Sarah Webb, LawVu’nun COO’su ve Kurucu Ortağı – Röportaj Dizisi

Sarah Webb, LOVEFiLM ve Amazon’da üstlendiği görevleri de kapsayan mühendislik ve yazılım liderliği deneyimiyle LawVu’nun COO’su ve Kurucu Ortağıdır. 2015’te LawVu’ya CTO olarak katıldı ve 2020’de COO oldu; böylece teknoloji, operasyon, güvenlik ve yönetişim alanlarındaki deneyimini bir araya getirdi. Çalışmaları, kurumsal riskleri gözetirken yapay zekâ inovasyonunu destekleyerek hukuk ekiplerinin verilerini ve iş akışlarını birbirine bağlamasına yardımcı olmaya odaklanıyor.

LawVu, kurum içi hukuk ekiplerine yönelik bir hukuk operasyon sistemi sunuyor; talep yönetimi, hukuki işler, sözleşmeler, harcamalar ve bilgiyi bağlantılı bir platformda bir araya getiriyor. Yapay zekâ özellikleri ve entegrasyonları, izinleri ve denetimi korurken ekiplerin mevcut araçlarıyla birlikte çalışmasına yardımcı oluyor. Webb bu röportajda gölge yapay zekâyı, ajan tabanlı iş akışlarını, kurumsal bilgiyi ve işletmelerin yapay zekâyı denetimli biçimde benimsemesi için gereken temelleri ele alıyor.

LOVEFiLM ve Amazon da dahil olmak üzere kariyerinizin büyük bölümünü yazılım ekipleri kurup yöneterek geçirdikten sonra LawVu’nun kurucu ortaklarından oldunuz. Kurumsal hukuk operasyonlarını çözmeye değer bir sorun olarak görmenize ne yol açtı ve yapay zekâ teknoloji ortamını dönüştürürken LawVu’ya ilişkin ilk vizyonunuz nasıl evrildi?

Kariyerimin ilk dönemlerinin çoğunu LOVEFiLM ve Amazon dâhil olmak üzere mühendislik ve teknoloji alanındaki görevlerde geçirdim. Hukuk teknolojileri alanına geçmek başından beri planladığım bir şey değildi; daha çok koşulların getirdiği bir gelişmeydi. Şimdi LawVu’da, başlangıçta CTO olarak başladığım görevimde, neredeyse 11 yıldır çalışıyorum. Ancak kısa süre içinde COO’luğa geçmem, iş hakkındaki düşüncelerimi tek başına bile büyük ölçüde değiştirdi.

İlk dönemlerde çözmeye çalıştığımız temel sorun görünürlük eksikliğiydi. Müşterilerin çoğu Outlook ve Excel tabloları kullanıyordu; her şeyi tek bir yerde toplamak bile gerçekten büyük bir kazanım gibi geliyordu. Ardından ekiplerin uzaktan çalışmaya başladığı bir döneme girdik. Merkezi bir platform olmayınca iş birliği daha da zorlaştı. Bu süreç, zaten fark etmekte olduğumuz bir durumu pekiştirdi: Tekrarlayan hukuk işlerinin büyük bölümü, görünür olabileceği bir yer olmadığından, işletmenin geri kalanı tarafından ne değer görüyor ne de fark ediliyordu. Bu dönem bizi müşterilere yalnızca bir araç sunmakla kalmayıp verilerini nasıl yapılandıracakları ve kurum içindeki değişimi nasıl yönetecekleri konusunda kapsamlı eğitim vermeye yöneltti.

Ayrıca, ekiplerden alışık oldukları araçları bırakmalarını istemek yerine işletmelerin günlük işlerini zaten yürüttükleri yerde onlara ulaşmayı hedeflediğimiz için Microsoft ürün ailesi genelinde entegrasyonları da erkenden geliştirdik. O zamandan bu yana değişen, aynı fikrin artık gerektirdiği ölçek. Kullanılabilir bir veri kümesine erişimin önündeki engelleri azaltmak eskiden kolaylık sağlamakla ilgiliydi. Bugünse bu, hukuk işleri üzerinde gerçekten işlem yapabilen yapay zekâ ile aynı parçalanmış yapıyı size geri yansıtmaktan öteye gidemeyen yapay zekâ arasındaki farkı belirliyor.

