Kurumsal yapay zeka politikası hazırlama: kapsam, kurallar ve yayım süreci

Yapay zeka kullanım politikası neden gereklidir?

Çalışanlar, kurum bir karar vermeden önce de üretken yapay zeka araçlarını kullanmaya başlar. Müşteri e-postasını özetletmek, sözleşme taslağından madde çıkarmak ya da kodu hızlandırmak için kullanılan araçlar, kurum verisinin nereye gittiğini bilmeden dış sistemlere aktarılması riskini doğurur. Politikanın temel işlevi, bu fiilî kullanımı görünür kılmak ve güvenli sınırlar içine almaktır.

İyi bir politika yasaklayıcı değil, yönlendiricidir: neyin serbest, neyin onay gerektirdiği, neyin yasak olduğunu açık söyler. Salt yasak koymak çalışanları gizli kullanıma iter; hiç sınır koymamak ise gizlilik, telif ve doğruluk risklerini kurum bilmeden büyütür.

Politika tek başına yeterli değildir. Yönetişim yapısı, risk değerlendirmesi, eğitim ve denetimle birlikte çalışır. Bu nedenle politika bir son nokta değil, kurumsal yapay zeka yönetişiminin ilk somut belgesidir.

Hazırlığa başlamadan önce: ihtiyaç ve paydaşlar

Politika yazılmadan önce kurumda yapay zekanın bugün nasıl kullanıldığını envantere alın. Hangi departmanlar hangi araçları, hangi amaçla kullanıyor? Hangi veri türleri bu araçlara giriyor? Bu envanter, politikanın gerçeğe temas etmesini sağlar.

Paydaşlar baştan masada olmalıdır: bilgi güvenliği, hukuk ve uyum, insan kaynakları, bilgi teknolojileri ve iş birimlerinin temsilcileri. Hukuk, kişisel verilerin korunması ve fikri mülkiyet yükümlülüklerini; bilgi güvenliği veri sınıflandırmasını ve araç onay sürecini; insan kaynakları çalışan yükümlülüklerini ve disiplin süreçlerini yönlendirir.

Son olarak politikanın sahibini belirleyin. Sahibi olmayan bir politika güncellenmez. Genellikle yönetişim komitesi ya da bilgi güvenliği ve uyum fonksiyonlarından biri bu sorumluluğu üstlenir.

Politikanın temel bölümleri

Kurumsal yapay zeka politikası genellikle şu bölümlerden oluşur:

• Amaç ve kapsam: Hangi çalışanlar, hangi araçlar ve hangi kullanım biçimleri kapsam içinde? Kurumun onayladığı araçlar mı, bireysel kullanılan genel araçlar mı?
• Tanımlar: Üretken yapay zeka, kurum verisi, kişisel veri gibi terimlerin sade tanımı
• İzin verilen kullanım: Taslak yazma, özetleme, fikir üretme gibi düşük riskli işler ve koşulları
• Onay gerektiren kullanım: Müşteri verisi içeren işler, karar destek amaçlı kullanım
• Yasak kullanım: Gizli ve kişisel verilerin onaysız araçlara girilmesi, insan kontrolü olmadan müşteriyle ilgili karar üretilmesi
• Veri kuralları: Hangi sınıftaki verinin hangi araca girebileceği
• İnsan gözetimi ve doğrulama: Çıktının kullanılmadan önce kontrolü
• Şeffaflık: Yapay zeka çıktısının nerede ve nasıl belirtileceği
• Sorumluluk ve hesap verebilirlik: Kim neyin sahibi, ihlal durumunda ne olur?
• Olay bildirimi, eğitim ve güncelleme

İzin verilen ve yasak senaryoları somutlaştırmak

Soyut kurallar uygulanmaz. Bu yüzden her bölüm, çalışanın günlük işine dokunan örneklerle desteklenmelidir. Örneğin 'genel bilgilere dayalı bir sunum taslağı hazırlatmak' izinli bir senaryo olabilirken, 'müşteri sözleşmesinin tamamını onaysız bir genel araca yüklemek' yasak bir senaryo olabilir.

