tag GDPR
Bu sayfada GDPR etiketi ile işaretlenmiş 21 yapay zeka kavramını bulabilirsiniz.
GDPR (General Data Protection Regulation — Genel Veri Koruma Tüzüğü), 25 Mayıs 2018'de yürürlüğe giren Avrupa Birliği veri koruma yasasıdır. AB'de yerleşik bireylerden veri toplayan ya da onlarla ilgili kararlar veren her kuruluşu — coğrafi konum fark etmeksizin — kapsamaktadır. 1995 tarihli AB Veri Koruma Direktifi'nin yerini alan GDPR, on yıllarda biriken teknolojik dönüşümü ve kişisel veri ekonomisinin ölçeğini yansıtan çok daha kapsamlı ve dişli bir hukuki çerçeve sunmaktadır. Yapay zeka sistemleri için özel bir bölüm içermemekle birlikte GDPR, kişisel veri işleyen her AI uygulamasını doğrudan etkiler. Madde 22, bireyleri yalnızca otomatik işleme dayanan ve önemli sonuçlar doğuran kararlardan korur; kredi skorlama, iş başvurusu değerlendirmesi, sigorta fiyatlandırması veya ceza tahmini yapan AI sistemlerinin insan denetimine açık olmasını zorunlu kılar. Bunun yanı sıra kişisel veriyle eğitilen modeller, veri sahiplerinin erişim ve silme taleplerine yanıt verebilecek biçimde tasarlanmak durumundadır. GDPR yedi temel ilkeyi zorunlu kılar: hukuka uygunluk ve şeffaflık, amaç sınırlılığı, veri minimizasyonu, doğruluk, depolama sınırlılığı, bütünlük ve gizlilik, hesap verebilirlik. Bu ilkeler, veri işleme faaliyetlerinin hukuki dayanağını (açık rıza, meşru menfaat, sözleşme gereği vb.) ve verinin toplanmasından silinmesine kadar her aşamadaki güvenlik yükümlülüklerini belirler. Veri ihlali durumunda kuruluşlar 72 saat içinde yetkili veri koruma otoritesini bilgilendirmekle yükümlüdür. İhlaller için azami para cezası yıllık küresel ciron yüzde dördüne veya 20 milyon Euro'ya — hangisi yüksekse — kadar çıkmaktadır. Meta, Amazon ve Google gibi teknoloji devleri bu kapsamda milyarlarca Euro ceza almıştır. Türkiye'nin 2016'da çıkardığı KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) GDPR'a yapısal olarak paralel bir tasarıma sahipken, AB'ye veri aktarımı için AB Standart Sözleşme Maddeleri (SCCs) ya da Avrupa Komisyonu'nun yeterlilik kararı gereklidir.
Consent Management (Rıza Yönetimi)
Rıza Yönetimi, dijital ortamlarda bireylerin kişisel verilerinin toplanması, işlenmesi ve paylaşılmasına dair onaylarını sistematik biçimde almak, kaydetmek, saklamak ve yönetmek için kullanılan süreç, politika ve teknoloji bütünüdür. 2018'de Avrupa Birliği'nde yürürlüğe giren GDPR, geçerli bir onayın özgürce verilmiş, spesifik, bilgilendirilmiş ve açık olmasını zorunlu kılmış; bu yasal çerçeve küresel çapta rıza yönetimi pratiklerinin standartlaşmasına öncülük etmiştir. Uygulamada en yaygın temas noktası web sitelerindeki çerez onay bannerlarıdır. Ancak rıza yönetimi yalnızca çerezlerle sınırlı değildir: pazarlama e-postası abonelikleri, tıbbi veri paylaşımı, biyometrik tanıma sistemleri ve yapay zeka modellerinin eğitim veri setleri de bu kapsamda değerlendirilir. GDPR Madde 7, onayın belgelenebilmesini ve kullanıcının onayı verdiği kadar kolay geri çekebilmesini şart koşar. Rıza Yönetimi Platformları (CMP'ler), kuruluşların kullanıcı tercihlerini IAB Şeffaflık ve Onay Çerçevesi (TCF v2.2) standardına uygun biçimde kayıt altına almasını otomatikleştirir. Bu platformlar; onay süreçlerini denetlenebilir log'larla belgeler, tercih değişikliklerini downstream sistemlere iletir ve bölgeye özel yasal gerekliliklere uyum sağlar. Yapay zeka alanında rıza yönetimi giderek kritikleşmektedir. Büyük dil modellerinin eğitildiği veri setlerinde telif hakkı ve kişisel veri sorunları gündeme geldikçe, AI şirketleri içerik üreticilerinin onayını yönetmek için yeni mekanizmalar geliştirmektedir. Türkiye'de KVKK da açık rıza alınmasını zorunlu kılmakta ve ihlaller ciddi idari yaptırımlara konu olmaktadır. Rıza yönetiminde teknik altyapı da kritik rol oynar. Consent Management Platform'lar, kullanıcı tercihlerini TC String adlı şifreli bir yapıda tarayıcıda depolar; reklam borsaları ve DSP'ler bu sinyali okuyarak onay durumuna göre işlem yapar. Google Consent Mode v2 ise 2024 itibarıyla Avrupa'da zorunlu hale gelmiş olup rıza verilmediğinde modelleme bazlı ölçüm devreye girer. Uygunsuzluk durumunda GDPR kapsamında yıllık küresel cironun yüzde dördüne kadar para cezası uygulanabilmektedir.
Data Breach (Veri İhlali)
Veri ihlali (data breach), yetkisiz kisilerin kisisel, finansal veya kurumsal olarak gizli verilere kasitli veya kazara erisim sagladigi, bu verileri ifsa ettigi, kopyaladigi veya cektigi guvenlik olayidur. Haber degerinin yuksekligi ve yaygin bireysel etkisi nedeniyle veri ihlalleri dijital guvenligin en kamuoyunu yakından ilgilendiren konularindan biridir. Veri ihlaline yol acan vektorler cesitlidir. Oltalama (phishing), mevcut en yaygın saldiri tekniklerinden biridir: sahte e-posta veya web sitesi araciligiyla kullanici kimlik bilgileri ele gecirilir. Kimlik bilgisi doldurma (credential stuffing), daha once sizmis diger veritabanlariindan elde edilen kullanici adi/sifre ciftlerini sistematik sekilde deneme saldirisidir; bu nedenle ayni sifrenin birden fazla hesapta kullanilmasi kritik bir risk faktorudur. Yama uygulanmamis yazilim acikları (unpatched vulnerabilities) uzaktan kod yurutme olanaklarini acik birakabilir. Iceriden eylemler, erisi olan bir calisanin kasitli veya kazara veriyi dis dunyaya acmasiyla gerceklesebilir. IBM'in 2024 Cost of a Data Breach raporuna gore kuresel ortalama veri ihlali maliyeti 4.88 milyon dolara ulasmiştir. Bu maliyet dogrudan kayiplari, yasal masraflari, marka itibarinin zarar gormesini ve musteri kaybini kapsar. Saglik sektoru, kisisel saglik bilgilerinin hassas dogasi nedeniyle tutucu sekilde en yuksek maliyetli sektordur. Yasal yukumlulukler veri ihlali yoneticlerinin kritik bir boyutunu olusturur. AB'nin GDPR'i, yetkili veri koruma denetim otoritesine 72 saat icinde bildirim zorunlulugu getirir; bireyler ciddi risk altindaysa onlara da bildirim yapilmalidir. KVKK ve ABD'nin eyalet duzeyindeki bildirim yasalari da benzer gereksinimler icerir; uyumsuzluk agir para cezalarina yol acabilir. **Sik Sorulan Sorular** **Veri ihlalini nasil anlarsam?** Olagan dis giris denemeleri bildirimleri, tanimadiginiz hesap aktivitesi, dark web izleme servisleri (Have I Been Pwned gibi) veya saglayicinizin gizlilik bildirimi araciligiyla ogrenilebilir. **Veri ihlali sonrasinda ne yapmaliyim?** Etkilenen hizmetlerdeki sifrelerinizi degistirin, mumkunse cok faktorlu kimlik dogrulamasi etkinlestirin, kredi raporunuzu izleyin ve oltalama denemelerine karsi dikkatli olun. **Sirketler veri ihlalinden nasil korunabilir?** Cok faktorlu kimlik dogrulamasi zorunlu kilmak, veri en aza indirgeme (data minimization), yama yonetimi, calisanlara guvenlk egitimi ve anormali tespit sistemleri temel onlemlerdir. **GDPR ihlal bildirimini 72 saat icinde yapmazsam ne olur?** GDPR ihlali halinde yillik kuresel ciron yuzde dordune kadar veya 20 milyon Euro'ya kadar para cezasi uygulanabilir; bildirim gecikmeleri bu cezaları artiran bir etkendir.
