Kurumsal yapay zekâda yetki ve veri güvenliği: Sorulması gerekenler

Kurumsal yapay zekâda yetki ve veri güvenliği, asistanın hangi veriye hangi yolla eriştiği, neyi değiştirebildiği ve kimin neyi görebildiği sorularının bütünüdür. Yönetici ekranında bir soru kolay görünür; ama o soru bütçeyi, müşteri bazlı satışı ya da sevkiyat kayıtlarını açabilir. Bu yüzden bir yapay zekâ asistanı seçerken cevabın ne kadar akıcı olduğundan önce arkada neyin çalıştığına bakmak gerekir. Sohbet arayüzü ne kadar sade olursa olsun, altında veritabanına bağlanan bir katman, bir hesap ve bir yetki modeli vardır; risk de bu katmandadır, arayüzde değil.

Aşağıdaki liste herhangi bir satıcıya sorabileceğiniz soruları toplar. Her başlıkta, YazSis’in Kurumsal Yapay Zekâ asistanı Fero için bugün söyleyebildiğimiz şeyleri ve söyleyemediklerimizi ayrı yazıyoruz.

İki yaklaşım: serbest sorgu ve tanımlı araçlar

• Serbest sorgu: Model, soruya göre veritabanına doğrudan sorgu yazar ve çalıştırır. Esnektir; ancak hangi sorgunun çalıştığını, hangi tabloların birleştirildiğini denetlemek ve yanlış rakamı yakalamak zorlaşır. Hatalı birleştirilmiş bir tablo, görünüşte makul ama yanlış bir sonuç üretebilir.
• Tanımlı iş araçları: Model yalnızca önceden tanımlanmış araçları çağırır; her aracın ne yaptığı, neyi okuduğu ve nasıl hesapladığı bellidir. Daha az esnektir, ama denetlenebilir. Sorulabilecek soruların kapsamı da araçların kapsamıyla sınırlı kalır; bunu eksik olarak değil, kontrol için ödenen bedel olarak okumak gerekir.

Fero ikinci yaklaşımı kullanır. Yapay zekâ SQL yazmaz; veriye yalnızca tanımlı iş araçlarıyla erişilir ve serbest sorgu çalıştırılmaz. Aşağıdaki sorular bu yaklaşımın somut karşılıklarını arar.

Satıcıya sorulacak yedi soru

Erişim: veriye hangi yolla ulaşılıyor, veriyi değiştirebiliyor mu?

İlk iki soru birbirine bağlıdır. Fero’da veriye yalnızca tanımlı, salt-okunur 17 iş aracıyla erişilir ve uygulama veritabanına yalnızca okuma yetkili bir hesapla bağlanır. Dolayısıyla asistan veriyi değiştiremez. Bu sınırı satıcının anlatmasıyla yetinmeyin: bağlantıda kullanılan veritabanı hesabının yetkisini kendi BT ekibinizle birlikte kontrol edin. Hesabın yalnızca okuma yetkisi olması, sistemin “değiştirmeye çalışıp başarısız olması” değil, değiştirme yolunun baştan bulunmaması demektir; güvenlik açısından fark büyüktür.

Doğruluk: rakamları ve ekranı kim üretiyor?

Üçüncü ve dördüncü soru, yöneticinin gördüğü sayının güvenilirliğiyle ilgilidir. Fero’da KPI, yüzde ve farklar arka uçta hesaplanır; model, araç sonucunda olmayan bir sayıyı söyleyemez. Ekranlar da yalnızca 13 onaylı dashboard bileşeninden kurulur ve yapay zekâ kod üretmez. Satıcıdan, bir rakamın hangi araçtan ve hangi hesaptan geldiğini gösterebilmesini isteyin. Yönetim toplantısında kullanılacak bir sayının kaynağı açıklanamıyorsa, cevap ne kadar ikna edici olursa olsun karar için yeterli değildir.

Kapsam: kim neyi görecek, veri nereye gidiyor?

Beşinci ve altıncı sorular için bu yazıda genel bir güvence vermiyoruz, çünkü cevapları projeye özgüdür. Kullanıcı ve rol bazında hangi verinin kimin önüne geleceği, demoda ve proje görüşmesinde somut örneklerle sorulmalıdır. Asistanın kullandığı dil modeline hangi bilginin gittiği, nerede işlendiği ve kaydedilip kaydedilmediği de aynı şekilde yazılı olarak netleştirilmesi gereken bir konudur. Verinin şirket dışına hiç çıkmadığı gibi mutlak bir iddiada bulunmuyoruz; bu soruyu bize de dahil her satıcıya yazılı sorun. Yetki konusunda pratik bir sınama da mümkündür: üst yönetici ile bir birim sorumlusunun aynı soruyu sorduğunu varsayın ve ikisinin önüne hangi verinin geleceğini sözle değil, ekranda görmek isteyin. Cevap net değilse proje planına yetki modelinin ayrı bir iş kalemi olarak eklenmesini önerin.

Kaynak: hangi veri kaynakları gerçekten hazır?

Yedinci soru, sunumdaki bağlantı listesiyle bugünkü durumu ayırır. Fero’da bugün hazır olan veri kaynağı MySQL’dir; SQL Server, PostgreSQL, REST API, Logo, SAP, Odoo ve Excel gibi kaynaklar proje kapsamında ele alınır. Her yeni kaynak, kendi erişim hesabını ve kendi yetki incelemesini de getirir; bunu proje planına baştan koyun. “Hazır” ile “proje kapsamında” arasındaki fark, hem takvimi hem bütçeyi ilgilendirir; satıcıdan bu ayrımı yazılı olarak almak, sunumdaki bağlantı listesinin gerçek durumunu ortaya çıkarır.

Demoda denenecek üç senaryo

• Değiştirme isteği: Asistandan bir kaydı silmesini ya da güncellemesini isteyin. Salt-okunur çalışan bir sistemde bunun mümkün olmaması gerekir; cevabın nasıl verildiğine de dikkat edin.
• Kapsam dışı soru: Tanımlı araçların kapsamadığı bir soru sorun ve sistemin nasıl davrandığına bakın. İyi bir sistem uydurma bir rakam üretmek yerine sınırını açıkça söyler.
• Rakam kontrolü: Bildiğiniz bir rakamı sordurun ve kendi raporunuzla karşılaştırın. Farklı çıkarsa nedeninin hangi araçtan ve hangi hesaptan kaynaklandığının açıklanabilmesini isteyin.

Güvenlik özelliği, sunumda anlatılan değil, demoda denenebilen özelliktir.

Fero’nun nasıl çalıştığını ve neyi bugün yapabildiğini Kurumsal Yapay Zekâ sayfasında inceleyebilir, sorularınızı canlı demoda sorabilirsiniz.