AI Ajanları için Denetim İzi: ISO 27001 ve KVKK Eşleştirme

Öne çıkanlar

Denetim izi, ajanın eylemini girdisi, gerekçesi ve onayıyla birlikte kaydetmelidir.
Kayıtlar değiştirilemez veya değişikliği tespit edilebilir şekilde saklanmalıdır.
Kayıtlarda kişisel veri bulunabileceği için saklama ve erişim kuralları gereklidir.
Uyumluluk eşleştirmesi kurumun kendi denetçisi ve hukuk danışmanıyla doğrulanmalıdır.

Bir insan admin bir firewall kuralını değiştirdiğinde, denetim izi genellikle kimin ne zaman neyi değiştirdiğini gösterir. AI ajanı söz konusu olduğunda bu bilgi yetersiz kalır: ajanın neden bu değişikliği önerdiği, hangi veriye dayandığı, hangi model ve talimat sürümüyle çalıştığı ve kimin onayladığı da kaydedilmelidir. Bu rehber, ajan denetim izinin içeriğini ve uyumluluk çerçeveleriyle ilişkisini ele alır.

Kaydedilmesi gereken alanlar

Zaman damgası (senkronize saat kaynağından) ve benzersiz işlem kimliği.
Ajan kimliği: hangi ajan, hangi servis hesabı, hangi ortam.
Tetikleyici: talep, alarm veya zamanlanmış görev kimliği.
Girdi özeti: ajanın kararında kullandığı veri kaynakları ve sorgular (tam içerik yerine referans veya özet tercih edilebilir).
Model ve yapılandırma: model adı ve sürümü, sistem talimatı sürümü, kullanılan araçlar.
Öneri ve gerekçe: ajanın önerdiği eylem ve açıklaması.
Onay: onaylayan kişi, onay zamanı, onay kanalı, onay kaydı kimliği; ret veya değişiklik isteği varsa gerekçesi.
Uygulama: gerçekten uygulanan değişiklik, hedef sistemin yanıtı, başarı veya hata durumu.
Geri alma: varsa geri alma işlemi ve nedeni.

Bütünlük ve saklama

Denetim izinin değeri, sonradan değiştirilmediğine güvenilebilmesine bağlıdır. Kayıtları ajanın ve ajan yöneticilerinin değiştiremeyeceği bir sisteme (örneğin merkezi log platformu veya değiştirilemez nesne depolama) aktarın. Ajanın kendi kayıtlarını silme veya düzenleme yetkisi olmamalıdır. Saklama süresini kurumunuzun log saklama politikası, sözleşme ve mevzuat yükümlülükleriyle uyumlu belirleyin.

Kişisel veri boyutu

Ajan girdileri ve gerekçeleri, kullanıcı adları, e-posta adresleri, IP adresleri veya e-posta içerikleri gibi kişisel veriler içerebilir. Bu nedenle denetim izi de kişisel veri işleme faaliyeti olarak ele alınmalıdır. Değerlendirilebilecek önlemler:

Kayıtlara yalnızca gerekli alanları yazmak (veri minimizasyonu).
Tam içerik yerine kaynak sisteme referans tutmak.
Denetim izine erişimi rol bazlı sınırlamak ve erişimleri de loglamak.
Ajanın kullandığı model hizmetinin verileri nerede işlediğini ve sakladığını belgelemek; yurt dışına veri aktarımı söz konusuysa bunu hukuk ekibiyle değerlendirmek.

ISO/IEC 27001 ile ilişkilendirme

ISO/IEC 27001:2022 Ek A, ajan denetim iziyle doğrudan ilişkilendirilebilecek kontroller içerir. Aşağıdaki eşleştirme bir başlangıç noktasıdır; kontrollerin kurumunuzdaki uygulanabilirlik bildirgesi ve denetçinizin yorumu belirleyicidir:

8.15 Kayıt tutma (logging): ajan eylemlerinin kaydı ve korunması.
8.16 İzleme faaliyetleri: ajan davranışındaki anormalliklerin izlenmesi.
8.17 Saat senkronizasyonu: kayıtlardaki zaman damgalarının güvenilirliği.
8.32 Değişiklik yönetimi: ajanın önerdiği değişikliklerin onay akışı.
8.2 Ayrıcalıklı erişim hakları ve 5.18 Erişim hakları: ajan servis hesaplarının yetkileri.
5.23 Bulut hizmetlerinin kullanımında bilgi güvenliği: ajanın kullandığı model veya platform bulut hizmetiyse.

KVKK açısından değerlendirme

6698 sayılı Kişisel Verilerin Korunması Kanunu, veri sorumlusunun kişisel verilerin hukuka aykırı işlenmesini önlemek ve muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirleri almasını öngörür. Ajan kullanımında bu kapsamda değerlendirilebilecek konular şunlardır: ajanın işlediği kişisel veri kategorileri, işleme amacı ve hukuki dayanağın belgelenmesi, veri işleme envanterine yansıtılması, erişim yetkilerinin sınırlandırılması, kayıtların saklanması ve imhası ile yurt dışına aktarım söz konusuysa bunun güncel mevzuata göre değerlendirilmesi. Kurul'un yayımladığı rehberler ve güncel düzenlemeler için hukuk danışmanınızla çalışmanızı öneririz.

Denetime hazırlık

Ajanın görev tanımını, yetki setini ve onay matrisini tek bir belgede toplayın.
Örnek bir işlemin uçtan uca izini (tetikleyiciden uygulamaya) çıkarabildiğinizi test edin.
Reddedilen ve geri alınan işlemlerin de kaydedildiğini doğrulayın.
Model veya talimat sürümü değişikliklerini değişiklik yönetimi kayıtlarıyla ilişkilendirin.
Periyodik gözden geçirme sonuçlarını (yetki, örneklem denetimi) saklayın.

Sık sorulan sorular

Bu içerik hukuki görüş yerine geçer mi?

Hayır. Genel bilgilendirme amaçlıdır; kurumunuzun yükümlülükleri için denetçiniz ve hukuk danışmanınızla çalışmanız gerekir.

Ajanın tüm girdilerini tam olarak saklamak gerekir mi?

Her zaman değil. Veri minimizasyonu açısından tam içerik yerine kaynak sisteme referans ve özet saklamak çoğu durumda yeterli ve daha uygundur; karar kurumun ihtiyaçlarına göre verilmelidir.

Model sürümünü neden kaydetmeliyiz?

Ajan davranışı model ve talimat sürümüne bağlıdır. Bir kararın sonradan açıklanabilmesi için hangi sürümle verildiğinin bilinmesi gerekir.

İlgili çözümler

İlgili rehberler

confidenya

Bu adımları kendi ortamınızda planlayalım

Hiçbir değişiklik insan onayı olmadan canlıya alınmaz. Güvenlik ürünlerinizin yönetimini AI ajanlarına kademeli ve denetlenebilir şekilde devretmek için ekibimizle görüşün.

Ekibimizle görüşün

Bu içerik genel bilgilendirme amaçlıdır. Kurumunuza özel kararlar için uzman değerlendirmesi önerilir.

AI ajanları için denetim izi ve uyumluluk: ISO 27001 ve KVKK eşleştirme desteği