İş Yerinde Yapay Zeka: Verimlilik mi, KVKK Felaketi mi?

Yapay zeka araçları artık ofislerimizin görünmez çalışanları haline geldi. Ancak, KVKK (Kişisel Verilerin Korunması Kurumu) tarafından yayınlanan Üretken Yapay Zeka ve Kişisel Verilerin Korunması Rehberi, bu “görünmez yardımcıların” aslında şirketiniz için devasa bir veri güvenliği açığı olabileceğini söylüyor.

Şu an bir çalışanınız, şirketinize ait gizli bir müşteri listesini veya bir sözleşme taslağını “daha iyi özetlemesi” için yapay zekaya yüklemiş olabilir mi? Cevabınız “bilmiyorum” ise, büyük bir riskle karşı karşıyasınız demektir.

Yazıya devam etmeden önce, rehberde geçen ve her yöneticinin bilmesi gereken temel terimlere göz atalım:

Temel Kavramlar: Bilmeniz Gerekenler

• Üretken Yapay Zeka (Generative AI): Mevcut verilerden öğrenerek yeni metin, görüntü veya kod oluşturan sistemler.

• Prompt (Komut): Yapay zekaya bir görevi yerine getirmesi için verdiğiniz talimat. (İçerdiği her veri, yapay zekanın eğitim havuzuna düşebilir!)

• Shadow AI (Gölge Yapay Zeka): Şirket yönetiminin bilgisi veya onayı dışında, çalışanların kendi başlarına kullandığı yapay zeka araçları. KVKK ihlallerinin en büyük kaynağıdır.

• LLM (Büyük Dil Modelleri): İnsan benzeri metinler üretebilen, devasa veri setleriyle eğitilmiş algoritmalar.

Rehberdeki Uyarılar 6698 Sayılı Kanun’un Neresinde?

KVKK’nın yayınladığı bu yeni rehber bir tavsiye değil, aslında 6698 Sayılı Kanun’un modern bir yorumudur. İşte eşleşen kritik noktalar:

1. Dürüstlük ve Hukuka Uygunluk (Madde 4)

Rehber, yapay zekanın ürettiği bilgilerin “halüsinasyon” (yanlış bilgi) görebileceğini belirtir. Eğer yapay zeka bir kişi hakkında yanlış veri üretiyorsa, bu durum kanundaki “doğru ve gerektiğinde güncel olma” ilkesini doğrudan ihlal eder.

2. Amaçla Bağlantılı ve Sınırlı Olma (Madde 4)

Yapay zekaya girilen (prompt) her veri, sistem tarafından tekrar işlenebilir. Eğer bir personelin verisini sadece analiz için sisteme girip, o verinin modelin eğitiminde kullanılmasına izin veriyorsanız, “belirli, açık ve meşru amaçlar için işleme” ilkesinden sapmış olursunuz.

3. Veri Güvenliğine İlişkin Yükümlülükler (Madde 12)

Kanun, veri sorumlusuna (yani size) teknik ve idari tedbirleri alma yükümlülüğü yükler. Rehberde vurgulanan DPIA (Veri Koruma Etki Değerlendirmesi) yapılmadan kullanılan her yapay zeka aracı, Madde 12 uyarınca açık bir güvenlik açığıdır ve ağır idari para cezalarına kapı aralar.

4. Aydınlatma Yükümlülüğü (Madde 10)

Bir müşteriyle sohbet eden bir chatbot kullanıyorsanız, o kişinin bir yapay zekayla konuştuğunu ve verilerinin nerede işlendiğini bilme hakkı vardır. Bunu yapmıyorsanız, kanunun en temel maddelerinden birini ihlal ediyorsunuz demektir.

Şirketiniz “Gölge Yapay Zeka” Tehdidi Altında mı?

Pek çok şirket, “Biz kurumsal olarak yapay zeka kullanmıyoruz” diyerek kendini güvende hissediyor. Ancak çalışanlarınız kişisel hesaplarıyla bu araçları iş süreçlerine dahil ediyorsa, veri sızıntısı zaten başlamış olabilir.

• Müşteri dataları yapay zeka havuzuna düştü mü?

• Ticari sırlarınız model eğitimi için kullanılıyor mu?

• Yapay zekanın verdiği hatalı bir karar nedeniyle şirketiniz hukuki olarak sorumlu tutulabilir mi?

Kontrolü Ele Alın: Uzman Desteği Neden Şart?

Yapay zeka rehberine uyum sağlamak sadece bir metin yazmak değildir; bu bir süreç yönetimidir. Şirketinizin veri haritasını çıkarmak, yapay zeka kullanım politikalarını oluşturmak ve çalışanlarınıza eğitim vermek, telafisi mümkün olmayan hataları önlemenin tek yoludur.

Şirketinizi ve verilerinizi güvence altına almak için geç kalmayın.