması ve istenmeyen bir işlem yaptırılmasıdır. Önlem olarak güvenilmeyen içeriğe karşı dikkatli olmak, ajanların yetkisini sınırlamak ve kritik işlemlerde insan onayı istemek gerekir. Yapay zeka güvenliği politikanıza bu riski mutlaka ekleyin.
Şirket içi yapay zeka politikasını kim hazırlamalı?
Tek kişi yerine hukuk/KVKK, bilgi teknolojileri, insan kaynakları ve iş birimlerinden oluşan bir çalışma grubu hazırlamalıdır. Böylece hem yasal hem teknik hem de operasyonel bakış politikaya yansır. Politikanın sahibi ise güncellemeden ve uygulanmasından sorumlu tek bir yönetici olmalıdır; bu sayede kurallar yalnızca yazılı kalmaz, günlük çalışmaya da yerleşir.
Yapay zeka politikası yazmak için hukukçu şart mı?
Taslağı iç ekip hazırlayabilir; ancak KVKK ve sözleşme boyutu için hukuk veya KVKK uzmanının onayı önerilir. Özellikle kişisel veri, yurt dışına aktarım ve AB mevzuatının kapsamı gibi konular kurumdan kuruma değiştiği için taslağın bir uzman tarafından gözden geçirilmesi sonradan çıkacak sorunları önler.
AI Act ihlalinde ne kadar ceza verilebilir?
Yasaklı yapay zeka uygulamalarının ihlalinde idari para cezası 35 milyon avroya veya küresel yıllık cironun yüzde 7’sine kadar çıkabilir; hangisi yüksekse o uygulanır. Diğer yükümlülüklerde üst sınır 15 milyon avro veya yüzde 3’tür. Gerçek cezalar ihlalin niteliğine ve şirketin durumuna göre belirlenir.
Sonuç
Yapay zeka güvenliği, yapay zekayı yavaşlatan bir engel değil; geniş ölçekte kullanabilmenizi sağlayan bir temeldir. Veriyi sınıflandıran, KVKK ve AB Yapay Zeka Yasası çerçevesini bilen ve net kuralları olan bir şirket, ekiplerine yapay zekayı cesaretle açabilir. Serinin devamında, bu güvenli zemin üzerinde otomasyon ve uygulama bağlantılarını tasarlıyoruz.
“Güvenlik, Gizlilik ve Yönetişim” konusunu kendi iş akışlarınıza uyarlayacak, uygulamalı bir yapay zeka eğitimi arıyorsanız aşağıdaki yönlendirmeyi inceleyin.
Ekibinize Yapay Zeka Eğitimi Kazandıralım
Bu seride anlattığımız konuları kendi iş akışlarınıza uyarlayarak, uygulamalı öğrenmek ister misiniz? Sosyal Medya Kampüsü ve 1010.istanbul olarak yanınızdayız.
Sosyal Medya Kampüsü | Bireysel Eğitimler: Dijital pazarlama, sosyal medya, e-ticaret ve yapay zeka alanında kendini ileri taşımak isteyenler için uygulamalı bireysel eğitim programları. Güncel programlar için bizimle iletişime geçin.
Sosyal Medya Kampüsü | Kurumsal Eğitimler: Şirketinize ve ekibinize özel kurgulanan, kendi araçlarınız ve iş akışlarınız üzerinden ilerleyen kurumsal yapay zeka eğitimi. Bu serideki yedi modül, kurumsal programın temel içeriğini oluşturur.
1010.istanbul | Dijital Pazarlama Ajansı: SEO, sosyal medya, performans reklamları ve yapay zeka destekli dijital pazarlama stratejileriyle markanızın büyümesine ortak oluyoruz.
Yapay Zeka Eğitimi Serisinin Yazıları
- AI Temelleri, Büyük Dil Modelleri ve Araç Ekosistemi Rehberi
- Etkili Prompt Yazma, Prompt Kütüphanesi ve Çıktı Kalitesi Ölçümü
- Güvenlik, KVKK, AB Yapay Zeka Yasası ve Şirket İçi AI Politikası (bu yazı)
- AI Otomasyonu, API Nedir ve Kodsuz İş Akışı Tasarımı
- MCP Nedir? Yapay Zeka Ajanlarını Araçlara Güvenle Bağlamak
- AI Ajanları, RAG ve Şirket Bilgisiyle Çalışan Asistan Kurulumu
- Doğru AI Kullanım Alanını Seçmek, Önceliklendirmek ve Başarıyı Ölçmek
Kaynaklar
- Anadolu Ajansı: KVKK, “15 Soruda Üretken Yapay Zeka ve Kişisel Verilerin Korunması Rehberi” hazırladı
- KVKK: Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda), Yayın No: 113
- EUR-Lex: Tüzük (AB) 2024/1689 (AI Act)
- Avrupa Komisyonu AI Act Service Desk: Madde 99, Cezalar
- Orrick: EU AI Act Update, Digital Omnibus Finalizes 8 Compliance Changes
- AIACTO: Digital Omnibus Adopted, AI Act High-Risk Delayed to 2027
- Dastra: AI literacy, the obligation under Article 4
- William Fry: A Practical Guide to the Extraterritorial Reach of the AI Act