“Gölge yapay zekânın” çoğu zaman çalışanlarla değil, iş akışlarıyla ilgili bir sorun olduğunu savundunuz. Bu pratikte ne anlama geliyor ve çalışanlar kendi çözümlerini kullanmak için onaylı yapay zekâ araçlarını veya sistemlerini devre dışı bıraktığında kuruluşlar bundan neler öğrenebilir?

Kurum içinde doğru araçları sunmazsanız insanlar verimlilik kazanımı elde etmek için kendi araçlarını bulur. Sorunun temelinde bu yatıyor. Birisi onaylanmış bir sistemi devre dışı bıraktığında ilk tepki, bunu uyumluluk ihlali olarak görmek ve sistemi kısıtlamak ya da buna karşı bir politika yazmak oluyor. Oysa bu durum genellikle iş akışının kendisiyle ilgili bir soruna işaret ediyor: Onaylı yol daha yavaş veya daha zahmetli olduğu için insanlar kendi çözümlerini bulup bu yolu aşıyor.

Gölge yapay zekânın, gölge BT’den bile daha büyük bir sorumluluk riski oluşturmasının nedeni tam da bu. Gölge yapay zekâyla ilgili olaylar artık veri ihlallerinin yüzde 20’sini oluşturuyor ve ortalama 10,2 milyon dolara mal oluyor. Çünkü insanlar yalnızca onaylanmamış bir aracı kullanmaya başlamıyor; sözleşme metinleri, anlaşma koşulları ve kurum içi değerlendirmeler gibi hassas bilgileri doğrudan bu araçlara giriyor.

Kuruluşların bundan çıkarması gereken asıl ders, aradaki boşluğun nerede olduğudur. Güvenli ve sağlam temellere dayanan bir alternatifin bulunmaması, insanların yapay zekâya yönelmesini engellemez; yalnızca bunu göremeyeceğiniz bir yerde yapmalarına yol açar. Bunun altında güvenliğin ötesine geçen daha derin bir risk de var. İşler, paylaşılan ve yapılandırılmış bir sistem yerine kişisel yapay zekâ araçlarına dağıldığında işletme, resmin bir bölümünün eksik olduğunu fark etmeden kararlarını eksik bilgiye dayanarak verir. Bir yapay zekâ aracı, ilgili verilerin geri kalanı birinin kişisel hesabında bulunduğu için bu verilerin yalnızca yüzde 60’ını görebiliyorsa doğruluğu düşer ve yanlış karar verme riski artar. Bu kestirme yolu yasaklamak bunların hiçbirini çözmez. İnsanlara bu kestirme yoldan daha iyi bir seçenek sunmaksa çözer.

LawVu’nun yüzlerce kurumsal hukuk ekibiyle yürüttüğü çalışmalar ışığında, özellikle çalışanlar giderek daha güçlü, genel amaçlı yapay zekâ araçlarına erişirken kuruluşların yapay zekâ yönetişimini oluştururken yaptıkları en yaygın hatalar neler?

En yaygın hata, yazılı bir politikayı gerçek bir denetim mekanizması sanmak. Artık birçok kuruluşta yapay zekânın nasıl kullanılması ve kullanılmaması gerektiğini açıklayan bir belge var. Ancak çok azı bunun arkasına, bir aracın nelere erişebileceğini gerçekten düzenleyen, yaptığı işlemleri kaydeden ve gerektiğinde sonradan bunların yeniden incelenmesini sağlayan işlevsel bir sistem kurmuş durumda.

İkinci hata, her yeni aracın riski ne kadar artırdığını hesaba katmamaktır. Bir ekibin benimsediği her bir özel amaçlı çözüm (sözleşmeler, harcamalar veya talepler için olsun) kendi entegrasyonunu gerektirir, kendi kimlik doğrulama protokolünü kullanır ve hassas verilerin kendi kopyasını saklar. Her biri tek başına yönetilebilir gibi görünür. Bir araya geldiklerinde hukuk teknolojileri yığınını parçalı bir risk odağına dönüştürürler; ihlallerin üçte birinden fazlası da tam olarak bu tür üçüncü taraf erişimlerinden kaynaklanır. Çoğu ekip, bir şeyler ters gittikten sonra incelemeye alınana kadar bu risklerin toplamda ne kadar büyüdüğünü fark etmez.

