Şirket İçi Yapay Zekâ Kullanım Politikası Nasıl Hazırlanır?

MEASURE: Politika yazmadan önce mevcut kullanımı anlayın

İş süreçleri analizi, kullanılan yapay zekâ araçlarının yanında bu araçlara neden ihtiyaç duyulduğunu da görünür kılmalıdır.

Çalışanlara yalnızca "Yapay zekâ kullanıyor musunuz?" diye sormayın. Tamamlamaya çalıştıkları işi, kullandıkları girdileri, bekledikleri çıktıyı ve kontrol ihtiyacını konuşun. Örneğin belge özetleme talebinin arkasında, şirket içi bilgiye erişme güçlüğü bulunabilir. Teklif yazma ihtiyacı ise güncel şablonların veya onay kurallarının belirsizliğine işaret edebilir.

Her kullanım senaryosu için şu bilgileri kaydedin:

• İş ve amaç: Çeviri, belge özetleme, teklif taslağı veya rapor açıklaması hazırlama.
• Girdi: Kamuya açık metin, şirket içi belge, müşteri bilgisi veya gizli içerik.
• Araç ve hesap: Kullanılan hizmet, hesap türü, erişim yetkileri ve bağlı uygulamalar.
• Çıktının gideceği yer: Çalışma notu, şirket içi taslak, müşteri belgesi veya iş sistemi.
• Süreç sahibi: Kullanımın uygunluğunu değerlendiren ve çıktı kontrolünü üstlenen kişi.
• Mevcut darboğaz: Belge arama, tekrar giriş, bekleme, düzeltme veya onay ihtiyacı.

Envanterin amacını çalışanlara açıkça anlatın. Kullanımın hangi ihtiyaçtan doğduğunu anlamaya odaklanın ve kayıtları gereksiz hassas içerikle doldurmayın.

Veriyi kullanım bağlamına göre sınıflandırın

Çalışanın karar vermesini kolaylaştırmak için şirket içi veri sınıfları tanımlayın. Aşağıdaki renkler önerilen politika kategorileridir; hukuki veri sınıflandırması olarak kullanılmamalıdır.

• Yeşil — Onaylı kullanım için değerlendirilebilir: Gizli bilgi içermeyen genel metinler ve paylaşım hakkı kontrol edilmiş kamuya açık içerikler. Şirketin yayımladığı ürün açıklamasının dilini sadeleştirmek örnek olabilir.
• Sarı — Koşulları belirlenerek kullanılabilir: İç süreç dokümanları ve operasyon notları gibi, içeriği incelenmeden kullanım kararı verilemeyecek belgeler. İzin verilen araç, hesap, erişim ve veri kapsamı açıkça belirtilmelidir.
• Kırmızı — Genel kullanıma açık araçlara aktarılmaması önerilen içerikler: Müşteri ve çalışan kişisel verileri, erişim bilgileri, gizli sözleşmeler, maliyet ve fiyatlandırma bilgileri, ticari sırlar ve gizli kaynak kod.

Belgenin adı tek başına sınıfını belirlememelidir. Bir sevkiyat notu müşteri bilgisi içerebilir; genel görünen bir raporda gizli maliyet verisi bulunabilir.

Politikada, isimleri kaldırılmış belgeler için de otomatik kullanım izni vermeyin. İçeriğin yeniden değerlendirilmesini isteyin. Kurumsal sistemde hassas veri işleme ihtiyacı varsa ilgili hukuk, veri koruma ve teknik sorumluların onay yolunu ayrıca tanımlayın.

TRANSFORM: Kuralları araçlara, rollere ve onaylara bağlayın

Politikayı okuyan çalışan, iş sırasında ne yapacağını anlayabilmelidir. "Dikkatli kullanın" yerine izin verilen işi, durulması gereken durumu ve başvurulacak sorumluyu yazın.

Araç onayını kullanım amacıyla birlikte verin

Onaylı araç listesinde yalnızca ürün adı bulunmasın. İzin verilen kullanım amacı, hesap türü, veri sınıfı ve bağlantı özellikleri de kaydedilsin.

