Çalışanınız müşteri verisini yapay zekâya yapıştırdığında ne olur?

Satış ekibinden biri, zor bir müşteriye cevap yazmak için yazışmanın tamamını bir sohbet robotuna yapıştırdı. Otuz saniye sürdü, cevap iyiydi, kimse fark etmedi. Peki o otuz saniyede ne oldu?

Teknik olarak ne oldu?

Müşterinin adı, e-posta adresi, sipariş geçmişi ve şikâyetinin ayrıntıları kurumun sınırından çıktı; büyük ihtimalle yurt dışındaki bir sunucuya gitti. Çalışan kişisel hesabını kullandığı için ortada bir sözleşme yok: verinin ne kadar süre saklandığını, model eğitiminde kullanılıp kullanılmadığını, kimlerin erişebildiğini kurum bilmiyor ve soramıyor.

Daha önemlisi, bu kullanım kurumun sistemlerinde hiçbir iz bırakmadı. Ağ trafiğinde sıradan bir web sitesi ziyareti gibi görünüyor; günlüklerde "yapay zekâya veri gönderildi" diye bir satır yok. Buna kısaca gölge yapay zekâ deniyor: kurumun göremediği, dolayısıyla yönetemediği kullanım.

KVKK açısından ne oldu?

Kişisel Verilerin Korunması Kanunu'nda sorumluluk, veriyi yapıştıran çalışanda değil, veri sorumlusu olan kurumda kalır. Müşteri verisinin yurt dışındaki bir hizmete gönderilmesi, yurt dışına aktarım olarak değerlendirilmesi gereken bir işlemdir ve böyle bir aktarımın dayanabileceği hukuki bir zemin olmalıdır. Çalışanın kişisel hesabı bu zemini sağlamaz; kurumun onayladığı bir veri işleyen de değildir.

Olayın bir veri ihlali sayılıp sayılmayacağı, verinin niteliğine ve nereye gittiğine göre değerlendirilmesi gereken bir sorudur; ama "biz yasaklamıştık" cümlesi tek başına bir savunma değildir. Denetimde bakılan şey, kurumun aldığı teknik ve idari tedbirlerdir. Yasak bir idari tedbirdir; işlediğini gösteren bir teknik tedbir eşlik etmiyorsa eksik kalır.

Yasak neden işe yaramıyor?

Çünkü araç gerçekten işe yarıyor. Rapor özetlemek, e-posta taslağı çıkarmak, bir sözleşme maddesini sade Türkçeye çevirmek: bunlar bir çalışanın gününden saatler kazandırıyor. Yasak bu ihtiyacı ortadan kaldırmıyor, sadece kişisel telefona taşıyor.

Yasağın asıl bedeli görünürlük kaybıdır. Kurum aracı sağladığında hangi ekibin neyi ne için kullandığını görür, veriyi sınıflandırabilir, riskli kullanımı durdurabilir. Yasakladığında bu bilginin tamamı sıfırlanır; kullanım devam eder, sadece görünmez olur.

Görünmeyen kullanım denetlenemez. Denetlenemeyen kullanım, denetimde savunulamaz.

Çalışan bir alternatif nasıl görünür?

Alternatifin ölçütü basit: veri kurumun sınırından çıkmayacak. Bugün bunun en net yolu, modeli kurumun kendi sunucusunda ya da kurumun kontrolündeki bir ortamda çalıştırmak. Açık ağırlıklı modeller bu iş için yeterli olgunlukta; kurulum artık araştırma projesi değil, altyapı işi.

• Model kurum içinde çalışır. Sorular ve yapıştırılan belgeler sunucudan dışarı çıkmaz; internet bağlantısı kesilse de sistem çalışır.
• Kurumun belgeleriyle konuşur. Prosedürler, sözleşmeler, ürün dokümanları modelin önüne konur; cevaplar kaynak göstererek gelir.
• Mevcut kimlik altyapısına bağlanır. Kim neyi sordu, hangi belgeye erişti; hepsi günlüklerde ve kurumun erişim politikalarına tabi.
• Politika uygulanabilir hâle gelir. "Kullanmayın" yerine "bunu kullanın, şunları girmeyin" denebilir; çünkü artık işaret edilecek bir araç var.

Nereden başlanır?

1. Envanter. Hangi ekipler, hangi araçları, hangi işler için kullanıyor? Bunu yasakla değil, sorarak öğrenin. İnsanlar cezalandırılmayacaklarını bilirse anlatır.
2. Onaylı yol. Beş-on kişilik bir ekip için tek bir iş istasyonunda pilot. Büyük donanım yatırımı gerekmez; amaç, çalışanın elindeki araçtan daha kötü olmayan bir alternatifin var olduğunu göstermektir.
3. Politika güncellemesi. Yasak maddesi, onaylı aracı ve girilmesi yasak veri sınıflarını tarif eden kısa bir maddeyle değiştirilir. Bir sayfayı geçmemeli.

Kurumunuzda bugün kaç kişinin hangi araçları kullandığını bilmiyorsanız, başlangıç noktası tam olarak orası. Bir teşhis görüşmesinde bunu birlikte çıkarıyoruz.