Yapay Zekâya Ne Veriyoruz, O Bizden Ne Çıkarıyor?

Bir noterlik çalışanının önünde uzun bir vekâletname taslağı olduğunu düşünelim.

Çalışan, belgedeki tekrarları görmek, bazı ifadeleri sadeleştirmek veya metni daha hızlı anlamak amacıyla belgeyi ücretli ve bilinen bir yapay zekâ hizmetine yüklüyor. Sistem birkaç saniye içerisinde başarılı bir özet hazırlıyor, çelişkili olabilecek bazı ifadeleri işaretliyor ve çalışanın işini önemli ölçüde hızlandırıyor.

İlk bakışta son derece faydalı bir kullanım.

Peki o sırada başka ne oldu?

Belgenin içeriği hangi altyapıda işlendi? Ne kadar süre saklanacak? Sistemin geliştirilmesinde kullanılabilecek mi? Belge yalnızca isimlerden mi oluşuyordu, yoksa tarafların mal varlığı, aile ilişkileri, adresleri, imzaları ve hukuki iradeleri hakkında başka bilgiler de içeriyor muydu?

Daha önemlisi, bu veri akışına noterlik kurumsal olarak karar vermiş miydi?

Yoksa bir çalışan, yalnızca kendi işini hızlandırmak amacıyla, kişisel olarak abone olduğu bir hizmete gerçek bir noterlik belgesini mi yüklemişti?

Buradaki sorun çalışanın kötü niyetli olması değildir. Çalışan gerçekten işini daha iyi yapmak istemiş olabilir. Ancak iyi niyet, kontrolsüz bir veri aktarımını kurumsal olarak güvenli hâle getirmez.

Verinin çalınması ile verinin farkında olmadan yanlış yere teslim edilmesi aynı şey değildir.

Veri dediğimiz şey yalnızca adımız ve kimlik numaramız değildir

Veri denildiğinde çoğumuzun aklına ad, soyad, T.C. kimlik numarası, telefon numarası veya bir belgenin içeriği geliyor.

Oysa dijital sistemler açısından veri bundan çok daha geniştir.

Veri koruma rehberlerinde de kişinin doğrudan sunduğu bilgi ile gözlemlenen ve kendisi hakkında çıkarılan bilgi arasında ayrım yapılmaktadır. Çıkarım kesin olarak doğru olmasa bile kişiyle ilişkilendirildiğinde yeni bir veri ve hatta yeni bir risk hâline gelebilir.

Veri yalnızca hakkımızda bilinen şey değildir. Hakkımızda hesaplanan şey de zamanla veriye dönüşebilir.

Bir GPS noktası yasak aşk değildir

Bir cep telefonunun salı akşamı saat 21.00'de belirli bir adreste bulunması bir konum kaydıdır.

Aynı telefonun her salı aynı saatte aynı adreste bulunması bir örüntüdür.

Bu adresin kime ait olduğunun belirlenmesi, aynı saatlerde başka hangi cihazların orada bulunduğunun görülmesi ve farklı veri kaynaklarıyla eşleştirilmesi ise veri birleştirmedir.

“Bu kişinin gizli bir ilişkisi olabilir” sonucu ise çıkarımdır.

Ancak bu çıkarım gerçeğin kendisi değildir.

Telefon başka bir kişide olabilir. Adres bir arkadaşın, müşterinin, danışmanın veya doktorun adresi olabilir. Ziyaretin tamamen farklı bir nedeni bulunabilir.

Yapay zekâ özel hayatın gerçeğini bulmuş olmaz. Mevcut izlerden olasılıklı bir hikâye üretmiş olur.

Google'ın güncel gizlilik açıklaması, kullanılan ürün ve ayarlara bağlı olarak konumun GPS ve diğer sensörlerden, IP adresinden, Wi-Fi erişim noktalarından, baz istasyonlarından ve Google hizmetlerindeki etkinliklerden belirlenebileceğini açıklıyor. Google Maps Timeline özelliği de kullanıcı tarafından etkinleştirildiğinde ziyaret ve rotaların kaydedilmesine imkân tanıyor. Bu bilgiler, Google'ın kişilerin özel ilişkilerini tespit ettiği anlamına gelmez. Yalnızca konum verisinin başka bilgilerle birleştirildiğinde ne kadar güçlü çıkarımlara elverişli olabileceğini gösterir.