Data Loss Prevention (DLP) (Veri Kaybı Önleme)
Data Loss Prevention (DLP), bir kuruluşun hassas, gizli veya kritik verilerinin yetkisiz kişilerce ele geçirilmesini, dışarıya sızdırılmasını veya yanlışlıkla ifşa edilmesini engelleyen güvenlik teknolojileri ve süreçleri bütünüdür. DLP sistemleri, kişisel tanımlayıcı bilgiler (PII), finansal kayıtlar, ticari sırlar ve sağlık verileri gibi korunan verileri gerçek zamanlı olarak tespit eder, izler ve gerektiğinde bloke eder. Bir DLP çözümü tipik olarak üç katmanda çalışır: Ağ DLP (network DLP), e-posta ve web trafiği gibi veri akışlarını uçta denetler. Uç nokta DLP (endpoint DLP), kullanıcının bilgisayar, dizüstü bilgisayar veya mobil cihazındaki veri hareketlerini takip eder. Bulut DLP ise SaaS uygulamaları ve bulut depolama ortamlarındaki veriyi korur. Modern DLP çözümleri makine öğrenimi ve doğal dil işleme teknolojilerini entegre ederek içerik analizi doğruluğunu önemli ölçüde artırmıştır. Geleneksel kural tabanlı yaklaşımlar yalnızca belirli kalıpları (kredi kartı numarası gibi) tanırken, yapay zeka destekli DLP sistemleri bağlamı anlayarak bağlamsal anomalileri, içeriden tehdit belirtilerini ve gizlenmiş veri sızdırma girişimlerini de tespit edebilmektedir. DLP kullanım amacına göre üç ana kategoriye ayrılır: Uyumluluk odaklı DLP (GDPR, HIPAA, PCI-DSS, SOX gibi yasal zorunlulukları karşılamak için), fikri mülkiyet koruma odaklı DLP (kaynak kod, tasarım dosyaları ve Ar-Ge belgelerini korumak için) ve içeriden tehdit yönetimi odaklı DLP (kazara veya kasıtlı çalışan kaynaklı sızdırmaları engellemek için). DLP politikaları genellikle veri sınıflandırması (data classification) ile birlikte çalışır: veriler hassasiyet düzeyine göre etiketlenir (gizli, kısıtlı, kamuya açık), DLP motor bu etiketlere ve içerik kurallarına göre izin ver / uyar / engelle kararı verir. Yapay zeka destekli DLP çözümleri, kullanıcı davranışı analitiği (UBA/UEBA) ile entegre edilerek normal sapma örüntülerini de tespit edebilmektedir.
Data Masking (Veri Maskeleme)
Veri maskeleme (data masking ya da veri gizleme), hassas ya da kişisel nitelikteki gerçek verilerin yerine işlevsel ama tanımlanamaz sahte veriler koyma tekniğidir. Amaç, veri setinin yapısal, istatistiksel ve biçimsel özelliklerini korurken bireysel kayıtların gerçek kişi ya da kurumlarla ilişkilendirilmesini olanaksız kılmaktır. Test ve geliştirme ekipleri, verinin gerçekliğini korumak zorunda kalmadan üretim ortamına yakın bir veri kümesiyle çalışabilir; böylece gizlilik sızıntısı riski büyük ölçüde azalır. GDPR ve Türkiye KVKK gibi veri koruma mevzuatları, kişisel verinin üçüncü taraflarla paylaşılmasını ya da farklı amaçlarla işlenmesini kısıtlar. Veri maskeleme, bu yasal gerekliliklerin karşılanmasında teknik bir araç olarak öne çıkar: düzgün maskelenmiş veri, artık kişisel veri sayılmayabileceğinden GDPR kapsamındaki koruyucu yükümlülükler hafifler. Nitekim AB Veri Koruma Kurulları, veri maskelemeyi anonimleştirme veya takma adlandırma (pseudonymisation) tekniklerinden biri olarak değerlendirir. Yapay zeka ve makine öğrenmesi alanında veri maskeleme, model eğitim süreçlerinde kritik bir rol üstlenir. Sağlık, finans ve perakende sektörlerinde gerçek müşteri ya da hasta verisinin üçüncü taraf araştırmacılara veya ML mühendislerine açılması yasal olarak mümkün olmayabilir. Bu durumda maskeli veri setleri, modellerin gerçekçi desenleri öğrenmesini sağlarken gizlilik riskini ortadan kaldırır. Büyük dil modellerinin fine-tuning süreçlerinde de hassas kurumsal veriler maskelenerek model, kurumun yazım stili veya domain bilgisini öğrenir; ancak gerçek PII (kişiyi tanımlayan bilgi) asla modele dahil edilmez. Veri maskeleme teknikleri arasında değer değiştirme (substitution), karıştırma (shuffling), biçim koruyucu maskeleme (format-preserving masking) ve veri türetme (data derivation) sayılabilir. Her tekniğin farklı güçlü yanları vardır; seçim, kullanım senaryosuna ve analitik sadakat gereksinimlerine göre yapılmalıdır. Özellikle format-preserving masking, kredi kartı numarası veya TC kimlik numarası gibi yapısal biçim gerektiren alanları maskelerken test sistemlerinin hatasız çalışmaya devam etmesini mümkün kılar. Güvenlik perspektifinden bakıldığında, maskeleme şifreleme ve tokenizasyondan farklıdır: şifreleme geri döndürülebilir bir koruma sunarken maskeleme geri alınamaz bir dönüşüm uygular ve anahtar yönetimi gerektirmez. Bu özellik, geliştirme ve test ortamlarında maskelemeyi özellikle cazip kılar; zira anahtar sızdırılsa bile orijinal veriye ulaşmak mümkün değildir. Kurumlar genellikle üretim veritabanında şifreleme ve tokenizasyonu, geliştirme ortamında ise statik veri maskelemeyi bir arada kullanır.
