Çalışanlarınız büyük olasılıkla onaysız yapay zeka araçları kullanıyor. Bu kullanımı yasaklamadan görünür ve güvenli hâle getirmek için 5 adımlı bir yöntem anlatıyoruz.
Önemli Çıkarım
Yapay zekayı tamamen yasaklamak çoğu zaman işe yaramaz. Çalışanlar kişisel cihaz ve hesaplara geçer, görünürlük tamamen kaybolur. Doğru yol: kullanımı görün, onaylı araçları belirleyin, hassas veriyi istem seviyesinde koruyun ve sonucu ölçün.
- Adım 1: Keşif. Kim hangi yapay zeka aracını kullanıyor?
- Adım 2: Politika. Onaylı, kısıtlı ve yasak araç listesi.
- Adım 3: İstem DLP’si. Hassas verinin istem kutusuna gitmesini engelleme.
- Adım 4: Eğitim. Engelleme anında açıklayıcı uyarı.
- Adım 5: Ölçüm. Aylık kullanım ve olay raporu.
Shadow AI neden sıradan Shadow IT’den daha riskli?
Klasik Shadow IT’de risk çoğunlukla bir dosyanın yanlış yere yüklenmesidir. Yapay zekada ise çalışan veriyi aktif olarak yapıştırır: müşteri e-postası, sözleşme maddesi, kaynak kod, finans tablosu. Bu içerik araç sağlayıcının sunucularına gider. OWASP, LLM uygulamaları için hassas bilgi ifşasını en önemli riskler arasında sayar.
Kişisel veri içeren bir istem, yurt dışındaki bir sağlayıcıya gidiyorsa KVKK kapsamında yurt dışı aktarım sorusu doğar. Bu nedenle yapay zeka kullanımı yalnızca bir BT konusu değil, bir uyum konusudur.
Adım 1: Keşif
Önce mevcut durumu görün. Üç kaynak birlikte en doğru resmi verir.
- Uç nokta: Tarayıcıda açılan yapay zeka siteleri, yüklü masaüstü uygulamaları ve tarayıcı eklentileri.
- Ağ: Proxy ve DNS kayıtlarında yapay zeka alan adları.
- SaaS: Microsoft 365 veya Google Workspace’e OAuth ile bağlanan yapay zeka uygulamaları.
Çıktı, araç başına kullanıcı sayısı ve kullanım sıklığını gösteren bir listedir. Politikayı bu listenin üzerine kurarsınız.
Adım 2: Politika
| Sınıf | Örnek | Kural |
|---|---|---|
| Onaylı | Kurumsal sözleşmeli yapay zeka aracı | Kullanılabilir. Hassas veri kuralları yine geçerlidir. |
| Kısıtlı | Genel amaçlı ücretsiz sohbet araçları | Kullanılabilir ama hassas veri gönderilemez. Uyarı gösterilir. |
| Yasak | Bilinmeyen eklentiler, veri saklama koşulları belirsiz araçlar | Erişim engellenir. |
Politikayı hukuk, BT ve iş birimleri birlikte yazmalıdır. NIST AI Risk Management Framework, bu tür yönetişim kararları için bir çerçeve sunar.
Adım 3: İstem DLP’si
En kritik adım budur. Onaylı araçta bile hassas veri gönderilmemelidir. İstem DLP’si, yapıştırılan veya yazılan metni gönderilmeden önce kontrol eder.
- TC kimlik numarası, IBAN ve kart numarası gibi kalıpları tanıyın.
- Kaynak kod ve gizli anahtar (API key) kalıplarını tanıyın.
- Gizli olarak etiketlenmiş belgelerden kopyalanan içeriği tanıyın.
- Eylemi riske göre seçin: kaydet, uyar, maskele veya engelle.
Adım 4: Eğitim
Engelleme ekranı bir eğitim fırsatıdır. Kullanıcıya neden engellendiğini, hangi aracın onaylı olduğunu ve nasıl istisna isteyeceğini kısa bir mesajla gösterin. Bu yaklaşım, kullanıcıların kişisel cihazlara kaçma olasılığını azaltır.
Adım 5: Ölçüm
- Onaysız araç kullanan kullanıcı sayısı (azalmalı).
- Onaylı araç kullanım oranı (artmalı).
- Engellenen hassas veri olayı sayısı ve türü.
- İstisna talepleri ve onay süresi.
Moftgate ile Shadow AI kontrolü
Moftgate AI Yönetişimi modülü, uç noktadaki yapay zeka kullanımını listeler. DLP politikaları hassas verinin istem kutusuna gitmesini engeller veya uyarı gösterir. SSPM modülü, SaaS uygulamalarına bağlanan yapay zeka uygulamalarının OAuth izinlerini gösterir. İstemler ve kayıtlar kendi altyapınızda kalır.
Stratejik Çıkarım
Amaç yapay zekayı durdurmak değil, güvenli kullanmaktır. Görünürlük olmadan politika, istem kontrolü olmadan onaylı araç yeterli olmaz.
Moftgate DLP, cihaz yönetimi ve veri güvenliği modüllerini geliştiren ve kurum kurulumlarını yöneten ürün mimarları ve saha mühendisleri.
Uygulayıcılar İçin Uzman Yanıtları
Shadow AI nedir?
Çalışanların BT ve güvenlik onayı olmadan kullandığı yapay zeka araçlarıdır. Sohbet araçları, tarayıcı eklentileri ve SaaS’a bağlanan yapay zeka uygulamaları bu gruba girer.
ChatGPT’yi tamamen engellemeli miyim?
Genelde hayır. Tam yasak kullanıcıları kişisel cihazlara iter. Onaylı araç belirleyip hassas veriyi istem seviyesinde korumak daha etkilidir.
Yapay zekaya kişisel veri göndermek KVKK ihlali midir?
Duruma bağlıdır. Hukuki dayanak, aydınlatma ve yurt dışı aktarım şartları değerlendirilmelidir. Hukuk ekibinizle birlikte karar verin.
Shadow AI nasıl tespit edilir?
Uç nokta, ağ ve SaaS kaynaklarını birlikte izleyin. Tarayıcı siteleri, masaüstü uygulamaları, eklentiler ve OAuth bağlantıları birlikte tam resmi verir.
Resmi Standartlar ve Kaynakça
- •OWASP Top 10 for LLM Applications ↗(Hassas bilgi ifşası dahil LLM uygulama riskleri.)
- •NIST AI Risk Management Framework ↗(Yapay zeka risklerini yönetmek için çerçeve.)
- •Regulation (EU) 2024/1689 (EU AI Act) ↗(AB yapay zeka düzenlemesi.)
- •Kişisel Verileri Koruma Kurumu ↗(Yapay zeka ve kişisel veri konusundaki Kurum rehberleri ve kararları.)