Veri Sınıflandırma ve Maskeleme

AI araçlarını güvenli kullanmanın en önemli yollarından biri, bilgiyi paylaşmadan önce tanımaktır.

Her bilgi aynı risk seviyesinde değildir
Bir şirketin web sitesinde herkesin görebildiği hizmet açıklaması ile bir müşterinin telefon numarası aynı şey değildir. Bir genel toplantı gündemi ile yönetim toplantısındaki gizli karar notları aynı riskte değildir. Bir örnek fiyat metni ile gerçek müşteri teklifi aynı şekilde değerlendirilemez.

Bu yüzden AI kullanmadan önce şu soruyu sormalısın:
“Bu bilgi ne kadar hassas?”
Bilginin hassasiyetini anlamak, AI’ye neyi yazıp neyi yazamayacağını belirlemenin ilk adımıdır.

Bu bölümde iki temel konuyu öğreneceksin:

1. Bilgileri risk seviyesine göre sınıflandırmak
2. Gerçek ve riskli bilgileri paylaşmadan AI’den destek alabilmek için maskelemek

Bu bölümde öğreneceksin:

• Veri sınıflandırmanın ne olduğunu
• Kamuya açık bilgi ile gizli bilginin farkını
• İç kullanıma açık bilginin neden dikkat gerektirdiğini
• Hassas ve yasaklı bilgilerin neden AI’ye yazılmaması gerektiğini
• Maskelemenin ne olduğunu
• Gerçek veri yerine güvenli senaryo yazmayı
• Sadece isim silmenin her zaman yeterli olmadığını
• Dosya, tablo, görsel ve ekran görüntüsü yüklerken de veri kontrolü yapılması gerektiğini

---

1. Veri Sınıflandırma Nedir?

Veri sınıflandırma, bir bilginin ne kadar hassas olduğunu belirleme yöntemidir.

Amaç: Bilginin risk seviyesini anlamak ve AI’ye yazılıp yazılamayacağına doğru karar vermek.

Örneğin:

• Kamuya açık bir blog yazısı daha düşük riskli olabilir.
• Müşteri listesi risklidir.
• Çalışan performans notu risklidir.
• Şirket stratejisi gizlidir.
• Şifre veya API anahtarı çok yüksek risklidir.

Veri sınıflandırma sayesinde çalışan, “bu bilgi AI’ye yazılır mı?” sorusuna daha doğru cevap verebilir.

Bu durum şirket için veri güvenliği, gizlilik, müşteri güveni, ticari sır ve siber güvenlik riski doğurabilir.

Ne yapmalısın?
AI’ye bilgi girmeden önce şu üç soruyu sor:

1. Bu bilgi kime ait?
2. Bu bilgi şirket dışına çıksa sorun olur mu?
3. Bu bilgi bir müşteriyi, çalışanı, adayı, iş ortağını veya şirket kararını etkileyebilir mi?

Bu sorulardan biri bile risk işareti veriyorsa bilgiyi doğrudan AI’ye yazma.

---

Dört Temel Veri Sınıfı

Bu rehberde bilgiler dört gruba ayrılır:

1. Kamuya açık bilgi
2. İç kullanıma açık bilgi
3. Gizli / sınırlı bilgi
4. Hassas / yasaklı bilgi

Bu sınıflar çalışanın hızlı karar vermesini kolaylaştırır.

---

1. Kamuya Açık Bilgi

Kamuya açık bilgi, herkesin erişebileceği bilgidir.

Bu bilgiler şirket tarafından yayımlanmış olabilir veya kamuya açık kaynaklarda bulunabilir.

Örnekler

• Şirketin web sitesindeki hizmet açıklamaları
• Kamuya açık sosyal medya paylaşımları
• Basın bültenleri
• Herkesin erişebileceği blog yazıları
• Resmi kurumların yayımladığı genel bilgiler
• Kamuya açık sektör raporları
• Kamuya açık etkinlik duyuruları
• Herkesin görebildiği ürün veya hizmet açıklamaları

AI ile kullanılabilir mi?
Genellikle daha düşük risklidir. Ancak yine de dikkat gerekir.

Kamuya açık bilgiyle AI’den şunları isteyebilirsin:

• Metni sadeleştirme
• Genel özet çıkarma
• İçerik fikri üretme
• Toplantı gündemi oluşturma
• Sunum başlığı önerme
• Kamuya açık bilgilerle araştırma başlıkları çıkarma

Bu örnekte bilgi kamuya açık olsa bile AI’den doğrulanmamış ve iddialı bir ifade istenmiştir.

