tag KVKK
Data Breach (Veri İhlali)
Bu sayfada KVKK (Data Breach (Veri İhlali)) etiketi ile işaretlenmiş 8 yapay zeka kavramını bulabilirsiniz.
Veri ihlali (data breach), yetkisiz kisilerin kisisel, finansal veya kurumsal olarak gizli verilere kasitli veya kazara erisim sagladigi, bu verileri ifsa ettigi, kopyaladigi veya cektigi guvenlik olayidur. Haber degerinin yuksekligi ve yaygin bireysel etkisi nedeniyle veri ihlalleri dijital guvenligin en kamuoyunu yakından ilgilendiren konularindan biridir. Veri ihlaline yol acan vektorler cesitlidir. Oltalama (phishing), mevcut en yaygın saldiri tekniklerinden biridir: sahte e-posta veya web sitesi araciligiyla kullanici kimlik bilgileri ele gecirilir. Kimlik bilgisi doldurma (credential stuffing), daha once sizmis diger veritabanlariindan elde edilen kullanici adi/sifre ciftlerini sistematik sekilde deneme saldirisidir; bu nedenle ayni sifrenin birden fazla hesapta kullanilmasi kritik bir risk faktorudur. Yama uygulanmamis yazilim acikları (unpatched vulnerabilities) uzaktan kod yurutme olanaklarini acik birakabilir. Iceriden eylemler, erisi olan bir calisanin kasitli veya kazara veriyi dis dunyaya acmasiyla gerceklesebilir. IBM'in 2024 Cost of a Data Breach raporuna gore kuresel ortalama veri ihlali maliyeti 4.88 milyon dolara ulasmiştir. Bu maliyet dogrudan kayiplari, yasal masraflari, marka itibarinin zarar gormesini ve musteri kaybini kapsar. Saglik sektoru, kisisel saglik bilgilerinin hassas dogasi nedeniyle tutucu sekilde en yuksek maliyetli sektordur. Yasal yukumlulukler veri ihlali yoneticlerinin kritik bir boyutunu olusturur. AB'nin GDPR'i, yetkili veri koruma denetim otoritesine 72 saat icinde bildirim zorunlulugu getirir; bireyler ciddi risk altindaysa onlara da bildirim yapilmalidir. KVKK ve ABD'nin eyalet duzeyindeki bildirim yasalari da benzer gereksinimler icerir; uyumsuzluk agir para cezalarina yol acabilir. **Sik Sorulan Sorular** **Veri ihlalini nasil anlarsam?** Olagan dis giris denemeleri bildirimleri, tanimadiginiz hesap aktivitesi, dark web izleme servisleri (Have I Been Pwned gibi) veya saglayicinizin gizlilik bildirimi araciligiyla ogrenilebilir. **Veri ihlali sonrasinda ne yapmaliyim?** Etkilenen hizmetlerdeki sifrelerinizi degistirin, mumkunse cok faktorlu kimlik dogrulamasi etkinlestirin, kredi raporunuzu izleyin ve oltalama denemelerine karsi dikkatli olun. **Sirketler veri ihlalinden nasil korunabilir?** Cok faktorlu kimlik dogrulamasi zorunlu kilmak, veri en aza indirgeme (data minimization), yama yonetimi, calisanlara guvenlk egitimi ve anormali tespit sistemleri temel onlemlerdir. **GDPR ihlal bildirimini 72 saat icinde yapmazsam ne olur?** GDPR ihlali halinde yillik kuresel ciron yuzde dordune kadar veya 20 milyon Euro'ya kadar para cezasi uygulanabilir; bildirim gecikmeleri bu cezaları artiran bir etkendir.