Data Privacy (Veri Gizliliği)
Veri gizliligi, bireylere ait kisisel bilgilerin nasil toplandigi, islendigi, saklandigi ve paylasildigini duzenleleyen ilke, uygulama ve yasal cerceveler butunudur. Teknoloji sirketlerinden hastanelere, e-ticaret platformlarindan devlet kurumlarindan kadar kisisel veri isleyen her organizasyon bu alaninla dogrudan iliskilidir. Veri gizliligi dusuncesi iki eksenli bir uzlasimdan beslenir. Ilki bireysel otonomi: insanlarin kendi verileri uzerinde anlayisli riza (informed consent) hakkina sahip olmasi ve verilere ne zaman, kim tarafindan nasil erisildigi konusunda seffafligin saglanmasi. Ikincisi kurumsal sorumluluk: veri isleyenlerin bu verileri merus amaclar dogrultusunda kulllanmasini ve korsanlara ya da ucuncu taraflara yasadisi bicimde iletmemesini zorunlu kilan duzenleyici cerceveler. Avrupa Birligi'nin Genel Veri Koruma Yonetmeligi (GDPR), 2018 yilinda yururluge girmesiyle kuresel bir referans standardi haline gelmistir. GDPR, veri minimizasyonu ilkesini zorunlu kilar: yalnizca ilan edilen amac icin gerekli olan veri toplanabilir. Turkiye'de Kisisel Verilerin Korunmasi Kanunu (KVKK), GDPR ile buyuk olcude paralel bir yasal cerceve sunmaktadir. Teknik mahremiyet korumalari da giderek onem kazanmaktadir. Diferansiyel gizlilik, bir veri kumesine istatistiksel gurultu ekleyerek bireylerin kimliginin cikarilmasini matematiksel olarak engeller; Apple ve Google bu teknigi buyuk olcekte kullanmaktadir. Federe ogrenme, ham veriyi merkezi sunucuya gondermeden cihaz uzerinde model egitmesine ve yalnizca model guncellemelerinin paylasmasina izin verir. Homomorfik sifreleme ise teorik olarak sifreli veri uzerinde hesaplama yapmayi mumkun kilar, ancak hali hazirda pratik uygulamalar sinirlidir. Yapay zekanin yayginlasmasi, veri gizliligini daha da karmasik kilar. Buyuk dil modellerinin egitim verisinde kisisel bilgi bulundurabilmesi, yuz tanima sistemlerinin kitlesel gozetleme riskini artirmasi ve kisisel verilerin profil cikartmak icin kullanilmasi, hem etik hem de yasal gundeme girmis tartismadir. **Sik Sorulan Sorular** **Veri gizliligi ile veri guvenligi arasindaki fark nedir?** Veri guvenligi, yetkisiz erisime karsi teknik koruma saglar (sifreleme, guvenlik duvari). Veri gizliligi ise merus erisim sahiplerinin veriyi nasil isleyebilecegini duzenler. Ikisi birbirini tamamlar. **GDPR Turkiye'deki sirketleri etkiler mi?** Evet. AB vatandaslarinin verisini isleyen Turkiye merkezli sirketler GDPR kapsamina girebilir. Ek olarak KVKK yerli duzenleyici yukumlulukleri belirler. **Veri anonimizasyonu tam bir koruma saglar mi?** Hayir. Re-identification (yeniden kimliklendirme) saldirisi teknikleri, anonim gorunen verideki bireyleri cogu zaman tespit edebilmektedir. Diferansiyel gizlilik daha guclu matematiksel garantiler sunar. **Bir sirket veri ihlali durumunda ne yapmalidur?** GDPR kapsaminda yetkili denetim otoritesine 72 saat icerisinde bildirme zorunlulugu vardir. KVKK da benzer bildirim yukumlulugu icerir. Etkilenen bireylere de bildirim yapilmali ve zararlar belgemelidir.
Data Residency (Veri İkameti)
Veri yerlesimi (data residency), kisisel veya hassas kurumsal verinin belirli bir ulkenin veya cografi bolgenin sinirlari icerisinde depolanmasini ve islenmesini zorunlu kilan yasal, sozlesmsel veya operasyonel gereksinimdir. Bulut bilisimin kuresel yaygınlasmasi, veri yerlesimini giderek kritik bir uyumluluk konusu haline getirmistir: bir sirketin verisi fiziksel olarak nerede bulunur sorusu artik hem yasal hem de operasyonel acidan cevap gerektiren bir soru. Veri yerlesimini zorunlu kilan bircok duzenleyici cerceve mevcuttur. AB'nin GDPR'i, kisisel verinin AB disina transfer edilmesini belirli guvenceler olmadan kisitlar; yeterlilik karari olmayan ulkelere transfer ancak standart sozlesmsel maddeler veya baglayici sirket kurallari gibi mekanizmalarla mumkundur. Turkiye'deki KVKK da benzer kisilamalar getirmektedir. Cin'in Veri Guvenligi Yasasi ve Kisiel Bilgi Koruma Yasasi, belirli kategorilerdeki verinin Cin sinırları disına cikmadan oncce guvenlık degerlendirmesinden gecmesini zorunlu kilar. Rusya'nin veri yerellesme yasası (No. 242-FZ) Rus vatandaslarinin kisisel verisinin Rusya'da depolanmasini zorunlu kilar. Bulut saglayicilari bu gereksinimlere yanit verecek cografi bolge (region) yapilarını sunar. AWS, Azure ve GCP her birinin onlarca bolge ile veri Almanya, Singapur veya Japonya sinirları icinde tutmak olanaklidur. Bununla birlikte, cok bolgesli bir uygulama mimarisinde verinin bolge sinirlarini gecip gecmedigini guvence altina almak; yedekleme, replikasyon ve gunluk kayitlari dahil butun veri akislarini denetlemek gerektirir. Sovereign cloud, veri yerlesiminin en sıkı gereksinimleri karsilamak icin tasarlanan bir bulut modeli olarak onemlendirmektedir. Microsoft Azure Sovereign, Google Sovereign Cloud ve AWS Govcloud bu kategoride uluslara ve hassas sektorlere ulusal duzenlemelere uyumlu ve operasyonlar bakimindan izole edilmis altyapi sunar. **Sik Sorulan Sorular** **Veri yerlesimi ile veri egemenlik arasindaki fark nedir?** Veri egemenlik, verinin hangi hukuki yetki alaninin denetimine tabi oldugu ve o devletin veriye erisimini mi zorunlu kilabilecegiyle ilgilidir. Veri yerlesimi ise verinin fiziksel olarak nerede depolandigiyla ilgilidir. Iki kavram cakisir ama esanlamli degildir. **GDPR veri yerlesimi icin kati bir bolge belirleme zorunlulugu getirir mi?** GDPR, AB kisisel verisinin AB sinirlari icinde depolanmasini kati bicimde zorunlu kilmaz; ancak AB disina transfer icin yeterli koruma guvencesi saglanmasini sart kosar. Bununla birlikte, bazi ulkelerin ulusal mevzuati ve bazi sektorlerin duzenleme gereksinimleri daha katı saklama bolge gereksinimleri diyebilir. **Cok bolgesli uygulama mimarisinde veri yerlesimi nasil saglanir?** Cok bolgesli mimarilerde veri bolumlendirmesi (data partitioning), her veri kategorisinin yalnizca izin verilen bolgede islenmesini ve saklanmasini zorunlu kilar. Yedekleme ve replikasyon politikalari da bolge gereksinimine uygun bicimde yapılandırılmalidir. **SaaS kullanirsam veri yerlesimini nasil guvence altina alirim?** SaaS saglayicisinin sozlesmesini ve veri isleme eklentisini dikkatlice inceleyin. Hangi bolgelerde veri sakladiklarini, altisaglayici kullanip kullanmadiklarini ve denetim log'larini sizinle paylaşip paylasmadıklarını dogrulayin.
EU AI Act (AB Yapay Zeka Yasası)
AB Yapay Zeka Yasası (EU AI Act), Avrupa Birliği'nin yapay zeka sistemlerinin geliştirilmesi, piyasaya sürülmesi ve kullanımına ilişkin kapsamlı düzenleyici çerçevesidir. 12 Temmuz 2024'te AB Resmi Gazetesi'nde yayımlanan ve 1 Ağustos 2024'te yürürlüğe giren bu yasa, dünyada yapay zekayı doğrudan düzenleyen ilk kapsamlı yasal mekanizmadır. Yasa, risk temelli bir yaklaşım benimsemekte ve yapay zeka sistemlerini dört ana kategoride sınıflandırmaktadır: kabul edilemez risk (yasaklı), yüksek risk, genel amaçlı yapay zeka modelleri ve minimum ya da sınırlı risk. Kabul edilemez risk kategorisindeki sistemler —kamu kurumlarının sosyal puanlama uygulamaları, farkında olmadan bilinçaltı manipülasyon tekniklerine başvuran yapay zeka sistemleri ve kamuya açık alanlarda gerçek zamanlı biyometrik tanımlama— yasayla tamamen yasaklanmıştır. Yüksek risk grubundaki sistemler; işe alım süreçleri, kredi skorlama, sınır kontrolü ve kritik altyapı yönetimi gibi alanları kapsamakta olup üçüncü taraf uygunluk değerlendirmesine, AB veri tabanına kayda ve kapsamlı risk yönetimi sistemlerine tabi tutulmaktadır. Genel amaçlı yapay zeka modeli sağlayıcıları ise şeffaflık yükümlülükleri kapsamında telif hakkıyla korunan eğitim verilerini açıklamak zorundadır. Yasanın uygulanması kademeli bir takvime yayılmıştır: 2 Şubat 2025'ten itibaren yasaklı uygulamalar sona erdirilmiş ve yapay zeka okuryazarlığı yükümlülükleri devreye girmiştir. 2 Ağustos 2025'ten itibaren genel amaçlı yapay zeka modeli sağlayıcıları şeffaflık gerekliliklerine uymak zorundadır. Yasanın tamamı 2 Ağustos 2026'da tam anlamıyla yürürlüğe girmiştir. İhlaller ağır yaptırımlara yol açmaktadır: yasaklı uygulamaları ihlal eden kuruluşlar 35 milyon Euro veya küresel yıllık cirosunun %7'sine kadar, yüksek riskli sistem gerekliliklerini ihlal edenler ise 15 milyon Euro veya cirosunun %3'üne kadar para cezasıyla karşılaşabilir. AB Yapay Zeka Yasası yalnızca Avrupa'da faaliyet gösteren şirketleri değil, yapay zeka çıktıları AB sınırları içinde kullanılan tüm küresel kuruluşları da kapsamaktadır. Bu extraterritorial etki yasayı GDPR ile kıyaslanabilir kılmakta ve yapay zeka düzenlemesinde küresel bir referans noktasına dönüştürmektedir.