Ne yapmalısın?

• Kamuya açık bilgiyle çalışsan bile AI çıktısını kontrol et.
• Abartılı, yanıltıcı veya doğrulanmamış iddiaları çıkar.
• Marka diline uygunluğunu kontrol et.
• Ticari kullanımdan önce gerekli onayı al.
• Kaynak gerekiyorsa doğrula.

---

2. İç Kullanıma Açık Bilgi

İç kullanıma açık bilgi, şirket içinde paylaşılabilen ama şirket dışına açık olmayan bilgidir.

Bu bilgiler her zaman çok gizli olmayabilir. Ancak yine de AI’ye yazılmadan önce dikkatle kontrol edilmelidir.

Örnekler

• Kişisel veri içermeyen eğitim notları
• Genel iç süreç açıklamaları
• Standart toplantı gündemi formatları
• Genel görev takip formatları
• Kişisel veri içermeyen departman içi çalışma notları
• Şirket içi genel duyuru taslakları
• Hassas olmayan operasyon açıklamaları
• Genel prosedür başlıkları

AI ile kullanılabilir mi?

Dikkatli olmak şartıyla bazı durumlarda kullanılabilir.

Ancak iç bilginin içinde fark edilmeden müşteri, çalışan, fiyat, sözleşme, finans, strateji veya gizli süreç bilgisi varsa AI’ye yazılmamalıdır.

Örneğin bir toplantı notunda aşağıdakiler bulunabilir:

• Müşteri adı,
• Çalışan yorumu,
• Fiyat bilgisi,
• Satış hedefi,
• Operasyon planı,
• Şirket içi karar

Bu nedenle “sadece iç yazı” diyerek AI’ye yüklemek güvenli olmayabilir.

Ne yapmalısın?

• İç bilgiyi AI’ye yazmadan önce içinde hassas bilgi var mı kontrol et.
• Toplantı notlarını, e-postaları veya raporları doğrudan yükleme.
• Gerçek içerik yerine genel format iste.
• Gerekirse bilgiyi maskele.
• Emin değilsen yöneticine danış.

---

3. Gizli / Sınırlı Bilgi

Gizli veya sınırlı bilgi, şirket dışına çıkmaması gereken bilgidir.

Bu tür bilgiler yalnızca yetkili kişiler tarafından görülmeli ve işlenmelidir.

Örnekler

• Müşteri listeleri
• Müşteri iletişim bilgileri
• Çalışan bilgileri
• Aday CV’leri
• Fiyat teklifleri
• İndirim oranları
• Sözleşmeler
• Finansal tablolar
• Bütçe bilgileri
• Tedarikçi koşulları
• Yönetim toplantısı notları
• Strateji dokümanları
• İş planları
• Operasyonel özel süreçler
• İç değerlendirme raporları

AI ile kullanılabilir mi?
Kurum onayı olmadan kullanılmamalıdır.

Bu bilgiler AI’ye doğrudan yazılmamalı, yüklenmemeli veya ekran görüntüsü olarak paylaşılmamalıdır.

Bu durum rekabet avantajı kaybı, müşteri güveni kaybı, gizlilik ihlali veya ticari sır riski doğurabilir.

Bu örnekte müşteri listesi AI’ye verilmiştir. Liste kişisel veri ve ticari bilgi içerebilir.

Ne yapmalısın?

• Gizli bilgiyi AI’ye doğrudan yazma.
• Dosya, tablo veya görsel olarak yükleme.
• Gerçek müşteri, fiyat, sözleşme ve finans bilgilerini çıkar.
• Gerekirse anonim ve genel senaryo kullan.
• Onay gereken durumlarda yetkili kişiye danış.

4. Hassas / Yasaklı Bilgi

Hassas veya yasaklı bilgi, AI araçlarına girildiğinde çok ciddi risk doğurabilecek bilgidir.

Bu bilgiler genel çalışan kullanımı için AI’ye yazılmamalıdır.

