Bu politikanın amacı, ARY Holding ve bağlı kurumlar bünyesinde yapay zekâ araçlarının kullanımına yönelik benimsenen yaklaşımın temel çerçevesini ortaya koymaktır.

Yapay zekânın güvenli ve sorumlu kullanımı yalnızca Bilgi Teknolojileri departmanının veya yapay zekâ sistemlerini teknik olarak yöneten birimlerin değil; ARY Holding ve bağlı kurumlarda görev yapan tüm çalışanların, yöneticilerin, stajyerlerin, danışmanların ve kapsam dâhilindeki ilgili üçüncü tarafların sorumluluğundadır. Her kullanıcı, görevleri kapsamında kullandığı yapay zekâ sistemlerinde bu politika ile ilgili diğer kurumsal politika, prosedür, standart ve talimatlara uymakla yükümlüdür.

Yapay zekâ sistemleri, iş ihtiyacının bulunduğu durumlarda, kurum tarafından onaylanmış araçlar kullanılarak, gerekli olduğu ölçüde ve aşağıdaki temel ilkeler doğrultusunda kullanılmalıdır.

1. Yapay zekâ kullanımı yürürlükteki mevzuata ve kurum kurallarına uygun, etik, güvenli ve sorumlu şekilde gerçekleştirilmelidir.
2. Yapay zekâ kullanımında veri korumaya yönelik olarak 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile uluslararası veri koruma düzenlemelerine uyum sağlanmalıdır.
3. Yapay zekâ sistemlerine internet, web adresi, uygulama, eklenti veya diğer teknik yöntemlerle erişilebiliyor olması, ilgili sistemin ARY Holding tarafından kurumsal kullanım için onaylandığı anlamına gelmez.
4. Kullanılan yapay zekâ sistemleri; kullanım amacı, sistem sahibi, veri kaynakları, kullanılan araç ve altyapılar, risk seviyesi, potansiyel etkiler ve uygulanan teknik ve organizasyonel kontroller değerlendirilebilecek ve gerektiğinde izlenebilecek şekilde kayıt altına alınır.
5. ARY Holding, yapay zekâ yönetimi kapsamında görev, yetki ve sorumlulukları tanımlar. Yapay zekâ sistemlerinin kullanımından, risklerinden ve ilgili kontrollerin uygulanmasından sorumlu roller belirlenir.
6. Yapay zekâ yalnızca iş için gerekli olduğunda kullanılmalıdır. Gereksiz sorgu, tekrar, sohbet ve amaç dışı kullanımdan kaçınılmalıdır. Kullanıcılar ne istediğini açık ve anlaşılır şekilde yazarak token, kota, lisans, işlem kaynağı ve maliyetlerin gereksiz tüketilmesini önlemelidir.
7. ARY Holding, yapay zekâ yönetim sisteminin etkinliğini ve hedeflerini ölçmek amacıyla uygun performans göstergeleri ve hedefler belirler.
8. Kurumsal kullanım için onaylanmayan yapay zekâ sistemlerinin kullanımı yasaktır.
9. Yapay zekâ hizmeti sağlayan üçüncü taraflar, kurumun tedarikçi ve bilgi güvenliği değerlendirme süreçlerine tabi tutulur.

   Gerekli durumlarda asgari aşağıdaki hususlar değerlendirilir:

   • Veri işleme ve veri saklama koşulları,
   • Veri lokasyonu,
   • Model eğitiminde müşteri verilerinin kullanılması,
   • Alt yükleniciler,
   • Güvenlik kontrolleri,
   • KVKK/GDPR uyumu,
   • Veri silme imkânları,
   • Olay bildirim yükümlülükleri,
   • Hizmet sürekliliği,
   • Fikri mülkiyet ve lisans koşulları,
   • Model ve hizmet değişikliklerinin yönetimi.
10. ARY Holding, yapay zekâ sistemlerinin güvenli ve sorumlu şekilde yönetilebilmesi için gerekli; insan kaynağı, teknik altyapı, veri kaynakları, araçlar, bilgi ve yetkinlikleri belirler ve yönetir. Yapay zekâ kullanan çalışanlara görev ve sorumluluklarına uygun farkındalık ve eğitim sağlanır.
11. Gizli, kişisel, özel nitelikli kişisel veya kuruma ait hassas bilgiler, kurum tarafından açıkça onaylanmamış yapay zekâ sistemlerine yüklenemez. Kurum tarafından onaylanan sistemlerde ise bilgi sınıflandırması, erişim yetkileri, veri koruma ve ilgili güvenlik kurallarına uygun hareket edilir.
12. ARY Holding tarafından sağlanan ücretli, lisanslı veya kurumsal yapay zekâ hesapları yalnızca kurum işleri için kullanılmalıdır. Bu hesaplar kişisel sohbet, özel proje, ek iş veya kurum dışındaki faaliyetler için kullanılamaz.
13. Ücretli yapay zekâ lisansları yalnızca iş ihtiyacı bulunan kullanıcılara tahsis edilir. Kullanılmayan veya iş ihtiyacı sona eren lisanslar geri alınır ve gerekli durumda başka kullanıcılara tahsis edilir.
14. Yapay zekâ tarafından oluşturulan hiçbir çıktı gerekli kontroller yapılmadan doğru kabul edilemez. Yapay zekâ bir destek aracıdır, nihai sorumluluk yapay zekâ sistemini kullanan ve çıktıyı onaylayan kişidedir. Kullanılan çıktılarda telif, lisans ve üçüncü taraf hakları da dikkate alınmalıdır.
15. Yapay zekâ çıktıları, özellikle yüksek etkili veya kritik iş süreçlerinde tek başına nihai karar olarak kabul edilmez. İşe alım, çalışan değerlendirmesi, ücret ve prim, disiplin, işten çıkarma, finansal kararlar, hukuki kararlar, müşteri değerlendirmeleri ve benzeri yüksek etkili süreçlerde yetkili insan gözetimi ve gerektiğinde nihai insan onayı sağlanır. Yapay zekâ çıktısının hatalı, yanıltıcı veya uygunsuz olduğu değerlendirildiğinde çıktının kullanılmaması ve gerekli düzeltmenin yapılması esastır.
16. Yapay zekâ sistemlerinin ilgili taraflar üzerinde önemli etkiler oluşturabileceği durumlarda, kullanım amacı, yapay zekânın süreçteki rolü ve gerekli bilgilendirmeler; mevzuat, sözleşme, iş gereklilikleri ve risk değerlendirmesi doğrultusunda ilgili taraflara açıklanır.
17. Yapay zekâ sistemlerinin kullanım amacı ve risk seviyesine uygun olarak gerekli kullanım, işlem, hata, güvenlik olayı, değişiklik ve model/sistem versiyonlarına ilişkin kayıtların tutulması sağlanır.
18. Yapay zekâ sistemleri yaşam döngüleri boyunca yönetilir.

