Yapay zekâ modeli eğitmek ya da çalıştırmak için yurt dışındaki GPU sunucularını kullanmak KVKK açısından ne anlama gelir? 7499 sayılı Kanun ile değişen 9. madde, aktarım mekanizmaları ve anonimleştirme, sentetik veri, şifreleme gibi pratik tekniklerle riskleri nasıl azaltabileceğinizi anlatıyoruz.
Yapay zekâ projeleri GPU gücüne ihtiyaç duyar ve bu gücün önemli bir kısmı farklı ülkelerdeki veri merkezlerinde bulunur. Model eğitmek, ince ayar yapmak ya da çıkarım çalıştırmak için yurt dışındaki bir GPU sunucusunu kullanmak teknik olarak birkaç dakikalık iştir. Hukuki tarafı ise biraz daha dikkat ister.
Eğer işlediğiniz veri kişisel veri içeriyorsa, onu yurt dışındaki bir sunucuya göndermek 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında yurt dışına aktarım sayılabilir. Bu yazıda konunun genel çerçevesini ve riskleri azaltmak için uygulayabileceğiniz pratik teknikleri anlatıyoruz.
Önemli not: Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. Kendi durumunuza özel değerlendirme için bir hukuk danışmanıyla çalışmanızı öneririz.
Yapay Zekâ Projelerinde Kişisel Veri Nerede Karşımıza Çıkar?
Pek çok ekip, modelini "sadece metin" ya da "sadece görüntü" ile eğittiğini düşünür. Oysa bu verilerin içinde çoğu zaman kişisel veri bulunur:
- Müşteri destek kayıtları: İsimler, telefon numaraları, adresler, sipariş bilgileri.
- Ses kayıtları: Çağrı merkezi konuşmaları, sesli asistan verileri.
- Görüntüler: Yüzler, plakalar, kimlik belgesi taramaları.
- Belgeler: Sözleşmeler, faturalar, CV'ler, e-postalar.
- Sağlık ve finans verileri: Hasta raporları, kredi başvuruları gibi özel nitelikli ya da hassas veriler.
Bu veriler modelin eğitim setine girdiğinde, GPU sunucusunun bulunduğu yer de önem kazanır. Çıkarım aşamasında kullanıcıların modele gönderdiği istemler (prompt) de kişisel veri içerebilir.
Bu yüzden projeye başlamadan önce basit bir veri envanteri çıkarmak çok işe yarar. Hangi veri kaynaklarını kullanacağınızı, her birinde hangi kişisel veri alanlarının bulunduğunu, verinin hangi aşamada hangi sisteme gideceğini ve ne kadar süre saklanacağını tek bir tabloda toplayın. Bu tablo hem hukuk danışmanınızla yapacağınız görüşmeyi hızlandırır hem de teknik ekibin hangi veriyi anonimleştirmesi gerektiğini netleştirir.
Envanteri çıkarırken özel nitelikli kişisel verilere ayrıca dikkat edin. Sağlık, biyometrik veri ya da ceza mahkûmiyeti gibi kategoriler KVKK'da daha sıkı kurallara tabidir. Bu tür verileri içeren projelerde, verinin yurt dışına hiç çıkmayacağı bir mimariyi öncelikli olarak değerlendirmek çoğu zaman en sağlıklı yoldur.
KVKK 9. Madde ve 7499 Sayılı Kanun ile Gelen Değişiklik
KVKK'nın yurt dışına veri aktarımını düzenleyen 9. maddesi, Mart 2024'te yürürlüğe giren 7499 sayılı Kanun ile önemli ölçüde değiştirildi. Eski düzende uygulamada en sık başvurulan yol açık rızaydı. Yeni düzende ise aktarım için kademeli bir mekanizma yapısı benimsendi.
Genel hatlarıyla yeni sistem şöyle işler: Önce kanundaki işleme şartlarından birinin bulunması gerekir. Ardından aktarımın yapılacağı ülke ya da sektör için bir yeterlilik kararı aranır. Yeterlilik kararı yoksa uygun güvencelerden biri sağlanır. Bunların hiçbiri mümkün değilse, sınırlı durumlarda arızi aktarım yoluna başvurulabilir.
