SearchInform Bilgi Güvenliği Uzmanı Pınar Güneş
Uzun bir raporu birkaç paragrafta özetlemek, dağınık verileri tabloya dökmek, standart bir yazışmayı dakikalar içinde hazırlamak… ChatGPT, Gemini, Copilot ve benzeri araçlar bu işleri çoğu insandan hızlı yapıyor. Yapay zekânın yazdığı kodu günlerce ayıklamak zorunda kalan yazılımcılar itiraz edecektir; yine de gerçek şu ki bu platformlar artık küçük şirketlerde bile günlük iş süreçlerinin parçası. Sorun da tam burada başlıyor. Çalışanlar işlerini hızlandırmak isterken kurumsal verileri, çoğu zaman farkında bile olmadan, bu servislere taşıyor. Yapay zekâ, şirketler için yepyeni bir veri sızıntısı kanalına dönüşmüş durumda. Rakamlar bu tabloyu doğruluyor. Harmonic Security’nin 2025’in ikinci çeyreğinde yaptığı araştırmada, 300’den fazla yapay zekâ uygulamasına gönderilen 1 milyon prompt ve 20 bin dosya incelendi. Sonuç çarpıcı: Promptların %4,37’sinde, yüklenen dosyaların ise %22’sinde hassas içerik vardı. Listenin başında kaynak kod geliyor; onu birleşme ve satın alma planları, finansal modeller, yatırımcı yazışmaları ve kişisel veriler izliyor.
Peki bir çalışan müşteri verilerini ya da şirket içi bir sözleşmeyi kişisel ChatGPT hesabına yüklediğinde şirketi ne bekliyor?
Regülatör yaptırımları ve hukuki riskler
Yönetimlerin aklına ilk gelen risk, doğal olarak regülatör yaptırımları. Raporunu hızlıca bitirmek isteyen bir çalışanın müşteri verilerini kişisel ChatGPT hesabına yüklemesi, kâğıt üzerinde masum görünen tek bir hamleyle birden fazla yükümlülüğü ihlal edebiliyor: verinin amacı dışında kullanılması, hukuki dayanak olmadan üçüncü tarafa aktarılması, yurt dışına aktarım şartlarının atlanması, teknik ve idari tedbirlerin alınmaması… Burada bir ayrımın altını çizmek gerekiyor: Yapay zekânın kişisel veri işleme süreçlerinde kullanılması tek başına hukuka aykırı değil. Hangi platformun kullanılacağı, hangi verilerin işleneceği, hukuki dayanak, saklama koşulları ve yurt dışına aktarım mekanizması önceden belirlendiğinde bu mümkün. Yurt dışına kişisel veri aktarımı söz konusuysa KVKK’nın yayımladığı standart sözleşmeler devreye girebiliyor; şirketin veri sorumlusu, yurt dışındaki hizmet sağlayıcının veri işleyen olduğu senaryolarda Standart Sözleşme-2 bunun bir örneği.
Asıl yaygın senaryo ise başka: Şirket kuralları gizli verilerin yapay zekâya aktarılmasını yasaklıyor, ama çalışanlar işlerini kolaylaştırmak için bunu kendi inisiyatifleriyle yapmaya devam ediyor.
Veri yüklendi, kontrol kimde?
Daha az konuşulan ama en az cezalar kadar önemli bir başka bedel de yüklenen veri üzerindeki kontrolün kaybedilmesi. 2023’te Samsung çalışanlarının ChatGPT’ye şirketin yarı iletken faaliyetlerine ilişkin kaynak kodları ve kurum içi bilgileri girmesi dünya gündemine oturmuştu. Bir çalışan hatalı kodu düzelttirmek, bir diğeri şirket içi bilgilerle içerik hazırlatmak istemişti. Sonuçta gizli kalması gereken veriler şirketin kontrol alanının dışına çıktı. Bu tür olaylar, bilgilerin doğrudan rakiplerin eline geçtiği anlamına gelmiyor. Asıl mesele, şirketin artık verinin nerede saklandığını, ne kadar tutulduğunu, kimlerin erişebildiğini ve hangi amaçla işlendiğini bilememesi.
Risk teorik de değil. Bireysel kullanıcılara sunulan bazı yapay zekâ hizmetleri, kullanıcı içeriklerini model geliştirmede kullanabiliyor. OpenAI, bireysel ChatGPT hesaplarındaki konuşmaların, kullanıcı aksini tercih etmedikçe model eğitiminde kullanılabileceğini açıkça belirtiyor.
Şirket sırları başka kullanıcıların yanıtlarında mutlaka ortaya çıkar mı? Böyle kesin bir sonuç çıkarmak doğru olmaz. Ama veri şirket dışına çıktığı anda yetkisiz erişim, güvenlik ihlali veya politikaya aykırı işleme gibi riskler de beraberinde geliyor. Yılların emeği ve ciddi yatırımlarla geliştirilen bir teknolojinin, bir çalışanın birkaç dakika kazanma isteği yüzünden şirket dışına sızması, ödenmesi zor bir bedel.
