Amaç ve kapsam
Politika, çalışanların yapay zekâ (YZ) araçlarını güvenli, maliyet bilinciyle ve sorumlu biçimde kullanmasına ilişkin kuralları belirler. Departmanlarca YZ desteğiyle geliştirilen uygulamaların fikir aşamasından kapatılmasına kadar sorumluluk dağılımını tanımlar.
Politika; YZ araçlarını iş amacıyla kullanan tüm çalışanları, öğretmenleri ve Şirket adına hizmet veren dış kaynakları kapsar. YZ desteğiyle uygulama veya otomasyon geliştiren tüm departmanlar ile bu uygulamaların Şirket verilerine ve sistemlerine erişimi de kapsam dahilindedir. Politikanın yürürlüğe girdiği tarihte kullanımda olan uygulamalar da politikaya tabidir.
Temel hükümler
- Politika hızlandırıcıdır, engel değildir.
Süreç adımları riskle orantılıdır. Düşük riskli uygulamalar onay beklenmeksizin aynı gün yayına alınır; onay gerektiren adımlar en geç üç iş günü ile süreye bağlıdır.
Politika, bölüm 4Haritada risk kararı - Geliştiren sahiplenir.
Uygulamayı geliştiren departman; test, yayın, kullanıcı desteği, hata giderme, bakım, maliyet, devir ve kapatma dahil tüm yaşam döngüsünden sorumludur.
Politika, bölüm 5Haritada işletim ve bakım - Kayıt olmaksızın yayın yapılamaz.
Proje kaydı yaklaşık beş dakikada doldurulan kısa bir formdur. Kaydı bulunmayan uygulamalara ortak altyapı, Şirket alan adı, Redshift veya iç API erişimi tanınmaz.
Kayıt şablonu (Ek A)Haritada proje kaydı - Ana veri salt okunur, uygulama verisi kapsüllenir.
Departman uygulamaları Şirket'in ana verisine yalnızca salt okunur API veya view üzerinden erişir; ana sistemlere yazma yetkisi hiçbir koşulda ve istisnasız olarak verilmez. Her uygulama kendi ürettiği veriyi yalnızca kendisine ait ayrı bir veritabanında tutar. Ana veride değişiklik ihtiyacı, ilgili ana sistemin kendi süreçleri üzerinden karşılanır.
Politika, bölüm 9.2Haritada veri mimarisi - Kişisel veriler YZ araçlarına girilmez.
YZ araçları yalnızca Şirket tarafından açılan kurumsal hesaplarla kullanılır. Öğrenci, veli ve çalışan kişisel verileri bu araçlara girilmez.
Veri girişi tablosuPolitika, bölüm 6.3 - Hesaplar talep edildiği gün açılır.
Zorunlu eğitimler (Claude 101, KVKK modülü ve role özel bir eğitim) hesap açılışından itibaren 14 gün içinde tamamlanır.
Eğitim tablosu (bölüm 6.1) - Hazır şablon ile hızlı başlangıç sağlanır.
Varsayılan teknoloji yığını Node.js, Next.js, PostgreSQL ve Docker'dır. Hazır şablonla başlatılan uygulamalarda güvenlik kontrollerinin büyük bölümü otomatik olarak karşılanır. Farklı bir teknoloji kullanımı onaya tabi değildir.
Politika, bölüm 7.1Haritada geliştirme ve Agent Kit - YZ ile üretilen eğitsel içerik öğretmen kontrolünden geçer.
Öğrencilere sunulan YZ çıktıları yayımlanmadan önce ilgili alan öğretmeni tarafından kontrol edilir.
Politika, bölüm 10 - Teknoloji Birimi kolaylaştırıcı ve gözlemcidir.
Şablon ve otomatik kontrolleri sağlar, envanteri izler ve ortak sistemleri korur. Kod incelemesi, dağıtım, izleme ve kullanıcı desteği Teknoloji Birimi'nin sorumluluğunda değildir.
