Yapay zeka araçları şirketlerde hızla yaygınlaşırken, uzmanlar veri güvenliği ve siber riskler konusunda önemli uyarılarda bulunuyor. Müşteri verilerinden şirket sırlarına, kaynak kodlarından kritik sistemlere kadar birçok bilginin kontrolsüz şekilde yapay zeka sistemlerine aktarılabildiğini belirten Ankara Üniversitesi Öğretim Görevlisi, Adli Bilişim ve Siber Güvenlik Uzmanı Hamza Aytaç Doğanay, kurumların yapay zeka kullanımında yeni bir güvenlik dönemine girdiğini söyledi.
Hem akademik çalışmaları hem de Emniyet Genel Müdürlüğü bünyesinde Siber Suçlarla Mücadele alanındaki saha ve yöneticilik tecrübesiyle tanınan Doğanay'a göre birçok kurum yapay zekayı kullanmaya başladı ancak güvenlik tarafı aynı hızda gelişmiyor.
"Şirketler üretkenlik kazanmak isterken farkında olmadan yeni saldırı yüzeyleri oluşturabiliyor. Yapay zeka artık sadece bir yardımcı araç değil. Güvenlik açıklarını bulabiliyor, sistemleri akıllı şekilde analiz edebiliyor ve bazı durumlarda saldırı senaryoları oluşturabiliyor. Bu nedenle yapay zekayı kullanan şirketlerin yeni güvenlik kurallarına ihtiyacı var."
Doğanay uyardı, Avrupa Birliği yapay zeka okuryazarlığını zorunlu hale getirdi
Kişisel Verileri Koruma Kurumu'nun (KVKK) son dönemde yayımladığı üretken yapay zeka rehberleriyle kurumları veri güvenliği konusunda uyardığını hatırlatan Doğanay, özellikle kişisel verilerin, müşteri bilgilerinin ve ticari sırların kontrolsüz şekilde yapay zeka sistemlerine aktarılmasının ciddi riskler oluşturduğunu belirtti.
"Bir çalışanın iyi niyetle ChatGPT veya benzeri sistemlere yüklediği bir belge, kurum açısından veri sızıntısına dönüşebilir. Şirketlerin hangi verilerin yapay zeka sistemlerine aktarılabileceğini net şekilde belirlemesi gerekiyor."
Doğanay, Avrupa Birliği Yapay Zeka Yasası'nın (AI Act) 4. maddesi kapsamında "Yapay Zeka Okuryazarlığı" yaklaşımının 1 Temmuz 2026 tarihi itibari ile yürürlüğe girdiğini hatırlatarak, kurumların yalnızca yapay zeka kullanmasının değil, çalışanlarının bu teknolojiyi bilinçli ve güvenli şekilde kullanmasını sağlamasının da beklendiğini söyledi.
"Bir sorun yaşandığında veya bir denetim gerçekleştiğinde, çalışanlarınıza yapay zeka kullanımı konusunda rehberlik ettiğinizi gösterebilecek misiniz? Asıl soru bu."
Doğanay'a göre kurumların en sık yaptığı hatalar şunlar:
- Çalışanlara yapay zeka farkındalık eğitimi verilmemesi
- Kurumsal kullanım kurallarının oluşturulmaması
- Süreçlerin ve yetkilendirmelerin belgelenmemesi
- Veri kullanımına ilişkin kontrol mekanizmalarının kurulmamış olması
- Yapay zeka kullanım envanterinin çıkarılmamış olması
"Yapay zeka ile ilgili düzenlemelerin amacı şirketleri cezalandırmak değil, yapay zekanın bilinçli, güvenli ve sorumlu şekilde kullanılmasını sağlamak. Ancak kurumların çalışanlarını bilgilendirdiğini, gerekli önlemleri aldığını ve süreçlerini tanımladığını gösterebilmesi gerekiyor. Bu nedenle konuya yalnızca uyumluluk maliyeti olarak değil, kurumsal risk yönetimi ve dijital olgunluk meselesi olarak bakmak gerekiyor."
Şirketler için en kritik 15 güvenlik kuralı
Doğanay'a göre yapay zeka kullanan şirketlerin öncelikle şu konulara dikkat etmesi gerekiyor:
Hassas verileri ve müşteri bilgilerini kontrolsüz şekilde çevrimiçi yapay zeka sistemlerine yüklememek: Yüklenen veri geri alınamaz, bir kez dışarı çıkan bilgi kalıcı olarak kurumun kontrolünden çıkar.
Yapay zeka kullanımının ve çıktılarının mutlaka insan denetiminden geçirilmesini sağlamak: Denetlenmeyen her çıktı, kurumun adına alınmış kontrolsüz bir karardır. Yapay zeka ajanlarının hangi kullanıcılar tarafından kullanılabildiği, hangi kurumsal verilere eriştiği, E-posta, dosya sistemi, CRM, ERP, GitHub, veri tabanı veya bulut sistemlerinden hangilerine bağlandığı, sadece bilgi mi verdiği yoksa işlem de yapabilme yetkisine sahip olup olmadığı, dosya silme, e-posta gönderme, yetki verme, kod çalıştırma veya ödeme başlatma gibi kritik yetkilerinin bulunup bulunmadığı, hangi model ve hizmet sağlayıcıların kullanıldığı, verilerin hangi ülkede işlendiği ve ne kadar süre saklandığı denetimleri özellikle yapılmalıdır.
Yapay zeka sistemlerine sınırsız erişim ve yetki vermemek: Sınırsız yetki verilen bir yapay zeka, kurumun en kritik sistemlerine açılmış bir kapıdır.