Üçüncü hata, genel amaçlı yapay zekâ araçlarını hassas verilere dokunan diğer tüm yazılımlardan farklı değerlendirmektir. İlk günden beri birlikte çalıştığımız, kamu kurumları da dâhil olmak üzere her müşteri, bizimle kapsamlı bir güvenlik değerlendirmesinden geçti; çünkü bizimki gibi bir sistemde yer alan bilgiler, bir şirketin elindeki en hassas bilgilerin bazılarıdır: ticari sırlar, birleşme ve satın alma verileri, kişisel olarak tanımlanabilir bilgiler (PII). Çalışanlar ise aynı tür bilgileri her gün, buna yakın bir incelemeden bile geçirmeden herkese açık yapay zekâ araçlarına veriyor; çünkü bu, yeni bir tedarikçi benimsemek gibi değil, yalnızca bir araç kullanmak gibi hissettiriyor. Denetlenenlerle gerçekte risk taşıyanlar arasındaki bu boşluk, yönetişim programlarının çoğunun çöktüğü noktadır.

LawVu, yapay zekâ ajanlarını ve ajan tabanlı iş akışlarını hukuk operasyonlarına dâhil ediyor. Hangi hukuk süreçlerinin özerk yapay zekâ yürütmesine uygun olduğuna, hangilerinin ise her zaman insan incelemesi veya onayı gerektirmesi gerektiğine nasıl karar veriyorsunuz?

Bir sürecin kâğıt üzerinde ne kadar karmaşık göründüğünden çok, etkisine ve geri alınabilirliğine bakıyoruz. Bir hatayı düşük maliyetle tespit etmek ve kolayca düzeltmek mümkünse bu süreç genellikle özerk yürütmeye uygun bir adaydır. Bu nedenle, talep alımı ve önceliklendirme gibi yüksek hacimli ve iyi tanımlanmış işler bu yaklaşıma genellikle uygundur.

Dışarıya yönelik bir taahhüt, hukuki sorumluluk riski veya geri alınması zor bir karar söz konusuysa, ajan testlerde ne kadar isabetli görünürse görünsün, sürece mutlaka bir insan dâhil edilir. LawVu’da risk toleransını genel olarak ele alışımızın ardında da aynı mantık var. Bir ekibin hangi riskleri göze alabileceğini belirliyor, uygun kontrolleri oluşturuyor ve ancak bundan sonra kullanım alanını genişletiyoruz. Asıl ölçüt isabet oranı değil; ajanın hangi verilere eriştiğini, bu eylemi neden gerçekleştirdiğini, bunu yapmaya yetkili olup olmadığını ve sonradan kanıt sunup sunamayacağımızı açıklayıp açıklayamadığımızdır. Bunları yanıtlayamıyorsak süreç henüz kendi başına yürütülmeye hazır değildir.

Bu kararlar bir kez alınıp bir daha gözden geçirilmeden bırakılmaz. Bugün otomatikleştirilmesi güvenli olan bir süreç, kullanım arttıkça veya iş akışı başlangıçtakinden daha hassas bilgilere erişmeye başladıkça güvenli olmaktan çıkabilir. Bu nedenle sınırı yalnızca bir kez çizmek yetmez; düzenli olarak yeniden değerlendirmek gerekir.

LawVu’nun MCP sunucusu, kuruluşların ChatGPT, Claude ve Microsoft Copilot gibi araçları doğrudan hukuk operasyonu ortamlarına bağlamasına olanak tanıyor. Şirketler, izinleri, denetlenebilirliği, gizliliği ve kontrolü korurken harici yapay zekâ sistemlerine kurumsal verilere yararlı erişimi nasıl sağlayabilir?

İlk akla gelen, bağlantılı olmanın güvenlikle çeliştiğidir; oysa böyle olmak zorunda değil. İzinler konusunda doğru ve güncel bilgilerin kaynağı, üzerinde çalışan yapay zekâ aracı değil, platform olmalıdır. Bir kişi ChatGPT, Claude veya Copilot üzerinden görüşme başlatsa da hangi bilgileri görebileceği ve neler yapabileceği, o gün hangi arayüzü açtığına göre değişmemelidir.

