Veri etiğini günlük iş akışına yerleştirmek

Veri etiği uygulamada neyi ifade eder?

Veri etiği, verinin yasal olarak kullanılabilir olmasının ötesinde, kullanılmasının doğru ve adil olup olmadığını sorgulayan bir yaklaşımdır. Mevzuata uyum alt sınırı belirler; etik ise o sınırın üstünde kalan alanda karar vermeye yardım eder. Bir uygulama yasal olabilir ama veri sahibinin makul beklentisine aykırı olabilir. Etik soru tam olarak burada devreye girer.

İş hayatında bu, soyut bir değerler listesi değil, belirli kararların nasıl alındığıdır: Hangi veriyi topluyoruz, neden topluyoruz, ne kadar saklıyoruz, kimlerle paylaşıyoruz, bir model ya da kural bu veriyle kimin hakkında hangi kararı veriyor? Bu soruların cevabını yalnızca hukuk ya da bilgi güvenliği ekibine bırakmak yerine, veriyle çalışan herkes kendi adımında sorabilmelidir.

Temel ilkeler: şeffaflık, amaçla sınırlılık, adalet, hesap verebilirlik

Veri etiği tartışmalarında birkaç ilke sürekli karşımıza çıkar. Bunları iş diline çevirmek uygulamayı kolaylaştırır: • Şeffaflık: Veri sahibi, verisinin ne için toplandığını anlaşılır bir dille öğrenebilmelidir. • Amaçla sınırlılık: Veri, toplanma amacıyla uyumlu işler için kullanılır. Yeni bir amaç doğarsa ayrıca değerlendirilir. • Veri minimizasyonu: Gerçekten ihtiyaç duyulandan fazlası toplanmaz. • Adalet: Analiz ve modeller, belirli grupları sistematik olarak dezavantajlı duruma düşürmez. • Gizlilik ve güvenlik: Veri yetkisiz erişime karşı korunur, gereksiz yere tanımlanabilir halde tutulmaz. • Hesap verebilirlik: Veri kararlarının sahibi belli olur, gerektiğinde gerekçesi açıklanabilir.

Bu ilkeler kişisel verilerin korunmasına dair mevzuatın temel fikirleriyle büyük ölçüde örtüşür; ayrıntılı yükümlülükler için ilgili mevzuata ve kurum içi uyum ekibine başvurulmalıdır.

Veri yaşam döngüsü boyunca kontrol soruları

Etik uygulamak için veriyi yaşam döngüsünün aşamalarına ayırıp her aşamaya birkaç soru yerleştirmek en pratik yoldur.

Toplama: Bu veriye gerçekten ihtiyacımız var mı? Kişiler bunu bilerek mi paylaşıyor? Form alanları zorunlu mu, yoksa isteğe bağlı mı olmalı?

Saklama: Veri ne kadar süre tutulacak? Erişim kimlerde? Test ortamlarında gerçek kişi verisi kullanılıyor mu, kullanılıyorsa maskeleniyor mu?

Analiz: Veri hangi amaçla işleniyor? Küçük gruplar tek tek tanımlanabilecek kadar ayrıştırılıyor mu? Eksik ya da dengesiz veri sonuçları çarpıtabilir mi?

Paylaşım: Üçüncü taraf ya da iş ortağı ile paylaşım sözleşme ve gerekçe ile destekleniyor mu? Paylaşılan alan sayısı asgariye indirilmiş mi?

Silme: Amaç sona erdiğinde veri silinir ya da anonimleştirilir mi, bunu kim doğrular?

Algoritmik kararlarda adalet ve önyargı

Veri etiğinin en görünür alanlarından biri, veriyle beslenen modellerin ve puanlama sistemlerinin insanlar hakkında karar vermesidir. Geçmiş kararlardan öğrenen bir sistem, geçmişteki önyargıyı da öğrenir. Örneğin geçmişte belirli bir mahalleden gelen başvuruları daha sık reddeden bir kurumun verisiyle eğitilmiş bir model, bu kalıbı hiç niyet etmeden sürdürebilir.