Data Breach (Veri İhlali)
Veri ihlali (data breach), yetkisiz kisilerin kisisel, finansal veya kurumsal olarak gizli verilere kasitli veya kazara erisim sagladigi, bu verileri ifsa ettigi, kopyaladigi veya cektigi guvenlik olayidur. Haber degerinin yuksekligi ve yaygin bireysel etkisi nedeniyle veri ihlalleri dijital guvenligin en kamuoyunu yakından ilgilendiren konularindan biridir. Veri ihlaline yol acan vektorler cesitlidir. Oltalama (phishing), mevcut en yaygın saldiri tekniklerinden biridir: sahte e-posta veya web sitesi araciligiyla kullanici kimlik bilgileri ele gecirilir. Kimlik bilgisi doldurma (credential stuffing), daha once sizmis diger veritabanlariindan elde edilen kullanici adi/sifre ciftlerini sistematik sekilde deneme saldirisidir; bu nedenle ayni sifrenin birden fazla hesapta kullanilmasi kritik bir risk faktorudur. Yama uygulanmamis yazilim acikları (unpatched vulnerabilities) uzaktan kod yurutme olanaklarini acik birakabilir. Iceriden eylemler, erisi olan bir calisanin kasitli veya kazara veriyi dis dunyaya acmasiyla gerceklesebilir. IBM'in 2024 Cost of a Data Breach raporuna gore kuresel ortalama veri ihlali maliyeti 4.88 milyon dolara ulasmiştir. Bu maliyet dogrudan kayiplari, yasal masraflari, marka itibarinin zarar gormesini ve musteri kaybini kapsar. Saglik sektoru, kisisel saglik bilgilerinin hassas dogasi nedeniyle tutucu sekilde en yuksek maliyetli sektordur. Yasal yukumlulukler veri ihlali yoneticlerinin kritik bir boyutunu olusturur. AB'nin GDPR'i, yetkili veri koruma denetim otoritesine 72 saat icinde bildirim zorunlulugu getirir; bireyler ciddi risk altindaysa onlara da bildirim yapilmalidir. KVKK ve ABD'nin eyalet duzeyindeki bildirim yasalari da benzer gereksinimler icerir; uyumsuzluk agir para cezalarina yol acabilir. **Sik Sorulan Sorular** **Veri ihlalini nasil anlarsam?** Olagan dis giris denemeleri bildirimleri, tanimadiginiz hesap aktivitesi, dark web izleme servisleri (Have I Been Pwned gibi) veya saglayicinizin gizlilik bildirimi araciligiyla ogrenilebilir. **Veri ihlali sonrasinda ne yapmaliyim?** Etkilenen hizmetlerdeki sifrelerinizi degistirin, mumkunse cok faktorlu kimlik dogrulamasi etkinlestirin, kredi raporunuzu izleyin ve oltalama denemelerine karsi dikkatli olun. **Sirketler veri ihlalinden nasil korunabilir?** Cok faktorlu kimlik dogrulamasi zorunlu kilmak, veri en aza indirgeme (data minimization), yama yonetimi, calisanlara guvenlk egitimi ve anormali tespit sistemleri temel onlemlerdir. **GDPR ihlal bildirimini 72 saat icinde yapmazsam ne olur?** GDPR ihlali halinde yillik kuresel ciron yuzde dordune kadar veya 20 milyon Euro'ya kadar para cezasi uygulanabilir; bildirim gecikmeleri bu cezaları artiran bir etkendir.
