Hukuk size neyin yasak olduğunu söyler. Etik, yasal olan şeylerin hangisini yapmamanız gerektiğini. AI kullanım denetiminde bu iki soru arasındaki mesafe alışılmadık derecede geniş: KVKK ve GDPR uyumlu kurgulanmış bir sistem, çalışan tarafından pekala bir gözetleme aygıtı olarak yaşanabilir. Ve bu algı gerçekleştiği anda, denetimin çözmek için kurulduğu problem büyür.
Bu yazı, sınırın nerede geçtiğini dört test üzerinden ele alıyor.
Denetim ile gözetim arasındaki gerçek fark
İkisi de veri toplar. İkisi de çalışan davranışına bakar. Fark, teknikte değil kurguda:
| Boyut | Denetim | Gözetim |
|---|---|---|
| Soru | "Bu risk sistemde var mı?" | "Bu kişi ne yapıyor?" |
| Başlangıç birimi | Kurum, ekip, sistem | Birey |
| Varsayılan görünürlük | Toplu ve anonim | Kişiye bağlı |
| Tetikleyici | Tanımlı eşik | Merak, yönetici talebi |
| Çıktı | Politika ve kontrol değişikliği | Kişi hakkında dosya |
| Bitiş | Risk kapandığında durur | Süresizdir |
Denetim, bireye ancak bir sinyal onu işaret ettiğinde iner ve indiğinde de kapsamı sinyalle sınırlı kalır. Gözetim, bireyden başlar ve bir gerekçe arar. Aynı yazılım her iki şekilde de yapılandırılabilir; farkı yaratan, kurulum sırasında verilen kararlardır.
Sınırı belirleyen dört test
Test 1: Amaç
Toplanan veriyi, ilan ettiğiniz amacın dışında bir soruya cevap vermek için kullanabiliyor musunuz? Kullanabiliyorsanız, o kullanımın gerçekleşmesi an meselesidir.
Bir örnek: sır sızıntısını yakalamak için kurulan sistem, aynı veriden "kim en çok AI kullanıyor" listesi üretebiliyorsa, bu liste er ya da geç bir performans değerlendirmesinde açılır. Sistemin yapabildiği her şey, zamanla yapılan şey haline gelir. Bu nedenle amaç sınırı politikada değil, üründe uygulanmalıdır: teknik olarak üretilemeyen rapor, yanlış kullanılamaz.
Denetim programları nadiren kötü niyetle kurulur. Bozulma neredeyse her zaman kademeli olur: önce güvenlik için toplanan veri, sonra lisans optimizasyonu için, sonra ekip verimliliği kıyaslaması için, en sonunda bireysel performans konuşmalarında kullanılır. Her adım tek başına makul görünür. Toplamı, çalışana hiç anlatılmamış bir sistemdir.
Test 2: Granülerlik
Sorunuza cevap vermek için gereken en düşük çözünürlük nedir? Etik sınır çoğu zaman burada, teknik bir tercihte gizlidir.
- "Şirket lisansları israf ediliyor mu?" sorusu, departman düzeyinde toplu kullanım verisiyle cevaplanır. Kişi adı gerekmez.
- "Kimlik bilgisi sızdırılıyor mu?" sorusu, desen eşleşmesinin varlığıyla cevaplanır. Eşleşen dizinin kendisini saklamak gerekmez.
- "Bu çalışan iş dışı kullanım yapıyor mu?" sorusu ise doğrudan bireysel bir sorudur ve ancak somut bir gerekçeyle sorulmalıdır.
Pratik kural: veriyi topladığınız çözünürlük, sorduğunuz sorunun çözünürlüğünü aşmasın. Aşarsa, aradaki fark kadar gözetim yapıyorsunuz demektir.
Kimliksizleştirmenin bir sınırı var. Toplu raporlama iyi bir başlangıç ama sihirli değnek değil. Beş kişilik bir ekipte "ekip düzeyinde" rapor, pratikte kişiseldir. Küçük ekiplerde asgari grup büyüklüğü eşiği tanımlamak, kimliksizleştirmeyi gerçek kılan tek yöntemdir.
Test 3: Şeffaflık
En basit ve en açıklayıcı test şudur: sistemin tam olarak nasıl çalıştığını, ne topladığını ve neyi tetiklediğini çalışanlara anlatsanız, sistemi değiştirmek zorunda kalır mısınız?