    Talep → Değerlendirme → Risk/Etki Değerlendirmesi → Onay → Tedarik/Geliştirme → Test → Canlı Kullanım → İzleme → Değişiklik → Devreden Çıkarma aşamaları için uygun kontroller uygulanır.

    Yapay zekâ sistemlerinde önemli model, veri, entegrasyon, kullanım amacı veya erişim değişiklikleri gerektiğinde yeniden değerlendirme yapılır.

    Kullanım amacı sona eren yapay zekâ sistemleri kontrollü şekilde devreden çıkarılır ve ilgili veriler kurumun veri saklama ve imha kurallarına uygun şekilde yönetilir.

19. Kaynak kod, sistem yapılandırması, erişim bilgileri, teknik dokümanlar ve benzeri teknik bilgiler yapay zekâ sistemlerine kontrolsüz şekilde aktarılamaz. Bu bilgilerin kullanımında kurumun bilgi güvenliği ve yetkilendirme kurallarına uyulmalıdır.
20. Bilgisayardaki dosyalara, kaynak kodlara, terminale, tarayıcıya veya kurumsal sistemlere erişebilen yapay zekâ agentları, eklentileri ve entegrasyonları kurum onayı olmadan kullanılamaz. Yapay zekâ sistemlerine ihtiyaçtan fazla erişim veya işlem yetkisi verilmemelidir. Bu sistemlere yalnızca iş ihtiyacı için gerekli olan minimum yetkiler verilir.
21. Yeni bir yapay zekâ aracının kullanılması veya ücretli yapay zekâ lisansı alınması için gerçek bir iş ihtiyacı bulunmalıdır. İhtiyaç, fayda, maliyet ve güvenlik riskleri değerlendirilmeden yeni bir yapay zekâ aracı veya lisansı kullanıma alınmamalıdır.
22. Yapay zekâ kullanımı sırasında veri sızıntısı, yanlış veri paylaşımı, yetkisiz kullanım, güvenlik ihlali veya ciddi bir hata fark edilirse gecikmeden ilgili birimlere bildirilmelidir.
23. ARY Holding, yapay zekâ kullanımını gerekli teknik ve idari kontrollerle yönetir. Yapay zekâ kullanımında ISO/IEC 42001 Yapay Zekâ Yönetim Sistemi (AIMS) standardına uyum sağlanması hedeflenmektedir.
24. Yapay Zekâ Yönetim Sistemi'nin politika, prosedür ve ilgili ISO/IEC 42001 gerekliliklerine uygunluğu belirlenen periyotlarda iç denetim veya bağımsız değerlendirme faaliyetleriyle gözden geçirilir.
25. Yapay Zekâ Yönetim Sistemi'nin performansı, riskleri, önemli olayları, hedefleri, denetim sonuçları ve iyileştirme ihtiyaçları yönetim tarafından belirlenen periyotlarda gözden geçirilir.
26. Yapay zekâ kullanımına ilişkin tespit edilen uygunsuzluklar, olaylar ve kontrol eksiklikleri için neden analizi, düzeltici faaliyet ve gerektiğinde önleyici/iyileştirici aksiyonlar uygulanır.

Tüm ARY Holding ve bağlı kurum çalışanlarının ve kapsam dâhilindeki ilgili kurum dışı tarafların bu politikaya uymaları beklenmektedir. Bu politikaya uyulmaması halinde ilgili durum; yürürlükteki mevzuat, iş sözleşmeleri ve ARY Holding’in ilgili politika ve prosedürleri kapsamında değerlendirilir. Aykırılığın niteliğine göre yapay zekâ erişimi veya lisansı kısıtlanabilir ya da iptal edilebilir, uygunsuzluk kaydı açılabilir ve Disiplin Prosedürü işletilebilir.

Bu politika; yapay zekâ kullanımında, risklerde, mevzuatta, teknolojide veya kurum ihtiyaçlarında önemli bir değişiklik olması halinde ve her durumda yılda en az bir kez gözden geçirilir.

Yapay Zekâ Politikamız İçin Tıklayınız