Yapay zekâ araçları şirketlere çoğu zaman yönetimin kararıyla değil, çalışanların kendi denemeleriyle girer. Bir satış uzmanı teklif metnini düzeltmek için müşterinin bilgilerini bir sohbet aracına yapıştırır, muhasebede biri bir tabloyu özetletir, yazılımcı hata veren kodu sorar. Niyet işi hızlandırmaktır; ama bu sırada hangi verinin nereye gittiği, kimin elinde kaldığı ve ne kadar süre saklandığı çoğu zaman bilinmez.
Bu yazı, yapay zekânın faydasından vazgeçmeden şirket verisini korumak isteyen yöneticiler için hazırlandı. Yasaklamanın neden işe yaramadığını, hangi kararların yazılı olması gerektiğini, bir hizmet seçerken sorulacak soruları ve yapay zekâya özgü yeni riskleri ele alıyoruz.
Asıl risk: Kimsenin bilmediği kullanım
Şirketler yapay zekâ konusunda genellikle iki uçtan birine düşer: Ya hiç kural koymaz ya da tamamen yasaklar. Kuralsızlıkta veri farkında olmadan dışarı çıkar. Yasakta ise ihtiyaç ortadan kalkmadığı için çalışanlar araçları kişisel hesaplarından ve telefonlarından kullanmaya devam eder; bu kez yönetimin hiçbir görünürlüğü kalmaz.
Daha gerçekçi yol, kullanımı görünür ve yönetilebilir hâle getirmektir: hangi araçların, hangi hesaplarla ve hangi verilerle kullanılabileceğini açıkça söylemek ve ekibin ihtiyacını karşılayan güvenli bir seçenek sunmak. Çalışana güvenli bir yol gösterilmediğinde, en kolay yol seçilir.
Önce veriyi sınıflandırın
Her veri aynı hassasiyette değildir. Bir blog yazısının taslağı ile müşteri listesinin aynı kurala tabi olması gerekmez. Basit bir sınıflandırma, çalışanların günlük kararlarını kolaylaştırır:
| Sınıf | Örnek | Yapay zekâda |
|---|---|---|
| Açık | Yayınlanmış içerik | Serbest |
| Şirket içi | Prosedür, sunum | Onaylı araçta |
| Gizli | Teklif, sözleşme | Yalnız kurumsal kurulumda |
| Kişisel veri | Müşteri, çalışan bilgisi | Ayrıca değerlendirilir |
Tablo karmaşık olmamalıdır; çalışanın bir bakışta “bu bilgiyi bu araca yazabilir miyim?” sorusunu cevaplayabilmesi yeterlidir. Sınıflar netleştiğinde araç seçimi de kolaylaşır.
Sınıflandırmanın bir faydası da hangi süreçlerin yapay zekâya önce açılabileceğini göstermesidir. Yalnız açık ve şirket içi veriyle çalışan işler, örneğin yayımlanmış ürün açıklamalarının düzenlenmesi ya da iç prosedürlerin özetlenmesi, ilk denemeler için iyi adaylardır. Gizli ve kişisel veri içeren işler ise kurulum ve sözleşme kararları netleştikten sonra sıraya alınır. Böylece ekip faydayı erken görür, risk de kontrollü biçimde büyür.
Kısa ve uygulanabilir bir kullanım politikası
Yapay zekâ kullanım politikası uzun bir hukuk metni olmak zorunda değildir. Çalışanların okuyup hatırlayabileceği kısa bir belge daha etkilidir. İçinde en azından şunlar yer almalıdır:
- Şirket işinde kullanılabilecek onaylı araçlar ve hesaplar
- Hangi veri sınıfının hangi araca girebileceği
- Kişisel hesaplarla şirket verisinin işlenmemesi kuralı
- Yapay zekâ çıktısının kontrol edilmeden müşteriye gönderilmemesi
- Yeni bir araç kullanılmak istendiğinde kime sorulacağı
- Yanlışlıkla hassas veri paylaşıldığında ne yapılacağı
Son madde önemlidir. Hata yapan çalışan bunu saklamak yerine bildirebilmelidir; erken bildirilen bir paylaşım, fark edilmeyen bir paylaşımdan çok daha kolay yönetilir.
