Kodakod Ekibi
Yapay zeka güçlü, ama denetimsiz kullanıldığında risklidir. Veri güvenliği, halüsinasyon ve KVKK uyumu için sorumlu bir çerçeveyi nasıl kurarsınız?
Kısaca: Sorumlu yapay zeka; yapay zekayı doğruluk, veri güvenliği ve yasal uyum gözetilerek, denetim mekanizmalarıyla birlikte kullanmaktır. Pratikte üç işe dayanır: halüsinasyonu kaynağa dayandırma ve insan onayıyla sınırlamak, kişisel veriyi KVKK'ya uygun biçimde (en az veri, net sözleşme, yurt dışı aktarım için hukuki dayanak) işlemek ve hangi araca veri verdiğinizi kontrol altında tutmak. Bu çerçeve işi yavaşlatmaz; yapay zekayı daha geniş ve daha güvenle kullanmanızı sağlar.
Yapay zekanın gücü arttıkça, onu sorumlu kullanma zorunluluğu da artıyor. 2026'da işletmeler için asıl fark yaratan soru “yapay zekayı kullanıyor muyuz?” değil; “güvenle mi kullanıyoruz?” oldu. Denetimsiz bir yapay zeka, hız kazandırırken sessizce itibar ve uyum riski biriktirebilir.
Halüsinasyon: kendinden emin ama yanlış
Yapay zeka modelleri kimi zaman gerçek gibi görünen ama tamamen yanlış bilgi üretir; buna halüsinasyon denir. En tehlikeli yanı, bunu son derece ikna edici bir dille yapmasıdır. Bir müşteriye yanlış fiyat, yanlış koşul veya var olmayan bir özellik söyleyen asistan, işletmeye doğrudan zarar verir.
Bu yalnızca bizim gözlemimiz değil. ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), üretken yapay zeka için hazırladığı risk yönetimi profilinde (NIST AI 600-1, Temmuz 2024) bu durumu “confabulation” adıyla, kullanıcıyı yanıltabilecek, kendinden emin biçimde ifade edilmiş hatalı veya yanlış içerik üretimi olarak tanımlıyor ve temel riskler arasında sayıyor. Kişisel Verileri Koruma Kurumu da Kasım 2025'te yayımladığı üretken yapay zeka rehberinde, kaliteli verilerle eğitilmiş sistemlerin bile gerçek dışı içerik üretebileceğini, bu yüzden çıktıların düzenli izlenmesi ve gerektiğinde insan gözetimiyle desteklenmesi gerektiğini vurguluyor.
Halüsinasyonu sıfırlamak mümkün değil, ama ciddi biçimde azaltmanın yolları var:
- Kaynağa dayandırma (RAG) — asistanın yanıtı sizin doğrulanmış belgelerinize dayansın; mümkünse yanıtla birlikte dayandığı belgeyi de göstersin.
- Bilmiyorum diyebilme — emin olmadığında uydurmak yerine insana devretsin.
- Kritik çıktıda insan onayı — hukuki, finansal veya sağlıkla ilgili yanıtlarda insan denetimi şart.
- Kapsamı daraltma — asistanın hangi konularda konuşacağını açıkça sınırlayın; fiyat, stok gibi değişken bilgileri modelin hafızasından değil, canlı sistemden okutun.
- Zor sorularla test — yayına almadan önce, gerçek müşteri sorularından ve bilerek sorulmuş “tuzak” sorulardan oluşan bir test seti hazırlayın; her güncellemeden sonra tekrar çalıştırın.
Güvenilir yapay zeka, her şeyi bilen değil; ne bildiğini ve ne bilmediğini bilen sistemdir.
Veri güvenliği ve KVKK
Yapay zeka araçlarına iş verisi girerken çoğu işletmenin sormayı unuttuğu soru şudur: bu veri nereye gidiyor, nerede saklanıyor ve model bunu eğitiminde kullanıyor mu? Müşteri verisinin izinsiz üçüncü bir servise akması, KVKK açısından ciddi bir ihlal doğurabilir.
Burada üç nokta özellikle önemli:
- Yurt dışına aktarım. Yaygın yapay zeka servislerinin önemli bir kısmı yurt dışındaki altyapıda çalışıyor. KVKK rehberi, Türkiye'deki bir veri sorumlusu yurt dışındaki bir sağlayıcı üzerinden yapay zeka kullanıp kişisel veri aktardığında, bu aktarımın 6698 sayılı Kanun'un 9'uncu maddesine ve 10 Temmuz 2024'te yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'e uygun yapılması gerektiğini açıkça belirtiyor.
