Gölge yapay zekâ: tespit yöntemleri ve envanter kurulumu

BÖLÜM 1Tanım ve yasağın geri tepme mekanizması

Gölge yapay zekâ, çalışanların kurumsal onay, tedarikçi değerlendirmesi ve teknik yapılandırma süreçlerinden geçmeden kendi tercihleriyle kullandığı yapay zekâ araçlarının bütününü ifade eder. Kişisel Verileri Koruma Kurumu, iş yerlerinde üretken yapay zekâ araçlarının kullanımına ilişkin dokümanında bu başlığı doğrudan kavramsallaştırmakta ve söz konusu kullanımın kurumsal düzeyde izlenmesinin ve yönetilmesinin zorlaştığını tespit etmektedir.[1]

Kavramın gölge bilgi teknolojileri kavramından ayrılan iki özelliği bulunmaktadır. Birincisi, giriş engelinin fiilen sıfır olmasıdır: bir çalışanın üretken yapay zekâ aracını kullanmaya başlaması için kurulum yapması, yönetici hakkı istemesi veya cihazına yazılım indirmesi gerekmez; tarayıcı ve kurumsal e-posta adresi yeterlidir. İkincisi, faaliyetin doğası gereği veri dışarı akışlı olmasıdır. Gölge bir proje yönetimi aracı çoğu zaman yalnızca üstverinin dışarı çıkmasına yol açarken, gölge bir üretken yapay zekâ aracına girilen istem, çalışanın o an elindeki en hassas belgenin tam metnini içerebilir.

Bu iki özellik, kuruluşların ilk refleksi olan topyekûn yasağın neden beklenen sonucu vermediğini de açıklamaktadır. Onaylı bir alternatif sunulmadan uygulanan yasak, çalışanın karşılaştığı işi ortadan kaldırmaz; yalnızca aracın kurumsal cihaz ve kurumsal ağ dışında kullanılmasına yol açar. Bu noktadan sonra kuruluşun elinde ne ağ kaydı, ne denetim izi, ne de veri kaybı önleme kontrolü kalır. Kısıtlamanın kendisi yanlış değildir; kısıtlamanın alternatifsiz uygulanması yanlıştır.

Envanterin politikadan önce gelmesinin nedeni de budur. Kapsamı bilinmeyen bir politika, hangi araçlara uygulanacağı belirsiz bir taahhüttür ve denetim karşısında kanıt üretmez. 6698 sayılı Kanun bakımından veri sorumlusunun yükümlülükleri, işlemenin varlığından doğar; kuruluşun işlemeden haberdar olup olmaması yükümlülüğü ortadan kaldırmaz.[2]

BÖLÜM 2Altı risk kategorisi

Gölge yapay zekâ kullanımının yarattığı riskler tek bir başlık altında toplanamaz. Her kategorinin farklı bir sahibi, farklı bir tespit yolu ve farklı bir giderim yöntemi bulunduğundan ayrı ayrı ele alınmaları önerilmektedir.

BÖLÜM 3Tespit yöntemi bir: ağ ve güvenlik kayıtları

İlk yöntem, kuruluşun hâlihazırda ürettiği kayıtların yeniden okunmasına dayanır ve yeni bir yatırım gerektirmez. Veri kaynağı olarak vekil sunucu kayıtları, yeni nesil güvenlik duvarı oturum kayıtları, DNS çözümleme kayıtları, bulut erişim güvenliği aracısı raporları ve uç nokta tespit ve müdahale ürününün ağ telemetrisi kullanılabilir. Sorgu penceresinin en az doksan gün olması önerilmektedir; daha kısa pencereler, üç aylık dönemsel kullanımları ve proje bazlı kullanımları gözden kaçırır.

Sorgulama yapılırken üç ölçüt birlikte kaydedilmelidir: benzersiz kullanıcı veya cihaz sayısı, toplam oturum sayısı ve dışarı giden veri hacmi. Bu üçlü, kullanımın niteliğini ayırt etmeyi sağlar. Az sayıda kullanıcı ve yüksek giden hacim, dosya yüklendiğine işaret eder ve bu kalıp, çok sayıda kullanıcının kısa sorgular yazdığı bir kalıptan çok daha yüksek önceliklidir. Aşağıdaki tablo, taramada aranması önerilen alan adlarını kategori bazında göstermektedir.

BÖLÜM 4Tespit yöntemi iki: kart ve abonelik giderleri

İkinci yöntem, ağ taramasının göremediği kişisel cihaz kullanımını büyük ölçüde açığa çıkarır; çünkü çalışan aracın ücretli sürümünü kullanıyorsa bedeli çoğu zaman kuruluşa yansıtılmaktadır. İnceleme kapsamına kurumsal kredi kartı ekstreleri, çalışan masraf beyanları, yazılım bütçesi altındaki tedarikçi ödemeleri ve uygulama mağazası üzerinden yapılan tahsilatlar alınmalıdır. Pencere on iki ay olarak belirlenmelidir; yıllık ödemeli abonelikler daha kısa pencerelerde görünmez.

