ERP'de maliyet ekranını açamayan bir satış temsilcisi, şirketin yapay zekâ asistanına "Bu ürünün bize maliyeti nedir?" diye sorduğunda doğru cevabı saniyeler içinde alabiliyor. Bu tuhaf bir hata gibi görünür ama aslında beklenen bir sonuçtur. Cevap, yapay zekânın sistemlere hangi yetkiyle bağlandığına bağlıdır.
Yetki Sınırları Zaten Var — Yapay Zekâ Onları Görmez
Dosya sunucusundan e-postaya, muhasebeden ERP'ye kadar her yazılımda bir yetki yapısı vardır: roller, ekip görünürlüğü, klasör izinleri, kişisel kutular. Bir satış temsilcisinin maliyeti görememesi tesadüf değildir — bilinçli bir tasarımdır.
Sorun, yapay zekâ bu sistemlere bağlanırken ortaya çıkar. Bağlantı en geniş okuma yetkisiyle (süper kullanıcı ya da servis hesabı üzerinden) kurulduysa, yapay zekâ soruyu soran kişinin değil kendi yetkisini referans alır. Kendisine veri kaynağı olarak verilen her yerde arar, bulduğu bilgiyi derler ve kullanıcının ekranına getirir. Kullanıcının o veriyi normalde görüp göremeyeceği, bu arama sırasında hiç sorulmaz.
Ne Çalışan Ne de Yapay Zekâ Suçlu
Burada kimseyi suçlamak yanlış olur. Satış temsilcisi sıradan bir soru soruyor — kötü niyetli bir sızdırma girişimi değil bu. Yapay zekâ da kendisine verilen alanda görevini yapıyor; ona ne sorulduysa onu cevaplıyor.
Sonucu belirleyen tek şey kurulum sırasında verilen karardır: yapay zekâ hangi hesapla, hangi kapsamda bağlandı? Bu soru sorulmadan yapılan her entegrasyon, mevcut yetki yapısını es geçme riski taşır.
Temel Kural: Ayrı Bir Yetki Yapısı Kurmayın
Bizim için bu konudaki kural nettir: Yapay zekâ için ayrı bir yetki yapısı kurulmamalı, mevcut yetkiler neyse o geçerli olmalı. Satış temsilcisi maliyeti göremiyorsa, yapay zekâya sorarak da görememeli.
Bu, iki farklı yaklaşımı ayırt eder:
- Yanlış kurulum: Yapay zekâya, kurumdaki en geniş yetkiye sahip bir hizmet hesabı (service account) ile erişim vermek. Hızlı çalışır, ama her kullanıcı yapay zekâ üzerinden dolaylı olarak yönetici yetkisine sahip olur.
- Doğru kurulum: Yapay zekânın, sorguyu yapan kullanıcının kimliğiyle bağlanması (kapsamlı erişim / scoped access) ve mevcut rol tabanlı erişim kontrolünü (role-based access control, RBAC) devralması. Yapay zekâ o kullanıcı adına ne görebiliyorsa onu görür, fazlasını değil.
Somutlaştırmak gerekirse: Bir çalışan dosya sunucusunda yönetim kuruluna ait klasörü açamıyorsa, yapay zekâ asistanı da o klasördeki belgeleri özetleyip çalışana sunmamalı. Yapay zekâ her etkileşimde soruyu soran kişinin kimliğine bürünmeli ve o kişinin zaten erişebildiği verinin dışına çıkmamalı.
İkinci yaklaşım daha fazla mühendislik gerektirir. Ama ilk yaklaşımın maliyeti daha sonra, çoğunlukla bir olay (incident) sırasında ortaya çıkar.
Pratikte Nereden Başlanır
Kurulum aşamasında sorulması gereken sorular şunlardır:
1. Kimlik nasıl taşınıyor? Yapay zekâ, sorguyu yapan kişinin kimliğiyle mi (tekil oturum açma / SSO üzerinden) bağlanıyor, yoksa ortak bir servis hesabıyla mı? İkincisi, her sonucu aynı geniş yetkiden üretir.
2. Erişim satır seviyesinde mi kısıtlı? ERP ve CRM gibi sistemlerde satır düzeyinde güvenlik (row-level security) varsa, yapay zekâ bağlantısı da bu kısıtı miras almalı. Aksi halde tablo düzeyinde izin verilen her şeye erişir.
3. Hangi veri kaynağı gerçekten gerekli? "Her ihtimale karşı" tüm sistemlere bağlanmak yaygın bir hatadır. Bir kullanım senaryosu neyi gerektiriyorsa yapay zekâ yalnızca ona erişmelidir — ilerideki bir soruya cevap verebilmek için değil.
4. Kim, ne zaman, neyi sordu? Erişim kaydı (audit log) olmadan, hangi bilginin kime ulaştığını sonradan öğrenmenin bir yolu yoktur. Bu, yapay zekâ için de aynen insan kullanıcılar için geçerli olan bir gereklilik.
Kararı Kim Veriyor?
Bu, teknik bir detay değil bir yönetişim sorusudur. Kurulum sırasında yapılan tercih genellikle üç yerden biri tarafından belirlenir: bilgi işlem, ilgili iş birimi ya da doğrudan yönetim. Hangisi karar veriyorsa, o kişinin mevcut yetki yapısını — kim neyi görebiliyor, kim göremiyor — bilmesi gerekir. Aksi halde karar, teknik kolaylık üzerinden verilir; güvenlik üzerinden değil.
Firmanızda bu kararı kimin verdiğini bilmiyorsanız, bu da başlı başına bir tespittir. AI Durum Değerlendirmesi aracımızdaki Yönetişim ve Kurumsal Veriye Erişim boyutları tam olarak bu soruyu netleştirmek için kuruldu.
🗓️Ücretsiz 30 dakikalık görüşmede size özel bir yol haritası çıkaralım.
Görüşme Planla🧭Firmanız yapay zekâ konusunda bugün nerede duruyor? 4 dakikada altı boyutta görün.
AI Durum DeğerlendirmesiBu yazıyı faydalı buldunuz mu? Ekibinizle paylaşın.