Gizlilik Tasarımı: Güvenden Ödün Vermeyen Bir Yapay Zekâ Stratejisi Oluşturmak
Bu makale, DPM podcast'indeki "Önce Gizlilik Odaklı Yapay Zekâ Stratejisi: Nasıl Görünür ve Neden Önemlidir?" bölümünden uyarlanmıştır.
Düzenlemeye Tabi Olmanın Avantajı: Düzenlemeye tabi sektörler, yapay zekâyı sorumlu bir şekilde kullanıma sunmak için yerleşik yönetişim, uyumluluk ve olaylara müdahale uygulamalarını yeniden kullanabilir.
Risk Ayrımı: Kuruluşlar, dahili araçları ürün özelliklerinden ayırarak yapay zekâ risklerini, kontrollerini ve hesap verebilirliği daha doğru değerlendirebilir.
Önce Gizlilik: Gizlilik öncelikli bir yapay zekâ stratejisi; kişisel verileri, özel bilgileri ve güvenliği korurken beklenen ticari değeri netleştirir.
Paylaşılan Sahiplik: Kuruluşlar, etik ilkeleri belirlemeden veya yapay zekâ politikaları tasarlamadan önce veri sahipliği konusundaki inançlarını tanımlamalıdır.
Uygulamalı Hesap Verebilirlik: Çapraz işlevli ekipler, risk matrisleri, çalışan eğitimi ve tedarikçilerin incelenmesi; kestirme yolları önlemeye ve kendinden emin kararları desteklemeye yardımcı olur.
Çoğu kişi, yoğun şekilde düzenlenen sektörlerin — finansal hizmetler, sağlık, enerji, telekomünikasyon — yapay zekâ konusunda yavaş ilerlemeye mahkûm olduğunu; bürokrasiyle ağırlaşırken daha az düzenlenen sektörlerin hızla öne geçtiğini varsayar. RadarFirst'in stratejik danışmanı ve eski Hukuk İşleri Direktörü Lauren Wallace'a göre bu varsayım tamamen yanlıştır.
Apple, Microsoft ve Nike'ta hukuk ve iş geliştirme görevlerinde bulunmuş olan Wallace, düzenlemeye tabi işletmelerin uyumlu ve sorumlu yapay zekâ programları oluşturma konusunda aslında bir adım önde olduğunu savunuyor. Bu makale, önce gizlilik odaklı bir yapay zekâ stratejisi çerçevesini ele alıyor: bileşen düzeyinde nasıl göründüğünü, kuruluş genelinde desteğin nasıl oluşturulacağını ve en büyük risklerin — ve fırsatların — gerçekte nerede bulunduğunu açıklıyor.
Continue Reading for Free
Create a free account to finish this article, plus get ongoing access to timely insights and practical resources.
Have an account? Log In
Düzenlemeye Tabi Sektörler Neden Zaten Bir Adım Önde Olabilir?
Yapay zekâ yönetişiminin temel ilkeleri — şeffaflık, hesap verebilirlik, önyargı izleme — yeni icatlar değildir. Wallace'ın açıkladığı gibi, "şeffaflık, hesap verebilirlik, önyargı izleme, önleme gibi yapay zekâ yönetişiminin temelini oluşturan ilkeler… zaten mevcut düzenleyici çerçevelerin içine işlenmiş durumda." Buna GDPR'nin yanı sıra adil kredi verme yasaları, fırsat eşitliği yasaları ve diğer pek çok medeni haklar ile tüketiciyi koruma çerçevesi de dahildir.
Şeffaflık, hesap verebilirlik, önyargı izleme, önleme gibi yapay zekâ yönetişiminin temelini oluşturan ilkeler… zaten mevcut düzenleyici çerçevelerin içine işlenmiş durumda.
Örneğin bankalar, algoritmik karar alma süreçleri için yıllardır "model yönetimi kuralları" çerçevesinde faaliyet gösteriyor — Wallace'ın ifadesiyle bu kurallar, "tüm bu yapay zekâ araçlarıyla incelediğimiz konuya kolayca uyarlanabilir." Bu sektörlerdeki kuruluşlar genellikle bu çerçeveler üzerine kurulmuş uyum programlarına, özel yönetişim kaynaklarına ve uygulama araçlarına zaten sahiptir.
