Maven AGI'da Güvenlik ve Yapay Zekâ Yönetişimi: Sonradan Eklenmiş Değil, Özünde Var

Çoğu kişinin sandığından çok daha sık yaşanan bir konuşma var.

Bir müşteri, bir sorunu çözmek için destek temsilcisiyle görüşüyor. Bu sırada adı, e-posta adresi, telefon numarası veya müşteri numarası gibi olağan hesap bilgilerini paylaşıyor. Zaman zaman da gereğinden fazlasını paylaşıyor: Sosyal Güvenlik numarası, kredi kartı bilgileri ya da teşhis veya ilaç adı gibi tıbbi bilgiler.

Soru basit ama kritik: Bu verilere bundan sonra ne olmalı?

Maven AGI olarak onaylı bilgiler ile gereksiz hassas bilgiler arasında net bir ayrım yapıyoruz. Yapay zekâ işleme hattına yalnızca ilgili kullanım senaryosu için açıkça onaylanmış veriler girebilir. Gereksiz hassas veriler ise veri alımı aşamasında otomatik olarak tespit edilip maskelenir. Bu, veriler yapay zekâ çıkarımında kullanılmadan, harici model sağlayıcılarına gönderilmeden, denetim kayıtlarına yazılmadan veya temsilci arayüzlerinde görüntülenmeden önce gerçekleşir.

Bu kontroller politikaya dayalı ve tutarlıdır. Konuşmadan konuşmaya değiştirilmez. İş akışlarında hangi bilgilerin onaylı olduğunu müşteriler belirler, Maven AGI de bu politikaları platformun tamamında tutarlı şekilde uygular.

Bu, sonradan eklenmiş bir özellik değil. Sistem ilk günden bu şekilde tasarlandı.

Kurumsal Yapay Zekâda Güven Sorunu

Kurumsal yapay zekâ kullanımını artık model yetenekleri değil, güven sınırlıyor.

Konuşmaya dayalı yapay zekâ platformlarını değerlendiren kurumlar aynı pratik soruları soruyor: Bu sistem hassas müşteri verilerini güvenle işleyebilir mi? Yüksek riskli bilgilerin gereksiz yere açığa çıkmasını nasıl önlüyor? Kontrollerin etkinliğini denetçilere, düzenleyici kurumlara ve müşterilere nasıl kanıtlayabiliriz? Yapay zekâ, yeni riskler yaratmadan regüle sektörlerde kullanılabilir mi?

Bunlar teorik kaygılar değil. Güvenliğe öncelik veren kurumsal bir müşteri Maven'ın uyumluluk yaklaşımını incelediğinde ilk tepkisi şu oldu: Yönetim kurulumuz bundan çok memnun kalacak. Bu tepki özelliklerin ötesine geçiyordu. Yapay zekâyı devreye almanın bir yönetişim ya da uyumluluk yükü yaratmayacağına duyulan güveni yansıtıyordu.

Eklenti Değil, Mimari Olarak Güvenlik

Maven'ın yaklaşımı basit bir ilkeye dayanıyor: devredilmiş güvenlik.

Müşterilerden yeni bir kimlik veya erişim modeline geçmelerini istemiyoruz. Bunun yerine zaten güvendikleri sistemlerle entegre oluyoruz. Erişim politikalarını müşteriler tanımlar, Maven AGI bunları tutarlı biçimde uygular.

Bu önemli, çünkü güvenlik gereksinimleri herkes için aynı değil. Farklı sektörler ve kurumlar farklı düzenleyici, operasyonel ve risk kısıtları altında faaliyet gösterir. Herkese uyan tek tip bir güvenlik yaklaşımı işe yaramaz.

Genel hatlarıyla Maven AGI; kurumsal kimlik entegrasyonu, rol tabanlı erişim kontrolü, ayrıcalıklı kullanıcılar için güçlü kimlik doğrulama, kapsamlı denetim kaydı, aktarım sırasında ve depolamada şifreleme, tenant izolasyonu ve düzenli bağımsız güvenlik testleri sunar.

Ürün Güvenliği: Yapay Zekâya Özgü Katman

Geleneksel güvenlik kontrolleri gereklidir ama yeterli değildir. Yapay zekâ sistemleri, ek önlemler gerektiren yeni hata türleri ortaya çıkarır.

