AI Sohbet Botları ile Asla Paylaşmamanız Gerekenler | Güvenli Veri Rehberi

Kısa Kural

AI sohbet botları yazma, özetleme, kodlama, araştırma ve çeviri için kullanışlıdır. Her bilgi türü için doğru yer değillerdir. En güvenli çalışma alışkanlığı basittir: eğer bir şeyi paylaşmak bir kişiyi, hesabı, şirketi veya hukuki bir yükümlülüğü açığa çıkarabilecekse, açık bir neden, doğru hesap türü ve doğru korumalar olmadıkça bunu bir AI sohbet botuna yapıştırmayın.

Bu her AI sohbet botunun güvensiz olduğu anlamına gelmez. Bunları güçlü çevrimiçi araçlar olarak, güvenli kasalar gibi değil, ele almalısınız. Önce daha geniş bir kurulum kılavuzuna ihtiyacınız varsa, AI Sohbet Gizlilik Ayarları'nı okuyun AI Sohbet Gizlilik Ayarları. Riskiniz araçlardan, özel eylemlerden veya bağlayıcılardan kaynaklanıyorsa, bu kılavuzu aşağıdaki rehberle eşleştirin: GPT'ler, Ajanlar ve MCP Bağlayıcıları Güvenli mi? .

Önemli: Bir gizlilik ayarı riski azaltabilir ama her veri türünü paylaşılabilir hale getirmez. Eğer bilgilerin netin yanlış bağlamda kopyalanmasını, incelenmesini, iletilmesini, depolanmasını veya başka verilerle karıştırılmasını istemezseniz, varsayılan olarak yapıştırmayın.

AI Sohbet Botlarıyla Asla Paylaşmamanız Gerekenler

Aşağıdaki kategoriler, insanların AI sohbetlerinde aşırı paylaşım yapmasının en yaygın yollarıdır. Bazıları açıkça hassastır. Diğerleri bağlamla birlikte gizlilik, yasal veya güvenlik sorununa dönüşene kadar zararsız görünür.

1. Parolalar, oturum bilgileri ve kurtarma kodları

Parolaları, tek kullanımlık doğrulama kodlarını, yedek kodları, sıfırlama bağlantılarını, session token'ları veya gizli cevapları asla yapıştırmayın. Bunlar doğrudan hesap erişim malzemeleridir. Yardıma ihtiyacınız varsa, [PASSWORD] or [2FA KODU] ve gerçek gizli bilgiyi paylaşmadan durumu açıklayın.

2. API anahtarları, özel anahtarlar, tokenlar ve diğer gizli bilgiler

API anahtarlarını, OAuth tokenlarını, SSH özel anahtarlarını, webhook gizli anahtarlarını, .env değerler, veritabanı parolaları veya servis hesabı kimlik bilgileri. Çoğu sorun giderme durumunda modelin gerçek gizli bilgiden ziyade yapı/konfigürasyon örüntüsüne ihtiyacı vardır.

3. Banka, kart ve ödeme bilgileri

Kart numaralarından, CVV kodlarından, tam banka hesap bilgilerine, ödeme işlemcisi kimlik bilgilerine, cüzdan kurtarma ifadelerine veya tam fatura ekran görüntülerine kaçının. Eğer satış veya ekstresi okumayla ilgili yardıma ihtiyacınız varsa, ayrıntıları gizleyin ve soruyu sormak için gerekli en az bağlamı bırakın.

4. Resmi kimlikler, vergi kayıtları ve resmi belgeler

Pasaport taramalarını, ulusal kimlik kartlarını, sürücü belgelerini, vize dosyalarını, vergi dökümlerini, Sosyal Güvenlik numaralarını veya benzeri tanımlayıcıları yüklemeyin veya yapıştırmayın. Bir form hakkında yardıma ihtiyacınız varsa, tam belgeyi paylaşmak yerine form türü veya alanların anlamları hakkında sorun.