Değerlendirme sırasında şu başlıkları inceleyin:

• Hizmetin veri kullanımı ve model geliştirme koşulları.
• Veri saklama, silme ve erişim seçenekleri.
• Hesap yönetimi ve çalışan ayrıldığında erişimin kapatılması.
• Belge yükleme, e-posta bağlantısı ve şirket dosyalarına erişim.
• Satın alma, sözleşme ve ilgili uzman değerlendirmeleri.
• Koşullar değiştiğinde onayı yeniden inceleyecek sorumlu.

Politikada "kurumsal lisanslıysa her veri kullanılabilir" gibi genel bir izin tanımlamayın. Onayı belirli iş ve veri kapsamıyla sınırlandırın. Yeni bir bağlantının veya özelliğin mevcut onaya dahil olup olmadığını da netleştirin.

İnsan kontrolünü çıktının kullanımına göre belirleyin

Çıktı kontrolünü "çalışan gözden geçirir" ifadesiyle bırakmayın. Nelerin, hangi kayıtlarla karşılaştırılacağını yazın.

Önerilen uygulamada:

• Teklif taslakları, ürün kapsamı, fiyat, teslim koşulları ve şirket taahhütleri açısından kontrol edilir.
• Operasyon özetleri, kaynak belgeyle karşılaştırılır; eksik talimat ve yanlış eşleştirmeler aranır.
• Finansal açıklamalar, ilgili kayıtlar ve hesaplama dayanakları üzerinden değerlendirilir.
• Müşteriye veya resmî kuruma gönderilecek içerikler, yetkili kişinin onayından geçer.

Aynı araca çıktısını yeniden kontrol ettirmek, yetkili insan onayının yerine geçmemelidir. Kontrol eden kişinin kaynak belgeye erişimini ve hatalı çıktıyı reddetme yetkisini tanımlayın.

Sorumluluğu belirli rollere atayın

Şirketin yapısına göre görevler aynı kişide toplanabilir. Yine de karar yetkileri açık olmalıdır.

• Süreç sahibi, iş amacını, kabul ölçütlerini ve çıktı kontrolünü belirler.
• Bilgi teknolojileri veya bilgi güvenliği sorumlusu, erişimleri, bağlantıları ve teknik koşulları değerlendirir.
• Hukuk ve veri koruma sorumluları, kendi uzmanlık alanlarındaki incelemeleri yürütür.
• Yönetim, politika sahibini, istisna yetkisini ve kabul edilebilir kullanım sınırlarını belirler.
• Çalışan, onaylı kapsamda çalışır, gerekli kontrolü ister ve şüpheli durumu bildirir.

Yeni araç talebinin nereye iletileceğini de belirtin. Çalışanın ihtiyaç duyduğu iş için uygun araç yoksa, başvurabileceği bir değerlendirme yolu bulunsun.

Hata ve beklenmeyen veri paylaşımı için bildirim yolu oluşturun

Yanlış belge yüklendiğinde veya beklenmeyen dosya erişimi fark edildiğinde çalışan ne yapmalı? Politikada bu sorunun cevabı bulunmalıdır.

Önerilen akış; kullanımı durdurma, belirlenmiş sorumluya bildirme ve yetkili ekibin yönlendirmesiyle ilgili kayıtları koruma adımlarını içerebilir. Olay değerlendirmesi ve gerekli işlemler yetkili ekip tarafından yürütülmelidir. Bildirim sırasında hassas içeriğin başka kanallara kopyalanmasını önleyecek bir yöntem seçin.

Politikaya uyarlanabilecek örnek ifade:

Yapay zekâ araçları yalnızca onaylanmış iş amacı ve veri kapsamı içinde kullanılır. Müşteriye, resmî kuruma veya iş sistemlerine aktarılacak çıktılar yetkili kişi tarafından doğrulanır. Kapsam dışı veri paylaşımı ya da beklenmeyen erişim fark edildiğinde kullanım durdurulur ve belirlenmiş sorumluya bildirilir.

PROVE: Uygulamayı ve süreç etkisini kayıtlarla değerlendirin

Politikanın yayımlanmasını uygulama başarısı olarak kabul etmeyin. Kuralların işleyişini kullanım kayıtları, kontrol bulguları ve çalışan geri bildirimleri üzerinden değerlendirin.