Data Masking Nedir? Veri Maskeleme Teknikleri ve Kullanım Alanları (Veri Maskeleme)
Veri maskeleme (data masking ya da veri gizleme), hassas ya da kişisel nitelikteki gerçek verilerin yerine işlevsel ama tanımlanamaz sahte veriler koyma tekniğidir. Amaç, veri setinin yapısal, istatistiksel ve biçimsel özelliklerini korurken bireysel kayıtların gerçek kişi ya da kurumlarla ilişkilendirilmesini olanaksız kılmaktır. Test ve geliştirme ekipleri, verinin gerçekliğini korumak zorunda kalmadan üretim ortamına yakın bir veri kümesiyle çalışabilir; böylece gizlilik sızıntısı riski büyük ölçüde azalır. GDPR ve Türkiye KVKK gibi veri koruma mevzuatları, kişisel verinin üçüncü taraflarla paylaşılmasını ya da farklı amaçlarla işlenmesini kısıtlar. Veri maskeleme, bu yasal gerekliliklerin karşılanmasında teknik bir araç olarak öne çıkar: düzgün maskelenmiş veri, artık kişisel veri sayılmayabileceğinden GDPR kapsamındaki koruyucu yükümlülükler hafifler. Nitekim AB Veri Koruma Kurulları, veri maskelemeyi anonimleştirme veya takma adlandırma (pseudonymisation) tekniklerinden biri olarak değerlendirir. Yapay zeka ve makine öğrenmesi alanında veri maskeleme, model eğitim süreçlerinde kritik bir rol üstlenir. Sağlık, finans ve perakende sektörlerinde gerçek müşteri ya da hasta verisinin üçüncü taraf araştırmacılara veya ML mühendislerine açılması yasal olarak mümkün olmayabilir. Bu durumda maskeli veri setleri, modellerin gerçekçi desenleri öğrenmesini sağlarken gizlilik riskini ortadan kaldırır. Büyük dil modellerinin fine-tuning süreçlerinde de hassas kurumsal veriler maskelenerek model, kurumun yazım stili veya domain bilgisini öğrenir; ancak gerçek PII (kişiyi tanımlayan bilgi) asla modele dahil edilmez.
Data Privacy (Veri Gizliliği)
Veri gizliligi, bireylere ait kisisel bilgilerin nasil toplandigi, islendigi, saklandigi ve paylasildigini duzenleleyen ilke, uygulama ve yasal cerceveler butunudur. Teknoloji sirketlerinden hastanelere, e-ticaret platformlarindan devlet kurumlarindan kadar kisisel veri isleyen her organizasyon bu alaninla dogrudan iliskilidir. Veri gizliligi dusuncesi iki eksenli bir uzlasimdan beslenir. Ilki bireysel otonomi: insanlarin kendi verileri uzerinde anlayisli riza (informed consent) hakkina sahip olmasi ve verilere ne zaman, kim tarafindan nasil erisildigi konusunda seffafligin saglanmasi. Ikincisi kurumsal sorumluluk: veri isleyenlerin bu verileri merus amaclar dogrultusunda kulllanmasini ve korsanlara ya da ucuncu taraflara yasadisi bicimde iletmemesini zorunlu kilan duzenleyici cerceveler. Avrupa Birligi'nin Genel Veri Koruma Yonetmeligi (GDPR), 2018 yilinda yururluge girmesiyle kuresel bir referans standardi haline gelmistir. GDPR, veri minimizasyonu ilkesini zorunlu kilar: yalnizca ilan edilen amac icin gerekli olan veri toplanabilir. Turkiye'de Kisisel Verilerin Korunmasi Kanunu (KVKK), GDPR ile buyuk olcude paralel bir yasal cerceve sunmaktadir. Teknik mahremiyet korumalari da giderek onem kazanmaktadir. Diferansiyel gizlilik, bir veri kumesine istatistiksel gurultu ekleyerek bireylerin kimliginin cikarilmasini matematiksel olarak engeller; Apple ve Google bu teknigi buyuk olcekte kullanmaktadir. Federe ogrenme, ham veriyi merkezi sunucuya gondermeden cihaz uzerinde model egitmesine ve yalnizca model guncellemelerinin paylasmasina izin verir. Homomorfik sifreleme ise teorik olarak sifreli veri uzerinde hesaplama yapmayi mumkun kilar, ancak hali hazirda pratik uygulamalar sinirlidir. Yapay zekanin yayginlasmasi, veri gizliligini daha da karmasik kilar. Buyuk dil modellerinin egitim verisinde kisisel bilgi bulundurabilmesi, yuz tanima sistemlerinin kitlesel gozetleme riskini artirmasi ve kisisel verilerin profil cikartmak icin kullanilmasi, hem etik hem de yasal gundeme girmis tartismadir. **Sik Sorulan Sorular** **Veri gizliligi ile veri guvenligi arasindaki fark nedir?