Çalışanlarınız LLM araçlarını büyük olasılıkla zaten kullanıyor; soru, bunun kurallı mı kuralsız mı olduğudur. Yasak, kullanımı ortadan kaldırmaz, yalnızca görünmez kılar; iyi bir politika ise kullanımı görünür, güvenli ve faydalı hale getirir.

Şirket içi LLM politikası (yaygın adıyla yapay zeka kullanım politikası) bir yasak listesi değil, bir çerçevedir: hangi araç, hangi veriyle, hangi iş için, kimin sorumluluğunda.

Yasak neden işlemez?

Bir araç işi kolaylaştırıyorsa insanlar onu kullanmanın yolunu bulur. Kurumsal hesaplar kapatıldığında kullanım kişisel hesaplara ve kişisel cihazlara kayar. Bu da kurumun en çok kaçındığı sonucu doğurur: verinin nereye gittiğinin bilinmemesi.

Görünmeyen kullanım, yönetilemeyen risktir. Politikanın ilk amacı kullanımı yasaklamak değil, görünür kılmaktır.

Bir politika neleri cevaplamalı?

Kısa, okunabilir ve somut bir politika şu altı soruyu cevaplar:

  • Hangi araçlar onaylı? Kurumun hesap açtığı, veri işleme koşulları incelenmiş araçların listesi. Listede olmayan araç için başvuru yolu.
  • Hangi veri hangi araca girebilir? Verinin sınıflandırılması: herkese açık, iç kullanım, gizli, kişisel veri. Her sınıf için izin verilen araçlar.
  • Hangi işlerde kullanılabilir? Taslak yazma, özetleme, çeviri, kod yardımı gibi kullanım alanları; insan kararı gerektiren işler (işe alım, kredi, sağlıkla ilgili değerlendirme) için açık sınırlar.
  • Çıktının sorumlusu kim? Araç bir taslak üretir; doğruluğundan ve kullanımından onu kullanan kişi sorumludur.
  • Ne zaman belirtilir? Müşteriye giden içerikte ya da resmi belgede LLM desteğinin nasıl ve ne zaman belirtileceği.
  • Sorun olunca ne yapılır? Yanlışlıkla gizli veri girildiğinde ya da hatalı bir çıktı kullanıldığında kime, nasıl bildirileceği.

Veri sınıflandırması: politikanın omurgası

Politikanın en çok iş gören bölümü basit bir tablodur:

  • Herkese açık: Web sitesindeki metinler, yayımlanmış belgeler. Onaylı her araçta kullanılabilir.
  • İç kullanım: Toplantı notları, iç yazışmalar, süreç belgeleri. Yalnız kurumsal hesapla ve verinin eğitimde kullanılmadığı koşullarla.
  • Gizli: Sözleşmeler, finansal veriler, ticari sırlar. Yalnız kurum içinde ya da kuruma özel sunucuda çalışan sistemlerde.
  • Kişisel veri: Müşteri, çalışan ya da danışan bilgileri. KVKK ilkeleri gözetilerek; varsayılan olarak dış araçlara girilmez, gerekiyorsa anonimleştirilir.
İyi bir politika bir sayfaya sığar ve ilk okumada anlaşılır.

Politika nasıl yaşatılır?

Yazılıp bir klasöre konan politika ilk ay unutulur. Yaşaması için üç şey gerekir. Birincisi eğitimdir: çalışanların kuralları örneklerle görmesi, neden var olduklarını anlaması. İkincisi bir sahiptir: politikanın güncellenmesinden ve sorulara cevap verilmesinden sorumlu bir kişi ya da küçük bir ekip. Üçüncüsü düzenli gözden geçirmedir: araçlar ve kullanım biçimleri hızla değiştiği için politika en az çeyrekte bir gözden geçirilir.

Politika, kurumsal teknoloji okuryazarlığının bir parçasıdır. Qhira Academy yaklaşımını ayrı bir yazıda anlattık. Politikayı kuruma özel hazırlamak ve ekiplere anlatmak bir danışmanlık ve eğitim işidir; Academy programları her kurumun kendi vakası ve verisi üzerinde kurgulanır.

Kurumunuz için benzer bir çalışmayı konuşmak isterseniz: Consulting & Academy · İletişim

Your employees are most likely already using LLM tools; the question is whether they do so with rules or without them. A ban does not remove the use, it only makes it invisible; a good policy makes the use visible, safe and useful.

An internal LLM policy (often called an AI usage policy) is not a list of bans but a framework: which tool, with which data, for which work, under whose responsibility.

Why don't bans work?

If a tool makes work easier, people find a way to use it. When company accounts are closed, use moves to personal accounts and personal devices. That leads to the very outcome the organization most wants to avoid: not knowing where the data goes.

Invisible use is unmanaged risk. The first purpose of a policy is not to ban use but to make it visible.

What should a policy answer?

A short, readable and concrete policy answers six questions:

  • Which tools are approved? A list of tools the organization has accounts for and whose data processing terms have been reviewed. A request route for tools not on the list.
  • Which data may go into which tool? Data classification: public, internal, confidential, personal data. Permitted tools for each class.
  • For which work may they be used? Uses such as drafting, summarizing, translation and coding help; clear limits for work that requires human judgement (hiring, credit, health-related assessment).
  • Who is responsible for the output? The tool produces a draft; the person using it is responsible for its accuracy and use.
  • When is it disclosed? How and when LLM support is disclosed in content sent to customers or in official documents.
  • What happens when something goes wrong? To whom and how to report when confidential data is entered by mistake or a faulty output is used.

Data classification: the policy's backbone

The most useful part of the policy is a simple table:

  • Public: Website text, published documents. May be used in any approved tool.
  • Internal: Meeting notes, internal correspondence, process documents. Only with a company account and under terms where data is not used for training.
  • Confidential: Contracts, financial data, trade secrets. Only in systems running on the organization's own or dedicated servers.
  • Personal data: Customer, employee or client information. With KVKK principles in mind; by default not entered into external tools, anonymized when needed.
A good policy fits on one page and is understood on first reading.

How is a policy kept alive?

A policy written and filed away is forgotten in the first month. Three things keep it alive. The first is training: employees seeing the rules through examples and understanding why they exist. The second is an owner: a person or a small team responsible for updating the policy and answering questions. The third is regular review: because tools and ways of using them change quickly, the policy is reviewed at least once a quarter.

A policy is part of organizational technology literacy. We described the Qhira Academy approach in a separate article. Preparing the policy for a specific organization and explaining it to teams is advisory and training work; Academy programs are built on each organization's own case and data.

If you would like to discuss similar work for your organization: Consulting & Academy · Contact