Yetki bazlı yapay zeka, şirket içi yapay zeka asistanının yalnızca soruyu soran kişinin zaten görme yetkisi olan e-postaları, dosyaları ve kayıtları okuduğu modeldir. Asistan, kullanıcıdan daha geniş erişime sahip olmamalı; yapay zeka kullanımı kişi bazında açılıp kapatılabilmeli, kendiliğinden yaptığı işler kayda geçmeli ve kurum genelinde bir kullanım sınırı bulunmalıdır. Böylece yapay zeka verimlilik getirir, yeni bir sızıntı kapısı açmaz.
Kısaca
- Kural basit: yapay zeka asistanı, soran kişinin göremediği hiçbir veriyi okumamalı ve özetlememeli.
- IBM 2025 raporunda yapay zeka modeli veya uygulamasında ihlal yaşayan kuruluşların %97'sinde uygun yapay zeka erişim kontrolü yoktu.
- Yapay zekayı ayrı bir izin olarak tanımlayın: kim kullanır, hangi kutu ve klasörde kullanır, ne kadar kullanır.
- Yetkiler departmana bağlı olsun; kişi ayrıldığında veya departman değiştirdiğinde yapay zeka erişimi de kendiliğinden kalksın.
- Yapay zekanın kendi başına yaptığı işlemler, insan işlemlerinden ayrı biçimde kayda geçmeli.
Yapay zeka asistanları şirket verisini neden riske atar?
Klasik yazılımda bir çalışan yetkisi olmayan klasörü açamaz; ama "tüm şirket verisini" dizinleyen bir yapay zeka asistanı, ona sorulan soruya o klasörden bir paragraf getirebilir. Sorun çoğu zaman kötü niyet değil, yanlış kurulmuş erişimdir. Asistan servis hesabıyla geniş okuma yetkisi alır, kullanıcının yetkisi ise sorgu anında hiç denetlenmez.
İkinci risk, şirketin onaylamadığı araçlardır. Verizon'un 2026 Veri İhlali Araştırmaları Raporu (DBIR), çalışanların %45'inin kurumsal cihazlarında düzenli yapay zeka kullanıcısı olduğunu ve kullanıcıların %67'sinin kurumsal cihazlarından bu servislere kurumsal olmayan hesaplarla eriştiğini bildiriyor. Bu durumda sözleşme, fiyat listesi ya da müşteri yazışması şirketin hiç görmediği bir hesaba kopyalanır; ayrıntılar ChatGPT ve şirket verisi güvenliği rehberinde.
Maliyet tarafı da net. IBM Cost of a Data Breach 2025 raporuna göre kuruluşların %13'ü yapay zeka modeli veya uygulamasında ihlal bildirdi ve bunların %97'sinde uygun yapay zeka erişim kontrolü yoktu. OWASP'ın LLM uygulamaları için 2025 listesi de "hassas bilgi ifşası" (LLM02) ve "aşırı yetki" (LLM06) başlıklarını ilk on risk arasında sayıyor.
Yetki bazlı yapay zeka tam olarak nasıl çalışır?
Yetki bazlı bir yapay zeka, cevabı üretmeden önce "bu kişi bu belgeyi görebilir mi?" sorusunu sorar. Belgelerden cevap üreten RAG (getirme destekli üretim) yapılarında bu denetim, belgeler getirilirken yapılmalıdır; cevap üretildikten sonra filtrelemek geç kalır. Konunun teknik altyapısı RAG ve kurumsal LLM yazısında anlatılıyor.
