Yapay Zekâ Kullanımında Kurumsal Sorumluluk ve Veri Gizliliği

Yapay zekâ araçları artık günlük iş akışımızda sık kullanılıyor. Sunum taslaklarını geliştirmek, veri analizi yapmak veya metinleri özetlemek artık çok kolay. Ancak çoğu zaman, bu araçlara yüklenen bilgilerin nerede işlendiği, nasıl saklandığı ve paylaşılabileceği üzerine düşünülmüyor.

Bu yazıda, yapay zekâ kullanımında veri gizliliği ve kurumsal bilinç konusuna odaklanacağız. Amaç, farkındalık oluşturmak ve pratik çözümler sunmak.

Sorun Teknoloji Değil, Verinin Nereye Gittiğini Bilmek

Yapay zekâ araçları bilgisayar programları gibi kolay kullanılabiliyor. Ancak çoğu zaman bulut üzerinden çalıştıkları için verileriniz uzak sunuculara iletiliyor ve orada işleniyor.

Cloud-Based (Bulut Tabanlı) AI Modelleri

Özellikler:

• İnternet üzerinden uzak sunuculara veri gönderilir.
• İşlem bulutta yapılır, sonuç geri gelir.

Avantajları:

• Kurulum gerektirmez.
• Güçlü modellere erişim sağlar.
• Sürekli güncellenir.
• Ölçeklenebilir.

Dikkat Edilmesi Gerekenler:

• Veriler kurum sınırlarını terk eder.
• İnternet bağlantısı gerektirir.
• Veri işleme politikaları sağlayıcıya bağlıdır.
• 2025 Güncellemesi: OpenAI ChatGPT Enterprise/Team, Google Gemini Advanced, Anthropic Claude for Work gibi kurumsal planlar artık varsayılan olarak veriyi model eğitiminde kullanmıyor. Ancak ücretsiz veya bireysel planlarda bu garanti yok.

On-Premise (Kurum İçi) AI Modelleri

Özellikler:

• Model kurumun sunucularına kurulur.
• Veriler kurum içinde kalır.
• İşlem yerel ağda yapılır.

Avantajları:

• Tam veri kontrolü sağlanır.
• KVKK/GDPR uyumluluğu kurum kontrolündedir.
• İnternet kesintilerinden etkilenmez.
• Hassas veriler için uygundur.

Zorlukları:

• Başlangıç maliyeti yüksektir.
• Teknik ekip gerektirir.
• Modelleri güncel tutmak ek kaynak gerektirir.
• Açık kaynak modeller (Llama, Mistral) veya ticari lisanslar (GPT-4 API self-hosted) kullanılabilir.

Hibrit Çözümler

Kurumsal çözümler, bulut tabanlı hizmetleri veri koruma garantisi ile sunar.

Özellikler:

• Veri eğitim amacıyla kullanılmaz.
• KVKK/GDPR uyumluluğu sağlayıcı tarafından garanti edilir.
• Yönetim paneli ve veri saklama politikaları netleştirilmiş olur.

Örnek Durum:

Bir ekip, halka açık bilgiler üzerinde AI aracı kullanabilir. Ancak şirket içi stratejik plan veya hassas veriler, yalnızca kontrol edilen kurumsal çözümlerde kullanılmalıdır. Fark, verinin hassasiyeti ve işleme ortamıdır.

Gerçek Hayattan Öğrenilen Yaklaşımlar

Samsung: Veri Sızıntısı ve Kurumsal Uyanış

2023 yılının başlarında Samsung Electronics’in yarı iletken bölümünde yaşanan veri sızıntısı, yapay zekâ kullanımında kurumsal bilinç eksikliğinin ne kadar maliyetli olabileceğini gösteren en somut örneklerden biri oldu. Bu, bir siber saldırı değil, çalışanların “işimi kolaylaştırayım” düşüncesiyle yaptığı masum görünen ama kritik hatalardan kaynaklandı.

Üç farklı Samsung mühendisi, günlük işlerinde ChatGPT’yi kullanırken şirketin en hassas verilerini farkında olmadan sızdırdı:

• İlk İki Olay: İki mühendis, kodlarında hata ayıklamak ve optimize etmek için Samsung’un tescilli kaynak kodlarını doğrudan ChatGPT’ye yapıştırdı. Bu kodlar, yarı iletken tesis ölçüm veritabanı programlarıyla ilgiliydi. Yani Samsung’un rekabet avantajının temelini oluşturan fikri mülkiyet.
• Üçüncü Olay: Başka bir çalışan, gizli bir şirket toplantısının ses kaydını metin dosyasına dönüştürdü ve özet çıkarması için ChatGPT’ye yükledi. Bu tutanak, iş stratejisi ve gelecek planları içeriyordu.

