Kazanimlar:
- Bilgiyi hassasiyet sınıfına (kamuya açık / iç / gizli / çok gizli) göre değerlendirip 'sınıfı sor, aracı eşleştir' refleksini uygulayabilme
- Yapay zekanın veri saklama, model eğitimi, toplama ve ihlal risklerini kavrayıp açık ve sınıflandırılmış dünyayı ayrı tutabilme
- Minimum veri ilkesini, kişisel veri korumasını ve emin olunmayan bilgiyi bir üst sınıf gibi koruma disiplinini benimseyebilme
Diplomasi güvene dayanır ve güven gizliliğe dayanır. Bir müzakere pozisyonu, bir istihbarat değerlendirmesi, bir muhataplla yapılan görüşmenin içeriği ya da henüz açıklanmamış bir karar, yanlış ele düştüğünde bir devletin çıkarlarını, bir müzakerenin sonucunu, hatta insanların güvenliğini tehlikeye atabilir. Yapay zeka bu alana muazzam hız getirir ama aynı zamanda yeni ve ciddi gizlilik riskleri de taşır. Bu ünitede, sınıflandırılmış ve hassas bilgiyi yapay zeka çağında nasıl koruyacağınızı, hangi verinin hangi araca girebileceğini ve güvenli kullanım disiplinini öğreneceksiniz.
Bu ünite modülün en kritik güvenlik dersidir. Buradaki tek bir hata — gizli bir belgeyi yanlış araca yapıştırmak — geri alınamaz. Bu yüzden burada ezberlenmesi gereken bir refleks kurulacak: Bir veriyi bir YZ aracına vermeden önce daima sor: bu veri hangi sınıfta ve bu araç bu sınıf için onaylı mı?
Bilgi sınıflandırması: temel ayrım
Diplomatik bilgi genellikle hassasiyetine göre sınıflandırılır. Kurumdan kuruma değişse de temel mantık şudur:
- Kamuya açık (unclassified/public): Zaten yayımlanmış, herkesin erişebileceği bilgi. Örnek: resmî basın açıklamaları, kamuya açık haberler.
- Hizmete özel / kurum içi (restricted/internal): Kamuya açık olmayan ama düşük hassasiyetli iç bilgi.
- Gizli (confidential/secret): Açığa çıkması devletin çıkarına ciddi zarar verebilecek bilgi. Örnek: müzakere pozisyonu, iç değerlendirme.
- Çok gizli (top secret): Açığa çıkması en ağır zararı verecek bilgi. Örnek: hassas istihbarat, kritik güvenlik bilgisi.
Temel kural basittir: Kamuya açık olmayan hiçbir sınıflandırılmış bilgi, kurumunuzun o sınıf için onaylamadığı bir YZ aracına girilmez. Halka açık bir YZ hizmeti, tanımı gereği bu sınıf bilgi için onaylı değildir.
İpucu: Emin değilseniz, bilgiyi bir üst sınıf gibi ele alın. "Bu muhtemelen zaten biliniyordur" demek tehlikeli bir tahmindir. Bir bilginin kamuya açık olduğundan yüzde yüz emin olana kadar, onu gizli gibi koruyun. Gereksiz temkin bir maliyet değil, bir güvencedir.
YZ'nin gizlilik riskleri
YZ araçları, geleneksel yazılımlardan farklı gizlilik riskleri taşır:
1. Veri işleme ve saklama: Halka açık bir YZ hizmetine yazdığınız metin, o hizmetin sunucularında işlenir ve saklanabilir. Kimin eriştiğini, ne kadar süre tutulduğunu ve nasıl kullanıldığını siz kontrol edemezsiniz.
2. Model eğitiminde kullanım: Bazı hizmetler, girdiğiniz veriyi modeli iyileştirmek için kullanabilir. Bu, gizli bilginizin dolaylı olarak modelin "belleğine" girmesi ve başkalarına sızması riskini doğurur.
3. Toplama (aggregation) riski: Tek tek zararsız görünen bilgi parçaları, bir araya geldiğinde hassas bir tablo oluşturabilir. Farklı zamanlarda girilen küçük bilgiler, toplamda gizli bir pozisyonu ele verebilir.