Onaylı veri içeri, gereksiz hassas veri dışarı. Maven AGI, müşteri tarafından tanımlanan ve politikalarla uygulanan bir izin listesi modeli kullanır. Ad, e-posta adresi, telefon numarası ve hesap tanımlayıcıları gibi onaylı veri öğelerine, destek iş akışları için gerekli olduğunda izin verilir. Sosyal Güvenlik numaraları, finansal hesap bilgileri veya tıbbi ayrıntılar gibi gerekli olmayan yüksek riskli hassas veriler ise veri alımı sırasında tespit edilip maskelenir. Maskeleme; harici model çağrılarından, uzun süreli depolamadan, denetim kaydından veya temsilci arayüzlerinde görüntülemeden önce gerçekleşir.

Müşteri verileri model eğitiminde kullanılmaz. Maven AGI, müşteri verilerini temel modelleri eğitmek veya fine-tune etmek için kullanmaz. Müşteri verileri model iyileştirme amacıyla bir araya getirilmez veya yeniden kullanılmaz.

Güvenlik ve saldırılara karşı dayanıklılık. Platform, zararlı içeriği tespit etmek ve prompt injection, gizleme girişimleri ile hassas verileri ele geçirmeye veya sistem davranışını geçersiz kılmaya yönelik taktikler dahil yapay zekâya özgü tehditlere karşı koruma sağlamak üzere tasarlanmıştır.

İzlenebilir, kaynağa dayalı yanıtlar. Yanıtlar, müşterinin onayladığı bilgi kaynaklarına dayanır. Kullanıcılar her yanıtın hangi bilgilere dayandığını görebilir. Bu da dayanaksız çıktıları azaltır ve denetlenebilirliği artırır.

Tasarımdan gelen insan denetimi. Otomasyonun uygun olmadığı durumlarda Maven AGI; güven eşikleri, müşteri talepleri veya konuşma risk göstergeleri gibi yapılandırılabilir sinyallere göre insan temsilcilere aktarımı destekler. Temsilciler konuşmanın tüm bağlamını alır, böylece müşterilerin kendilerini tekrar etmesi gerekmez.

Bağımsız Denetimlerle Doğrulama

Güçlü kontroller önemlidir. Bağımsız doğrulama ise güveni pekiştirir.

Maven'ın güvenlik, gizlilik ve yapay zekâ yönetişimi uygulamaları üçüncü taraf denetimler ve sertifikalarla doğrulanmıştır: ISO/IEC 27001:2022 (bilgi güvenliği yönetimi), SOC 2 Type II (güvenlik, erişilebilirlik ve gizlilik kontrolleri), ISO/IEC 27017 (bulut güvenliği kontrolleri), ISO/IEC 27018 (bulut ortamlarında kişisel verilerin korunması), PCI-DSS v4.0 Level 1 AOC, BAA imkânıyla HIPAA/HITECH, ISO/IEC 27701 (gizlilik bilgi yönetimi) ve ISO/IEC 42001 (yapay zekâ yönetim sistemi).

ISO/IEC 42001, Maven'ın yapay zekâ sistemlerinin öylece devreye alınıp kendi hâline bırakılmadığını; tanımlı politikalar, izleme ve olay yönetimiyle yönetildiğini bağımsız olarak doğrular.

Regüle Kurumsal Ortamlarda Güvenlik ve Yönetişim

Sertifikalar önemlidir ama daha kapsamlı bir sistemin yalnızca bir parçasıdır.

Asıl başarı ölçütü, kurumların yapay zekâyı güvenle devreye alabilmesidir: verilerinin korunduğunu, yükümlülüklerinin karşılandığını ve yapay zekâ sistemlerinin canlı ortamda öngörülebilir ve sorumlu şekilde çalıştığını bilerek.

Kurumsal veya regüle sektörler için konuşmaya dayalı yapay zekâ çözümlerini değerlendiriyorsanız, tedarikçilere sormaya değer sorular şunlar: Yapay zekâ sistemine hangi bilgilerin girmesine açıkça izin veriliyor? Gereksiz hassas veriler nerede ve ne zaman maskeleniyor? Müşteri verileri model eğitiminde kullanılıyor mu? Hangi sertifikalar gerçekten alınmış? Gerektiğinde sistem on-premise olarak kurulabiliyor mu? Prompt injection ve yapay zekâya özgü diğer saldırılar nasıl ele alınıyor? Yapay zekâ konuşmayı bir insana aktardığında ne oluyor; müşteri her şeye baştan mı başlamak zorunda kalıyor?

Maven AGI'da güvenlik ve yapay zekâ yönetişimi sonradan akla gelen konular ya da pazarlama iddiaları değildir. Kurumsal yapay zekâ kullanımını mümkün kılan mimari temeldir.

Bu yaklaşımı uygulamada görmek isterseniz demo talep edebilir veya Trust Center sayfamızı ziyaret edebilirsiniz.