Yapay zeka veri güvenliği: veri sızıntısı nasıl önlenir?
Yayın: · yapayzeka.org.tr
Kısa yanıt
Yapay zeka araçlarında veri sızıntısını azaltmak için hangi verinin hangi hesaba gönderilebileceğini belirlemek gerekir. Model eğitimi ayarı, saklama koşulları ve erişim yetkileri ayrı ayrı incelenir. Teknik engellerin yanında, çalışanların işini tamamlayabildiği onaylı bir akış da gerekir.
Yanlış yere yapıştırılan metinle başlayan risk
Yapay zeka veri güvenliği, çalışanın girdiği bilgiyi ve sağlayıcının o bilgiyi nasıl kullandığını birlikte yönetmeyi gerektirir. Bir sohbet aracına gizli dosya yüklenmesi için hesabın ele geçirilmesi gerekmez. Çalışan, işi hızlandırmak amacıyla kendi isteğiyle de şirketin onaylamadığı bir yere veri gönderebilir.
Diyelim ki satış ekibi bir teklif metnini daha anlaşılır yazdırmak istiyor. Ürünün genel tanımı bu görev için yeterliyken müşterinin adını ve henüz açıklanmamış sözleşme koşullarını da içeren dosyanın tamamını yüklemek gereksiz bilgiyi dışarı taşır. Metnin hangi kısmının paylaşılabileceğini gösteren kurgusal bir örnek hazırlayın. Böyle bir örnek, çalışanın kendi dosyasında hangi bilginin görevle ilgisi olmadığını fark etmesini kolaylaştırır.
Dosya yükleme dışında kopyalanan metni ve bağlı veri kaynaklarını da değerlendirin. Toplantı notunu araca aktarmak veya bir uygulamaya belge erişimi vermek farklı yollarla aynı bilgiye ulaşılmasını sağlayabilir. İncelemeyi yalnızca ek dosya düğmesine bağlamak eksik kalır. Süreç sahibi, işin hangi aşamasında dışarıya veri çıktığını BT ekibine gösterebilmelidir.
Kamuya açık bir vaka sağlayıcı tarafını da gösteriyor
Wiz araştırmacıları, 29 Ocak 2025 tarihli incelemelerinde DeepSeek'e ait, kimlik doğrulama gerektirmeden erişilebilen bir veritabanını açıkladı. İçerikte sohbet geçmişi ve gizli anahtarlar da bulunuyordu. Wiz'in açıklamasına göre araştırma ekibi durumu sağlayıcıya bildirdi ve DeepSeek erişimi kapattı.
Vakadan bütün sağlayıcılar için aynı güvenlik sonucunu çıkaramayız. Satın alma görüşmesinde yalnızca modelin yanıt kalitesini tartışmak eksik kalır, çünkü hizmetteki kayıtların nasıl korunduğunu ve bir olay olduğunda müşteriye nasıl bilgi verileceğini de öğrenmek gerekir. Sağlayıcının cevabı sözleşme ve teknik açıklamayla birlikte değerlendirilir.
Eğitim ayarı ile saklama koşulu ayrı incelenir
Model eğitimi ve veri saklama, satın alma incelemesinde ayrı sorulardır. Eğitimde kullanmama taahhüdünü incelerken sohbetin ne kadar tutulduğunu ve kimlerin eriştiğini de sağlayıcıdan öğrenin. Denetim veya hizmet işletimi için tutulan kayıtlar ayrıca açıklanmalıdır. Kullanıcı ekranındaki tercihle sözleşmedeki açıklamayı karşılaştırdığınızda, hangi veri akışının hâlâ belirsiz kaldığını görebilirsiniz.
Microsoft'un Ağustos 2024 tarihli kurumsal veri koruma açıklaması buna somut bir örnek verir. Açıklamada, bu koruma kapsamındaki Copilot komut ve yanıtlarının temel model eğitiminde kullanılmadığı, buna karşılık kayıt ve denetim işlevlerinin bulunduğu belirtilir. Sağlayıcı, belirli kontrollerin abonelik planına göre değiştiğini de söylediği için incelemede ürün adının yanında hesap ve plan da ayrı kaydedilir.