** Veri guvenligi, yetkisiz erisime karsi teknik koruma saglar (sifreleme, guvenlik duvari). Veri gizliligi ise merus erisim sahiplerinin veriyi nasil isleyebilecegini duzenler. Ikisi birbirini tamamlar. **GDPR Turkiye'deki sirketleri etkiler mi?** Evet. AB vatandaslarinin verisini isleyen Turkiye merkezli sirketler GDPR kapsamina girebilir. Ek olarak KVKK yerli duzenleyici yukumlulukleri belirler. **Veri anonimizasyonu tam bir koruma saglar mi?** Hayir. Re-identification (yeniden kimliklendirme) saldirisi teknikleri, anonim gorunen verideki bireyleri cogu zaman tespit edebilmektedir. Diferansiyel gizlilik daha guclu matematiksel garantiler sunar. **Bir sirket veri ihlali durumunda ne yapmalidur?** GDPR kapsaminda yetkili denetim otoritesine 72 saat icerisinde bildirme zorunlulugu vardir. KVKK da benzer bildirim yukumlulugu icerir. Etkilenen bireylere de bildirim yapilmali ve zararlar belgemelidir.
Data Residency (Veri İkameti)
Veri yerlesimi (data residency), kisisel veya hassas kurumsal verinin belirli bir ulkenin veya cografi bolgenin sinirlari icerisinde depolanmasini ve islenmesini zorunlu kilan yasal, sozlesmsel veya operasyonel gereksinimdir. Bulut bilisimin kuresel yaygınlasmasi, veri yerlesimini giderek kritik bir uyumluluk konusu haline getirmistir: bir sirketin verisi fiziksel olarak nerede bulunur sorusu artik hem yasal hem de operasyonel acidan cevap gerektiren bir soru. Veri yerlesimini zorunlu kilan bircok duzenleyici cerceve mevcuttur. AB'nin GDPR'i, kisisel verinin AB disina transfer edilmesini belirli guvenceler olmadan kisitlar; yeterlilik karari olmayan ulkelere transfer ancak standart sozlesmsel maddeler veya baglayici sirket kurallari gibi mekanizmalarla mumkundur. Turkiye'deki KVKK da benzer kisilamalar getirmektedir. Cin'in Veri Guvenligi Yasasi ve Kisiel Bilgi Koruma Yasasi, belirli kategorilerdeki verinin Cin sinırları disına cikmadan oncce guvenlık degerlendirmesinden gecmesini zorunlu kilar. Rusya'nin veri yerellesme yasası (No. 242-FZ) Rus vatandaslarinin kisisel verisinin Rusya'da depolanmasini zorunlu kilar. Bulut saglayicilari bu gereksinimlere yanit verecek cografi bolge (region) yapilarını sunar. AWS, Azure ve GCP her birinin onlarca bolge ile veri Almanya, Singapur veya Japonya sinirları icinde tutmak olanaklidur. Bununla birlikte, cok bolgesli bir uygulama mimarisinde verinin bolge sinirlarini gecip gecmedigini guvence altina almak; yedekleme, replikasyon ve gunluk kayitlari dahil butun veri akislarini denetlemek gerektirir. Sovereign cloud, veri yerlesiminin en sıkı gereksinimleri karsilamak icin tasarlanan bir bulut modeli olarak onemlendirmektedir. Microsoft Azure Sovereign, Google Sovereign Cloud ve AWS Govcloud bu kategoride uluslara ve hassas sektorlere ulusal duzenlemelere uyumlu ve operasyonlar bakimindan izole edilmis altyapi sunar. **Sik Sorulan Sorular** **Veri yerlesimi ile veri egemenlik arasindaki fark nedir?