Hasar: Bu veriler, OpenAI’ın o dönemki politikası gereği model eğitiminde kullanılmak üzere kalıcı olarak saklandı. Yani bilgi “kamuya açık bilgi tabanına” dahil oldu ve geri döndürülemez hale geldi. Rekabet avantajı kayboldu.

Samsung’un Tepkisi:

• ChatGPT’ye yükleme kapasitesi ciddi oranda azaltıldı.
• Şirket, kendi iç yapay zekâ sohbet botunu geliştirme kararı aldı.
• Kapsamlı yapay zekâ kullanım politikaları oluşturuldu.

Kaynak: Bloomberg Technology

Amazon: Proaktif Yaklaşım

Amazon, Samsung’un yaşadığı krizden ders çıkararak daha proaktif hareket etti:

Aldığı Önlemler:

• Çalışanlara net ve anlaşılır yapay zekâ kullanım rehberi sunuldu.
• Hassas bilgilerin genel bulut araçlarına yüklenmesi yasaklandı.
• Yetkilendirilmiş kurumsal AI süreçleri uygulandı.
• Dahili yapay zekâ araçlarına yatırım yapıldı.

Amazon’un yaklaşımı, “yasaklamak” değil “yönlendirmek” üzerine kurulu. Çalışanlar yapay zekâyı kullanabiliyor, ancak hangi verilerin nereye gideceğini biliyorlar.

Kaynak: http://promptguard.fr/en/blog/article/samsung-amazon-chatgpt-employee-data-leaks

Alınması Gereken Önlemler

Bu vakalar bize üç şeyi öğretiyor:

1. Paranoya değil, bilinç: Çalışanları suçlamak yerine, sistemi güvenli hale getirmek gerekiyor.
2. Net politika zorunlu: “Dikkatli olun” yetmiyor. “Şu verileri buraya yükleyebilirsiniz, şu verileri yükleyemezsiniz” denmeli.
3. Teknolojik kontrol şart: Sadece politika yetmiyor, teknik önlemler (veri maskeleme, erişim kontrolü, kurumsal AI araçları) devreye girmeli.

Çalışanların verimlilikten ve teknolojik geliştirmelerin sağlayacağı faydalardan ödün vermeden güvenli çalışabilecekleri kontrollü ortamlar yaratmak.

Hangi Veriler Hassas Sayılır?

Güvenli: Halka açık bilgiler, genel şablonlar, anonim örnekler.

Dikkatli Olun: Ekip içi analizler, proje detayları, bütçe bilgileri.

Kesinlikle Yüklemeyin: Kişisel veriler, müşteri sözleşmeleri, stratejik planlar, özel kaynak kodlar, henüz açıklanmamış mali tablolar.

Kural basittir: Şüphe duyuluyorsa, veri anonim hâle getirilmeli veya yüklenmemelidir.

Pratik Çözümler

Örnek 1: Teklif veya şablon oluşturmak için genel bilgiler kullanın; hassas detayları çıkartın.

Örnek 2: Excel dosyalarını yüklemeden önce hassas sütunları çıkarın veya anonim verilerle çalışın.

Örnek 3: Kod veya algoritma analizi için pseudo-code veya genel örnekler kullanın.

Kurumsal araçlar: Microsoft 365 Copilot, Google Workspace AI veya on-premise çözümler veri dışarı çıkmadan kullanılabilir.

Küçük ekipler: Basit politika dokümanı, “yüklemeden önce sor” kültürü ve anonim örnek kullanımı yeterli olabilir.

Kontrol Listesi

1. Bu bilgiyi paylaşmak kurum için zarar yaratır mı?
2. Kişisel veya hassas bilgi (örneğin TC kimlik, telefon, e-posta, özel isim, adres) içeriyor mu?
3. Kurumsal politikalara uygun mu?

Herhangi bir “hayır” varsa, veri anonim hâle getirilmeli veya genel bir soru hâline getirilmelidir.

Yapay Zekâyı Akıllıca Kullanmak

• AI doğru kullanıldığında verimli bir araçtır.
• Çoğu kullanım güvenlidir, paylaşım öncesi bilinç yeterlidir.
• Kapsamlı yasaklar verimsizlik yaratır, kontrolsüz kullanım ise risk oluşturur.

Sonuç

Altın kural: Şüphe varsa, 5 saniye düşünün ve veri hassasiyetine göre hareket edin.

Yapay zekâ bir araçtır. Doğru kullanıldığında verimliliği artırır ve iş süreçlerini iyileştirir. Ekrana yazdığınız her şeyin ekran görüntüsünü sektördeki rakibinize gönderebilir misiniz? Eğer cevabınız “hayır” ise, o veriyi genel bir AI aracına da yüklememelisiniz.

Samsung’un mühendisleri kötü niyetli değildi. Sadece farkında değillerdi.

Siz farkındasınız. Ve bu, her şeyi değiştirir.

Bu yazı, yapay zekâ kullanımında veri gizliliği konusunda farkındalık oluşturmak amacıyla hazırlanmıştır.