Yapay Zekâ Kullanırken Veri Gizliliği: Ne Gönderilir, Ne Gönderilmez?
Model sağlayıcısına gönderilen her veri, kurum dışına çıkmış veridir. Sınırları baştan çizmek gerekir.
Görsel: Pixabay · Pixabay Lisansı
Temel gerçek
Bir bulut modeline gönderdiğiniz metin, üçüncü bir tarafa aktarılmış veridir. Bu aktarımın hukuki bir dayanağı olmalıdır.
Çalışanların kişisel hesaplarıyla kurumsal veriyi modellere yapıştırması, en yaygın ve en denetimsiz sızıntı biçimidir.
Ne gönderilmemeli?
Kimlik numarası, iletişim bilgileri ve müşteri listeleri.
Sağlık, finans ve özel nitelikli veriler.
Sözleşme metinleri ve fiyat listeleri gibi ticari sırlar.
Kimlik doğrulama bilgileri ve erişim anahtarları.
Maskeleme
Metin analiz edilecekse kişisel alanlar yer tutucularla değiştirilebilir. İsimler ve numaralar maskelenir, analiz sonucu geri eşleştirilir.
Bu yöntem çoğu senaryoda hem uyumu sağlar hem de faydayı korur.
Sağlayıcı seçimi ve sözleşme
Sağlayıcının verinizi model eğitiminde kullanıp kullanmadığını kontrol edin. Kurumsal katmanlar genellikle bu konuda farklı taahhütler sunar.
Veri saklama süresi ve silme talebi prosedürü netleştirilmelidir.
Verinin hangi ülkede işlendiği önemlidir; yurt dışı aktarım ayrı bir hukuki değerlendirme gerektirir.
Aydınlatma ve rıza
Müşteri verisi model ile işlenecekse, aydınlatma metninizde bu işleme ve aktarım açıkça yer almalıdır.
Sohbet asistanı kullanıyorsanız, kullanıcıya konuşmanın nasıl işlendiği bildirilmelidir.
Şirket içi politika
Çalışanlar için net bir kullanım politikası yazın: hangi araçlar kullanılabilir, hangi veri girilemez.
Onaylı bir kurumsal hesap sağlamak, yasaklamaktan daha etkilidir. Yasaklanan araçlar denetimsiz biçimde kullanılmaya devam eder.
Eğitim verin; çoğu ihlal kötü niyetten değil bilgisizlikten doğar.
Teknik önlemler
Uygulamalarınızda modele gönderilen içeriği merkezi bir katmandan geçirin. Böylece filtreleme ve kayıt tek yerde yapılır.
Gönderilen ve alınan içeriğin kaydını tutun; ancak bu kayıtların kendisi de kişisel veri barındırabilir, saklama süresi tanımlanmalıdır.
Kurum içi çalışan modeller
Hassas veriyle çalışan senaryolarda, kendi altyapınızda çalışan modeller değerlendirilebilir.
Yetenek olarak bulut modellerinin gerisinde kalabilirler ancak veri hiç dışarı çıkmaz. Bu takas, bazı sektörlerde zorunludur.
Veri sınıflandırması yapın
Kurumsal veriyi üç seviyeye ayırın: serbest, iç kullanım, gizli.
Her seviye için yapay zekâ araçlarıyla ne yapılabileceğini yazın.
Serbest veriler bulut modellerine gönderilebilir, iç kullanım verileri maskelenerek gönderilebilir, gizli veriler hiç çıkmamalıdır.
Bu sınıflandırma olmadan yazılan politikalar, çalışanlar için uygulanamaz kalır.
Denetim ve kayıt
Uygulamalarınızda modele giden içeriği merkezi bir katmandan geçirin.
Bu katman hem filtreleme hem kayıt işlevi görür; hangi verinin ne zaman dışarı çıktığı sorulduğunda cevap verebilmeniz gerekir.
Kayıtların kendisi de kişisel veri barındırabilir; saklama süresi tanımlanmalı ve süresi dolanlar silinmelidir.
Yılda bir kez, gerçekte hangi verilerin gönderildiğini örnekleyerek denetleyin; politika ile uygulama zamanla ayrışır.
Sık sorulanlar
Çalışanların ücretsiz yapay zekâ araçlarını kullanmasını yasaklamalı mıyım?
Yasak tek başına işe yaramaz; kullanım gizli biçimde sürer. Onaylı bir kurumsal araç sağlamak ve net kullanım kuralları koymak daha etkili bir yaklaşımdır.
Müşteri verisini modele göndermek için rıza gerekir mi?
İşlemenin hukuki dayanağına bağlıdır ve aktarımın aydınlatma metninde yer alması gerekir. Yurt dışına aktarım söz konusuysa ek koşullar devreye girer; bu değerlendirme hukuk desteğiyle yapılmalıdır.
Kurum içinde çalışan model kullanmak gizliliği tamamen çözer mi?
Veri dışarı çıkmadığı için önemli bir risk ortadan kalkar. Ancak erişim yetkileri, kayıt tutma ve model çıktılarının doğruluğu konuları aynen geçerli kalır.
