Yapay Zekâya Her Bilgi Verilir mi? Asıl Risk Paylaştığımız Verilerde

Yapay zekâ araçları artık yazılım geliştirmeden veri analizine, raporlamadan günlük iş süreçlerine kadar birçok alanda kullanılıyor. Ancak bu teknolojilerden yararlanırken çoğu zaman elde ettiğimiz sonuca odaklanıyor, sisteme hangi bilgileri aktardığımızı yeterince sorgulamıyoruz.

Bana göre yapay zekâ kullanımında dikkat edilmesi gereken en önemli konulardan biri, veri güvenliği ile kullanım kolaylığı arasındaki sınırı doğru belirlemek.

Bir sistemin teknik olarak dosya kabul etmesi, o dosyanın paylaşılmasının güvenli veya uygun olduğu anlamına gelmez. Özellikle kurumsal ortamlarda bu ayrımın bilinçli şekilde yapılması gerektiğini düşünüyorum.

Her Teknik Bilgi Paylaşılmak Zorunda Değil

Yazılım geliştirirken karşılaşılan hataları çözmek amacıyla yapay zekâ araçlarından destek almak oldukça pratik. Ancak kaynak kod, hata kayıtları veya sistem yapılandırmaları paylaşılırken dikkatli olunmalı.

Bir hata mesajının içerisinde veritabanı adresleri, kullanıcı bilgileri, sunucu yolları veya erişim anahtarları bulunabilir. Tek başına önemsiz görünen bazı teknik ayrıntılar bile bir araya geldiğinde sistem altyapısı hakkında hassas bilgiler ortaya çıkarabilir.

Bir problemi çözmek için sistemin bütün ayrıntılarını paylaşmak gerekmez. Çoğu zaman ilgili kod parçasını sadeleştirmek, gizli alanları örnek değerlerle değiştirmek ve hatayı yeniden üreten küçük bir senaryo hazırlamak yeterlidir.

Bu yaklaşım yalnızca güvenlik açısından değil, sorunun daha hızlı ve doğru analiz edilmesi açısından da faydalıdır.

Kurumsal Verilerle Çalışırken Daha Dikkatli Olunmalı

Özellikle şirket ortamında çalışanların bu konuda daha bilinçli hareket etmesi gerektiğini düşünüyorum.

Bir Excel raporu, SAP çıktısı, müşteri listesi, fiyat tablosu veya şirket içi yazışma; yalnızca günlük işlerde kullanılan sıradan bir dosya olarak değerlendirilmemeli. Bu belgeler ticari açıdan hassas bilgiler, kişisel veriler veya kurumun dışarıya açıklamak istemediği operasyonel ayrıntılar içerebilir.

Örneğin bir çalışan, hazırladığı raporu geliştirmek için yapay zekâdan destek almak isteyebilir. Bunun için şirketin gerçek satış rakamlarını, müşteri bilgilerini veya maliyet tablolarını doğrudan sisteme yüklemek zorunda değildir.

Benim önerim, gerçek şirket verilerini paylaşmak yerine örnek, temsili veya tamamen kurgusal verilerle çalışılmasıdır.

Bir raporun formülünü öğrenmek için gerçek müşteri listesini paylaşmaya gerek yok. Müşteri A, Ürün B ve varsayımsal tutarlardan oluşan küçük bir tabloyla aynı formül geliştirilebilir.

Benzer şekilde bir SAP raporunun nasıl analiz edileceğini öğrenmek isteyen çalışan, gerçek malzeme kodları ve stok miktarları yerine kurgusal kayıtlar kullanabilir. Yapay zekâdan aldığı yöntemi, formülü veya kodu daha sonra kendi yetkili çalışma ortamında gerçek verilere uyarlayabilir.

Burada önemli bir ayrıntı var: Sadece şirket adını silmek, veriyi güvenli hâle getirmez. Gerçek fiyatlar, müşteri ilişkileri, ürün kodları veya işlem tarihleri de hassas bilgi taşıyabilir. Bu nedenle örnek verinin gerçekten kurgusal olması veya uygun şekilde anonimleştirilmesi gerekir.