GDPR (Genel Veri Koruma Tüzüğü)
GDPR (General Data Protection Regulation — Genel Veri Koruma Tüzüğü), 25 Mayıs 2018'de yürürlüğe giren Avrupa Birliği veri koruma yasasıdır. AB'de yerleşik bireylerden veri toplayan ya da onlarla ilgili kararlar veren her kuruluşu — coğrafi konum fark etmeksizin — kapsamaktadır. 1995 tarihli AB Veri Koruma Direktifi'nin yerini alan GDPR, on yıllarda biriken teknolojik dönüşümü ve kişisel veri ekonomisinin ölçeğini yansıtan çok daha kapsamlı ve dişli bir hukuki çerçeve sunmaktadır. Yapay zeka sistemleri için özel bir bölüm içermemekle birlikte GDPR, kişisel veri işleyen her AI uygulamasını doğrudan etkiler. Madde 22, bireyleri yalnızca otomatik işleme dayanan ve önemli sonuçlar doğuran kararlardan korur; kredi skorlama, iş başvurusu değerlendirmesi, sigorta fiyatlandırması veya ceza tahmini yapan AI sistemlerinin insan denetimine açık olmasını zorunlu kılar. Bunun yanı sıra kişisel veriyle eğitilen modeller, veri sahiplerinin erişim ve silme taleplerine yanıt verebilecek biçimde tasarlanmak durumundadır. GDPR yedi temel ilkeyi zorunlu kılar: hukuka uygunluk ve şeffaflık, amaç sınırlılığı, veri minimizasyonu, doğruluk, depolama sınırlılığı, bütünlük ve gizlilik, hesap verebilirlik. Bu ilkeler, veri işleme faaliyetlerinin hukuki dayanağını (açık rıza, meşru menfaat, sözleşme gereği vb.) ve verinin toplanmasından silinmesine kadar her aşamadaki güvenlik yükümlülüklerini belirler. Veri ihlali durumunda kuruluşlar 72 saat içinde yetkili veri koruma otoritesini bilgilendirmekle yükümlüdür. İhlaller için azami para cezası yıllık küresel ciron yüzde dördüne veya 20 milyon Euro'ya — hangisi yüksekse — kadar çıkmaktadır. Meta, Amazon ve Google gibi teknoloji devleri bu kapsamda milyarlarca Euro ceza almıştır. Türkiye'nin 2016'da çıkardığı KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) GDPR'a yapısal olarak paralel bir tasarıma sahipken, AB'ye veri aktarımı için AB Standart Sözleşme Maddeleri (SCCs) ya da Avrupa Komisyonu'nun yeterlilik kararı gereklidir.
k-Anonimlik (k-Anonimlik)
k-Anonimlik (k-Anonymity), bir veri kümesindeki her kaydın, o veri kümesindeki en az k-1 başka kayıtla belirli öznitelikler bakımından ayırt edilemez olması prensibine dayanan bir veri gizliliği modelidir. 1998 yılında Latanya Sweeney ve Pierangela Samarati tarafından tanımlanan bu model, özellikle makine öğrenmesi ve veri bilimi uygulamalarında hassas veri kümelerini yayımlamadan önce kişisel gizliliği korumak amacıyla kullanılır. Modelin temel mantığı, "yarı tanımlayıcı" (quasi-identifier) öznitelikler üzerine kuruludur. Yaş, cinsiyet, posta kodu, uyruk gibi değerler tek başlarına kimlik açıklamaz; ancak kombinasyonları birleştirildiğinde çoğu kişiyi özgün biçimde tanımlar. k-Anonimlik, her kayıt grubunda en az k bireyin aynı yarı tanımlayıcı değerlerini paylaşmasını zorunlu kılarak yeniden kimlik tespiti (re-identification) olasılığını teorik olarak 1/k'ya indirir. Uygulamada iki temel teknik kullanılır. Genelleme (generalization) yönteminde belirli değerler daha geniş kategorilere dönüştürülür; örneğin "29 yaş" yerine "25-34 yaş aralığı" kullanılır. Baskılama (suppression) yönteminde ise benzersiz veya nadir değerler gizlenerek yıldız (*) sembolüyle değiştirilir. Bu iki teknik birlikte uygulanarak veri kümesi k-anonim hale getirilir. Yapay zeka ve makine öğrenmesi bağlamında k-anonimlik, eğitim veri kümelerinin üçüncü taraflarla paylaşılmasında veya araştırma amaçlı yayımlanmasında kritik bir koruma katmanı sağlar. Sağlık verileri, kredi skorlaması ve demografik analizlerde KVKK ve GDPR uyumluluğunu destekler. Özellikle tıbbi kayıt veri tabanları, sigorta veri setleri ve nüfus istatistiklerinin kamuoyuyla paylaşılmasında yaygın biçimde uygulanır. Bununla birlikte k-anonimliğin önemli sınırlamaları mevcuttur. Homojenlik saldırısında, bir gruptaki tüm kayıtlar hassas öznitelik bakımından aynı değeri taşıyorsa gizlilik ihlal edilebilir. Geçmiş bilgi saldırısında saldırgan, bireyle ilgili ek bağlamsal bilgiye sahipse kaydı yeniden tespit edebilir. Bu zayıflıklar, her gruptaki hassas değerlerin çeşitliliğini de güvence altına alan ℓ-çeşitlilik (l-diversity) ve hassas değerlerin dağılımının genel dağılıma yakın olmasını zorunlu kılan t-yakınlık (t-closeness) modellerinin geliştirilmesine zemin hazırlamıştır. Modern gizlilik mühendisliğinde k-anonimlik, çoğunlukla matematiksel olarak daha güçlü garantiler sunan diferansiyel gizlilik (differential privacy) ile birlikte veya onun yerini alacak şekilde değerlendirilir.
