# Kurumsal Yapay Zekâ Kullanım Politikası Nasıl Hazırlanır? Örnek İlkeler

> Kurumsal yapay zekâ kullanım politikası; hangi araçların onaylı olduğunu, bu araçlara hangi veri sınıflarının girilebileceğini, çıktıların nasıl doğrulanacağını ve bir ihlal hâlinde izlenecek yolu belirleyen yazılı bir iç düzenlemedir. Politika hukuk, bilgi teknolojileri ve insan kaynakları birimlerinin ortak çalışmasıyla hazırlanmalı; KVKK, ticari sır, fikri haklar ve reklam mevzuatıyla uyumlu olmalı ve çalışan eğitimiyle birlikte yürürlüğe konmalıdır.

Kaynak: https://dijitalreklammerkezi.com/blog/kurumsal-yapay-zeka-kullanim-politikasi  
Yayımlayan: Dijital Reklam Merkezi (DRM Yayın Kurulu)  
Tarih: 2026-10-16

Kurumsal yapay zekâ kullanım politikası, çalışanların üretken yapay zekâ araçlarını hangi amaçlarla, hangi araçlarla ve hangi verilerle kullanabileceğini belirleyen yazılı iç düzenlemedir. İyi hazırlanmış bir politika, yapay zekânın sağladığı verimliliği korurken kişisel verilerin, ticari sırların ve kurum itibarının zarar görmesini önleyecek asgari kuralları tek bir metinde toplar.

Pek çok kurumda yapay zekâ araçları, yazılı bir kural çerçevesi oluşmadan günlük işlere girmiştir. Kişisel hesaplarla ve kurumun bilgisi dışında yapılan bu "gölge yapay zekâ" kullanımı, verinin nereye gittiğinin bilinmemesi sonucunu doğurur. Politika, bu kullanımı yasaklamak yerine görünür ve denetlenebilir bir zemine taşımayı amaçlar.

Bu yazıda DRM Yayın Kurulu; hukuk, bilgi teknolojileri (BT) ve insan kaynakları (İK) birimlerinin bir politika taslağında ele alması gereken başlıkları ve kurumların uyarlayabileceği örnek maddeleri sunmaktadır.

> **Önemli:** Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. Politika metni, kurumun faaliyet alanı ve veri işleme envanteri dikkate alınarak hukuk danışmanlarıyla birlikte son hâline getirilmelidir.

## Kurumsal yapay zekâ kullanım politikası nedir ve neyi kapsar?

Politikanın amacı, yapay zekâ kullanımını tümüyle serbest bırakmak ya da yasaklamak değil; kabul edilebilir kullanımın sınırlarını açıkça çizmektir. Metnin başında amaç, kapsam ve tanımlar yer almalıdır. Kapsam bölümü şu soruları yanıtlar:

- **Kimleri kapsar?** Tüm çalışanlar, stajyerler ve kurum adına iş yapan yükleniciler.
- **Hangi araçları kapsar?** Metin, görsel, ses ve kod üreten araçlar ile mevcut yazılımlara eklenen yapay zekâ özellikleri.
- **Hangi kullanımları kapsar?** Kurum cihazlarında ve kurum verisiyle yapılan tüm kullanımlar.

AB pazarıyla ilişkili kurumlarda politika, Dijital Omnibus Tüzüğü (AB) 2026/1744 ile yumuşatılan AB Yapay Zeka Yasası okuryazarlık hükmüyle de bağlantılıdır; bu hüküm kesin bir yükümlülükten çok düzenleyici beklenti ve iyi uygulama olarak ele alınmalıdır ([okuryazarlık maddesini inceleyen yazımız](https://dijitalreklammerkezi.com/blog/yapay-zeka-okuryazarligi-ab-yapay-zeka-yasasi)).

## Onaylı araç listesi ve onay süreci nasıl kurulur?

Politikanın merkezinde, kurumun değerlendirip izin verdiği araçları gösteren bir Onaylı Araçlar Listesi bulunur. Listede her araç için lisans türü, izin verilen kullanım amaçları ve girilebilecek en yüksek veri sınıfı belirtilmelidir. Aynı aracın kurumsal sürümü ile ücretsiz bireysel sürümü, veri saklama ve model eğitimi koşulları bakımından farklı olabileceğinden ayrı ayrı ele alınmalıdır.