Burada önemli olan şudur:

Tek bir veri çoğu zaman susar. Veriler bir araya geldiğinde konuşmaya başlar.

Her veri gerçekten analiz edilir mi? Siz buna değer misiniz?

Bu noktada akla son derece makul bir soru geliyor:

“Ben kimim ki bir şirket veya kurum benim verilerimi tek tek analiz etsin?”

Gerçekten de bir kişinin hayatını ayrıntılı biçimde araştırmak, konum kayıtlarını incelemek, ilişkilerini çözümlemek ve elde edilen sonuçları doğrulamak pahalı bir çalışmadır.

Çoğu insan, kendisi için özel bir araştırma ekibi kurulacak kadar stratejik bir hedef değildir.

Ancak yapay zekâ bu maliyet hesabını değiştirmektedir.

Bir kişiyi insan eliyle aylarca takip etmek pahalı olabilir. Milyonlarca kaydı algoritmayla taramak, benzer davranışları gruplandırmak ve olağan dışı görünen kişileri otomatik olarak ayırmak ise aynı şey değildir.

Yapay zekâ ve algoritmik karar sistemlerinin önemli özelliklerinden biri, büyük veri kümeleri içerisindeki örüntüleri, bağlantıları ve korelasyonları bulabilmeleridir.

Sizi özel olarak takip etmek pahalı olabilir. Ancak sizi milyonlarca kayıt içerisinde otomatik olarak sınıflandırmak o kadar pahalı olmayabilir.

Kimse sizi merak etmiyor olabilir.

Sistem yine de sizi bir gruba yerleştiriyor, bir risk puanı üretiyor veya gelecekte kullanılmak üzere belirli bir kategoriyle ilişkilendiriyor olabilir.

Üstelik verinin değeri yalnızca bugün belirlenmez. Bugün önemsiz görünen bir kayıt, yarın başka bir veriyle birleştirildiğinde çok daha anlamlı hâle gelebilir.

Bu nedenle asıl soru şudur:

Birileri bugün beni analiz ediyor mu değil; verilerim bir gün analiz edilmek istenirse buna elverişli biçimde bir yerde tutuluyor mu?

Herkes devlet başkanı gibi mi korunmalı?

Veri güvenliğine ilişkin ilginç örneklerden biri, bazı devlet liderlerinin yurt dışı ziyaretlerinde biyolojik atıklarının dahi koruma ekipleri tarafından toplanarak kendi ülkelerine götürüldüğü iddiasıdır.

Bu anlatı zaman zaman farklı liderlerle ilişkilendirilse de güvenilir haberlerde yaygın biçimde yer alan iddia Vladimir Putin hakkındadır. İddiaya göre amaç, yabancı istihbarat servislerinin biyolojik kalıntılardan liderin sağlık durumu hakkında bilgi edinmesini engellemektir. Bunun resmen doğrulanmış bir devlet protokolü değil, gazetecilik kaynaklarına dayanan bir iddia olduğu özellikle belirtilmelidir.

İddianın doğru olup olmamasından bağımsız olarak örnek bize önemli bir şey söylüyor:

Bir şeyin veri olması için dijital olması gerekmez.

Doğru analiz yöntemi bulunduğunda, önemsiz gördüğümüz biyolojik bir kalıntı dahi son derece hassas bilgiler üretebilir.

Peki herkes biyolojik atığını yanında mı taşımalı?

Elbette hayır.

Bir devlet başkanının sağlık durumu uluslararası ilişkiler, siyasi istikrar ve ulusal güvenlik bakımından yüksek stratejik değer taşıyabilir. Sıradan bir kişinin aynı koruma maliyetine katlanması anlamlı değildir.

Güvenlik, bütün verileri mümkün olan en yüksek seviyede korumak değildir. Verinin değeri, kötüye kullanım ihtimali, ortaya çıkabilecek zarar ve korunma maliyeti arasında makul bir denge kurmaktır.

Ancak noterliklerde önemli bir farklılık vardır.

Noterlik yalnızca kendi verisini korumaz. Vatandaşların ve üçüncü kişilerin kendisine emanet ettiği verileri de işler.

