Blog · Uyumluluk

KVKK uyumlu yapay zeka asistanı: nelere dikkat etmeli?

Sitenize bir sesli yapay zeka asistanı eklemek, aynı zamanda ziyaretçilerinizin kişisel verisini işleyen yeni bir veri sorumlusu zinciri kurmak demektir. KVKK (6698 sayılı kanun) ve onunla büyük ölçüde paralel olan GDPR çerçevesinde, bu zincirin her halkasının uyumlu olması gerekir. Bu yazıda bir AI asistanı satın alırken veya kurarken hangi soruları sormanız gerektiğini, hangi teknik mekanizmaların gerçekten fark yarattığını ve RAQS'ın bunları nasıl ele aldığını somut olarak anlatıyoruz.

Neden bir AI asistanı bir KVKK meselesidir?

Bir sesli asistan üç noktada kişisel veriyle temas eder: ziyaretçinin sesi (biyometrik olabilen ham ses kaydı), konuşmanın metne dökülmüş hâli ve bu metin içinde geçebilecek isim, telefon, sipariş numarası gibi tanımlayıcılar. Üstelik asistan sitenizin içeriğinden cevap üretirken arka planda bir konuşma-metne (STT), bir büyük dil modeli (LLM) ve bir metin-konuşma (TTS) servisi kullanır. Bu servislerin her biri verinin nereye gittiği, ne kadar saklandığı ve model eğitiminde kullanılıp kullanılmadığı sorularını doğurur.

KVKK açısından siz, sitenizin sahibi olarak çoğu durumda veri sorumlususunuz; asistanı sağlayan platform ise veri işleyen konumundadır. Bu ilişkiyi düzenleyen bir veri işleme sözleşmesi (KVKK 12. madde kapsamında veri güvenliği yükümlülükleri, GDPR'da DPA) olmadan hizmeti canlıya almak, denetimde en sık karşılaşılan eksikliklerden biridir. Dolayısıyla teknik özelliklerden önce sorulması gereken soru basittir: bu tedarikçi benim veri işleyenim olarak hangi sözleşmesel ve teknik garantileri veriyor?

Ham ses

Mikrofon kaydı; biyometrik kategoriye girebilen hassas veri.

Transkript

Konuşmanın metni; içinde tanımlayıcılar geçebilir.

Alt servisler

STT + LLM + TTS zincirinin her halkası bir işleyen.

Rol

Site sahibi = sorumlu, platform = işleyen; sözleşme şart.

Veri yerleşimi (data residency): veriniz fiziksel olarak nerede?

KVKK'nın yurt dışına veri aktarımı rejimi, verinin hangi ülkedeki sunucularda işlendiğini doğrudan önemli kılar. Verinin AB içinde tutulması, GDPR'ın yeterlilik kararları sayesinde aktarım sorununu büyük ölçüde sadeleştirir; ABD merkezli bir LLM sağlayıcısına ham veri gönderen bir mimari ise ek hukuki gerekçe ve genellikle açık rıza ister. Bu yüzden 'bulutta çalışıyor' yeterli bir cevap değildir; hangi bölgede (region) çalıştığı somut olarak sorulmalıdır.

RAQS, ses-metin, dil modeli ve metin-ses bileşenlerini Azure üzerinde, AB bölgesinde barındırır. Azure OpenAI'nin kurumsal modeli, gönderilen veriyi temel modelin eğitiminde kullanmaz; bu, 'verim modelin eğitimine gider mi?' sorusunun en kritik kısmıdır. Veri yerleşimini değerlendirirken yalnızca uygulamanın değil, çağırdığı her alt servisin (STT/LLM/TTS) bölgesini ayrı ayrı netleştirin.

Bölge somut olmalı

'Bulut' değil; hangi region — örn. AB.

Alt servisler dahil

STT/LLM/TTS'in her birinin bölgesi ayrı sorgulanmalı.

Eğitimde kullanım

Kurumsal LLM modu: veri temel model eğitimine gitmez.

Aktarım gerekçesi

AB dışına çıkış varsa hukuki dayanak + rıza gerekir.

Açık rıza ve aydınlatma: ziyaretçi neyi onaylıyor?