Yeni bir aracın listeye eklenmesi için önerilen süreç şöyledir:

1. Talep eden birim, aracın kullanım amacını ve işlenecek veri türlerini bildirir.
2. BT ve bilgi güvenliği birimi; veri saklama süresini, girdilerin model eğitiminde kullanılıp kullanılmadığını, sunucu konumunu ve erişim yönetimini değerlendirir.
3. Hukuk birimi ve KVKK sorumluları; hizmet sözleşmesini, veri işleyen ilişkisini ve yurt dışına aktarım boyutunu inceler.
4. Araç için izin verilen kullanım senaryoları ve veri sınıfı belirlenir.
5. Araç, onay ve gözden geçirme tarihleriyle listeye eklenir ve çalışanlara duyurulur.

Talep aşamasındaki kullanım senaryolarını somutlaştırmak için [YazılımaOrg'un yapay zekâyı iş hayatında kullanmaya ilişkin 2026 rehberindeki](https://yazilima.org/blog/yapay-zeka-is-hayatinda) uygulamalı örneklerden yararlanılabilir.

## Yapay zekâ araçlarına hangi veriler girilebilir?

Politikanın en sık başvurulan bölümü olan veri izin matrisi, çalışanın "Bu bilgiyi araca yazabilir miyim?" sorusuna tutarlı bir yanıt vermesini sağlar:

| Veri sınıfı | Örnek | Onaylı kurumsal araç | Onaysız araç veya bireysel hesap |
|---|---|---|---|
| Kamuya açık | Yayımlanmış duyurular, web sitesi metinleri | İzinli | İzinli |
| Kurum içi | İç yazışmalar, süreç belgeleri | İzinli | Yasak |
| Gizli | Ticari sırlar, sözleşmeler, finansal veriler, kaynak kod | Yalnızca yazılı onay ve ek güvenceyle | Yasak |
| Kişisel veri | Müşteri, çalışan ve aday bilgileri | Yalnızca hukuki değerlendirme ve veri en aza indirme ile | Yasak |
| Özel nitelikli kişisel veri | Sağlık, biyometrik ve genetik veriler | Kural olarak yasak | Yasak |

Matris, kurumun mevcut bilgi sınıflandırma düzenine bağlanmalı; yapay zekâ için çelişen ayrı bir sınıflandırma oluşturulmamalıdır. Kişisel veri gereken durumlarda adların, kimlik numaralarının ve iletişim bilgilerinin maskelenmesi temel kural olarak yazılmalıdır.

### Ticari sır ve gizlilik

6102 sayılı Türk Ticaret Kanunu'nun haksız rekabet hükümleri, üretim ve iş sırlarının hukuka aykırı ifşasını da kapsar. İş ortaklarıyla imzalanan gizlilik sözleşmeleri de karşı tarafa ait bilgilerin üçüncü kişi hizmetlerine aktarılmasını sınırlayabilir; bu nedenle iş ortaklarından gelen bilgiler en az "gizli" sınıfında değerlendirilmelidir.

## KVKK bakımından hangi hususlar değerlendirilmelidir?

Müşteri, personel veya aday bilgisi içeren bir metnin yapay zekâ aracına girilmesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında bir veri işleme faaliyetidir. Amaçla bağlantılı, sınırlı ve ölçülü olma gibi genel ilkeler bu kullanım için de geçerlidir. Veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek için gerekli teknik ve idari tedbirleri almakla yükümlüdür (m.12).

Aracın sunucuları yurt dışındaysa, girilen kişisel veri yurt dışına aktarım niteliği taşıyabilir. 7499 sayılı Kanun ile değiştirilen ve 1 Haziran 2024'ten itibaren uygulanan m.9'a göre aktarım; yeterlilik kararına, bu yoksa standart sözleşme veya bağlayıcı şirket kuralları gibi uygun güvencelere, bunlar da yoksa arızi aktarım hâllerine dayanmalıdır. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilir. Aynı değişiklikle özel nitelikli kişisel verilerin işlenme şartları (m.6) da yeniden düzenlenmiştir. Güncel metinlere [Mevzuat Bilgi Sistemi](https://www.mevzuat.gov.tr) üzerinden ulaşılabilir.