Politika, bölüm 5
Risk sınıflandırması ve yayın kararı
| Hedef kitle | Etki düzeyi | Yayın kararı |
|---|---|---|
| Şirket içi, kişisel veri içermeyen | Düşük | Departman yöneticisi |
| Şirket içi, kişisel veri içeren | Orta | Hedefli değerlendirme |
| B2B müşteriler | Orta-Yüksek | Hedefli değerlendirme |
| Öğrenciler ve veliler | Yüksek | Hedefli değerlendirme ve KVKK görüşü |
Düşük riskli uygulamalar, temel kontrol listesi tamamlandığında herhangi bir onay beklenmeksizin aynı gün yayına alınabilir. Hedefli değerlendirme toplantı zorunluluğu olmaksızın yazılı olarak yürütülür ve en geç üç iş günü içinde sonuçlandırılır; süresi içinde sonuçlanmayan değerlendirmeler doğrudan yönetime iletilir. Değerlendirme bir kez yapılır ve risk profili değişmedikçe sonraki sürümlerde tekrarlanmaz. Dış kullanıcılara açılan bir uygulamanın asgari güvenlik koşullarını sağlamaması halinde Teknoloji Birimi yayını durdurur.
Uygulamanızın hangi yoldan geçeceğini üç soruyla öğrenin.
Yolumu bulYZ araçlarına veri girişi
| Veri türü | Kurumsal hesapla girilebilir mi? |
|---|---|
| Kamuya açık bilgiler, Şirket içi süreç dokümanları, anonimleştirilmiş veriler | Evet |
| Yayımlanmamış soru, sınav ve içerikler; Şirket depolarındaki kaynak kod | Yalnızca yetkili çalışanlar tarafından |
| Finansal veriler, sözleşmeler, ticari sırlar | Departman yöneticisinin yazılı onayı ile |
| Öğrenci, veli, öğretmen ve çalışan kişisel verileri | Hayır |
| Parola, API anahtarı, kart ve hesap bilgileri | Hayır; hiçbir koşulda |
Şirket işleri kişisel YZ hesapları veya kişisel ödeme araçlarıyla yürütülemez. Kişisel verinin sehven bir YZ aracına girilmesi güvenlik olayı olarak değerlendirilir ve aynı gün içinde Şirket olay yönetimi sürecine ve KVKK sorumlusuna bildirilir.
Roller ve sorumluluklar
| Rol | Temel sorumluluk |
|---|---|
| Departman yöneticisi | Bütçe ve bakım zamanını sahiplenir; teknik sorumlu ve yedeği atar; düşük riskli uygulamalarda yayın kararını verir; devri tamamlar. |
| Teknik sorumlu ve yedek | Geliştirme, test, yayın, bakım ve kullanıcı desteğini yürütür; proje kaydını güncel tutar. |
| Veri / sistem sahibi | Salt okunur erişim kapsamını belirler; hedefli değerlendirmelere katılır. |
| KVKK sorumlusu / Hukuk | Kişisel veri işleyen uygulamalar hakkında görüş bildirir. |
| Teknoloji Birimi | Envanteri ve sınır ihlallerini izler; ortak sistemleri korur; dış kullanıcılara açılan güvensiz uygulamaların yayınını durdurur. |
| Yönetim | Politikayı onaylar; ortak servislerin sahipliğini ve kritik uygulamaların destek modelini belirler. |
| Çalışan | Zorunlu eğitimleri tamamlar; veri kurallarına uyar; yalnızca Şirket hesaplarını kullanır. |
Geçiş süreci ve uyum
Politikanın yürürlüğe girdiği tarihte kullanımda olan uygulamalar için aşağıdaki takvim uygulanır:
- 30 gün içindeTüm YZ destekli uygulamalar, otomasyonlar ve kişisel hesaplarla açılmış YZ abonelikleri proje kaydına işlenir; kişisel abonelikler Şirket hesabına taşınır veya kapatılır.
- 60 gün içindeYayındaki uygulamalar için yayın öncesi kontrol listesi tamamlanır; yüksek riskli uygulamalar hedefli değerlendirmeden geçirilir.
- 60 günün sonundaKaydı veya hazırlığı tamamlanmamış uygulamaların ortak altyapı, alan adı ve Şirket verilerine erişimi kapatılır.
Kayıt dışı yayına alınan veya kişisel verileri politikaya aykırı şekilde işleyen uygulamaların erişimi Teknoloji Birimi tarafından derhal durdurulabilir. Tekrarlayan ihlaller, Şirket'in disiplin süreçleri çerçevesinde yönetime iletilir.
Politikanın yürürlük tarihi, onay makamı ve gözden geçirme sıklığı yönetim tarafından belirlenecektir.