Machine Unlearning (Makine Unutturma)
Machine Unlearning, bir yapay zeka modelinin belirli eğitim verilerini, tüm modeli sıfırdan eğitmek zorunda kalmaksızın 'unutmasını' sağlayan yöntemler bütünüdür. Kavram, GDPR'nin 17. Maddesi olarak bilinen 'Silinme Hakkı' (Right to Erasure) ile doğrudan örtüşmektedir: bir kullanıcı verilerinin silinmesini talep ettiğinde, bu verinin model parametrelerine ne ölçüde işlendiği ve nasıl çıkarılacağı kritik bir uyum sorununa dönüşmektedir. Geleneksel yaklaşımda tek çözüm modeli baştan eğitmektir. GPT-4 veya Gemini gibi büyük dil modellerini sıfırdan eğitmek haftalar ve milyonlarca dolar gerektirdiğinden bu yol pratikte imkânsızdır. Machine Unlearning bu boşluğu kapatmaya çalışır. Teknik olarak iki ana yaklaşım mevcuttur: Exact Unlearning (Kesin Unutturma) ve Approximate Unlearning (Yaklaşık Unutturma). Exact Unlearning'in en tanınan yöntemi SISA Training'dir (Sharded, Isolated, Sliced, Aggregated). Bu teknikte eğitim verisi bağımsız parçalara bölünür; her parçanın kendi alt modeli olduğundan yalnızca ilgili parça yeniden eğitilir ve istenen veri kesin biçimde dışarıda bırakılabilir. Approximate Unlearning ise hedeflenen parametreleri gradyan güncellemeleriyle değiştirerek daha hızlı bir çözüm sunar; ancak verinin gerçekten unutulup unutulmadığının doğrulanması güçtür. 2024 yılında İtalyan Veri Koruma Kurumu, GDPR ihlalleri gerekçesiyle OpenAI'a 15 milyon Euro para cezası keserken Avrupa Veri Koruma Kurulu (EDPB) 2025'te silinme hakkına odaklanan Koordineli Uygulama Çerçevesi'ni başlattı. Bu düzenleyici baskılar Machine Unlearning'i yalnızca akademik bir araştırma konusu olmaktan çıkarıp kurumsal uyum için zorunlu bir araç hâline getirdi. 2025 yılında UC Riverside araştırmacıları, orijinal eğitim verisine gerek duymadan çalışan 'kaynak serbest unutturma' (source-free unlearning) yöntemini geliştirdi. Bu yaklaşım özellikle büyük ölçekli modeller için umut vericidir. Bununla birlikte, büyük dil modellerinde bilginin milyarlarca parametreye dağıtılmış biçimde depolanması nedeniyle tam ve doğrulanabilir unutturma sağlamak hâlâ açık bir araştırma problemi olmayı sürdürmektedir.
Membership Inference Attack (Üyelik Çıkarım Saldırısı)
Üyelik Çıkarım Saldırısı (Membership Inference Attack), bir saldırganın belirli bir veri noktasının makine öğrenimi modelinin eğitim kümesine dahil edilip edilmediğini tahmin etmeye çalıştığı gizlilik saldırısı türüdür. Bu saldırı yöntemi, ilk kez 2017 yılında Shokri ve arkadaşları tarafından IEEE Güvenlik ve Gizlilik sempozyumunda kapsamlı biçimde incelenmiş ve makine öğrenimi gizlilik araştırmalarının temel taşlarından biri haline gelmiştir. Saldırının temel çalışma prensibi, eğitim kümesine ait örneklerin modelin çıktılarında görülmemiş örneklerden farklı davranış sergilemesine dayanır. Aşırı öğrenme (overfitting) eğilimindeki modeller, eğitimde gördükleri verilere karşı çok daha yüksek güven skorları üretirken görmedikleri verilere karşı daha düşük ve dağınık olasılıklar verir. Saldırgan bu davranış farkını kullanarak bir 'gölge model' (shadow model) eğitir; bu model, hedef modeli taklit edecek şekilde halka açık verilerle oluşturulur ve ardından eğitim/test verilerini ayırt eden ikili bir sınıflandırıcı (üye/üye değil) eğitilir. Saldırının başarı oranı, hedef modelin aşırı öğrenme derecesiyle doğru orantılıdır. İyi düzenleştirilmiş (regularized) modellerde saldırı başarısı rastgele tahminin (%50) üzerine zar zor çıkarken, aşırı öğrenmiş modellerde %90'a ulaşabilir. Üyelik çıkarım saldırıları özellikle hassas kişisel verilerin eğitimde kullanıldığı senaryolarda kritik gizlilik tehditleri oluşturur. Tıbbi kayıtlar, finansal veriler veya kişisel iletişim verileriyle eğitilen modeller saldırıya maruz kaldığında bireysel sağlık bilgileri veya mali geçmiş deşifre olabilir. GDPR ve Türkiye'nin KVKK düzenlemeleri kapsamında bu tür gizlilik ihlalleri ciddi yasal yaptırımlarla sonuçlanabilir. Savunma yöntemleri arasında en güçlüsü diferansiyel gizlilik (differential privacy) tekniğidir; bu yöntem, model çıktılarına kontrollü gürültü ekleyerek bireysel veri noktalarını gizler. Bunun yanı sıra erken durdurma, L2 düzenlileştirme, etiket yumuşatma ve bilgi damıtma yöntemleri de model belleğini azaltarak saldırı yüzeyini önemli ölçüde daraltır. Bu saldırı türü, yapay zeka sistemlerinin uyumluluk denetiminde de önemli bir araç olarak kullanılmaktadır: denetçiler, sistemin eğitim verilerini ne kadar 'hatırladığını' ölçmek için üyelik çıkarım testleri uygulayarak hem model performansını hem de kişisel veri güvenliğini eş zamanlı olarak değerlendirebilir.
Privacy by Design (Tasarımla Gizlilik)
Privacy by Design (Tasarımla Gizlilik), gizlilik ilkelerinin bir sistemin, ürünün veya sürecin tasarım aşamasına başından itibaren entegre edilmesi gerektiğini savunan proaktif bir veri koruma yaklaşımıdır. Bu kavram, 1990'lı yıllarda Ontario Gizlilik Komiseri Ann Cavoukian tarafından geliştirilmiş ve 2010 yılında Uluslararası Veri Koruma ve Gizlilik Komiserleri Konferansı tarafından uluslararası bir standart olarak tanınmıştır. 2018'de yürürlüğe giren AB Genel Veri Koruma Yönetmeliği (GDPR), Privacy by Design ilkelerini Madde 25 kapsamında 'Tasarım ve Varsayılan Ayarlarla Veri Koruma' adıyla yasal bir zorunluluk haline getirmiştir. Bu yaklaşımın temelinde yedi ilke bulunmaktadır: proaktif ve önleyici tasarım, gizliliğin varsayılan ayar olması, gizliliğin sistemin mimarisine gömülmesi, işlevsellik ile gizliliğin birlikte var olabilmesi (pozitif toplam), uçtan uca güvenlik ve tam yaşam döngüsü koruması, şeffaflık ve görünürlük, son olarak da kullanıcı merkezli yaklaşım. Yapay zeka sistemleri bağlamında Privacy by Design; veri minimizasyonu, eğitim verilerinin anonimleştirilmesi, diferansiyel gizlilik tekniklerinin ML pipeline'larına entegrasyonu, federe öğrenme ve Veri Koruma Etki Değerlendirmesi (DPIA) gibi uygulamalarla hayata geçirilir. Büyük dil modelleri, görüntü işleme sistemleri ve öneri motorlarında bu ilkelerin benimsenmesi hem GDPR ve KVKK gibi yasal yükümlülükleri karşılamak hem de kullanıcı güvenini sürdürülebilir biçimde korumak açısından kritik öneme sahiptir. ISO 31700:2023 standardı ise tüketici ürünleri için Privacy by Design gerekliliklerini uluslararası düzeyde standartlaştırmaktadır. Privacy by Design, reaktif bir gizlilik anlayışından proaktif ve sistematik bir koruma kültürüne geçişin temel taşını oluşturmaktadır. Gizlilik ihlalleri meydana geldikten sonra yama uygulamak yerine, bu ihlalleri tasarım kararlarıyla baştan önlemek hem maliyeti düşürür hem de kullanıcı güvenini kalıcı kılar. Bu anlayış, günümüz yapay zeka geliştirme ekipleri için teknik bir zorunluluk olduğu kadar etik bir sorumluluk da haline gelmiştir.