5. Tıbbi, sağlık ve son derece kişisel bilgiler

Sağlık kayıtları, tanılar, reçeteler, laboratuvar sonuçları, terapi notları ve sigorta tanımlayıcıları varsayılan olarak genel amaçlı AI sohbet botlarından uzak tutulmalıdır. Daha güvenli bir yaklaşım, kimlik sızlaştırıcı terimler kullanarak genel eğitici sorular sormaktır.

6. Gizli iş belgeleri ve dahili ticari bilgiler

İç yol haritalarını, strateji sunumlarını, fiyatlandırma planlarını, olay notlarını, güvenlik dokümanlarını, yönetim materyallerini veya yayımlanmamış ürün detaylarını, kuruluşunuz bu iş akışını onaylamadıkça bir tüketici AI hesabına yapıştırmayın. İşe ilişkin hassas içerik onaylı iş ortamlarında yer almalıdır; kişisel kolaylık araçlarında değil.

7. Müşteri verileri, çalışan verileri ve gerçek kişilerle ilişkili herhangi bir KİB

İsimler, e-posta adresleri, telefon numaraları, ev adresleri, müşteri ticket'ları, maaş detayları, öğrenci kayıtları ve İK dosyaları büyük dikkatle ele alınmalıdır. Bir kaydın hassas olması için pasaport numarası gerekmeyebilir. Bağlam, onu tanımlayıcı yapabilir.

8. Sözleşmeler, hukuki taslaklar ve NDA kapsamındaki materyaller

İmzalanmış sözleşmeleri, müzakere geçmişini, hukuki görüşleri, gizli maddeleri veya NDA altındaki başka materyalleri varsayılan olarak genel bir sohbet botuna yapıştırmayın. Yardıma ihtiyacınız varsa, yayınlanmış bir sürüm yerine kırpılmış bir versiyon veya ortak yapılar hakkında sorun.

9. Hassas kaynak kodu, dahili mimari ve güvenlik detayları

Özel depo kodu, dahili uç noktalar, altyapı diyagramları, erişim denetimi mantığı, üretim yapılandırması ve güvenlik el kitapları zararsız yapıştırma malzemesi değildir. AI yine de kodlamada yardımcı olabilir, ancak daha güvenli yaklaşım mümkünse pseudocode, temizlenmiş parçalar veya küçültülmüş test vakaları kullanmaktır.

10. Tam olarak anlamadığınız bağlı araçlar, ajanlar, uygulamalar veya entegrasyonlar aracılığıyla expose edilmiş herhangi bir şey

Bunun gözden kaçması en kolay risklerden biridir. Bir kullanıcı "Bunu manuel olarak yapıştırmadım" diyebilir ve bir sohbet botunun bağlı dosyaları, paylaşılan sayfa içeriğini, takvimleri, uygulamaları veya dış araçları okuyabileceğini unutabilir. Bir entegrasyonun ne okuyabileceğini, ne yazabileceğini ve verilerin nereye gideceğini açıkça yanıtlayamıyorsanız, hassas materyalle kullanmayın.

Gri Alan Örnekleri

Bazı bilgiler zararsız görünse de yine de dikkat gerektirir. Ekran görüntüleri, toplantı notları, dışa aktarılmış elektronik tablolar, destek ticket'ları, müşteri e-postaları, kod parçacıkları ve sohbet transkriptleri sıklıkla isimler, zaman damgaları, dahili URL'ler, proje isimleri veya içeriği pratikte tanımlayıcı yapan diğer gizli sinyaller içerir.

Bu yüzden "Parolayı kaldırdım" demek her zaman yeterli değildir. Bir kontrol paneli ekran görüntüsü veya müşteri sorunları tablosu hâlâ yeterli bağlamı açığa çıkararak gizlilik, güvenlik veya sözleşmesel sorunlara yol açabilir. Şüphe halinde ham materyali yapıştırmak yerine özetleyin.

Yapıştırmadan Önce Veri Sınıflandırması Kullanın

Hataları azaltmanın pratik bir yolu, sohbet botunun görmesi gerekip gerekmediğine karar vermadan önce bilgiyi sınıflandırmaktır. Birçok ekip için basit dört seviyeli bir model işe yarar: Public, Internal, Confidential, ve Restricted.

