Operasyon Liderlerinin ’Görmezden Gelemeyeceği Yapay Zekâ Veri Yönetişimi Sorunu
Beş kişiden "veri yönetişimi"ni tanımlamasını isteyin, beş farklı yanıt alırsınız. DPM'nin Yapay Zekâ Başkan Yardımcısı Tim Fisher bu duruma şaşırmıyor. "Her şirketin [kullandığı] gerçekten yerleşik bir tanım olduğunu sanmıyorum," diyor. "Bazı insanlar için bu, hukuk ekibinin onlara ne yapıp ne yapamayacaklarını söylemesi anlamına geliyor; kuruluşun diğer bölümlerinde ise çok farklı şeyler ifade ediyor."
Bu yazı için kavramı, Fisher'ın kesin olarak tanımlaması istendiğinde kullandığı anlamıyla ele alıyoruz: verilere kimlerin, hangi izin kapsamında ve hangi kurallara tabi olarak erişebileceğini belirleyen politika ve hukuk katmanı — verilerin kendisinin doğru, güncel veya iyi düzenlenmiş olup olmadığı değil. Bu ikinci soru gerçek bir soru ve farklı çözümleri olan ayrı bir disiplin; bunu ayrıca ele alıyoruz. Bu yazı politika sorusuna ve bunun neden bekleyemeyeceğine odaklanıyor.
Kavramın asıl karşılığını bulduğu yer: hukuk ve operasyonların kesişimi
Fisher tanımı daralttığında, organizasyon şemasının içinde belirli bir noktaya ulaşıyor. "Veri yönetişimini daha çok politikalar ve ilkeler üzerinden düşünüyorum," diyor — ve büyük bir şirkette bu noktayı kesin olarak şöyle konumlandırıyor: "Hukuk ile veri operasyonları arasındaki Venn şemasındaki kesişim bölgesi."
Continue Reading for Free
Create a free account to finish this article, plus get ongoing access to timely insights and practical resources.
Have an account? Log In
Veri yönetişimini daha çok politikalar ve ilkeler üzerinden düşünüyorum. Hukuk ile veri operasyonları arasındaki Venn şemasındaki kesişim bölgesi.
Bu kesişim soyut bir kavram değil. Fisher, şirketlerin bu yapıları ilk etapta kurmasının çok daha eski ve somut bir nedenine işaret ediyor: menkul kıymetler hukuku. "ABD'de Menkul Kıymetler ve Borsa Komisyonu, içeriden öğrenenlerin ticareti ve benzeri konular nedeniyle, neyin söylenip paylaşılabileceği ve neyin söylenip paylaşılamayacağı konusunda çok katı kurallar koyuyor," diyor.
"Dolayısıyla bu, bir şirketin veri yönetişimine sahip olması için bir neden." Bunu doğrudan şirketin büyüme aşamasına bağlıyor — özel şirketten halka açık şirkete geçiş, genellikle yönetişimin isteğe bağlı olmaktan çıktığı dönemdir; zira dış danışmanlar, halka açık bir şirketin yasal olarak sahip olması gereken yapıları kurmak üzere özellikle görevlendirilir.
Her şeyden önce üzerinde durulması gereken nokta şu: yönetişim, yapay zekâ ortaya çıkmadan çok önce katı bir yasal zorunluluk olarak vardı. Değişen şey, riskin hızı ve kapsamı — bugün operasyonları yöneten herkes için konuyu acil hâle getiren de bu.
Yapay zekâ bunu operasyon liderleri için neden daha acil bir endişe hâline getiriyor?
Şirketlerin her zaman dikkatsizce paylaşmamaları gereken verileri oldu. Yeni olan, artık kimse karar vermeden bu verileri paylaşmanın ne kadar kolay hâle gelmesi. Fisher'ın en net örneği, çoğu çalışanın fark etmeden yanından geçtiği bir ayar: "Ayarlar sayfasında beş katman aşağıya gömülmüş, hiç görmedikleri o küçük düğme; OpenAI veya Anthropic'e tüm bu verilere algoritmalarını eğitmek için erişim veriyor," diyor. Hiç kimsenin bir şeyi sızdırmayı amaçlaması gerekmiyor. Varsayılan ayarın değiştirilmemiş olması yeterli.