Yurt Dışına Aktarım Mekanizmaları
| Mekanizma | Kısaca ne anlama gelir? | Dikkat edilecek nokta |
|---|---|---|
| Yeterlilik kararı | Kurul'un bir ülke, ülke içindeki sektör ya da uluslararası kuruluş için yeterli koruma bulunduğuna karar vermesi | Hedef ülke için güncel bir karar olup olmadığını kontrol edin |
| Standart sözleşme | Kurul tarafından ilan edilen standart sözleşme metninin taraflarca imzalanması | İmzadan sonra 5 iş günü içinde Kurul'a bildirilmesi gerekir |
| Bağlayıcı şirket kuralları | Aynı şirketler grubu içindeki aktarımlar için Kurul onaylı kurallar | Onay süreci gerektirir, genellikle büyük gruplar için uygundur |
| Yazılı taahhütname | Yeterli korumayı sağlayacağına dair hükümler içeren, Kurul izniyle kullanılan taahhüt | Kurul izni gerekir |
| Arızi aktarım | Düzenli olmayan, istisnai durumlarda kanunda sayılan hallere dayanan aktarım | Süreklilik arz eden iş yükleri için uygun değildir |
Yapay zekâ eğitimi ya da düzenli çıkarım gibi tekrar eden işlerde arızi aktarım genellikle uygun bir dayanak değildir. Bu tür senaryolarda en sık değerlendirilen yol, standart sözleşmedir. Hangi mekanizmanın sizin için uygun olduğunu, veri türünüz ve iş akışınız üzerinden bir hukuk danışmanıyla netleştirmeniz gerekir.
Konunun daha geniş çerçevesini KVKK, veri yerelliği ve yurt dışına aktarım yazımızda ayrıntılı olarak ele aldık.
Riskleri Azaltan Pratik Teknikler
Hukuki mekanizmalar önemlidir, ama en etkili yaklaşım çoğu zaman yurt dışına giden kişisel veri miktarını teknik olarak azaltmaktır. Aktarılmayan veri, aktarım riski de taşımaz.
Anonimleştirme ve Takma Adlandırma Arasındaki Fark
Bu iki kavram sıkça karıştırılır, ama KVKK açısından sonuçları çok farklıdır:
- Anonimleştirme: Verinin, başka verilerle eşleştirilse bile hiçbir şekilde belirli bir kişiyle ilişkilendirilemeyecek hale getirilmesidir. Gerçekten anonim hale gelmiş veri, kişisel veri olmaktan çıkar.
- Takma adlandırma (pseudonymisation): İsim gibi doğrudan tanımlayıcıların bir kod ya da rastgele bir kimlikle değiştirilmesidir. Eşleştirme tablosu bir yerde durduğu sürece veri yeniden kişiyle ilişkilendirilebilir. Bu nedenle takma adlandırılmış veri hâlâ kişisel veridir.
Takma adlandırma güvenliği artıran değerli bir önlemdir, ama tek başına aktarım yükümlülüğünü ortadan kaldırmaz. Anonimleştirmede de dikkatli olmak gerekir: Serbest metinler, nadir özellikler ya da birden fazla alanın birleşimi, kişinin yeniden tanınmasına yol açabilir.
Sentetik Veri ve Kişisel Olmayan Veriyle Eğitim
Bazı projelerde gerçek kişisel veriye hiç ihtiyaç duymadan ilerlemek mümkündür:
- Sentetik veri: Gerçek verinin istatistiksel yapısını taklit eden ama gerçek kişilere ait olmayan yapay veri üretmek. Prototip ve ilk eğitim aşamaları için özellikle kullanışlıdır.
- Kişisel olmayan veri: Ürün katalogları, teknik dokümanlar, makine sensör verileri ya da kamuya açık ve lisansı uygun metinler gibi kişisel veri içermeyen kaynaklarla eğitim yapmak.
Sentetik veri üretirken de üretici modelin gerçek kayıtları ezberleyip aynen tekrar etmediğinden emin olmak gerekir. Sentetik veri üretimini Türkiye'deki sistemlerinizde yapıp yalnızca üretilen yapay veriyi yurt dışındaki GPU sunucusuna göndermek, bu yaklaşımın en güvenli uygulama biçimidir. Gerçek veriyle yapılacak son doğrulama adımlarını ise yurt içinde tutabilirsiniz.
Ham Veriyi Türkiye'de Tutmak
Pratikte iyi işleyen bir mimari şudur: Ham kişisel veri Türkiye'deki sistemlerinizde kalır. Anonimleştirme ve temizleme işlemleri burada yapılır. Yurt dışındaki GPU sunucusuna yalnızca anonimleştirilmiş eğitim seti gönderilir.
Ham veriyi ve anonimleştirilmiş kopyaları Türkiye'de saklamak için CloudRUX S3 nesne depolamayı kullanabilirsiniz. Böylece veri hazırlık hattınız yurt içinde kalırken, yoğun hesaplama gerektiren eğitim işi GPU sunucularında çalışır.
| Aşama | Nerede? | Veri türü |
|---|---|---|
| Ham veri toplama ve saklama | Türkiye | Kişisel veri içerebilir |
| Anonimleştirme ve temizleme | Türkiye | Kişisel veriden anonim veriye |
| Model eğitimi | Yurt dışındaki GPU sunucusu | Anonim ya da kişisel olmayan veri |
| Model ağırlıklarını geri alma | Türkiye | Eğitilmiş model |
Şifreleme, Silme ve Kayıt Tutma
Hangi veriyi aktarırsanız aktarın, temel güvenlik önlemleri vazgeçilmezdir:
- Aktarımda şifreleme: Veriyi sunucuya SSH, SFTP ya da HTTPS gibi şifreli kanallarla gönderin.
