"Bunu Copilot'a yapıştırmak güvenli mi?" sorusunun içinde aslında beş ayrı soru vardır. Her birinin yanıtı ve sorumlusu farklıdır. Soruları ayırdığınızda Microsoft'un neyi kontrol ettiğini, yöneticinizin neyi doğrulaması gerektiğini ve hangi sorumluluğun sizde kaldığını görebilirsiniz.
Bir etkileşimdeki beş veri nesnesi neler?
Tek bir Copilot etkileşiminde beş ayrı veri nesnesi bulunur. Biri hakkında bildiğiniz bir kuralı diğerlerine otomatik olarak uygulayamazsınız:
En yaygın hata, bu nesnelerin tamamını "verim" başlığı altında toplayıp tek bir güvenceyi hepsine uygulamaktır. "Microsoft 365 Copilot verileri büyük dil modellerini eğitmek için kullanılmaz" ifadesi belgelenmiş bir ürün bilgisidir. Fakat yalnızca model eğitimi sorusunu yanıtlar. Etkileşimin saklanması, belleğe alınması, başka bir belgeye kopyalanması veya uyumluluk denetimine tabi olması ayrı konulardır.
Bir prompt gerçekte nereye gidiyor?
Ayrıntılı bir ağ şeması yerine her aşamada yanıtlayabileceğiniz bir kontrol sorusuna ihtiyacınız vardır. Kurumsal etkileşimi beş adımda düşünün:
Bu, sorumlu kullanım için bir modeldir. Her tenant'ın birebir açıklaması değildir. Uygulama, agent, connector veya bellek özelliğine göre davranış değişebilir ve kuruluşunuzun yapılandırmasını yalnızca yöneticiniz doğrulayabilir. Etkileşim düzeyindeki kontrolleri siz yaparsınız. Arkalarındaki ayarları yöneticiniz doğrular.
Enterprise Data Protection'ın sınırlarını bilin
Enterprise Data Protection (EDP), Microsoft 365 Copilot ve Copilot Chat'in kurumsal kullanımına yönelik Microsoft koruma mimarisidir. Kurumsal kimliği, mevcut veri erişim kontrollerini, güvenlik ve uyumluluk denetimlerini etkileşime uygular. Bu korumalar değerlidir, fakat kapsamları bellidir.
EDP, kimliğinizin zaten açamadığı bir belgeye erişim vermez. Her kurumsal veriyi prompt'a eklemeyi uygun hâle getirmez, yanıtın doğruluğunu garanti etmez veya kuruluşunuzun saklama yükümlülüklerini kaldırmaz. Kişisel bir Copilot oturumu da korunan kurumsal oturumla eşdeğer değildir. İkisi ayrı ayrı belgelenir. Bu yüzden kullandığınız oturumun izinlerini, saklama koşullarını ve yönetici denetimlerini doğrulayın.
Şifreleme de belirli bir işi olan gerekli bir korumadır. Microsoft, Microsoft 365 Copilot verilerinin aktarım sırasında ve beklemedeyken şifrelendiğini belgeler. Şifreleme, veriyi taşınırken ve saklanırken korur. Kimin erişmesi gerektiğine karar vermez, prompt'taki gereksiz bilgiyi çıkarmaz ve yanıtın doğruluğunu kanıtlamaz. Korunan bir hizmet de yanlış görev veya gereğinden fazla veri aldığında sorunlu sonuç üretebilir.
Veri minimizasyonunda kontrol sizde
Veri minimizasyonu, yalnızca görevin gerektirdiği bilgiyi kullanmaktır. Hiçbir ayar, lisans veya mimari bu kararı sizin yerinize vermez. Görev için gerekmeyen bir hesap numarasını korunan bir hizmete de göndermemelisiniz.
Prompt'u göndermeden önce adları, vaka ve hesap numaralarını, parolaları, API anahtarlarını ve yanıtın ihtiyaç duymadığı kişisel ayrıntıları çıkarın. Bir yöntemi deniyorsanız arındırılmış veya kurgusal veri kullanın. Copilot'u tam olarak kullanması gereken kaynağa yönlendirin ve eksik bilgi için "Sağlanmadı" yazmasını isteyin. Çoğu zaman kısa ve ilgili bir alıntı yeterlidir. Hesabın ve kullandığınız yüzeyin görev için onaylı olduğunu da doğrulayın.
Kontrolü yanıtta yapabilirsiniz. Görevin ihtiyaç duymadığı bir ad veya numara görünmemelidir. Görünüyorsa yalnızca çıktıyı silmeyin, kaynak prompt'u da düzeltin.
Uygulamalı örnek: önce arındırın, sonra özetleyin
Bir İK koordinatörü, Copilot'tan çalışanlar için hazırlanan izin politikası taslağını özetlemesini istiyor. Özgün belgede çalışan adları, vaka numaraları ve tıbbi ayrıntılar bulunuyor. Bunların hiçbiri genel politika özeti için gerekli değil. Koordinatör prompt'u yazmadan önce bu bilgileri çıkarıyor. Yalnızca uygunluk, talep zamanlaması, onay yolu, istisnalar ve taslakta saklama süresinin belirtilmediği bilgisi kalıyor.
Ardından Copilot'tan yalnızca arındırılmış alıntıyı sade bir dille özetlemesini ve kaynakta bulunmayan bilgiler için "Alıntıda belirtilmemiş" yazmasını istiyor. Sonuç gerçek sayıları koruyor ve eksik saklama süresini tahmin etmek yerine bildiriyor. Adlar ile vaka numaraları prompt'ta olmadığı için yanıtta da görünmüyor.
Disiplinin özü bu. İki olgu baştan sona ayrı kalıyor: politikanın eksik saklama süresi (belgedeki bir boşluk) ve etkileşimin saklanması (yöneticinizin sahip olduğu bir tenant ayarı). Bu ikisini karıştırırsanız, basit bir özetleme görevi istenmeyen bir gizlilik tartışmasına dönüşür.
Herkese açık olmayan bir bilgiyi eklemeden önce doğru oturumda olduğunuzu kontrol edin. Hesap bilgilerini açıp adresi okuyun. Kişisel hesap yerine iş veya okul hesabı görmelisiniz. Bu kontrol kimliğinizi doğrular, tenant'ın saklama, bellek veya bölgesel ayarlarını kanıtlamaz. İş hesabı beklerken kişisel adres görürseniz prompt'u göndermeyin.
Her sorumluluğu doğru kişiye yöneltin
Gizlilik soruları, herkes başka birinin gereken kontrolü yaptığını varsaydığında karışır. Aktarım sırasında ve beklemedeyken şifreleme, model eğitimi istisnası ve Enterprise Data Protection kapsamındaki mimari Microsoft'un sorumluluğundadır. Chat penceresinde göremediğiniz tenant ayarlarını yöneticiniz doğrular. Saklama politikası, bellek, onaylı yüzeyler ve bölgesel veri yerleşimi bu kapsamdadır.
Görevi seçen ve prompt'a hangi bilgilerin gireceğine karar veren sizsiniz. Microsoft'un veya yöneticinizin ayarları, prompt'un hiç ihtiyaç duymadığı veriyi sonradan çıkaramaz. Emin olmadığınızda soruyu doğru yere götürün: mimari için Microsoft belgelerine, tenant ayarları için yöneticinize, veri minimizasyonu için kendi prompt'unuza bakın.