Bu durum olay müdahalesi için de geçerlidir. Wallace bu konuda açık konuşuyor: "Olayın nereden kaynaklandığı önemli değil; yanlış yönlendirilmiş bir fakstan mı yoksa kişisel bilgileri kullanmasına izin verdiğiniz bir yapay zekâdan mı kaynaklandığı fark etmez. Olay olaydır." Güvenlik ve gizlilik bildirim kuralları yapay zekâ için bir istisna öngörmüyor ve onun ifadesiyle, "suçu basitçe yapay zekânıza atamazsınız."
Öyleyse asıl risk nerede? Tahmin edebileceğiniz büyük işletmelerde değil. Wallace, "Asıl büyük zorluğun orta ölçekli işletmeler için olduğunu düşünüyorum," diyor. "Yapay zekâyı iş akışlarına uyguladıklarında bu düzenleyici engellerle ilk kez karşılaşıyor olabilirler ve şimdi nereden başlayacaklarını merak ediyorlar.”
Kullanım Alanlarınızı İki Kategoriye Ayırın
Wallace, yapay zekâ girişimlerinin başlangıçtan itibaren iki kategoriye ayrılmasını öneriyor:
- Verimlilik için yapay zekânın dahili kullanımı, mevcut araçların değiştirilmesi veya işlevsel iyileştirmeler.
- Ürün geliştirmede yapay zekâ kullanım alanları.
Onun da belirttiği gibi, "bunların her biri için dikkate alınması gereken unsurlar oldukça farklı" — yapay zekâ stratejisini farklılaşmamış tek bir girişim olarak ele almak, riski doğru şekilde değerlendirmeyi zorlaştırır.
Tasarımdan İtibaren Gizlilikle Başlayın — Ancak Kişisel Verilerle Sınırlı Kalmayın
Önce gizlilik odaklı bir yaklaşım, müşteri bilgilerinin korunmasının ötesine geçer. Wallace, "yalnızca kişisel bilgilerin değil, şirketin özel bilgilerinin de korunması" gerektiğine dikkat çekiyor; çünkü "şirket bilgilerini ChatGPT gibi bir LLM'ye aktardığınızda birçok yeni risk ortaya çıkıyor."
Yapay zekâyla birlikte çarpıcı yeni bir saldırı yüzeyimiz var. Bu nedenle güvenliğinizin sağlam olduğundan emin olmalısınız.
Güvenlik duruşuna da doğrudan dikkat çekiyor: "Yapay zekâyla birlikte çarpıcı yeni bir saldırı yüzeyimiz var. Bu nedenle güvenliğinizin sağlam olduğundan emin olmalısınız." Ancak her şeyden önce iç uyumu vurguluyor — "Yapay zekâyla ne yapmak istediğinizi, yapabileceğinizi düşündüğünüz şeyleri ve elde etmeyi umduğunuz gerçek yatırım getirisini anlamak için kurum içi görüşmelerinizi başlatmanız."
En Düşük Ortak Paydayı Değil, En Yüksek Standardı Seçin
Farklı gizlilik düzenlemeleri benzer temel değerleri paylaşır, ancak bunları farklı şekillerde uygular. Wallace'ın tavsiyesi şöyle: "En yüksek standardı bulmaya çalışın. Faaliyet gösterdiğiniz düzenleyici ortamlar arasında tutarlı olan noktaları bulmaya ve herkese aynı yüksek ilkesel yaklaşıma tabiymiş gibi davranmaya çalışın."
Alternatif olan — her yerde yasal açıdan asgari gereklilikleri yerine getirmeye çalışmak — ters teper. "Bu, düzenleyici yaptırım riskinizi azaltacakmış gibi görünebilir," diyor, "ancak ilginç işler yapmaya çalışırken uygulama ve zihinsel yük açısından size çok daha pahalıya mal olacaktır."