4. Erişim ve ihlal riski: Herhangi bir dış sistem gibi, YZ hizmetleri de veri ihlaline uğrayabilir. Sizin verdiğiniz veri, o ihlalde açığa çıkabilir.
Bu risklere karşı çözüm, iki ayrı dünya kurmaktır: açık kaynak işleri için genel araçlar; sınıflandırılmış işler için yalnızca kurum içi, güvenli, veriyi dışarı çıkarmayan onaylı sistemler. İkisini asla karıştırmayın.
Dikkat: "Anonim hale getirdim" demek çoğu zaman yeterli değildir. İsimleri silseniz bile, bağlam (tarih, yer, olay, taraf sayısı) bir uzmanın kimlikleri ve pozisyonu yeniden çıkarmasına yetebilir. Gerçek hassas bilgi, maskeleme ile değil, uygun araç ve ortam seçimiyle korunur.
Güvenli kullanım disiplini
Pratik bir kontrol akışı kurun:
- Sınıfı belirle. Bu veri kamuya açık mı, iç mi, gizli mi, çok gizli mi?
- Aracı eşleştir. Bu sınıf bu araçta işlenebilir mi? Değilse durun.
- Minimum veri ilkesi. İşlenebilir bir işte bile, işin gerektirdiğinden fazla bilgi vermeyin.
- Kişisel veriyi koru. Kişilere ait veriler (ad, iletişim, konum) yalnızca gerekliyse ve yasal dayanakla işlenir; gereksizse maskelenir veya hiç verilmez.
- Kaydı tut. Hangi işte hangi aracı, hangi veriyle kullandığınızı belgeleyin; bir sorun olursa iz sürülebilsin.
İpucu: Ekibinizde bir "gizlilik önce" kültürü kurun: yeni bir katip veya stajyer, ilk günden "hiçbir gizli belge halka açık araca girmez" refleksini öğrenmeli. Çoğu ihlal kötü niyetten değil, bir aracın ne kadar açık olduğunu bilmemekten kaynaklanır.
Üç mini vaka
Vaka 1 — Refleks ihlali önledi. Bir uzman, bir görüşme notunu özetletmek üzereyken durup sınıfını sordu: not, bir muhataplla yapılan gizli görüşmeydi. Halka açık araç yerine kurum içi güvenli sisteme geçti. Basit bir "önce sınıfı sor" refleksi, bir ihlali önledi.
Vaka 2 — Toplama riski fark edildi. Bir ekip, farklı günlerde küçük ve "zararsız" görünen bilgi parçalarını bir dış araca giriyordu. Bir güvenlik gözden geçirmesi, bu parçaların birleştiğinde yaklaşan bir müzakerenin gündemini ele verdiğini gösterdi. Uygulama durduruldu; iş güvenli ortama taşındı.
Vaka 3 — Sahte anonimlik. Bir katip, isimleri sildiği için bir belgeyi "anonim" sayıp dış araca verdi. Ancak belgedeki tarih, yer ve olay tanımı, kimin kastedildiğini açıkça belli ediyordu. İsim silmek yetmemişti; belge zaten güvenli ortamda işlenmeliydi.
Dört kopyalanabilir şablon
1) Sınıf ve araç ön kontrolü:
Aşağıdaki işi tarif edeceğim. Bana ŞUNU söyle (işi yapma):(1) bu veride hangi hassasiyet sınıfı olabilir (kamuya açık /iç / gizli / çok gizli), (2) bu sınıf halka açık bir YZ aracındaişlenmeli mi, (3) işlenmemeliyse hangi tür ortam gerekir.İş/veri tanımı: [buraya]
2) Kişisel veri tarama ve maskeleme:
Aşağıdaki metinde işlenmeden önce maskelenmesi gereken kişisel/hassas verileri (ad, unvan, iletişim, konum, sağlık, kimlik no)listele. Metni İŞLEME; yalnızca hangi alanların çıkarılmasıgerektiğini söyle. Maskelemeyi ben yapıp yeniden göndereceğim.Metin: [buraya]
3) Toplama riski değerlendirmesi:
Şu bilgi parçalarını ayrı ayrı dış bir araca vermeyi düşünüyorum:[parçalar]. Bunlar TEK TEK zararsız görünse de BİRLEŞTİĞİNDEhassas bir tablo (örn. bir pozisyon, gündem, kimlik) oluşturabilirmi? Toplama riskini değerlendir ve hangilerinin birlikte verilmemesigerektiğini söyle.
