İsveç hükümeti ChatGPT ve Claude'u kapattı, Copilot kaldı

İsveç Hükümet Ofisleri (Regeringskansliet), 26 Ekim Pazartesi'den itibaren ChatGPT ve Claude'un tarayıcı arayüzlerini kurumun hizmet bilgisayarlarından erişilemez hale getirdi. Kararı ilk olarak İsveç Radyosu'nun haber programı Ekot duyurdu, kurum da SVT'ye doğruladı. Çalışanlar, kurumun sözleşmeli olarak kullandığı Microsoft Copilot'a yönlendiriliyor. Kurum, yaptığı bir incelemenin ardından Copilot'taki güvenlik ayarlarını da sıkılaştırdı; ancak ayrıntı vermedi.

Engelleme, çalışanların kişisel hesaplarla açtığı ücretsiz ya da bireysel abonelikleri hedefliyor. Kurumun Microsoft ile yaptığı çerçeve sözleşme, Copilot'ta işlenen verinin nerede tutulacağını ve nasıl korunacağını belirliyor; ChatGPT ve Claude'un bireysel kullanımında kurum adına böyle bir sözleşme bulunmuyor. Bir sözcü, Copilot'ta hangi güvenlik ayarlarının değiştirildiğini güvenlik gerekçesiyle açıklamadı.

Dijitalleşme direktörü Mikael Wettercrantz, kurum içi ağda yayımladığı notta, sözleşmesi olmayan yapay zekâ hizmetlerinin kullanılmasının bilgi güvenliği açısından sonuçlar doğurabileceğini yazdı. Karar, üretken yapay zekânın tamamen yasaklandığı anlamına gelmiyor. Bazı çalışanlar, kurumun kendi geliştirdiği özel bir yapay zekâ asistanı platformu üzerinden ChatGPT ve Claude'a kontrollü biçimde erişmeye devam edecek. Kaynaklar kapsam konusunda biraz ayrışıyor: bazıları yalnız tarayıcı sürümlerinin engellendiğini, bazıları hizmetlerin genel olarak engellendiğini yazıyor.

İsveç'te benzer adımlar başka kurumlarda da atıldı. İsveç Vergi Dairesi (Skatteverket) ve Devlet Kurumsal Bakım Kurulu (SiS) benzer engeller getirdi; icra dairesi Kronofogden de karar hazırlığında. Bu kurumların ortak kaygısı, çalışanların kamuya açık sohbet araçlarına kişisel veri, gizli belge ya da iç yazışma yapıştırması ve bu verinin sözleşme güvencesi olmadan yurt dışındaki sunuculara gitmesi.

Bu adımlar, kamuda yapay zekânın yaygınlaşmasıyla birlikte veri sızıntısı riskinin de görünür hale geldiğini gösteriyor. Kurumlar önce kullanımı serbest bıraktı, sonra hangi verinin nereye gittiğini sormaya başladı.

Kurumsal yapay zekâ kullanımında belirleyici olan, hizmet sağlayıcıyla imzalanan veri işleme sözleşmesidir. Bu sözleşme verinin nerede tutulacağını, modeli eğitmek için kullanılıp kullanılmayacağını ve ne kadar saklanacağını belirler. Copilot gibi kurumsal paketlerde bu koşullar Microsoft ile yapılan çerçeve sözleşmeye bağlanır. Kişisel hesapla açılan ücretsiz sohbet araçlarında ise kurum adına böyle bir güvence yoktur. Avrupa'da GDPR, Türkiye'de KVKK bu ayrımı hukuken önemli kılar.

Karar, kamu kurumlarının yapay zekâyı yasaklamak yerine onu sözleşmeli ve denetlenebilir kanallara taşıma eğiliminde olduğunu gösteriyor. Aynı hafta ABD'de büyük bankalar da üçüncü taraf ajanların müşteri hesaplarına erişimini kısıtlamaya başladı. Avrupa'da başka hükümetlerin de benzer listeler yayımlaması bekleniyor. Bu, kurumsal anlaşması olan sağlayıcıların kamu pazarında avantaj kazanacağı anlamına geliyor.

Türkiye'de de kamu kurumlarının ve büyük şirketlerin yapay zekâ kullanım yönergeleri hazırladığı biliniyor. İsveç örneği, bu yönergelerin "yasak" yerine "onaylı araç listesi" mantığıyla yazılmasının daha uygulanabilir olduğunu gösteriyor; çünkü çalışanlar araçlara zaten alışmış durumda.

Çalışanların hangi yapay zekâ aracına hangi veriyi yapıştırdığını bilmiyorsan, İsveç hükümetinin bir ay önceki durumundasın.

• Kısa bir kullanım politikası yaz. Hangi araçların onaylı olduğunu ve hangi verinin (müşteri bilgisi, sözleşme, finans) asla yapıştırılmayacağını bir sayfada belirle.
• Kurumsal hesaba geç. Ekip olarak kullandığın aracın iş paketine geç; verinin eğitimde kullanılmadığını sözleşmede gör.
• KVKK'yı unutma. Kişisel veriyi yurt dışındaki bir yapay zekâ hizmetine göndermek, KVKK'da yurt dışına aktarım kurallarına tabidir.