Data Sovereignty (Veri Egemenliği)

#veri-guvenligi #ai-ethics #gdpr #federated-learning

Bireylerin, kuruluşların veya devletlerin kendi verileri üzerindeki yasal kontrol ve denetim hakkı.

Veri egemenliği (data sovereignty), verilerin toplandığı, depolandığı veya işlendiği coğrafi bölgenin yasal yetki alanına tabi olmasını ifade eder. Bu kavram; hangi ülkenin yasalarının veriye uygulandığını, kimin bu veriye erişebileceğini ve verilerin nasıl işlenebileceğini belirler. Yalnızca fiziksel depolama konumunu kapsayan veri yerleşikliği (data residency) kavramından farklı olarak veri egemenliği, hukuki denetim boyutunu da içerir. Yapay zeka modelleri milyarlarca veri noktasına dayandığından bu verilerin nerede barındırıldığı kritik önem taşır. Bir şirket ya da devlet verilerini yabancı bir sunucuda depoluyorsa, o sunucunun bulunduğu ülkenin yasal erişim hakları devreye girebilir. Bu durum ulusal güvenlik, ticari sır ve bireysel mahremiyet açısından ciddi riskler doğurabilir. ABD merkezli büyük bulut sağlayıcılarının küresel egemenliği, pek çok hükümetin yerel altyapı kurma çabalarının temel motivasyonunu oluşturmaktadır. Veri egemenliği, ülkelerin yapay zeka altyapısını yerel olarak inşa etme çabası olan Sovereign AI hareketi ile doğrudan ilişkilidir. Türkiye, Avrupa Birliği, Japonya ve pek çok ülke; kritik verilerin sınır dışına çıkmaması için yerel veri merkezleri kurmakta, özel yapay zeka altyapıları geliştirmekte ve bulut sağlayıcılarına yönelik düzenlemeler oluşturmaktadır. Türkiye'de KVKK ve Cumhurbaşkanlığı Dijital Dönüşüm Ofisi'nin politikaları bu çerçevede belirleyici rol oynamaktadır. Teknik açıdan federated learning (federe öğrenme), veri egemenliğini korurken makine öğrenimi modelleri eğitmek için kullanılan başlıca yöntemdir. Bu yaklaşımda ham veriler merkezi sunucuya gönderilmez; yalnızca model güncellemeleri paylaşılır. Homomorphic encryption ise şifreli veriler üzerinde hesaplama yapılmasına olanak tanıyarak ham verinin açık halde işlenmesini engeller. Veri egemenliği, küresel ölçekte giderek artan bir jeopolitik mesele haline gelmektedir. ABD'nin CLOUD Act yasası Amerikan şirketlerinin yurt dışındaki verilerine erişim talep etmesine olanak tanırken, Avrupa'nın Gaia-X girişimi bölgesel dijital altyapı bağımsızlığını hedeflemektedir. Yapay zeka çağında verinin en stratejik kaynak olarak konumlanması bu tartışmayı daha da derinleştirmekte; hangi modellerin hangi verilerle eğitildiği sorusu artık teknolojik değil, siyasi bir soru haline dönüşmektedir.

Veri Yerleşikliği ile Egemenlik Arasındaki Fark

İki kavram sıklıkla karıştırılır. Veri yerleşikliği (data residency), verinin fiziksel olarak belirli bir coğrafyada depolanması gerekliliğidir. Veri egemenliği ise daha kapsamlıdır: verinin yasal yetki alanını, erişim haklarını ve işleme koşullarını belirler. Verileriniz Türkiye'deki bir veri merkezinde barınıyor olsa bile, bu veri merkezini işleten şirket farklı bir yargı bölgesine tabi olabilir. Bu nedenle teknik lokasyon ile hukuki egemenlik birlikte değerlendirilmelidir.

Veri Egemenliğini Zorunlu Kılan Riskler

  • check_circle Yabancı hükümet erişimi: ABD'nin CLOUD Act'i gibi yasalar, sunucu hangi ülkede olursa olsun ABD'li şirketlerin yurtdışındaki verilerine hükümetin erişebilmesine olanak tanır.
  • check_circle Ticari casusluk riski: Hassas kurumsal verilerin yabancı bulut altyapısında barınması, rakip ülkelerin istihbarat faaliyetlerine karşı saldırı yüzeyini artırır.
  • check_circle Regülasyon uyumsuzluğu: GDPR ve KVKK gibi düzenlemeler kişisel verilerin belirli koşullar dışında yurt dışına aktarılmasını kısıtlar; ihlaller yüksek para cezası doğurur.
  • check_circle Tedarik zinciri bağımlılığı: Kritik yapay zeka altyapısının yabancı bir sağlayıcıya dayandırılması, jeopolitik gerginliklerde hizmet kesintisi veya ambargo riski yaratır.

