Türkiye'de AI ve veri: regülasyon sinyallerini birlikte okumak

Türkiye’de yapay zekâ konuşması çoğu masada iki ayrı klasöre ayrılıyor: “AB’de AI Act var” ve “bizde KVKK var.” Yönetici için doğru okuma ayrıştırmak değil; birlikte okumaktır. Çünkü AI sistemleri veri olmadan çalışmaz; veri işleme ise Türkiye’de halihazırda yükümlülük üretir. AB sinyali yön gösterir, KVKK ve ilgili veri kuralları ise bugünün bağlayıcı zeminini hatırlatır.

Bu yazı hukuki mütalaa değildir. Amaç, Türkiye’de faaliyet gösteren yöneticinin AI projelerini veri minimizasyonu, sınır ötesi aktarım, gölge AI, sektörel hassasiyet ve somut aksiyon üzerinden okumasıdır. Kesin hüküm ve güncel tebliğler için resmi kaynaklar ve uzman görüşü esas alınmalıdır. Soft uyum iddiası yoktur: “AB’ye bakıyoruz” cümlesi, KVKK yükümlülüğünü ertelemez.

Sinyal okumak panik demek değildir. Sinyal, ürün ve operasyon kararlarını erken hizalamaktır. Özellikle çok uluslu tedarikçiler, bulut modelleri ve Avrupa müşterileri olan yapılarda “hangi hukuk, hangi sözleşme, hangi veri” sorusu geciktirilemez. Gecikme, sonradan pahalı mimari değişiklik demektir.

Türkiye bağlamında bir de kurumsal olgunluk farkı vardır. Büyük kurumlar politika yazar ama gölge kullanımı göremeyebilir. Küçük ekipler hızlı deneyip sözleşme okumayabilir. Her iki senaryoda da aynı omurga işe yarar: envanter, minimizasyon, aktarım görünürlüğü, onaylı araç. Ölçek farkı uygulamanın ağırlığını değiştirir; omurgayı iptal etmez.

Veri minimizasyonu

Minimizasyonu yalnızca “silme” diye düşünmeyin; erişim ayrımı da minimizasyondur. Aynı veri setine her ekibin aynı genişlikte erişmesi, toplanan veri miktarından bağımsız risk üretir. Rol tabanlı erişim, amaç bazlı onay ve geçici yükseltilmiş yetki (time-bound access) AI projelerinde standartlaşmalıdır. Özellikle prompt laboratuvarı ile üretim ortamı aynı veri gölünü paylaşmamalıdır.

Bir diğer pratik kural: modele giden bağlamı insan gözüyle örnekleyin. Haftada birkaç örnek prompt/yanıt incelemesi, politikada yazmayan sızıntı örüntülerini erken gösterir. İnceleme kaydı tutulursa hem eğitim hem denetim için malzeme oluşur. İnceleme yoksa minimizasyon iddiası test edilmemiş demektir.

Veri minimizasyonu AI çağında eski moda bir ilke gibi sunulur; oysa model kalitesi ile veri şişkinliği aynı şey değildir. Daha fazla alan, daha fazla log, daha fazla serbest metin her zaman daha iyi sonuç üretmez. Sıklıkla daha fazla risk, daha fazla erişim yüzeyi ve daha fazla açıklama yükü üretir. Yönetici sorusu net olmalıdır: Bu görev için gerçekten hangi veri gerekli?

Pratikte minimizasyon üç adımda işler. Birincisi amaç bağlama: veri hangi iş sonucu için toplanıyor veya modele veriliyor? İkincisi alan budama: kimlik, özel nitelikli veri, gereksiz müşteri geçmişi varsayılan olarak modele gitmemelidir. Üçüncüsü süre: geçici işlem için alınan veri, “belki ileride lazım olur” diye süresiz tutulmamalıdır. AI projelerinde en sık görülen sapma, pilot için açılan geniş erişimin kalıcılaşmasıdır.

Maskeleme, takma adlama ve özetleme teknikleri minimizasyonu destekler; sihir değildir. Yanlış uygulanmış anonimleştirme, yeniden tanımlamaya açık bırakabilir. Bu yüzden “anonimleştirdik” iddiası teknik ve hukuki kontrol ister. Özellikle serbest metin alanlarında isim, iletişim ve sağlık/finans ipuçları kolay sızar. Prompt’a yapıştırılan müşteri maili, minimizasyon politikasını tek hareketle bozar.

