Personelin ChatGPT kullanıyor, bu bir veri sızıntısı mı?

Şu anda şirketinin bir köşesinde biri, düzgün bir yanıta dönüştürmek için bir müşteri e-postasını ChatGPT'ye yapıştırıyor. Ya da bir teklifi. Ya da ‚hızlıca sıralanması gereken‘ bir isim ve telefon listesini. Pratik, hızlı, ve tam da Hollanda veri koruma kurumunun uyardığı türden bir işlem. Çünkü kişisel veriler böyle bir yapay zekâ sohbet aracına girdiği an, bu bir veri sızıntısı olabilir. 72 saat içinde bildirmen gereken bir sızıntı. Personelin ChatGPT'yi çoktandır kullanıyor, soru, içine ne koyduklarını bilip bilmediğin.

Shadow AI: insanların yapay zekâ kullanıyor, ne için bilmiyorsun

Bunun bir adı var: shadow AI. Çalışanlar, hakkında hiçbir anlaşma olmadan yapay zekâ araçları kullanıyor, ChatGPT, Copilot, Gemini, ücretsiz çeviri siteleri. Kötü niyetten değil. Sadece daha hızlı çalışmak istiyorlar. Ama kimsenin genel görünümü olmadığı için, hangi şirket bilgisinin binadan çıktığını bilmiyorsun.

Kullanmak ile ne-yaptığını-bilmek arasındaki bu boşluk, asıl sorun. İnsanlarının dörtte üçü yapay zekâyla çalışıyor. Yedide biri bunu güvenli yapmayı öğrenmiş. Geri kalanı tahmin yürütüyor, ve en kötü ihtimalle hassas müşteri verilerini, verinin nereye gittiğini bilmeden bir araca yapıştırıyor.

Neden ‚sadece ChatGPT‘ bir sızıntı olabilir

Hollanda veri koruma kurumu (AP), ulusal gizlilik düzenleyicisi, bu konuda net bir uyarı yayımladı. Yapay zekâ sohbet araçlarının kullanımından kaynaklanan birden fazla sızıntı bildirimi aldı. En bilinen örnek: bir aile hekimliği çalışanı, hastaların tıbbi verilerini bir sohbet aracına girdi. Aracın arkasındaki şirket, girilen veriyi saklayıp yeniden kullanabilir, ve o noktada kontrolü kaybetmiş olursun.

Aynı riski yaşamak için hekim olman gerekmez. Bir ad, bir telefon numarası, bir müşteri adresi, bir personel dosyası, içinde şikâyet olan bir e-posta, bunların hepsi kişisel veridir. Ne olduğunu bilmeden bir yapay zekâ aracına girdikleri an, bu KVKK/GDPR kapsamında bir sızıntı olabilir. Ve kişisel veri içeren bir sızıntıyı düzenleyiciye 72 saat içinde bildirmen gerekir. Bunu yapmazsan, tek başına bu bile para cezası getirebilir.

İnsanların şu an muhtemelen neyi giriyor

Ekibine doğrudan sorma, neredeyse hiç kimse ‚evet, müşteri verilerini ChatGPT'ye yapıştırıyorum‘ demez. Ama her gün olan bitene dürüstçe bak:

• ‚Hızlıca düzgün hale getirilen‘ müşteri e-postaları, ad, sipariş numarası ve bazen bir kişi hakkında şikâyet dahil
• Yeni bir tane oluşturtmak için örnek olarak yapıştırılan teklifler ve faturalar
• ‚Sıralanması ya da temizlenmesi gereken‘ ad, e-posta veya telefon listeleri
• Yapay zekâ tarafından özetlenen veya değerlendirilen başvurular ve özgeçmişler
• Müşteri, tedarikçi veya personel adları içeren toplantı notları ve tutanaklar
• Bağlam olarak verilen muhasebe veya müşteri sisteminden alıntılar

Her biri mantıklı, iyi niyetli birer işlem. Ve her biri, araç güvenli kurulmadıysa olası bir sızıntı.

Çifte risk: sadece GDPR değil

2 Şubat 2025'ten beri bir şey daha geçerli. Avrupa yapay zekâ yasası (AI Act), yapay zekâ kullanan her şirketi, çalışanlarının ‚yapay zekâ okuryazarı‘ olmasını sağlamaya zorunlu kılıyor, aracın güvenli olarak ne yapıp yapamayacağına dair temel bilgiye sahip olmaları gerekir. Bu, 4. madde. Yani müşteri verisini bir sohbet aracına yapıştıran bir çalışan aynı anda iki şeydir: olası bir GDPR sızıntısı ve bu okuryazarlık şartını karşılamadığının işareti.