Public Bilgi dışarıya yönelik kitleler için tasarlanmıştır ve genellikle gizlilik açısından düşük risklidir.
Internal Bilgi normal şirket kullanımı içindir, kamuya dağıtım amaçlı değildir ve yine de her yerde varsayılan olarak yer almamalıdır.
Confidential Bilgi açığa çıkarsa gerçek gizlilik, yasal, ticari veya güven sorunları yaratabilir.
Restricted Bilgi en güçlü korumayı gerektirir; burada sırlar, yüksek riskli hukuki materyaller veya yüksek etkili güvenlik verileri vardır.

Bir şeyin Public mi yoksa Restricted mı olduğundan emin değilseniz, yapıştırmadan önce duraklayın. Birçok durumda sınıflandırma sorusu, anlık olarak bir sohbet botu sağlayıcısının tam güven modelini tahmin etmeye çalışmaktan daha basit ve daha kullanışlıdır. Tam döküm için, Veri Sınıflandırması Açıklandı .

Bunun Yerine Ne Yapılmalı

İyi haber: AI, ham gizli bilgiyi, ham sözleşmeyi veya ham müşteri dosyasını görmeden de yararlı olabilir.

Önce gizle (Redact)

Adları, gizli bilgileri, tanımlayıcıları, hesap numaralarını, dahili URL'leri ve gereksiz meta veriyi kaldırın. Bunların yerine şu gibi yer tutucular kullanın: [CLIENT_NAME], [API_KEY], [INTERNAL_URL], veya [EMPLOYEE_EMAIL].

Ham materyali yüklemek yerine özetleyin

Bir çerçeve, kontrol listesi, yeniden yazım veya şablon isteyin. Örneğin, tam bir çalışan uyarı mektubu yapıştırmak yerine, modelden nötr bir uyarı mektubu şablonu yazmasını isteyin. Tam bir olay raporu paylaşmak ergisine, bir postmortem taslağı isteyin.

Daha güvenli dahili bağlantılar ve güvenilir iş akışları kullanın

Sorunuz gerçekten ayarlarla ilgiliyse, önce AI Sohbet Gizlilik Ayarları. Araç riskiyle ilgiliyse, şu kaynağı inceleyin GPT'ler, Ajanlar ve MCP Bağlayıcıları Güvenli mi? . Dış araçların nasıl çalıştığıyla ilgiliyse, Model Context Protocol (MCP) hakkındaki arka plan rehberi Model Context Protocol (MCP) güven sınırını açıklamaya yardımcı olur. Hangi veri seviyesine baktığınızı daha hızlı belirlemeniz gerekiyorsa, başlangıç olarak Veri Sınıflandırması Açıklandı kılavuzunu kullanın.

İş Hesapları vs Kişisel Hesaplar

Kurumsal AI ortamları genellikle kişisel hesaplardan daha güvenlidir, ancak "daha güvenli" demek "her şey için güvenli" demek değildir. Daha güçlü yönetici kontrolleri, saklama kuralları, onaylı araçlar ve daha net veri sınırları çok yardımcı olur; özellikle ekip iş akışlarında. Disiplin hâlâ önemlidir: hassas veriyi en aza indirin, mümkün olan en dar erişimi kullanın ve aracın gerçekten ihtiyaç duymadığı bilgileri paylaşmaktan kaçının.

Kuruluşunuz onaylanmış bir AI ortamı sağlıyorsa, iş ile ilgili kullanım için doğru başlangıç noktası budur. Kişisel AI hesapları müşteri verileri, gizli belgeler veya şirket içi bağlam için kestirme yol haline gelmemelidir.