• Şifreler
• API anahtarları
• Token bilgileri
• Secret key bilgileri
• Sistem erişim bilgileri
• Veritabanı bağlantı bilgileri
• Sağlık bilgileri
• Özel nitelikli kişisel veriler
• Çocuklara ait bilgiler
• Hukuki uyuşmazlık dosyaları
• Avukat yazışmaları
• Güvenlik açığı bilgileri
• Kritik kaynak kodlar
• Kredi kartı veya banka bilgileri
• Kimlik numarası, pasaport numarası, vergi numarası gibi yüksek hassasiyetli bilgiler

AI ile kullanılabilir mi?
Genel çalışan kullanımında hayır.

Bu bilgiler AI araçlarına yazılmamalı, dosya olarak yüklenmemeli, ekran görüntüsü olarak paylaşılmamalıdır.

Örneğin:

• Şifre veya API anahtarı paylaşılırsa sistemlere yetkisiz erişim olabilir.
• Sağlık bilgisi paylaşılırsa mahremiyet ve ayrımcılık riski oluşabilir.
• Çocuk verisi paylaşılırsa yüksek hukuki ve etik risk doğabilir.
• Hukuki uyuşmazlık belgesi paylaşılırsa şirketin hukuki pozisyonu zayıflayabilir.
• Güvenlik açığı paylaşılırsa sistem saldırıya açık hale gelebilir.

Ne yapmalısın?

• Hassas bilgileri AI’ye asla yazma.
• Bu bilgileri dosya, tablo, görsel veya ekran görüntüsü olarak yükleme.
• Böyle bir ihtiyaç varsa işlemi durdur.
• IT, hukuk, KVKK veya yetkili kişiyle görüş.
• Genel ve anonim soru sorulabilecekse gerçek bilgiyi tamamen çıkar.

Hızlı Veri Sınıflandırma Tablosu

Bilgi Türü	Sınıf	AI Kullanım Yaklaşımı
Şirket web sitesindeki hizmet açıklaması	Kamuya açık bilgi	Kullanılabilir, çıktı kontrol edilmeli
Kamuya açık sosyal medya paylaşımı	Kamuya açık bilgi	Kullanılabilir, marka dili kontrol edilmeli
Genel toplantı gündemi formatı	İç kullanıma açık bilgi	Genellikle kullanılabilir, gerçek toplantı içeriği paylaşılmamalı
Kişisel veri içermeyen eğitim notu	İç kullanıma açık bilgi	Dikkatli kullanılabilir
Müşteri adı ve telefonu	Gizli / sınırlı bilgi	AI’ye yazılmamalı
Müşteri listesi	Gizli / sınırlı bilgi	AI’ye yüklenmemeli
Çalışan performans notu	Gizli / sınırlı bilgi	AI’ye yazılmamalı
Aday CV’si	Gizli / sınırlı bilgi	AI’ye yüklenmemeli
Fiyat teklifi	Gizli / sınırlı bilgi	Maskelenmeden kullanılmamalı
Sözleşme metni	Gizli / sınırlı bilgi	Yetkili onayı olmadan yüklenmemeli
Finansal tablo	Gizli / sınırlı bilgi	AI’ye yüklenmemeli
Şirket stratejisi	Gizli / sınırlı bilgi	AI’ye yazılmamalı
Şifre	Hassas / yasaklı bilgi	Kesinlikle yazılmamalı
API anahtarı	Hassas / yasaklı bilgi	Kesinlikle yazılmamalı
Sağlık bilgisi	Hassas / yasaklı bilgi	Kesinlikle yazılmamalı
Çocuk verisi	Hassas / yasaklı bilgi	Kesinlikle yazılmamalı
Güvenlik açığı bilgisi	Hassas / yasaklı bilgi	Kesinlikle yazılmamalı

---

Maskeleme Nedir?

Maskeleme, gerçek ve riskli bilgileri çıkararak daha güvenli bir senaryo oluşturma yöntemidir.

Amaç, AI’den destek alırken kişisel, ticari, teknik veya gizli bilgileri paylaşmamaktır.

Maskeleme sadece isim silmek değildir.

Bir metindeki gibi bilgiler de çıkarılmalıdır:

• Ad soyad
• Telefon
• E-posta
• Adres
• Müşteri numarası
• Sipariş numarası
• Fiyat
• İndirim
• Sözleşme şartı
• Finansal veri
• Şifre
• API anahtarı
• Stratejik bilgi

Bu örnekte isim yoktur ama telefon ve adres vardır. Hâlâ risklidir.

---

Maskeleme Nasıl Yapılır?

Maskeleme için aşağıdaki adımları izleyebilirsin.

