Sağlık teknolojisi alanında yapay zeka sohbet robotlarının kötüye kullanımı, günümüzün en büyük tehlikelerinden biri olarak kabul ediliyor. Bu araçlar, karşılarındaki hastaları son derece kendinden emin bir üslupla rahatlatsa da, bir doktorun yerini almaları hem tıbbi açıdan hem de veri güvenliği boyutunda büyük tehditler barındırıyor. Oxford Üniversitesi tarafından yapılan güncel bir araştırma da büyük dil modellerinin tıp alanındaki bu yetersizliklerini ve risklerini açıkça ortaya koyuyor.

Tıbbi Kararlarda Yapay Zekanın Yarattığı Tehlikeler
Yapay zeka modelleri, yöneltilen sorular çok az değişse bile tamamen farklı cevaplar üretebiliyor. Modeller iyi ve kötü tavsiyeleri bir arada sunarken, son kullanıcıların bu iki hassas ayrımı yapması oldukça zorlaşıyor. Yanlış tavsiyeler ve yapay zekanın ürettiği halüsinasyonlar, teşhis hatalarını da beraberinde getiriyor. Yapay zekanın sunduğu kendinden emin yanıtlar, kullanıcıların acil tıbbi müdahale gerektiren semptomları göz ardı etmesine veya tamamen yanlış bir kendi kendine teşhis koymasına yol açabiliyor. Uzmanlar, sağlık verilerinin geri dönüştürülemez olduğunu hatırlatarak, bu robotlar üzerinden yapılan teşhislerin büyük tehlikeler doğurabileceğini vurguluyor.

Sağlık Verilerinde Kalıcı Gizlilik Riski ve Siber Tehditler
Tıbbi veriler, dondurulabilen veya kolayca değiştirilebilen kredi kartı bilgileri gibi dinamik yapıda değildir; bireylere ömür boyu aittir ve yapay zeka ile paylaşıldığı an kalıcı bir dijital kayıt haline gelir. Kamuoyuna açık sohbet robotlarına girilen hassas veriler, modeli eğitmek için kullanılabiliyor ve sistemler bu verileri kasıtsız olarak diğer kullanıcılara ifşa edebiliyor. Sağlık odaklı robotlar verileri eğitim için kullanmayacaklarını taahhüt etseler bile, bilgileri reklam verenlerle veya veri toplayıcı üçüncü taraflarla paylaşabiliyor. Üstelik bu süreçteki anonimleştirme işlemleri de riskleri tamamen ortadan kaldırmaya yetmiyor.

Bu verilerin dijital dünyada kalması, siber dolandırıcılık ve şantaj vakalarına da zemin hazırlıyor. Sağlık verileri, hackerlar için oldukça yüksek bir maddi değere sahiptir. Siber korsanlar tarafından ele geçirilen bu hassas bilgiler; sahte sigorta talepleri oluşturmak, başkası adına tıbbi hizmet almak veya doğrudan şantaj yapmak amacıyla kötüye kullanılabiliyor.

Güvenli Kullanım İçin Alınması Gereken Önlemler
Yapay zeka araçlarını tıbbi amaçlarla kullanırken kişisel güvenliği ve gizliliği korumak adına belirli önlemlerin alınması şart koşuluyor. Verilerin nasıl işlendiğinden tamamen emin olunmadığı sürece laboratuvar sonuçları, tıbbi belgeler veya reçeteler sisteme kesinlikle yüklenmemelidir. Sohbet ekranına isim, adres, sigorta bilgileri veya hasta numaraları gibi tanımlayıcı hiçbir veri yazılmamalı, kimlik bilgileri mutlaka gizli tutulmalıdır.

Kullanıcıların yapay zeka platformlarındaki eğitim ve sohbet geçmişi özelliklerini ayarlardan devre dışı bırakması da güvenliği artıran adımlar arasında yer alıyor. Sağlık soruları için genel amaçlı robotlar yerine, sadece bu alana özel geliştirilmiş ve gizlilik sözleşmesi olan güvenilir araçlar tercih edilmelidir. Yapılan her girdi kontrol edilmeli, sisteme yazılan her verinin saklanabileceği veya ileride ifşa olabileceği varsayılarak hareket edilmeli ve sadece minimum düzeyde bilgi paylaşımı yapılmalıdır.