Bu ancak bağlanılacak ortamda, herhangi bir bağlantı kurulmadan önce gerekli kontroller zaten mevcutsa işe yarar; çoğu şirketin atladığı hazırlık da tam olarak budur. Herkes, daha az veri aktarılması nedeniyle MCP’nin güvenliği kendiliğinden artırdığını düşünüyor. Bu doğru, ancak yalnızca alıcı sistem hangi bilgilere, neden ve kimin adına hareket eden hangi ajan tarafından erişildiğini açıklayabiliyor ve sonradan bunu kanıtlayabiliyorsa.

Bunun bir de iş gerekçesi var. Merkezi yapay zekâ aracı, bir talebin hukuki boyutu olduğunu fark edip talebi otomatik olarak LawVu’ya yönlendirebilirse, çalışanın öncelikle hangi sisteme gideceğini bilmesini gerektiren gidip gelmeleri ortadan kaldırır. Ayrıca çalışanların, güvenilir ve korumalı bir veri kümesine hiç erişimi olmayan kişisel yapay zekâ araçlarına yönelmemesini sağlar. İnsanlara yönetişimi iyi sağlanmış tek bir başlangıç noktası sunmak, her şeyi kilitlemekten çok daha fazla benimsenmeyi sağlar.

Genel amaçlı yapay zekâ modelleri güçlü olabilir; ancak çoğu zaman kuruluşların kurumsal hafızasına, geçmiş kararlarına ve kendilerine özgü risk profiline sahip değildir. Bir yapay zekâ modelinin yüksek riskli kurumsal işlerde gerçekten yararlı hâle gelmesi için onu hangi bilgi ve altyapıyla desteklemek gerekir?

Yatay yapay zekâyı parlak bir yabancıya benzetiyorum: olağanüstü miktarda şey okumuş, güzel yazan ve neredeyse her konuda sohbet edebilen birine. Ama müşterinizle hiç tanışmamıştır. Müzakerelerinize hiç katılmamıştır. Kurumunuzun riski nasıl dengelediğini bilmez. Ekibinizin altı ay önce üzerinde uzlaştığı istisnalara yol açan görüşmeleri de hiç görmemiştir.

Bu nedenle birçok hukuk ekibinin yaptığı ilk şeylerden biri yapay zekâyı bir çalışma kılavuzuna bağlamaktır; bunun son derece değerli olduğunu da açıkça belirtmek gerekir. Bir yapay zekâ modeline tercih ettiğiniz maddelere, alternatif pozisyonlara, onay eşiklerine ve müzakere yönergelerine erişim sağlayın; verimlilik artışı neredeyse hemen kendini gösterir. Zorluk şu ki en önemli hukuki kararlar çoğu zaman standart pozisyon artık uygun olmadığında alınır: stratejik bir müşteri istisna talep eder, yüksek büyüme potansiyeli taşıyan bir fırsat ek riski haklı çıkarır ya da ticari önceliklerin tercih edilen maddenin önüne geçtiği bir noktaya ulaşılır.

Hukuki muhakeme işte bu noktada görünür olmaya başlar. En değerli bilgilerin bir kısmı çalışma kılavuzunda değil, istisnalarda saklıdır. Bu müşteri için neden istisna yaptık? Aynı karşı tarafla bu pozisyonu en son müzakere ettiğimizde ne olmuştu? Şirket bu riski başka bir yerde kabul etti mi? Bu konu daha önce üst kademelere taşındı mı ve sonuçta neye karar verildi?

Yanıtlar nadiren tek bir belgede bulunur; sözleşmelere, onaylara, e-postalara, iş kayıtlarına ve toplantı notlarına dağılmıştır; ayrıca o sırada sürece dahil olan kişilerin birikmiş deneyimlerinde yer alır. Belge yalnızca sonucu kaydeder; gerekçeyi ise kurum başka yerlerde taşır.

Parlak bir yabancı kuralları şaşırtıcı derecede hızlı öğrenebilir; ancak kuralların en başta neden esnetildiğini anlamak bambaşka bir meseledir. Yararlı yapay zekâyı dönüştürücü yapay zekâdan ayıran unsur genellikle kurumun, yapay zekânın öğrenebilmesi için kendi deneyiminin ne kadarını koruduğudur.