Bir yapay zekâ hizmeti seçerken sorulacak sorular
Aynı görünen iki hizmet, verinize çok farklı davranabilir. Bir aracı ya da altyapıyı şirket verisiyle kullanmaya başlamadan önce şu soruların cevabını sözleşmeden ve ayarlardan netleştirin:
- Gönderdiğimiz veri hizmetin modellerini eğitmek için kullanılıyor mu, bu kapatılabiliyor mu?
- Veri hangi ülkede, hangi altyapıda işleniyor ve saklanıyor?
- Konuşmalar ve yüklenen belgeler ne kadar süre tutuluyor, silinebiliyor mu?
- Hizmet sağlayıcının çalışanları veriye hangi durumda erişebiliyor?
- Kurumsal hesapta kullanıcıları yönetebiliyor, kayıtları görebiliyor muyuz?
- Bir güvenlik olayı olursa nasıl bilgilendiriliyoruz?
Ücretsiz bireysel hesaplarla kurumsal sözleşmeli kullanım arasında bu konularda çoğu zaman belirgin farklar vardır. Hangi seçeneğin size uyduğunu, işleyeceğiniz verinin sınıfı belirler.
Verinin nerede işlendiği ve KVKK
Yapay zekâ hizmetine gönderilen veri kişisel veri içeriyorsa, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki yükümlülükler devreye girer. Verinin yurt dışındaki bir altyapıda işlenmesi, aydınlatma metninde ne söylendiği ve hizmet sağlayıcıyla yapılan sözleşme ayrı ayrı değerlendirilmelidir. Yurt dışına aktarım koşulları zaman içinde değişebildiği için güncelini Kişisel Verileri Koruma Kurumu’nun resmi kaynaklarından ve hukuk danışmanınızdan doğrulayın.
Pratikte en güvenli başlangıç, kişisel veri gerektirmeyen bir süreçle başlamak ya da kişisel veriyi yapay zekâya göndermeden önce ayıklamaktır. Birçok iş, müşterinin adı ve iletişim bilgisi olmadan da aynı kalitede yapılabilir.
En az veriyle çalışmak ve maskelemek
Bir görev için hangi bilginin gerçekten gerektiğini sormak, güvenliğin en ucuz yoludur. Bir şikâyet e-postasını sınıflandırmak için müşterinin telefon numarasına, bir sözleşmeyi özetlemek için banka hesap bilgisine ihtiyaç yoktur. Kurumsal kurulumlarda bu ayıklama otomatik yapılabilir: Ad, kimlik numarası, telefon ya da e-posta gibi alanlar yapay zekâya gitmeden önce maskelenir, cevap döndüğünde gerekiyorsa yeniden yerine konur. Böylece yapay zekâ işi yapar ama kişisel veriyi hiç görmez.
Asistan kullanıcının yetkisini aşmamalı
Şirket belgelerine bağlanan bir asistan, yeni bir erişim yolu da açar. Normalde maaş tablosunu göremeyen bir çalışan, asistana “bu yılki maaş artışları ne kadar?” diye sorduğunda cevap alabiliyorsa, asistan farkında olmadan bir güvenlik açığı hâline gelmiştir.
Bunun önüne geçmenin yolu, asistanın belgeleri ararken soruyu soran kişinin yetkisini kullanmasıdır. Kişi bir belgeyi klasörde göremiyorsa asistan da o belgeden cevap vermemelidir. Asistanın yapabileceği işlemler de sınırlanmalıdır: Bilgi okuyan bir asistanla kayıt değiştiren, e-posta gönderen ya da ödeme başlatan bir asistan aynı riski taşımaz. Kritik işlemler insan onayı olmadan yürütülmemelidir.