Yapay zekanın, doktora sorulacak soruları yapılandırmak veya karmaşık tıbbi terimleri anlamak için kullanılabileceği unutulmamalıdır. Ancak yapay zekayı tıbbi bakıma hazırlık için kullanmakla, doğrudan tıbbi bakımın yerine koymak arasında çok büyük bir fark vardır. Bu araçların ürettiği çıktılar hiçbir zaman kesin doğru olarak kabul edilmemeli ve mutlak bir teşhis için her zaman uzman bir tıp doktoruna danışılmalıdır.

Sorumluluk İşletmeci Kuruluşta

Yeni yasal düzenleme, nükleer tesislerin siber güvenliğinde asıl sorumluluğu tesisin kurulumundan işletilmesine, hatta işletmeden çıkarılmasına kadar olan tüm süreçlerde ilgili kuruluşa yüklüyor. Tesisler düzenleyici kontrolden tamamen çıkarılana dek, dijital varlıkların siber saldırılardan korunması, bu saldırıların önceden tespit edilerek engellenmesi ve olası bir ihlal durumunda sistemlerin hızla kurtarılmasına yönelik tüm faaliyetler ilgili kuruluşlarca yürütülecek. Bu süreçlerin sağlıklı işlemesi için organizasyon yapısı içerisinde doğrudan siber güvenlikten sorumlu bir yönetici atanması zorunlu hale getirildi.

Katmanlı Savunma ve Dereceli Yaklaşım

Yönetmelik, siber güvenlik önlemlerinin uygulanmasında “dereceli yaklaşım” ve “derinliğine savunma” ilkelerini temel alıyor. Bu stratejiyle, tesis bünyesindeki dijital varlıkların nükleer emniyet ve güvenlik üzerindeki etkisi analiz edilerek her birine kritiklik derecesi atanacak. Belirlenen kritik varlıklar için varlığın tipinden yedeğine kadar tüm detayları içeren güncel envanterler tutulacak. Risk odaklı bu yapı, saldırganların aşması gereken çok katmanlı bir savunma hattı oluşturulmasını amaçlıyor.

Siber Güvenlik Planı ve Risk Analizi

Düzenleme kapsamında kuruluşlar, kapsamlı bir siber güvenlik planı hazırlayarak NDK’ye sunmakla yükümlü olacak. Yılda en az bir kez gözden geçirilecek olan bu plan; risk profilindeki değişimler, organizasyonel güncellemeler veya yeni tehdit senaryoları durumunda derhal yenilenecek. Ayrıca, reaktör içeren tesislerde her yıl, diğer tesislerde ise üç yılda bir periyodik risk değerlendirmeleri yapılacak. Olası bir sistem kaybına karşı, ana merkezden etkilenmeyecek mesafede “felaket kurtarma merkezleri” kurulması ve yedekleme mekanizmalarının işletilmesi de şart koşuluyor.

Olay Bildirimi ve Hibrit Tatbikatlar

Dijital güvenliği tehdit eden her türlü olay, NDK ve Siber Güvenlik Başkanlığına ivedilikle bildirilecek. Olayın tespitinden sonraki beş iş günü içinde sunulacak detaylı raporlarda; saldırının nedenleri, alınan önlemler ve çıkarılan dersler yer alacak. Sistemlerin dayanıklılığını ölçmek amacıyla her yıl siber olay tatbikatları düzenlenecek; bu tatbikatlar iki yılda bir fiziki güvenlik senaryolarıyla birleştirilerek hibrit bir yapıya kavuşturulacak.

Sürekli Eğitim ve Denetim Mekanizması

Güvenlik zincirinin en önemli halkası olan insan faktörü de unutulmadı. Tüm personel için yılda en az bir kez siber güvenlik farkındalık eğitimleri düzenlenecek, uzman personel ise seviyelerine göre sınırlandırılmış erişim yetkileriyle çalışacak. NDK, tüm bu süreçleri denetleme yetkisine sahip olacak ve mevzuata aykırı durumlarda idari yaptırım uygulayacak. Hali hazırda faaliyet gösteren veya başvuru sürecinde olan kuruluşlar, yeni yönetmeliğe uyum eylem planlarını altı ay içinde kuruma sunmak zorunda olacak.