- Depolamada şifreleme: Sunucu üzerindeki veri setlerini şifreli disklerde ya da şifreli arşivlerde tutun.
- İş bittiğinde silme: Eğitim tamamlandığında veri setlerini, ara dosyaları ve kontrol noktalarını sunucudan silin. Yalnızca ihtiyacınız olan model çıktılarını geri alın.
- Kayıt tutma: Hangi verinin, ne zaman, hangi sunucuya, kim tarafından gönderildiğini ve ne zaman silindiğini kaydedin. Bu kayıtlar, olası bir denetimde hesap verebilirliğinizi gösterir ve veri akışınızı ekip içinde de şeffaf hale getirir.
- Erişim sınırlama: Sunucuya erişebilecek kişileri en aza indirin ve SSH anahtarlarını kişi bazında yönetin.
Şunu da unutmamak gerekir: GPU'nun veriyi işleyebilmesi için verinin bellekte çözülmüş olması gerekir. Bu nedenle şifreleme güvenliği artırır, ama tek başına kişisel verinin yurt dışına aktarıldığı gerçeğini değiştirmez.
CloudRUX GPU Sunucuları Nerede Çalışıyor?
Şeffaf olmak isteriz: CloudRUX GPU sunucuları, yurt dışındaki iş ortağımızın veri merkezlerinde çalışır. Bu nedenle kişisel veri işleyecek projelerde yukarıda anlattığımız değerlendirmeyi yapmanızı öneririz.
Hizmetimiz erken erişimde; L4 24 GB için saatlik 0,74 $ ve H100 80 GB için saatlik 4,99 $ gibi KDV hariç başlangıç fiyatlarıyla sunulur. Faturalandırma Türkiye'de e-fatura ile yapılır, destek Türkçe konuşan mühendislerimiz tarafından verilir. Standart sözleşme süreçlerinde de size yardımcı oluyoruz.
Sık Sorulan Sorular
Anonimleştirilmiş veriyi yurt dışındaki GPU'da işlemek KVKK kapsamında mı?
Veri gerçekten anonim hale getirilmişse, yani hiçbir şekilde kişiyle ilişkilendirilemiyorsa, kişisel veri sayılmaz ve yurt dışına aktarım kurallarının kapsamı dışında kalır. Ancak anonimleştirmenin yeterli olup olmadığını dikkatle değerlendirmek gerekir.
Standart sözleşme imzalamak yeterli mi?
Standart sözleşme bir aktarım mekanizmasıdır, ama tek başına her şeyi çözmez. Ayrıca bir işleme şartının bulunması, aydınlatma yükümlülüğünün yerine getirilmesi ve sözleşmenin imzadan sonra 5 iş günü içinde Kurul'a bildirilmesi gerekir. Ayrıntılar için hukuk danışmanınıza başvurun.
Model ağırlıkları kişisel veri içerir mi?
Bu, modelin türüne ve eğitim verisine bağlıdır. Bazı modeller eğitim verisinden parçaları ezberleyebilir. Bu nedenle kişisel veriyle eğitim yapmamak ya da veriyi önceden anonimleştirmek en güvenli yaklaşımdır.
Açık rıza hâlâ kullanılabilir mi?
7499 sayılı Kanun sonrasında açık rıza, aktarım için ilk başvurulan yol olmaktan çıktı ve arızi aktarım halleri arasında sınırlı bir rol üstlendi. Düzenli iş yükleri için başka bir mekanizmanın değerlendirilmesi gerekir.
CloudRUX GPU Sunucu
CloudRUX, yapay zekâ projeleriniz için L4'ten B200'e kadar GPU'ları saatlik fiyatlarla, SSH ve Jupyter erişimiyle, hazır PyTorch ve CUDA şablonlarıyla sunar. Sunucuların yurt dışındaki iş ortağımızın veri merkezlerinde çalıştığını baştan açıkça paylaşıyor, veri akışınızı KVKK'ya uygun biçimde kurgulamanız ve standart sözleşme süreçleri konusunda yardımcı oluyoruz. Kartları ve fiyatları GPU sunucu sayfamızda inceleyebilir, projenizi birlikte değerlendirmek için bizimle iletişime geçebilirsiniz.