Dolayısıyla noterlik adına şu değerlendirme yapılamaz:

“Bu kişi yeterince önemli değil. Kimse onun verisiyle ilgilenmez.”

Bir kişi kendi verisi açısından belirli riskleri alabilir. Fakat başkasına ait veriler konusunda aynı rahatlıkla karar veremez.

Herkes devlet başkanı gibi korunmak zorunda değildir. Fakat hiç kimse başkasının verisi adına “nasıl olsa kimse ilgilenmez” deme hakkına sahip değildir.

Ücretli abonelik gizlilik garantisi değildir

Bilinen bir markayı kullanmak, bilinmeyen bir internet sitesini kullanmaya göre güvenlik açısından önemli avantajlar sağlayabilir. Ancak hizmetin ücretli olması, yüklenen her içeriğin otomatik olarak kurumsal gizlilik kapsamında bulunduğu anlamına gelmez.

Aynı şirketin bireysel ve kurumsal ürünlerinde farklı veri politikaları bulunabilir.

Bu yazı hazırlanırken OpenAI, kişisel çalışma alanları ile ChatGPT Business, Enterprise ve API ürünleri arasında veri kullanımı bakımından ayrım yapıyor; kurumsal ürünlerde girdi ve çıktıların varsayılan olarak model eğitiminde kullanılmadığını belirtiyor. Anthropic de Claude Free, Pro ve Max gibi tüketici ürünleri ile Claude for Work ve API gibi ticari ürünler için farklı politikalar uyguluyor. Google'ın tüketiciye yönelik Gemini hizmetinde ise etkinlik ayarlarına bağlı saklama ve insan incelemesi süreçleri bulunabiliyor.

Bu örnekler herhangi bir markanın güvenli veya güvensiz olduğunu göstermez. Şunu gösterir:

“Ücretli mi?” sorusu yeterli değildir. “Hangi ürün, hangi hesap türü, hangi sözleşme ve hangi ayarlarla kullanılıyor?” diye sormak gerekir.

Ayrıca “model eğitiminde kullanılmıyor” ifadesi ile “hiç işlenmiyor veya hiç saklanmıyor” ifadesi aynı değildir.

Bir belgenin cevap üretilmesi için işlenmesi, belirli bir süre saklanması, güvenlik veya destek amacıyla incelenmesi ve daha sonraki model geliştirme çalışmalarında kullanılması birbirinden farklı süreçlerdir.

Bu nedenle bir noterlik için yalnızca model eğitimi ayarına bakmak yeterli değildir. Saklama süresi, silme politikası, insan erişimi, yurt dışı veri aktarımı, bağlı uygulamalar, eklentiler, yönetici kontrolleri ve sözleşmesel yükümlülükler de değerlendirilmelidir.

Vatandaşın tercihi ile noterliğin sorumluluğu aynı değildir

Vatandaşlar günlük yaşam içerisinde farkında olarak veya olmayarak çok sayıda veri üretmektedir.

Telefon kullanırken, yol tarifi alırken, çevrim içi alışveriş yaparken, sosyal medyada paylaşımda bulunurken, akıllı saat taşırken veya bir yapay zekâ aracına soru sorarken yeni veriler oluşur.

Vatandaş kullanım koşullarını okumadan kabul edebilir. Gizlilik ayarlarını hiç açmamış olabilir. Bir belgesini düşünmeden kişisel yapay zekâ hesabına yükleyebilir.

Bunlar doğru davranışlar olmayabilir; ancak bireysel dijital okuryazarlık sorununun bir parçası olarak değerlendirilebilir.

Noterlik ise aynı konumda değildir.

Noterlik Kanunu'nda noterlik bir kamu hizmeti olarak tanımlanmakta; noterlerin hukuki güvenliği sağlamak ve anlaşmazlıkları önlemek amacıyla işlemleri belgelendirdiği belirtilmektedir. Aynı Kanun, noter ve noterlik kâtiplerinin görevleri nedeniyle öğrendikleri sırlar ile noterlik evrak ve defterlerinin gizliliğini ayrıca düzenlemektedir.

Bu nedenle bir noterlik çalışanının, yalnızca kendi işini hızlandırmak amacıyla, sonucunu değerlendirmeden tam bir belgeyi kişisel yapay zekâ hesabına yüklemesi kurumsal olarak kabul edilebilir bir kullanım modeli değildir.