Mesele yalnızca düzenleyici yaptırım riski de değil. Wallace şöyle açıklıyor: "İşinize etik bir yaklaşımı teşvik edecektir; düzenleyici yükümlülüklerinizin bir yerde, başvurabileceğiniz şekilde bölüm ve madde belirtilerek açıkça yazılmadığı durumlarda bile." Hukuki risk yalnızca bir düzenleyici kurumdan değil, beklenmedik yerlerden de gelebilir — "bir toplu dava", "girişimci bir hukuk ekibi" veya "rakipleriniz".
Kurumunuzun Veri Sahipliği Konusundaki Konumuna Karar Verin
Wallace, yapay zekâ etiği ilkelerinin bir listesini hazırlamadan önce kurumların daha temel bir soruyu yanıtlaması gerektiğini savunuyor. Veri sahipliği konusunda dünya genelinde rekabet eden üç felsefeyi ortaya koyuyor:
AB modeli hakkında: "Gizlilik temel bir insan hakkıdır ve kişisel bilgilerinizin kullanımı konusunda karar verme hakkı, veri sahibine — insana — aittir."
Tarihsel ABD modeli hakkında: "Bu kişisel bilgilerin değerinin, ondan değer elde ettiği için bilgileri toplayan şirkete ait olduğunu düşündük ve dolayısıyla değeri onlar elde ettiyse mutlaka onlara ait olması gerektiğini varsaydık."
Başka yerlerde görülen üçüncü bir model hakkında: "Kişisel bilgilerin değeri, hatta kişisel bilgilerin kendine özgü içeriği, devlete ait kabul edilir; çünkü devlet bu bilgileri veri sahibinin en yüksek yararı doğrultusunda kullanacaktır."
Vurgulamak istediği nokta, şirketlerin bu konuda farkında olarak bir seçim yapması, sonradan kendiliğinden bir konuma sürüklenmemesi gerektiği: "Bir kuruluş olarak kişisel bilgilerden değer elde ederek hizmet sunduğumuza mı inanıyoruz? [Yoksa] müşterilerimizin kişisel bilgileri veri sahibinin yararına kullanmasına yardımcı olarak hizmet sunduğumuza mı inanıyoruz?" Bu kararın etik ilkeler listesinden önce gelmesi gerektiğini söylüyor — "temelde adalet, hesap verebilirlik ve önyargının azaltılması gibi ilkelerin bir listesiyle başlamak" yerine nereden başlamanız gerektiği budur.
Veri Zenginleştirmenin Gizli Maliyeti
Tek tek veri noktaları kendi başlarına değersiz görünebilir, ancak Wallace, birleştirmenin denklemi değiştirdiği konusunda uyarıyor: "Bu tek bir durumda tek bir tedarikçiye sağladığınız bilgiler — tek başına durduğunda çok fazla değere sahip olmayabilir. Ancak başka amaçlarla kullanabilecek üçüncü taraflara toplandığında, zenginleştirildiğinde ve yeniden satıldığında değeri çok daha yüksek olur."
Bunu gerçek bir satın alma hikâyesiyle açıklıyor: Büyük bir banka, özellikle "öğrenci kredisi hizmetlerini satın almış 4 milyon kişinin adından" oluşan bir liste için bir girişim satın aldı ve yaklaşık "175 milyon dolar" ödedi — doğrulanmış ve nitelikleri belirlenmiş potansiyel müşterilerden oluşan güncel bir listenin, tipik müşteri edinme maliyetleri olan "kişi başına yaklaşık 150 dolar" ile karşılaştırıldığında "kişi başına yüz dolar" değerinde olduğunu düşünüyordu. Ancak bir sorun vardı: "Bu 4 milyon adın sahte olduğunu öğrendiler. Bir tür yapay zekâ programı kullanılarak sentetik olarak oluşturulmuşlardı" ve anlaşma çöktü.
Buradan çıkardığı sonuç, insanların kendi verilerine ne kadar gelişigüzel davrandığına yönelik bir meydan okuma niteliğinde: "Bu büyük banka sizin en az yüz dolar değerinde olduğunuzu düşündü. Peki siz [tüketici olarak], değerini bilerek bu verilerle farklı bir şey yapar mıydınız?”