Yapay zekâyı tamamen yasaklamak çözüm mü?
İlk bakışta en güvenli yol, üretken yapay zekâyı topyekûn yasaklamak gibi görünebilir. Ama çalışanların günlük yükünü hafifleten bir araçtan kendiliğinden vazgeçmesini beklemek gerçekçi değil. Keskin yasaklar kullanımı bitirmiyor, sadece görünmez hâle getiriyor. Çalışanlar kişisel hesaplara, ücretsiz servislere ya da şirketin varlığından bile haberdar olmadığı araçlara kayıyor. “Shadow AI” denilen bu kontrolsüz kullanım yaygınlaştıkça riskleri izlemek daha da zorlaşıyor. Bu nedenle daha sağlıklı yaklaşım, yapay zekâyı bütünüyle yasaklamak yerine kullanım kurallarını belirlemek ve gerekli teknik kontrolleri uygulamak. Bunun için şirketlerin birkaç soruya net cevap vermesi gerekiyor: Hangi servisler kurumsal kullanım için onaylı? Bu servislere hangi veriler yüklenebilir, hangileri kesinlikle paylaşılamaz? Bireysel hesaplar engellenecek mi? İhlaller nasıl tespit edilip incelenecek?
Politika, eğitim ve kurumsal hesaplar işin temeli. Ama tek başına yeterli değil. Kurallara aykırı bir işlemi teknik olarak tespit edemeyen şirket, büyük ölçüde çalışanın dikkatine ve iyi niyetine güvenmek zorunda kalıyor.
DLP devreye giriyor
ChatGPT ve benzeri platformlar yeni görünse de veri güvenliği açısından bilindik kanalları kullanıyor: tarayıcı, masaüstü uygulaması, dosya yükleme, kopyala-yapıştır. Dolayısıyla web trafiğini, uygulamaları, dosya hareketlerini ve pano işlemlerini izleyebilen bir DLP (Data Loss Prevention) sistemi, yapay zekâ kaynaklı sızıntı riskini ciddi biçimde azaltabiliyor. Ancak her DLP çözümü aynı işi görmüyor. Etkili bir korumadan söz edebilmek için sistemin birkaç kritik yeteneği sunması gerekiyor.
1-İçeriği bağlamıyla tanımak: Birebir kopyalanmış metni yakalamak kolay. Zor olan, hassas bir belgenin kısaltılmış, değiştirilmiş ya da farklı kelimelerle yeniden yazılmış hâlini tanıyabilmek. Çalışan müşteri listesindeki sütunların yerini değiştirebilir, kodu düzenleyebilir, gizli raporu özetleyip prompta ekleyebilir. Sistem, bu değişikliklere rağmen içeriğin korunan belgeyle benzerliğini görebilmeli ve gerektiğinde aktarımı durdurabilmeli.
2-Hazır politikalar ve şirkete özel kural oluşturma imkânı: T.C. kimlik numarası, IBAN, kart bilgisi, telefon numarası gibi yaygın veri türleri için hazır politikaların bulunması, DLP kullanımını kolaylaştırır. Ancak her şirketin kendine özgü sözleşmeleri, projeleri ve ticari sırları vardır; bu yüzden kurumların kendi risklerine göre yeni politikalar tanımlayabilmesi de şart.
3-Riskli promptları engellemek: Yapay zekâ kullanımını tamamen durdurmak yerine yalnızca riskli hamleleri kesmek çok daha işlevsel bir yaklaşım. Belirli veri türleri, kelimeler veya konutlar içeren promptların gönderilmesi engellenirken, çalışan araştırma, metin düzenleme ve fikir geliştirme için yapay zekâdan yararlanmaya devam edebilir.
4-Kullanımı görünür kılmak: Çalışanların hangi servisleri kullandığını bilmeyen şirket, gerçekçi bir güvenlik politikası da kuramaz. İyi bir DLP sistemi yalnızca engelleme değil, görünürlük de sağlar; hangi platformların kullanıldığını, hangi verilerin gönderilmeye çalışıldığını ve kimlerin tekrar eden riskli davranışlar sergilediğini raporlar. Güvenlik ekipleri böylece tek tek olaylara boğulmak yerine genel risk eğilimini görebilir.
Denge, yasakta değil kontrolde
Hiçbir teknoloji sızıntı riskini tek başına sıfırlamaz. Kullanım politikası, çalışan eğitimi, kurumsal hesaplar, doğru hizmet sağlayıcı seçimi ve DLP gibi teknik kontroller birlikte düşünülmeli. Üretken yapay zekâyı yasaklamak kısa vadede kolay bir çıkış gibi durabilir, uzun vadede ise kullanımı yer altına iter ve şirketi kör bırakır. Kontrollü kullanım modeli, güvenlik ile verimlilik arasında çok daha gerçekçi bir denge kurar. Böylece, şirketler yapay zekânın sunduğı hız ve kolaylıktan yararlanmaya devam ederken, değerli verilerin kişisel hesaplara ve kontrol dışı platformlara akma riskini büyük ölçüde azaltmış olur.