** Veri egemenlik, verinin hangi hukuki yetki alaninin denetimine tabi oldugu ve o devletin veriye erisimini mi zorunlu kilabilecegiyle ilgilidir. Veri yerlesimi ise verinin fiziksel olarak nerede depolandigiyla ilgilidir. Iki kavram cakisir ama esanlamli degildir. **GDPR veri yerlesimi icin kati bir bolge belirleme zorunlulugu getirir mi?** GDPR, AB kisisel verisinin AB sinirlari icinde depolanmasini kati bicimde zorunlu kilmaz; ancak AB disina transfer icin yeterli koruma guvencesi saglanmasini sart kosar. Bununla birlikte, bazi ulkelerin ulusal mevzuati ve bazi sektorlerin duzenleme gereksinimleri daha katı saklama bolge gereksinimleri diyebilir. **Cok bolgesli uygulama mimarisinde veri yerlesimi nasil saglanir?** Cok bolgesli mimarilerde veri bolumlendirmesi (data partitioning), her veri kategorisinin yalnizca izin verilen bolgede islenmesini ve saklanmasini zorunlu kilar. Yedekleme ve replikasyon politikalari da bolge gereksinimine uygun bicimde yapılandırılmalidir. **SaaS kullanirsam veri yerlesimini nasil guvence altina alirim?** SaaS saglayicisinin sozlesmesini ve veri isleme eklentisini dikkatlice inceleyin. Hangi bolgelerde veri sakladiklarini, altisaglayici kullanip kullanmadiklarini ve denetim log'larini sizinle paylaşip paylasmadıklarını dogrulayin.
GDPR (Genel Veri Koruma Tüzüğü)
GDPR (General Data Protection Regulation — Genel Veri Koruma Tüzüğü), 25 Mayıs 2018'de yürürlüğe giren Avrupa Birliği veri koruma yasasıdır. AB'de yerleşik bireylerden veri toplayan ya da onlarla ilgili kararlar veren her kuruluşu — coğrafi konum fark etmeksizin — kapsamaktadır. 1995 tarihli AB Veri Koruma Direktifi'nin yerini alan GDPR, on yıllarda biriken teknolojik dönüşümü ve kişisel veri ekonomisinin ölçeğini yansıtan çok daha kapsamlı ve dişli bir hukuki çerçeve sunmaktadır. Yapay zeka sistemleri için özel bir bölüm içermemekle birlikte GDPR, kişisel veri işleyen her AI uygulamasını doğrudan etkiler. Madde 22, bireyleri yalnızca otomatik işleme dayanan ve önemli sonuçlar doğuran kararlardan korur; kredi skorlama, iş başvurusu değerlendirmesi, sigorta fiyatlandırması veya ceza tahmini yapan AI sistemlerinin insan denetimine açık olmasını zorunlu kılar. Bunun yanı sıra kişisel veriyle eğitilen modeller, veri sahiplerinin erişim ve silme taleplerine yanıt verebilecek biçimde tasarlanmak durumundadır. GDPR yedi temel ilkeyi zorunlu kılar: hukuka uygunluk ve şeffaflık, amaç sınırlılığı, veri minimizasyonu, doğruluk, depolama sınırlılığı, bütünlük ve gizlilik, hesap verebilirlik. Bu ilkeler, veri işleme faaliyetlerinin hukuki dayanağını (açık rıza, meşru menfaat, sözleşme gereği vb.) ve verinin toplanmasından silinmesine kadar her aşamadaki güvenlik yükümlülüklerini belirler. Veri ihlali durumunda kuruluşlar 72 saat içinde yetkili veri koruma otoritesini bilgilendirmekle yükümlüdür. İhlaller için azami para cezası yıllık küresel ciron yüzde dördüne veya 20 milyon Euro'ya — hangisi yüksekse — kadar çıkmaktadır. Meta, Amazon ve Google gibi teknoloji devleri bu kapsamda milyarlarca Euro ceza almıştır. Türkiye'nin 2016'da çıkardığı KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) GDPR'a yapısal olarak paralel bir tasarıma sahipken, AB'ye veri aktarımı için AB Standart Sözleşme Maddeleri (SCCs) ya da Avrupa Komisyonu'nun yeterlilik kararı gereklidir.
