Gölge Yapay Zekânın Faturası
Kural konmadan kullanılan yapay zekâ araçları, veri ihlallerinin beşte birinde rol oynuyor. IBM’in yıllık veri ihlali raporu bunu sayıya bağlamış: yüksek düzeyde gölge yapay zekâ kullanımı, ortalama ihlal maliyetine 670 bin dolar ekliyor. Yetkisiz araçlar ihlallerin yaklaşık yüzde 20’sinde devrede. Yani her beş ihlalden biri, kimsenin haberi olmayan bir araçtan geçiyor.
Gölge yapay zekâ, çalışanların kurumun onaylamadığı araçları kendi başına kullanması demek. Yasak olduğu için değil, kural olmadığı için oluyor. Kimse kötü niyetli davranmıyor; sadece ne yapılacağını bilmiyor.
Rakam Ne Söylüyor?
BU BÖLÜMÜN ÖZETİ
- Ek maliyet, ihlalin kendisinden ayrı
- Sorun erişim denetimi eksikliği
- Yapay zekâ hem saldırıda hem savunmada
Üç bulgu var.
Ek maliyet, ihlalin kendisinden ayrı
670 bin dolar, ihlal maliyetinin üstüne binen ek bir tutar. Yani aynı olay, gölge kullanım varsa daha pahalıya mal oluyor. Sebep basit. Verinin nereye gittiği bilinmediği için tespit uzuyor. Kapsamı belirlemek de zorlaşıyor. Uzayan süre ise doğrudan maliyete yansıyor.
Sorun erişim denetimi eksikliği
Rapor, gölge yapay zekânın karıştığı ihlallerin neredeyse tamamının uygun erişim denetimi ve yönetişimi olmayan şirketlerde yaşandığını söylüyor. Yani araç değil, çerçevesizlik sorun üretiyor. Aynı aracı kural içinde kullanan işletmede bu risk oluşmuyor. Araç aynı, sonuç farklı çıkıyor. Belirleyici olan çerçeve.
Yapay zekâ hem saldırıda hem savunmada
Aynı raporda ihlallerin yüzde 16’sında saldırganların yapay zekâ kullandığı belirtiliyor; oltalama ve sahte içerik başta. Öte yandan güvenlik tarafında yapay zekâ kullanan kuruluşlar ihlal süresini kısaltıp maliyeti düşürmüş. Aynı teknoloji iki tarafta da çalışıyor. Fark, hangi tarafın hazırlıklı olduğunda çıkıyor. Hazırlık da kural yazmakla başlıyor.
Manşetin Kaçırdığı
BU BÖLÜMÜN ÖZETİ
- Küresel maliyet düştü ama tablo karışık
- Süre, maliyetin ana belirleyicisi
- Eğitim verisi de bir varlık
Üç ayrıntı var.
Küresel maliyet düştü ama tablo karışık
Küresel ortalama ihlal maliyeti bir önceki yıla göre gerilemiş. Sebep, tespit ve kapsama sürelerinin kısalması. Ama bu düşüş her yerde geçerli değil; bazı ülkelerde maliyet rekor seviyeye çıkmış. Yani ortalama sizin durumunuzu anlatmıyor. Kendi riskinizi kendi verinizle ölçmek gerekiyor. Ortalama, kimsenin gerçek durumu değil.
Süre, maliyetin ana belirleyicisi
İhlali tespit edip kontrol altına almanın küresel ortalaması 241 gün. İki yüz günü aşan ihlaller belirgin biçimde pahalıya mal oluyor. Yani asıl mesele ihlalin olup olmaması değil. Ne kadar sürdüğü.
Eğitim verisi de bir varlık
Rapor, yapay zekâ veri setlerinin finansal ya da sağlık kayıtlarıyla aynı düzeyde yüksek değerli varlık sayılmasını öneriyor. Bu, küçük işletme için de geçerli: bir araca verdiğiniz veri artık sizin dışınızda bir yerde duruyor. Geri almanız da her zaman mümkün olmuyor. Veri envanteri bu soruyu cevaplıyor.
İşletme Ne Yapmalı?
BU BÖLÜMÜN ÖZETİ
- Maliyet: kural yazmak bir saat
- İlk adım: mevcut kullanımı sorun
- Sonraki adım: kurumsal hesap açın
Üç adım.
Maliyet: kural yazmak bir saat
Gölge kullanımın çözümü pahalı bir güvenlik yatırımı değil. Tek sayfalık bir kural yeterli: hangi veri girilemez, hangi araçlar kullanılabilir, kim sorumlu. Bir saatte yazılıyor ve en büyük riski kapatıyor. Uzun politika kimse okumuyor; bir sayfa okunuyor.
İlk adım: mevcut kullanımı sorun
Ekibe açık bir soru sorun: kim hangi aracı kullanıyor? Suçlama tonu olmasın. Amaç tespit etmek, ceza vermek değil. Görünmeyen kullanım yönetilemiyor. Görünür hâle gelen kullanım ise kolayca düzene giriyor. Sormak da bir toplantı sürüyor.
Sonraki adım: kurumsal hesap açın
Kişisel hesapla kullanılan araçta şartları siz belirlemiyorsunuz. Kurumsal hesapta veri politikasını okuyup seçebiliyorsunuz. Saklama süresi ve eğitimde kullanım gibi maddeler orada yazıyor. Bütçe elvermiyorsa en azından hangi işlerde kişisel hesap kullanılabileceğini yazın. Kural yazma yöntemi ayrı bir yazıda.
Gölge kullanımın maliyeti aracın ücreti değil. Verinin nereye gittiğini bilmemenin bedeli.