Bu incelemenin en kritik noktası, ekstrede görünen ismin çoğu zaman hizmetin ismi olmamasıdır. Çok sayıda yazılım sağlayıcısı tahsilatı bir ödeme aracısı üzerinden yapmaktadır; bu durumda ekstrede yalnızca aracının adı görünür ve arkasındaki ürün görünmez. Aşağıdaki tabloda en sık karşılaşılan kalem adları ve bunların nasıl yorumlanması gerektiği gösterilmektedir.

İnceleme sırasında tutarı düşük ve düzenli tekrar eden kalemlerin ayrıca listelenmesi önerilmektedir. Muhasebe süreçlerinde belirli bir eşiğin altındaki kalemler ayrıntılı incelemeye tabi tutulmadığından, bireysel yapay zekâ abonelikleri tam olarak bu bantta birikmektedir.

BÖLÜM 5Tespit yöntemi üç: çalışan anketi

Üçüncü yöntem, ilk iki yöntemin göremediği iki alanı kapatır: kişisel cihazdan yapılan ücretsiz kullanım ve girilen verinin içeriği. Ağ kaydı bir oturumun açıldığını gösterir, o oturumda hangi belgenin yapıştırıldığını göstermez. Bu bilgi yalnızca kullanıcıdan elde edilebilir.

Anketin işe yaraması, tek bir tasarım kararına bağlıdır: cevabın kişiye bağlanamaması. Kimliklendirilmiş bir ankette çalışan, verdiği cevabın disiplin sürecine dayanak yapılabileceğini değerlendirir ve kullanımını olduğundan az beyan eder. Bu yalnızca bir davranış meselesi de değildir; kimliklendirilmiş bir anket, kendisi de bir kişisel veri işleme faaliyeti oluşturur ve bu faaliyet için ayrıca hukuki sebep belirlenmesini ve ilgili kişilerin aydınlatılmasını gerektirir.[2] Kimlik bilgisi toplanmadığında bu ikinci yük de ortadan kalkar.

Bu çerçeve, uygulamada af çerçevesi olarak adlandırılmaktadır ve iki unsuru birlikte içermelidir: geçmişe dönük yaptırım uygulanmayacağının taahhüdü ve anketin amacının kısıtlama değil temin olduğunun açıkça belirtilmesi. İkinci unsur olmadan birinci unsur inandırıcı olmaz. Anketin izleyen sorularda önerilen ifade biçimi aşağıdadır.

1. “Son üç ay içinde işinizle ilgili herhangi bir görev için yapay zekâ tabanlı bir araç kullandınız mı?” Cevap seçenekleri düzenli, ara sıra, bir veya iki kez ve hiç kullanmadım biçiminde verilmelidir. Evet ve hayır ikilisi, seyrek kullanımı hayıra doğru çeker.
2. “Kullandığınız araçları işaretleyiniz. Listede bulunmayanları serbest metin alanına yazabilirsiniz.” Listeye ağ taramasında tespit edilen araçların yanı sıra tespit edilmemiş yaygın araçlar da konulmalıdır; yalnızca bilinenlerin listelenmesi, bilinmeyeni bulma amacını ortadan kaldırır.
3. “Bu araçları hangi görevler için kullandınız?” Metin yazımı, özetleme, çeviri, veri analizi, kod yazımı, sunum hazırlama, toplantı deşifresi, müşteri yazışması taslağı ve görsel üretimi seçenekleriyle sunulmalıdır.
4. “Bu araçlara girdiğiniz içerikte aşağıdakilerden hangileri bulundu?” Seçenekler açıkça sayılmalıdır: müşteri veya tedarikçi kişi bilgileri, çalışan kişi bilgileri, sağlık bilgisi, özgeçmiş, sözleşme metni, fiyat bilgisi, kaynak kodu, iç yazışma, finansal tablo, hiçbiri.
5. “Bu araçlara kurumsal elektronik posta adresinizle mi yoksa kişisel bir adresle mi kaydoldunuz?” Bu soru, hesap yaşam döngüsü riskinin büyüklüğünü ölçer.
6. “Kullandığınız aracın ücretli sürümüne abone misiniz?” Cevap, gider incelemesiyle çapraz doğrulama imkânı verir ve kurumsal karta yansımayan kişisel ödemeleri açığa çıkarır.
7. “Bu araçlara kurumsal cihazdan mı yoksa kişisel cihazdan mı eriştiniz?” Ağ taramasının kör noktasının büyüklüğünü ölçmeye yarar.
8. “Aracın ürettiği çıktıyı kuruluş dışına giden bir belgede kullandınız mı?” Çıktı doğrulama kontrolünün nerede kurulması gerektiğini gösterir.
9. “Bu aracı kullanmanızın nedeni nedir?” Serbest metin alanı olarak bırakılmalıdır. Alınan cevaplar, kurumsal alternatifin hangi işlevi karşılaması gerektiğini belirler ve genellikle envanterin kendisinden daha değerlidir.
10. “Kurumsal olarak sağlanmasını istediğiniz bir yapay zekâ aracı var mıdır?” Bu soru, af çerçevesinin karşılığını verir ve ankete katılım oranını belirgin biçimde artırır.