Yapay zekâ çağındaki yönetişim başarısızlıklarının çoğunun arkasındaki mekanizma bu: ekiplerin, gerçekte neye izin verdiklerini "anlamadan", özel mülkiyete tabi veya İK bilgilerini LLM'lere "atması"; çünkü gerçekleşmeden önce bunu işaretleyecek politika katmanını kimse oluşturmamış. Fisher, bunun nadir görülen bir hata olmadığını açıkça belirtiyor — "kaynak kodunun yanlış kişilere gösterildiğine dair korkunç hikâyeleri hepimiz duyduk. Bu olabilir."
Gerilim, temkinli davranılmamasından değil, yapısal nedenlerden kaynaklanıyor. Fisher, "Büyüdüğünüz bu garip noktaya geliyorsunuz," diyor. "Bazı kurallara ihtiyaç duyuyorsunuz ama ekiplerinizi de fazla kısıtlamak istemiyorsunuz." Yapay zekâ benimsemesini güvenlikle dengeleyen her operasyon lideri tam olarak bu boşlukta yaşıyor — ve yapay zekâ, altta yatan hukuki riski yaratmadı; yalnızca kimsenin okumadığı bir ayarlar menüsü üzerinden, kazara ve büyük ölçekte tetiklenmesini mümkün kıldı.
Büyüdüğünüz bu garip noktaya geliyorsunuz. Bazı kurallara ihtiyaç duyuyorsunuz ama ekiplerinizi de fazla kısıtlamak istemiyorsunuz.
Operasyon liderleri gerçekte hangi alanlarda risk altında?
Operasyon liderleri için en çok dikkate alınması gereken alanlar şunlardır:
- Çalışanların kişisel verileri. Personel planları, İK kayıtları ve performans bilgileri, herhangi birinin bunların orada bulunmasına gerçekten izin verip vermediği belli olmadan bir yapay zekâ aracının bağlam penceresine girebilir.
- Finansal ve açıklamaya tabi hassas bilgiler. Kamuya açıklanmamış önemli bilgiler, kazanç verileri ve sızması ya da yanlış kişiye yanlış zamanda ulaşması durumunda SEC açıklamasıyla ilgili endişeleri tetikleyecek her türlü bilgi.
- Özel mülkiyete tabi ve fikrî mülkiyet açısından hassas bilgiler (kaynak kodu dâhil). Menkul kıymet düzenlemelerinden ayrı, tamamen erişim denetimi ve gizlilik riski — ancak izlenmeyen diğer yapay zekâ varsayılanlarında olduğu gibi aynı temel mekanizmaya dayanır.
- Müşteri proje verileri. Sözleşme veya izin konusundaki belirsizlikler giderilmeden yapay zekâ araçları üzerinden işlenen özel müşteri bilgileri, henüz kayda geçmiş belirli bir ihlal olmasa bile aynı riski taşır.
Çoğu şirkette bunların hiçbiri yok
Riskler bu kadar yüksek olmasına rağmen Fisher, birçok kuruluşun hiçbir politika katmanı olmadan faaliyet gösterdiğini açıkça belirtiyor. "Birçok kuruluşta hiçbir veri yönetişimi yok," diyor.
Bu durumun her iki uçtan da yaşandığını gördü. Daha büyük ve daha köklü bir şirkette, yönetişimin "uzun bir dönem boyunca çok ciddiye alındığını" gördü; öyle ki bu yaklaşım giderek daha muhafazakâr hâle geldi ve değiştirilmesi de giderek zorlaştı. Daha küçük ve hızlı büyüyen şirketlerin ise tam tersi bir sorunu var: Hızlı hareket etme baskısının üzerine eklenen aşırı temkin değil, hiç temkinli olmama durumu.