Sesli bir asistan mikrofona eriştiği anda ziyaretçinin bilgilendirilmesi ve uygun hâllerde açık rızasının alınması gerekir. KVKK aydınlatma yükümlülüğü; verinin hangi amaçla, kim tarafından, ne kadar süreyle işlendiğinin ve haklarının (silme, itiraz, erişim) açıkça belirtilmesini ister. İyi bir asistan, mikrofon erişimini ziyaretçinin bir eylemine (orb'a dokunma) bağlar — yani sessiz, arka planda dinleme yapmaz; oturum ziyaretçinin iradesiyle başlar.

RAQS'ta ses oturumu tap-to-talk ile, yani ziyaretçinin açık bir tıklamasıyla açılır; uyandırma kelimesi tarayıcının kendi Web Speech API'siyle yerelde dinlenir ve oturum tetiklenene kadar veri sunucuya akmaz. Bu, 'arka planda sürekli dinleyen' bir kurgudan farklıdır ve aydınlatma metninizi sadeleştirir. Aydınlatma metninizi ve rıza akışınızı sitenize entegre etmek sizin sorumluluğunuzda kalır; platform bunu teknik olarak mümkün kılacak şekilde tasarlanmıştır.

İradeyle başlama

Tap-to-talk; sessiz arka plan dinleme yok.

Yerel uyandırma

Wake-word tarayıcıda; oturum açılana dek veri akmaz.

Aydınlatma

Amaç, süre, haklar açıkça belirtilmeli.

Haklar

Erişim, silme ve itiraz yolları işler durumda olmalı.

Veri minimizasyonu: ne kadar az veri, o kadar az risk

KVKK ve GDPR'ın temel ilkelerinden biri amaçla bağlantılı, sınırlı ve ölçülü veri işlemedir. Bir asistanın ziyaretçiye cevap verebilmek için ham sesi sonsuza dek saklamasına gerek yoktur; transkript ve cevap, neredeyse her amaç için yeterlidir. Tedarikçiye sorulacak net soru şudur: ham ses kaydı ne kadar süre tutuluyor, transkriptler ne kadar saklanıyor ve bunlar silinebiliyor mu?

RAQS'ın cevap mimarisi minimizasyonu doğal olarak destekler: asistan yalnızca sizin bilgi tabanınızdan cevap verir; içerikte yoksa 'bilmiyorum' der ve uydurmaz. Bilgi tabanı ise sizin taratıp yüklediğiniz içeriktir — yani ziyaretçinin kişisel verisini toplama amacı taşımaz, bir ürün/sayfa sorusuna cevap üretme amacı taşır. Konuşmalar panelde gözden geçirilebilir; saklama ve silme politikanızı buna göre belirleyebilirsiniz. Bilgi tabanına yanlışlıkla kişisel veri (örneğin müşteri listeleri) koymamak da minimizasyonun bir parçasıdır.

Amaca bağlılık

Sadece cevap için gereken veri işlenir.

Halüsinasyon yok

Yalnızca bilgi tabanından cevap; yoksa 'bilmiyorum'.

Saklama süresi

Ham ses ve transkript saklama süresi netleştirilmeli.

Temiz bilgi tabanı

KB'ye gereksiz kişisel veri konmamalı.

Kiracı izolasyonu ve güvenlik: verileriniz birbirine karışmaz

Çok kiracılı (multi-tenant) bir platformda en büyük teknik risk, bir müşterinin verisinin başka bir müşteriye sızmasıdır. Bunu önleyen mekanizma satır düzeyi güvenliktir (row-level security, RLS): veritabanı seviyesinde her sorgu yalnızca ilgili kiracının satırlarını görebilir, uygulama kodu hata yapsa bile başka kiracının verisi dönmez. Bu, 'uygulamada filtreliyoruz' demekten çok daha güçlü bir garantidir çünkü güvenlik veritabanının kendisinde uygulanır.