Hesap Verebilirliği Yalnızca Yönetim Kuruluna Değil, Proje Ekibine de Yerleştirin
Wallace, "üst yönetimin tutumunun" önemli olduğunu söylüyor, ancak "proje düzeyinde faaliyet gösterdiğimizde bunun sizi ancak bir yere kadar götürdüğünü" belirtiyor. Gerçek hesap verebilirlik, her yapay zekâ girişimi için gerçekten işlevler arası bir grubu masaya getirmeyi gerektiriyor — "ürün masada, mühendislik masada, güvenlik masada" — ayrıca insanların sıklıkla gözden kaçırdığı işlevleri de:
Müşteri başarısı: "Komut dosyasının yokluğunda en azından soruyu başka birine iletebilecek kelime dağarcığına sahip olacak kadar işlevselliği anlıyorlar mı?"
Pazarlama: "Yapay zekâya karşı mesafeli kategoride mi olduklarını, yoksa yeni şeyler denemeye çok hevesli olan diğer uçta mı bulunduklarını biliyor musunuz? Yeni özelliklerden bahsederken mesajlarınızın tonunu ve içeriğini nasıl ayarlayacaksınız?”
Hukuk: "Portföyünüzde, sizden satın aldıkları ürünlerde yapay zekâ kullanımını yasaklayan müşteriler olabilir. Bu, sözleşmenin bir yerinde gömülü olabilir. Algoritmik karar verme veya model kullanma ifadeleri yer alabilir. Bu kullanımı yasaklayan 10 yıllık bir sözleşmeniz olabilir."
Wallace'a göre amaç, kendisini o anda sorumlu tutan bir ekip oluşturmaktır.
Kasıtsız Kötüye Kullanımı Bilinçli Risk Almaktan Ayırın
Wallace, kazara gerçekleşen maruz kalma ile bilinçli olarak kestirme yollara başvurma arasında net bir çizgi çekiyor. Kazara gerçekleşen durumla ilgili olarak şöyle diyor: "Kullandığımız bu araçların çoğunda, kişisel bilgilerinizin veya kurumsal gizli bilgilerinizin açığa çıkıp çıkmayacağını kontrol etmenizi sağlayan etkinleştirilebilir yapılandırmalar bulunuyor."
Daha zor sorun, son teslim tarihinin baskısıyla başvurulan kestirme yol — birinin "cuma gününe kadar teslim etmemiz gerekiyor" diye "bu veri kümesini herkese açık bir Büyük Dil Modeline yüklemeye" karar vermesi. Wallace'ın bu senaryoya yanıtı net: "Bunu kesinlikle yapmayın."
Ekiplere Hayır Deme İzni Verin
Wallace, hayır demenin cezalandırıcı olmadığını, bunun bir disiplin olduğunu söylüyor: "Bunda hiçbir keyif yok, değil mi? Bu, kindar bir şey değil." Önerdiği araç basit bir risk matrisi — "bir kenarda olasılık, diğer kenarda önem derecesi" — kuruluşun "o alandaki noktanızı bulma konusunda gerçekten samimi bir konuşma yapmasına" ve sınırın nerede olduğunu birlikte kararlaştırmasına olanak tanıyor.
RadarFirst'te tedarikçileri değerlendirirken bunu kendisinin de uyguladığını açıkça belirtiyor: "Yıl boyunca yüzlerce tedarikçiyi inceledik. Reddettiğimiz tedarikçilerin oranı oldukça yüksekti. 'Yeterli bilgimiz yok' veya 'gerçekten inceleyebileceğimiz bir güven merkezi yayımlamamışlar' ya da 'bize açıklamadıkları temel modelleri kullanıyorlar' dedik."
Sonradan bilgisizliği mazeret olarak gösteremezsiniz: "Bir tedarikçiye gidip 'Sizden satın alırken ne yaptığınızı gerçekten anlamamıştım' diyemem. Hukuk önünde bilgisizlik savunma değildir. Hiçbir zaman olmadı. Hiçbir zaman da olmayacak."
