Verilerimiz yapay zekâyı eğitir mi?

Özel yazılım konuştuğumuz hemen her görüşmede bu soru çıkıyor, çoğu zaman da en sona saklanıyor. Haklı bir soru: firmanın müşteri listesi, reçetesi, maliyet tablosu ya da tedarikçi yazışması bir araca veriliyor ve o araç dışarıdan bir yapay zekâ servisine bağlanıyor.

Üç ayrı yer var, üçünü karıştırmayın

“Veri nereye gidiyor?” sorusunun tek cevabı yok, çünkü veri üç ayrı yerde durabilir:

1. Aracın kendi veritabanı. Dosyalarınız, çıktılar, kayıtlar. Bu sizin sunucunuzda ya da sizin adınıza kiralanan sunucuda durur.
2. Yapay zekâ servisinin geçici işleme alanı. Araç bir metni anlamlandırırken o metni servise gönderir, cevabı alır. Sağlayıcı bu içeriği kötüye kullanımı denetlemek için sınırlı bir süre saklayabilir; model eğitiminde kullanmaz.
3. Modelin eğitim verisi. Asıl endişe edilen yer burası: “benim verimle model eğitilir mi?”

Üçüncüsü, kurumsal API üzerinden çalışan sistemlerde olmaz. Büyük sağlayıcıların ticari kullanım koşulları, API üzerinden gelen veriyi model eğitimine kullanmayacaklarını yazılı olarak taahhüt eder. Karışıklık şuradan çıkıyor: aynı firmanın ücretsiz sohbet arayüzü için koşullar farklı olabilir. Çalışanınız firmanın sözleşmesini tarayıcıdaki ücretsiz sohbete yapıştırdığında durum, aynı veriyi kurumsal API kullanan bir araca verdiğinden başkadır.

Bir aracın verisi kime açık?

Sorulacak asıl soru “yapay zekâ öğrenir mi” değil, “bu veriyi kaç kişi görebiliyor”. Cevabı üç maddede arayın:

• Sunucu kimin? Araç sizin hosting hesabınızda mı çalışıyor, yazılımcının ortak sunucusunda mı? Ortak sunucuda başka firmaların verisiyle aynı yerde duruyorsanız bunu bilmelisiniz.
• Yazılımcının erişimi ne kadar sürüyor? Kurulum sırasında erişim gerekir. Kurulum bittikten sonra da devam ediyor mu, yoksa kapanıyor mu?
• Yedek nerede? Yedekler çoğu zaman unutulur ve asıl veritabanından daha az korunur.

Sözleşmede bakılacak dört madde

Teklif alırken şu dördünü yazılı isteyin. İstemeniz karşı tarafı zorlamaz; ciddi bir yazılımcı zaten hazırdır.

• Verinin hangi ülkedeki sunucuda durduğu.
• Yapay zekâ servisine giden verinin eğitimde kullanılmayacağı taahhüdü.
• İş bittiğinde yazılımcının erişiminin kapanacağı ve elindeki kopyaları sileceği.
• Sözleşme sona ererse verinin size hangi biçimde teslim edileceği.

Son madde en çok atlanandır ve en pahalıya patlayandır. Aracı bırakmaya karar verdiğinizde verinizin okunabilir bir biçimde (tablo, veritabanı dökümü) elinize geçeceğini baştan yazdırın.

KVKK tarafı

İçinde kişisel veri geçiyorsa — çalışan bilgisi, müşteri adı, telefon — aracın kendisi bir işleme faaliyetidir. Bu, yazılımı imkânsız kılmaz; yalnızca aydınlatma metninizin ve veri envanterinizin bu aracı da kapsaması gerekir. Yurt dışındaki bir servise veri gidiyorsa aktarım şartlarının sağlanması gerekir. Bunlar çözülebilir işler, ama kurulumdan sonra fark edilirse zahmetli olur.

Kısacası

Doğru kurulmuş bir araçta veriniz modeli eğitmez. Ama “doğru kurulmuş” kısmı kendiliğinden gelmiyor: sunucunun kimin olduğu, erişimin ne zaman kapandığı ve ayrılırken verinin nasıl teslim edileceği baştan yazılmazsa, teknik cevabın doğru olması tek başına yetmiyor.