Hangi ayar incelendi? Yöneticiyle birlikte kontrol ettiğiniz eğitim tercihini kaydederken bunun hangi hizmet ve hesap için geçerli olduğunu da yazın. Aynı markanın başka bir ürünü için hazırlanmış yardım sayfasını elinizdeki hesaba uygulamak, veri kullanımına ilişkin yanlış bir varsayıma yol açabilir. Çalışanın tercihi değiştirip değiştiremediği ve eklenen eklenti veya dış bağlantının veri koşulları da incelemenin parçasıdır.
Kurumsal hesap onayı hangi sınırla verilmeli?
Şirket hesabı için verilen onayda izin verilen bilgi türüyle kullanım amacının yanında çalışanın kişisel hesaba geçmesi durumunda izleyeceği yol da açıklanır, çünkü hesapların görünümü benzerse yanlış hesaba yükleme hatasını fark etmek zorlaşabilir. Onaysız kullanımları belirlemek için gölge yapay zeka rehberindeki iş akışı incelemesinden yararlanabilirsiniz.
Erişim yönetimini BT sorumlusuna inceletin. Veri işleme ve aktarım koşullarının kullanacağınız hesaba uygunluğunu ise sağlayıcı sözleşmesiyle birlikte hukuk sorumlusuna değerlendirtin. Kişisel veri içeren kullanımlar için KVKK çerçevesindeki değerlendirmeyi de onay dosyasına alın. Satın alma kaydıyla hukuki incelemenin sonuçları burada ayrı yer alır.
Denemede önce örnek veri kullanın. Gerçek veri gerektiğinde verinin sahibi bölüm, hangi alanların sonuç için gerekli olduğunu açıklar. İş bittiğinde sohbete ve çıktı dosyasına kimlerin erişeceği de onay kaydına girer, çünkü girişte dar bir gruba açılan bilgi ortak klasöre bırakılan çıktı üzerinden yeniden yayılabilir. Bu yüzden denemeyi dosyanın müşteriye veya çalışma arkadaşına gönderildiği adıma kadar sürdürün.
Veri kaybı önleme kontrollerini deneyerek kurun
Veri kaybı önleme (DLP) araçları, belirlenen bilgi türleri veya etiketler üzerinden paylaşımı sınırlamak için kullanılabilir. Microsoft, Kasım 2024 duyurusunda Copilot için DLP ve aşırı paylaşımı önleme yeteneklerini ön izleme kapsamında açıklamıştır. Böyle bir duyuruyu değerlendirirken kendi hizmetinizdeki kullanılabilirliği ve gereken lisansı doğrulamak gerekir; duyuru bütün kurulumlarda aynı korumanın açık olduğunu göstermez.
Kuralı zararsız deneme verisiyle sınayın. Gizli etiketi taşıyan bir örnek engellendiğinde aynı içeriği etiketi eksik dosyada da denemek, kontrolün bilginin niteliğine mi yoksa yalnızca etikete mi baktığını gösterir. Bütün sözleşmelerin korunduğunu söylemeden önce bu ayrımı anlamak gerekir. Çalışana uyarıyı gösterirken belirli bir numara biçimini yakalayan kuralın, sözleşmedeki ticari sırrı tanıyacağını da varsaymayın.
Engellenen her işlem için çözüm yolu da gerekir, çünkü yanlış alarm alan çalışan kime başvuracağını bilmezse işi başka hesaptan tamamlamaya çalışabilir. İstisnayı veri sahibi bölüm değerlendirir; BT ekibi hangi teknik sınırın değiştiğini kaydeder. İstisna süresiz kalacaksa gerekçesi yeniden incelenir.
Yanlış paylaşım fark edildiğinde
Çalışandan yeni yüklemeyi durdurmasını ve belirlenmiş olay kanalına haber vermesini isteyin. Bildirimde araç, hesap türü ve paylaşılan veri sınıfı belirtilir. Olayı kanıtlamak için gizli dosyanın geniş bir gruba gönderilmesi yeni bir paylaşım riski yaratır. Yetkili ekip, erişimi sınırlama ve sağlayıcıyla görüşme adımlarını olayın niteliğine göre yürütür.
Saklama ve silme koşullarını sağlayıcıyla doğrulayın. Ardından ekip yanlış paylaşımın nedenini inceler: Dosya sınıfı mı belirsizdi, hesap mı karıştı, kontrol mü çalışmadı? İlk düzeltme, sorunun tespit edildiği adıma uygulanır. Bildirim formunun yerini çalışanlara gösterip örnek bir olayla akışı denemek iyi bir başlangıçtır.