Cevap evetse, sorun sistemin gizliliğinde değil, sistemin kendisinde. Anlatılamayan denetim, savunulamayan denetimdir. Bu test aynı zamanda hukuki bir işlev de görür: KVKK kapsamında aydınlatma yükümlülüğü zaten bu anlatımı zorunlu kılar, dolayısıyla anlatılamaz bir sistem büyük olasılıkla hukuka da aykırıdır.
Şeffaflığın üç seviyesi var ve üçünü de karşılamak gerekir:
- Varlık şeffaflığı: Böyle bir denetim var mı? Cevap yazılı ve erişilebilir olmalı.
- Mekanizma şeffaflığı: Ne toplanıyor, ne toplanmıyor, hangi eşik neyi tetikliyor?
- Sonuç şeffaflığı: Bir bulgu üretildiğinde kişiye söyleniyor mu, itiraz edebiliyor mu?
Üçüncüsü en sık atlanan. Hakkında sinyal üretilen çalışanın bunu öğrenmemesi, sistemi tanımı gereği gizli bir dosyalama mekanizmasına dönüştürür.
Test 4: Sonuç
Bir bulgunun çalışan üzerindeki etkisi, bulgunun güvenilirliğiyle orantılı mı?
Otomatik sınıflandırma yanılır. İş amaçlı bir sorgu iş dışı sayılabilir, örnek bir metin sır sanılabilir. Şirket adının kendisinin yanlış pozitif üretmesi bilinen bir sorundur. Buna rağmen sinyalin doğrudan disiplin sürecine bağlandığı kurgular yaygın.
Sınıflandırma çıktısı bir hipotezdir, tespit değil. Bir bulgunun çalışan aleyhine sonuç doğurabilmesi için insan incelemesinden geçmesi, çalışanın açıklama hakkının kullandırılması ve bağlamın değerlendirilmesi gerekir. Bu adımları atlayan bir süreç yalnızca etik olarak değil, iş hukuku açısından da savunmasızdır; davranış nedenine dayalı fesihlerde çalışanın savunmasının alınmaması başlı başına bir geçersizlik sebebidir.
Orantılılığın pratik karşılığı kademeli bir yanıt merdivenidir: önce otomatik hatırlatma, sonra anonim eğitim, sonra yönetici bilgilendirmesi, en son bireysel süreç. Çoğu ihlal ilk basamakta çözülür ve zaten çözülmesi gereken yer orasıdır.
Sınırı politikaya yazmak
Bu dört test, soyut ilke olarak kaldığında işe yaramaz. Politikaya somut cümleler olarak geçmesi gerekir:
- Hangi raporlar üretilebilir, hangileri teknik olarak kapalıdır.
- Kişi bazlı görünüm hangi eşikte, kimin onayıyla açılır ve ne kadar süre açık kalır.
- Bir bulgu üretildiğinde çalışana ne zaman ve nasıl bildirilir.
- İtiraz nereye yapılır, kim karara bağlar.
- Denetimin kendisi kim tarafından denetlenir.
Son madde en çok ihmal edileni. Erişim loglarını kimsenin okumadığı bir sistem, pratikte log tutmuyor demektir.
Kontrol listesi
- Amacı tek cümleyle yazın ve amaç dışı raporları teknik olarak devre dışı bırakın.
- Her veri alanı için "hangi soruyu cevaplıyor" sorusunu yazılı yanıtlayın; yanıtı olmayanı toplamayın.
- Toplu raporlarda asgari grup büyüklüğü eşiği tanımlayın.
- Sistemin tamamını çalışanlara anlatabildiğinizi test edin; anlatamıyorsanız sistemi değiştirin.
- Hakkında bulgu üretilen çalışanı bilgilendirin ve itiraz yolu açın.
- Otomatik sinyal ile disiplin kararı arasına insan incelemesi koyun.
- Kademeli yanıt merdivenini yazın; ilk basamağı eğitim yapın.
- Kişi bazlı erişimleri loglayın ve logları düzenli olarak bağımsız biri okusun.
- Yılda bir kez toplanan alanları gözden geçirin; kullanılmayan alanı kapatın.