Türkiye'de Veri Egemenliği: KVKK ve Ötesi

Türkiye, 2016 yılında yürürlüğe giren KVKK (Kişisel Verilerin Korunması Kanunu) ile AB'nin GDPR çerçevesine yakın bir model benimsemiştir. Kanun, kişisel verilerin yurt dışına aktarımını Kişisel Verileri Koruma Kurulu'nun (KVKK) iznine bağlamaktadır. Bankacılık Düzenleme ve Denetleme Kurumu (BDDK) ise finans sektöründeki verilerin yurt içinde barındırılmasını zorunlu kılmaktadır. Cumhurbaşkanlığı Dijital Dönüşüm Ofisi'nin ulusal bulut altyapısı (Kamu Bulut) bu politikaların somut yansımasıdır.

Teknik Çözümler: Egemenliği Koruyarak Veri Analizi

Federated Learning

Ham veriler sunucuya gönderilmez; model güncellemeleri (gradyanlar) cihaz düzeyinde hesaplanır ve yalnızca gradyanlar merkeze iletilir. Sağlık ve bankacılık sektörlerinde yaygınlaşıyor.

Homomorphic Encryption

Veriler şifreli halde işlenir, analiz sonuçları çıkarılırken ham veri hiçbir zaman açık olmaz. Hesaplama maliyeti hâlâ yüksek; araştırma alanı aktif.

Differential Privacy

İstatistiksel gürültü ekleyerek bireylerin kimliği deşifre edilmeden toplu analiz yapılmasını mümkün kılar. Apple ve Google'ın kullandığı kanıtlanmış teknik.

Secure Multi-party Computation

Birden fazla tarafın verilerini açıklamadan birlikte hesaplama yapmasını sağlar; veri paylaşımı gerektiren kurumlar arası analizlerde kullanılır.

Sovereign AI ve Veri Egemenliği

NVIDIA'nın Sovereign AI kavramı, ülkelerin kendi kültürel verilerini ve dillerini kullanarak yerel yapay zeka modelleri geliştirmesini tanımlar. Bu vizyon doğrudan veri egemenliğine dayanır: yerel dil modelleri ancak yerel veri altyapısıyla gerçek anlamda egemen olabilir. Türkiye'nin milli yapay zeka modeli geliştirme hedefleri, yerli süper bilgisayar yatırımları ve KVKK çerçevesi bu Sovereign AI yolculuğunun temel unsurlarıdır.

Sık Sorulan Sorular

  • check_circle Veri egemenliği nedir?: Verilerin toplandığı veya işlendiği coğrafi bölgenin yasal yetki alanını, erişim haklarını ve işleme koşullarını belirleyen ilkedir. Yalnızca fiziksel depolama lokasyonunu değil, hukuki denetimi de kapsar.
  • check_circle Data residency ile data sovereignty farkı nedir?: Data residency verinin fiziksel olarak belirli bir ülkede depolanması gerekliliğidir. Data sovereignty ise bu veriye kimin hangi yasal çerçevede erişebileceğini kapsar; daha geniş bir kavramdır.
  • check_circle Türkiye'de veri egemenliğini düzenleyen kanun hangisi?: KVKK (Kişisel Verilerin Korunması Kanunu, 2016) temel düzenlemedir. Finans sektörü için BDDK düzenlemeleri ek yükümlülükler getirir. AB ile veri yeterliliği müzakereleri sürmektedir.
  • check_circle Yabancı bulut hizmetleri kullanan Türk şirketleri ne yapmalı?: KVKK kapsamında yurt dışı aktarım için açık rıza veya yeterlilik kararı gerekir. Kritik veriler için yerli bulut çözümleri (Kamu Bulut) veya veri işleme sözleşmeleri değerlendirilmelidir.
  • check_circle Federated learning veri egemenliğini gerçekten korur mu?: Ham verilerin paylaşılmaması güçlü bir güvencedir, ancak gradyan sızıntısı (gradient leakage) saldırıları orijinal verinin kısmen yeniden üretilmesine olanak tanıyabilir. Differential privacy ile birlikte kullanımı önerilir.