Aşağıdaki tablo, sık görülen üç kurulumu karşılaştırır.
| Ölçüt | Geniş erişimli asistan | Ayrı bilgi bankası | Yetki bazlı yapay zeka |
|---|---|---|---|
| Okuduğu veri | Servis hesabının gördüğü her şey | Elle yüklenen belgeler | Soran kişinin yetkili olduğu kutu ve klasörler |
| Yetki değişikliği | Yansımaz | Belgeyi elle kaldırmak gerekir | Kaynak sistemdeki yetkiyle anında değişir |
| Kişi bazlı kullanım izni | Genellikle yok | Araç düzeyinde | Kullanıcı ve alan düzeyinde |
| Kayıt | Sorgu günlüğü, bağlam yok | Sınırlı | Yapay zeka işlemleri ayrı bir kimlikle kayıtlı |
| Çalışan ayrılınca | Hesap ayrıca kapatılmalı | Paylaşılan erişim kalabilir | Kimlik kapanınca yapay zeka erişimi de kalkar |
Yetkinin tek bir yerde tutulması burada belirleyicidir. Dosya izinleri bir sistemde, e-posta izinleri başka bir sistemde, yapay zeka izinleri üçüncü bir araçta durursa, bu üçünün aynı anda doğru olması şansa kalır. Dosya paylaşım yetkilendirmesi ve posta kutusu yetkilendirmesi yazıları bu katmanları ayrıntılı ele alır.
Şirkette yetki bazlı yapay zeka nasıl kurulur? 7 adım
Aşağıdaki adımlar, ürün seçiminden bağımsız olarak her ölçekte işletmeye uygulanabilir.
- Veri envanteri çıkarın. Asistanın erişebileceği kaynakları (e-posta kutuları, dosya alanları, müşteri kayıtları) listeleyin ve her birini hassasiyetine göre sınıflandırın.
- Önce insan yetkisini düzeltin. Herkesin her şeyi görebildiği bir klasör yapısında yapay zeka da her şeyi görür. Departman bazlı, en az yetki ilkesine göre bir yapı kurun.
- Yapay zekayı ayrı bir izin yapın. "Bu kutuyu okuyabilir" ile "bu kutuda yapay zeka sohbeti kullanabilir" farklı yetkiler olmalı; özellikle personel, hukuk ve finans alanlarında yapay zekayı varsayılan olarak kapalı tutmayı düşünün.
- Sorgu anında yetki denetimi isteyin. Tedarikçiye "Kullanıcının yetkisi cevap üretilmeden önce mi kontrol ediliyor?" diye sorun ve bunu test hesabıyla deneyin.
- Kayıt ve izlenebilirlik kurun. Yapay zekanın kendiliğinden yaptığı sınıflandırma, karantina gibi işlemler ayrı bir kimlikle kayda geçmeli; cevabın hangi belgeye dayandığı görülebilmeli.
- Kullanım sınırı koyun. Kurum ve kişi bazında aylık kullanım tavanı, hem maliyeti hem de olağandışı kullanımı kontrol altında tutar.
- Politikayı yazın ve eğitin. Hangi verinin hangi araçla işlenebileceğini şirket yapay zeka kullanım politikasında netleştirin; kişisel veriler için yapay zeka ve KVKK rehberine bakın.
Tedarikçiye hangi soruları sormalısınız?
Teklif toplarken "verileriniz güvende" cümlesi yeterli değildir. Şu soruların yazılı cevabını isteyin: Yapay zeka hangi kimlikle veri okuyor? Kişi bir kutudan çıkarıldığında asistan o kutuyu ne zaman okumayı bırakıyor? Yapay zeka kurum genelinde veya alan bazında kapatılabiliyor mu?
Bir de çıkış koşullarını sorun: sözleşme bittiğinde veriler hangi biçimde teslim ediliyor, yapay zeka için oluşturulan dizinler ve özetler siliniyor mu? Bu cevaplar, ileride tedarikçi değiştirmek istediğinizde verinin kontrolünün sizde kalıp kalmadığını gösterir.
Yapay zekanın eylem yapabildiği durumlarda soru büyür. Bir yapay zeka ajanı e-posta gönderebiliyor veya sipariş açabiliyorsa, önemli adımların insan onayı beklemesi ve prompt enjeksiyonuna karşı kaynak verinin salt okunur bağlanması gerekir. Ayrıca güvenlik denetimlerinin yapay zekaya bağlı olup olmadığını sorun: yapay zeka hakkı dolduğunda spam ve sahte gönderen kontrolleri durmamalıdır.
