İngiltere’den Şirketlere Uyarı: Kontrolsüz Yapay Zekâ Kullanımı Veri Güvenliğini Tehdit Ediyor

İngiltere Ulusal Siber Güvenlik Merkezi (NCSC), şirketlerin bilgisi veya onayı dışında kullanılan yapay zekâ araçlarının veri güvenliği, fikri mülkiyet ve yasal uyumluluk açısından ciddi riskler oluşturabileceği konusunda uyardı. Microsoft tarafından geçen yıl gerçekleştirilen araştırma, İngiltere’de çalışanların yüzde 71’inin iş sırasında şirket tarafından onaylanmayan tüketici yapay zekâ servislerini kullandığını ortaya koyarken çalışanların yarısından fazlası bu araçlara her hafta başvuruyor. NCSC, yapay zekâ kullanımını tamamen engellemek yerine kurumların çalışanların ihtiyaçlarını anlayarak güvenli alternatifler sunmasını ve kontrolsüz yapay zekâ kullanımını denetlemesini öneriyor.

Kurum Dışında Kalan Yapay Zekâ Araçları Veri Kontrolünü Zayıflatıyor

İngiltere’deki NCSC değerlendirmesi, çalışanların kişisel yaşamlarında kullandıkları yapay zekâ servislerini iş süreçlerine taşımalarının şirketlerin bilgi güvenliği politikalarını doğrudan etkileyebileceğini ortaya koyuyor. Bir çalışanın müşteri kayıtlarını, şirket belgelerini, finansal bilgileri, kaynak kodlarını veya ticari sırları onaylanmamış bir yapay zekâ hizmetine yüklemesi, kurumun söz konusu verinin nerede işlendiğini ve ne kadar süre saklandığını takip etmesini zorlaştırabiliyor.

Tüketici odaklı yapay zekâ servislerinin veri işleme koşulları birbirinden farklılık gösterebildiği için çalışanların kullandığı her platform aynı güvenlik ve gizlilik standartlarını sunmuyor. Kurumların kontrolü dışında kullanılan yapay zekâ araçları, BT ekiplerinin uygulama envanterinde bulunmadığında veri akışının izlenmesini, erişim izinlerinin yönetilmesini ve olası bir güvenlik olayının kaynağının belirlenmesini güçleştirebiliyor.

NCSC, çalışanların bu araçlara yönelmesinin arkasında yalnızca teknoloji merakı bulunmadığını belirtiyor. Çalışanlar yapay zekâyı metin hazırlama, araştırma, veri analizi, kodlama veya karar destek süreçlerinde kullanarak zaman kazanırken kurumların bu ihtiyaçlara karşılık veren resmî araçlar sunmaması, kişisel tercihlerle yeni servislerin kullanılmasını hızlandırabiliyor.

Kurumsal yapay zekâ güvenliği açısından temel yaklaşım, çalışanların hangi verileri hangi hizmetlere aktarabileceğini önceden belirlemekten geçiyor. Şirketler veri sınıflandırması, erişim kontrolü, günlükleme ve veri kaybı önleme mekanizmalarını yapay zekâ kullanım senaryolarına uyarladığında kontrol dışı veri aktarımının oluşturduğu riskleri daha erken fark edebiliyor.

Kurumsal sistemlere bağlanan yapay zekâ ajanları, geleneksel sohbet uygulamalarından daha geniş yetkilere sahip olabildiği için güvenlik açısından ayrı bir değerlendirme gerektiriyor. Bir yapay zekâ ajanı dosyalara, uygulamalara, API’lere veya kurumsal hesaplara erişebildiğinde saldırganlar bir güvenlik açığından yararlanarak ajanın sahip olduğu yetkileri kötüye kullanmaya çalışabiliyor.

Saldırganların hedeflediği temel risklerden biri, yapay zekâ ajanlarının erişebildiği kaynakların gereğinden geniş tutulması oluyor. En az ayrıcalık ilkesi uygulanmadığında bir ajanın yalnızca belirli bir belgeyi analiz etmek için aldığı erişim izni, yanlış yapılandırma nedeniyle daha geniş veri kümelerine ulaşabilir.

NCSC, çalışanların yapay zekâ kullanmasını yasaklayan politikaların tek başına etkili olmayabileceğini belirtiyor. Kurumlar çalışanların hangi görevlerde yapay zekâya ihtiyaç duyduğunu belirleyip onaylı servisler sağladığında çalışanların kişisel hesaplara veya kurum tarafından incelenmemiş uygulamalara yönelme ihtimali azalıyor.

İş süreçlerinde kullanılan yapay zekâ servislerinin güvenlik kontrollerinden geçirilmesi, özellikle hassas veriler açısından önem taşıyor. Şirketlerin veri işleme şartlarını, saklama sürelerini, model eğitimi amacıyla veri kullanımını, erişim yetkilerini ve üçüncü taraflarla veri paylaşımını incelemesi gerekiyor.

İngiltere Ulusal Siber Güvenlik Merkezi, şirketlerin yapay zekâ politikalarını çalışan davranışlarını göz ardı ederek hazırlamaması gerektiğini savunuyor. Güvenlik ekipleri çalışanların hangi araçlara neden yöneldiğini öğrendiğinde kurumlar riskli servisleri daha kolay belirleyerek aynı ihtiyacı karşılayan güvenli seçenekler sunabiliyor.

Kurumların yalnızca yasaklı uygulamalar listesi hazırlaması, çalışanların üretkenlik beklentisini karşılamadığı durumda kontrolsüz kullanımı ortadan kaldırmıyor. Daha etkili bir yaklaşım, onaylı yapay zekâ hizmetlerini açık şekilde tanımlarken hassas verilerin aktarım sınırlarını belirlemek, çalışanlara düzenli eğitim vermek ve yeni yapay zekâ servisleri için hızlı güvenlik değerlendirme süreçleri oluşturmak oluyor.

Gartner tarafından geçen yıl yayımlanan değerlendirme de konunun uzun vadeli boyutuna işaret ediyor. Gartner, 2030 yılına kadar işletmelerin yaklaşık yarısının kurum dışında kullanılan yapay zekâ araçları nedeniyle ciddi güvenlik veya uyumluluk olayları yaşayabileceğini öngörüyor.

Türkiye’deki şirketler açısından risk özellikle müşteri bilgileri, çalışan kayıtları, finansal belgeler, sözleşmeler ve yazılım kaynak kodlarının dış yapay zekâ servislerine aktarılması durumunda büyüyebilir. Kurumların KVKK kapsamındaki yükümlülüklerini yapay zekâ kullanım politikalarıyla birlikte değerlendirmesi, çalışanların hangi veri türlerini hangi servislerde kullanabileceğini açıkça belirlemesi gerekiyor.

NCSC’nin yaklaşımı, yapay zekâyı iş süreçlerinden çıkarmak yerine teknoloji kullanımını kurumsal güvenlik sınırları içine almak üzerine kuruluyor. Önümüzdeki dönemde şirketlerin yalnızca hangi yapay zekâ araçlarının kullanıldığını bilmesi değil, bu araçların hangi verilere ve sistemlere eriştiğini de düzenli olarak denetlemesi gerekecek; çünkü kurumsal yapay zekâ kullanımının büyümesi, güvenlik ekipleri için uygulama envanterinin sürekli güncellenmesini zorunlu hale getiriyor.