Çalışanlarınız ChatGPT Kullanıyor: Şirket Verisi İçin 7 Kural

Çalışanlarınız müşteri e-postalarını, teklif metinlerini ve tabloları büyük ihtimalle şimdiden ChatGPT ya da benzeri bir araca yapıştırıyor. Bunu yasaklamak yerine kısa bir iç kullanım politikası yazmak daha gerçekçi bir yoldur: hangi verinin araca hiç girmeyeceğini, hangi hesabın kullanılacağını ve çıktıyı kimin kontrol edeceğini netleştirin. Politikanın çerçevesini çizerken başvuracağınız resmi kaynak, Kişisel Verileri Koruma Kurumu’nun (KVKK) 24.11.2025 tarihli Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)‘dır. Aşağıdaki yedi kural, bu hafta uygulamaya alabileceğiniz pratik bir başlangıç noktası sunuyor.

Gölge yapay zekâ: Siz karar vermeden başlayan kullanım

“Gölge yapay zekâ” (shadow AI), çalışanların şirketin bilgisi ya da onayı olmadan yapay zekâ araçlarını iş için kullanmasına verilen addır. Çoğu KOBİ’de bu kötü niyetle olmaz. Satış temsilcisi bir müşteri şikâyetine daha kibar bir cevap yazmak ister, muhasebe çalışanı bir Excel formülünü çözdürmek ister, yazılımcı hata veren bir kod parçasını yapıştırır. İş hızlanır, kimse sorun görmez.

Asıl sorun, verinin nereye gittiğini kimsenin bilmemesidir. Kişisel hesapla açılmış bir sohbete yapıştırılan müşteri listesi, şirketin kontrol ettiği bir sistemde durmaz. Hangi aracın kullanıldığı, hangi ayarların açık olduğu ve sohbet geçmişinin kimde kaldığı belirsizleşir. Çalışan işten ayrıldığında o hesap ve içindeki konuşmalar da onunla birlikte gider.

Tam yasak ise kullanımı genellikle bitirmez; çalışan aynı işi kendi telefonundan yapmaya devam eder. Yönetici olarak hedefiniz, bu kullanımı görünür, kurallı ve takip edilebilir bir zemine taşımak olmalı.

KVKK rehberi bu konuda ne söylüyor?

KVKK’nın rehberi 15 soru üzerinden ilerliyor: üretken yapay zekânın nasıl çalıştığından risklerine, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki değerlendirmelerden günlük kullanımda dikkat edilecek noktalara kadar. Şirket içi politika yazarken özellikle şu tespitler yol gösterici:

• Riskler (Soru 5): Rehber, kullanıcıların istemlerinde paylaştıkları kişisel verilerin veya kurumsal düzeyde hassas bilgilerin açığa çıkması riskini dikkate alınması gereken önemli bir güvenlik sorunu olarak anıyor. Aynı bölümde, gerçekle örtüşmeyen ama ikna edici görünen “halüsinasyon” çıktılarına dikkat çekiliyor.
• Kişisel veri işleme (Soru 6): Rehbere göre girdide kişisel veri olmasa bile çıktıda kişisel veri niteliğinde bilgi üretilebiliyor; modelin kişisel veriyi hedeflememesi, işleme faaliyetinin varlığını ortadan kaldırmıyor.
• Yurt dışına aktarım (Soru 10): Rehber, Türkiye’de faaliyet gösteren veri sorumlularının yurt dışında yerleşik hizmet sağlayıcılar aracılığıyla bu sistemleri kullanması ve kişisel verilerin yurt dışına aktarılması durumunda, aktarımın Kanun’un 9’uncu maddesine ve ilgili Yönetmelik’e uygun yapılması gerektiğini belirtiyor.
• Güvenlik (Soru 13): Çalışanlara yönelik bilinçlendirme ve eğitim, çok faktörlü kimlik doğrulama ve işlem kayıtlarının güvenli biçimde saklanması, rehberin saydığı önlemler arasında.
• Günlük kullanım (Soru 14): Ad-soyad, adres, telefon numarası ve kimlik bilgilerinin, üçüncü kişilere ait verilerin ve sağlık, finans ya da hukuki süreçlerle ilgili bilgilerin paylaşılmaması; mümkün olduğunca anonimleştirilmiş ve genelleştirilmiş ifadeler kullanılması öneriliyor.

Rehberin tamamını KVKK’nın resmi sayfasından okuyabilirsiniz. Aşağıdaki kurallar bu tespitlerden yola çıkan pratik bir uygulama önerisidir; rehberin yerine geçmez ve hukuki bir değerlendirme değildir.

