Çalışanlarınız Yapay Zekâya Ne Yüklüyor? Hız, KVKK ve Bilgi Güvenliği

Çalışanlarınız bugün yapay zekâ araçlarına ne yüklüyor? Müşteri listesi, kaynak kod, henüz duyurulmamış bir fiyat tablosu... Çoğu kurum bu soruya net bir cevap veremiyor.

Bu kullanımın bu kadar hızlı yayılmasının nedeni açık. Küçük ekipler yapay zekâ araçlarıyla eskiden büyük departmanların haftalarını alan işleri günlere sığdırıyor. Sam Altman’ın da son dönemde dile getirdiği gibi, küçük ve çevik ekipler kod yazıyor, süreçleri otomatikleştiriyor, veriyi analiz ediyor ve kaynağı kat kat fazla olan organizasyonlarla eşit şartlarda rekabet edebiliyor.

Andrew Ng’nin yakın zamanda paylaştığı bir gözlem, bu hızın yan etkisini doğru yere koyuyor. Ng’ye göre kodlama 10 ya da 100 kat hızlandığında geri kalan her şey buna kıyasla yavaş kalıyor. Ürün yönetimi, tasarım, pazarlama ve hukuki uyum aynı anda darboğaza dönüşüyor. Verdiği örneklerden biri çok net: Bir ekip bir günde yazılım üretebiliyor, hukuk birimi ise onu incelemek için bir haftaya ihtiyaç duyuyor.

Bu darboğaza kurumlar iki şekilde tepki veriyor. Bir kısmı incelemeyi bekletip hızını kaybediyor. Diğer kısmı ise incelemeyi sessizce atlıyor. İkincisi çok daha yaygın, çünkü kimse bunu karar olarak almıyor, iş kendiliğinden öyle yürüyor.

Ekipten biri müşteri listesini analiz ettirmek için bir yapay zekâ aracına yüklüyor. Bir başkası hata ayıklamak için şirketin ticari mantığını taşıyan kod bloklarını sohbet penceresine yapıştırıyor. Üçüncüsü rakip analizi hazırlarken henüz duyurulmamış fiyatlandırma modelini girdi olarak veriyor. Hiçbiri kötü niyetli değil. Hepsi işini hızlı bitirmeye çalışıyor.

Soru şu: Bu veriler artık kimin sorumluluğunda? KVKK açısından veri sorumlusu kim, kişisel verinin aktarımı hangi hukuki dayanağa oturuyor, kayıt altında mı? Bilgi güvenliği politikası bu kullanım biçimini öngörüyor mu, yoksa politika dokümanı bu araçlar yaygınlaşmadan önce mi yazıldı? Üstelik hız arttıkça sistem erişimlerini ve ortaya çıkan güvenlik açıklarını izleyen kişi sayısı aynı oranda artmıyor.

Bu yazıda yapay zekâ kullanımının KVKK ve bilgi güvenliği tarafında nerede boşluk yarattığına, Excel ve klasörlerle yürüyen uyum takibinin neden bu hıza yetişemediğine ve kurumların bunu nasıl kapatabileceğine bakıyoruz.

Yönetimin görmediği kullanım: gölge yapay zekâ

Bu yeni düzende rekabet gücünü kaynak miktarı belirlemiyor. Problemi doğru tanımlayan ve hızlı öğrenen ekip öne geçiyor. Fakat şirketlerin güvenlik ve uyum tarafı çoğu zaman hâlâ eski ritimde çalışıyor.

Çalışanların kurumun onayı ve bilgisi olmadan yapay zekâ araçlarını kullanmasına, sektörde gölge yapay zekâ (shadow AI) deniyor. Sorun aracın kendisinden çok görünmezliğinden kaynaklanıyor. Hangi verinin nereye gittiğini bilmeyen bir kurum, veri sızıntısı yaşadığında bunu fark etmekte de zorlanıyor. Yapay zekâ kullanımını yasaklamak da çözüm olmuyor. Çalışanlar aracı yine kullanıyor, yalnızca kimsenin görmediği yerde.

Excel’de yürüyen KVKK ve ISO 27001 uyumu

Ng’nin tarif ettiği uyum darboğazı en çok takip sürecinde kendini gösteriyor. KVKK envanteri bir Excel dosyasında duruyor. ISO 27001 kontrol maddelerinin kanıtları paylaşımlı klasörlere dağılmış durumda. Bir güncelleme yapıldığında hangi sürümün geçerli olduğunu yalnızca dosyayı en son açan kişi biliyor. Denetim zamanı geldiğinde ekip haftalarca kanıt topluyor, tabloları birbiriyle uzlaştırıyor, eksikleri son dakikada kapatmaya çalışıyor.