Yapıştırmadan Önce Hızlı Kontrol Listesi

Bu doğrudan veya dolaylı olarak gerçek bir kişiyi tanımlıyor mu?
Maruz kalma finansal, yasal, gizlilik veya güvenlik zararı yaratır mı?
Bunun public, internal, confidential veya restricted olduğunu biliyor muyum?
Bu NDA, şirket politikası veya mesleki gizlilik kapsamına giriyor mu?
İsimleri, kimlikleri, gizli bilgileri ve hesap detaylarını önce kırpabilir miyim?
Soruyu ham belge veya ham dosya olmadan sorabilir miyim?
İş için kişisel bir hesap yerine onaylanmış bir kurumsal hesap mı kullanıyorum?
Şu anda ekstra araçlar, uygulamalar, ajanlar veya bağlayıcılar etkin mi?

Birden fazla cevap endişe uyandırıyorsa, duraklayın ve yaklaşımınızı değiştirin. Bu tek alışkanlık en iyi chatbot ayarından daha fazla problemi önler.

Resmi Referanslar ve İleri Okuma

Sıkça Sorulan Sorular

Hassas veriyi bir AI sohbet botuna güvenli şekilde yapıştırabilir miyim?

Genellikle daha güvenli yanıt varsayılan olarak hayırdır. Bir sohbet botu daha iyi gizlilik kontrolleri sunsa bile, doğru yaklaşım paylaşılan bilgiyi en aza indirmek, iş verileri için onaylanmış kurumsal ortamları kullanmak ve ham gizli bilgileri, düzenlemeye tabi kayıtları veya gerçek kişileri tanımlayan belgeleri ifşa etmekten kaçınmaktır.

Uygulamada hassas bilgi olarak neler sayılır?

Hassas bilgiler şunları içerir: parolalar, API anahtarları, kurtarma kodları, finansal detaylar, resmi kimlikler, sağlık kayıtları, gizli iş belgeleri, müşteri verileri, yasal materyaller ve dahili teknik detaylar. Ayrıca ekran görüntüleri, toplantı notları veya bağlamla birleştiğinde kimliklendirici hale gelen dışa aktarmalar gibi gri alan verileri de kapsar.

Kurumsal AI hesapları kişisel hesaplardan daha mı güvenli?

Genellikle evet; çünkü kurumsal ürünler daha güçlü varsayılanlar, yönetici kontrolleri, saklama kuralları ve daha net veri işleme sınırları ekler. Ancak daha güvenli olması her şey için güvenli olduğu anlamına gelmez. Ekipler yine de hassas girişleri en aza indirmeli ve onaylanmış araç politikalarına uymalıdır.

Gerçek bir belgeyi yapıştırmak yerine ne yapmalıyım?

Önce kırpın (redact), problemi özetleyin ve gerçek isimleri, gizli bilgileri, kimlikleri ve dahili URL'leri yer tutucularla değiştirin. Çoğu durumda modelin ihtiyaç duyduğu şey sorunun yapısı olup ham belge veya ham kimlik bilgisi değildir.

Bağlı araçlar ve entegrasyonlar neden ayrı bir risk oluşturuyor?

Çünkü sohbet penceresi tüm güven sınırı değildir. Bağlı sürücüler, takvimler, uygulamalar, GPT eylemleri, ajanlar veya MCP araçları sistemin okuyabileceği veya başka yerlere gönderebileceği içeriği genişletebilir. Bir entegrasyonun neye erişebileceğini anlamıyorsanız, hassas verilerle kullanmayın.

Yanlışlıkla hassas bir şeyi yapıştırdıysam ne olur?

Veri bir parola, token veya API anahtarı gibi bir gizli bilgi ise hemen döndürün (rotate). Veri işe ilişkinse, uygun iç sahip veya güvenlik ile iletişime geçin. Ürün sohbeti silmenize izin veriyorsa silmek de iyi bir adımdır; ama içeriğin zaten işlenmiş veya kaydedilmiş olabileceğini varsayın.

Çoğu AI gizlilik hatasını önleyen tek alışkanlık nedir?

Yapıştırmadan önce duraklayın. Sohbet botunun gerçekten ham veriye ihtiyacı olup olmadığını sorun. Cevap hayırsa, kırpın, özetleyin veya daha güvenli onaylanmış bir iş akışı kullanın.