Bu soru bugün her BT ve güvenlik yöneticisinin masasında. Yasak bir politika kararıdır, alternatif bir mimari kararıdır; ikisi aynı toplantıda verilemez. Aşağıda kararı üç ölçüte indiriyoruz.
Ölçüt 1 — Görünürlük
İlk soru şu: kullanımı görebiliyor musunuz? Yasak, tanımı gereği görünürlüğü sıfırlar. Kullanım devam eder, kişisel hesaplara ve telefonlara taşınır; kurum artık hangi ekibin hangi veriyi nereye gönderdiğini bilmez.
Kurumun sağladığı bir araçta ise her istek bir günlük satırıdır: kim, ne zaman, hangi belgeyle, hangi veri sınıfıyla. Bu günlük hem KVKK denetiminde kurumun elindeki en güçlü kanıttır hem de aracın gerçekten işe yarayıp yaramadığını gösteren tek ölçüdür.
Karar sorusu: Altı ay sonra "yapay zekâyı kimler, ne için kullanıyor?" sorusuna cevap verebilecek misiniz?
Ölçüt 2 — Veri sınırı
İkinci soru: veri fiziksel olarak nereye gidiyor? Üç seçenek var; her birinin sorumluluk profili farklı.
- Yurt dışındaki bulut hizmeti. En hızlı başlangıç; ama kişisel veri söz konusuysa her istek yurt dışına aktarım olarak değerlendirilmelidir ve hukuki zemini kurmak sizin işinizdir.
- Kurumun kendi sunucusu (yerinde). Veri kurum sınırından çıkmaz; model internet olmadan da çalışır. Bir defalık donanım maliyeti vardır; aylık kullanıcı ücreti yoktur.
- Hibrit. Kamuya açık ya da hassas olmayan işler bulutta, müşteri ve personel verisi içeren işler yerinde. Çoğu kurum için en dengeli nokta burasıdır.
Basit bir kural: veri sınıfı yükseldikçe model kuruma yaklaşmalı. Halka açık pazarlama metni için bulut yeterlidir; müşteri kayıtları, sözleşmeler ve personel dosyaları için modelin kurumun kontrolünde çalışması gerekir. Finans ve sağlık gibi düzenlemeye tabi alanlarda bu tercih değil, gerekliliktir.
Ölçüt 3 — Maliyet ve sürtünme
Üçüncü soru: gerçek maliyet ne? Bulut hizmetlerinde maliyet kullanıcı başına aylıktır ve kullanım yaygınlaştıkça büyür. Yerinde kurulumda maliyet önden gelir; ama küçümsenen bir gerçek var: bugün tek bir güçlü iş istasyonu, beş-on kişilik bir ekibin günlük ihtiyacını karşılayacak bir modeli çalıştırabiliyor. Pilot için veri merkezi gerekmiyor.
Yasağın da bir maliyeti var; faturada görünmediği için unutuluyor. İşi yapay zekâyla otuz dakikada bitirebilecek çalışan, üç saatte bitiriyor; ya da otuz dakikada bitiriyor ama kurumun görmediği bir yerde. İki durumda da kurum kaybediyor.
Yasak ucuz görünür; çünkü bedeli faturada değil, görünmeyen kullanımda ve kaybedilen saatlerde ödenir.
Karar özeti
- Halka açık ya da hassas olmayan veri → bulut hizmeti kabul edilebilir; yine de kurumsal hesap ve sözleşmeyle.
- Kişisel veri, müşteri kaydı, sözleşme → yerinde ya da hibrit; veri kurum sınırında kalmalı.
- Düzenlemeye tabi veri (finans, sağlık, kamu) → yerinde; günlükler ve erişim denetimi zorunlu.
Yasak yerine yazılacak politika
İyi bir yapay zekâ politikası bir sayfayı geçmez ve beş şeyi söyler:
- Onaylı araç hangisi ve nereden erişilir.
- Hangi veri sınıfları girilebilir, hangileri girilemez.
- Çıktının sorumluluğu kimde (cevap: kullanan kişide; araç bir asistan, imza sahibi değil).
- Kullanımın nasıl izlendiği ve günlüklerin ne kadar saklandığı.
- Politikanın kaç ayda bir gözden geçirileceği.
Bu beş maddenin yazılabilmesi için ortada işaret edilecek bir araç olmalı. Yasak politikası bir cümledir; uygulanabilir politika bir mimari gerektirir.
Kurumunuz bugün bu üç ölçütün neresinde, hangi veri sınıfları için hangi kurulum gerekir; bunu bir teşhis görüşmesinde birlikte netleştiriyoruz.