Right to Erasure (Silinme Hakkı)
Silinme hakkı, Genel Veri Koruma Tüzüğü'nün (GDPR) 17. maddesiyle tanınan ve bireylerin kişisel verilerinin veri işleyiciler tarafından silinmesini talep edebildiği temel bir dijital haktır. Bu hak çoğunlukla 'unutulma hakkı' (right to be forgotten) olarak da anılır. Hak belirli koşullar altında kullanılabilir: veriler orijinal amaç için artık gerekli değilse, kişi onayını geri çektiyse, verilerin hukuka aykırı işlendiği anlaşıldıysa ya da yetkili makam kararıyla silme zorunlu kılındıysa. Türkiye'de benzer bir düzenleme 6698 sayılı KVKK'nın 7. Maddesi çerçevesinde uygulanır; kişi veri işleyiciye yazılı başvuru yaparak silme talebinde bulunabilir ve işleyici bu talebi 30 gün içinde yanıtlamak zorundadır. Yapay zeka sistemleri bu hakkın uygulanmasını köklü biçimde güçleştirmektedir. Geleneksel veri tabanlarında bir kaydı silmek birkaç satır SQL koduyla gerçekleştirilebilirken, büyük dil modellerinde kişisel veriler milyarlarca parametre arasına yayılmış biçimde gömülüdür. Modeli yeniden eğitmeden söz konusu veriyi çıkarmak teknik olarak neredeyse imkânsızdır; yeniden eğitim ise muazzam enerji ve maliyet gerektirir. Bu boşluğu kapatmak için 'makine unutturma' (machine unlearning) adı verilen araştırma alanı gelişmektedir. Parametreleri minimum kayıpla güncelleyerek belirli eğitim örneklerinin etkisini tersine çeviren teknikler üzerinde yoğun araştırma sürmektedir. Google, Meta ve akademik gruplar bu alanda somut ilerleme kaydetmiş olmakla birlikte üretim ölçeğinde güvenilir makine unutturma henüz olgunlaşmamıştır. Bu hakkın sınırsız olmadığı da bilinmelidir. İfade özgürlüğü, halk sağlığı, bilimsel araştırma ya da hukuki talepler gibi meşru gerekçeler mevcut olduğunda silme talebi reddedilebilir. Ayrıca silinme ile anonimleştirme birbirinden farklı kavramlardır: silinme veriyi tamamen ortadan kaldırırken anonimleştirme kişiyi tespit edilemez kılarken veriyi istatistiksel analizler için korur. GDPR kapsamında gerçek anonimleştirme tüzük kapsamı dışına çıkabilir. Bu denge, gizlilik ile kamusal yararın nasıl bir arada var olabileceği sorusunu gündemde tutmaktadır.
Veri Anonimizasyonu (Veri Anonimizasyonu)
Veri anonimizasyonu (data anonymization), kişisel verilerdeki tanımlayıcı bilgilerin geri dönüşü olmayacak şekilde kaldırılması veya dönüştürülmesidir; bu işlem sonunda veri öznesinin kimliği, makul çaba gösterilse dahi tespit edilemez hale gelir. Veri anonimizasyonu, sözde anonimleştirme (pseudonymization) ile karıştırılmamalıdır: sözde anonimleştirmede tanımlayıcılar şifrelenir ya da takma adla değiştirilir, ancak ayrı tutulan bir anahtar kullanılarak kimlik yeniden oluşturulabilir. GDPR'da bu iki kavram açıkça ayrılmış; yalnızca gerçek anonimizasyon veri işleme kısıtlamalarından muaf tutulmuştur. Temel anonimizasyon teknikleri arasında k-anonimlik, l-çeşitlilik ve t-yakınlık öne çıkar. K-anonimlikte her kayıt, en az k−1 başka kayıtla tüm yarı tanımlayıcılar (yaş, posta kodu, cinsiyet gibi) bakımından özdeştir; bu yöntem bağlantı saldırılarını engeller. L-çeşitlilik her eşdeğer sınıfta hassas değerin en az l farklı biçimde görünmesini zorunlu kılar; tekdüze özellikteki grupların saldırılara karşı açıkta kalmasını önler. T-yakınlık, hassas değerlerin dağılımının genel veri dağılımından fazla sapmamasını denetler. Diferansiyel gizlilik (differential privacy), matematiksel olarak ispatlanmış bir mahremiyet garantisi sunar: istatistiksel sorgu sonuçlarına dikkatle kalibre edilmiş gürültü eklenerek tek bir bireyin verisinin modelin çıktısını anlamlı ölçüde etkileyemeyeceği garanti edilir. Apple ve Google bu yöntemi kullanıcı davranış istatistiklerini toplamak için üretim ortamlarında uygulamaktadır. Yapay zeka eğitiminde anonimizasyon kritik bir rol oynar: hassas tıbbi, finansal veya hukuki verilerle modeller eğitmek için bu veriler anonimleştirilmeli ya da sentetik verilerle desteklenmelidir. Federe öğrenme (federated learning) ve diferansiyel gizlilik bu ikisi için tamamlayıcı araçlar olarak birlikte kullanılır. Yeniden tanımlama (re-identification) saldırıları, anonimleştirilmiş görünen veri kümelerinin arka plan bilgisiyle nasıl çapraz eşleştirilebildiğini göstermiş; bu durum anonimizasyonun tek başına yeterli olmadığını ortaya koymuştur. Bu nedenle günümüzde veri minimizasyonu, erişim kontrolü ve şifreleme ile birlikte katmanlı bir mahremiyet stratejisi benimsenmektedir.
Veri Etiği (Veri Etiği)
Veri etiği, dijital veri toplama, depolama, işleme ve paylaşma süreçlerinde etik ilkelerin uygulanmasını inceleyen disiplinlerarası bir alandır. Yapay zeka sistemlerinin ve büyük veri analizinin hızla yaygınlaşmasıyla birlikte, veri etiği; bireysel gizlilik hakları, veri sahipliği, algoritmik adalet ve şeffaflık gibi temel soruları ele almaktadır. Temel ilkeler arasında rıza (informed consent), veri minimizasyonu, amaç sınırlaması ve hesap verebilirlik yer alır. Rıza ilkesi, bireylerin verilerinin nasıl kullanılacağını anlaşılır biçimde öğrenip onay verme hakkını korur. Veri minimizasyonu, yalnızca belirtilen amaca yetecek kadar verinin toplanmasını zorunlu kılar. Amaç sınırlaması ise toplanan verinin yalnızca bildirilen amaç için kullanılmasını gerektirir. Avrupa Birliği'nin GDPR düzenlemesi ve AB Yapay Zeka Yasası (EU AI Act) gibi mevzuatlar, veri etiği ilkelerini yasal çerçeveye oturtmaktadır. Veri etiği ihlalleri ciddi toplumsal sonuçlar doğurabilir: algoritmik önyargı işe alım süreçlerinde ayrımcılığa yol açabilir, yüz tanıma sistemleri masum bireyleri yanlış tanımlayabilir, tavsiye algoritmaları ise filter bubble oluşturarak dezenformasyona zemin hazırlayabilir. Cambridge Analytica skandalı, veri etiği ihlallerinin demokrasi üzerindeki yıkıcı etkisini gözler önüne sermiştir. Uygulamada veri etiği; Privacy by Design yaklaşımı, etik yapay zeka komiteleri, veri etki değerlendirmeleri (DPIA) ve açıklanabilir yapay zeka (XAI) teknikleriyle hayata geçirilmektedir. Bireyler için Kişisel Veri Koruma Kanunu (KVKK) kapsamında veriye erişim, düzeltme ve silinme hakları güvence altındadır. Kurumlar için etik veri kullanımı artık yalnızca yasal uyumluluk sorunu değil, rekabet avantajı ve kurumsal itibar açısından da kritik bir unsura dönüşmüştür. Bilgisayar etiği, sosyoloji ve hukuku bir araya getiren veri etiği, günümüz dijital ekonomisinde teknik ile sosyal boyutları birleştiren vazgeçilmez bir disiplin hâline gelmiştir. Veri etiğinin kapsamı, ilerleyen yıllarda yapay zeka sistemlerinin karar alma süreçlerindeki rolü büyüdükçe daha da genişleyecektir.
