Hukuk yapay zeka kullanıcı ayrılışı erişim kontrolü: adımlar

Kısa yanıt: Hukuk yapay zeka kullanıcı ayrılışı erişim kontrolü, kişinin yeni girişini, açık oturumlarını, dosya ve çalışma alanı yetkilerini, paylaşım yollarını ve gerekli iş devrini ayrı incelemelidir. Şifre değişikliği veya kullanıcıyı listeden kaldırma işlemi bütün erişimlerin kapandığını tek başına kanıtlamaz. Sağlayıcının güncel açıklamalarını okuyun, işlemi yetkili kişiyle uygulayın ve sonucu gerçek veri içermeyen kontrollü denemeyle kaydedin.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki tavsiye değildir.

Hukuk yapay zeka kullanıcı ayrılışı erişim kontrolü nereden başlar?

Bürodan ayrılan bir kişinin hangi araçları kullandığı bilinmiyorsa ilk adım rastgele hesap silmek değildir. Onaylı araç listesi, kişiye verilmiş görevler ve dosya sorumlulukları birlikte incelenmelidir. Bu yazı, ayrılık anındaki erişimi sonlandırma ve sonucu doğrulama sorusuna odaklanır. Yeni kullanıcılara görev dağıtımını açıklayan yetki matrisi rehberinin yerine ikinci bir genel yetkilendirme listesi oluşturmaz.

KVKK Kişisel Veri Güvenliği Rehberi, kişisel veri içeren sistemlerde görevin gerektirdiği ölçüde erişim verilmesini ve ilişiği kesilen çalışanların erişiminin zaman kaybetmeden sınırlandırılmasını ele alır. Bu yaklaşım yapay zekâ aracını envanterin dışında bırakmak için gerekçe tanımaz. Büro politikasındaki “erişim kapatıldı” satırının hangi hesap ve kaynakları kapsadığını gösterin.

Önce hesap ve çalışma alanı envanterini çıkarın

Aşağıdaki liste bir uygulama önerisidir; bütün hizmetlerde aynı özelliklerin bulunduğu iddiasını taşımaz. Her satır için “var”, “yok” veya “doğrulanmadı” sonucu yazılabilir. Bir özelliğin belgede anlatılmaması onun kesinlikle bulunmadığını göstermez.

• Kişiye tanımlı kullanıcı hesabı ve bağlı olduğu büro çalışma alanı.
• Yönetici veya üyelik rolü ve görülebilen dosya grupları.
• Doğrudan giriş ve varsa büro kimliğiyle giriş yolları.
• Açık oturumları sonlandırmaya ilişkin belgelenmiş işlemler.
• Paylaşılan konuşma veya belge bağlantıları.
• Varsa uygulama bağlantıları ve kişiye bağlı erişim anahtarları.
• İşin devamı için devredilmesi gereken taslak ve kontrol notları.

Envanterde parola veya erişim anahtarının kendisi yazılmamalıdır. İşlem yapılacak hesabı tanımlamaya yetecek bilgi ile sırrın kendisini ayırın. Devir tutanağının içine bir erişim sırrı eklemek, erişim kontrolünü belgeleme amacının dışına çıkar. Sağlayıcıdan destek talep edilecekse de gerçek dosyanın tamamını göndermek yerine önce soruyu ve gerekli asgari bilgiyi belirleyin.

Yeni giriş ile açık oturum neden ayrı incelenir?

Microsoft Entra ID erişim kaldırma belgesi, yeni girişin engellenmesi ile uygulamanın kendi oturumunun sonlandırılması arasında ayrım yapar. Uygulama oturumunun kendi yetkilendirme kurallarına bağlı olabileceğini açıklar. Bu, belirli bir kimlik altyapısına ait örnektir; bütün yapay zekâ hizmetlerinin aynı şekilde çalıştığı anlamına gelmez.