Aşağıdaki göstergeler önerilerdir ve henüz ölçülmüş bir sonucu ifade etmez:

• Onaylı kapsama uygunluk: İncelenen kullanımın izin verilen araç, amaç ve veri sınırlarına uyumu. Kaynak olarak kullanım envanteri ve kontrol kayıtları belirlenebilir.
• Çıktı kalitesi: Kabul edilmeyen çıktılar, hata türleri ve düzeltme ihtiyacı. Kaynak olarak süreç sahibinin kontrol notları kullanılabilir.
• Toplam iş süresi: Hazırlama, doğrulama, düzeltme ve onayın birlikte değerlendirilmesi. Kaynak olarak görev başlangıç ve bitiş kayıtları tanımlanabilir.
• Kontrol yükü: Çıktıyı kullanılabilir hale getirmek için gereken insan emeği. Kaynak olarak iş bazında tutulan kontrol kayıtları seçilebilir.
• Olay ve istisnalar: Bildirimlerin nedeni, değerlendirmesi ve alınan önlem. Kaynak olarak yetkili ekibin olay kayıtları kullanılabilir.

Başlangıç durumunu ve uygulama sonrasını karşılaştırmadan önce iş kapsamını ve kabul ölçütlerini sabitleyin. Belge karmaşıklığı, iş hacmi veya ekip yapısı değiştiğinde bunları değerlendirme kaydına ekleyin.

Taslak hazırlama süresindeki değişimi, işin tamamlanma süresinden ayrı değerlendirin. Kontrol ve düzeltme emeğini dışarıda bırakan bir hesap, yönetimin ihtiyaç duyduğu tabloyu eksik bırakır.

Yapay zekâ yatırım geri dönüşünü değerlendirmek için lisans, entegrasyon, bakım ve insan kontrolü maliyetlerini de kapsama alın. Ölçülen zaman farkının kapasiteye veya mali sonuca nasıl dönüştüğünü ayrıca inceleyin; sonuç ortaya çıkmadan tasarruf vaadi oluşturmayın.

Politikayı ne zaman yeniden incelemelisiniz?

Gözden geçirme takvimini ve sorumlusunu dokümana yazın. Araç koşulları, bağlı sistemler, veri kapsamı veya iş akışı değiştiğinde yeniden değerlendirme başlatın.

Çalışanların aynı konuda tekrar tekrar istisna istemesi de inceleme nedeni olabilir. Talebin arkasındaki süreci araştırın: Eksik bir şablon, belirsiz bir onay veya otomasyona uygun tekrarlayan iş bulunabilir.

Karar vericiler için başlangıç kontrol listesi

Politikayı uygulamaya almadan önce şu maddeleri değerlendirin:

• Çalışanların yapay zekâ kullandığı işler ve bu ihtiyaca yol açan darboğazlar kayıtlı mı?
• İzin verilen ve yasaklanan veri kullanımları somut iş örnekleriyle açıklanmış mı?
• Onaylı araçların hesap, erişim ve bağlantı sınırları belirlenmiş mi?
• Yeni araç ve istisna taleplerinin başvuru yolu açık mı?
• Çıktıların kabul ölçütleri ve kontrol sorumluları atanmış mı?
• Yanlış veri paylaşımı ve beklenmeyen erişim için bildirim yolu tanımlanmış mı?
• Başlangıç durumu ile uygulama sonrasını değerlendirecek kayıtlar seçilmiş mi?
• Politikanın güncellenmesinden sorumlu kişi belirlenmiş mi?

Şirket içi yapay zekâ kullanım politikası, bu kararların günlük iş akışında karşılık bulmasıyla uygulanabilir hale gelir. İş süreçleri analizi de hangi ihtiyacın araç seçimiyle, hangisinin süreç değişikliğiyle ele alınacağını belirlemeye yardımcı olur.

Koruhan Koruyucu, AI & Business Transformation Consultant — Eralp Yazılım

Kapsam ve sınırlar

Bu yazı bir süreç ve yönetişim önerisidir. Gerçekleşmiş müşteri sonucu, vaka çalışması veya ölçülmüş performans verisi içermez. Hukuki, sözleşmesel ve teknik değerlendirmeler şirketin kendi uzmanlarıyla ayrıca yürütülmelidir.