Hukuk ekipleri için yapay zeka tedarikçi inceleme listesi
Yazar Asım Serdar Yılmaz · Yayım · Son güncelleme · 2 dk okuma
Bu masanın iki tarafında da oturdum: şirket içinde bir hukuk ekibi için yapay zeka araçları kurdum, başka günlerde aynı tür araçların tedarikçiden satın alınmasına onay verdim. İyi bir demo ile daha güvenli bir sözleşme arasındaki mesafeyi kısa bir soru listesi kapatıyor. Cevaplar kadar nereye yazıldıkları da önemli; yerleri de sözleşmenin kendisi: denetim hakları, ihlal bildirimi ve sorumluluk.
Buradaki risk hiç değilse ölçülebiliyor; bir hukuk direktörünün uykusunu kaçıran şeylerin çoğu için bunu söyleyemeyiz. Verizon’un 2026 Veri İhlali Araştırma Raporu, üçüncü tarafların karıştığı ihlallerin payını yüzde 48 olarak veriyor; ama bu oran yapay zeka tedarikçilerini değil, tüm üçüncü tarafları ölçer. IBM’in 2025 Cost of a Data Breach raporu ise ihlale uğrayan kurumların yaklaşık beşte birinin ihlalin gölge yapay zekayı içerdiğini bildirdiğini, yoğun gölge yapay zeka kullananlarda ortalama ihlal maliyetinin az kullanan ya da hiç kullanmayanlara göre yaklaşık 670 bin dolar daha yüksek çıktığını ekliyor; bu bir nedensellik değil, ilişkidir. İkisi yan yana okununca incelenmeden devreye alınan bir yapay zeka aracının ne olduğu ortaya çıkıyor: avukat-müvekkil gizliliği kapsamındaki içeriğe alışılmadık ölçüde geniş erişimi olan bir üçüncü taraf.
Benim listemde yerini kalıcı olarak hak eden altı soru var.
Eğitim verisinin kaynağı. Modelin eğitim verisi nereden geldi, tedarikçi bu veriyi kullanma hakkına sahip olduğunu gösterebiliyor mu? İkinci yarısına net cevap veren tedarikçi, olması gerekenden az.
Komutların saklanması ve yeniden kullanımı. Girdileriniz ve belgeleriniz saklanıyor mu, ne kadar süreyle, herhangi bir modelin eğitiminde kullanılıyor mu?
Alt işleyenler ve barındırma bölgesi. Veriye başka kim dokunuyor, alt işleyen zinciri kaç halka gidiyor, veri hangi ülkede duruyor ve silme yalnızca vaat mi ediliyor yoksa doğrulanabiliyor mu?
Fikri mülkiyet ihlali tazminatı. Bir çıktı başkasının hakkını ihlal ederse sorumluluğu kim üstleniyor?
Denetim izi. Aradan uzun zaman geçtikten sonra kimin ne sorduğu ve sistemin ne döndürdüğü yeniden kurulabiliyor mu?
Çıkış ve verinin iadesi. Sözleşme sona erdiğinde veriniz hangi biçimde ve nasıl geri dönüyor? Bu sorunun tek başına dar kaldığı kanaatine vardım; onun yerine Veri Tüzüğünün sözleşmeye koyduğu eksiksiz taşınabilirlik dökümünü isteyin, çünkü iş akışı veriyle birlikte geri gelmiyor.
Cevapları temiz olan bir tedarikçi bu sorulardan genellikle rahatsız olmaz. Herhangi birindeki duraksama ise başlı başına bir cevaptır ve imza atılmadan önce gelmesi iyidir. Ben bunu bir hüküm değil bir işaret sayarım, çünkü iyi bir tedarikçinin de o gün kötü brifing almış olması mümkün; her hâlükârda cevapların sözleşmeye yazılması gerekiyor.
Kaynaklar
Sonraki yazı: Şirket içi hukuk ekipleri için yapay zeka yönetişimi: beş asgari kontrol →