Veri Güvenliği (AI Bağlamında)
Veri güvenliği, yapay zeka sistemlerinin eğitim, çıkarım ve dağıtım süreçlerinde kullanılan verilerin yetkisiz erişim, sızıntı, bozulma veya kötüye kullanıma karşı korunmasına yönelik teknik ve organizasyonel önlemlerin bütünüdür. Geleneksel siber güvenlik kapsamından farklı olarak AI veri güvenliği, modele özgü saldırı yüzeyleri, eğitim verisi zehirleme ve model çıkarım saldırıları gibi ek tehdit vektörlerini de kapsamaktadır. AI sistemlerinde veri güvenliği üç temel katmanda incelenir. Birinci katman veri toplama ve depolamadır: hassas kişisel veriler, ticari sırlar veya kritik altyapı bilgileri içeren eğitim veri setleri şifreleme, erişim kontrolleri ve anonimleştirme teknikleriyle korunmalıdır. GDPR, KVKK ve CCPA gibi veri koruma düzenlemeleri bu katmanda uygulanır. İkinci katman model eğitimi sürecidir: eğitim verisi zehirleme (data poisoning) saldırılarında kötü niyetli aktörler eğitim setine zararlı örnekler ekleyerek modelin davranışını manipüle edebilir. Federe öğrenme (federated learning), diferansiyel gizlilik (differential privacy) ve güvenli çok taraflı hesaplama (secure multi-party computation) bu tehdide karşı geliştirilmiş teknik çözümlerdir. Üçüncü katman model çıkarımıdır: üye çıkarım saldırıları (membership inference attacks), bir veri noktasının eğitim setinde yer alıp almadığını tahmin etmeye çalışırken model kopyalama (model extraction) saldırıları modelin ağırlıklarını reverse-engineer etmeyi hedefler. Özellikle tıbbi ve finansal veri içeren modellerde bu saldırılar ciddi gizlilik ihlallerine yol açabilir. Homomorfik şifreleme (homomorphic encryption), verilerin şifreli halde işlenmesine olanak tanıyan ileri düzey bir tekniktir; bu sayede model sağlayıcı ham veriyi hiçbir zaman görmez. Federe öğrenme ise ham verinin merkezi bir sunucuya gönderilmesini engelleyerek yerel cihazlarda model güncelleme hesaplamalarının yapılmasına izin verir. AB Yapay Zeka Yasası (EU AI Act), yüksek riskli AI sistemleri için sıkı veri yönetişimi gereklilikleri öngörmektedir. Bu düzenleme, 2026 itibarıyla eğitim verisi kalitesi, belgeleme ve denetim izlerine yönelik zorunluluklar getirmektedir.
Algoritmik Hesap Verebilirlik (Algoritmik Hesap Verebilirlik)
Algoritmik Hesap Verebilirlik (Algorithmic Accountability), yapay zeka ve otomatik karar destek sistemlerinin ürettiği sonuçlardan kimin sorumlu olduğunu tanımlayan ve bu sorumluluğun nasıl denetleneceğini belirleyen ilkeler bütünüdür. Bir algoritma kredi reddi, iş başvurusu eleme, suç risk değerlendirmesi veya sağlık kaynak tahsisi gibi bireyleri doğrudan etkileyen kararlar aldığında, bu kararın arkasındaki model, verisi ve kurumsal yapı hesap verebilir olmalıdır. Algoritmik hesap verebilirliğin pratik karşılığı üç mekanizmayla hayata geçirilir. Birincisi şeffaflık: kullanılan modelin hangi girdilere dayandığı ve nasıl bir karar mantığı izlediği açıklanabilir olmalıdır. İkincisi denetlenebilirlik: bağımsız denetçiler veya düzenleyici otoriteler sistemi inceleyebilmeli, test edebilmeli ve bulgularını kamuoyuyla paylaşabilmelidir. Üçüncüsü itiraz hakkı: etkilenen bireyler karara itiraz edebilmeli ve otomatik karardan muaf tutulabilmelidir. AB GDPR'ın 22. maddesi tam da bu hakkı — "tamamen otomatik kararlara tabi olmama" — yasal güvenceye almıştır. Bu alandaki en önemli örnek vakası 2016 yılında ProPublica'nın yayımladığı COMPAS araştırmasıdır. COMPAS, ABD mahkemelerinde kullanılan bir suç tekrarlama riski tahmin algoritmasıdır. Araştırma, algoritmanın Siyah sanıklara karşı yanlı sonuçlar ürettiğini — yanlış yüksek risk tespiti oranının iki kat fazla olduğunu — istatistiksel olarak ortaya koydu. Bu bulgu algoritmik hesap verebilirliği hukuki ve etik açıdan tartışmanın merkezine taşıdı. Kurumsal düzeyde Algoritmik Etki Değerlendirmesi (AIA — Algorithmic Impact Assessment) en yaygın araçtır. AIA, tıpkı çevresel etki raporları gibi, bir yapay zeka sisteminin devreye alınmadan önce potansiyel zarar ve eşitsizliklerini belgeleyen yapılandırılmış bir değerlendirme sürecidir. Kanada'nın Yönlendirici Direktifi ve AB Yapay Zeka Yasası yüksek riskli sistemler için AIA benzeri değerlendirmeleri zorunlu kılmaktadır. Türkiye'de bankacılık kredi puanlama sistemleri, kamu kurumu personel seçim algoritmaları ve kolluk kuvvetleri tarafından denenen tahminsel sistemler algoritmik hesap verebilirlik kapsamında değerlendirilebilir. KVKK (Kişisel Verileri Koruma Kanunu) ve yeni yayımlanan Yapay Zeka Strateji Belgesi bu alanda ilk çerçeveyi oluşturmaktadır. Akademisyenler ve sivil toplum kuruluşları, mevzuatın denetim mekanizmaları konusunda yeterince güçlü olmadığını vurgulamaktadır.
Automated Decision-Making (Otomatik Karar Alma)
Otomatik karar alma (Automated Decision-Making, ADM), insan denetimi olmaksızın yazılım sistemleri veya yapay zeka modellerinin birey ya da grupları etkileyen kararlar ürettiği süreçtir. Kredi başvurusu onayı, iş başvurusu değerlendirmesi, sigorta fiyatlandırması, sosyal yardım uygunluğu belirleme ve suç risk skorlaması gibi alanlarda hızla yaygınlaşmaktadır. ADM iki temel biçimde karşımıza çıkar: önceden tanımlı kurallara dayanan kural tabanlı sistemler (örneğin kredi skor eşikleri) ve veriden örüntü öğrenen makine öğrenimi modelleri. İkinci türde kararın gerekçesi çoğu zaman insan tarafından kolayca anlaşılamaz; bu durum "kara kutu" sorununun merkezini oluşturur ve itiraz hakkını fiilen anlamsız kılar. GDPR'nin 22. Maddesi, bireyleri salt otomatik süreçlerle alınan ve üzerlerinde hukuki veya benzer derecede önemli etkiler doğuran kararlardan koruma altına alır; veri sahibine insan müdahalesi talep etme ve karara itiraz etme hakları tanınır. 2026 itibarıyla yürürlükteki AB Yapay Zeka Yasası (EU AI Act), yüksek riskli ADM sistemleri için Temel Haklar Etki Değerlendirmesi (FRIA) ile Veri Koruma Etki Değerlendirmesi'ni (DPIA) zorunlu kılmaktadır. Önyargı, şeffaflık eksikliği ve hesap verebilirlik boşluğu ADM'nin başlıca etik riskleri olmayı sürdürmektedir.