Privacy by Design (Tasarımla Gizlilik)
Privacy by Design (Tasarımla Gizlilik), gizlilik ilkelerinin bir sistemin, ürünün veya sürecin tasarım aşamasına başından itibaren entegre edilmesi gerektiğini savunan proaktif bir veri koruma yaklaşımıdır. Bu kavram, 1990'lı yıllarda Ontario Gizlilik Komiseri Ann Cavoukian tarafından geliştirilmiş ve 2010 yılında Uluslararası Veri Koruma ve Gizlilik Komiserleri Konferansı tarafından uluslararası bir standart olarak tanınmıştır. 2018'de yürürlüğe giren AB Genel Veri Koruma Yönetmeliği (GDPR), Privacy by Design ilkelerini Madde 25 kapsamında 'Tasarım ve Varsayılan Ayarlarla Veri Koruma' adıyla yasal bir zorunluluk haline getirmiştir. Bu yaklaşımın temelinde yedi temel ilke bulunmaktadır: proaktif ve önleyici tasarım, gizliliğin varsayılan ayar olması, gizliliğin sistemin mimarisine gömülmesi, işlevsellik ile gizliliğin birlikte var olabilmesi (pozitif toplam), uçtan uca güvenlik ve tam yaşam döngüsü koruması, şeffaflık ve görünürlük, son olarak da kullanıcı merkezli yaklaşım. Yapay zeka sistemleri bağlamında Privacy by Design; veri minimizasyonu, eğitim verilerinin anonimleştirilmesi, diferansiyel gizlilik tekniklerinin ML pipeline'larına entegrasyonu, federe öğrenme ve Veri Koruma Etki Değerlendirmesi (DPIA) gibi uygulamalarla hayata geçirilir. Büyük dil modelleri, görüntü işleme sistemleri ve öneri motorlarında bu ilkelerin benimsenmesi hem GDPR ve KVKK gibi yasal yükümlülükleri karşılamak hem de kullanıcı güvenini sürdürülebilir şekilde korumak açısından kritik öneme sahiptir. ISO 31700:2023 standardı ise tüketici ürünleri için Privacy by Design gerekliliklerini uluslararası düzeyde standartlaştırmaktadır. Sonuç olarak Privacy by Design, reaktif bir gizlilik anlayışından proaktif ve sistematik bir koruma kültürüne geçişin temel taşını oluşturmaktadır.
Veri Güvenliği (AI Bağlamında)
Veri güvenliği, yapay zeka sistemlerinin eğitim, çıkarım ve dağıtım süreçlerinde kullanılan verilerin yetkisiz erişim, sızıntı, bozulma veya kötüye kullanıma karşı korunmasına yönelik teknik ve organizasyonel önlemlerin bütünüdür. Geleneksel siber güvenlik kapsamından farklı olarak AI veri güvenliği, modele özgü saldırı yüzeyleri, eğitim verisi zehirleme ve model çıkarım saldırıları gibi ek tehdit vektörlerini de kapsamaktadır. AI sistemlerinde veri güvenliği üç temel katmanda incelenir. Birinci katman veri toplama ve depolamadır: hassas kişisel veriler, ticari sırlar veya kritik altyapı bilgileri içeren eğitim veri setleri şifreleme, erişim kontrolleri ve anonimleştirme teknikleriyle korunmalıdır. GDPR, KVKK ve CCPA gibi veri koruma düzenlemeleri bu katmanda uygulanır. İkinci katman model eğitimi sürecidir: eğitim verisi zehirleme (data poisoning) saldırılarında kötü niyetli aktörler eğitim setine zararlı örnekler ekleyerek modelin davranışını manipüle edebilir. Federe öğrenme (federated learning), diferansiyel gizlilik (differential privacy) ve güvenli çok taraflı hesaplama (secure multi-party computation) bu tehdide karşı geliştirilmiş teknik çözümlerdir. Üçüncü