Bunu yönetmek için şu pratikler işe yarar: eğitim verisinin kimleri temsil ettiğini ve kimleri dışarıda bıraktığını incelemek, korunan özellikler doğrudan kullanılmasa bile onları dolaylı olarak taşıyan değişkenlere (posta kodu gibi) dikkat etmek, sonuçları gruplar arasında karşılaştırmak, önemli kararlarda insan denetimi bırakmak ve etkilenen kişiye itiraz yolu sunmak. Bir modelin gerekçesini açıklayamıyorsanız, hakkında karar verdiği kişiye de açıklayamazsınız.

Karar verme çerçevesi: belirsiz durumlarda nasıl ilerlenir?

Her etik durum için hazır kural yoktur. Böyle anlarda yapılandırılmış bir soru dizisi, sezgiyi tartışılabilir hale getirir: • Kim etkileniyor, özellikle kimler savunmasız durumda? • Beklenen fayda nedir ve kime gidiyor? Olası zarar kime düşüyor? • Veri sahibi bu kullanımı makul olarak bekler miydi? • Daha az müdahaleci bir alternatif var mı? • Bu karar yarın gazetede okunsa savunabilir miyiz? • Sorun çıkarsa kim sorumlu, nasıl düzeltiriz?

Örneğin pazarlama ekibi, müşterilerin satın alma geçmişinden hassas bir sağlık durumunu çıkaran bir segment oluşturmayı düşünüyor olsun. Segment teknik olarak mümkün ve işe yarar görünür. Yukarıdaki sorular sorulduğunda, müşterinin bu çıkarımı beklemediği ve yanlış çıkarımın zarar verebileceği ortaya çıkar; ekip ya segmentten vazgeçer ya da açık rıza ve sıkı kontrollerle sınırlar.

Kurum içinde veri etiği kültürü kurmak

Etik, tek bir politika belgesiyle yerleşmez. Süreçlere gömülmesi gerekir. Yeni bir veri projesi başlarken kısa bir etki değerlendirme formu doldurmak, veri kataloğunda her veri kümesinin sahibini ve amacını yazmak, rol bazlı erişim tanımlamak ve olay yönetim sürecinde veri ihlalini hızlıca bildirecek kanalı herkese göstermek bu gömme işinin somut adımlarıdır.

Bir diğer anahtar da güvenli itiraz ortamıdır. Çalışanlar bir veri kullanımının sorunlu olduğunu düşündüklerinde bunu cezalandırılma kaygısı olmadan dile getirebilmelidir. Yöneticilerin bu itirazlara kısa sürede cevap vermesi, etiğin ciddiye alındığını gösterir. Eğitim de burada rol oynar; farklı rollerin (analist, geliştirici, pazarlamacı, İK) karşılaştığı kararlar farklıdır ve örnekler role göre seçilmelidir.

Sık hatalar ve Mindset programlarında nerede çalışılır

Sık görülen hatalar: etiği yalnızca uyum ekibinin işi saymak, "anonim" denen verinin gerçekte tekrar tanımlanabilir olduğunu gözden kaçırmak, "herkes yapıyor" argümanıyla toplanan veriyi sorgulamamak, rıza metnini kimsenin okumayacağı biçimde yazmak ve model çıktılarını kimseye bakmadan karar olarak uygulamak.

Mindset kataloğundaki Veri Etiği Temelleri eğitiminin modül başlıkları şu konuları kapsar: veri etiğine giriş ve temel prensipler, KVKK ve kişisel verilerin korunması, veri toplama ve depolama etiği, algoritma önyargısı ve adil yapay zeka, veri güvenliği ve gizlilik, etik karar verme çerçeveleri ve sürdürülebilir veri etiği kültürü.