Minimizasyon aynı zamanda maliyet disiplinidir. Gereksiz veri, gereksiz token, gereksiz depolama ve gereksiz olay yüzeyidir. Veri ofisi ile AI ürün sahibi aynı tabloda oturmalıdır: hangi alanlar whitelist, hangi ortamda, hangi rol. Whitelist yoksa minimizasyon temennidir.

Çalışan ve aday verileri ayrı dikkat ister. İK araçlarına gömülü AI, performans ve özlük verisini hızla işler. Burada minimizasyon yalnızca teknik değil; örgütsel güvendir. “Model görsün, belki bir şey çıkar” yaklaşımı hem veri hem kültür riskidir.

Cross-border

Sınır ötesi meseleyi yalnızca hukuk formuna indirgemeyin; ürün kararlarına çevirin. Örneğin müşteri destek AI’ı gerçek ticket metnini mi görecek, yokta budanmış özeti mi? Budanmış özet çoğu senaryoda yeterlidir ve aktarım yüzeyini küçültür. Benzer şekilde loglarda tam metin tutmak yerine olay kimliği ve sınıflandırma kodu tutmak mümkün mü, diye sorun. Bu sorular “uyum sonrası” değil, mimari sırasındadır.

Bulut bölgelerinin pazarlama dili ile sözleşme dili farklı olabilir. “Frankfurt” diye satılan hizmetin yedekleme, destek ve alt işlemci ayakları başka yerlerde olabilir. Diyagramı sağlayıcıdan isteyin; diyagram yoksa varsayımı yazılı risk kabulüne çevirin. Kabul etmiyorsanız satın almayı durdurun.

Sınır ötesi veri akışı, Türkiye’deki AI projelerinin görünmeyen omurgasıdır. Model API’si yurt dışındaysa, loglar başka bölgedeyse, destek ekibi başka ülkedeyse, alt işlemci zinciri dağınıksa “veri bizde” varsayımı çöker. Yönetici, mimari diyagramda veri yolunu görmeden AI satın almamalıdır.

Cross-border tartışması yalnızca “sunucu nerede” sorusu değildir. Kim erişiyor, yedekleme nereye gidiyor, hata ayıklama için örnek kayıt paylaşılıyor mu, eğitim için veri kullanılıyor mu? Birçok sözleşmede bu maddeler muğlaktır. Muğlak madde, kriz anında sizin aleyhinize yorumlanır. Satın almada net soru sorun: Veri hangi ülkelerde işlenir, alt yükleniciler kim, eğitimde kullanılır mı, silme talebi nasıl işler?

Türkiye’den AB’ye veya AB’den Türkiye’ye akan işlerde çift yönlü okuma gerekir. AB müşterisi olan Türk şirketi AI Act ve veri kuralları sinyalini ürün diline çevirmelidir. Türkiye’de işleyen, yurt dışı model kullanan şirket ise KVKK zemini ile aktarım mekanizmalarını konuşmalıdır. “Herkes bulut kullanıyor” endüstri âdeti, sizin risk kabulünüz değildir.

Teknik kontroller hukuki mekanizmaların yerine geçmez; ama boşluğu büyütmemelidir. Bölge kısıtı, şifreleme, erişim ayrımı, DLP ve log redaksiyonu iyi uygulamadır. Buna karşılık “şifreledik, bitti” demek yetmez. Anahtar yönetimi, yetkisiz çözme ve yönetici erişimi ayrı risklerdir.

Cross-border kararını geciktirmek için sık kullanılan gerekçe “henüz production değil”dir. Pilot verisi de veridir. Özellikle gerçek müşteri kayıtlarıyla yapılan pilotlar, aktarım ve minimizasyon kurallarını şimdiden tetikler. Sentetik veya iyice budanmış veri ile pilot, hem öğrenir hem riski düşürür.

Gölge AI

Gölge AI’nın bir de tedarikçi varyantı vardır: resmi olmayan browser eklentileri, “ücretsiz” asistanlar, kişisel API anahtarları ile bağlanan otomasyonlar. Bunlar kurum hesabı gibi görünmez; fatura da kişisel kredi kartına binebilir. Finans ve güvenlik birlikte bakmalıdır: yetkisiz SaaS harcaması ile yetkisiz veri çıkışı aynı kökten beslenir.

Çıkış stratejisi de şarttır. Onaylı araca geçişte veri taşıma, prompt arşivi ve ekip alışkanlığı planlanmalıdır. Geçiş yoksa yasak duyurusu yalnızca yer altına iter. Geçiş varsa gölge kullanım “eski alışkanlık” haline gelir ve ölçülebilir biçimde azalır.

Gölge AI, IT’nin bilmediği veya onaylamadığı yapay zekâ kullanımını ifade eder. Çalışanın kişisel hesapla müşteri metnini yapıştırması, ekibin onaylı olmayan eklenti kurması, birimin “hızlı çözüm” diye harici aracı yaygınlaştırması bu kapsama girer. Gölge IT’nin yeni yüzüdür; hız vaadi yüksektir, görünürlük düşüktür.

Risk üç katmanlıdır. Birincisi veri sızıntısı: gizli sözleşme, müşteri listesi, kaynak kod, sağlık veya finans notu dışarı çıkar. İkincisi karar kalitesi: doğrulanmamış çıktı iç yazışmada “kaynak” gibi dolaşır. Üçüncüsü yönetişim boşluğu: olay olduğunda hangi sistem, hangi hesap, hangi log sorusu cevapsız kalır. “Kimse bilmiyordu” ifadesi savunma değil, kontrol zaafıdır.

Yasaklayarak çözmek çoğu zaman gölgeyi derinleştirir. Daha iyi yol, güvenli varsayılan sunmak ve sınırları netleştirmektir: onaylı araç listesi, hangi veri sınıflarının yasak olduğu, dışarıya yapıştırma yasağı, eğitim ve kolay iç alternatif. İnsanlar işini bitirmek ister; alternatif yoksa yasak delinir. Alternatif varsa ve yeterince iyi ise gölge azalır.

Tespit için yalnızca “policy maili” yetmez. Ağ ve SaaS keşfi, tarayıcı eklenti envanteri, veri kaybı önleme kuralları, çalışan bildirimi kanalları birlikte düşünülür. Amaç polisliği büyütmek değil; görünmeyen riski görünür kılmaktır. Bulunan gölge kullanım cezalandırmadan önce anlaşılmalıdır: hangi ihtiyaç karşılanıyordu? O ihtiyaç resmi ürüne alınabilir mi?

Yönetim göstergesi olarak “sıfır gölge” iddiası genellikle yanıltıcıdır. Daha dürüst gösterge: bilinen kullanım oranı, onaylı araca geçiş, yasak veri sınıfı ihlal olayları, eğitim tamamlanma ve istisna talepleri. Soft sıfır yoktur; ölçülen azaltma vardır.

Sektörel notlar

Holdingleşmiş yapılarda sektör farklılaşması iç çatışma yaratır. Aynı grup şirketi içinde finans iştiraki ile perakende iştiraki aynı AI platformunu paylaşabilir; risk iştahı paylaşamaz. Merkezi platform, yerel kontrol kapıları bırakmalıdır: veri sınıfı filtresi, özellik aç/kapa, yerel onay. “Tek platform, tek politika” cazip gelir; sektörel gerçeklik çoğu zaman “tek platform, çok politika katmanı” ister.

Start-up ve ölçeklenen şirketlerde sektörel not erken müşteri kaybı riskidir. Kurumsal müşteri güvenlik anketinde AI ve veri soruları artmaktadır. Cevap hazır değilse satış döngüsü uzar. Bu yüzden erken dönem şirketler de hafif ama dürüst bir AI/veri bildirim metni hazırlamalıdır.

Sektörler aynı AI aracını farklı riskle taşır. Finansta model riski, müşteri iletişimi ve kayıt tutma öne çıkar. Sağlıkta doğruluk, insan gözetimi ve özel nitelikli veri hassasiyeti yükselir. Üretim ve kritik altyapıda güvenlik ve süreklilik baskındır. Kamu ve düzenlenmiş hizmetlerde açıklanabilirlik ve itiraz yolları konuşulur. Perakende ve pazaryerinde profilleme ve pazarlama ile veri kesişir.

Türkiye’de sektörel düzenleyici sinyaller de AI’ya dolaylı bağlanabilir: mevcut sektör kuralları, veri saklama, müşteri aydınlatma, kayıt ve denetim beklentileri AI çıktılarını da kapsayacak şekilde yorumlanabilir. Bu yazı sektöre özel hüküm uydurmaz; yöneticiye şu soruyu bırakır: Bizim sektör regülasyonumuz karar destek sistemlerinden ne bekliyor, AI bu beklentiyi değiştiriyor mu? Cevap için sektör hukuku ve uyum ekipleri devreye alınmalıdır.

Çok uluslu gruplarda Türkiye iştiraki, global AI platformunu “olduğu gibi” almak zorunda kalabilir. Bu durumda yerel ekip en azından veri sınıflarını, aktarım maddelerini ve yerel aydınlatma metinlerini kontrol etmelidir. Global standart yerel riski otomatik kapatmaz. Tersine, yerel ekip global standarttan daha sıkı davranmak zorunda kalabilir.

KOBİ ölçeğinde “sektörel not” çoğu zaman tedarikçi seçimine iner. Büyük platformların varsayılan ayarları sizin sektörünüze göre güvenli gelmeyebilir. Satın alma sırasında sektörünüze özgü soruları ekleyin: log tutma, erişim ayrımı, yerelleştirme, alt işlemci, olay bildirimi. Sektör dernekleri ve resmi rehberler çıktıkça bunları izleyin; ama rehber yokken de minimizasyon ve gölge AI disiplini ertelenmez.

Aksiyon

Aksiyonların ilk doksan günü gerçekçi tutulmalıdır. Her şeyi birden bitirmeye kalkmak, hiçbir şeyi bitirmemektir. Doksan günde envanterin tamamı, minimizasyon kuralının yayını, en kritik üç tedarikçiye soru seti ve bir gölge AI eğitim turu bile görünür ilerleme sağlar. Sonraki çeyrekte cross-border diyagramları ve sektörel derinleşme gelir.

Yönetim kuruluna raporlama dilini de sadeleştirin: kaç AI kullanımı biliniyor, kaçında veri sınıfı etiketli, kaçında yurt dışı aktarım net, kaç gölge aday kapatıldı veya onaylı araca alındı. Yüzde uydurmadan mutlak sayılar ve açık maddeler yeterlidir. Açık madde listesi, yeşil slayttan daha yönetilirdir.

Aksiyon listesi uzun olmak zorunda değildir; sırası net olmalıdır. Birinci adım AI ve veri envanteri: hangi araç, hangi birim, hangi veri sınıfı, hangi sağlayıcı, hangi ülke. Envanter yoksa regülasyon sinyali yorumlanamaz. İkinci adım minimizasyon kuralları: whitelist alanlar, yasak yapıştırma sınıfları, saklama süreleri. Üçüncü adım cross-border haritası: veri yolu, alt yüklenici, sözleşme maddesi. Dördüncü adım gölge AI’ya karşı onaylı alternatif ve eğitim. Beşinci adım sektörel kontrol: uyum ve hukuk ile kısa risk turu.

Aksiyonları sahiplenmeden yazmak işe yaramaz. Her madde için tek sahip, tarih ve kanıt biçimi belirleyin. “Herkes dikkat etsin” aksiyon değildir. Kanıt; güncel envanter satırı, sözleşme eki, eğitim kaydı, erişim kuralı veya olay tatbikatı olabilir. Sunum slaytı kanıt değildir.

Önceliklendirmede Avrupa sinyali ile Türkiye zemini çatışır gibi görünmesin. AB’ye hazırlık dokümantasyonu, KVKK minimizasyonu ile çoğu yerde aynı yönde ilerler: amaç netliği, veri azaltma, insan gözetimi, tedarikçi şeffaflığı. Çift iş yapıyorsanız süreçleri birleştirin; iki ayrı bürokrasi kurmayın. Tek envanter, tek risk kaydı, tek tedarikçi soru seti daha yönetilirdir.

Son olarak iletişim dili sakin tutulmalıdır. “Yeni yasak geldi” paniği yanlış karar üretir; “bir şey olmaz” rehaveti de. Doğru ton: Sinyaller netleşiyor, veri kuralları bugünden geçerli, AI projeleri envanter ve minimizasyon olmadan büyütülmez. Bu cümle Türkiye masasında hem temkinli hem uygulanabilirdir.

Türkiye’de AI regülasyonunu okumak, yalnızca Brüksel metnini çevirmek değildir. AB sinyali yön verir; KVKK ve veri disiplini zemini tutar. Veri minimizasyonu, cross-border haritası, gölge AI görünürlüğü, sektörel dikkat ve kısa aksiyon listesi bir arada yürür. Birlikte okuyan yönetici, ayrı klasörlerde kaybolan yöneticiye göre daha az sürpriz yaşar.

---

---

Şeffaflık notu

Bu içerik ManegAI destekli üretimle hazırlanmış bir AI Ekonomisi taslağıdır. Yayınlanmadan önce editör incelemesi ve onay gerekir. Metin yatırım tavsiyesi, hukuki mütalaa veya regülasyon taahhüdü değildir; yönetici kararları resmi kaynaklar ve uzman danışmanlıkla doğrulanmalıdır.