Hukuk Bürosu Yapay Zeka Kullanım Politikası: Uygulanabilir Örnek

Kısa cevap: İyi bir hukuk bürosu yapay zeka politikası "yasak" veya "serbest" demez. Veriyi ve işlemi riskine göre sınıflandırır; hangi araçların onaylı olduğunu, neyin hiç yüklenemeyeceğini, çıktının nasıl doğrulanacağını ve olay hâlinde kimin ne yapacağını belirler. Politikanın çekirdeği üç satırdır: risk sınıfı, onaylı araç listesi, çıktı doğrulama kuralı.

Bu şablon büro içi yazılı politikayı bir günde yürürlüğe koymak içindir. Büronun sağlayıcıları, veri envanteri ve müvekkil taahhütlerine göre uyarlanmalıdır.

Neden yazılı politika gerekiyor?

KVKK'nın İş Yerlerinde Üretken Yapay Zeka Araçlarının Kullanımı değerlendirmesi, bu araçların verimlilik sağlarken kullanımın niteliği ve kapsamına bağlı yeni riskler getirdiğini vurgular. Politika yoksa çalışanlar aynı dosya için farklı araç, farklı hesap ve farklı veri paylaşım alışkanlığı kullanır; kurum neyin işlendiğini izleyemez.

Kopyalanabilir politika iskeleti

1. Amaç

Bu politika, yapay zeka araçlarının meslek sırrı, kişisel veriler, müvekkil menfaati ve avukatın mesleki sorumluluğu korunarak kullanılmasını amaçlar.

2. Kapsam

Politika; ortaklar, avukatlar, stajyerler, çalışanlar, danışmanlar ve büro adına kullanılan tüm kişisel veya kurumsal AI hesapları için geçerlidir.

3. Risk sınıfları

• Yeşil: Kamuya açık mevzuat özeti, boş şablon, anonim eğitim örneği.
• Sarı: Maskelenmiş olay özeti, sözleşme maddesi sınıflandırma, kaynaklı emsal araştırma. İnsan kontrolü zorunlu.
• Kırmızı: Kimlik, sağlık, ceza, çocuk, banka verisi; gizli soruşturma; müvekkil stratejisi; otomatik gönderim veya silme. Yazılı yetki ve özel değerlendirme olmadan yasak.

4. Onaylı araç şartları

Bir araç listeye alınmadan önce şu sorular cevaplanır:

• Girdi ve çıktılar hangi amaçla, nerede ve ne kadar süre saklanıyor?
• İçerik model eğitiminde kullanılıyor mu?
• Alt hizmet sağlayıcılar ve yurt dışı aktarım koşulları neler?
• Rol, yetki, MFA, işlem kaydı ve silme imkânı var mı?
• Kaynak, sürüm ve doğrulama izi üretilebiliyor mu?

5. Çıktı doğrulama kuralı

AI çıktısı nihai hukuki görüş değildir. Mevzuat, karar künyesi, karar metni, süre, görev, yetki, delil ve talep sonucu avukat tarafından doğrulanmadan müvekkile veya kuruma gönderilemez.

6. Kayıt ve olay yönetimi

Kritik kullanımda araç adı, tarih, amaç, veri azaltma yöntemi, doğrulanan kaynaklar ve onaylayan kişi kaydedilir. Yanlış kişiye gönderim, yetkisiz erişim veya gizli verinin onaysız araca yüklenmesi halinde kullanım durdurulur; sorumlu kişiye bildirim ve olay değerlendirmesi başlatılır.

Bir sayfalık uygulama tablosu

Soru	Evet ise	Hayır ise
Görev kamuya açık veya anonim veriyle yapılabilir mi?	Devam et	Veriyi azalt veya durdur
Araç büro tarafından onaylı mı?	Şartlarını kontrol et	Kullanma
Sonuç doğuran işlem var mı?	İnsan onayı iste	Salt okunur ilerle
Kaynak açılabiliyor mu?	Metni doğrula	İddiayı kullanma
İşlem kaydı tutuluyor mu?	Dosyaya ekle	Kritik kullanım yapma

İlk 30 günde uygulama planı

1. Kullanılan araçları ve hesapları envanterleyin.
2. Yeşil, sarı ve kırmızı kullanım örneklerini büroya göre belirleyin.
3. Tek bir anonim dosyayla onaylı araç kabul testi yapın.
4. Emsal araştırmasında künye + tam metin şartını zorunlu tutun.
5. Bir olay bildirim kişisi ve erişim kapatma adımı tanımlayın.
6. Politikayı üç ayda bir ve her önemli sağlayıcı değişikliğinde gözden geçirin.

SmartHukuk'u değerlendirirken pazarlama cümlesi yerine 100 puanlık hukuk AI doğrulama protokolünü aynı anonim dosyada uygulayın. Kaynaklı emsal karar araması, belge akışı ve doğrulama izini gerçek görevle test edin.

Politikanın uygulanmasını ölçen beş gösterge

Yazılı politika, ölçülmediği sürece kâğıt üstünde kalır. Üç ayda bir şu beş sayıyı çıkarın:

Gösterge	Nasıl ölçülür	Eşik
Onaysız araç kullanımı	Envanter dışı hesap tespiti	0 olmalı
Kırmızı sınıf veri sızıntısı	Kayıt taraması ve olay bildirimi	0 olmalı
Doğrulanmamış çıktı gönderimi	Kaynak kaydı olmayan çıktı oranı	%0 hedef
Kayıt tutma oranı	Kritik kullanımda kayıt bulunma oranı	%95+
Politika okuma onayı	İmzalı onay veren personel oranı	%100

Bu göstergeler aynı zamanda bir ihlal iddiasında özen yükümlülüğünün yerine getirildiğini gösteren kanıttır.

