İş yerinde yapay zekâ: önce yetkiler, sonra lisans

Siz açmadan zaten çalışan şey

Bu konuşmanın başladığı hemen her kurumda yapay zekânın zaten kullanımda olduğu ortaya çıkıyor. Yaygınlaştırılmamış, konuşulmamış, sadece açılmış. Biri düzgün bir yanıt çıkarmak için bir şikâyet mektubunu sohbet penceresine yapıştırıyor. Biri bir teklifi özetletiyor. Biri hesap tablosu için formül isterken yanına üç sütun gerçek ciro yapıştırıyor.

Bu inatlaşmadan olmuyor. İşe yaradığı ve hiçbir şey kararlaştırılmadığı için oluyor. Bir seçenek sunmayan, insanların kendi yaptığı seçimle kalır; o da neredeyse her zaman evde kullandıklarının ücretsiz sürümüdür.

Bu yönüyle sorun gölge BT ile aynı: değer üreten ve görüş alanınızın dışında duran araçlar. Farkı, burada bir dosya paylaşılmaması, metin yazılması — dolayısıyla sonradan bulabileceğiniz bir iz de kalmaması.

Önemli olan şu: soru yapay zekâya izin verip vermeyeceğiniz değil. O karar pratikte çoktan alındı. Soru, bunun kurallarınızın içinde mi dışında mı kaldığı.

Verileriniz nereye gidiyor

Diğer hepsinden önemli bir ayrım var ve bu ayrım sağlayıcılar arasından değil, her sağlayıcının içinden geçiyor: bireysel sürüm ile kurumsal sürüm, farklı koşullara sahip farklı ürünlerdir.

Bireysel bir hesapta hizmet ücretsiz ya da ucuzdur, çünkü müşteri siz değil kullanıcısınız. Koşullar, kendiniz kapatmadığınız sürece yazdıklarınızın modeli iyileştirmek için kullanılmasına izin verir. Veri işleyen sözleşmesi yoktur; dolayısıyla oraya düşen kişisel veriler konusunda kararlaştırılmış hiçbir şeyiniz olmaz. Ve o sağlayıcının içinde kimin erişebildiğini göremezsiniz.

Kurumsal bir sözleşme — Microsoft, Google, OpenAI ya da Anthropic fark etmez — bunları kapsar. İmzalamadan önce kendinizin okuması gerekenler:

• Girdiniz üzerinde eğitim yapılıyor mu? Kurumsal aboneliklerde varsayılan yanıt hayırdır, ama her üründe farklı yazılmıştır ve bu, sonradan yeniden bulmak isteyeceğiniz ilk cümledir.
• Veri işleyen sözleşmesi var mı? O sözleşme olmadan kişisel verilere ne olduğunu belgeleyemezsiniz; denetleyicinin sorduğu tam olarak budur.
• Nerede işleniyor? Bazı sağlayıcılar AB içinde işleme sunar, bazıları sunmaz ya da yalnızca daha pahalı bir pakette sunar. Bu, dijital egemenlik sayfasındaki aynı tartıdır ve buradaki yanıt nadiren siyah beyazdır.
• Ne kadar saklanıyor? Konuşmalar kötüye kullanım tespiti için genellikle bir süre tutulur. Bu savunulabilir; ne kadar süreyle olduğunu bilmemek değil.

Bunu iyi çözen kurumların yaptığı şey karmaşık değil: bir kurumsal sağlayıcıyı açmak, parasını ödemek ve iş hesabında bireysel sürümleri engellemek. Bir lisans tutarında ve riskin büyük kısmını ortadan kaldırıyor.

Asistan, kullanıcının zaten okuyabildiğini okur

Bu, satış görüşmesinde geçmeyen ve yaygınlaştırmaların çoğunu geciktiren kısımdır.

Kendi dosyalarınızda arama yapan bir asistan — Microsoft 365’te Copilot, Google Workspace’te Gemini ya da belgelerinizin üzerindeki başka bir bağlantı — soruyu soranın yetkileri içinde çalışır. Kendiliğinden erişim uydurmaz. Bu kulağa güven verici gelir ama değildir; çünkü ortamınızdaki hangi yetkilerin fazla geniş olduğunu tam olarak görünür kılar demektir.

Pratikte şöyle olur. Yıllar önce bir proje için bir SharePoint sitesi açılmış ve daha hızlı olduğu için «kurumdaki herkes» olarak ayarlanmıştır. O günden beri orada maaş verilerinin klasörü ya da hiç yapılmamış bir yeniden yapılanmanın raporu durur. Kimse bulmamıştır, çünkü kimse aramamıştır. Sonra her yerde aynı anda arayabilen bir asistan gelir ve biri, en iyi yanıtı tam da o belge olan bir soru yazar.

