KVKK uyumlu şirket içi AI nasıl kurulur?

KVKK uyumlu şirket içi AI, çalışanların herkese açık bir sohbet kutusuna sözleşme ve bordro atması değildir. Verinin amacı, yeri, kimlerin göreceği ve modele ezberletilmeyeceği kurulumda kilitlenir. Bu yazı hukuki görüş değildir; Ümraniye’de kurduğumuz mimari notudur.

DEM Bilişim, Ümraniye

Neden ayrı bir kurulum gerekir

Genel bir sohbet modeli, soruyu ve ekleri sağlayıcının altyapısına gönderir. Şirket sözleşmesi, müşteri listesi, özlük dosyası kişisel veridir. Bunlar amaç belirtilmeden, hukuki sebep yazılmadan ve aktarım kararı alınmadan üçüncü tarafa gitmez. “Herkes kullanıyor” hukuki sebep değildir.

İkinci sorun eğitimdir. Ücretsiz veya tüketici hesabında girdi, modelin sonraki sürümüne malzeme olabilir. Kurumsal sözleşmede eğitim yasağı yoksa, yasağın teknik olarak da kapalı olduğu varsayılmaz. Yazılı hüküm ve kapalı anahtar birlikte durur.

Önce veri haritası

Kurulumdan önce hangi belgenin asistan havuzuna gireceği yazılır. Havuz üç sınıfa ayrılır:

1. Herkese açık iç metin: prosedür, katalog, SSS. Kişisel veri yoksa veya yok denecek kadar azsa burası pilottur.
2. Yetkiye bağlı iş kaydı: teklif, cari, sipariş. Asistan, kullanıcının zaten açabildiği kaydı okur. Logo veya Uyumsoft asistanı bu sınıftadır.
3. Özel nitelikli veya yüksek riskli veri: sağlık, sendika, ceza, biyometrik, çocuk, bordro detayı. Bu sınıf varsayılan havuza konmaz. Konacaksa ayrı sistem, ayrı yetki ve hukuk onayı gerekir.

Havuzda duran her küme için amaç bir cümledir: “çalışan, güncel prosedürü sorar.” Amaç “her şeyi sorar” olmaz. Amaç genişledikçe KVKK’daki amaçla bağlılık bozulur.

Model nerede çalışır

İki yol vardır. İkisi de “KVKK damgası” taşımaz; ikisi de sözleşmeyle ve teknik sınırla kurulur.

Kapalı devre model tesiste veya sizin kontrolünüzdeki sunucuda çalışır. Soru ve belge tesis dışına çıkmaz. Bağlantı kesilse de cevap üretilir. Bordro, sözleşme ve müşteri arşivi bu hatta daha az risk taşır. Donanım ve bakım maliyeti vardır; gizlilik burada ucuza gelmez.

Bulut API daha hızlı ayağa kalkar. Kullanılacaksa sağlayıcı veri işleyen konumundadır. Sözleşmede eğitim yasağı, saklama süresi, alt işleyen listesi ve mümkünse Türkiye veya açıkça kabul ettiğiniz bölge yazılır. İstek ve yanıt logu sizin tarafta tutulur; sağlayıcının varsayılan log politikası sizin politikanız değildir.

Karışık kurulum sıktır: genel dil için API, kişisel veri içeren arşiv için kapalı model. Aynı sohbet kutusunda iki hat varsa, hangi sorunun hangi hatta gideceği kurala bağlanır. Kural yoksa çalışan her şeyi açık hatta yapıştırır.

Yetki, log ve silme

RAG belgede arar, model ezberlemez. Bu, KVKK için yeter şart değildir. Arama, kullanıcının dosya sunucusunda zaten göremediği parçayı da getirmemelidir. Satış, insan kaynakları klasörünü “Türkçe sordum” diye okumaz.

Her soru bir kayıttır: kim sordu, hangi belgeler seçildi, cevap ne zaman üretildi. Bu log, denetim ve ihlal bildirimi içindir; sohbet geçmişini sonsuza kadar tutmak için değildir. Saklama süresi aydınlatma metnindeki süreyle aynı hizada durur. Kullanıcı veya ilgili kişi silme isterse hem sohbet hem vektör parçası silinir. İndeksten silinmeyen metin, silinmiş sayılmaz.

Cevap kaynak gösterir. Kaynak yoksa kullanıcı rakamı ezberlemek zorunda kalır; denetim de kalmaz. Kaynak varsa madde okunur, asistan düzeltilir. Denetlenemeyen asistan üretim aracı değildir.

İç kullanım kuralı

Teknik kurulum, masadaki tüketici hesabını kapatmaz. Şirket içi AI’nın yanında kısa bir kullanım kuralı yayınlanır: hangi veri yapıştırılmaz, hangi hesap yasaktır, çıktı müşteriye gitmeden kim bakar. Kural yoksa en hızlı yol herkese açık sohbet kutusudur; o yol KVKK’yı deler.

Ümraniye ofisimizde bunu önce tek departman ve güncel belgelerle deneriz. Pilot, “tüm arşivi yükle” değildir. Ölçülen sorular, sahibi belli dosyalar, kapalı eğitim anahtarı. Havuz dağınıksa asistan da dağınık cevap verir; kişisel veri de yanlış kişiye gider.

Sık sorulan sorular

ChatGPT’ye şirket dosyası atmak KVKK uyumu mudur?

Hayır. Dosya, sizin kontrolünüzdeki bir işleme dönüşmez. Aktarım, amaç, saklama ve eğitim yasağı sözleşmede ve teknik olarak kilitlenmeden kişisel veri yurt dışına veya üçüncü tarafa gitmiş sayılır.

Kapalı devre model KVKK’yı tek başına çözer mi?

Hayır. Tesis içi kurulum aktarımı azaltır. Yetki, log, silme ve amaç sınırı yoksa kişisel veri yine hukuka aykırı işlenmiş olur.

Bulut API hiç kullanılmaz mı?

Kullanılır, fakat kapsam dar tutulur. Sözleşmede eğitim yasağı, bölge ve veri işleyen yükümlülüğü yazılır. Bordro, sağlık ve kimlik belgesi bu hatta konmaz.

Bu yazı hukuki görüş müdür?

Değildir. Operasyon ve mimari notudur. Aydınlatma metni, veri envanteri ve yurt dışı aktarım kararı hukuk müşavirinizle yazılır.