Teslimat liderleri için çıkarılacak ders
İlk adımı atmak için kapsamlı bir yönetişim çerçevesi oluşturmanız gerekmiyor. Küçük ve somut bir şeyle başlayın: gidip bir ayarlar menüsünü kontrol edin. Fisher'ın geçiş düğmesi örneği gerçek ve bulunabilir — kuruluşunuzun yapay zekâ araçlarının varsayılan olarak verileriniz üzerinde eğitim yapmak üzere ayarlanıp ayarlanmadığını ve bunu kimin onayladığını öğrenin. Bu, bir proje değil; bu hafta yapabileceğiniz bir konuşma.
Bununla birlikte, Fisher'ın gündeme getirdiği gerçek bir gerilimi de göz önünde bulundurmak gerekir: Engelleme, otomatik olarak güvenli seçenek değildir. "Verilerin kolayca erişilebilir olduğu kuruluşlarda bile, erişimin kısıtlanması gerekmese dahi bunlar çoğu zaman hâlâ özel mülkiyete tabi olarak görülüyor," diyor — ve her şeyi varsayılan olarak kilitlemek, daha az görünür olsa da, bir şirkete her şeyi tamamen açık bırakmak kadar pahalıya mal olabilir. "Kuruluşunuzda verilerinize kimlerin erişebildiğini değiştirmediğiniz sürece değişim konusunda ilerleme kaydedemezsiniz." İyi yönetişim, veriye daha az kişinin dokunması değil; doğru kişilerin doğru verilere, bilinçli bir şekilde erişmesidir.
Verilerin kolayca erişilebilir olduğu kuruluşlarda bile, erişimin kısıtlanması gerekmese dahi bunlar çoğu zaman hâlâ özel mülkiyete tabi olarak görülüyor.
Uygulamada bu, bir politika klasörü değil, birkaç somut adım anlamına gelir:
- Bir olay sizi mecbur bırakmadan, şimdi konuşmayı başlatın. Hangi ekiplerin hâlihazırda yapay zekâ araçlarını kullandığını ve bunları nasıl kullandığını sorun — çoğu operasyon liderinin geride kalmasının tek nedeni, kimsenin bunu sormamış olmasıdır.
- Önce kuruluş genelindeki araçları kontrol edin. Şirket genelinde onaylanan yapay zekâ platformları hangileri olursa olsun, eğitim verisi varsayılanını ve bunlardan geçen verileri kimlerin görebildiğini doğrulayın.
- Kişisel veya resmî olmayan araç kullanımını göz ardı etmeyin. Daha büyük risk çoğu zaman kimsenin onaylamadığı yapay zekâ aracıdır — onaylanan araç daha yavaş olduğu için birinin müşteri notlarını kişisel ChatGPT hesabına yapıştırması gibi. Bunu ortaya çıkarmak cezalandırmakla ilgili değil, asıl riskinizin nerede olduğunu bilmekle ilgilidir.
- Erişim incelemesini ayrı bir konuşma olarak değil, aynı konuşmanın içine dâhil edin. Varsayılanları ve yapay zekâ aracı kullanımını kontrol ederken, kısıtlanması gerekmeyen verilere kimlerin erişimi engellediğini sorun. Bir kapıyı sıkılaştırırken diğerini ardına kadar açık bırakmak yönetişim değil, gösteriştir.
- İnsanları yalnızca kurallara uymaları için değil, hassas verileri tanımaları için eğitin. Çoğu çalışandan hassas sayılan şeyler — müşteri bilgileri, İK kayıtları, finansal bilgiler — veya bunların düzenlenmeyen bir araca girmesi durumunda nelerin ters gidebileceği üzerine düşünmesi hiç istenmemiştir. İnsanlara ne yapmamaları gerektiğini söyleyen bir politika, karşılarındaki riski gerçekten tanımalarından daha az önemlidir.
Bunların hiçbiri, doğru yapmak için ekipleri yavaşlatmanızı gerektirmez. Verilerinizin nereye gittiğini, buna kimin karar verdiğini ve yanıtın hâlâ evet olup olmadığını bilmenizi gerektirir.
Bunun gibi daha fazla içgörü mü istiyorsunuz? Daha fazla uzmanı dinlemek için ücretsiz bir DPM hesabına kaydolun.