Elbette kurumun onayladığı, gerekli veri koruma ve erişim kontrollerine sahip yapay zekâ sistemleri farklı kullanım imkânları sunabilir. Ancak böyle bir yetkilendirme bulunmuyorsa en güvenli yaklaşım, şirket verilerini harici araçlara aktarmamaktır.

Kişisel Veriler ve Gizlilik Sorumluluğu

Kurumsal bilgilerin yanında kişisel verilerin korunması da ayrı bir önem taşıyor.

Kimlik bilgileri, telefon numaraları, adresler, sağlık kayıtları ve finansal bilgiler gibi veriler kontrolsüz biçimde yapay zekâ sistemlerine aktarılmamalı.

Türkiye'de kişisel verilerin işlenmesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında belirli yükümlülüklere tabidir. Bir işlemin yapay zekâ aracılığıyla gerçekleştirilmesi bu sorumlulukları ortadan kaldırmaz.

Ayrıca verinin yalnızca isim ve soyadı kaldırılarak paylaşılması her zaman yeterli değildir. Diğer alanlardan kişinin veya kurumun yeniden belirlenmesi mümkün olabilir.

Bu nedenle veri maskeleme, anonimleştirme ve veri minimizasyonu kavramlarının birbirinden farklı olduğunu bilmek gerekir.

Ücretli Yapay Zekâ Kullanmak Bütün Riskleri Ortadan Kaldırmaz

Yapay zekâ hizmetlerinin veri güvenliği politikaları birbirinden farklıdır. Kullanılan hesabın bireysel veya kurumsal olması, veri saklama süresi, model eğitimi ayarları ve erişim kontrolleri açısından farklı koşullar oluşturabilir.

Ancak ücretli bir hizmet kullanmak, her türlü bilginin paylaşılabileceği anlamına gelmez.

Özellikle kurumsal kullanımda verinin nerede işlendiği, ne kadar süre saklandığı, hangi tarafların erişebildiği ve hizmetin kurumun güvenlik politikalarına uygunluğu değerlendirilmelidir.

Verinin model eğitiminde kullanılmaması, hiçbir şekilde saklanmadığı veya işlenmediği anlamına gelmez. Bunlar teknik ve hukuki açıdan ayrı konulardır.

Yapay Zekâdan Yararlanırken Verinin Kontrolünü Kaybetmemek

Benim yaklaşımım, yapay zekâdan mümkün olduğunca yararlanırken gerçek veriyi gereksiz yere paylaşmamaktan yana.

Bir Excel formülü, SQL sorgusu, Python betiği veya raporlama yöntemi geliştirmek için çoğu durumda gerçek kurumsal veriye ihtiyaç yoktur.

Problemi kendi cümlelerimizle tarif edebilir, örnek bir veri yapısı oluşturabilir ve çözümün mantığını öğrenebiliriz. Ardından ortaya çıkan yöntemi kendi sistemimizde, gerekli kontrolleri yaparak uygulayabiliriz.

Özellikle şirket çalışanları açısından bu alışkanlığın önemli olduğunu düşünüyorum. Çünkü bilgi güvenliği yalnızca bilgi işlem veya siber güvenlik ekiplerinin sorumluluğu değildir. Kurumsal veriye erişen herkes, o verinin korunmasında sorumluluk taşır.

Sonuç

Yapay zekâ teknolojilerinin iş süreçlerinde önemli kolaylıklar sağladığı açık. Ancak bu kolaylığın, veri güvenliği konusunda dikkatsiz davranmak için gerekçe olmaması gerekiyor.

Benim için temel prensip oldukça net: Yapay zekâya problemi anlatmak gerekir, şirketin bütün verisini vermek değil.

Gerçek bilgileri paylaşmadan da formül geliştirilebilir, kod yazılabilir, rapor tasarlanabilir ve teknik sorunlara çözüm aranabilir.

Önemli olan, elde edilen çözümü kendi çalışma ortamımıza uyarlarken verinin kontrolünü ve kurumun güvenlik kurallarını korumaktır.

Veri güvenliği, yalnızca kullandığımız sistemlerin ne kadar güvenli olduğuyla değil, bizim hangi bilgiyi paylaşmayı tercih ettiğimizle de ilgilidir.

Murat Batuhan

Yazılım, Sistem Güvenliği ve Otomasyon