Kişisel Verileri Koruma Kurumu'nun 24 Kasım 2025'te yayımladığı [Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)](https://www.kvkk.gov.tr/Icerik/8547/uretken-yapay-zeka-ve-kisisel-verilerin-korunmasi-rehberi-15-soruda), bu sistemlerle yapılan veri işlemenin Kanun çerçevesinde değerlendirilmesine ilişkin temel başvuru metnidir. Politika hazırlanırken aydınlatma metinlerinin yapay zekâ destekli süreçleri kapsayıp kapsamadığı da kontrol edilmelidir. Pazarlama ekiplerinin çerez ve hedefleme verilerine ilişkin yükümlülükleri için [çerez kullanımını ele alan rehberimize](https://dijitalreklammerkezi.com/blog/kvkk-cerez-politikasi-dijital-reklam) bakılabilir.

## Çıktılar nasıl doğrulanmalı, fikri haklar nasıl korunmalıdır?

Dil modelleri, gerçekte bulunmayan kaynaklar veya yanlış rakamlar içeren akıcı metinler üretebilir. Politika, çıktının sorumluluğunun aracı kullanan çalışana ve birimine ait olduğunu açıkça belirtmelidir. Doğrulama kademelendirilebilir: iç taslaklarda kullanıcı kontrolü yeterli görülebilirken müşteriye veya kamuya sunulacak metinlerde ikinci bir kişinin onayı aranabilir.

İşe alım, performans değerlendirmesi veya müşteri şikâyeti gibi kişiler hakkında sonuç doğuran süreçlerde kararın yalnızca yapay zekâ çıktısına dayanılarak verilmemesi, insan denetimi ilkesinin temel kuralı olarak yazılmalıdır.

Fikri haklar bakımından, üçüncü kişilere ait korunan metin, görsel veya kodların izinsiz olarak araçlara yüklenmesi sınırlandırılmalıdır. Çıktılar açısından ise 5846 sayılı Fikir ve Sanat Eserleri Kanunu eseri sahibinin hususiyetini taşıyan fikir ve sanat ürünü olarak tanımladığından, insan katkısı sınırlı çıktıların korunup korunmayacağı tartışmalıdır. Önemli işlerde insan katkısının belgelenmesi ve sağlayıcının kullanım koşullarının incelenmesi önerilir.

## Reklam ve pazarlamada yapay zekâ kullanımı nasıl açıklanmalıdır?

1 Temmuz 2026 tarihli ve 33297 sayılı Resmî Gazete'de yayımlanan değişiklikle (yürürlük: 1 Ağustos 2026) Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliği'ne yapay zekâ hükümleri eklenmiştir. Buna göre reklamlarda tüketicinin ekonomik davranışını önemli ölçüde etkileyecek şekilde yapay zekâ kullanılması ya da insandan ayırt edilemeyen yapay zekâ ürünü dijital karakterlere yer verilmesi hâlinde bu durum açık, anlaşılır ve ayırt edilebilir şekilde belirtilmelidir. Gerçek bir kişinin yapay zekâ ile oluşturulmuş dijital kopyasının, gerçeğe aykırı biçimde bir ürünü deneyimlediği veya tavsiye ettiği izlenimini veren reklamlar ise yasaklanmıştır.

Pazarlama birimleri için bu hükümler şu kurallara dönüştürülebilir:

- Yapay zekâ ile üretilen veya esaslı biçimde değiştirilen reklam içerikleri kayıt altına alınır.
- Açıklama ifadesinin metni ve yerleşimi kurum genelinde standart hâle getirilir.
- Gerçek kişilerin görüntü veya sesinin üretilmesi için açık ve yazılı izin alınır.
- Bu içerikler yayımlanmadan önce hukuk biriminin kontrolünden geçer.

