'Kendi Yapay Zekânı Getir' ile başlayan iş güvenliği riski (Bring Your Own AI - BYOAI)

Şirketler işlerinin çeşitli yönlerini yönlendirmek için üretken yapay zekâyı kullanırken uzmanlar, çalışanların işverenleri tarafından onaylanmayan üretken yapay zekâ araçlarını kullanması durumunda ortaya çıkabilecek riskler üzerinde düşünüyor.

Yakın zamanda yayınlanan bir raporda Forrester Research, çalışanların kendi yapay zekâ (Bring Your Own AI - BYOAI) faaliyetlerini getirmesi yoluyla teknoloji ve onu destekleyen yazılımlarla etkileşime geçme yollarını inceledi. Araştırma şirketi, BYOAI'yi "şirket tarafından onaylanıp onaylanmadığına bakılmaksızın şirketle ilgili işleri gerçekleştirmek için her türlü harici yapay zekâ hizmetini kullanan çalışanlar" olarak tanımlıyor.

Raporda araştırmacılar, ChatGPT, DALL-E2 ve Midjourney gibi üretken yapay zekâ yazılımlarının hızla artan kullanımının, çalışanların yapay zekâ destekli yazılımlar, yapay zekâ oluşturma araçları, arayüzler (API'ler) ve bulut tabanlı uygulama programlama gibi diğer yapay zekâ türlerini de kullanacakları anlamına geldiğini belirtiyor. Bu, daha fazla güvenlik riskine yol açabilir.

"Aktif tehditlere baktığınızda, öncelikle insanların 'gölge BT' dediğimiz yöntemi kullanan, yani onay sürecinden geçmemiş ve AB Komisyonu tarafından onaylanmayan uygulamaları kullanan çalışanlarla her zaman karşılaştığı zorluklarla aynı olduğunu görüyoruz. Forrester'ın baş analisti ve raporun ortak yazarlarından Andrew Hewitt, "Şirketlerin güvenlik açıklarının olmadığından emin olmak için çalışıyoruz" dedi.

Hewitt, çalışanlar kendi yapay zekâlarını işyerine getirdiğinde veri kaybının ve olası telif hakkı ihlallerinin büyük tehdit haline geldiğini ekledi. İşverenler, kendi cihazınızı getir (BYOD) riskinden bile daha fazla, dikkate almaları gereken çok daha fazla riskle karşı karşıya kalacak.

"Bir BYOD hesabıyla, çalışanların bir mobil cihaz yönetimi yazılımına kaydolma zorunluluğu getirerek kurumsal uygulamalara erişmelerini engelleyebilirsiniz. BYOAI ile çalışanlar bir web sitesine gidebilir ve bir URL girebilirler. Bunu kontrol etmenin hiçbir yolu yoktur. Hewitt, tek çözümün maalesef interneti kapatmak olduğunun altını çiziyor.

Bir işe alım şirketi olan SeekOut'un hukuk bölümü başkan yardımcısı ve dönemsel çalışan başkanı Sam Shaddox, şirketlerinde üretken yapay zekâ kullanımına ilişkin çalışan kuralları arasında ilk olarak teknolojiyi dikkatli kullanmak ve ikinci olarak da şüpheye düştüğünde yasal mercilere başvurmak yer alıyor.

Shaddox, "Göz ardı edilen veya insanların anlamadığı, aşırı külfetli bir politika sunmaktansa, bir şey hakkında konuşmayı ve o anda bu konuyu ele almayı tercih ederiz" diyor.

Üretken bir yapay zekâ aracına sorgu giren çalışanların kendilerine şu soruyu sorması gerektiğini ekledi: "'Bu bilgiyi bir yabancıya verir miyim?' Cevabınız hayırsa durun, ne yaptığınızı düşünün ve daha ileri gitmeden önce hukuk departmanıyla görüşün."

Üretken yapay zekânın kurumsal dünyada kullanılmasına ilişkin vızıltı, öncelikle teknolojinin insanların çalışma biçiminde nasıl devrim yaratabileceği ve üretkenliği ve gelirleri artırmak için nasıl kullanılabileceği gibi soruları gündeme getirdi. Ayrıca teknoloji kaç çalışanın yerini alacak?