- Sözleşme ve roller. Sağlayıcı sizin adınıza veri işliyorsa veri işleyen konumundadır; verinin hangi amaçla, ne kadar süre işleneceği ve nasıl silineceği sözleşmeyle netleşmelidir.
- Tüketici hesabı ile kurumsal hesap aynı şey değildir. Sağlayıcıların eğitim ve saklama koşulları ürüne göre değişir. Örneğin Anthropic, ticari ürünlerinde (Claude for Work ve API) sohbetleri model eğitiminde kullanmadığını yazarken tüketici planları için ayrı kurallar uyguluyor. Çalışanların kişisel hesaplarıyla müşteri verisi işlemesi bu yüzden ayrı bir risktir.
Sorumlu bir kurulumun temel ilkeleri:
- Veri minimizasyonu — modele yalnızca işin gerektirdiği kadar veri verin.
- Kişisel verinin ayrıştırılması — kimlik bilgilerini gerektiğinde maskeleyin.
- Sözleşmesel güvence — kullandığınız servisin verinizi eğitimde kullanmadığından emin olun.
- Erişim ve iz kaydı — kimin neye eriştiği kayıt altında olsun.
Bu yazı hukuki görüş yerine geçmez; aktarım dayanağı ve aydınlatma metni gibi konularda hukuk danışmanınızla birlikte karar verin. Web sitenizin genel KVKK durumunu kontrol etmek için şirketler için KVKK kontrol listemize de göz atabilirsiniz.
Risk, örnek ve önlem: tek tabloda
| Risk | Tipik örnek | Önlem |
|---|---|---|
| Halüsinasyon | Asistanın olmayan bir kampanya koşulunu müşteriye söylemesi | RAG, kapsam sınırı, “bilmiyorum” ve insana devir, test seti |
| Kişisel veri sızıntısı | Çalışanın müşteri listesini kişisel bir sohbet hesabına yapıştırması | Kurumsal hesap, kullanım politikası, maskeleme, eğitim |
| Hukuki dayanaksız yurt dışı aktarım | Müşteri verisinin yurt dışındaki bir servise aktarımının belgelenmemesi | KVKK 9. madde ve yönetmeliğe göre aktarım dayanağı, sözleşme |
| Sahte yapay zeka uygulaması | Reklamdan indirilen “ChatGPT” kurulum dosyasının zararlı yazılım çıkması | Yalnızca resmi kaynaktan kurulum, onaylı araç listesi |
| Denetlenemeyen kararlar | Bir yanıtın neden verildiğinin sonradan açıklanamaması | İstek ve yanıtların kayıt altına alınması, düzenli örneklem kontrolü |
Sahte yapay zeka araçları: hangi araca veri verdiğinizi bilin
Bir tehdit tarafı da var: 2026'da saldırganlar yapay zekayı taklit eden zararlı yazılımlarla işletmeleri hedef alıyor. Kaspersky'nin Haziran 2026 raporuna göre Ocak–Nisan 2026 arasında küçük ve orta ölçekli işletmelere yönelik, popüler yapay zeka servisleri kılığına girmiş 33.300'den fazla saldırı tespit edildi; bu, 2025'in aynı dönemine göre neredeyse beş kat artış. En çok taklit edilen markalar ChatGPT, Claude ve DeepSeek oldu.
Bu yüzden hangi araca veri verdiğinizi bilmek yalnızca uyum değil, güvenlik meselesi. Basit bir kural büyük fark yaratır: yapay zeka araçlarını yalnızca sağlayıcının resmi sitesinden veya uygulama mağazasından kurun, şirket içinde onaylı araçların listesini tutun ve bu liste dışındaki araçlara iş verisi girilmemesini açık bir kural hâline getirin.
Uygulanabilir kontrol listesi
- Şirkette hangi yapay zeka araçlarının, kimler tarafından, hangi veriyle kullanıldığını listeleyin.
- Her araç için verinin işlendiği yeri, saklama süresini ve eğitimde kullanılıp kullanılmadığını sağlayıcının resmi belgelerinden doğrulayın.
- Kişisel veri içeren kullanımlar için yurt dışı aktarım dayanağını ve sözleşmeyi hukuk danışmanınızla netleştirin.
- Çalışanlar için kısa ve anlaşılır bir yapay zeka kullanım politikası yazın: hangi araç, hangi veri, hangi amaç.
- Müşteriyle konuşan asistanlarda RAG, kapsam sınırı ve insana devir mekanizmasını zorunlu tutun.