Çünkü çalışan o anda yalnızca kendisine ait bir veri hakkında karar vermemektedir.

Vatandaşın kimliğini, imzasını, mal varlığı ilişkilerini, aile bağlarını ve hukuki iradesini içerebilen bir belge hakkında karar vermektedir.

Bu nedenle güvenli yapay zekâ kullanımı personelin bireysel dikkatine bırakılamaz.

Noterlikte yapay zekâ kullanımı, çalışanın kişisel teknoloji tercihi değil, kurumun veri işleme kararıdır.

Noterlikler için kırmızı, sarı, yeşil veri modeli

Aşağıdaki sınıflandırma hukuki bir sınıflandırma değildir. Noterliklerde kurum içi farkındalık ve risk yönetimi amacıyla kullanılabilecek teknik bir model önerisidir.

Burada önemli bir kural vardır:

Bir işlemin nihai rengini, zincirdeki en riskli veri veya çıkarım belirler.

Tek bir yaklaşık konum bilgisi sarı olabilir. Altı aylık ayrıntılı konum geçmişinden kişinin özel hayatı hakkında çıkarım yapılması ise kırmızı bir sonuç üretebilir.

Benzer biçimde, kişinin adı çıkarılmış olsa bile taşınmaz bilgisi, işlem tarihi, aile ilişkisi ve benzersiz olaylar bir araya geldiğinde kişi yeniden belirlenebilir.

Bir kişinin adını silmek, hikâyesini silmek anlamına gelmez.

KVKK'nın üretken yapay zekâ rehberi de üçüncü kişilere ait verilerin bu sistemlerle paylaşılmamasına özen gösterilmesini, mümkün olduğunca anonimleştirilmiş ve genelleştirilmiş ifadelerin kullanılmasını ve yalnızca gerekli bilgilerin sağlanmasını tavsiye etmektedir. Rehber; sağlık, finans ve hukuki süreçlere ilişkin bilgilerin ayrıca hassasiyetle değerlendirilmesi gerektiğini vurgulamaktadır.

Noterlik için önerilen güvenli kullanım zinciri

Noterliklerde çözüm, yapay zekâyı bütünüyle yasaklamak değildir.

Çünkü yasaklanan fakat ihtiyacı devam eden teknolojiler çoğu zaman görünmez ve denetimsiz biçimde kullanılmaya devam eder.

Daha doğru yaklaşım, güvenli kullanımın kurallarını belirlemek ve çalışan için güvenli yöntemi en kolay yöntem hâline getirmektir.

Sınıflandır, azalt, maskele, işlet, yerine koy, insan onayı.

1. Sınıflandır

   Öncelikle noterlikte bulunan belge ve veri türleri belirlenmelidir. Hangi belgelerin kırmızı, hangilerinin sarı ve hangilerinin yeşil olduğu önceden tanımlanmalıdır. Personel, her yeni işlemde sıfırdan karar vermek zorunda bırakılmamalıdır.

   Aynı şekilde yapay zekâ kullanım amaçları da sınıflandırılmalıdır. Mevzuat özeti oluşturmak ile gerçek bir vasiyetnameyi inceletmek aynı risk seviyesinde değildir. Dil bilgisi kontrolü ile tarafların hukuki iradesi hakkında değerlendirme istemek de aynı işlem değildir.

2. Azalt

   Yapay zekânın görevini yapabilmesi için belgenin tamamına gerçekten ihtiyacı var mı?

   Çoğu zaman yoktur.

   Bir hükmün sadeleştirilmesi isteniyorsa yalnızca ilgili hüküm gönderilebilir. Tekrarların bulunması isteniyorsa kimlik ve iletişim bilgileri çıkarılabilir. Bir şablon hazırlanacaksa gerçek olay yerine hayalî bir senaryo kullanılabilir.

   KVKK rehberi de kişisel veri işlemenin belirli amaçla bağlantılı, sınırlı ve ölçülü olmasını; amaç için gerekli olmayan verilerin işlenmesinden kaçınılmasını vurgulamaktadır.

   Temel kural şu olmalıdır: Yapay zekâya sahip olduğumuz bütün veriyi değil, görevi için gereken en az veriyi vermeliyiz.

