Yapay zekâ kullanan şirketler için kritik uyarı: Verileriniz tehlikede olabilir!

Yapay zekâ araçları şirketlerde hızla yaygınlaşırken, uzmanlar veri güvenliği ve siber riskler konusunda önemli uyarılarda bulunuyor. Müşteri verilerinden şirket sırlarına, kaynak kodlarından kritik sistemlere kadar birçok bilginin kontrolsüz şekilde yapay zekâ sistemlerine aktarılabildiğini belirten Ankara Üniversitesi Öğretim Görevlisi, Adli Bilişim ve Siber Güvenlik Uzmanı Hamza Aytaç Doğanay, kurumların yapay zekâ kullanımında yeni bir güvenlik dönemine girdiğini söyledi.

Hem akademik çalışmaları hem de Emniyet Genel Müdürlüğü bünyesinde Siber Suçlarla Mücadele alanındaki saha ve yöneticilik tecrübesiyle tanınan Doğanay’a göre birçok kurum yapay zekâyı kullanmaya başladı ancak güvenlik tarafı aynı hızda gelişmiyor.

“Şirketler üretkenlik kazanmak isterken farkında olmadan yeni saldırı yüzeyleri oluşturabiliyor. Yapay zekâ artık sadece bir yardımcı araç değil. Güvenlik açıklarını bulabiliyor, sistemleri akıllı şekilde analiz edebiliyor ve bazı durumlarda saldırı senaryoları oluşturabiliyor. Bu nedenle yapay zekâyı kullanan şirketlerin yeni güvenlik kurallarına ihtiyacı var.”

Kişisel Verileri Koruma Kurumu’nun (KVKK) son dönemde yayımladığı üretken yapay zekâ rehberleriyle kurumları veri güvenliği konusunda uyardığını hatırlatan Doğanay, özellikle kişisel verilerin, müşteri bilgilerinin ve ticari sırların kontrolsüz şekilde yapay zekâ sistemlerine aktarılmasının ciddi riskler oluşturduğunu belirtti.

“Bir çalışanın iyi niyetle ChatGPT veya benzeri sistemlere yüklediği bir belge, kurum açısından veri sızıntısına dönüşebilir. Şirketlerin hangi verilerin yapay zekâ sistemlerine aktarılabileceğini net şekilde belirlemesi gerekiyor.”

Doğanay, Avrupa Birliği Yapay Zekâ Yasası’nın (AI Act) 4. maddesi kapsamında “Yapay Zekâ Okuryazarlığı” yaklaşımının 1 Temmuz 2026 tarihi itibari ile yürürlüğe girdiğini hatırlatarak, kurumların yalnızca yapay zekâ kullanmasının değil, çalışanlarının bu teknolojiyi bilinçli ve güvenli şekilde kullanmasını sağlamasının da beklendiğini söyledi.

“Bir sorun yaşandığında veya bir denetim gerçekleştiğinde, çalışanlarınıza yapay zekâ kullanımı konusunda rehberlik ettiğinizi gösterebilecek misiniz? Asıl soru bu.” Doğanay’a göre kurumların en sık yaptığı hatalar şunlar: - Çalışanlara yapay zekâ farkındalık eğitimi verilmemesi - Kurumsal kullanım kurallarının oluşturulmaması - Süreçlerin ve yetkilendirmelerin belgelenmemesi - Veri kullanımına ilişkin kontrol mekanizmalarının kurulmamış olması - Yapay zekâ kullanım envanterinin çıkarılmamış olması “Yapay zekâ ile ilgili düzenlemelerin amacı şirketleri cezalandırmak değil, yapay zekânın bilinçli, güvenli ve sorumlu şekilde kullanılmasını sağlamak. Ancak kurumların çalışanlarını bilgilendirdiğini, gerekli önlemleri aldığını ve süreçlerini tanımladığını gösterebilmesi gerekiyor. Bu nedenle konuya yalnızca uyumluluk maliyeti olarak değil, kurumsal risk yönetimi ve dijital olgunluk meselesi olarak bakmak gerekiyor.”

Doğanay’a göre yapay zekâ kullanan şirketlerin öncelikle şu konulara dikkat etmesi gerekiyor:

Hassas verileri ve müşteri bilgilerini kontrolsüz şekilde çevrimiçi yapay zekâ sistemlerine yüklememek: Yüklenen veri geri alınamaz, bir kez dışarı çıkan bilgi kalıcı olarak kurumun kontrolünden çıkar. Yapay zekâ kullanımının ve çıktılarının mutlaka insan denetiminden geçirilmesini sağlamak: Denetlenmeyen her çıktı, kurumun adına alınmış kontrolsüz bir karardır. Yapay zeka ajanlarının hangi kullanıcılar tarafından kullanılabildiği, hangi kurumsal verilere eriştiği, E-posta, dosya sistemi, CRM, ERP, GitHub, veri tabanı veya bulut sistemlerinden hangilerine bağlandığı, sadece bilgi mi verdiği yoksa işlem de yapabilme yetkisine sahip olup olmadığı, dosya silme, e-posta gönderme, yetki verme, kod çalıştırma veya ödeme başlatma gibi kritik yetkilerinin bulunup bulunmadığı, hangi model ve hizmet sağlayıcıların kullanıldığı, verilerin hangi ülkede işlendiği ve ne kadar süre saklandığı denetimleri özellikle yapılmalıdır.