Risk ölçülebilir durumda. Verizon'un 2026 Veri İhlali Araştırma Raporu'na göre üçüncü tarafların karıştığı ihlallerin payı yüzde 48'e yükseldi; bu oran yapay zeka tedarikçilerini değil, tüm üçüncü tarafları ölçer. IBM'in 2025 Cost of a Data Breach raporu ise ihlale uğrayan kurumların yaklaşık beşte birinin ihlalin gölge yapay zekayı içerdiğini bildirdiğini ekliyor; yoğun gölge yapay zeka kullananlarda ortalama ihlal maliyeti, az kullananlara göre yaklaşık 670 bin dolar daha yüksek çıkıyor; bu bir nedensellik değil, ilişkidir. İncelenmeden devreye alınan bir yapay zeka aracı, gizlilik kapsamındaki içeriğe alışılmadık ölçüde geniş erişimi olan bir üçüncü taraftır.
Benim listemde yerini hak eden altı soru var.
Eğitim verisinin kaynağı. Modelin eğitim verisi nereden geldi, tedarikçi bu veriyi kullanma hakkına sahip olduğunu gösterebiliyor mu?
Komutların saklanması ve yeniden kullanımı. Girdileriniz ve belgeleriniz saklanıyor mu, ne kadar süreyle, herhangi bir modelin eğitiminde kullanılıyor mu?
Alt işleyiciler ve barındırma bölgesi. Veriye başka kim dokunuyor, alt işleyici zincirinin kaç halkası boyunca, veri hangi ülkede duruyor ve silme yalnızca vaat mi ediliyor yoksa doğrulanabiliyor mu?
Fikri mülkiyet ihlali tazminatı. Bir çıktı başkasının hakkını ihlal ederse sorumluluğu kim üstleniyor?
Denetim izi. Kimin ne sorduğu ve sistemin ne döndürdüğü sonradan izlenebiliyor mu?
Çıkış ve verinin iadesi. Sözleşme sona erdiğinde veriniz hangi biçimde ve nasıl geri dönüyor?
Cevapları temiz olan bir tedarikçi bu sorulardan rahatsız olmaz. Herhangi birindeki duraksama ise başlı başına bir cevaptır ve imzadan önce gelir. Bunu bir hüküm değil bir işaret olarak görün; önemli olan cevapların yine de sözleşmeye yazılması.
Kaynaklar
Sonraki yazı: Yapay zeka iş akışı aksadığında: hukuk ekipleri için olay müdahale protokolü →