Şirket verisi için 7 kural

1. Araca asla girmeyecekleri yazılı hâle getirin

Politikanın kalbi kısa bir “girmez” listesidir. Çalışan tereddüt ettiğinde bakacağı yer burası olmalı. Önerdiğim liste şöyle:

• Müşteri, çalışan ve tedarikçilere ait kişisel veriler (ad-soyad, T.C. kimlik numarası, telefon, adres, e-posta)
• Müşteri ve bayi listeleri, CRM’den alınan dökümler
• Sözleşmeler, teklifler ve fiyat çalışmaları
• Kaynak kod, API anahtarları, şifreler ve sunucu bilgileri
• İhale dokümanları ve teklif hazırlık dosyaları
• Sağlık, finansal durum ve hukuki süreçlerle ilgili bilgiler

Son madde, KVKK rehberinin bireylere yönelik bölümünde (Soru 14) ayrıca vurgulanan bilgi türleriyle örtüşüyor. Diğerleri kişisel veri içermese bile şirketinizin ticari sırrıdır ve aynı özeni hak eder.

2. Kişisel hesap değil, şirket hesabı kullanın

Çalışanın kendi e-postasıyla açtığı bireysel bir hesapta ayarları, geçmişi ve erişimi şirket yönetemez. ChatGPT şirket hesabı ya da başka bir sağlayıcının kurumsal planı bu kontrolü size geri verir. Büyük sağlayıcıların bir kısmı, resmi sayfalarında iş ve kurumsal planlardaki verilerin varsayılan olarak model eğitiminde kullanılmadığını belirtiyor; bireysel planlarda ise bu çoğu zaman kullanıcının kendisinin kapatması gereken bir ayar. Bu taahhütler sağlayıcıya, plana ve zamana göre değişebilir. Karar vermeden önce aracın güncel gizlilik ve veri kullanım sayfasını okuyun ve şu soruların cevabını not edin:

• Girilen veriler model eğitiminde kullanılıyor mu, bu ayarı kim değiştirebiliyor?
• Sohbet geçmişi ne kadar süre saklanıyor, yönetici bunu ayarlayabiliyor mu?
• Veriler hangi ülkede işleniyor?
• Çalışan ayrıldığında hesabı ve içeriğini şirket kapatabiliyor mu?

Kurumsal hesap açıldıktan sonra yönetici panelindeki ayarları bir kez baştan sona gözden geçirin ve çok faktörlü kimlik doğrulamayı zorunlu tutun. KVKK rehberi de çok faktörlü kimlik doğrulamayı yetkisiz erişimin önlenmesine yönelik yöntemler arasında sayıyor (Soru 13).

3. Kullanmadan önce veriyi anonimleştirin

Çoğu işte modelin gerçek isme ihtiyacı yoktur. “Ahmet Bey’in siparişi üç gün gecikti” yerine “Bir müşterinin siparişi gecikti” yazmak, cevabın kalitesini düşürmez. KVKK rehberi de kişi isimleri, tarih veya konum gibi ayrıntılar yerine soyut ve genel bir anlatımın benimsenmesini örnek olarak veriyor (Soru 14).

Pratikte isimleri “Müşteri A”, “Tedarikçi B” gibi etiketlerle değiştirin, kimlik, telefon ve adres sütunlarını tablodan silin, firma adını sektör tanımıyla değiştirin. Bir uyarı ekleyeyim: isim çıkarmak her zaman anonimleştirme anlamına gelmez. Rehber, anonim hâle getirildiği ileri sürülen verilerin gerçekten anonim olup olmadığının teknik yöntemler ve nesnel ölçütlerle ortaya konulmasının önemli olduğunu belirtiyor (Soru 6). Küçük bir şehirde “kırk yaşındaki muhasebe müdürümüz” ifadesi bile kişiyi tanınır kılabilir.

4. Her çıktıyı bir insan kontrol etsin

Üretken yapay zekâ akıcı ve kendinden emin metinler yazar; bu, metnin doğru olduğu anlamına gelmez. KVKK rehberi bu riski “halüsinasyon” başlığıyla anlatıyor ve bir avukatın içtihat araştırması sırasında gerçekte var olmayan mahkeme kararlarıyla karşılaşmasını örnek veriyor (Soru 5). Rehbere göre çıktılar yanlış, ön yargılı, tutarsız veya yanıltıcı olabilir.

Kuralı basit tutun: müşteriye, kamuya ya da resmi bir kuruma gidecek her metni, rakamı, mevzuat atfını ve kod parçasını bir çalışan kontrol eder ve sorumluluğunu üstlenir. Rakamlar kaynağıyla, mevzuat atıfları resmi metinle karşılaştırılır. “Yapay zekâ yazdı” bir gerekçe değildir.