- Yayın öncesi ve her güncellemeden sonra çalışan bir test seti oluşturun.
- İstekleri ve yanıtları, kişisel veriyi gereğinden fazla saklamadan kayıt altına alın ve düzenli örneklem kontrolü yapın.
- Çalışanları sahte uygulamalar ve veri paylaşımı konusunda bilgilendirin; KVKK rehberi de çalışan farkındalığını ayrıca öneriyor.
Sık yapılan hatalar
- Yasaklayıp bırakmak. Kullanımı tamamen yasaklamak çalışanları kontrolsüz kişisel hesaplara itebilir; onaylı ve güvenli bir alternatif sunmak daha etkilidir.
- “Anonim” sanılan veri. İsmi silinmiş bir kayıt, başka bilgilerle birleştiğinde kişiyi hâlâ tanımlayabilir. KVKK rehberi de anonim olduğu ileri sürülen verinin gerçekten anonim olup olmadığının teknik olarak ortaya konması gerektiğini vurguluyor.
- Bir kere test edip unutmak. Model, belge veya istem değiştiğinde asistanın davranışı da değişir; test bir kerelik değil, süreklidir.
- Sorumluluğu sağlayıcıya bırakmak. Sağlayıcı ne kadar güçlü olursa olsun, müşterinize verilen yanıtın ve işlenen verinin sorumluluğu sizdedir.
Müşteri hizmetlerinde bu ilkeleri nasıl uyguladığımızı yapay zeka destekli müşteri hizmetleri yazımızda, ajanlar tarafındaki yetki risklerini ise agentic AI yazımızda anlattık.
Sorumlu yapay zeka bir yük değil, avantajdır
Sorumlu yapay zeka çerçevesi kurmak işi yavaşlatmaz; tam tersine güven inşa ederek hızlandırır. Müşteriniz verisinin güvende olduğunu bildiğinde, denetim mekanizması netleştiğinde yapay zekayı daha cesur ve daha geniş kullanabilirsiniz. Kodakod olarak yapay zeka çözümlerini baştan güvenlik, doğruluk ve KVKK uyumu gözeterek kurgular; hız ile güveni aynı sistemde buluştururuz.
Sık sorulan sorular
Halüsinasyon, bir yapay zeka modelinin gerçek gibi görünen ama tamamen yanlış bilgi üretmesidir. En tehlikeli yanı, bu yanlış bilgiyi son derece ikna edici bir dille sunmasıdır. Örneğin müşteriye yanlış fiyat, yanlış koşul veya var olmayan bir özellik söyleyen bir asistan işletmeye doğrudan zarar verir.
Halüsinasyonu azaltmanın üç temel yolu vardır. Asistanın yanıtlarını RAG ile sizin doğrulanmış belgelerinize dayandırmak, emin olmadığında uydurmak yerine "bilmiyorum" deyip insana devretmesini sağlamak ve hukuki, finansal veya sağlıkla ilgili kritik çıktılarda insan onayı aramak. Güvenilir yapay zeka her şeyi bilen değil, ne bildiğini ve ne bilmediğini bilen sistemdir.
Evet, dikkatsiz kullanıldığında ciddi risk taşır. Müşteri verisinin izinsiz olarak üçüncü taraf bir servise akması, Türkiye'nin kişisel verilerin korunmasına ilişkin kanunu olan KVKK açısından ciddi bir ihlal doğurabilir. Bu nedenle bir yapay zeka aracına veri vermeden önce verinin nereye gittiği, nerede saklandığı ve modelin onu eğitimde kullanıp kullanmadığı netleştirilmelidir.
Dört temel ilke öne çıkar. Veri minimizasyonuyla modele yalnızca işin gerektirdiği kadar veri verilir, kimlik bilgileri gibi kişisel veriler gerektiğinde maskelenir, kullanılan servisin veriyi eğitimde kullanmadığı sözleşmeyle güvence altına alınır ve kimin neye eriştiği kayıt altında tutulur. Ayrıca yapay zekayı taklit eden zararlı yazılımlara karşı hangi araca veri verildiğini bilmek bir güvenlik meselesidir.
Sorumlu yapay zeka, yapay zekayı doğruluk, veri güvenliği ve yasal uyum gözetilerek, denetim mekanizmalarıyla birlikte kullanmaktır. Böyle bir çerçeve işi yavaşlatmaz; tam tersine güven inşa ederek hızlandırır. Müşteriler verilerinin güvende olduğunu bildiğinde ve denetim mekanizmaları net olduğunda, işletme yapay zekayı daha cesur ve daha geniş kullanabilir.