Birçok şirket, birbiriyle bağlantısız sözleşme sistemleri, iş yönetimi araçları, elektronik tablolar, e-posta arşivleri ve diğer kurumsal bilgi kaynakları biriktirmiş durumda. Yapay zekâ ajanlarını devreye almadan önce birleşik bir veri altyapısına sahip olmak ne kadar önemli ve bir kuruluşun verilerini gerçekten yapay zekâya hazır hâle getirmek için neler yapması gerekiyor?

Hukuk alanı, bunun neden önemli olduğunu gösteren kusursuz bir örnek: sözleşmeler Word’de değişiklikler izlenerek düzenleniyor, onaylar e-postayla geliyor, kararlar Slack üzerinden alınıyor; ardından yapay zekâ, iş akışlarını gerçekten birbirine bağlamak yerine belge havuzunun üzerine ekleniyor. Parçalı bir sistemin üzerine yapay zekâ eklemek, kaosa daha hızlı erişmekten ibaret.

Yapay zekâ ortaya çıkmadan önce yıllarca gerçek bir veri altyapısı kurmaya ve sistemlerini düzene sokmaya çalışan şirketler, yapay zekânın şimdiden karşılığını verdiği şirketlerdir. Meselenin özü gerçekten bu. Birbiriyle bağlantısız sözleşme sistemlerinin, iş yönetimi araçlarının, elektronik tabloların ve e-posta arşivlerinin üzerine ajanları ölçeklendirip güvenilir sonuçlar bekleyemezsiniz. Önce sağlam bir temel gerekir: bağlantılı sistemler, açık erişim kontrolleri ve tanımlanmış risk toleransı. Yapay zekâyı ölçeklendirmeyi düşünmeden önce bunların sağlanması şarttır.

Kuruluşlar kendi yapay zekâ uygulamalarını geliştirip geliştirmemeyi, uzmanlaşmış yapay zekâ platformları satın almayı ya da genel amaçlı modelleri mevcut sistemlere bağlamayı değerlendirirken teknoloji liderleri geliştirme-satın alma-mevcut sistemlere entegre etme kararını nasıl ele almalı?

Geliştirme mi satın alma mı sorusu bir teknoloji kararı gibi görünür. Deneyimlerime göre, aslında hukuk operasyonlarının olgunluğuyla ilgili bir sorudur. Mesele, hukuk ekibinin kendi iş akışları, verileri ve çalışma modeli olan bir işlev olarak kendisini ne ölçüde ciddiye aldığıdır. Olgunluk konusunu doğru ele aldığınızda, doğru hukuk yapay zekâsı stratejisi de genellikle kendiliğinden ortaya çıkar.

Geliştirme tarafında: yazılım şirketi gibi çalışabilecek kaynaklara sahip az sayıdaki ekip için bu seçenek mantıklı olabilir. Modeller gelişir, altyapı değişir ve bu iş hiçbir zaman gerçekten bitmez. Çoğu ekip için zorluk, çözümü bir kez geliştirmek değil, onu sonsuza kadar sürdürmektir.

Satın alma tarafında: ekiplerin çoğu bu seçeneğe yönelir, ancak “satın alma” tek bir seçeneği ifade etmez. İnsanların aynı başlık altında topladığı en az üç farklı şey vardır. ChatGPT, Copilot ve Claude gibi genel amaçlı yapay zekâ güçlüdür; ancak iş kayıtlarının yapısını, talep süreçlerini veya onay iş akışlarını kendiliğinden anlamaz. MCP gibi bir yöntemle tek bir nokta çözümüne bağlanan yapay zekâ, kayda değer bir ilerlemedir; ancak yine de yalnızca o tek sistemde bulunanlarla sınırlı bir bakış açısına sahiptir.

Daha büyük fırsat, yalnızca herhangi bir aracın içindeki işleyişi değil, hukuk işlerinin bu işlev genelinde nasıl birbirine bağlandığını anlayan yapay zekâdır. Talepler, iş kayıtları, sözleşmeler, harcamalar ve bilgi bir arada bulunduğunda yapay zekâ, tablonun yalnızca bir bölümünü değil, tamamını temel alarak akıl yürütebilir.