1. Adım – Kişisel Bilgileri Çıkar

Aşağıdaki bilgileri AI’ye yazma:

• Ad soyad
• Telefon
• E-posta
• Adres
• Kimlik numarası
• Pasaport numarası
• Vergi numarası
• Banka bilgisi
• Sağlık bilgisi
• Çalışan veya aday bilgisi

---

2. Adım – Ticari Bilgileri Çıkar

Aşağıdaki bilgileri AI’ye yazma:

• Fiyat
• İndirim oranı
• Teklif tutarı
• Ödeme planı
• Sözleşme şartı
• Tedarikçi koşulu
• Komisyon bilgisi
• Bütçe
• Finansal veri
• Müşteriye özel ticari anlaşma

---

3. Adım – Şirket İçi Gizli Bilgileri Genelleştir

Aşağıdaki bilgileri doğrudan AI’ye yazma:

• Stratejik plan
• Yönetim kararı
• Lansman planı
• Pazar giriş planı
• Operasyonel özel süreç
• Tedarikçi listesi
• Rekabet avantajı sağlayan bilgi

Aksiyon

Gerçek şirket planını yazma. Genel sektör veya genel iş senaryosu kullan.

---

4. Adım – Teknik ve Güvenlik Bilgilerini Tamamen Çıkar

Aşağıdaki bilgiler maskelenerek bile paylaşılmamalıdır:

• Şifre
• API anahtarı
• Access token
• Secret key
• Admin bilgisi
• Sistem erişim bilgisi
• Veritabanı bağlantı bilgisi
• Güvenlik açığı detayı

---

5. Adım – AI’den Karar Değil, Destek İste

AI’ye özellikle insanları etkileyen konularda nihai karar verdirmemelisin.

---

Maskelenmiş Prompt Şablonu

AI’den daha güvenli destek almak için aşağıdaki şablonu kullanabilirsin:

Neden daha güvenli? Çünkü bu prompt:

• Gerçek müşteri bilgisi paylaşmaz.
• Kişisel veri içermez.
• Sipariş veya adres bilgisi vermez.
• Kesin teslimat sözü verdirtmez.
• İnsan kontrolünü hatırlatır.

---

Riskli Girdi / Maskelenmiş Girdi Tablosu

Riskli Girdi	Sorun	Maskelenmiş / Daha Güvenli Girdi
“Ahmet Yılmaz 0532… numarasıyla sipariş gecikmesi için aradı.”	Müşteri kişisel verisi içerir.	“Bir müşteri sipariş gecikmesi nedeniyle aradı.”
“Müşteri adresi şu: … Teslimat cevabı yaz.”	Adres ve sipariş bilgisi içerir.	“Teslimat gecikmesi yaşayan bir müşteriye genel yanıt taslağı hazırla.”
“ABC Ltd’ye 450.000 TL teklif verdik.”	Müşteri ve fiyat bilgisi içerir.	“Bir müşteriye teklif sonrası profesyonel takip e-postası yaz.”
“%15 indirim yapabiliriz, ama önce ikna etmeye çalış.”	Ticari strateji ve indirim bilgisi içerir.	“İndirim talebine, özel oran paylaşmadan alternatif değer önerisiyle yanıt taslağı hazırla.”
“Ayşe’nin performans notu düşük.”	Çalışan kişisel verisi içerir.	“Bir ekip üyesine gelişim odaklı geri bildirim metni hazırla.”
“Bu çalışanın sağlık raporuna göre vardiya planla.”	Sağlık verisi içerir.	“Sağlık bilgisi paylaşmadan, işe dönüş sürecinde genel destek yaklaşımı öner.”
“Bu 20 CV’yi sırala.”	Aday kişisel verisi ve otomatik karar riski içerir.	“Bu pozisyon için genel değerlendirme kriterleri öner.”
“Bu finansal tabloya göre şirketin durumunu yorumla.”	Finansal/ticari sır içerir.	“Finansal analiz raporunda kullanılabilecek genel başlıkları listele.”
“API key şu: sk-…”	Kritik güvenlik bilgisi içerir.	“API bağlantı hatalarında genel kontrol adımlarını açıkla.”
“Yönetim toplantısı notlarını özetle.”	Strateji, çalışan veya ticari sır içerebilir.	“Toplantı sonrası aksiyon maddeleri e-postası için genel format oluştur.”
“Bu sözleşmenin 5. maddesini yorumla.”	Hukuki ve ticari bilgi içerebilir.	“Bir hizmet sözleşmesinde teslimat süresi maddesi genel olarak hangi unsurları içermelidir?”
“Bu ücretli sektör raporunu özetle.”	Telif/lisans riski içerir.	“Bu sektörde araştırma yaparken bakılabilecek kamuya açık başlıkları öner.”

