Hızlı cevap: Çalışanların bir yapay zekâ sohbet botuna yapıştırdığı sözleşme, müşteri listesi ya da kaynak kodu, kurumun kontrolünden çıkan bir veri sızıntısıdır. Bulut tabanlı bir asistan, girdiğiniz metni kendi sunucularında işler; sağlayıcının sözleşmesine, veri saklama süresine ve modelin eğitiminde kullanılıp kullanılmadığına bağlı olarak bu bilgi başkalarının eline geçebilir. Güvenli kullanımın özü şu: hangi verinin girilebileceğini net bir politikayla tanımlayın, kişisel ve ticari sır niteliğindeki bilgiyi kamuya açık botlara yazmayın, kurumsal (veri-işleme sözleşmeli) ya da yerel çalışan modelleri tercih edin ve çalışanları eğitin. Yasak koymak yerine güvenli bir yol açmak, gölge kullanımı da azaltır.

Bir pazarlama uzmanı sunum hazırlarken çeyrek dönem rakamlarını, bir yazılımcı bir hatayı çözmek için özel kaynak kodunu, bir avukat bir sözleşme taslağını sohbet botuna yapıştırıyor. Her biri işini hızlandırmak istiyor; hiçbiri bilerek veri sızdırmıyor. Ama toplamda ortaya, kurumun hiç görmediği bir dışa veri akışı çıkıyor. Buna gölge yapay zekâ deniyor ve bugün pek çok kurumda en sessiz veri sızıntısı kanalı bu.

Sorun tam olarak ne

Kamuya açık bir yapay zekâ asistanına yazdığınız her şey, sağlayıcının altyapısında işlenir. Bunun üç ayrı riski var. Birincisi, veri sağlayıcının sunucularında bir süre saklanır ve bir ihlal yaşanırsa açığa çıkabilir. İkincisi, bazı hizmetlerde girdiğiniz metin modelin geliştirilmesinde kullanılabilir. Üçüncüsü, kişisel veri söz konusuysa, veriyi yurt dışındaki bir sağlayıcıya aktarmak KVKK açısından ayrı bir yükümlülük doğurur.

Riskin büyüklüğü, ne yazdığınıza bağlı. Genel bir metni özetletmek düşük risklidir; müşteri kişisel verisini, tıbbi kaydı, kaynak kodunu ya da bir sözleşmeyi yapıştırmak yüksek risklidir. Ayrımı çalışanların sezgisine bırakmak, işte tam da sızıntının başladığı yerdir.

Yasak işe yaramıyor, çünkü

Birçok kurumun ilk refleksi yapay zekâ araçlarını tümden yasaklamak oluyor. Pratikte bu nadiren çalışır: çalışanlar aracı kişisel hesaplarından, telefonlarından kullanmaya devam eder ve kurum artık ne olup bittiğini hiç göremez. Yasak, gölge kullanımı yok etmez, sadece görünmez kılar.

Daha etkili yaklaşım, güvenli bir yol açmaktır: onaylı bir kurumsal araç, net bir kullanım politikası ve kısa bir farkındalık eğitimi. İnsanlar güvenli ve kolay bir seçenek olduğunda, riskli olanı tercih etmez.

Hangi veri nereye

Veri türü Kamuya açık bot Kurumsal/veri-işleme sözleşmeli Yerel/offline model
Genel, kamuya açık metin Uygun Uygun Uygun
İç doküman, taslak Riskli Uygun Uygun
Müşteri kişisel verisi Yapmayın Koşullu (KVKK) Tercih edilen
Ticari sır, kaynak kod Yapmayın Koşullu Tercih edilen
Sağlık, finans, hukuk verisi Yapmayın Koşullu Tercih edilen

Tablonun verdiği mesaj basit: hassasiyet arttıkça, verinin kurumun kontrolünden çıkmadığı bir seçeneğe doğru kayın.

Yerel modeller neden fark yaratıyor

Son yılların en önemli gelişmelerinden biri, güçlü dil modellerinin artık kurumun kendi sunucusunda, internete hiç çıkmadan çalışabilmesi. Bu yaklaşımda veri fiziksel olarak kurumdan ayrılmaz; ne bir sağlayıcının sunucusunda saklanır ne de model eğitiminde kullanılır. Kişisel veri ve ticari sır yoğun sektörlerde bu, uyum ve gizlilik açısından belirleyici bir avantaj. DSET'in bu konudaki yaklaşımını yerel ve offline yapay zekâ, egemenlik ve gizlilik yazısında ayrıntılandırdık.

Politikayı nasıl kurarsınız

İşe, hangi verinin hangi araca girilebileceğini tanımlayan kısa ve anlaşılır bir kabul edilebilir kullanım politikasıyla başlayın. Bunu bir veri sınıflandırma ve etiketleme çalışmasına bağlayın: gizli etiketli veri kamuya açık araçlara giremez. Kişisel veri söz konusuysa, kullanılan aracın KVKK uyumunu ve varsa yurt dışı aktarım koşullarını değerlendirin; bir bilgi güvenliği ve ISO 27001 danışmanlığı çerçevesi bu kararları düzene sokar. Son olarak çalışanları eğitin; çoğu sızıntı kötü niyetten değil, farkında olmamaktan kaynaklanır.

KAOS ve DSET yaklaşımı

DSET, kurumların yapay zekâ araçlarını güvenli biçimde kullanmasına yardımcı olur: kullanım politikası, veri sınıflandırma ve gerektiğinde kurum içinde çalışan, dışarı veri sızdırmayan modeller. Yerel yapay zekâ motorumuz KAOS bu felsefenin kendisidir; internete çıkmadan, kurumun kendi altyapısında çalışacak şekilde tasarlanmıştır. Amaç, verimlilik için gizlilikten vazgeçmek zorunda kalmamaktır.

Sık sorulan sorular

Sohbet botuna yazdığım şey gerçekten dışarı çıkıyor mu? Kamuya açık bir asistana yazdığınız metin, sağlayıcının sunucularında işlenir ve sözleşmeye göre bir süre saklanır; bazı hizmetlerde model geliştirmede de kullanılabilir. Yani metin cihazınızdan çıkıp bir üçüncü tarafın altyapısına gider. Riskin boyutu ne yazdığınıza bağlıdır; ticari sır ve kişisel veri için bu ciddi bir sızıntıdır.

Kurumsal (ücretli) sürüm kullanmak yeterli mi? Kurumsal sürümler genelde veri saklama ve model eğitimi konusunda daha koruyucu şartlar sunar, bu bir iyileşmedir. Ancak kişisel veri yurt dışına aktarılıyorsa KVKK yükümlülükleri sürer. En yüksek gizlilik gereken durumlarda, verinin kurumdan hiç ayrılmadığı yerel modeller daha güvenli bir seçenektir.

Çalışanlarımı nasıl ikna ederim? Yasakla değil, kolaylıkla. İnsanlar aracı işlerini hızlandırdığı için kullanıyor; güvenli ve pratik bir alternatif sunduğunuzda riskli yolu bırakırlar. Net bir politika, onaylı bir araç ve kısa bir eğitim, gölge kullanımı yasaklardan çok daha etkili biçimde azaltır.

Kaynaklar

Kurumunuzda yapay zekâ araçlarının güvenli kullanımını kurmak ya da veri sızdırmayan yerel bir model değerlendirmek için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan danışmanlık sağlıyoruz.