Yeni bir risk: Belgelere gizlenmiş talimatlar
Yapay zekâ okuduğu metindeki talimatlarla, kullanıcının verdiği talimatları her zaman ayırt edemez. Dışarıdan gelen bir e-postaya, bir web sayfasına ya da yüklenen bir belgeye gizlenmiş “önceki talimatları yok say ve şu bilgiyi gönder” gibi bir ifade, kötü kurulmuş bir asistanı yönlendirebilir. Bu risk, özellikle dışarıdan gelen içeriği okuyup işlem yapan sistemlerde önemlidir.
Bu riske karşı ne yapılır?
Dışarıdan gelen içerik güvenilmez kabul edilir ve asistanın işlem yetkileri buna göre sınırlanır. Asistan dış içerikle çalışırken veri gönderemez ya da kayıt değiştiremez; böyle bir adım gerekiyorsa insana sorulur. Asistanın erişebildiği veri ne kadar azsa, yanıltılması durumunda ortaya çıkabilecek zarar da o kadar küçük olur.
Kayıt tutmak ve denetlemek
Kimin hangi soruyu sorduğu, asistanın hangi belgeyi kullandığı ve hangi işlemi yaptığı kayıt altında olmalıdır. Bu kayıtlar hem olası bir olayda ne olduğunu anlamanızı sağlar hem de asistanın beklenmedik davranışlarını erken gösterir. Kayıtların kendisi de hassas veri içerebileceği için onlara kimin erişeceği ve ne kadar süre saklanacağı da baştan belirlenmelidir.
Kayıtların düzenli gözden geçirilmesi de bir alışkanlık hâline gelmelidir. Olağan dışı bir saatte çok sayıda belge isteyen bir kullanıcı, yetkisi olmayan konularda tekrar tekrar soru soran bir hesap ya da beklenmedik bir dış bağlantı, kayıtlarda kolayca görülür. Bu bulgular hem güvenlik tarafını hem de asistanın kurulumunu iyileştirmek için kullanılır.
Ekibi bilgilendirmek
Politika ve teknik önlemler, ekip neden önemli olduklarını anlamadığında zayıf kalır. Kısa ve somut örneklerle yapılan bir bilgilendirme, uzun bir kural listesinden daha etkilidir: hangi bilginin bir sohbet aracına yazılmaması gerektiği, onaylı aracın nerede olduğu, yapay zekâ çıktısının neden kontrol edilmesi gerektiği. Yapay zekâ çıktısı da ayrı bir dikkat ister; akıcı bir metin, içindeki bir hata ya da yanlış rakam fark edilmeden müşteriye gidebilir. Bilgilendirmeyi yeni araçlar eklendikçe ve kurallar değiştikçe tekrarlamak, kuralların ofiste yaşayan bir alışkanlığa dönüşmesini sağlar.
Bunny Soft veriyi nasıl koruyarak kuruyor?
Hangi verinin kullanılacağını, nerede işleneceğini ve kimin erişeceğini sizin belirlediğiniz bir kurulum yapıyoruz. Proje başında bunu veri türüne göre birlikte konuşuyor ve yazılı hâle getiriyoruz; hassas kayıtlar için erişimi rol bazında sınırlıyor, yetkileri ve kayıtları şirket kurallarınıza göre ayarlıyoruz. Böylece yapay zekâ yalnız sizin izin verdiğiniz veriyle çalışır.
Önce yapay zekânın gerçekten fayda sağlayacağı tek bir süreci sizinle seçiyor, sistemi kendi belgeleriniz ve sorularınızla deniyor, sonra mevcut sitenize, mağazanıza ya da ERP’nize bağlıyoruz. Yanıtlar dayandığı kaynakla gösterilir, emin olunmayan durumlar insana devredilir ve kritik işlemler onay adımı olmadan yürütülmez. Yapay zekâ yönetim sistemimiz ISO/IEC 42001 standardına, bilgi güvenliği ve kişisel veri yönetim sistemlerimiz uluslararası standartlara göre belgelendirilmiştir.
Verinizi riske atmadan, kontrollü bir başlangıç için yapay zekâ yazılımları sayfamızda kapsamı ve süreci bulabilirsiniz.