---

Maskeleme Yaparken Sık Yapılan Hatalar

Sadece adı çıkarmak yeterli sanmak

Bu örnekte isim çıkarılmış olsa bile telefon ve adres hâlâ kişisel veri olabilir.

---

Şirket adını çıkarıp fiyatı bırakmak

Bu örnekte müşteri adı olmasa bile fiyat ve indirim bilgisi ticari sır olabilir.

---

Belgenin tamamını yükleyip “kişisel verileri dikkate alma” demek

AI aracına belge yüklendiğinde içindeki bilgi yine paylaşılmış olur.

---

AI’ye “gizli tut” demenin yeterli olduğunu sanmak

AI’ye gizli tutmasını söylemek, şirket politikası veya veri güvenliği açısından yeterli bir koruma sağlamaz.

---

Ekran görüntüsü veya dosya yüklemenin farklı olduğunu sanmak

Dosya, görsel, PDF, ekran görüntüsü veya tablo yüklemek de veri paylaşımıdır.

---

AI’ye Veri Girmeden Önce Son Kontrol

AI’ye bilgi girmeden önce şu kontrolü yap:

1. İçinde gerçek kişi adı var mı?
2. Telefon, e-posta, adres veya kimlik bilgisi var mı?
3. Müşteri, çalışan veya aday bilgisi var mı?
4. Fiyat, teklif, indirim veya sözleşme bilgisi var mı?
5. Finansal, muhasebe veya ödeme bilgisi var mı?
6. Şirket stratejisi veya ticari sır var mı?
7. Şifre, API anahtarı veya sistem bilgisi var mı?
8. Hukuki, sağlık veya çocuk verisi var mı?
9. Üçüncü tarafa ait telifli veya lisanslı içerik var mı?
10. Bu bilgi şirket dışına çıksa sorun olur mu?

Bu sorulardan herhangi birine evet diyorsan:

• Bilgiyi AI’ye girme.
• Önce maskele.
• Gerekirse genelleştir.
• Onay gerekiyorsa onay al.
• Emin değilsen yetkili kişiye danış.

Bölüm Özeti

Veri sınıflandırma ve maskeleme, güvenli AI kullanımının temelidir.

Önce bilginin ne kadar hassas olduğunu anlamalısın. Sonra bu bilginin AI’ye yazılıp yazılamayacağına karar vermelisin.

Eğer bilgi kişisel, ticari, gizli, finansal, teknik veya hassas ise doğrudan AI’ye yazılmamalıdır. Gerçek veri yerine anonim ve güvenli bir senaryo kullanılmalıdır.

---

Önemli Bilgiler

• Her bilgi aynı risk seviyesinde değildir.
• Kamuya açık bilgi düşük riskli olabilir, ama AI çıktısı yine kontrol edilmelidir.
• İç kullanıma açık bilgi, şirket dışına açık bilgi demek değildir.
• Gizli ve sınırlı bilgiler AI’ye doğrudan girilmemelidir.
• Hassas ve yasaklı bilgiler genel çalışan kullanımında AI’ye yazılmamalıdır.
• Maskeleme sadece isim silmek değildir.
• Telefon, adres, fiyat, sözleşme, finansal veri, şifre ve strateji bilgileri de çıkarılmalıdır.
• Dosya, tablo, PDF, ekran görüntüsü ve ses kaydı yüklemek de veri paylaşımıdır.

---

Çalışan İçin Kurallar

1. AI’ye bilgi girmeden önce bilginin sınıfını düşün.
2. Kamuya açık olmayan bilgileri dikkatle değerlendir.
3. Müşteri, çalışan, aday, fiyat, sözleşme veya finans bilgilerini paylaşma.
4. Şifre, API anahtarı, token ve sistem bilgilerini asla yazma.
5. Gerçek veri yerine anonim senaryo kullan.
6. Sadece isim silmekle yetinme; tüm riskli bilgileri çıkar.
7. Dosya veya ekran görüntüsü yüklemeden önce içeriği kontrol et.
8. Emin değilsen yetkili kişiye danış.