Kurumsal yapay zeka kullanım politikaları oluşturmak: Yazılı kuralı olmayan kurum, bir kriz anında "biz önlem almıştık" diyemez. Bu nedenle kurumlar ISO/IEC 27001 gibi bilgi güvenliği sertifikalarına sahip olsalar da yapay zeka kullanımı söz konusuysa ajanın yapabileceği işlemin etkisi arttıkça güvenlik sınıfı da yükseltilmelidir. Bu aşamada ISO/IEC 42001 ve ISO/IEC 42005 standartları devreye girmelidir. ISO/IEC 42001, yapay zeka sistemlerinin kurum çapında politika, sorumluluk, risk yönetimi ve sürekli izleme süreçleriyle yönetilmesini; ISO/IEC 42005 ise sistem bazında etki değerlendirmesi yapılmasını öngörmektedir.
Yapay zeka sistemlerini düzenli güvenlik testlerinden geçirmek: Test edilmemiş her sistem, ne zaman patlayacağı belli olmayan bir risk taşır.
Çalışanların hangi yapay zeka araçlarını kullandığını kayıt altına almak: Görünmeyen "gölge yapay zeka" kullanımı, kurumun en büyük açığı haline gelebilir.
Onaylı yapay zeka araçlarının net bir listesini belirlemek ve dışındaki araçları kısıtlamak: Herkesin istediği aracı kullandığı bir ortamda veri güvenliğinden söz edilemez.
Sisteme yalnızca gerekli olan verinin aktarılmasını sağlamak (veri minimizasyonu): Bu kural, aynı zamanda KVKK’nın en önemli ilkelerinden biridir. Paylaşılmayan veri, sızdırılamayan veridir.
Yapay zekaya aktarılan verilerin loglanması ve düzenli izlenmesi: Hangi verinin nereye gittiğini bilmeyen kurum, o veriyi çoktan kaybetmiş demektir.
Çalışanlara periyodik yapay zeka güvenliği ve farkındalık eğitimi vermek: Eğitilmeyen çalışan, kurumun en büyük maaşlı güvenlik açığıdır.
Tedarikçi ve üçüncü taraf yapay zeka çözümlerini sözleşme ve güvenlik açısından denetlemek: Riski yalnızca kendi sisteminizde değil, çalıştığınız her sağlayıcıda aramak gerekir. Yine KVKK, tedarikçiler için önemli güvenlik tedbirleri alınması gerektiğini vurgulamaktadır.
Olay müdahale planlarını yapay zeka kaynaklı sızıntı senaryolarını da kapsayacak şekilde güncellemek: Kriz anında plan yoksa, kaybı kurum öder.
Kurumun kullandığı ve özellikle yerel adı altında satılan, yapay zeka motoru olduğu iddia edilen projeler mutlaka denetimden geçirilmelidir: Bu imkanlar, başka bir yapay zekanın apisini kullanan sarmalayıcı olabilir.
Şirket adına konuşan yapay zekaları mutlaka açıkça belirtmek: Müşteriler, çalışanlar ve iş ortakları karşılarında insan mı yoksa yapay zeka mı olduğunu bilmelidir. Kimliği belirsiz yapay zekalar yanlış yönlendirme, dolandırıcılık ve itibar kaybı riskini artırır.
Yapay zeka sistemlerinin kullandığı API anahtarları, erişim belirteçleri (token), servis hesapları ve kimlik bilgilerini en düşük yetki prensibiyle yönetmek ve düzenli olarak yenilemek: Çalınan tek bir API anahtarı, saldırganın kurumun yapay zeka ajanı gibi hareket ederek e-posta göndermesine, dosyalara erişmesine, verileri dışarı aktarmasına veya kritik sistemlerde işlem yapmasına neden olabilir. Yapay zeka ajanı ele geçirildiğinde, saldırgan artık içerideki güvenilir kullanıcı gibi davranır.
"Saldıran da yapay zeka, savunan da"
Doğanay, siber güvenlikte yeni dönemin en önemli özelliğinin saldırı ve savunma tarafında yapay zekaların aktif rol üstlenmesi olduğunu söyledi.
"Geçmişte güvenlik açıklarını insanlar bulmaya çalışıyor , güvenlik ekipleri bunları analiz edip kapatmaya çalışıyordu. Bugün ise gelişmiş yapay zeka sistemleri dakikalar içerisinde binlerce satır kodu inceleyebiliyor, güvenlik açıklarını tespit ediyor ve saldırı senaryoları oluşturabiliyor. İnsanların günler hatta haftalar sürebilecek çalışmalarını yapay zeka sistemleri çok daha kısa sürede gerçekleştirebiliyor."
Siber tehditlerin artık yapay zeka destekli hale geldiğini belirten Doğanay, kurumların klasik güvenlik yaklaşımlarıyla bu dönüşüme ayak uydurmasının giderek zorlaştığını ifade etti.
"Yapay zeka destekli saldırılar yaygınlaşırken kurumların yalnızca güvenlik duvarlarına ve geleneksel test yöntemlerine güvenmesi yeterli değil. Yapay zekanın oluşturduğu riskleri yine yapay zeka destekli sistemlerle yönetmek zorundayız. Siber güvenlikte artık saldıran da yapay zeka, savunan da."
Doğanay'a göre önümüzdeki dönemde şirketler için en büyük risklerden biri, saldırganların kullandığı teknolojilerin gerisinde kalmak olacak.
"Bugün dünyada yapay zeka destekli sistemler güvenlik açıklarını otomatik olarak keşfedebiliyor, istismar senaryoları oluşturabiliyor ve kurumların dijital varlıklarını analiz edebiliyor. Bu nedenle şirketlerin düzenli olarak saldırı yüzeylerini ölçmesi, güvenlik açıklarını proaktif şekilde tespit etmesi ve yapay zeka güvenliğini kurumsal risk yönetiminin bir parçası haline getirmesi gerekiyor."
