Gizlilik
Kurumsal veriyi yapay zekâya vermek güvenli mi
Sorunun tek bir cevabı yok, çünkü "yapay zekâya vermek" tek bir şey değil. Kurumsal API üzerinden gönderilen veri ile ücretsiz bir sohbet arayüzüne yapıştırılan veri, aynı modele gitse bile bambaşka sözleşmelere tabi. Karar, model seçiminden çok bu farkı bilmekle ilgili.
- Yayın
- Üreten
- Zero-Shot Team
- 3 dk okuma
En büyük risk model değil, hangi kapıdan girdiğiniz
Bir çalışan müşteri listesini ücretsiz bir sohbet arayüzüne yapıştırdığında, o veri sağlayıcının tüketici şartlarına giriyor ve bazı ürünlerde model iyileştirmesinde kullanılabiliyor. Aynı veri kurumsal API'ye gönderildiğinde genelde farklı bir sözleşme geçerli oluyor ve eğitime kullanılmama taahhüdü bulunuyor.
Yani asıl risk çoğu kurumda teknik değil, idari: kimin neyi nereye yapıştırdığını kimse bilmiyor. Bir yapay zekâ politikası yazmak, altyapı kurmaktan önce geliyor.
Politikanın pratik hâli üç satır: hangi araçlar onaylı, hangi veri sınıfları hangi araca girebilir, ve onaysız bir araca veri girmek gerektiğinde kime sorulur.
Sözleşmede bakılacak dört madde
Veri eğitimde kullanılıyor mu. Kurumsal planlarda genelde kullanılmıyor, ama bu varsayılmaz — yazılı olarak teyit edilir.
Veri ne kadar süre saklanıyor. Kötüye kullanım denetimi için kısa süreli saklama yaygın; sıfır saklama seçeneği sunan sağlayıcılar da var ve genelde talep üzerine açılıyor.
Veri fiziksel olarak nerede işleniyor. Bölge seçimi sunan sağlayıcılarda AB bölgesi seçilebiliyor; bu, yurt dışına aktarım sorusunu kolaylaştırıyor ama ortadan kaldırmıyor.
Alt işleyenler kimler. Modeli çalıştıran şirketle bulut sağlayıcısı çoğu zaman farklı; ikisi de veri işleyen konumunda.
KVKK açısından ne değişiyor
Bir dil modeline kişisel veri göndermek, hukuken bir işleme faaliyeti ve bir aktarım. Yani aydınlatma metninizde bu işlemenin yer alması, hukuki sebebinin belirlenmiş olması ve yurt dışına aktarım koşullarının sağlanması gerekiyor.
Pratikte en çok atlanan nokta şu: mevcut aydınlatma metni yazıldığında böyle bir işleme yoktu. Sistem devreye alınmadan önce metnin güncellenmesi gerekiyor.
Sözleşme tarafı da var: sağlayıcıyla veri işleyen sıfatıyla bir sözleşme kurulmalı. Kurumsal planlar bunu genelde sunuyor, ücretsiz ürünler sunmuyor.
Bu bir hukuki tavsiye değil; yapılacak işin haritası. Kişisel veri işleyen bir kurulumda hukuk tarafını bir avukatla yürütmek gerekiyor.
Veriyi hiç göndermemek çoğu zaman mümkün
En basit önlem, gönderilen veriyi küçültmek. Bir sözleşmeyi özetletmek için müşterinin kimlik numarasına ihtiyaç yok; ad ve numaralar gönderim öncesi maskelenebiliyor ve cevap dönünce geri konabiliyor.
İkincisi kapsamı daraltmak: bütün arşivi değil, sorunun ilgili olduğu parçayı göndermek. Erişim katmanı zaten bunu yapıyor — yan faydası maliyet, asıl faydası daha az veri paylaşımı.
Üçüncüsü yetki: erişim katmanı, soruyu soran kişinin göremeyeceği belgeleri hiç getirmemeli. Bu, gizliliğin sağlayıcıyla değil, kurum içiyle ilgili kısmı ve sık atlanıyor.
Kendi sunucunuzda çalıştırmak
Açık ağırlıklı modelleri kendi altyapınızda çalıştırmak, verinin kurum dışına hiç çıkmaması demek. Bazı sektörlerde bu bir tercih değil, zorunluluk.
Bedeli var: donanım, boşta geçen kapasite, güncelleme yükü ve bunu işletecek kişi. Düşük ya da dalgalı hacimde toplam maliyet genelde sağlayıcı API'sinden yüksek çıkıyor.
Ara yol da var: hassas işler kendi sunucudaki küçük modelde, hassas olmayan işler sağlayıcıda. Bu ayrımı yapabilmek için verinin sınıflandırılmış olması gerekiyor — yani yine ilk maddeye, politikaya dönüyoruz.
Kısaca
- Asıl risk model değil, hangi hesap ve hangi sözleşme üzerinden gönderildiği.
- Sözleşmede dört şeye bakın: eğitimde kullanım, saklama süresi, işleme bölgesi, alt işleyenler.
- Kişisel veri gidiyorsa aydınlatma metni güncellenmeli ve veri işleyen sözleşmesi kurulmalı.
- Gönderilen veriyi küçültün: maskeleme, dar kapsam ve kullanıcı yetkisine göre filtreleme.
- Kendi sunucunuzda çalıştırmak veriyi içeride tutuyor ama toplam maliyeti çoğu ölçekte artırıyor.
Sık sorulanlar
- Verimiz modelin eğitiminde kullanılır mı?
- Kurumsal API planlarında sağlayıcılar genelde kullanılmadığını taahhüt ediyor; ücretsiz ve tüketici ürünlerinde şartlar farklı olabiliyor. Bunu varsaymak yerine kullandığınız planın şartlarında yazılı olarak teyit edin — plan değiştiğinde şart da değişebiliyor.
- Çalışanların ChatGPT kullanmasını yasaklamalı mıyız?
- Yasak genelde işe yaramıyor; kullanım görünmez hâle geliyor. Daha etkili olan, onaylı bir kurumsal hesap sağlamak ve hangi veri sınıfının nereye girebileceğini yazmak. İnsanlar bir yol bulacak; o yolu siz açarsanız denetleyebiliyorsunuz.
- Sıfır saklama (zero retention) yeterli mi?
- Verinin sağlayıcıda kalmamasını sağlıyor ama iletim sırasındaki işlemeyi ve aktarım sorusunu ortadan kaldırmıyor. KVKK açısından hâlâ bir aktarım var. Faydalı bir önlem, tek başına bir çözüm değil.