Data Minimization (Veri Minimizasyonu)
Veri Minimizasyonu (Data Minimization), bir sistem veya uygulamanın yalnızca belirtilen amacı gerçekleştirmek için zorunlu olan minimum miktarda kişisel veriyi toplaması, işlemesi ve saklaması ilkesidir. Mahremiyet tasarımının (Privacy by Design) temel taşlarından biri olan bu ilke, "ne kadar fazla veri o kadar iyi" anlayışının tam tersidir: fazladan toplanan her veri hem bir güvenlik riski hem de etik bir sorumluluktur. GDPR (Genel Veri Koruma Yönetmeliği) Madde 5(1)(c) veri minimizasyonunu açıkça zorunlu kılar: veriler "amaca uygun, alakalı ve gerekli olanla sınırlı" olmalıdır. Türkiye'deki KVKK (Kişisel Verilerin Korunması Kanunu) da ölçülülük ilkesiyle aynı yükümlülüğü getirir. Bu yasal çerçeveler, amaca fazladan veri toplayan şirketler için ciddi para cezaları öngörür. Yapay zeka sistemleri için veri minimizasyonu özellikle kritiktir. Büyük dil modelleri ve öneri sistemleri varsayılan olarak her şeyi toplamaya eğilimlidir; bu eğilim hem amaç sapması (purpose creep) hem de mahremiyet ihlali riskini artırır. **Amaç sınırlama (purpose limitation)** ile birlikte çalışır: veriler yalnızca toplandığı amaç için kullanılabilir; başka bir model için yeniden işlenemez. Teknik uygulamada veri minimizasyonu birkaç stratejiyle hayata geçirilir. **Özellik seçimi (feature selection)**: makine öğrenimi modelini eğitmek için gerekli olmayan özellikler eğitim verisine dahil edilmez. **Veri anonimleştirme ve takma adlandırma (pseudonymization)**: tanımlayıcı alanlar hash veya token ile değiştirilerek kişiyle bağ koparılır. **Diferansiyel gizlilik (differential privacy)**: toplam istatistikler gürültü eklenerek paylaşılır; bireysel kayıtlar çıkarılamaz. **Saklama süresi sınırlaması**: gereksiz hale gelen veriler otomatik olarak silinir. Veri minimizasyonuna karşı çıkan yaygın argüman "veri değerlidir, ileride işe yarayabilir"dir. Ancak bilinmeyen gelecekteki değer için bugünkü gizlilik riski ve depolama maliyeti üstlenmek rasyonel değildir. Gerçek değer, iyi tanımlanmış amaçlara odaklanmış yüksek kaliteli veriden gelir — hacimden değil.
Data Sovereignty (Veri Egemenliği)
Veri egemenliği (data sovereignty), verilerin toplandığı, depolandığı veya işlendiği coğrafi bölgenin yasal yetki alanına tabi olmasını ifade eder. Bu kavram; hangi ülkenin yasalarının veriye uygulandığını, kimin bu veriye erişebileceğini ve verilerin nasıl işlenebileceğini belirler. Yalnızca fiziksel depolama konumunu kapsayan veri yerleşikliği (data residency) kavramından farklı olarak veri egemenliği, hukuki denetim boyutunu da içerir. Yapay zeka modelleri milyarlarca veri noktasına dayandığından bu verilerin nerede barındırıldığı kritik önem taşır. Bir şirket ya da devlet verilerini yabancı bir sunucuda depoluyorsa, o sunucunun bulunduğu ülkenin yasal erişim hakları devreye girebilir. Bu durum ulusal güvenlik, ticari sır ve bireysel mahremiyet açısından ciddi riskler doğurabilir. ABD merkezli büyük bulut sağlayıcılarının küresel egemenliği, pek çok hükümetin yerel altyapı kurma çabalarının temel motivasyonunu oluşturmaktadır. Veri egemenliği, ülkelerin yapay zeka altyapısını yerel olarak inşa etme çabası olan Sovereign AI hareketi ile doğrudan ilişkilidir. Türkiye, Avrupa Birliği, Japonya ve pek çok ülke; kritik verilerin sınır dışına çıkmaması için yerel veri merkezleri kurmakta, özel yapay zeka altyapıları geliştirmekte ve bulut sağlayıcılarına yönelik düzenlemeler oluşturmaktadır. Türkiye'de KVKK ve Cumhurbaşkanlığı Dijital Dönüşüm Ofisi'nin politikaları bu çerçevede belirleyici rol oynamaktadır. Teknik açıdan federated learning (federe öğrenme), veri egemenliğini korurken makine öğrenimi modelleri eğitmek için kullanılan başlıca yöntemdir. Bu yaklaşımda ham veriler merkezi sunucuya gönderilmez; yalnızca model güncellemeleri paylaşılır. Homomorphic encryption ise şifreli veriler üzerinde hesaplama yapılmasına olanak tanıyarak ham verinin açık halde işlenmesini engeller. Veri egemenliği, küresel ölçekte giderek artan bir jeopolitik mesele haline gelmektedir. ABD'nin CLOUD Act yasası Amerikan şirketlerinin yurt dışındaki verilerine erişim talep etmesine olanak tanırken, Avrupa'nın Gaia-X girişimi bölgesel dijital altyapı bağımsızlığını hedeflemektedir. Yapay zeka çağında verinin en stratejik kaynak olarak konumlanması bu tartışmayı daha da derinleştirmekte; hangi modellerin hangi verilerle eğitildiği sorusu artık teknolojik değil, siyasi bir soru haline dönüşmektedir.
Shadow AI (Gölge Yapay Zeka)
Shadow AI (Gölge Yapay Zeka), bir kuruluşun resmi BT politikaları, güvenlik incelemeleri ve onay süreçleri dışında çalışanlar tarafından kullanılan yapay zeka araçlarını ifade eder. "Shadow IT" (Gölge BT) kavramının yapay zekaya uyarlanmış biçimi olan bu olgu, ChatGPT, Claude, Gemini ve benzeri üretken yapay zeka araçlarının tarayıcı tabanlı ve ücretsiz erişimiyle birlikte 2024-2026 döneminde kurumsal güvenlik ekiplerinin birinci sıradaki endişesi haline gelmiştir. Erişim kolaylığı bu yayılmanın temel motorudur: modern yapay zeka araçlarını kullanmak için teknik bilgi, kurulum ya da IT onayı gerekmez; bir e-posta adresi ve tarayıcı yeterlidir. 2026 verilerine göre çalışanların yüzde 67'si işyerinde yapay zeka araçları kullanırken, şirketlerin yalnızca yüzde 18'i resmi bir AI güvenlik politikasına sahiptir. Güvenlik olaylarının yüzde 43'ünde Shadow AI rol oynamıştır; bu oran bir önceki yıla kıyasla iki katına çıkmıştır. Shadow AI'ın kurumlar için yarattığı en kritik risk veri sızıntısıdır. Bir çalışan müşteri bilgilerini, kaynak kodunu, finansal verileri veya gizli proje planlarını harici bir yapay zeka sistemine girdiğinde bu veriler kurum denetiminden çıkabilir. Üstelik ücretsiz tüketici uygulamalarında girilen içerikler model eğitimine dahil edilebilir ve geri alınması mümkün olmayabilir. Ortalama bir çalışan, her üç çalışma gününde bir kez hassas veri içeren bir girdi yapmaktadır. Yasal boyut da ciddidir: Türkiye'de KVKK'nın 12. maddesi, veri sorumlularına kişisel verilerin güvenliğini sağlamayı zorunlu kılar; yetkisiz yapay zeka kullanımı bu yükümlülüğü doğrudan ihlal edebilir. Avrupa'da GDPR benzer yaptırımlar getirir; ihlal halinde yıllık küresel cirosunun yüzde dördüne kadar para cezası uygulanabilir. Fikri mülkiyet riski de önemlidir: tescilli kaynak kodu veya ürün yol haritalarının harici sistemlere taşınması ticari sırların kalıcı olarak ifşasına yol açabilir. Kurumlar bu riskle iki eksenli yaklaşımla mücadele eder: teknik kontroller (DLP araçları, yapay zeka trafiği izleme, ağ düzeyinde kısıtlamalar) ve politika önlemleri (AI kabul edilebilir kullanım politikaları, onaylı araç katalogları, çalışan eğitimleri). Öte yandan çalışanların neden yetkisiz araçlara yöneldiğini anlamak da kritiktir: onaylı alternatifleri hızlı ve kullanışlı hale getirmek Shadow AI'ı azaltmanın en etkili yoludur.