Senaryoları risk seviyesine göre katmanlar halinde düşünebilirsiniz: serbest, koşullu izinli, yasak. Koşullu izinli senaryolarda koşulları açık yazın: örneğin yalnızca kurumun onayladığı araç, yalnızca anonimleştirilmiş veri, çıktının insan tarafından doğrulanması.

Senaryo listesi her departmanın işine uygun olmalıdır. Satış ekibi için müşteri iletişimi, yazılım ekibi için kod üretimi, insan kaynakları için aday değerlendirme ayrı değerlendirilir. İşe alım ya da performans gibi kişileri etkileyen kararlarda yapay zekanın tek karar verici olmaması gerektiğini politikada açık yazın.

Sorumluluk, hesap verebilirlik ve çalışan yükümlülükleri

Politikada rolleri adlandırın: çalışan, yönetici, bilgi güvenliği, hukuk, yönetişim komitesi. Her rolün neyi onaylayacağı, neyi izleyeceği ve neyi bildireceği yazılı olmalıdır. Çalışanın temel yükümlülüğü, yapay zeka çıktısını doğrulamak ve kurum verisini politikanın izin vermediği şekilde paylaşmamaktır.

Hesap verebilirlik ilkesi şudur: yapay zeka aracı kullanılmış olsa bile işin sonucundan çalışan ve yönetimi sorumludur. 'Yapay zeka söyledi' bir gerekçe değildir. Bu ilke politikada açık yer almazsa, hata durumunda sorumluluk belirsiz kalır.

İhlal durumunda izlenecek süreç de yazılmalıdır: nasıl bildirilir, kim değerlendirir, hangi önlemler alınır. Amaç suçlamak değil, olayı hızla yönetip öğrenmektir; bu nedenle iyi niyetle yapılan bildirimleri teşvik eden bir dil seçin.

Taslaktan yayına: yayım, eğitim ve güncelleme

Taslak, paydaşlarla gözden geçirilip kısa bir pilot ekiple denenebilir. Pilot, anlaşılmayan ya da uygulanamaz maddeleri yayından önce ortaya çıkarır. Hukuki incelemeyi atlamayın; kişisel verilerin korunması mevzuatı ve fikri mülkiyet gibi konularda kurumunuzun hukuk müşaviri ya da dış danışmanı politikayı onaylamalıdır.

Yayım tek bir e-postayla bitmez. Kısa bir eğitim, örnek senaryolarla bir sunum ve sık sorulan sorular sayfası politikanın benimsenmesini sağlar. Çalışanlar için kolay ulaşılabilir bir başvuru noktası, 'Bu aracı kullanabilir miyim?' sorusuna hızlı cevap vermelidir.

Yapay zeka teknolojisi ve mevzuat hızla değiştiği için politika düzenli gözden geçirilmelidir. NIST AI RMF gibi kamuya açık çerçeveler, politikanın dayandığı risk yaklaşımını gözden geçirirken referans olabilir. Yeni bir araç ya da yeni bir kullanım biçimi ortaya çıktığında da politika güncellenmelidir.

Sık yapılan hatalar ve Mindset bağlamı

Sık hatalar şunlardır: Politikayı yalnızca hukuk ya da bilgi güvenliği yazar, iş birimleri dışarıda kalır. Politika çok uzun ve hukuki dille yazılır, çalışan okumaz. Onaylı araç listesi olmaz, çalışan hangi aracı kullanacağını bilmez. Yayım sonrası güncelleme sahibi belirlenmez. Politika yazılır ama eğitim verilmez.

Mindset'in Kurumsal Yapay Zeka Politikası ve Kullanım Yönergeleri Oluşturma programı; Kurumsal Yapay Zeka Politikasının Temelleri, İzin Verilen ve Yasak Kullanım Senaryoları, Çalışan Sorumlulukları ve Hesap Verebilirlik, Politika Taslağı Hazırlama Atölyesi ile Politika Yayımı, Eğitim ve Sürekli Güncelleme modüllerinden oluşur. Yapay Zeka Risk Yönetimi ve Yönetişim programı ise politikanın dayandığı risk ve yönetişim yapısını ele alır. Program, uyum, bilgi güvenliği, hukuk, insan kaynakları ve bilgi teknolojileri ekipleri için uygundur.