ChatGPT Kurumsal Kullanımında KVKK Riskleri

Riski nasıl yönetirsiniz?

Kurumsal (veri paylaşmayan) plan seçimi, veri minimizasyonu, anonimleştirme ve onaylı araç listesi temel kontrollerdir. Kişisel veri içeren girdiler için açık politika ve eğitim şarttır.

Yurt dışı veri aktarımı senaryoları ayrıca değerlendirilmeli; tedarikçinin veri işleme ve saklama koşulları sözleşmesel güvencelerle netleştirilmelidir.

Sohbet Aracına Veri Girmeden Önce Neyi Kontrol Etmelisiniz?

Bir çalışanın sohbet aracına yazdığı her istem, içinde müşteri adı, e-posta adresi, sözleşme ayrıntısı veya çalışan bilgisi taşıyorsa kişisel veri işleme faaliyetidir. Bu nedenle kontrol, aracın kendisinden önce girilen veride başlar.

Veri girmeden önce şu sorular yanıtlanmalıdır: Girdi bir ilgili kişiyi doğrudan veya dolaylı olarak belirlenebilir kılıyor mu? Aynı sonuç, ad ve kimlik bilgileri çıkarılmış bir metinle elde edilebilir mi? Kullanılan araç kurumun onaylı araç listesinde yer alıyor mu?

Yanıtlardan biri belirsizse en güvenli yol, veriyi anonimleştirmek veya hiç girmemektir. Özel nitelikli kişisel veriler, örneğin sağlık bilgileri, bu tür araçlara onaylı ve sözleşmesel güvencesi netleşmiş bir çerçeve olmadan girilmemelidir.

Pratik bir yöntem, istemi yazmadan önce metindeki kişisel verileri genel ifadelerle değiştirmektir. Müşteri adı yerine müşteri A, çalışan adı yerine çalışan B gibi kodlar kullanılabilir; adres, telefon, kimlik numarası ve hesap bilgileri ise tamamen çıkarılabilir. Bu yöntem çoğu metin düzenleme, özetleme ve taslak hazırlama işinde aynı sonucu verir.

Bir de dosya yükleme riski vardır. Bir sohbet aracına yüklenen tablo, sözleşme veya e-posta dökümü, görünen bölümden çok daha fazla kişisel veri içerebilir. Dosya yüklemeden önce içerik açılıp kontrol edilmeli ve yalnızca işin gerektirdiği bölüm paylaşılmalıdır.

Kurumsal Kullanım Çerçevesi Nasıl Kurulur?

Çerçevenin ilk adımı, kurumda hangi yapay zekâ araçlarının, hangi birimlerce ve hangi amaçlarla kullanıldığını çıkarmaktır. Bu tespit, veri işleme envanterine ayrı bir faaliyet olarak işlenmelidir.

İkinci adım, her kullanım senaryosu için hukuki dayanağın ve aydınlatma yükümlülüğünün nasıl karşılanacağını belirlemektir. Müşteri veya çalışan verisinin bir yapay zekâ hizmetinde işlendiği durumlarda, ilgili kişilere yapılan aydınlatmanın bu işlemeyi de kapsayıp kapsamadığı kontrol edilmelidir.

Üçüncü adım teknik ve idari tedbirlerdir: erişimin kurumsal hesaplarla sınırlanması, kişisel hesapların iş verisi için kullanılmaması, sohbet geçmişi ve saklama ayarlarının kurum politikasına göre yapılandırılması ve çalışanlara örnek senaryolarla eğitim verilmesi.

Tedarikçi seçimi de bu çerçevenin parçasıdır. Hizmet sağlayıcının kurum adına veri işleyen konumunda olup olmadığı, girilen verileri ne kadar süre sakladığı, verileri model eğitiminde kullanıp kullanmadığı ve verilerin hangi ülkelerde işlendiği sözleşme ve hizmet koşulları üzerinden incelenmelidir. Bu sorulara net yanıt alınamayan bir araç, kişisel veri içeren işler için onaylı araç listesine alınmamalıdır.

Çerçevenin sahibi de belli olmalıdır. Hukuk veya uyum birimi ile bilgi teknolojileri birimi kararları birlikte almalı, birimlerdeki kullanıcılar ise soru ve önerilerini iletebilecekleri tek bir iletişim noktası bilmelidir.

Neleri Belgelendirmelisiniz?

Veri sorumlusu, aldığı önlemleri gösterebilmelidir. Bu nedenle yapay zekâ kullanımına ilişkin kararlar yazılı hâle getirilmelidir: onaylı araç listesi, her aracın hangi veri sınıfıyla kullanılabileceği, tedarikçiyle yapılan sözleşme ve veri işleme koşulları, yurt dışına veri aktarımı değerlendirmesi ve eğitim kayıtları.

Bu belgeler bir kez hazırlanıp bırakılmamalıdır. Yeni bir araç devreye alındığında, mevcut aracın koşulları değiştiğinde veya yeni bir kullanım senaryosu ortaya çıktığında değerlendirme yenilenmelidir.

Son olarak bir başvuru ve ihlal yolu tanımlanmalıdır: bir çalışan yanlışlıkla kişisel veri paylaştığında kime, ne kadar hızlı haber vereceğini bilmelidir. Bu bildirim yolu, kurumun genel veri ihlali müdahale süreciyle birleştirilmelidir.

Belgelendirme, ilgili kişi başvurularında da işe yarar. Bir müşteri veya çalışan verilerinin hangi araçlarda işlendiğini sorduğunda, güncel bir envanter ve onaylı araç listesi doğru ve hızlı yanıt vermeyi sağlar.

Belgelerin düzenli aralıklarla gözden geçirilmesi için bir sorumlu atanmalıdır. Gözden geçirmede onaylı araç listesinin güncelliği, eğitimlere katılım oranı ve önceki dönemde bildirilen olaylardan çıkarılan dersler birlikte değerlendirilmelidir.

Sık Sorulan Sorular