Ancak yöneticiler, teknolojiyi giderek daha fazla, yanlış kullanıldığında veri ihlali sırasında hassas şirket bilgilerini çalabilecek kimlik avı ve kötü amaçlı yazılımlara kapı açabilecek bir yol olarak görüyor.

Open AI, ChatGPT'yi 30 Kasım 2022'de başlattı. O zamandan bu yana, 100.000'den fazla ChatGPT kullanıcı hesabının veri ihlali amaçlı kötü amaçlı yazılımlar tarafından ele geçirildiğine dair raporlar, şirketlere tüyler ürpertici bir uyarı gönderdi ve birçok kuruluş, yazılımın potansiyelini fark ederek veri gizliliği ve güvenlik ihlalleri için harekete geçti.

Son zamanlarda Biden yönetiminin yanı sıra uluslararası kuruluşlar ve birçok büyük şirket, üretken yapay zekânın oluşturabileceği güvenlik risklerini azaltmak için kendi politikalarını geliştirdiler.

Ekim ayı sonlarında ABD Başkan Joe Biden, bilgisayar ağlarını siber saldırıları güçlendirmek için yapay zekâyı kullanmak isteyen kötü aktörlerden korumak için tasarlanmış geniş kapsamlı bir idari emir yayınladı.

Uluslararası Para Fonu tarafından yayınlanan bir rapor, üretken yapay zekânın finansal kurumlardaki iş operasyonlarını önemli ölçüde iyileştirdiğini, ancak doğası gereği gizlilik endişeleri, benzersiz siber tehditler ve "sistemik risklerin yeni kaynakları ve iletim kanalları yaratma potansiyeli" bulunduğunu açıkladı.

Apple, Samsung, JPMorgan Chase, Bank of America, Wells Fargo ve Citigroup gibi şirketler, hassas şirket içi bilgileri sızdıran çalışanları daha iyi kontrol etmenin yanı sıra sistemlerini korumak ve bilgisayar korsanlığından korunmak için çalışanların işyerinde üretken yapay zekâ platformlarını kullanmasını kısıtladı veya yasakladı. 

İK cephesine bakacak olursak; bir İK danışmanlık şirketi olan Thrive HR Consulting'in kurucu ortağı Jason Walker, İK yöneticilerinin üretken yapay zekânın nasıl kullanılacağına veya bunun getirebileceği güvenlik risklerine yeterince odaklanmadığını söyledi.

"Pek çok İK departmanı üretken yapay zekâ konusunda gerçekten geride. Yani, bunun kendilerini nasıl etkileyeceğini, üretken yapay zekâyı nasıl kullanıma sunacaklarını ve bunları nasıl kullanacaklarını gerçekten anlayabilecekleri bir yerde bile değiller.” Walker, "Güvenlik açısından, yaptığımız görüşmelerin hiçbirinde bu konuya değinilmedi bile çünkü insanlar üretken yapay zekâyı benimseme konusunda hâlâ gerideler" dedi.

İK yöneticilerinin, bir kuruluş içinde hangi üretken yapay zekâ araçlarının kullanılması gerektiğine ilişkin gündemi yönlendirmeye yardımcı olan BT tartışmalarına aktif olarak katılmamaları nedeniyle BT departmanlarının hangi araçların seçileceğine karar verme yetkisini tek başına kullandığını da belirtiyor.

"İK'nın devreye girme konusundaki isteksizliği nedeniyle, büyük ihtimalle İK departmanları, BT departmanının istediği araçları benimsemekle kalacak. Bazı durumlarda bu araçlar, İK'nın sahip olmak isteyeceği araçlar olmayacak." diyor Walker.

Üretken yapay zekâ, kuruluşları hassas şirket bilgilerini korumak ve şirketin önyargıyı sürdüren üretken yapay zekâ metinleri, videoları veya fotoğrafları kullanmadığından emin olmak için politikalar uygularken, İK profesyonellerini teknolojinin kullanımıyla ilgili şirket değerlerinin iletilmesine daha fazla katılmaya zorlayacak.

Üretken yapay zekâ etrafında bu ön değerlerin sergilenmesi, CHRO'ların daha fazla rol oynayacağı gerçekten büyük bir alan olacak.