Politikada en sık atlanan dört madde

1. Stajyer ve dış danışman erişimi. Politika yalnız avukatları kapsayacak biçimde yazıldığında en yüksek risk açık kalır.
2. Ayrılan personelin hesap kapatması. Yapay zeka hesapları çıkış kontrol listesine eklenmelidir.
3. Sağlayıcı sürüm değişikliği. Model veya saklama politikası sessizce değişebilir; üç aylık gözden geçirme buna bağlanmalıdır.
4. Müvekkil bilgilendirmesi. Bazı vekâlet ilişkilerinde yapay zeka kullanımının müvekkile bildirimi ayrıca değerlendirilmelidir.

Sıkça Sorulan Sorular

Çalışan kişisel yapay zeka hesabını kullanabilir mi?

Hayır, çalışan politika ve sağlayıcı şartları incelenmeden kişisel yapay zeka hesabını gerçek dosya verisi için kullanmamalıdır. Kişisel hesaplar kurumsal erişim, saklama ve olay yönetimi kontrollerini zayıflatır; hesap büronun onaylı araç listesinde yoksa risk sınıfı ne olursa olsun kullanılmamalıdır. Yalnızca kamuya açık veya tamamen anonim görevler bu kuralın dışında değerlendirilebilir.

Her yapay zeka çıktısını kaydetmek gerekir mi?

Hayır, her çıktının kaydedilmesi gerekmez; her basit yazım düzeltmesi bu kapsama girmez. Kişisel veri, hukuki araştırma veya sonuç doğuran iş akışlarında kullanılan araç, kaynak ve insan onayı ise izlenebilir olmalıdır; bu, sarı ve kırmızı risk sınıfındaki kullanımlar için özellikle geçerlidir. Kayıt tutma oranı, politikanın uygulandığını gösteren beş göstergeden biridir.

Politika müvekkil onayının yerine geçer mi?

Hayır, büro içi yazılı politika müvekkil onayının yerine geçmez. Politika, çalışanların hangi araçları hangi risk sınıfında kullanacağını düzenleyen iç bir belgedir; somut işleme amacı, hukuki sebep, aktarım ve mesleki yükümlülükler her vekâlet ilişkisinde ayrıca değerlendirilir. Bazı ilişkilerde yapay zeka kullanımının müvekkile ayrıca bildirilmesi gerekebilir.

Politikayı kim onaylamalı ve kim güncellemeli?

Onay yetkisi büro yönetiminde olmalı, güncelleme sorumluluğu ise tek bir isimde toplanmalıdır. Sahipsiz politika, sağlayıcı değişikliklerinden sonra hızla geçerliliğini yitirir; bu nedenle politika üç ayda bir ve her önemli sağlayıcı değişikliğinde gözden geçirilmelidir. Güncelleme tarihini ve sürüm numarasını belgede göstermek sorumluluğu somutlaştırır.

Meslek sırrı bakımından hangi kural mutlak?

Meslek sırrı bakımından mutlak kural, müvekkil sırrının onaysız biçimde üçüncü taraf sistemine aktarılmamasıdır; bu kural risk sınıfı ne olursa olsun geçerlidir ve yazılı yetki ile özel değerlendirme olmadan aşılamaz. Kırmızı sınıftaki kimlik, sağlık, ceza ve müvekkil stratejisi verileri bu kuralın en sık ihlal edildiği alanlardır. Ayrıntı için avukatlar için yapay zeka, KVKK ve meslek sırrı yazısına bakın.

Yapay zeka ile hazırlanan dilekçe reddedilir mi?

Otomatik olarak reddedilmez; reddedilme riski aracın kullanılmasından değil, doğrulanmamış künye ve hatalı hukuki dayanaktan doğar. Bu nedenle politika, çıktı doğrulama kuralı gereği AI çıktısının mevzuat, karar künyesi, süre ve talep sonucu avukat tarafından doğrulanmadan gönderilmesini yasaklar. Değerlendirme için yapay zeka ile yazılan dilekçe reddedilir mi? yazısını inceleyin.

Ajan (etken) sistemler politikada ayrı ele alınmalı mı?

Evet, ayrı ele alınmalıdır. Çok adımlı ve araç çağıran ajan sistemlerinde denetlenecek yüzey büyür; her adımda insan onayı gerekip gerekmediği ve otonomi seviyesi standart tek adımlı araçlardan farklı kurallar ister. Bu nedenle onay kapıları ve kayıt gereksinimleri ayrı bir başlıkta düzenlenmeli; ayrıntı için etken yapay zeka rehberine bakın.

Resmî Kaynaklar

• KVKK: İş yerlerinde üretken yapay zeka araçlarının kullanımı
• KVKK: Üretken yapay zeka ve kişisel verilerin korunması rehberi
• 6698 sayılı Kişisel Verilerin Korunması Kanunu
• 1136 sayılı Avukatlık Kanunu

Son kaynak kontrolü: 26 Temmuz 2026. Bu örnek başlangıç şablonudur; büronun işleyişi, kullandığı sağlayıcılar ve veri envanterine göre uyarlanmalıdır.