Daha geniş şeffaflık ilkeleri için [DRM'nin dijital reklamda etik ve şeffaflık ilkeleri yayınına](https://dijitalreklammerkezi.com/yayinlar/dijital-reklam-etik-ve-seffaflik-ilkeleri) başvurulabilir.

## Roller, kayıt tutma ve yürürlük süreci

Politikanın uygulanabilir olması için her başlığın bir sahibi bulunmalıdır. Aşağıdaki dağılım örnek niteliğindedir:

| Rol | Temel sorumluluk |
|---|---|
| Üst yönetim | Politikayı onaylar, kaynak ayırır |
| Hukuk ve uyum | Mevzuat uyumunu, sözleşmeleri ve reklam açıklamalarını denetler |
| KVKK sorumluları | Veri işleme envanterini, aydınlatma metinlerini ve yurt dışına aktarımı değerlendirir |
| BT ve bilgi güvenliği | Araçları değerlendirir, erişimi yönetir, kayıtları tutar |
| İnsan kaynakları | Eğitimi planlar, politikayı oryantasyona ekler |
| Birim yöneticileri | Kullanım senaryolarını onaylar, uyumu izler |
| Çalışanlar | Politikaya uyar, çıktıları doğrular, olayları bildirir |

### Kayıt tutma ve olay bildirimi

Kurum, hangi aracın hangi birimde ve hangi veri sınıfıyla kullanıldığını izleyebilmelidir. Kayıtlar kişisel veri içerebileceğinden saklama süreleri de belirlenmelidir.

Yanlışlıkla gizli bilgi veya kişisel veri girilmesi ya da hatalı bir çıktının yayımlanması için tek ve kolay erişilebilir bir bildirim kanalı tanımlanmalıdır. Kişisel veri ihlali şüphesinde, Kanun'un 12. maddesi uyarınca ihlalin en kısa sürede ilgilisine ve Kurula bildirilmesine ilişkin süreç işletilmelidir.

### Politikanın eğitimle birlikte yürürlüğe konması

Okunmayan bir politika davranışı değiştirmez. Politikanın, çalışanların metni okuduğunu beyan ettiği bir onay adımı ve veri matrisini kurumun kendi örnekleriyle anlatan rol bazlı kısa eğitimlerle birlikte yürürlüğe konması önerilir. Hedef yetkinlik düzeyleri [DRM'nin kurumsal yapay zekâ yetkinlik çerçevesi](https://dijitalreklammerkezi.com/yayinlar/kurumsal-yapay-zeka-yetkinlik-cercevesi) ile belirlenebilir; eğitimin davranışa yansıması ise [eğitim etkisinin ölçülmesini ele alan yazımızdaki](https://dijitalreklammerkezi.com/blog/yapay-zeka-egitiminin-etkisi-nasil-olculur) yöntemlerle izlenebilir.

Eğitimi dışarıdan almak isteyen kurumların, politikayı kendi senaryolarına uygulayabilen programları tercih etmesi önerilir. Bu alanda DRM akreditasyonuna sahip [YazılımaOrg topluluk ve eğitim platformu](https://yazilima.org) örnek olarak incelenebilir. [YazılımaOrg'un çalışanlara yönelik yapay zekâ araçları programı](https://yazilima.org/kurumsal-egitim), yazılım bilgisi gerektirmeden güvenli araç kullanımını kurumun kendi senaryoları üzerinden işlemekte; online, yerinde veya hibrit olarak planlanabilmektedir.

## Kurumların uyarlayabileceği örnek politika ilkeleri

Aşağıdaki maddeler, köşeli parantez içindeki alanlar doldurularak uyarlanabilir:

1. Bu politika, [Kurum] çalışanlarının üretken yapay zekâ araçlarını güvenli ve hukuka uygun biçimde kullanmasına ilişkin kuralları belirler.
2. Politika; tüm çalışanları, stajyerleri ve [Kurum] adına iş yapan yüklenicileri kapsar.
3. İş amaçlı kullanım yalnızca Onaylı Araçlar Listesi'ndeki araçlarla ve kurumsal hesaplarla yapılır.
4. Listede bulunmayan bir araç, [BT birimi] değerlendirmesi tamamlanmadan iş amacıyla kullanılmaz.
5. Araçlara girilen veriler Veri Sınıflandırma Matrisi'ne uygun olmalıdır.
6. Özel nitelikli kişisel veriler, parolalar ve erişim anahtarları hiçbir yapay zekâ aracına girilmez.
7. Kişisel veri gerektiren işlemlerde veri en aza indirilir, mümkün olduğunda maskelenir.
8. Yapay zekâ çıktısı kullanılmadan önce ilgili çalışan tarafından doğrulanır.
9. Kişiler hakkında hukuki sonuç doğuran kararlar yalnızca yapay zekâ çıktısına dayanılarak verilmez.
10. Reklam içeriklerinde yapay zekâ kullanımı, mevzuatın gerektirdiği durumlarda açıkça belirtilir.
11. Yanlışlıkla yapılan veri girişleri ve hatalı çıktılar derhâl [bildirim kanalı] üzerinden bildirilir.
12. Politika en az yılda bir kez ve mevzuat değiştiğinde [politika sahibi] tarafından gözden geçirilir.

## Sıkça Sorulan Sorular

### Şirketlerin yapay zekâ kullanım politikası hazırlaması zorunlu mudur?

Yazının hazırlandığı tarih itibarıyla kurumlara yazılı bir yapay zekâ kullanım politikası hazırlama yükümlülüğünü doğrudan getiren genel bir düzenleme bulunmamaktadır. Ancak KVKK'daki veri güvenliği yükümlülükleri ve reklam mevzuatındaki açıklama kuralları, yazılı bir politikayı uygulamada gerekli kılmaktadır.

### Politikayı hangi birim hazırlamalıdır?

Hukuk ve uyum birimi mevzuat boyutunu, BT birimi araç ve güvenlik boyutunu, İK ise eğitim ve duyuru boyutunu üstlenir; metin üst yönetimin onayıyla yürürlüğe girer.

### Çalışanlar ücretsiz yapay zekâ araçlarını iş için kullanabilir mi?

Ücretsiz bireysel sürümlerde veri saklama ve model eğitimi koşulları kurumsal sürümlerden farklı olabilir. Politika, bu sürümlerin yalnızca kamuya açık bilgilerle kullanılmasına izin verecek şekilde düzenlenebilir.

### Yapay zekâ aracına kişisel veri girmek yurt dışına aktarım sayılır mı?

Aracın sunucuları yurt dışındaysa bu kullanım, KVKK m.9 kapsamında yurt dışına aktarım niteliği taşıyabilir. Somut değerlendirme hukuk danışmanlarıyla yapılmalıdır.

### Politika ne sıklıkla güncellenmelidir?

Yılda en az bir kez ve mevzuatta, onaylı araçların koşullarında veya iş süreçlerinde önemli bir değişiklik olduğunda gözden geçirilmesi önerilir.

## Kaynaklar

- 6698 sayılı Kişisel Verilerin Korunması Kanunu — Resmî Gazete 07.04.2016, Sayı 29677 — https://www.mevzuat.gov.tr
- 7499 sayılı Kanun ile 6698 sayılı Kanun'un 6. ve 9. maddelerinde yapılan değişiklikler (yürürlük 01.06.2024)
- Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik — Resmî Gazete 10.07.2024, Sayı 32598
- Kişisel Verileri Koruma Kurumu — Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda), 24.11.2025 — https://www.kvkk.gov.tr
- Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliği — Resmî Gazete 10.01.2015, Sayı 29232; değişiklik Resmî Gazete 01.07.2026, Sayı 33297 (yürürlük 01.08.2026)
- 6102 sayılı Türk Ticaret Kanunu — Resmî Gazete 14.02.2011, Sayı 27846
- 5846 sayılı Fikir ve Sanat Eserleri Kanunu — Resmî Gazete 13.12.1951, Sayı 7981
- Regulation (EU) 2026/1744 (Yapay zekâ alanında Dijital Omnibus) — Avrupa Birliği Resmî Gazetesi, 24.07.2026 — https://eur-lex.europa.eu