RAQS çok kiracılı mimaride RLS ile kiracı izolasyonu uygular. Bunun yanında tarama (crawl) altyapısı SSRF korumalıdır — yani asistanın site tarayıcısı iç ağ adreslerine veya yetkisiz hedeflere yönlendirilemez. Asistanın yüklenmesi origin allowlist ile sınırlandırılır ve kötüye kullanıma karşı Cloudflare Turnstile devrededir. Hassas eylemler (ödeme, hesap, silme) ise asistan tarafından otomatik yapılmaz; her zaman ziyaretçinin açık onayını gerektirir. Tedarikçi değerlendirirken bu üç katmanı ayrı ayrı sorun: depoda izolasyon, kenar/edge'de kötüye kullanım koruması, eylemde onay.

RLS izolasyon

Kiracı ayrımı veritabanı seviyesinde zorlanır.

SSRF korumalı tarayıcı

Crawler iç/yetkisiz hedeflere yönlendirilemez.

Origin allowlist

Asistan yalnızca izinli domainlerde yüklenir.

Eylemde onay

Ödeme/hesap/silme için açık kullanıcı onayı.

Tedarikçiye sormanız gereken sorular (kontrol listesi)

Aşağıdaki sorular, bir AI asistanının KVKK/GDPR açısından gerçekten değerlendirilmesini sağlar. Pazarlama metninde 'KVKK uyumlu' yazması yeterli değildir; bu cümlenin arkasındaki mekanizmaları görmek istersiniz. Soruların cevapları somut (bölge adı, saklama süresi, sözleşme tipi) olmalı; 'güvendesiniz' gibi muğlak ifadeler bir cevap değildir.

Bir özet olarak: veri nerede işleniyor, kim erişiyor, ne kadar saklanıyor, model eğitiminde kullanılıyor mu, kiracılar nasıl izole ediliyor ve sizinle hangi sözleşme imzalanıyor. Bu altı eksen netleştiğinde uyumluluk değerlendirmenizin teknik temeli tamamlanmış olur; geri kalan kısım sizin aydınlatma metniniz, rıza akışınız ve saklama politikanızdır.

Veri yerleşimi

STT/LLM/TTS hangi bölgede çalışıyor?

Eğitimde kullanım

Verim temel model eğitimine gidiyor mu?

Saklama

Ham ses ve transkript ne kadar tutulur, silinebilir mi?

İzolasyon

Kiracı ayrımı RLS gibi veritabanı seviyesinde mi?

Sözleşme

Veri işleme sözleşmesi (DPA) imzalanıyor mu?

Kötüye kullanım

Origin allowlist + anti-abuse koruması var mı?

Sık sorulan sorular

RAQS KVKK uyumlu mu?

RAQS, KVKK ve GDPR farkındalığıyla tasarlanmıştır: AB bölgesinde Azure barındırma, kiracı izolasyonu için satır düzeyi güvenlik (RLS), SSRF korumalı tarayıcı, origin allowlist ve anti-abuse koruması. Uyumluluğun tamamlanması için aydınlatma metni ve rıza akışını sitenize entegre etmek site sahibi olarak sizin sorumluluğunuzdadır.

Ziyaretçinin sesi nerede işleniyor?

Konuşma-metin ve metin-konuşma Azure Speech ile, dil modeli ise Azure OpenAI ile AB bölgesinde çalışır. Kurumsal LLM modunda gönderilen veri temel modelin eğitiminde kullanılmaz.

Asistan arka planda sürekli dinliyor mu?

Hayır. Ses oturumu ziyaretçinin orb'a dokunmasıyla (tap-to-talk) açılır; uyandırma kelimesi tarayıcıda yerel olarak dinlenir ve oturum tetiklenene kadar ses sunucuya akmaz.

Veriler farklı müşteriler arasında karışır mı?

Hayır. Çok kiracılı mimaride kiracı ayrımı satır düzeyi güvenlik (RLS) ile veritabanı seviyesinde zorlanır; bir kiracının sorgusu başka kiracının satırlarını göremez.

Asistan kendi başına ödeme veya hesap işlemi yapar mı?

Hayır. Hassas işlemler (ödeme, hesap değişikliği, silme) için her zaman ziyaretçinin açık onayı gerekir; güvenlik katmanı bu eylemleri otomatik gerçekleştirmez.

Uyumluluktan ödün vermeden siteni konuştur

AB bölgesi barındırma, kiracı izolasyonu ve güvenlik katmanlarıyla; tek satır kodla ücretsiz dene.

Ücretsiz başla

← Ana sayfa