LawVu’da hem CTO hem de COO olarak görev yaptınız; bu roller size teknoloji, operasyonlar, güvenlik ve ürünün hayata geçirilmesi alanlarında sorumluluk verdi. Bu deneyimlerin birleşimi, hızlı yapay zekâ inovasyonunu güvenlik, uyumluluk, güvenilirlik ve kurumsal riskle dengeleme yaklaşımınızı nasıl şekillendirdi?

2015’te LawVu’ya CTO olarak katıldım ve 2020’de COO görevini üstlendim; dolayısıyla on yılı aşkın süredir hem teknoloji hem de operasyon alanlarında çalışıyorum.

Bu bileşim, yapay zekâ inovasyonu ile güvenlik ve uyum konularını nasıl ele aldığınızı değiştiriyor; çünkü bunları birbirinden ayrı meseleler olarak deneyimlemiyorsunuz. Yönetişim, risk ve uyum süreçlerini şirket içinde üstlenirken müşterilerin de aynı işlevleri yönetmesine yardımcı olan bir platform geliştirmek, inovasyon ile güvenliği birbirini izleyen aşamalar olarak göremeyeceğim anlamına geliyor: Biri diğerinden sonra gelmiyor; ya ikisi aynı anda gerçekleşiyor ya da hiç gerçekleşmiyor. İlk günden bu yana her müşterimiz kapsamlı bir güvenlik değerlendirmesinden geçti. Ekosisteminize her yeni araç eklediğinizde, bu verilerin çevresindeki risk alanını da genişletiyorsunuz. Bu durum bizim için şirket içinde de müşterilerimiz için olduğu kadar geçerli. Dolayısıyla, ürünü geliştirirken onun nasıl yönetildiği konusunda hesap verebilir olmak, her iki konuyu da aynı anda gözetmenizi gerektiriyor.

İleriye baktığımızda, ajan tabanlı yapay zekânın şirket hukuk ekiplerinin rolünü nasıl değiştirmesini bekliyorsunuz? Hukuk departmanlarının yapay zekâyı öncelikle bir verimlilik katmanı olarak kullanacağını mı düşünüyorsunuz, yoksa zamanla daha geniş şirket genelinde işleyen büyük ölçüde otonom iş akışlarının denetçisi hâline gelebilirler mi?

Üretken yapay zekâ, tartışmayı verimlilikte kademeli artış sağlamaktan hukuki işlerin nasıl yürütüldüğünü ve ajan tabanlı yeteneklere hızla yönelen bir dünyada çalışma modelinin nasıl olması gerektiğini temelden yeniden düşünmeye taşıdı. Ajan tabanlı yapay zekâyı abartılı bir söylem olarak değil, gerekli denetimler ve koruyucu önlemler sağlandığında hukuk ekiplerinin işleri yönetmekten onları fiilen yürütmeye geçmesine yardımcı olabilecek bir uygulama katmanı olarak görüyorum.

Şu anda kuruluşlarda bir “ön kapı” değişimi yaşanıyor: İş birimlerindeki kullanıcılar giderek daha fazla Microsoft Copilot veya Claude gibi araçlarla işe başlıyor. Bunun üzerine, bu etkileşimlerin doğru sistemlere, doğru verilere ve doğru iş akışlarına nasıl bağlanacağını hukuk ekiplerinin güvence altına alması gerektiği sorusu ortaya çıkıyor.

Dolayısıyla bunu, verimlilik katmanı mı yoksa denetçilik mi meselesi olarak görmüyorum; bunu bir ilerleme süreci olarak görüyorum. Hukuk ekipleri önce yapay zekâyı tek tek görevleri daha hızlı tamamlamak için kullanmaya başlıyor. Ancak ajan tabanlı yetenekler olgunlaştıkça asıl fırsat, hukuk ekiplerinin yürütme katmanının kendisine sahip olması ve yalnızca ilk taslakları daha hızlı hazırlamak yerine, yönetilen sistemler aracılığıyla işleri fiilen yürütmesi oluyor.

Bu harika röportaj için teşekkür ederiz. Birbirine bağlı hukuk operasyonlarını ve denetimli yapay zekâ iş akışlarını keşfetmek isteyen okurlar LawVu’yu ziyaret edebilir.