3. Maskele

   Sarı alandaki belgelerde kişisel bilgiler tutarlı kodlarla değiştirilebilir.

   • Ad ve soyad yerine [VEKÂLET_VEREN_1]
   • T.C. kimlik numarası yerine [KİMLİK_1]
   • Adres yerine [ADRES_1]
   • Taşınmaz bilgisi yerine [TAŞINMAZ_1]
   • Tarih yerine [TARİH_1]

   Bu kodların gerçek değerlerle eşleştirildiği tablo yapay zekâ sistemine gönderilmemeli; kurumun kendi güvenli ortamında tutulmalıdır.

   Ancak bu yöntem gerçek anlamda anonimleştirme olarak görülmemelidir. Eşleştirme anahtarı kurumda bulunduğu için işlem daha çok maskeleme veya takma adlandırma niteliğindedir.

   Ayrıca dosya adı, belge özellikleri, açıklamalar, değişiklik geçmişi, gizli hücreler, taranmış imzalar ve metin içerisinde kalan benzersiz olaylar da kontrol edilmelidir.

   Bazı belgeler, isimler çıkarılsa bile içerdiği hikâye nedeniyle kişiyi açıkça tanımlayabilir. Böyle durumlarda belge sarıya dönüşmez; kırmızı kalmaya devam eder.

4. Kurumsal kanaldan işlet

   Maskelenmiş içerik, personelin kişisel hesabına değil, noterlik tarafından onaylanmış kurumsal sisteme gönderilmelidir.

   Kullanılan ürünün bireysel veya kurumsal hesap türü, veri saklama politikası, eğitim ayarları, yönetici kontrolleri, erişim yetkileri, bağlı uygulamaları ve sözleşmesi önceden değerlendirilmelidir.

   Yapay zekâya verilen görev de açıkça sınırlandırılmalıdır.

   “Aşağıdaki metindeki yetki başlıklarını sınıflandır. Tekrarlanan ve birbiriyle çelişebilecek ifadeleri işaretle. Yeni kişi, tarih, yetki veya hukuki hüküm ekleme. Emin olmadığın noktaları ayrıca belirt.”

   Bu görev, “Bu belge hukuken geçerli midir?” gibi geniş ve karar verici bir sorudan daha kontrollüdür.

5. Gizlenen verileri kurum içinde yerine koy

   Yapay zekânın ürettiği sonuç, kontrollü biçimde tekrar kurumun sistemine alınmalıdır.

   [VEKÂLET_VEREN_1], [ADRES_1] ve benzeri kodlar, kurum içinde tutulan eşleştirme tablosu kullanılarak gerçek değerleriyle değiştirilmelidir.

   Yapay zekâdan gizlenen bilgileri tahmin etmesi veya tamamlaması istenmemelidir.

   İdeal yapıda bu işlem, çalışanın elle kopyalayıp yapıştırmasıyla değil, kurum içindeki yazılım tarafından otomatik ve kayıtlı biçimde yapılmalıdır. Böylece hem yanlış kişinin bilgisinin yerleştirilmesi hem de bazı alanların unutulması riski azaltılabilir.

6. Son kontrolü insana bırak

   Yapay zekânın hazırladığı metin hiçbir zaman doğrudan kesin belgeye dönüşmemelidir.

   İnsan tarafından şu kontroller yapılmalıdır:

   • Kaynak belgeyle karşılaştırılmalı.
   • Kişi ve kimlik bilgileri kontrol edilmeli.
   • Tarih, tutar, taşınmaz ve yetki bilgileri doğrulanmalı.
   • Yapay zekânın yeni bir ifade veya anlam ekleyip eklemediği incelenmeli.
   • Tarafların gerçek iradesinin metne doğru yansıyıp yansımadığı değerlendirilmelidir.

   Üretken yapay zekâ sistemleri bağlamdan kopuk, eksik veya gerçek dışı içerikler üretebilir. KVKK rehberi de yapay zekâ çıktılarının izlenmesini ve gerektiğinde insan gözetimiyle desteklenmesini önemli görmektedir.

   Bu nedenle bugün için temel kurumsal ilke şu olmalıdır: Yapay zekâ taslak hazırlayabilir, özetleyebilir, karşılaştırabilir ve uyarabilir. Ancak belgenin doğruluğunu, tarafların iradesini ve işlemin sonucunu onaylayan insan olmalıdır.

