KURUMLARDA YAPAY ZEKA KULLANIMI – KVKK VE GDPR UYUMU
KURUMLARDA YAPAY ZEKA KULLANIMI
KVKK ve GDPR Uyumunu Sağlamak İçin Teknik ve Yönetsel Kontroller
Üretken yapay zekâ araçlarının kurumlarda yaygınlaşması beraberinde Yapay zekâ kullanımının kontrollü ilerlemesi, yönetilebilir olması, regülasyonlara uyumlu olması gibi yönetsel ve teknik isterler de oluşturdu. Bu isterlerin yapılabilmesi için kurumların sorması gereken temel sorular “Yapay zekâ kullanılmalı mı?” değil; “Hangi veriler, hangi modeller üzerinde ve hangi güvenlik kontrolleri altında işlenmeli?” sorusudur.
Birçok kurum bugün ChatGPT, Copilot, Gemini veya benzeri çözümleri kullanıyor. Bu araçlara gönderilen her prompt, aslında bir veri işleme faaliyeti olarak değerlendirilmelidir. Dolayısıyla konu yalnızca bilgi güvenliği değil; aynı zamanda KVKK, GDPR, veri yönetişimi ve kurumsal yapay zekâ yönetişiminin de kapsamına girmiş oluyor. Özellikle GDPR’ın “Privacy by Design” (Madde 25), “Security of Processing” (Madde 32) ve “Data Minimisation” (Madde 5) ilkeleri ile KVKK’nın veri güvenliğine ilişkin yükümlülükleri (Madde 12), yapay zekâ kullanım senaryolarında da dikkate alınmalıdır.
Yapay zekâ politikalarının temelini model seçimi değil, veri sınıflandırması oluşturmalıdır. Kurum içerisinde kullanılan veriler kurum içi sınırlı kullanım, gizli, çok gizli, herkese açık vb. şekilde sınıflandırılabilir. Üretken yapay zekâ sistemlerine gönderilebilecek veri seviyesi, bu sınıflandırmaya göre politikalarda açıkça tanımlanmalıdır. Özellikle; “Sınırlandırılmış” ve “Gizli” seviyesindeki verilerin harici LLM servislerine aktarılması, kurum politikaları tarafından engellenmelidir. Aynı yapay zekâ modeli, herkese açık veriler için uygun olabilirken; kişisel veri, ticari sır, finansal veri veya bankacılık sırrı içeren bilgiler için uygun olmayabilir. Bu nedenle model seçimi, işlenecek verinin sınıflandırmasına göre değerlendirilmelidir.
Prompt Güvenliği Veri Güvenliğinin Parçası Olmalı
Kurumda dosya transferleri, endpointler denetlenirken, prompt içeriklerini gözden kaçabiliyor. Promptlarda; Kişisel veriler, API Key, Secret Key, OAuth Token SSH Private Key, Sertifikalar ve Private Certificate, Database Connection String, Production logları, Müşteri kayıtları, Kaynak kod içerisinde bulunan erişim bilgileri gibi kritik verilerin çıkması engellenmelidir. Tokenization, Masking, Pseudonymization, Anonymization gibi teknikler uygulanarak veri, model ile paylaşılmalıdır. Bunun yanında Prompt Injection, Indirect Prompt Injection, Prompt Leakage ve Jailbreak gibi LLM’e özgü saldırı senaryoları da değerlendirilmeli, testleri yapılmalıdır. Sistem promptlarının ve bağlam bilgilerinin yetkisiz şekilde açığa çıkması engellenmelidir.
DLP Kuralları Yapay Zekâ İçin Özelleştirilmeli
DLP kuralları kurumlarda genelde; network(e-posta) ve endpointleri (web yüklemeleri) denetlemek için tasarlanıyor. Kurumlar birbirleriyle iş süreçleri gereği gün içerisinde birçok veri paylaşımı yapmaktadır, bu nedenle DLP incidentlarını daha kolay yönetmek için veya üst yönetim kararı kaynaklı olarak da olabilir, thresholdlar yüksek tutulabiliyor.
DLP kurallarında yapay zeka sitelerine özel olarak belirleyeceğiniz domainleri endpoint olacak şekilde seçip, kurumunuzdaki kurallara benzer veya aynı olacak şekilde kural yazabilir ve thresholdları düşük tutabilirsiniz. LLM‘lere yüklenecek dosya ve resim boyutlarına (büyük veri çıkışına) kısıtlama yapılabilir, dosya yüklemeleri tamamen kapatılabilir veya bazı uzantılı dosyaların yüklenmesi engellenebilir (.sql, .key, .json vb.). Yapay zeka tüm kurum tarafından kullanılmıyor sadece belirli ekiplerce kullanılıyorsa hedef grup o gruplar seçilebilir, kurallar birden fazla olabilir ve özelleştirilebilir. Örneğin aşağıdaki içerikler prompt seviyesinde tespit edilmelidir:
- Kimlik numaraları
- Kredi kartları
- API Key’ler
- AWS Access Key
- Azure Secret
- JWT Token
- Private Key
- Source Code
- SQL Connection String
- Müşteri bilgileri
Yapay Zekâ Etiği Sadece Bir Politika Değildir, Bir Yönetişim Modelidir
Kurumlarda etik kullanım genellikle “AI Etik İlkeleri” dokümanı yayımlanarak çözülebileceği düşünülür, oysa etik; yalnızca yazılı kurallarla değil, süreçler ve teknik kontrollerle sürdürülebilir hale gelir.
