Çalışanlar farkında olmadan yeni güvenlik açıkları oluşturuyor
Yapay zekâ araçları şirketlerde hızla yaygınlaşırken, uzmanlar veri güvenliği ve siber riskler konusunda önemli uyarılarda bulunuyor. Müşteri verilerinden şirket sırlarına, kaynak kodlarından kritik sistemlere kadar birçok bilginin kontrolsüz şekilde yapay zekâ sistemlerine aktarılabildiğini belirten Ankara Üniversitesi Öğretim Görevlisi, Adli Bilişim ve Siber Güvenlik Uzmanı Hamza Aytaç Doğanay, kurumların yapay zekâ kullanımında yeni bir güvenlik dönemine girdiğini söyledi. Adli Bilişim ve Siber Güvenlik Uzmanı Doğanay, yapay zekâ kullanan şirketlerin karşı karşıya olduğu güvenlik risklerini ve alınması gereken önlemleri anlattı. Birçok kurum yapay zekâyı kullanmaya başladı ancak güvenlik tarafı aynı hızda gelişmediğini ifade eden Doğanay, “Şirketler üretkenlik kazanmak isterken farkında olmadan yeni saldırı yüzeyleri oluşturabiliyor. Yapay zekâ artık sadece bir yardımcı araç değil. Güvenlik açıklarını bulabiliyor, sistemleri akıllı şekilde analiz edebiliyor ve bazı durumlarda saldırı senaryoları oluşturabiliyor. Bu nedenle yapay zekâyı kullanan şirketlerin yeni güvenlik kurallarına ihtiyacı var” dedi.
AB yapay zekâ okuryazarlığını zorunlu hale getirdi
Kişisel Verileri Koruma Kurumu’nun (KVKK) son dönemde yayımladığı üretken yapay zekâ rehberleriyle kurumları veri güvenliği konusunda uyardığını hatırlatan Doğanay, özellikle kişisel verilerin, müşteri bilgilerinin ve ticari sırların kontrolsüz şekilde yapay zekâ sistemlerine aktarılmasının ciddi riskler oluşturduğunu belirtti. Doğanay, “Bir çalışanın iyi niyetle ChatGPT veya benzeri sistemlere yüklediği bir belge, kurum açısından veri sızıntısına dönüşebilir. Şirketlerin hangi verilerin yapay zekâ sistemlerine aktarılabileceğini net şekilde belirlemesi gerekiyor” diye konuştu.
Doğanay, Avrupa Birliği Yapay Zekâ Yasası’nın (AI Act) dördüncü maddesi kapsamında “Yapay Zekâ Okuryazarlığı” yaklaşımının 1 Temmuz 2026 tarihi itibari ile yürürlüğe girdiğini hatırlatarak, kurumların yalnızca yapay zekâ kullanmasının değil, çalışanlarının bu teknolojiyi bilinçli ve güvenli şekilde kullanmasını sağlamasının da beklendiğini söyledi.
Kurumların en sık yaptığı hataları söyleyen Doğanay, “Çalışanlara yapay zekâ farkındalık eğitimi verilmemesi, kurumsal kullanım kurallarının oluşturulmaması, süreçlerin ve yetkilendirmelerin belgelenmemesi, veri kullanımına ilişkin kontrol mekanizmalarının kurulmamış olması ve yapay zekâ kullanım envanterinin çıkarılmamış olması en büyük hatalardan biri. Yapay zekâ ile ilgili düzenlemelerin amacı şirketleri cezalandırmak değil, yapay zekânın bilinçli, güvenli ve sorumlu şekilde kullanılmasını sağlamak. Ancak kurumların çalışanlarını bilgilendirdiğini, gerekli önlemleri aldığını ve süreçlerini tanımladığını gösterebilmesi gerekiyor. Bu nedenle konuya yalnızca uyumluluk maliyeti olarak değil, kurumsal risk yönetimi ve dijital olgunluk meselesi olarak bakmak gerekiyor” dedi.
Şirketler için en kritik 15 güvenlik kuralı
Yapay zekâ kullanan şirketlerin öncelikle dikkat edilmesi gereken konuları sıralayan Doğanay, “Hassas verileri ve müşteri bilgilerini kontrolsüz şekilde çevrimiçi yapay zekâ sistemlerine yüklememek, yüklenen veri geri alınamaz, bir kez dışarı çıkan bilgi kalıcı olarak kurumun kontrolünden çıkar. Yapay zekâ kullanımının ve çıktılarının mutlaka insan denetiminden geçirilmesini sağlamak da dikkat edilmesi gerekenlerden biri. Denetlenmeyen her çıktı, kurumun adına alınmış kontrolsüz bir karardır. Yapay zeka ajanlarının hangi kullanıcılar tarafından kullanılabildiği, hangi kurumsal verilere eriştiği, E-posta, dosya sistemi, CRM, ERP, GitHub, veri tabanı veya bulut sistemlerinden hangilerine bağlandığı, sadece bilgi mi verdiği yoksa işlem de yapabilme yetkisine sahip olup olmadığı, dosya silme, e-posta gönderme, yetki verme, kod çalıştırma veya ödeme başlatma gibi kritik yetkilerinin bulunup bulunmadığı, hangi model ve hizmet sağlayıcıların kullanıldığı, verilerin hangi ülkede işlendiği ve ne kadar süre saklandığı denetimleri özellikle yapılmalıdır” ifadelerini kullandı.
