Ajanınızın sunucusu nerede?

Bir banka ihalesinde bilgi güvenliği ekibi tek bir soru sordu: “Ürününüzdeki yapay zeka asistanı müşteri verilerini hangi ülkede işliyor?” Teknik lider cevabı bildiğini sanıyordu: “Sunucularımız İstanbul’da.” Ama derine inildi: “Asistanın modeli de İstanbul’da mı?” Sözleşmenin kimsenin okumadığı ekinde cevap yazıyordu: “Model çıkarımı, hizmet sağlayıcının ABD ve İrlanda’daki veri merkezlerinde gerçekleştirilir.” Yani her müşteri mesajı, içindeki tüm kişisel verilerle, aylardır yurt dışına gidiyordu. Kimsenin haberi yoktu.

Ajanlar neden bu riski büyütür?

Klasik yazılımda “verimiz nerede?” sorusunun cevabı sabitti. Ajanlar bunu üç sebeple bozar:

• Modelin yeri ≠ sunucunuzun yeri: ajanın altındaki büyük dil modeli çoğu zaman yurt dışı bulut altyapısında çalışır. Uygulama sunucunuz Türkiye’de olsa bile, ajana giden her istem sınırı geçebilir.
• Görünmezlik: bu aktarım bir “veri gönderiyoruz” ekranı olmadan, arka planda, sürekli olur.
• Zincir uzun: ajan → model sağlayıcı → alt bulut sağlayıcı → belki başka bir bölge. Verinin gerçek yolculuğu tek bir sözleşmenin ötesine geçebilir.

m.9: yurt dışına aktarımın üç kapısı

KVKK, yurt dışına aktarımı yasaklamaz — şartlara bağlar. Amaç, veri sınırı geçtiğinde koruma seviyesinin düşmemesidir. Pratikte üç kapıdan biri kullanılır: (1) Kurulun yeterlilik kararı verdiği ülkeler; (2) yeterlilik yoksa uygun güvenceler — KOBİ’lerin en sık kullandığı standart sözleşme; (3) açık rıza gibi dar ve kırılgan istisnai hâller (sürekli/sistematik aktarım için bel bağlanmaz). Hukuki metni yazmak avukatınızın işi; sizin işiniz hangi ajanın hangi veriyi nereye aktardığını bilmek.

Tedarikçiye soracağınız beş “veri nerede?” sorusu

• Müşteri/çalışan verisi ajana ulaştığında model çıkarımı hangi ülkede yapılıyor?
• Bu veriyi işleyen alt yükleniciler kim, nerede?
• Veri işlem sonrası saklanıyor mu — ve modeli eğitmek için kullanılıyor mu?
• Veriyi yurt içinde tutan bir kurulum seçeneği var mı?
• Aktarım için gereken standart sözleşmeyi imzalamaya hazır mısınız?

Üçüncü sorunun parantezine dikkat: “Verileriniz modelimizi geliştirmek için kullanılabilir” cümlesi birçok standart sözleşmede gizlidir — ve müşterinizin verisi için bunu kabul etmek, veri işleyen sıfatınızla bağdaşmayabilir.

Nereden başlamalı? İşleme şartı haritanıza bir “aktarım” sütunu ekleyin: hangi ajan, hangi veriyi, hangi ülkeye, hangi mekanizmayla. En hassas veriler için “yurt içinde tut” seçeneğini değerlendirin — ya hep ya hiç değil, risk seviyesine göre. Aktarımını haritalamış şirket, değişen mevzuata hazır girer.