Anket sonuçları yorumlanırken beyan edilen kullanımın ölçülen kullanımdan düşük çıkması olağandır. Amaç, iki sayının birbirini tutması değil, ağ ve gider verisinde hiç görünmeyen araçların ve her iki yöntemin de göremediği veri kategorilerinin ortaya çıkarılmasıdır.

BÖLÜM 6On dört alanlı envanter şeması

Üç yöntemden gelen bulgular tek bir tabloda birleştirilmelidir. Birleştirmenin kuralı, aynı hizmetin farklı kaynaklardan gelen bulgularının tek kayıtta tekilleştirilmesi, ancak tespit kaynağının alan olarak korunmasıdır. Aşağıdaki şema, hem 6698 sayılı Kanun bakımından yükümlülüklerin izlenebilmesi hem de kararların verilebilmesi için asgari kabul edilmelidir.

Envanterin tamamı için ayrıca kayıt düzeyinde tutulması gereken iki üstveri bulunmaktadır: her kaydın sahibi olan isimli kişi ve kaydın son doğrulanma tarihi. Sahipsiz kayıt güncellenmez; tarihsiz kayıt ise denetimde güncelliği gösterilemediği için kanıt değeri taşımaz.

BÖLÜM 7Bulguların kademelendirilmesi

Envanterin doldurulmasıyla iş bitmez; her kaydın bir karara bağlanması gerekir. Üç kademeli bir sınıflandırma, hem karar hızını hem de kararın gerekçelendirilebilirliğini korur.

Alternatifin yeterli sayılabilmesi için üç ölçütü karşılaması önerilmektedir. Birincisi işlevsel denklik: alternatifin, kullanıcının fiilen yaptığı işi karşılaması gerekir; anket sorularından dokuzuncusu bu bilgiyi doğrudan üretir. İkincisi erişim kolaylığı: onay süreci günler süren bir alternatif, pratikte alternatif değildir. Üçüncüsü performans: belirgin biçimde daha yavaş veya daha düşük kaliteli bir alternatif, kullanıcıyı kısa sürede eski aracına döndürür.

BÖLÜM 8Tazeleme döngüsü ve sahiplik

Envanter, bir defalık bir çıktı olarak üretildiğinde yaklaşık bir çeyrek içinde güncelliğini yitirir. Bunun nedeni yalnızca yeni araçların ortaya çıkması değil, mevcut araçların kullanım şartlarını, veri işleme eklerini ve varsayılan yapılandırmalarını değiştirmesidir. Bu nedenle üç aylık bir tazeleme döngüsü önerilmektedir.

Döngünün dışında kalan ancak beklemeksizin güncelleme gerektiren olaylar ayrıca tanımlanmalıdır. Bunlar arasında bir sağlayıcının kullanım şartlarını veya veri işleme ekini değiştirmesi, kuruluşun birleşme veya devralma yoluyla yeni bir bilgi işlem ortamı devralması, yeni bir müşteri sözleşmesinin yapay zekâ kullanımına ilişkin özel hükümler içermesi ve mevzuatta değişiklik olması sayılabilir.

Sahiplik bakımından tek bir kural belirleyicidir: envanterin sahibi bir birim değil, isimli bir kişi olmalıdır. Sahipliğin bilgi teknolojileri ile hukuk birimi arasında paylaştırıldığı yapılarda envanterin güncellenmemesi yaygın bir sonuçtur; çünkü her iki taraf da diğerinin güncelleyeceğini varsaymaktadır. Kişisel Verileri Koruma Kurumu da üretken yapay zekâ araçlarının kullanımına ilişkin dokümanında, kurumsal düzeyde izleme ve yönetim ihtiyacına açıkça işaret etmektedir.[1][3]

EKKaynaklar

Bu sayfadaki her hukuki iddia aşağıdaki birincil kaynaklara dayanır. Bağlantılar yayımlayan makamın kendi sitesine gider.

1. KVKK İş Yerlerinde Üretken YZ — İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı. Kişisel Verileri Koruma Kurumu. Kaynak metin · PDF (Bağlayıcı değil)
2. 6698 sayılı KVKK — Kişisel Verilerin Korunması Kanunu (Kanun No. 6698). Resmî Gazete, 7 Nisan 2016, sayı 29677. Kaynak metin (Bağlayıcı)
3. KVKK Üretken YZ Rehberi (15 Soruda) — Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda). Kişisel Verileri Koruma Kurumu, Yayın No. 113. Kaynak metin · PDF (Bağlayıcı değil)