Yapay Zeka Güvenliği ve KVKK Rehberi

KVKK kapsamında kişisel veri, kişiyi tanımlayabilir veya tanımlanabilir kılan her bilgidir — ad, TC kimlik, e-posta, telefon, IP, sağlık ve finans verisi dahil. Bir LLM’e prompt olarak gönderdiğiniz herhangi bir kişisel veri işleniyor sayılır.

Pratik etkileri:

• Veri sahibinden aydınlatma + açık rıza gerekir.
• Veri yurt dışına aktarılıyorsa (OpenAI, Anthropic, Google’ın ABD/AB sunucuları) yeterli koruma şartı.
• Veri sahibinin silme, düzeltme talepleri yerine getirilmeli.
• Veri kaybı/sızıntı durumunda 72 saat içinde Kurum’a bildirim.

1. Yeterli koruma: KVK Kurumu’nun “yeterli korumaya sahip” ilan ettiği ülkeler. Listede AB üye ülkeleri var; ABD koşullu. OpenAI ve Anthropic’in AB veri merkezi seçenekleri kolay yol.
2. Standart sözleşme + taahhüt: Veri işleyici (LLM sağlayıcısı) ile imzaladığınız “standart koruma taahhütleri”. Anthropic, OpenAI, Google bu sözleşmeleri kurumsal müşterilere imzalatır.
3. Açık rıza: Veri sahibinden “ABD’deki X şirketinin sunucusunda işlenecek” bilgilendirmesi yaparak rıza alın. Riskli — kullanıcı geri çekebilir.

En sağlam yol: yerel açık model (Llama, Qwen, Mistral) çalıştırın. Veri makineyi terk etmez; yurt dışı aktarım sorunu hiç doğmaz.

• Maskeleme/Pseudonymization: TC kimlik, e-posta, telefon gibi alanları sözde-değerlerle değiştir, LLM’e gönder, dönüş’te orijinali geri koy.
• Logs minimization: LLM API trafiğini loglama; loglarsan kişisel veri çıkar.
• Rate limiting + auth: API endpoint’ini yetkisiz erişime kapatın. Brute-force / scraping önlemleri.
• Prompt injection’a karşı: Kullanıcı girdisini sistem prompt’tan ayrı tut, hassas eylemler için zorunlu insan onayı, çıktıyı doğrulamadan kullanma.
• Output filtering: PII, telif hakkı içeriği, zararlı dil için filtre. Açık kaynak araçlar: Lakera Guard, LLM Guard.
• Audit trail: Hassas işlemleri (LLM kararına göre işlem yapılması) kayıt altına al — tarih, kullanıcı, karar.

AB AI Act (Mart 2024 yürürlüğe girdi, kademeli uygulanıyor) direkt olarak Türkiye’ye uygulanmıyor. Ama:

• AB’ye hizmet veren Türk şirketler için bağlayıcı.
• Türk regülasyonu (KVKK, sektör otoriteleri) AI Act’ı referans alıyor; benzer düzenlemeler bekleniyor.
• Risk-tabanlı yaklaşım: yüksek-riskli sistemler (sağlık tanı, kredi kararı, işe alım filtresi) ek belgelendirme gerektirir.

Pratik: yüksek-etkili karar veren AI sistemleri (insanı kabul/red kararı, sağlık tanısı) için baştan documentation, audit log, insan-onaylı geri-çekilme yolu kurun.

• BDDK / Bankacılık: Müşteri verisi içeren LLM kullanımı bilgi sistemleri yönetmeliği kapsamında ek kontroller ister. Yerel kurulum, encryption-at-rest+transit, audit log gerekli.
• SPK / Yatırım: AI tabanlı yatırım önerisi üreten ürünler “robo-advisor” çerçevesinde değerlendirilir; yetki belgesi gerekir.
• Sağlık Bakanlığı: Tıbbi karar destek sistemlerinde “tıbbi cihaz” sınıflandırması olabilir; ürün belgelendirmesi.
• e-Devlet: Kamu kurumlarına entegre AI projelerinde Cumhurbaşkanlığı Dijital Dönüşüm Ofisi’nin yerli üretim teşvikleri ve veri lokalizasyon kuralları.

• Kullanıcıya AI ile etkileşim kurduğunu net belirtin (chatbot olduğunu gizleme).
• AI kararının nasıl alındığını açıklayabilen mekanizma sunun (insan-okur tabanlı sebep gösterimi).
• Otomatik karar reddi durumunda insan inceleme hakkı tanıyın (KVKK madde 11/g).
• Çocuk ve hassas grupların korunması için ek tedbir (yaş kontrolü, ek aydınlatma).