katman model çıkarımıdır: üye çıkarım saldırıları (membership inference attacks), bir veri noktasının eğitim setinde yer alıp almadığını tahmin etmeye çalışırken model kopyalama (model extraction) saldırıları modelin ağırlıklarını reverse-engineer etmeyi hedefler. Özellikle tıbbi ve finansal veri içeren modellerde bu saldırılar ciddi gizlilik ihlallerine yol açabilir. Homomorfik şifreleme (homomorphic encryption), verilerin şifreli halde işlenmesine olanak tanıyan ileri düzey bir tekniktir; bu sayede model sağlayıcı ham veriyi hiçbir zaman görmez. Federe öğrenme ise ham verinin merkezi bir sunucuya gönderilmesini engelleyerek yerel cihazlarda model güncelleme hesaplamalarının yapılmasına izin verir. AB Yapay Zeka Yasası (EU AI Act), yüksek riskli AI sistemleri için sıkı veri yönetişimi gereklilikleri öngörmektedir. Bu düzenleme, 2026 itibarıyla eğitim verisi kalitesi, belgeleme ve denetim izlerine yönelik zorunluluklar getirmektedir.
Data Minimization (Veri Minimizasyonu)
Veri Minimizasyonu (Data Minimization), bir sistem veya uygulamanın yalnızca belirtilen amacı gerçekleştirmek için zorunlu olan minimum miktarda kişisel veriyi toplaması, işlemesi ve saklaması ilkesidir. Mahremiyet tasarımının (Privacy by Design) temel taşlarından biri olan bu ilke, "ne kadar fazla veri o kadar iyi" anlayışının tam tersidir: fazladan toplanan her veri hem bir güvenlik riski hem de etik bir sorumluluktur. GDPR (Genel Veri Koruma Yönetmeliği) Madde 5(1)(c) veri minimizasyonunu açıkça zorunlu kılar: veriler "amaca uygun, alakalı ve gerekli olanla sınırlı" olmalıdır. Türkiye'deki KVKK (Kişisel Verilerin Korunması Kanunu) da ölçülülük ilkesiyle aynı yükümlülüğü getirir. Bu yasal çerçeveler, amaca fazladan veri toplayan şirketler için ciddi para cezaları öngörür. Yapay zeka sistemleri için veri minimizasyonu özellikle kritiktir. Büyük dil modelleri ve öneri sistemleri varsayılan olarak her şeyi toplamaya eğilimlidir; bu eğilim hem amaç sapması (purpose creep) hem de mahremiyet ihlali riskini artırır. **Amaç sınırlama (purpose limitation)** ile birlikte çalışır: veriler yalnızca toplandığı amaç için kullanılabilir; başka bir model için yeniden işlenemez. Teknik uygulamada veri minimizasyonu birkaç stratejiyle hayata geçirilir. **Özellik seçimi (feature selection)**: makine öğrenimi modelini eğitmek için gerekli olmayan özellikler eğitim verisine dahil edilmez. **Veri anonimleştirme ve takma adlandırma (pseudonymization)**: tanımlayıcı alanlar hash veya token ile değiştirilerek kişiyle bağ koparılır. **Diferansiyel gizlilik (differential privacy)**: toplam istatistikler gürültü eklenerek paylaşılır; bireysel kayıtlar çıkarılamaz. **Saklama süresi sınırlaması**: gereksiz hale gelen veriler otomatik olarak silinir. Veri minimizasyonuna karşı çıkan yaygın argüman "veri değerlidir, ileride işe yarayabilir"dir. Ancak bilinmeyen gelecekteki değer için bugünkü gizlilik riski ve depolama maliyeti üstlenmek rasyonel değildir. Gerçek değer, iyi tanımlanmış amaçlara odaklanmış yüksek kaliteli veriden gelir — hacimden değil.