Yapay zekâda ters giden bir şey yoktur. Ters giden şey yıllar önce olmuştur. Ama asistanı açtığınız gün yüzeye çıkar ve adı o zaman yapay zekâ projesi olur.

Buna karşı işe yarayanlar, şu sırayla:

• Önce neyin açık olduğuna bakın. Hangi siteler ve klasörler kurum geneline ya da bitiş tarihi olmayan paylaşılabilir bir bağlantıya açık. Bir günde alacağınız bir rapordur.
• En kötüsünü yaygınlaştırmadan önce temizleyin, sonrasında değil. Sonradan temizlemek, içeriğin çoktan dışarı çıkmış olması demektir.
• Hassas yerleri erişim dışında tutun, etiketlerle ya da asistanı oradan çıkararak. Ciddi her sağlayıcının bunun için bir ayarı vardır.
• On ile yirmi kişilik bir grupla başlayın. Onların ilk karşılaştığı şey, aksi hâlde herkes için aynı anda ortaya çıkar.

Bu, Zero Trust yazısındaki kimlik katmanıyla aynı iştir ve bir yapay zekâ yaygınlaştırmasını nadiren bir lisans sorusu olarak ele almamızın nedeni budur.

Hangi sağlayıcı ve bu neden sanıldığından az önemli

Her başlıkta kazanan bir sağlayıcı yok ve çoğu durumda seçimi model değil, belgelerinizin hâlihazırda nerede durduğu belirliyor.

Her şey Microsoft 365’teyse Copilot en kısa yoldur: insanların zaten açtığı programların içindedir, mevcut yetkilerinizle çalışır ve bağlanacak fazladan bir şey yoktur. Google Workspace kullanıyorsanız aynısı Gemini için geçerlidir. Bu bir kalite yargısı değil, sürtünme yargısıdır: ayrı bir sekmede yaşayan asistan zamanın yarısında kullanılmaz.

Bir de ofis paketinizden bağımsız duran kategori var: kurumsal biçimleriyle ChatGPT ve Claude. Bunlar ağırlıklı olarak metin ve akıl yürütmeden oluşan işlerde güçlüdür — bir taslak kurmak, uzun bir teklifi şartnameyle karşılaştırmak, bir kod parçasını gözden geçirmek — ve açıkça bağlamadığınız sürece kendi belgelerinizin içine bakmakta daha zayıftır.

Pratikte en sık işe yaradığını gördüğümüz şey bir bileşimdir ve bu gevşek bir uzlaşma değildir. Günlük iş için ofis paketinizdeki asistan, gerçekten yaslanan kişiler için ayrı bir tane. İki lisans, kimsenin kullanmadığı bir yaygınlaştırmadan ucuzdur.

Önermediğimiz şey, bir kazanan çıkana kadar kararı ertelemek. Çıkmayacak ve bu arada çalışanlarınız ücretsiz sürümü kullanıyor.

Kurallarınızın ne söylemesi gerekir

Avrupa yapay zekâ tüzüğünden bu yana resmî bir taraf da var ve bu, başlığın düşündürdüğünden küçük. Tüzük daha çok yapay zekâ sistemlerini kuranlara ve yüksek riskli kullanımlara bakar; bir çalışanın e-posta yazdırmak için asistan kullanması buraya girmez.

Bir yükümlülük yine de yapay zekâ kullanan herkese değiyor: onunla çalışan kişilerin, aklıselimle kullanacak kadar bilmesini sağlamanız gerekir. Bu bir sertifika değil, bir açıklamadır — neyi yapıp neyi yapamayacağı ve içine ne konulmayacağı. 2025’in başından beri geçerli.

Bunun ötesinde aldığınız soruların çoğu düpedüz kişisel veri mevzuatıdır. Bir asistana yazılan kişisel veriler hâlâ kişisel veridir; hukuki dayanak, saklama süresi ve veri işleyen sözleşmesi olduğu gibi geçerlidir.

Kullanışlı bir yapay zekâ politikası tek sayfaya sığar ve beş soruyu yanıtlar:

• Hangi araçlara izin var. Adıyla ve kurumsal sürümü belirtilerek, çünkü «yapay zekâ serbest» bir kural değildir.
• İçine ne girmez. Müşterilerin ya da çalışanların kişisel verileri, sağlık verileri, parolalar ve gizlilik hükmü altındaki kod veya sözleşmeler.
• Kim sorumlu kalır. Asistanın ürettiği bir taslaktır. Gönderen kişi yazarıdır.
• Nerede karar veremez. İnsanlara dair hiçbir şey — başvurular, değerlendirmeler, dosyalar — biri bakmadan bir modelden çıkmamalıdır.
• Soruyla nereye gidilir. O adres olmadan politika sorulmak yerine görmezden gelinir.

O tek sayfa, kimsenin okumadığı geniş bir yönetmelikten değerlidir ve bir öğleden sonrada yazılır.