Yapay zekâ uygulamalarının iş yerlerine hızla girmesi, şirketleri «bu teknolojiyi nasıl kullanacağız» sorusundan daha somut bir soru olan «çalışanlar yapay zekâyı kullanırken hangi kurallara uyacak?» sorusuyla karşı karşıya bırakıyor. Uzmanlar, sadece araç edinmenin yeterli olmadığını; veri güvenliği, insan denetimi ve şirket içi süreçlerin yeniden düzenlenmesi gerektiğini vurguluyor.
Hangi veriler sisteme yüklenmemeli?
Kurt Gürler Partners Yönetici Ortağı Avukat Özlem Kurt, üretken yapay zekâya müşteri listesi, sözleşme, fiyat bilgisi veya şirket içi rapor gibi verilerin yüklenmesinin «basit bir araç kullanımı» olarak görülemeyeceğini söylüyor. Bu tür verilerin sisteme aktarılmasının KVKK ve ticari sır açısından riskler doğurabileceğine dikkat çekiliyor. Uzman, yalnızca bir AI politikası hazırlamanın yeterli olmadığını; iş sözleşmeleri, görev tanımları, gizlilik ve bilgi güvenliği düzenlemeleri ile disiplin ve performans süreçlerinin de yeni kullanım biçimlerine uyumlu hâle getirilmesi gerektiğini belirtiyor.
Deepfake ve sosyal mühendislik riski
Yapay zekânın çalışma hayatına taşıdığı en dikkat çeken risklerden biri deepfake. Uzmanların verdiği örneğe göre, yöneticinin sesi yapay zekâyla taklit edilerek finans departmanına acil ödeme talimatı verilebilir; çalışan talimatı gerçek sanıp ödemeyi yaparsa sorumluluğun nasıl değerlendirileceği tartışma konusu oluyor. Bu nedenle şirketlerin sosyal mühendislik saldırılarına karşı teknik ve idari önlemler alması gerekiyor.
“Yapay zekâ kullanımının kurallara bağlanması gerekiyor; hangi verinin sisteme yükleneceği, AI çıktısının kim tarafından kontrol edileceği baştan belirlenmeli.”
Pratik önlemler ve sorumluluk dağılımı
Uzmanlar, şirketlerin alabileceği bazı önlemleri şöyle sıralıyor:
- Veri sınıflandırması: Hangi verinin yapay zekâya yüklenebileceğinin belirlenmesi.
- İnsan denetimi: AI çıktılarının hangi aşamada insan onayına tabi olacağının tanımlanması.
- Teknik güvenlik: Ödemelerde çift onay, sözlü talimatların başka kanaldan doğrulanması gibi uygulamalar.
- İş hukuku güncellemesi: İş sözleşmeleri ve disiplin süreçlerinin yeni risklere uygun hale getirilmesi.
Özlem Kurt, AI kaynaklı hatalı analizlerin müşteriye iletilmesi durumunda sorumluluğun doğrudan son kullanıcıya yüklenemeyeceğini; sistemin uygunluğu, çalışanın kontrol yükümlülüğü ve insan denetiminin hangi aşamada öngörüldüğü gibi unsurların değerlendirilmesi gerektiğini ifade ediyor.
Uygulama adımları ve kurumsal politika
Uzman görüşleri, şirketlerin sadece genel bir AI politikası hazırlamakla yetinmemesi gerektiğini ortaya koyuyor. Bunun yerine birden fazla alanda eş zamanlı düzenleme öneriliyor:
| Alan | Gereken düzenleme |
|---|---|
| İş sözleşmeleri | AI kullanımı ve sorumlulukların açık tanımlanması |
| Gizlilik politikaları | KVKK uyumlu veri işleme ve üçüncü taraf aktarım kuralları |
| Güvenlik uygulamaları | Dual onay, çok kanallı doğrulama, eğitim |
Sonuç olarak, yapay zekâ iş dünyasında verimlilik sağlayıcı bir araç olmasına karşın, şirketlerin hem hukuki hem de operasyonel altyapılarını güncelleyerek riskleri önceden yönetmeleri gerektiği belirtiliyor. Bu süreçte kurum içi kuralların netleştirilmesi, çalışan eğitimi ve teknik güvenlik önlemlerinin birlikte yürütülmesi öne çıkıyor.