Kurumsal yapay zekâ kültürü oluşturmak için prensipler benimsenmelidir:
- AI sistemleri karar verici değil, karar destek mekanizması olarak kullanılmalıdır.
- Yapay zekâ çıktıları kritik süreçlerde mutlaka insan tarafından doğrulanmalıdır.
- Kullanılan modeller, veri kaynakları ve kullanım amaçları envanter altında tutulmalıdır.
- Her AI kullanım senaryosu için veri sahibi (Data Owner) ve sistem sahibi (Asset Owner) tanımlanmalıdır.
- Yapay zekâ kullanımına ilişkin risk değerlendirmesi, bilgi güvenliği ve hukuk ekiplerinin katılımıyla gerçekleştirilmelidir.
- Kullanıcıların kullandığı AI servisleri düzenli olarak izlenmeli ve Shadow AI kullanımı tespit edilmelidir.
Çalışanların BT biriminin bilgisi ve onayı dışında kullandıkları üretken yapay zekâ servisleri (Shadow AI), kurum farkında olmadan veri sızıntılarına ve regülasyon ihlallerine neden olabilir. Bu nedenle yalnızca onaylı AI servislerinin kullanılmasına izin verilmeli, yetkisiz kullanımlar sürekli izlenmeli ve raporlanmalıdır. Etik, yalnızca ayrımcılığı önlemek anlamına gelmez; hesap verebilirlik (Accountability), şeffaflık (Transparency), izlenebilirlik (Traceability) ve insan gözetimi (Human Oversight) ilkelerinin süreçlere entegre edilmesini de kapsar.
AI Uyumu Olmadan KVKK ve GDPR Uyumu Sağlanamaz
KVKK ve GDPR uyumluluğu için yönetişim bileşenlerinin oluşturması gerekir:
- Yapay zekâ kullanım politikası
- Veri sınıflandırma standardı
- AI Risk Assessment süreci
- AI Varlık Envanteri
- Model onay mekanizması
- Prompt güvenliği standartları
- DLP ve CASB kuralları
- Kullanıcı farkındalık eğitimleri
- Sürekli denetim ve loglama
- Shadow AI tespit mekanizmaları
Bu yapı oluşturulmadığında, teknik olarak güvenli görünen bir AI kullanımı bile KVKK ve GDPR açısından ciddi ihlallere neden olabilir.
AI Governance; yapay zekâ sistemlerinin güvenli, etik, izlenebilir ve regülasyonlara uygun şekilde yönetilmesini sağlayan yönetişim modelidir. Bu nedenle yalnızca teknik güvenlik kontrolleri değil; rollerin tanımlanması, risk yönetimi, envanter süreçleri ve sürekli denetim mekanizmaları da AI yönetişiminin ayrılmaz parçalarıdır. Her yeni yapay zekâ kullanım senaryosu devreye alınmadan önce bilgi güvenliği, hukuk, KVKK, ilgili iş birimi ve veri sahibinin katılımıyla risk değerlendirmesi yapılmalı; veri sınıflandırması, modelin barındırıldığı lokasyon, veri saklama politikaları ve üçüncü taraf riskleri birlikte değerlendirilmelidir.
AI Governance Uluslararası Standartlarla Desteklenmelidir
Yapay zekâ yönetişimi yalnızca kurum içi politikalarla sınırlı kalmamalı, uluslararası kabul görmüş standart ve çerçeveler esas alınarak tasarlanmalıdır. ISO/IEC 42001 Yapay Zekâ Yönetim Sistemi Standardı, kurumların yapay zekâ sistemlerini planlaması, risklerini yönetmesi, sorumlulukları tanımlaması, yaşam döngüsünü izlemesi ve sürekli iyileştirmesi için kapsamlı bir yönetim modeli sunmaktadır. Bunun yanında NIST AI Risk Management Framework (AI RMF); yapay zekâ kaynaklı risklerin belirlenmesi, değerlendirilmesi ve yönetilmesi için rehberlik sağlarken, OWASP Top 10 for LLM Applications ise Prompt Injection, Sensitive Information Disclosure, Supply Chain Risk, Excessive Agency ve System Prompt Leakage gibi büyük dil modellerine özgü güvenlik risklerine dikkat çekmektedir. Kurumların AI yönetişim süreçlerini oluştururken bu standart ve rehberleri referans alması, hem teknik güvenliği hem de regülasyon uyumunu önemli ölçüde güçlendirecektir.
Sonuç
Üretken yapay zekâ güvenliği, yalnızca hangi modeli kullandığınızla ilgili değildir; hangi verinin, hangi amaçla, hangi kontroller altında işlendiğiyle ilgilidir.
Başarılı kurumlar yapay zekâyı yasaklayanlar değil; veri sınıflandırmasını yapan, teknik kontrolleri uygulayan, etik kullanım kültürünü oluşturan ve AI yönetişimini kurumsal süreçlerinin bir parçası haline getiren kurumlar olacaktır. Önümüzdeki dönemde güvenlik ekiplerinin görevi yalnızca yapay zekâ kullanımını denetlemek değil; AI Governance mimarisini tasarlamak ve sürdürülebilir hale getirmek olacaktır.