İç denetim birimleri de bu yükün altında. Veri hacmi büyüyor, sistem sayısı artıyor, mevzuat değişiyor. Denetçi sayısı ise yerinde sayıyor. Sonuçta denetim yavaşlıyor ve bulgular geç geliyor. Geç gelen bir bulgunun değeri de düşüyor, çünkü o sırada operasyon çoktan bir adım ilerlemiş oluyor.

Hızlı çalışan bir ekibin arkasında manuel yürüyen bir uyum süreci, kısa vadede fark edilmeyen ama uzun vadede ciddi maliyet çıkaran bir dengesizlik yaratıyor.

Çözüm, hızı yavaşlatmak değil, uyumu hızlandırmak

Gerçek çözüm, uyum ve güvenlik süreçlerini işin akışına yetişecek hale getirmek. Bunun üç şartı var: uyum takibinin işin hızına yetişmesi, yapay zekâ desteğinin veriyi kurum dışına çıkarmadan kullanılabilmesi ve sahadaki açıkların düzenli test edilmesi. 4Dimension olarak çalıştığımız alanlar da bu üç noktada duruyor.

KVKK ve ISO 27001 uyum takibi. KVKK, ISO 27001 ve BİGR gibi çerçevelerin takibi öncelikle kâğıttan ve tablodan çıkmalı. Bu işi ADJUSTER üzerinden yürütüyoruz. Kontroller, sorumlular, kanıtlar ve güncellemeler tek yerde, izlenebilir biçimde duruyor. Kim neyi ne zaman değiştirdi sorusunun cevabı ay sonunda toplantıda aranmıyor, kayıtta zaten var.

İç denetim ve kurum içi yapay zekâ. Mevzuat analizinde yapay zekâdan destek almak istiyorsunuz ama denetim verisi tam da dışarı çıkmaması gereken veri. Adjuster Audit bu noktada iki iş yapıyor. Denetim süreçlerini tek platformda topluyor ve kurumun kendi sunucusunda çalışan bir yapay zekâ modülüyle mevzuat bazlı analiz desteği veriyor. Hassas veri kurumun sınırları içinde kalıyor, analiz hızı ise elde ediliyor. Yapay zekâyı kullanmakla veriyi başkasına emanet etmek arasında seçim yapmak zorunda kalmıyorsunuz.

Doküman ve plan yönetimi. Denetim, uyum ve kalite süreçlerini yürüten yapılarda ayrı bir yük daha var. Prosedürlerin sürümleri, denetim planları, düzeltici faaliyetler çoğu zaman farklı kişilerin elinde, farklı formatlarda duruyor. Accreditra bu dağınıklığı sadeleştiriyor. Akreditasyon ve kalite süreçleriyle uğraşan ekipler dokümanı aramak yerine işin kendisine zaman ayırabiliyor.

Ekip performansı ve uyum görünürlüğü. Ng, en yüksek hızın herkesin aynı odada olduğu ekiplerde yakalandığını, uzaktan çalışan ekiplerin de iyi sonuç alabildiğini söylüyor. Hibrit ve uzaktan çalışan ekiplerde odadaki o anlık görünürlük olmadığı için bunun yerini veri almak zorunda. Perfas ekiplerin performansını ve uyum durumunu veriyle takip etmeyi sağlıyor. Büyüme sırasında neyin kontrolden çıktığını sezgiyle değil, rakamla görmek mümkün oluyor.

Sızma testi. Hiçbir uyum sistemi, sahada gerçekte ne olduğunu test etmenin yerini tutmuyor. Yeni araçlar devreye girdikçe saldırı yüzeyi de genişliyor. Sızma testi ve rehberlik hizmetlerimizin amacı, teknolojiyi benimserken güvenlik açıklarının da beraberinde gelmemesini sağlamak. Test edilmemiş bir entegrasyon, en iyi yazılmış politikayı bile geçersiz kılabilir.

Kazananı belirleyen şey

Yapay zekâ çağında kazananlar yalnızca en hızlı olanlar değil; hızlı ve güvenli hareket edebilenler olacak.

Bu yüzden asıl soru, hangi aracı kullandığınız değil. Çalışanlarınızın hangi veriyi nereye yüklediğini biliyor musunuz? Bu kullanımın hukuki ve teknik karşılığı kayıt altında mı? Denetim süreçleriniz bu hıza yetişebiliyor mu?

Siz kendi kurumunuzda yapay zekâ kullanımını güvenlik ve uyum süzgecinden geçirdiniz mi? Yorumlarda deneyimlerinizi duymak isteriz.