KOBİ’ler İçin Güvenli Yapay Zekâ Politikası

Çalışanlar yapay zekâ araçlarını resmi bir proje başlamadan önce kullanmaya başlamış olabilir. Politika yokluğu kullanımı durdurmaz; yalnızca hangi verinin nereye gittiğini görünmez yapar. Küçük işletmeler için amaç ağır bir mevzuat metni değil, günlük kararlarda işe yarayan kısa ve net bir güvenlik çerçevesidir.

Veri sınıflandırması oluşturun

Açık bilgiler pazarlama sayfalarında zaten yayımlanan içeriklerdir. Kurum içi bilgiler süreç notlarını, gizli bilgiler sözleşme ve fiyatları, özel bilgiler ise kişisel ve hassas verileri kapsar. Her sınıf için hangi araçta hangi işlemin yapılabileceğini örnekleyin.

Müşteri listesi, kimlik belgesi, sağlık bilgisi, erişim anahtarı ve yayımlanmamış finansal veri onaysız araçlara girilmemelidir. Veriyi anonimleştirmek mümkünse gerçek ad ve numara yerine örnek değerler kullanılmalıdır.

Onaylı araç ve hesap düzeni

Kurumsal hesabı, çok faktörlü doğrulamayı ve merkezi faturalandırmayı destekleyen araçlar tercih edilmelidir. Çalışan ayrıldığında erişimin kapatılabilmesi ve kullanım kayıtlarının incelenebilmesi temel gereksinimdir.

Tedarikçinin veriyi model eğitimi için kullanıp kullanmadığı, saklama süresi, alt işleyenleri ve veri silme yöntemi değerlendirilmelidir. Araç listesi sahibi ve son gözden geçirme tarihiyle birlikte tutulmalıdır.

Çıktı doğrulama ve sorumluluk

Yapay zekâ metni ikna edici görünse de yanlış tarih, olmayan kaynak veya hatalı hesap içerebilir. Müşteriye giden teklif, sözleşme, sağlık, hukuk veya finans içeriğinde konu sorumlusu son onayı vermelidir.

Çalışanlar çıktının doğruluğundan kendilerinin sorumlu olduğunu bilmeli; yapay zekâ kullanıldığı için kalite kontrolünün ortadan kalkmadığı açıkça yazılmalıdır. Kaynak gerektiren iddialar özgün belgeden doğrulanmalıdır.

Olay bildirimi ve eğitim

Yanlışlıkla gizli veri paylaşan çalışan cezadan korktuğu için olayı saklamamalıdır. Hızlı bildirim kanalı, hangi bilginin verilmesi gerektiği ve erişimi kapatma adımları önceden tanımlanmalıdır.

Eğitim, soyut risk listesi yerine işletmenin gerçek belgeleri üzerinden hazırlanmalıdır. Güvenli istem örneği, veri anonimleştirme ve şüpheli çıktı tanıma uygulaması politika metninden daha kalıcı öğrenme sağlar.

Uygulanabilir kontrol listesi

• Veriyi açık, kurum içi, gizli ve özel olarak sınıflandırın
• Kişisel hesaplar yerine onaylı kurumsal erişim kullanın
• Müşteriye giden çıktılarda insan onayı zorunlu olsun
• Şüpheli paylaşım için hızlı bildirim kanalı tanımlayın