Bu teknik ayrımın çalışma karşılığı basittir: “Şifre değişti” sonucu ile “önceden açılmış oturum artık belgeye erişemiyor” sonucu ayrı kanıt ister. Kullandığınız aracın oturum kapatma, üyelik kaldırma ve erişim iptali açıklamalarını okuyun. Belgede süre veya kapsam belirtilmemişse anında bütün erişimin kesildiğini raporlamayın. Doğrulama bekleyen noktayı sorumlu kişi ve takip işiyle birlikte açık bırakın.

İşlemi yapan kişinin yeterli yönetim yetkisi bulunup bulunmadığını da kontrol edin. Yetkisiz bir kullanıcının listede kişiyi görememesi, hesabın kapatıldığını göstermeyebilir. İlgili sonucun hangi yönetim görünümünden alındığını belirtmek, daha sonra farklı ekranların çelişkili yorumlanmasını önler. Bu kontrol için ayrılan kişinin parolasını paylaşmasını istemek yerine kurumun yetkili yönetim süreci kullanılmalıdır.

Paylaşım bağlantılarını ve dış erişimleri ayırın

Bir dosyanın sahibi veya çalışma alanı üyeliği değiştiğinde daha önce oluşturulmuş bağlantıların ne olacağını sağlayıcının belgesinden okuyun. Konuşma paylaşımı, belge bağlantısı ve dışa aktarılmış kopya aynı nesne değildir. Kontrol tablosunda her biri için ayrı işlem ve sonuç alanı bulunsun. Paylaşım listesinin boş görünmesi, daha önce indirilmiş kopya bulunmadığına ilişkin kanıt oluşturmaz.

Bu nedenle devir görüşmesinde kişiye ait işler ile büroya ait dosyaların konumunu belirlemek yararlıdır. Ancak genel bir inceleme gerekçesiyle özel hesapların tamamına erişim talep etmek bu rehberin önerisi değildir. İşlem kapsamı ve yetkisi somut olarak belirlenmelidir. Şüpheli bir paylaşım görülürse kayıt korunmalı ve konu sorumlu avukata aktarılmalıdır; “hesabı kapattık, sorun bitti” sonucu üretilmemelidir.

TBB rehberinin 12. bölümü, yetki ayrımını ve olay müdahalesini büro politikasının parçaları olarak ele alır. Burada önerilen bağlantı incelemesi bu ilkeleri ayrılık sürecinde uygulanabilir hâle getirir. Yetkisiz aktarım ihtimaliyle karşılaşıldığında veri ihlali değerlendirme rehberine başvurabilirsiniz; her eksik erişim kaydı otomatik olarak ihlal sonucuna bağlanmamalıdır.

Dosya devri ile veri silmeyi karıştırmayın

Kullanıcının erişiminin kapatılmasıyla iş için gerekli taslakların devri farklı amaç taşır. Devralacak kişi, tamamlanan iş, kullanılan kaynak ve açık kalan doğrulama hakkında bilgiye ihtiyaç duyabilir. Bu gerekliliği bütün sohbet geçmişinin sınırsız kopyalanması gerekçesine dönüştürmeyin. Hangi içeriğin neden devredileceğini belirleyin ve yalnızca yetkili kişinin erişebildiği yerde tutun.

6698 sayılı Kanun m.4 ve m.7, saklama ilkesi ve işleme sebeplerinin ortadan kalkması hâlindeki silme, yok etme veya anonimleştirme çerçevesini düzenler. Kişinin görevden ayrılması, her dosyanın işleme sebebinin aynı anda ortadan kalktığı anlamına gelmez. Bu yüzden toplu hesap silme işlemi öncesinde dosya devri ve saklama değerlendirmesi yapılmalıdır.