Uygulamalı bir örnek

Bir noterlik çalışanının vekâletname taslağındaki tekrarları kontrol etmek istediğini düşünelim.

Belgenin aslı şöyledir: Vekâlet veren kişinin adı, kimlik numarası, adresi, vekilin adı, taşınmaz bilgileri ve verilecek yetkiler.

Belgenin tamamını yapay zekâya göndermek yerine kurum içindeki sistem önce metni dönüştürür:

[VEKÂLET_VEREN_1], [VEKİL_1] isimli kişiyi, [TAŞINMAZ_1] ile ilgili olarak aşağıdaki işlemleri yapmak üzere yetkilendirmiştir.

Yapay zekâ yalnızca şu görevleri yerine getirir:

Sonuç kurumun sistemine döner.

Kodlanmış alanlar gerçek değerleriyle yalnızca kurum içerisinde değiştirilir. Ardından çalışan ve gerektiği ölçüde noter, üretilen belgeyi asıl bilgiler ve tarafların iradesiyle karşılaştırarak kontrol eder.

Bu modelde yapay zekâ gerçek kimliği bilmeden metnin yapısını değerlendirmiş olur.

Yapay zekâ kimliği değil, yapıyı görür. İnsan ise hem kimliği hem yapıyı görerek son kararı verir.

Kurumsal önlem yalnızca personele “dikkatli olun” demek değildir

Veri güvenliği, çalışanlara yılda bir kez eğitim verip kişisel verileri yapay zekâya yüklememelerini söylemekten ibaret olamaz.

Çünkü yoğun iş temposunda, en dikkatli çalışan bile hata yapabilir.

Kurumsal sistem mümkünse şu önlemleri almalıdır:

• T.C. kimlik numarası, telefon, e-posta ve adres gibi alanları otomatik olarak algılamalı.
• Kırmızı verilerin haricî sisteme gönderilmesini engellemeli.
• Dosya ve görsel meta verilerini temizlemeli.
• Kullanılabilecek yapay zekâ hizmetlerini merkezi olarak belirlemeli.
• Kişisel hesaplardan kullanımı önlemeli.
• Kullanımları yetki ve işlem kaydı çerçevesinde izlemeli.
• Politika değişikliklerini belirli aralıklarla yeniden değerlendirmelidir.

KVKK rehberi de “tasarımdan itibaren mahremiyet” ve “varsayılan olarak mahremiyet” yaklaşımlarını, risklerin önceden değerlendirilmesini, veri işleme faaliyetlerinin izlenebilir olmasını ve gerekli teknik-idari tedbirlerin süreç başından itibaren kurulmasını önermektedir.

Güvenlik, çalışana yalnızca “yanlış yapma” demek değildir. Yanlış davranışı zor, doğru davranışı ise varsayılan hâle getirmektir.

Sonuç: Yapay zekâyı değil, veri akışını yönetmeliyiz

Vatandaşlar günlük yaşamlarında farkında olarak veya olmayarak pek çok veriyi sistemlere vermektedir.

Ancak güven üzerine kurulu bir kurumun aynı verileri ne yaptığını bilmeden, çalışanlarının bireysel tercihleri üzerinden yapay zekâ sistemlerine aktarması kabul edilebilir değildir.

Çözüm yapay zekâyı tümüyle yasaklamak da değildir.

Çözüm şudur:

• Belgeleri ve verileri önceden sınıflandırmak.
• Görev için gereksiz verileri ayırmak.
• Mümkün olan verileri maskelemek.
• Yalnızca onaylı kurumsal sistemleri kullanmak.
• Gizlenen bilgileri kurum içinde yerlerine koymak.
• Son kontrolü mutlaka insana bırakmak.

Noterliklerde yapay zekâ politikasının ilk sorusu şu olmamalıdır:

“En başarılı yapay zekâ hangisi?”

İlk soru şu olmalıdır:

Hangi veri, hangi şartlar altında dahi kontrolsüz biçimde kurum dışına çıkmamalıdır?

Çünkü noterlikte korunması gereken şey yalnızca bir belge değildir.

Vatandaşın kimliği, özel hayatı, hukuki iradesi ve kuruma duyduğu güvendir.