Bir tedarikçiye gidip, “Sizden satın alırken ne yaptığınızı gerçekten anlamamıştım.” diyemem. Hukuk önünde bilgisizlik savunma değildir.
Yapay Zekâ Okuryazarlığını Yalnızca Liderlikte Değil, Kuruluşun Genelinde Geliştirin
RadarFirst'te Wallace'ın ekibi düzenli bir eğitim serisi yürüttü: "Yaklaşık bir buçuk yıl önce etik yapay zekâ hakkında aylık bir öğle yemeği ve öğrenme oturumu başlattık. Her oturumda bir konuyu ele aldık — insan iradesi ve gözetimi, şeffaflık veya hesap verebilirlik." Oturumlarda temel olarak AB'nin yapay zekâ yönergeleri kullanıldı ve Yapay Zekâ Olayları Veritabanı'ndan gerçek hayattan vaka çalışmaları ele alındı: "Şeffaflık veya önyargının azaltılması ilkelerini ilgilendiren, basına yeni yansımış sarsıcı olaylar."
Wallace, amacın o anda kimsenin fikrini değiştirmek olmadığını açıkça belirtiyor: "Belki odadan ayrıldıklarında bulundukları noktayı değiştirmemişlerdi. Bu anlaşılabilir. Ancak masalarına döndüklerinde, endişelerini ekipleriyle tartışabilecekleri veya endişelerini uygun şekilde hukuk ya da uyum birimine ya da ürün ekibine iletebilecekleri bir kelime dağarcığına sahiptiler."
Bu oturumları kimin yönetmesi gerektiğine gelince, bunun özel olarak işe alınmış bir yapay zekâ etiği uzmanı gerektirdiğini düşünmüyor: "Bu görevi aydan aya farklı kişiler arasında paylaşabileceğinizi ve her seferinde biraz farklı bir değer elde edebileceğinizi görebiliyorum."
Düzenlemeler Yavaşça Yetişiyor — Şimdi Kendi Etik İlkelerinize Göre Harekete Geçin
Wallace, hukukun kendisini ortak değerlerin geriden gelen bir göstergesi olarak çerçeveliyor: "Hukuk, ortak etik ilkelerimizin ne olduğunu yazıya döküp insanların bulabileceği bir yere koymanın bir yoludur." Bu arada davalar, sorunları "yeni ve daha önce görülmemiş olduklarında, yasama döngülerinde ele alınmaları için henüz zaman olmadığında" işleyerek aradaki boşluğu dolduruyor — ancak bu süreç tasarımı gereği yavaş: "adalet çarkları yavaş döner, ama son derece titizdir."
Colorado'nun yapay zekâ mevzuatını ibret verici bir örnek olarak gösteriyor: Eyalet "oldukça hızlı hareket etti. Oldukça iyi bir şey ortaya koydular, sonra da bunu geri çekmek zorunda kaldılar; çünkü gerçekte nasıl yürürlüğe koyacaklarını çözemediler." Buna uyum sağlamak için önceden hazırlık yapan şirketler beklemek zorunda kaldı.
Önerisi, düzenlemelere sonradan yetişmeyi bitiş çizgisi olarak görmekten vazgeçmek: "Etik bir kuruluş olmanın ne anlama geldiğini biliyorsanız, risk eşiğinizin nerede olduğunu biliyorsanız, yasama veya dava riskinizi o kategorinin daha güvenli tarafına koyup şöyle diyebilirsiniz: tamam, iş o noktaya gelirse bununla yüzleşmeye hazırız. Ancak şu anda yeterince bilgimiz yok — kendimiz hakkında bildiğimiz şey, neyin doğru olduğuna ve müşterilerimizin bizden ne beklediğine inandığımızdır. Bugün harekete geçebileceğimiz şey de budur."
Bunun gibi daha fazla içgörü mü istiyorsunuz? Ücretsiz bir DPM hesabı oluşturun ve bu uzmanlar gibi daha fazla uzmanın görüşlerini dinleyin.