Ayrıca sağlayıcıdaki bir “sil” işleminin neyi kapsadığını belgesinden kontrol edin. Üyelik, yüklenmiş dosya, geçmiş konuşma, paylaşım bağlantısı ve kayıtların aynı anda kaldırıldığı varsayılmamalıdır. Kapsam açıklanmıyorsa destek talebinde açık soru sorun; gelen cevabın tarihini ve hangi hizmet sürümüne ilişkin olduğunu kaydedin. Bu inceleme herhangi bir ürün için silinme garantisi vermez.

Kapanış kanıtı nasıl tutulur?

Aşağıdaki örnek tablo yalnızca büro çalışma formu önerisidir. Gerçek kişi veya dosya içermeyen bir deneme içeriğiyle sonuç kontrolü yapılabilir. Başkasının hesabına izinsiz giriş yaparak veya gerçek müvekkil belgesini yeniden paylaşarak doğrulama yapılmamalıdır.

Kontrol	İşlem kanıtı	Sonuç notu
Kullanıcı üyeliği	Yetkili yönetim kaydı	Kaldırıldı veya doğrulama bekliyor
Mevcut oturum	Sağlayıcı işlemi ve deneme sonucu	Erişim reddi gözlendi mi?
Dosya paylaşımı	İncelenen bağlantı listesi	İptal edilen ve açık kalan bağlantılar
İş devri	Devralan kişi ve içerik kapsamı	Eksik kaynak veya taslak var mı?
Saklama	Dosya bazlı değerlendirme	Silme işlemiyle karıştırılmadı mı?

Sonuç notuna işlem zamanı, işlemi yapan kişi, kullanılan kaynak ve kalan takip işi eklenebilir. Bir testte erişimin reddedilmesi sadece denenen yol için kanıttır. Başka bir uygulama hesabı veya bağlantı varsa onu da kendi kapsamıyla değerlendirin. Tek bir başarısız giriş denemesinden bütün sistemin kapandığı sonucunu çıkarmayın.

Yeniden kontrol gerektiren durumları nasıl devredersiniz?

Kapanış anında sağlayıcıdan cevap bekleniyorsa dosyayı sessizce tamamlandı durumuna almayın. Hangi erişimin doğrulanamadığını, sorunun kime iletildiğini ve takibi kimin yapacağını belirtin. Bekleyen bir destek talebinin bulunması, teknik işlemin uygulanmış olduğu anlamına gelmez. “Talep gönderildi”, “işlem bildirildi” ve “sonuç gözlendi” kayıtlarını ayrı tutun.

Daha sonra araç değişirse önceki kapanış listesinin yeni hizmet için de yeterli olduğunu varsaymayın. Yeni aracın hesap, oturum ve paylaşım yapısı yeniden okunmalıdır. Bürodan ayrılış sırasında elde edilen eksik alanlar, sonraki kullanıcı için envanteri iyileştirmeye yardımcı olabilir. Bu geri bildirim kişisel konuşma geçmişini gereksiz yere çoğaltmadan, işlem başlığı ve kontrol sorusu düzeyinde tutulabilir. Böylece bir sonraki ayrılıkta aynı belirsizliğin yeniden fark edilmesi beklenmez.

Ayrılıktan sonra gizlilik ve takip nasıl sürer?

KVKK m.12/4, veri sorumluları ve veri işleyenler bakımından açıklamama ve amaç dışı kullanmama yükümlülüğünün görevden ayrılmadan sonra da devam ettiğini belirtir. Bu devam eden yükümlülük teknik yetkileri açık bırakmak için gerekçe değildir. Hukuki yükümlülük ile teknik erişim durumunu iki ayrı kontrol satırı olarak tutun.

Prolex AI'ın özelliklerini büro iş akışınıza yerleştirirken de kullanıcı yaşam döngüsünü mevcut politikanızın parçası olarak değerlendirin. Daha geniş araştırma ve sorumlu kullanım rehberleri hukuk yapay zeka merkezinde bir aradadır. Süreci tamamlayan kanıt, yapılan işlemle gözlenen sonucu ve açık kalan noktaları dürüstçe ayıran dosya notudur.