Yani küçülmüyor. Geçen yıl ‚biri ChatGPT'ye bir şey soruyor‘ iken, artık kendi başına e-posta gönderen, randevu ayarlayan veya dosya işleyen araçlar giderek daha çok çalışıyor. Buna bir görünürlüğün yoksa, risk hafta hafta büyür.

ChatGPT GDPR ile zaten izinli mi?

Evet, ChatGPT yasak değil. Mesele araç değil, içine ne koyduğun. ChatGPT'den kişisel veri olmadan bir blog yazmasını veya bir fikri geliştirmesini istemek? Sorun yok. İçine bir müşteri dosyası ya da isimler içeren bir e-posta yapıştırmak? Risk işte orada başlar. Sınır basit: bir kişiyi tanıyabileceğin bilgi giriyorsa, bunun açık bir yapay zekâ aracında yeri yok. Bu tek kural sorunların büyük çoğunluğunu önler.

Yasaklamak işe yaramaz, işi kötüleştirir

Birçok girişimcinin ilk refleksi: ‚İşte ChatGPT mi? Yasak.‘ Anlaşılır, ama ters teper. İnsanların onu, işlerini kolaylaştırdığı için kullanıyor. Yasaklarsan bırakmazlar, sadece gizlice, kendi telefonlarında, her türlü görünürlüğün dışında yaparlar. Böylece sorunu küçültmek yerine görünmez kılarsın. Çözüm daha az yapay zekâ değil, güvenebileceğin bir yapay zekâ.

Ne işe yarar, 4 adımda

• Konuşulabilir kıl. Suçlamadan sor, ekibin hangi araçları, ne için kullanıyor. Halihazırda ne kadarının çalıştığına şaşıracaksın. Bu, yasanın istediği yapay zekâ okuryazarlığının da ilk adımı.
• Açık bir yapay zekâ aracına asla ne girmeyeceğini kararlaştır. Herkesin anladığı basit bir kural: ChatGPT'ye veya ücretsiz bir çeviri sitesine ne ad, ne müşteri verisi, ne personel dosyası. Tek sayfaya yaz.
• Güvenli bir alternatif sun. Asıl mesele bu: iyi, güvenli bir araç olmadığı sürece insanlar güvensiz olanı kullanmaya devam eder. Şirket verisinin dışarı sızmadığı bir sürüm sağla.
• Canlı tut. Bir kişiyi sorumlu yap, çeyrekte bir kısaca gözden geçir ve yeni araçlar geldikçe anlaşmalarını güncelle.

Gerçek çözüm: kendine ait güvenli bir sürüm

Bir kurallar listesi, baskı altındaki kimseyi durdurmaz. Asıl işe yarayan, ChatGPT kadar kolay ama senin şirketine göre kurulmuş bir yapay zekâ aracı, kendi sistemlerine bağlı, böylece müşteri verileri içeride kalır. İnsanların istediği hızı alır, sen de verinin nereye gittiği üzerindeki kontrolü korursun.

Bu büyük, pahalı bir proje olmak zorunda değil. Çoğu zaman ekibinin yapay zekâya en çok başvurduğu iki üç işlemle başlar, e-posta yanıtlamak, teklif hazırlamak, liste temizlemek, ve bunlar için güvenli bir sürüm kurarsın. İnsanlar işe yaradığını ve izinli olduğunu görünce gerisi kendiliğinden gelir.

Socialo bunu nasıl ele alıyor

Ücretsiz bir tanışma görüşmesiyle başlıyorum. Hangi işlerin zaman aldığını, hangi sistemleri kullandığını ve otomasyonun nerede yardımcı olabileceğini konuşuyoruz. Ardından otomasyon fırsatlarını, bağlantıları, takvimi ve maliyetleri içeren bir teklif alıyorsun.

Shadow AI bir gelecek sorunu değil. Personelin şu anda, her gün yapay zekâ kullanıyor, çoğu zaman binadan çıkmaması gereken verilerle. İyi haber: yasaklamana da, avukat tutmana da gerek yok. Sadece görünür kılman ve güvenli bir alternatif sunman gerekiyor. Bunu şimdi halleden, elinde bir sızıntı bildirimiyle olayların peşinden koşmak yerine önde olur.