5. Yeni araçları tek bir kişi onaylasın

Neredeyse her hafta yeni bir yapay zekâ eklentisi, toplantı not alıcısı ya da tarayıcı uzantısı çıkıyor. Bunların her biri şirket verisine erişebilen yeni bir kapıdır. Politikada bir onay sahibi belirleyin; küçük bir şirkette bu kişi BT sorumlusu ya da genel müdür olabilir. Onay soruları kısa tutulabilir: veri kullanım koşulları okundu mu, veriler nerede işleniyor, kurumsal hesap seçeneği var mı, hangi ekip hangi amaçla kullanacak?

Sağlayıcı yurt dışında yerleşikse bu soru ayrıca önem kazanıyor. KVKK rehberi, bu yolla kişisel verilerin yurt dışına aktarılması durumunda aktarımın 6698 sayılı Kanun’un 9’uncu maddesine ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik’e uygun yapılması gerektiğini belirtiyor (Soru 10). Bunun şirketiniz için ne anlama geldiğini hukuk danışmanınızla değerlendirin.

6. Kullanımı kayıt altına alın ve ekibi eğitin

Hangi aracın, hangi ekipte, hangi iş için kullanıldığını gösteren basit bir liste tutun. Kurumsal hesabınızın yönetici panelinde kullanıcı listesi varsa oradan takip edin; yoksa paylaşılan bir tablo yeterlidir. KVKK rehberi, işlem kayıtları ile sistem günlüklerinin güvenli biçimde saklanmasını olası ihlallerin tespiti ve müdahale süreçleri açısından işlevsel bir araç olarak niteliyor (Soru 13).

Eğitim için uzun seminerlere gerek yok. Kısa bir oturumda “girmez” listesini, iki anonimleştirme örneğini ve bir halüsinasyon örneğini gösterin. Rehber, çalışanlara yönelik bilinçlendirme ve eğitim faaliyetlerinin kişisel veri güvenliği kültürünün kurumsal düzeyde yerleşmesine katkı sağlayacağını belirtiyor (Soru 13). Aynı oturumu işe yeni başlayanların oryantasyonuna da ekleyin.

7. Hepsini tek sayfalık bir politikaya yazın

On sayfalık bir yönetmeliği kimse okumaz. Tek sayfa yeterli olur; şu başlıkları içermesi işinizi görür:

1. Amaç: Yapay zekâyı hangi işlerde kullanmayı teşvik ediyoruz?
2. Onaylı araçlar ve kullanılacak hesap türü
3. Araca asla girilmeyecek veriler
4. Anonimleştirme kuralı ve iki örnek
5. Çıktı kontrolü: Kim, neyi kontrol eder?
6. Yeni araç talebi: Kime, nasıl iletilir?
7. Bir hata olduğunda kime haber verilir?

Politikayı herkesin bulabileceği bir yerde tutun ve belirli aralıklarla gözden geçirin. Araçlar ve sağlayıcı koşulları hızla değişiyor; KVKK rehberi de risk değerlendirmelerinin düzenli olarak gözden geçirilmesinde ve gerektiğinde güncellenmesinde fayda görüyor (Soru 13).

İlk hafta için kısa bir yol haritası

Bu kuralları hayata geçirmek için büyük bir proje başlatmanız gerekmiyor. Bir haftalık sade bir plan yeterli olabilir:

1. Durumu öğrenin: Ekibe hangi yapay zekâ araçlarını, hangi işler için kullandıklarını sorun. Suçlayıcı değil, merak eden bir dille sorarsanız daha dürüst cevap alırsınız.
2. Aracı seçin: En çok kullanılan aracın kurumsal planını ve veri kullanım koşullarını inceleyin, şirket hesabını açın.
3. Sayfayı yazın: Yukarıdaki yedi başlığı şirketinize göre doldurun.
4. Anlatın: Kısa bir toplantıda politikayı ve örnekleri paylaşın.
5. Tarih koyun: Politikanın ne zaman yeniden gözden geçirileceğini takvime işleyin.

Hukuki değerlendirme için bir not

Bu yazı bilgilendirme amaçlıdır ve hukuki görüş niteliği taşımaz. Yapay zekâ kullanımınızın 6698 sayılı Kanun kapsamında nasıl değerlendirileceği; şirketinizin hangi verileri, hangi amaçla ve hangi sağlayıcı üzerinden işlediğine bağlıdır. Şirketinizin KVKK uyumunu bir hukukçu ya da veri koruma uzmanıyla birlikte değerlendirmenizi öneririm. Resmi referans KVKK’nın rehberidir; teknik ve idari tedbirler için rehberin de atıf yaptığı Kişisel Veri Güvenliği Rehberi’ne bakılabilir. Yukarıdaki kuralların hiçbiri, tek başına mevzuata uyum sağladığınız anlamına gelmez.

Şirketinizde yapay zekâ kullanımını güvenli bir düzene oturtmak isterseniz Tuvti Dijital ekibi araç seçimi, kurumsal hesap kurulumu ve çalışan eğitimi konularında yanınızda olabilir.