4) Kamuya açıklık teyidi:
Şu bilginin kamuya açık olup olmadığından emin değilim: [bilgi].Bunu kamuya açık saymadan önce hangi doğrulamayı yapmam gerektiğinilistele (resmî yayın var mı, kim yayımlamış, tarih). Emin olamazsam"gizli gibi ele al" ilkesini hatırlat.
Zayıf prompt / Güçlü prompt
Zayıf prompt:
Bu görüşme notunu özetle. (nota doğrudan gizli içerik yapıştırılır)
Bu, en tehlikeli hatadır: gizli bir belge, sınıfı sorgulanmadan halka açık bir araca girmiştir. Sızma riski gerçekleşmiştir ve geri alınamaz.
Güçlü prompt (önce kontrol):
Bir görüşme notunu işlemek istiyorum. Ama önce: bu not muhtemelengizli sınıfta. Bana bu tür bir belgenin halka açık bir araçtaişlenip işlenemeyeceğini ve doğru yolun ne olduğunu söyle. Belgeniniçeriğini SANA VERMİYORUM; yalnızca sürecin doğrusunu soruyorum.
Fark açıktır: gizli içerik hiç verilmez, önce sürecin doğrusu sorulur ve iş uygun ortama yönlendirilir.
Sınıf-araç eşleştirme tablosu
Bilgi sınıfı
Örnek
Halka açık YZ
Doğru ortam
Kamuya açık
Basın açıklaması
Uygun
Genel araç
İç/hizmete özel
İç not
Genellikle hayır
Kurum içi onaylı
Gizli
Müzakere pozisyonu
Asla
Güvenli kurum sistemi
Çok gizli
Hassas istihbarat
Asla
En yüksek güvenlik
Kişisel veri
Kimlik bilgisi
Yalnızca gerekli+yasal
Maskeli/güvenli
Sık yapılan hatalar
- Sınıfı sormadan veri girmek. Her işten önce "bu hangi sınıfta" refleksi şarttır.
- "Muhtemelen açıktır" varsaymak. Emin olunmayan bilgi gizli gibi korunur.
- İsim silmeyi anonimleştirme sanmak. Bağlam kimlikleri ele verebilir.
- Toplama riskini görmezden gelmek. Küçük parçalar birleşince hassas olabilir.
- İki dünyayı karıştırmak. Açık ve sınıflandırılmış işler ayrı araç/ortamlarda yürür.
Özetle
Gizlilik, diplomatik YZ kullanımının en kritik sınırıdır. Bilgi sınıflandırmasını (kamuya açık / iç / gizli / çok gizli), "sınıfı sor, aracı eşleştir" refleksini, minimum veri ilkesini, kişisel veri korumasını ve toplama riskini bu ünitenin omurgası olarak taşıyın. Açık kaynak işleri için genel araçları; sınıflandırılmış işler için yalnızca kurum içi güvenli, onaylı sistemleri kullanın. İkisini asla karıştırmayın; emin olamadığınızda bilgiyi bir üst sınıf gibi koruyun.
Uygulama görevi
Kendi (veya hayali) masanızdan 8 farklı veri parçası listeleyin (bazıları kamuya açık, bazıları hassas). Her birini bir sınıfa yerleştirin ve "hangi araçta işlenebilir" kararı verin. "Sınıf ve araç ön kontrolü" şablonuyla belirsiz olanları değerlendirin. Üç parça seçip "toplama riski değerlendirmesi" ile birleştiklerinde hassas bir tablo oluşturup oluşturmadıklarını inceleyin.
Kontrol listesi
- [ ] Her veri için önce hassasiyet sınıfını belirledim.
- [ ] Sınıfı halka açık araç için uygun olmayan veriyi asla girmedim.
- [ ] Emin olamadığım bilgiyi bir üst sınıf gibi korudum.
- [ ] Kişisel veriyi yalnızca gerekli ve yasal olduğunda, maskeleyerek işledim.
- [ ] Toplama riskini ve iki dünya ayrımını gözettim.