Şirketler İçin Yapay Zeka Veri Gizliliği: Verileriniz Güvende mi?

Ekip olarak işletmelere yapay zeka otomasyonu kurarken en sık duyduğumuz soru şu: "ChatGPT verilerimi kullanıyor mu?" Kısa yanıt, hangi hesapla çalıştığınıza bağlıdır. Ücretsiz ya da bireysel bir hesap ile şirketin yönettiği bir iş planı, aynı arayüzü paylaşsa bile farklı sözleşmelere tabidir.

Bu rehberde dört aracı yalnız veri gizliliği ve şirket kullanımı açısından inceliyoruz. Hangi aracın daha doğru cevap verdiğini merak ediyorsanız, yapay zeka araçlarının doğruluğunu kıyasladığımız yazıya göz atabilirsiniz. Orada doğruluğu, burada ise verinizin başına gelenleri konuşuyoruz.

Not: Bu yazı hukuki danışmanlık değildir. KVKK ya da GDPR uyumu konusunda karar vermeden önce hukukçunuza danışın.

Bu karşılaştırmayı nasıl yaptık?

Her aracın bilgisini yalnız kendi resmi kaynağından derledik: gizlilik merkezi, güven sayfası, plan karşılaştırma sayfası ve yardım belgeleri. Bağımsız blog yorumlarını ya da forum iddialarını tabloya almadık. Bir hücreyi resmi sayfada doğrulayamadığımızda tahmin etmek yerine "resmi sayfadan kontrol edin" yazdık.

Karşılaştırmada şu ölçütleri kullandık:

• Girdiğiniz verinin model eğitimine girip girmediği, varsayılan ayar ve kapatma seçeneği.
• Kişisel plan ile şirket planı arasındaki fark.
• Veri saklama süresini yöneticinin belirleyip belirleyemediği.
• