tag GDPR
Bu sayfada GDPR etiketi ile işaretlenmiş 17 yapay zeka kavramını bulabilirsiniz.
GDPR (General Data Protection Regulation — Genel Veri Koruma Tüzüğü), 25 Mayıs 2018'de yürürlüğe giren Avrupa Birliği veri koruma yasasıdır. AB'de yerleşik bireylerden veri toplayan ya da onlarla ilgili kararlar veren her kuruluşu — coğrafi konum fark etmeksizin — kapsamaktadır. 1995 tarihli AB Veri Koruma Direktifi'nin yerini alan GDPR, on yıllarda biriken teknolojik dönüşümü ve kişisel veri ekonomisinin ölçeğini yansıtan çok daha kapsamlı ve dişli bir hukuki çerçeve sunmaktadır. Yapay zeka sistemleri için özel bir bölüm içermemekle birlikte GDPR, kişisel veri işleyen her AI uygulamasını doğrudan etkiler. Madde 22, bireyleri yalnızca otomatik işleme dayanan ve önemli sonuçlar doğuran kararlardan korur; kredi skorlama, iş başvurusu değerlendirmesi, sigorta fiyatlandırması veya ceza tahmini yapan AI sistemlerinin insan denetimine açık olmasını zorunlu kılar. Bunun yanı sıra kişisel veriyle eğitilen modeller, veri sahiplerinin erişim ve silme taleplerine yanıt verebilecek biçimde tasarlanmak durumundadır. GDPR yedi temel ilkeyi zorunlu kılar: hukuka uygunluk ve şeffaflık, amaç sınırlılığı, veri minimizasyonu, doğruluk, depolama sınırlılığı, bütünlük ve gizlilik, hesap verebilirlik. Bu ilkeler, veri işleme faaliyetlerinin hukuki dayanağını (açık rıza, meşru menfaat, sözleşme gereği vb.) ve verinin toplanmasından silinmesine kadar her aşamadaki güvenlik yükümlülüklerini belirler. Veri ihlali durumunda kuruluşlar 72 saat içinde yetkili veri koruma otoritesini bilgilendirmekle yükümlüdür. İhlaller için azami para cezası yıllık küresel ciron yüzde dördüne veya 20 milyon Euro'ya — hangisi yüksekse — kadar çıkmaktadır. Meta, Amazon ve Google gibi teknoloji devleri bu kapsamda milyarlarca Euro ceza almıştır. Türkiye'nin 2016'da çıkardığı KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) GDPR'a yapısal olarak paralel bir tasarıma sahipken, AB'ye veri aktarımı için AB Standart Sözleşme Maddeleri (SCCs) ya da Avrupa Komisyonu'nun yeterlilik kararı gereklidir.
Consent Management (Rıza Yönetimi)
Rıza Yönetimi, dijital ortamlarda bireylerin kişisel verilerinin toplanması, işlenmesi ve paylaşılmasına dair onaylarını sistematik biçimde almak, kaydetmek, saklamak ve yönetmek için kullanılan süreç, politika ve teknoloji bütünüdür. 2018'de Avrupa Birliği'nde yürürlüğe giren GDPR, geçerli bir onayın özgürce verilmiş, spesifik, bilgilendirilmiş ve açık olmasını zorunlu kılmış; bu yasal çerçeve küresel çapta rıza yönetimi pratiklerinin standartlaşmasına öncülük etmiştir. Uygulamada en yaygın temas noktası web sitelerindeki çerez onay bannerlarıdır. Ancak rıza yönetimi yalnızca çerezlerle sınırlı değildir: pazarlama e-postası abonelikleri, tıbbi veri paylaşımı, biyometrik tanıma sistemleri ve yapay zeka modellerinin eğitim veri setleri de bu kapsamda değerlendirilir. GDPR Madde 7, onayın belgelenebilmesini ve kullanıcının onayı verdiği kadar kolay geri çekebilmesini şart koşar. Rıza Yönetimi Platformları (CMP'ler), kuruluşların kullanıcı tercihlerini IAB Şeffaflık ve Onay Çerçevesi (TCF v2.2) standardına uygun biçimde kayıt altına almasını otomatikleştirir. Bu platformlar; onay süreçlerini denetlenebilir log'larla belgeler, tercih değişikliklerini downstream sistemlere iletir ve bölgeye özel yasal gerekliliklere uyum sağlar. Yapay zeka alanında rıza yönetimi giderek kritikleşmektedir. Büyük dil modellerinin eğitildiği veri setlerinde telif hakkı ve kişisel veri sorunları gündeme geldikçe, AI şirketleri içerik üreticilerinin onayını yönetmek için yeni mekanizmalar geliştirmektedir. Türkiye'de KVKK da açık rıza alınmasını zorunlu kılmakta ve ihlaller ciddi idari yaptırımlara konu olmaktadır.
Data Breach (Veri İhlali)
Veri ihlali (data breach), yetkisiz kisilerin kisisel, finansal veya kurumsal olarak gizli verilere kasitli veya kazara erisim sagladigi, bu verileri ifsa ettigi, kopyaladigi veya cektigi guvenlik olayidur. Haber degerinin yuksekligi ve yaygin bireysel etkisi nedeniyle veri ihlalleri dijital guvenligin en kamuoyunu yakından ilgilendiren konularindan biridir. Veri ihlaline yol acan vektorler cesitlidir. Oltalama (phishing), mevcut en yaygın saldiri tekniklerinden biridir: sahte e-posta veya web sitesi araciligiyla kullanici kimlik bilgileri ele gecirilir. Kimlik bilgisi doldurma (credential stuffing), daha once sizmis diger veritabanlariindan elde edilen kullanici adi/sifre ciftlerini sistematik sekilde deneme saldirisidir; bu nedenle ayni sifrenin birden fazla hesapta kullanilmasi kritik bir risk faktorudur. Yama uygulanmamis yazilim acikları (unpatched vulnerabilities) uzaktan kod yurutme olanaklarini acik birakabilir. Iceriden eylemler, erisi olan bir calisanin kasitli veya kazara veriyi dis dunyaya acmasiyla gerceklesebilir. IBM'in 2024 Cost of a Data Breach raporuna gore kuresel ortalama veri ihlali maliyeti 4.88 milyon dolara ulasmiştir. Bu maliyet dogrudan kayiplari, yasal masraflari, marka itibarinin zarar gormesini ve musteri kaybini kapsar. Saglik sektoru, kisisel saglik bilgilerinin hassas dogasi nedeniyle tutucu sekilde en yuksek maliyetli sektordur. Yasal yukumlulukler veri ihlali yoneticlerinin kritik bir boyutunu olusturur. AB'nin GDPR'i, yetkili veri koruma denetim otoritesine 72 saat icinde bildirim zorunlulugu getirir; bireyler ciddi risk altindaysa onlara da bildirim yapilmalidir. KVKK ve ABD'nin eyalet duzeyindeki bildirim yasalari da benzer gereksinimler icerir; uyumsuzluk agir para cezalarina yol acabilir. **Sik Sorulan Sorular** **Veri ihlalini nasil anlarsam?** Olagan dis giris denemeleri bildirimleri, tanimadiginiz hesap aktivitesi, dark web izleme servisleri (Have I Been Pwned gibi) veya saglayicinizin gizlilik bildirimi araciligiyla ogrenilebilir. **Veri ihlali sonrasinda ne yapmaliyim?** Etkilenen hizmetlerdeki sifrelerinizi degistirin, mumkunse cok faktorlu kimlik dogrulamasi etkinlestirin, kredi raporunuzu izleyin ve oltalama denemelerine karsi dikkatli olun. **Sirketler veri ihlalinden nasil korunabilir?** Cok faktorlu kimlik dogrulamasi zorunlu kilmak, veri en aza indirgeme (data minimization), yama yonetimi, calisanlara guvenlk egitimi ve anormali tespit sistemleri temel onlemlerdir. **GDPR ihlal bildirimini 72 saat icinde yapmazsam ne olur?** GDPR ihlali halinde yillik kuresel ciron yuzde dordune kadar veya 20 milyon Euro'ya kadar para cezasi uygulanabilir; bildirim gecikmeleri bu cezaları artiran bir etkendir.
Data Loss Prevention (DLP) (Veri Kaybı Önleme)
Data Loss Prevention (DLP), bir kuruluşun hassas, gizli veya kritik verilerinin yetkisiz kişilerce ele geçirilmesini, dışarıya sızdırılmasını veya yanlışlıkla ifşa edilmesini engelleyen güvenlik teknolojileri ve süreçleri bütünüdür. DLP sistemleri, kişisel tanımlayıcı bilgiler (PII), finansal kayıtlar, ticari sırlar ve sağlık verileri gibi korunan verileri gerçek zamanlı olarak tespit eder, izler ve gerektiğinde bloke eder. Bir DLP çözümü tipik olarak üç katmanda çalışır: Ağ DLP (network DLP), e-posta ve web trafiği gibi veri akışlarını uçta denetler. Uç nokta DLP (endpoint DLP), kullanıcının bilgisayar, dizüstü bilgisayar veya mobil cihazındaki veri hareketlerini takip eder. Bulut DLP ise SaaS uygulamaları ve bulut depolama ortamlarındaki veriyi korur. Modern DLP çözümleri makine öğrenimi ve doğal dil işleme teknolojilerini entegre ederek içerik analizi doğruluğunu önemli ölçüde artırmıştır. Geleneksel kural tabanlı yaklaşımlar yalnızca belirli kalıpları (kredi kartı numarası gibi) tanırken, yapay zeka destekli DLP sistemleri bağlamı anlayarak bağlamsal anomalileri, içeriden tehdit belirtilerini ve gizlenmiş veri sızdırma girişimlerini de tespit edebilmektedir. DLP kullanım amacına göre üç ana kategoriye ayrılır: Uyumluluk odaklı DLP (GDPR, HIPAA, PCI-DSS, SOX gibi yasal zorunlulukları karşılamak için), fikri mülkiyet koruma odaklı DLP (kaynak kod, tasarım dosyaları ve Ar-Ge belgelerini korumak için) ve içeriden tehdit yönetimi odaklı DLP (kazara veya kasıtlı çalışan kaynaklı sızdırmaları engellemek için). DLP politikaları genellikle veri sınıflandırması (data classification) ile birlikte çalışır: veriler hassasiyet düzeyine göre etiketlenir (gizli, kısıtlı, kamuya açık), DLP motor bu etiketlere ve içerik kurallarına göre izin ver / uyar / engelle kararı verir. Yapay zeka destekli DLP çözümleri, kullanıcı davranışı analitiği (UBA/UEBA) ile entegre edilerek normal sapma örüntülerini de tespit edebilmektedir.
Data Masking Nedir? Veri Maskeleme Teknikleri ve Kullanım Alanları (Veri Maskeleme)
Veri maskeleme (data masking ya da veri gizleme), hassas ya da kişisel nitelikteki gerçek verilerin yerine işlevsel ama tanımlanamaz sahte veriler koyma tekniğidir. Amaç, veri setinin yapısal, istatistiksel ve biçimsel özelliklerini korurken bireysel kayıtların gerçek kişi ya da kurumlarla ilişkilendirilmesini olanaksız kılmaktır. Test ve geliştirme ekipleri, verinin gerçekliğini korumak zorunda kalmadan üretim ortamına yakın bir veri kümesiyle çalışabilir; böylece gizlilik sızıntısı riski büyük ölçüde azalır. GDPR ve Türkiye KVKK gibi veri koruma mevzuatları, kişisel verinin üçüncü taraflarla paylaşılmasını ya da farklı amaçlarla işlenmesini kısıtlar. Veri maskeleme, bu yasal gerekliliklerin karşılanmasında teknik bir araç olarak öne çıkar: düzgün maskelenmiş veri, artık kişisel veri sayılmayabileceğinden GDPR kapsamındaki koruyucu yükümlülükler hafifler. Nitekim AB Veri Koruma Kurulları, veri maskelemeyi anonimleştirme veya takma adlandırma (pseudonymisation) tekniklerinden biri olarak değerlendirir. Yapay zeka ve makine öğrenmesi alanında veri maskeleme, model eğitim süreçlerinde kritik bir rol üstlenir. Sağlık, finans ve perakende sektörlerinde gerçek müşteri ya da hasta verisinin üçüncü taraf araştırmacılara veya ML mühendislerine açılması yasal olarak mümkün olmayabilir. Bu durumda maskeli veri setleri, modellerin gerçekçi desenleri öğrenmesini sağlarken gizlilik riskini ortadan kaldırır. Büyük dil modellerinin fine-tuning süreçlerinde de hassas kurumsal veriler maskelenerek model, kurumun yazım stili veya domain bilgisini öğrenir; ancak gerçek PII (kişiyi tanımlayan bilgi) asla modele dahil edilmez.
Data Privacy (Veri Gizliliği)
Veri gizliligi, bireylere ait kisisel bilgilerin nasil toplandigi, islendigi, saklandigi ve paylasildigini duzenleleyen ilke, uygulama ve yasal cerceveler butunudur. Teknoloji sirketlerinden hastanelere, e-ticaret platformlarindan devlet kurumlarindan kadar kisisel veri isleyen her organizasyon bu alaninla dogrudan iliskilidir. Veri gizliligi dusuncesi iki eksenli bir uzlasimdan beslenir. Ilki bireysel otonomi: insanlarin kendi verileri uzerinde anlayisli riza (informed consent) hakkina sahip olmasi ve verilere ne zaman, kim tarafindan nasil erisildigi konusunda seffafligin saglanmasi. Ikincisi kurumsal sorumluluk: veri isleyenlerin bu verileri merus amaclar dogrultusunda kulllanmasini ve korsanlara ya da ucuncu taraflara yasadisi bicimde iletmemesini zorunlu kilan duzenleyici cerceveler. Avrupa Birligi'nin Genel Veri Koruma Yonetmeligi (GDPR), 2018 yilinda yururluge girmesiyle kuresel bir referans standardi haline gelmistir. GDPR, veri minimizasyonu ilkesini zorunlu kilar: yalnizca ilan edilen amac icin gerekli olan veri toplanabilir. Turkiye'de Kisisel Verilerin Korunmasi Kanunu (KVKK), GDPR ile buyuk olcude paralel bir yasal cerceve sunmaktadir. Teknik mahremiyet korumalari da giderek onem kazanmaktadir. Diferansiyel gizlilik, bir veri kumesine istatistiksel gurultu ekleyerek bireylerin kimliginin cikarilmasini matematiksel olarak engeller; Apple ve Google bu teknigi buyuk olcekte kullanmaktadir. Federe ogrenme, ham veriyi merkezi sunucuya gondermeden cihaz uzerinde model egitmesine ve yalnizca model guncellemelerinin paylasmasina izin verir. Homomorfik sifreleme ise teorik olarak sifreli veri uzerinde hesaplama yapmayi mumkun kilar, ancak hali hazirda pratik uygulamalar sinirlidir. Yapay zekanin yayginlasmasi, veri gizliligini daha da karmasik kilar. Buyuk dil modellerinin egitim verisinde kisisel bilgi bulundurabilmesi, yuz tanima sistemlerinin kitlesel gozetleme riskini artirmasi ve kisisel verilerin profil cikartmak icin kullanilmasi, hem etik hem de yasal gundeme girmis tartismadir. **Sik Sorulan Sorular** **Veri gizliligi ile veri guvenligi arasindaki fark nedir?** Veri guvenligi, yetkisiz erisime karsi teknik koruma saglar (sifreleme, guvenlik duvari). Veri gizliligi ise merus erisim sahiplerinin veriyi nasil isleyebilecegini duzenler. Ikisi birbirini tamamlar. **GDPR Turkiye'deki sirketleri etkiler mi?** Evet. AB vatandaslarinin verisini isleyen Turkiye merkezli sirketler GDPR kapsamina girebilir. Ek olarak KVKK yerli duzenleyici yukumlulukleri belirler. **Veri anonimizasyonu tam bir koruma saglar mi?** Hayir. Re-identification (yeniden kimliklendirme) saldirisi teknikleri, anonim gorunen verideki bireyleri cogu zaman tespit edebilmektedir. Diferansiyel gizlilik daha guclu matematiksel garantiler sunar. **Bir sirket veri ihlali durumunda ne yapmalidur?** GDPR kapsaminda yetkili denetim otoritesine 72 saat icerisinde bildirme zorunlulugu vardir. KVKK da benzer bildirim yukumlulugu icerir. Etkilenen bireylere de bildirim yapilmali ve zararlar belgemelidir.
Data Residency (Veri İkameti)
Veri yerlesimi (data residency), kisisel veya hassas kurumsal verinin belirli bir ulkenin veya cografi bolgenin sinirlari icerisinde depolanmasini ve islenmesini zorunlu kilan yasal, sozlesmsel veya operasyonel gereksinimdir. Bulut bilisimin kuresel yaygınlasmasi, veri yerlesimini giderek kritik bir uyumluluk konusu haline getirmistir: bir sirketin verisi fiziksel olarak nerede bulunur sorusu artik hem yasal hem de operasyonel acidan cevap gerektiren bir soru. Veri yerlesimini zorunlu kilan bircok duzenleyici cerceve mevcuttur. AB'nin GDPR'i, kisisel verinin AB disina transfer edilmesini belirli guvenceler olmadan kisitlar; yeterlilik karari olmayan ulkelere transfer ancak standart sozlesmsel maddeler veya baglayici sirket kurallari gibi mekanizmalarla mumkundur. Turkiye'deki KVKK da benzer kisilamalar getirmektedir. Cin'in Veri Guvenligi Yasasi ve Kisiel Bilgi Koruma Yasasi, belirli kategorilerdeki verinin Cin sinırları disına cikmadan oncce guvenlık degerlendirmesinden gecmesini zorunlu kilar. Rusya'nin veri yerellesme yasası (No. 242-FZ) Rus vatandaslarinin kisisel verisinin Rusya'da depolanmasini zorunlu kilar. Bulut saglayicilari bu gereksinimlere yanit verecek cografi bolge (region) yapilarını sunar. AWS, Azure ve GCP her birinin onlarca bolge ile veri Almanya, Singapur veya Japonya sinirları icinde tutmak olanaklidur. Bununla birlikte, cok bolgesli bir uygulama mimarisinde verinin bolge sinirlarini gecip gecmedigini guvence altina almak; yedekleme, replikasyon ve gunluk kayitlari dahil butun veri akislarini denetlemek gerektirir. Sovereign cloud, veri yerlesiminin en sıkı gereksinimleri karsilamak icin tasarlanan bir bulut modeli olarak onemlendirmektedir. Microsoft Azure Sovereign, Google Sovereign Cloud ve AWS Govcloud bu kategoride uluslara ve hassas sektorlere ulusal duzenlemelere uyumlu ve operasyonlar bakimindan izole edilmis altyapi sunar. **Sik Sorulan Sorular** **Veri yerlesimi ile veri egemenlik arasindaki fark nedir?** Veri egemenlik, verinin hangi hukuki yetki alaninin denetimine tabi oldugu ve o devletin veriye erisimini mi zorunlu kilabilecegiyle ilgilidir. Veri yerlesimi ise verinin fiziksel olarak nerede depolandigiyla ilgilidir. Iki kavram cakisir ama esanlamli degildir. **GDPR veri yerlesimi icin kati bir bolge belirleme zorunlulugu getirir mi?** GDPR, AB kisisel verisinin AB sinirlari icinde depolanmasini kati bicimde zorunlu kilmaz; ancak AB disina transfer icin yeterli koruma guvencesi saglanmasini sart kosar. Bununla birlikte, bazi ulkelerin ulusal mevzuati ve bazi sektorlerin duzenleme gereksinimleri daha katı saklama bolge gereksinimleri diyebilir. **Cok bolgesli uygulama mimarisinde veri yerlesimi nasil saglanir?** Cok bolgesli mimarilerde veri bolumlendirmesi (data partitioning), her veri kategorisinin yalnizca izin verilen bolgede islenmesini ve saklanmasini zorunlu kilar. Yedekleme ve replikasyon politikalari da bolge gereksinimine uygun bicimde yapılandırılmalidir. **SaaS kullanirsam veri yerlesimini nasil guvence altina alirim?** SaaS saglayicisinin sozlesmesini ve veri isleme eklentisini dikkatlice inceleyin. Hangi bolgelerde veri sakladiklarini, altisaglayici kullanip kullanmadiklarini ve denetim log'larini sizinle paylaşip paylasmadıklarını dogrulayin.
EU AI Act (AB Yapay Zeka Yasası)
AB Yapay Zeka Yasası (EU AI Act), Avrupa Birliği'nin yapay zeka sistemlerinin geliştirilmesi, piyasaya sürülmesi ve kullanımına ilişkin kapsamlı düzenleyici çerçevesidir. 12 Temmuz 2024'te AB Resmi Gazetesi'nde yayımlanan ve 1 Ağustos 2024'te yürürlüğe giren bu yasa, dünyada yapay zekayı doğrudan düzenleyen ilk kapsamlı yasal mekanizmadır. Yasa, risk temelli bir yaklaşım benimsemekte ve yapay zeka sistemlerini dört ana kategoride sınıflandırmaktadır: kabul edilemez risk (yasaklı), yüksek risk, genel amaçlı yapay zeka modelleri ve minimum ya da sınırlı risk. Kabul edilemez risk kategorisindeki sistemler —kamu kurumlarının sosyal puanlama uygulamaları, farkında olmadan bilinçaltı manipülasyon tekniklerine başvuran yapay zeka sistemleri ve kamuya açık alanlarda gerçek zamanlı biyometrik tanımlama— yasayla tamamen yasaklanmıştır. Yüksek risk grubundaki sistemler; işe alım süreçleri, kredi skorlama, sınır kontrolü ve kritik altyapı yönetimi gibi alanları kapsamakta olup üçüncü taraf uygunluk değerlendirmesine, AB veri tabanına kayda ve kapsamlı risk yönetimi sistemlerine tabi tutulmaktadır. Genel amaçlı yapay zeka modeli sağlayıcıları ise şeffaflık yükümlülükleri kapsamında telif hakkıyla korunan eğitim verilerini açıklamak zorundadır. Yasanın uygulanması kademeli bir takvime yayılmıştır: 2 Şubat 2025'ten itibaren yasaklı uygulamalar sona erdirilmiş ve yapay zeka okuryazarlığı yükümlülükleri devreye girmiştir. 2 Ağustos 2025'ten itibaren genel amaçlı yapay zeka modeli sağlayıcıları şeffaflık gerekliliklerine uymak zorundadır. Yasanın tamamı 2 Ağustos 2026'da tam anlamıyla yürürlüğe girmiştir. İhlaller ağır yaptırımlara yol açmaktadır: yasaklı uygulamaları ihlal eden kuruluşlar 35 milyon Euro veya küresel yıllık cirosunun %7'sine kadar, yüksek riskli sistem gerekliliklerini ihlal edenler ise 15 milyon Euro veya cirosunun %3'üne kadar para cezasıyla karşılaşabilir. AB Yapay Zeka Yasası yalnızca Avrupa'da faaliyet gösteren şirketleri değil, yapay zeka çıktıları AB sınırları içinde kullanılan tüm küresel kuruluşları da kapsamaktadır. Bu extraterritorial etki yasayı GDPR ile kıyaslanabilir kılmakta ve yapay zeka düzenlemesinde küresel bir referans noktasına dönüştürmektedir.
GDPR (Genel Veri Koruma Tüzüğü)
GDPR (General Data Protection Regulation — Genel Veri Koruma Tüzüğü), 25 Mayıs 2018'de yürürlüğe giren Avrupa Birliği veri koruma yasasıdır. AB'de yerleşik bireylerden veri toplayan ya da onlarla ilgili kararlar veren her kuruluşu — coğrafi konum fark etmeksizin — kapsamaktadır. 1995 tarihli AB Veri Koruma Direktifi'nin yerini alan GDPR, on yıllarda biriken teknolojik dönüşümü ve kişisel veri ekonomisinin ölçeğini yansıtan çok daha kapsamlı ve dişli bir hukuki çerçeve sunmaktadır. Yapay zeka sistemleri için özel bir bölüm içermemekle birlikte GDPR, kişisel veri işleyen her AI uygulamasını doğrudan etkiler. Madde 22, bireyleri yalnızca otomatik işleme dayanan ve önemli sonuçlar doğuran kararlardan korur; kredi skorlama, iş başvurusu değerlendirmesi, sigorta fiyatlandırması veya ceza tahmini yapan AI sistemlerinin insan denetimine açık olmasını zorunlu kılar. Bunun yanı sıra kişisel veriyle eğitilen modeller, veri sahiplerinin erişim ve silme taleplerine yanıt verebilecek biçimde tasarlanmak durumundadır. GDPR yedi temel ilkeyi zorunlu kılar: hukuka uygunluk ve şeffaflık, amaç sınırlılığı, veri minimizasyonu, doğruluk, depolama sınırlılığı, bütünlük ve gizlilik, hesap verebilirlik. Bu ilkeler, veri işleme faaliyetlerinin hukuki dayanağını (açık rıza, meşru menfaat, sözleşme gereği vb.) ve verinin toplanmasından silinmesine kadar her aşamadaki güvenlik yükümlülüklerini belirler. Veri ihlali durumunda kuruluşlar 72 saat içinde yetkili veri koruma otoritesini bilgilendirmekle yükümlüdür. İhlaller için azami para cezası yıllık küresel ciron yüzde dördüne veya 20 milyon Euro'ya — hangisi yüksekse — kadar çıkmaktadır. Meta, Amazon ve Google gibi teknoloji devleri bu kapsamda milyarlarca Euro ceza almıştır. Türkiye'nin 2016'da çıkardığı KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) GDPR'a yapısal olarak paralel bir tasarıma sahipken, AB'ye veri aktarımı için AB Standart Sözleşme Maddeleri (SCCs) ya da Avrupa Komisyonu'nun yeterlilik kararı gereklidir.
Machine Unlearning (Makine Unutturma)
Machine Unlearning, bir yapay zeka modelinin belirli eğitim verilerini, tüm modeli sıfırdan eğitmek zorunda kalmaksızın 'unutmasını' sağlayan yöntemler bütünüdür. Kavram, GDPR'nin 17. Maddesi olarak bilinen 'Silinme Hakkı' (Right to Erasure) ile doğrudan örtüşmektedir: bir kullanıcı verilerinin silinmesini talep ettiğinde, bu verinin model parametrelerine ne ölçüde işlendiği ve nasıl çıkarılacağı kritik bir uyum sorununa dönüşmektedir. Geleneksel yaklaşımda tek çözüm modeli baştan eğitmektir. GPT-4 veya Gemini gibi büyük dil modellerini sıfırdan eğitmek haftalar ve milyonlarca dolar gerektirdiğinden bu yol pratikte imkânsızdır. Machine Unlearning bu boşluğu kapatmaya çalışır. Teknik olarak iki ana yaklaşım mevcuttur: Exact Unlearning (Kesin Unutturma) ve Approximate Unlearning (Yaklaşık Unutturma). Exact Unlearning'in en tanınan yöntemi SISA Training'dir (Sharded, Isolated, Sliced, Aggregated). Bu teknikte eğitim verisi bağımsız parçalara bölünür; her parçanın kendi alt modeli olduğundan yalnızca ilgili parça yeniden eğitilir ve istenen veri kesin biçimde dışarıda bırakılabilir. Approximate Unlearning ise hedeflenen parametreleri gradyan güncellemeleriyle değiştirerek daha hızlı bir çözüm sunar; ancak verinin gerçekten unutulup unutulmadığının doğrulanması güçtür. 2024 yılında İtalyan Veri Koruma Kurumu, GDPR ihlalleri gerekçesiyle OpenAI'a 15 milyon Euro para cezası keserken Avrupa Veri Koruma Kurulu (EDPB) 2025'te silinme hakkına odaklanan Koordineli Uygulama Çerçevesi'ni başlattı. Bu düzenleyici baskılar Machine Unlearning'i yalnızca akademik bir araştırma konusu olmaktan çıkarıp kurumsal uyum için zorunlu bir araç hâline getirdi. 2025 yılında UC Riverside araştırmacıları, orijinal eğitim verisine gerek duymadan çalışan 'kaynak serbest unutturma' (source-free unlearning) yöntemini geliştirdi. Bu yaklaşım özellikle büyük ölçekli modeller için umut vericidir. Bununla birlikte, büyük dil modellerinde bilginin milyarlarca parametreye dağıtılmış biçimde depolanması nedeniyle tam ve doğrulanabilir unutturma sağlamak hâlâ açık bir araştırma problemi olmayı sürdürmektedir.
Membership Inference Attack (Üyelik Çıkarım Saldırısı)
Üyelik Çıkarım Saldırısı (Membership Inference Attack), bir saldırganın belirli bir veri noktasının makine öğrenimi modelinin eğitim kümesine dahil edilip edilmediğini tahmin etmeye çalıştığı gizlilik saldırısı türüdür. Bu saldırı yöntemi, ilk kez 2017 yılında Shokri ve arkadaşları tarafından IEEE Güvenlik ve Gizlilik sempozyumunda kapsamlı biçimde incelenmiş ve makine öğrenimi gizlilik araştırmalarının temel taşlarından biri haline gelmiştir. Saldırının temel çalışma prensibi, eğitim kümesine ait örneklerin modelin çıktılarında görülmemiş örneklerden farklı davranış sergilemesine dayanır. Aşırı öğrenme (overfitting) eğilimindeki modeller, eğitimde gördükleri verilere karşı çok daha yüksek güven skorları üretirken görmedikleri verilere karşı daha düşük ve dağınık olasılıklar verir. Saldırgan bu davranış farkını kullanarak bir 'gölge model' (shadow model) eğitir; bu model, hedef modeli taklit edecek şekilde halka açık verilerle oluşturulur ve ardından eğitim/test verilerini ayırt eden ikili bir sınıflandırıcı (üye/üye değil) eğitilir. Saldırının başarı oranı, hedef modelin aşırı öğrenme derecesiyle doğru orantılıdır. İyi düzenleştirilmiş (regularized) modellerde saldırı başarısı rastgele tahminin (%50) üzerine zar zor çıkarken, aşırı öğrenmiş modellerde %90'a ulaşabilir. Üyelik çıkarım saldırıları özellikle hassas kişisel verilerin eğitimde kullanıldığı senaryolarda kritik gizlilik tehditleri oluşturur. Tıbbi kayıtlar, finansal veriler veya kişisel iletişim verileriyle eğitilen modeller saldırıya maruz kaldığında bireysel sağlık bilgileri veya mali geçmiş deşifre olabilir. GDPR ve Türkiye'nin KVKK düzenlemeleri kapsamında bu tür gizlilik ihlalleri ciddi yasal yaptırımlarla sonuçlanabilir. Savunma yöntemleri arasında en güçlüsü diferansiyel gizlilik (differential privacy) tekniğidir; bu yöntem, model çıktılarına kontrollü gürültü ekleyerek bireysel veri noktalarını gizler. Bunun yanı sıra erken durdurma, L2 düzenlileştirme, etiket yumuşatma ve bilgi damıtma yöntemleri de model belleğini azaltarak saldırı yüzeyini önemli ölçüde daraltır. Bu saldırı türü, yapay zeka sistemlerinin uyumluluk denetiminde de önemli bir araç olarak kullanılmaktadır: denetçiler, sistemin eğitim verilerini ne kadar 'hatırladığını' ölçmek için üyelik çıkarım testleri uygulayarak hem model performansını hem de kişisel veri güvenliğini eş zamanlı olarak değerlendirebilir.
Privacy by Design (Tasarımla Gizlilik)
Privacy by Design (Tasarımla Gizlilik), gizlilik ilkelerinin bir sistemin, ürünün veya sürecin tasarım aşamasına başından itibaren entegre edilmesi gerektiğini savunan proaktif bir veri koruma yaklaşımıdır. Bu kavram, 1990'lı yıllarda Ontario Gizlilik Komiseri Ann Cavoukian tarafından geliştirilmiş ve 2010 yılında Uluslararası Veri Koruma ve Gizlilik Komiserleri Konferansı tarafından uluslararası bir standart olarak tanınmıştır. 2018'de yürürlüğe giren AB Genel Veri Koruma Yönetmeliği (GDPR), Privacy by Design ilkelerini Madde 25 kapsamında 'Tasarım ve Varsayılan Ayarlarla Veri Koruma' adıyla yasal bir zorunluluk haline getirmiştir. Bu yaklaşımın temelinde yedi temel ilke bulunmaktadır: proaktif ve önleyici tasarım, gizliliğin varsayılan ayar olması, gizliliğin sistemin mimarisine gömülmesi, işlevsellik ile gizliliğin birlikte var olabilmesi (pozitif toplam), uçtan uca güvenlik ve tam yaşam döngüsü koruması, şeffaflık ve görünürlük, son olarak da kullanıcı merkezli yaklaşım. Yapay zeka sistemleri bağlamında Privacy by Design; veri minimizasyonu, eğitim verilerinin anonimleştirilmesi, diferansiyel gizlilik tekniklerinin ML pipeline'larına entegrasyonu, federe öğrenme ve Veri Koruma Etki Değerlendirmesi (DPIA) gibi uygulamalarla hayata geçirilir. Büyük dil modelleri, görüntü işleme sistemleri ve öneri motorlarında bu ilkelerin benimsenmesi hem GDPR ve KVKK gibi yasal yükümlülükleri karşılamak hem de kullanıcı güvenini sürdürülebilir şekilde korumak açısından kritik öneme sahiptir. ISO 31700:2023 standardı ise tüketici ürünleri için Privacy by Design gerekliliklerini uluslararası düzeyde standartlaştırmaktadır. Sonuç olarak Privacy by Design, reaktif bir gizlilik anlayışından proaktif ve sistematik bir koruma kültürüne geçişin temel taşını oluşturmaktadır.
Veri Anonimizasyonu Nedir? Data Anonymization Yöntemleri (Veri Anonimizasyonu)
Veri anonimizasyonu (data anonymization), kişisel verilerin içindeki tanımlayıcı unsurları kalıcı olarak kaldırarak ya da değiştirerek söz konusu verilerin belirli bir bireyle ilişkilendirilmesini teknik olarak imkânsız kılan bir veri gizliliği sürecidir. Bu sürecin temel amacı, verilerin analiz, araştırma veya yapay zeka eğitimi gibi amaçlarla kullanılabilir olmaya devam ederken bireylerin kimliklerini korumaktır. Anonimizasyon, sözde anonimleştirme (pseudonymization) ile karıştırılmamalıdır. Pseudonymizasyonda gerçek kimliği geri kazanmak mümkünken, gerçek anonimizasyon geri döndürülemez niteliktedir. Bu kritik fark, GDPR başta olmak üzere pek çok yasal düzenleme açısından büyük önem taşır; zira tam anlamıyla anonimleştirilmiş veriler, bu düzenlemelerin kapsamı dışına çıkar ve kişisel veri statüsünü yitirir. Teknolojik açıdan birçok farklı yöntem bulunmaktadır: k-anonimlik (k-anonymity), ℓ-çeşitlilik (ℓ-diversity), diferansiyel gizlilik (differential privacy), veri maskeleme, veri genelleştirme, gürültü ekleme ve sentetik veri üretimi bunların başında gelir. Her yöntemin güçlü ve zayıf yönleri vardır; doğru tekniğin seçimi, veri türüne, kullanım amacına ve kabul edilebilir gizlilik riskine bağlıdır. Yapay zeka alanında veri anonimizasyonu özellikle kritik bir rol üstlenmektedir. Büyük dil modelleri (LLM) eğitim verilerindeki kişisel bilgileri "ezberleme" eğiliminde olduğundan, anonimizasyon süreçleri modelin hem gizlilik hem de etik açıdan güvenilir olmasını sağlamak için zorunludur. Sağlık, finans ve kamu hizmetleri gibi hassas sektörlerde bu gereksinim daha da belirginleşmektedir. Doğru bir anonimizasyon stratejisi seçmek için verinin türü, kullanım amacı, kabul edilebilir risk düzeyi ve yasal gereksinimler birlikte değerlendirilmelidir. Teknik uygulamanın yanı sıra düzenli denetim ve yeniden kimlik tespiti testleri de sürdürülebilir bir gizlilik yönetiminin zorunlu bileşenleridir.
Veri Etiği Nedir? Yapay Zeka ve Büyük Veri'de Etik İlkeler (Veri Etiği)
Veri etiği, dijital veri toplama, depolama, işleme ve paylaşma süreçlerinde etik ilkelerin uygulanmasını inceleyen disiplinlerarası bir alandır. Yapay zeka sistemlerinin ve büyük veri analizinin hızla yaygınlaşmasıyla birlikte, veri etiği; bireysel gizlilik hakları, veri sahipliği, algoritmik adalet ve şeffaflık gibi temel soruları ele almaktadır. Temel ilkeler arasında rıza (informed consent), veri minimizasyonu, amaç sınırlaması ve hesap verebilirlik yer alır. Avrupa Birliği'nin GDPR düzenlemesi ve AB Yapay Zeka Yasası (EU AI Act) gibi mevzuatlar, veri etiği ilkelerini yasal çerçeveye oturtmaktadır. Veri etiği ihlalleri ciddi toplumsal sonuçlar doğurabilir: algoritmik önyargı işe alım süreçlerinde ayrımcılığa yol açabilir, yüz tanıma sistemleri masum bireyleri yanlış tanımlayabilir, tavsiye algoritmaları ise filter bubble oluşturarak dezenformasyona zemin hazırlayabilir. Cambridge Analytica skandalı, veri etiği ihlallerinin demokrasi üzerindeki yıkıcı etkisini gözler önüne sermiştir. Uygulamada veri etiği; Privacy by Design yaklaşımı, etik yapay zeka komiteleri, veri etki değerlendirmeleri (DPIA) ve açıklanabilir yapay zeka (XAI) teknikleriyle hayata geçirilmektedir. Bireyler için Kişisel Veri Koruma Kanunu (KVKK) kapsamında veriye erişim, düzeltme ve silinme hakları güvence altındadır. Kuruluşlar için etik veri kullanımı artık yalnızca yasal uyumluluk sorunu değil, rekabet avantajı ve kurumsal itibar açısından da kritik bir unsura dönüşmüştür. Bilgisayar etiği, sosyoloji ve hukuku bir araya getiren veri etiği, günümüz dijital ekonomisinde teknik ile sosyal boyutları birleştiren vazgeçilmez bir disiplin hâline gelmiştir.
Veri Güvenliği (AI Bağlamında)
Veri güvenliği, yapay zeka sistemlerinin eğitim, çıkarım ve dağıtım süreçlerinde kullanılan verilerin yetkisiz erişim, sızıntı, bozulma veya kötüye kullanıma karşı korunmasına yönelik teknik ve organizasyonel önlemlerin bütünüdür. Geleneksel siber güvenlik kapsamından farklı olarak AI veri güvenliği, modele özgü saldırı yüzeyleri, eğitim verisi zehirleme ve model çıkarım saldırıları gibi ek tehdit vektörlerini de kapsamaktadır. AI sistemlerinde veri güvenliği üç temel katmanda incelenir. Birinci katman veri toplama ve depolamadır: hassas kişisel veriler, ticari sırlar veya kritik altyapı bilgileri içeren eğitim veri setleri şifreleme, erişim kontrolleri ve anonimleştirme teknikleriyle korunmalıdır. GDPR, KVKK ve CCPA gibi veri koruma düzenlemeleri bu katmanda uygulanır. İkinci katman model eğitimi sürecidir: eğitim verisi zehirleme (data poisoning) saldırılarında kötü niyetli aktörler eğitim setine zararlı örnekler ekleyerek modelin davranışını manipüle edebilir. Federe öğrenme (federated learning), diferansiyel gizlilik (differential privacy) ve güvenli çok taraflı hesaplama (secure multi-party computation) bu tehdide karşı geliştirilmiş teknik çözümlerdir. Üçüncü katman model çıkarımıdır: üye çıkarım saldırıları (membership inference attacks), bir veri noktasının eğitim setinde yer alıp almadığını tahmin etmeye çalışırken model kopyalama (model extraction) saldırıları modelin ağırlıklarını reverse-engineer etmeyi hedefler. Özellikle tıbbi ve finansal veri içeren modellerde bu saldırılar ciddi gizlilik ihlallerine yol açabilir. Homomorfik şifreleme (homomorphic encryption), verilerin şifreli halde işlenmesine olanak tanıyan ileri düzey bir tekniktir; bu sayede model sağlayıcı ham veriyi hiçbir zaman görmez. Federe öğrenme ise ham verinin merkezi bir sunucuya gönderilmesini engelleyerek yerel cihazlarda model güncelleme hesaplamalarının yapılmasına izin verir. AB Yapay Zeka Yasası (EU AI Act), yüksek riskli AI sistemleri için sıkı veri yönetişimi gereklilikleri öngörmektedir. Bu düzenleme, 2026 itibarıyla eğitim verisi kalitesi, belgeleme ve denetim izlerine yönelik zorunluluklar getirmektedir.
Algoritmik Hesap Verebilirlik (Algoritmik Hesap Verebilirlik)
Algoritmik Hesap Verebilirlik (Algorithmic Accountability), yapay zeka ve otomatik karar destek sistemlerinin ürettiği sonuçlardan kimin sorumlu olduğunu tanımlayan ve bu sorumluluğun nasıl denetleneceğini belirleyen ilkeler bütünüdür. Bir algoritma kredi reddi, iş başvurusu eleme, suç risk değerlendirmesi veya sağlık kaynak tahsisi gibi bireyleri doğrudan etkileyen kararlar aldığında, bu kararın arkasındaki model, verisi ve kurumsal yapı hesap verebilir olmalıdır. Algoritmik hesap verebilirliğin pratik karşılığı üç mekanizmayla hayata geçirilir. Birincisi şeffaflık: kullanılan modelin hangi girdilere dayandığı ve nasıl bir karar mantığı izlediği açıklanabilir olmalıdır. İkincisi denetlenebilirlik: bağımsız denetçiler veya düzenleyici otoriteler sistemi inceleyebilmeli, test edebilmeli ve bulgularını kamuoyuyla paylaşabilmelidir. Üçüncüsü itiraz hakkı: etkilenen bireyler karara itiraz edebilmeli ve otomatik karardan muaf tutulabilmelidir. AB GDPR'ın 22. maddesi tam da bu hakkı — "tamamen otomatik kararlara tabi olmama" — yasal güvenceye almıştır. Bu alandaki en önemli örnek vakası 2016 yılında ProPublica'nın yayımladığı COMPAS araştırmasıdır. COMPAS, ABD mahkemelerinde kullanılan bir suç tekrarlama riski tahmin algoritmasıdır. Araştırma, algoritmanın Siyah sanıklara karşı yanlı sonuçlar ürettiğini — yanlış yüksek risk tespiti oranının iki kat fazla olduğunu — istatistiksel olarak ortaya koydu. Bu bulgu algoritmik hesap verebilirliği hukuki ve etik açıdan tartışmanın merkezine taşıdı. Kurumsal düzeyde Algoritmik Etki Değerlendirmesi (AIA — Algorithmic Impact Assessment) en yaygın araçtır. AIA, tıpkı çevresel etki raporları gibi, bir yapay zeka sisteminin devreye alınmadan önce potansiyel zarar ve eşitsizliklerini belgeleyen yapılandırılmış bir değerlendirme sürecidir. Kanada'nın Yönlendirici Direktifi ve AB Yapay Zeka Yasası yüksek riskli sistemler için AIA benzeri değerlendirmeleri zorunlu kılmaktadır. Türkiye'de bankacılık kredi puanlama sistemleri, kamu kurumu personel seçim algoritmaları ve kolluk kuvvetleri tarafından denenen tahminsel sistemler algoritmik hesap verebilirlik kapsamında değerlendirilebilir. KVKK (Kişisel Verileri Koruma Kanunu) ve yeni yayımlanan Yapay Zeka Strateji Belgesi bu alanda ilk çerçeveyi oluşturmaktadır. Akademisyenler ve sivil toplum kuruluşları, mevzuatın denetim mekanizmaları konusunda yeterince güçlü olmadığını vurgulamaktadır.
Data Minimization (Veri Minimizasyonu)
Veri Minimizasyonu (Data Minimization), bir sistem veya uygulamanın yalnızca belirtilen amacı gerçekleştirmek için zorunlu olan minimum miktarda kişisel veriyi toplaması, işlemesi ve saklaması ilkesidir. Mahremiyet tasarımının (Privacy by Design) temel taşlarından biri olan bu ilke, "ne kadar fazla veri o kadar iyi" anlayışının tam tersidir: fazladan toplanan her veri hem bir güvenlik riski hem de etik bir sorumluluktur. GDPR (Genel Veri Koruma Yönetmeliği) Madde 5(1)(c) veri minimizasyonunu açıkça zorunlu kılar: veriler "amaca uygun, alakalı ve gerekli olanla sınırlı" olmalıdır. Türkiye'deki KVKK (Kişisel Verilerin Korunması Kanunu) da ölçülülük ilkesiyle aynı yükümlülüğü getirir. Bu yasal çerçeveler, amaca fazladan veri toplayan şirketler için ciddi para cezaları öngörür. Yapay zeka sistemleri için veri minimizasyonu özellikle kritiktir. Büyük dil modelleri ve öneri sistemleri varsayılan olarak her şeyi toplamaya eğilimlidir; bu eğilim hem amaç sapması (purpose creep) hem de mahremiyet ihlali riskini artırır. **Amaç sınırlama (purpose limitation)** ile birlikte çalışır: veriler yalnızca toplandığı amaç için kullanılabilir; başka bir model için yeniden işlenemez. Teknik uygulamada veri minimizasyonu birkaç stratejiyle hayata geçirilir. **Özellik seçimi (feature selection)**: makine öğrenimi modelini eğitmek için gerekli olmayan özellikler eğitim verisine dahil edilmez. **Veri anonimleştirme ve takma adlandırma (pseudonymization)**: tanımlayıcı alanlar hash veya token ile değiştirilerek kişiyle bağ koparılır. **Diferansiyel gizlilik (differential privacy)**: toplam istatistikler gürültü eklenerek paylaşılır; bireysel kayıtlar çıkarılamaz. **Saklama süresi sınırlaması**: gereksiz hale gelen veriler otomatik olarak silinir. Veri minimizasyonuna karşı çıkan yaygın argüman "veri değerlidir, ileride işe yarayabilir"dir. Ancak bilinmeyen gelecekteki değer için bugünkü gizlilik riski ve depolama maliyeti üstlenmek rasyonel değildir. Gerçek değer, iyi tanımlanmış amaçlara odaklanmış yüksek kaliteli veriden gelir — hacimden değil.
Data Sovereignty (Veri Egemenliği)
Veri egemenliği (data sovereignty), verilerin toplandığı, depolandığı veya işlendiği coğrafi bölgenin yasal yetki alanına tabi olmasını ifade eder. Bu kavram; hangi ülkenin yasalarının veriye uygulandığını, kimin bu veriye erişebileceğini ve verilerin nasıl işlenebileceğini belirler. Yalnızca fiziksel depolama konumunu kapsayan veri yerleşikliği (data residency) kavramından farklı olarak veri egemenliği, hukuki denetim boyutunu da içerir. Yapay zeka modelleri milyarlarca veri noktasına dayandığından bu verilerin nerede barındırıldığı kritik önem taşır. Bir şirket ya da devlet verilerini yabancı bir sunucuda depoluyorsa, o sunucunun bulunduğu ülkenin yasal erişim hakları devreye girebilir. Bu durum ulusal güvenlik, ticari sır ve bireysel mahremiyet açısından ciddi riskler doğurabilir. ABD merkezli büyük bulut sağlayıcılarının küresel egemenliği, pek çok hükümetin yerel altyapı kurma çabalarının temel motivasyonunu oluşturmaktadır. Veri egemenliği, ülkelerin yapay zeka altyapısını yerel olarak inşa etme çabası olan Sovereign AI hareketi ile doğrudan ilişkilidir. Türkiye, Avrupa Birliği, Japonya ve pek çok ülke; kritik verilerin sınır dışına çıkmaması için yerel veri merkezleri kurmakta, özel yapay zeka altyapıları geliştirmekte ve bulut sağlayıcılarına yönelik düzenlemeler oluşturmaktadır. Türkiye'de KVKK ve Cumhurbaşkanlığı Dijital Dönüşüm Ofisi'nin politikaları bu çerçevede belirleyici rol oynamaktadır. Teknik açıdan federated learning (federe öğrenme), veri egemenliğini korurken makine öğrenimi modelleri eğitmek için kullanılan başlıca yöntemdir. Bu yaklaşımda ham veriler merkezi sunucuya gönderilmez; yalnızca model güncellemeleri paylaşılır. Homomorphic encryption ise şifreli veriler üzerinde hesaplama yapılmasına olanak tanıyarak ham verinin açık halde işlenmesini engeller. Veri egemenliği, küresel ölçekte giderek artan bir jeopolitik mesele haline gelmektedir. ABD'nin CLOUD Act yasası Amerikan şirketlerinin yurt dışındaki verilerine erişim talep etmesine olanak tanırken, Avrupa'nın Gaia-X girişimi bölgesel dijital altyapı bağımsızlığını hedeflemektedir. Yapay zeka çağında verinin en stratejik kaynak olarak konumlanması bu tartışmayı daha da derinleştirmekte; hangi modellerin hangi verilerle eğitildiği sorusu artık teknolojik değil, siyasi bir soru haline dönüşmektedir.