Smart360 ile yetki bazlı yapay zeka nasıl kolaylaşır?
Digital Bridge'in geliştirdiği Smart360, SmartMail, SmartFiles, SmartOperator ve SmartPass'i tek panelden yöneten kurumsal uygulama ailesidir. Smart360'ta yapay zeka kişinin yetkisi içinde çalışır: sohbet yalnızca kişinin erişebildiği posta kutularını ve dosyaları okur. Yapay zeka hem SmartMail'de hem SmartFiles'ta ayrı bir izindir ve kişi kişi verilir; SmartFiles'ta kurum genelinde kapatılabilir.
Somut bir senaryo düşünelim. Bir mali müşavirlik bürosunda muhasebe ekibi, müşteri klasörlerinde "Klasörle sohbet" ile beyanname belgelerine soru soruyor; insan kaynakları alanında ise yapay zeka izni hiç verilmemiş. Bir çalışan muhasebe departmanından çıkarıldığında, departman üzerinden aldığı erişim tüm ürünlerde kendiliğinden kalkar ve yetki değişikliği açık ekranına anında yansır. Ertesi gün aynı kişinin asistana sorduğu soru, artık o klasörlerden cevap getiremez.
Kayıt tarafında, yapay zekanın kendiliğinden yaptığı işlemler SmartMail denetim kaydında kişi olarak değil "Sistem" olarak görünür. Aylık yapay zeka hakkı panelde izlenir; kurum ya da kişi için tanımlı tavan dolunca yapay zeka işlemleri bir sonraki döneme kadar durur, ama maillere ve dosyalara erişim sürer. SPF, DKIM, DMARC ve benzer alan adı denetimleri ise yazılım tarafından yürütüldüğü için yapay zeka hakkı dolsa bile çalışmaya devam eder.
Ürünler yapay zeka hizmetlerine doğrudan değil, Smart360'ın merkezi katmanı üzerinden erişir ve her kurumun verisi her ürün için ayrı bir veritabanında durur. SmartMail ve SmartFiles'taki yapay zeka hizmetlerinin ayrıntısı için Smart360 yapay zeka sayfasına, aile ve tek panel yapısı için Smart360 ürün sayfasına bakabilirsiniz.
Digital Bridge nasıl yardımcı olur?
Digital Bridge, yapay zekayı devreye almadan önce erişim yapısının sağlam olmasını önemser. Ekibimiz departman ve yetki yapısını ve yapay zeka izinlerinin hangi alanlarda açılacağını sizinle birlikte planlayabilir. Mevcut sistemlerinizdeki erişim açıklarını görmek isterseniz siber güvenlik danışmanlığı kapsamında bir değerlendirme yapabiliriz.
Kendi sistemlerinize bağlanan özel bir yapay zeka çözümü düşünüyorsanız, aynı yetki ilkelerini proje başında sözleşmeye ve mimariye yazmak gerekir. Bu konuda iletişim sayfasından bize ulaşabilirsiniz; ilgili tüm yazılar yapay zeka konu sayfasında toplanıyor.
Sonraki adım: yapay zekayı yetkiyle birlikte devreye alın
Yapay zekayı güvenle kullanmak için önce kimin neye eriştiğini netleştirin, ardından yapay zekayı bu erişimin üzerine bir izin olarak ekleyin. Smart360 bu iki katmanı tek panelde birleştirir: kullanıcılar, departmanlar, ürün erişimleri ve yapay zeka kullanımı aynı yerden yönetilir.
Paket seçip hemen başlamak için Smart360 satın alma sayfasını kullanabilir, ürün ailesini önce incelemek isterseniz Smart360 sayfamıza göz atabilirsiniz.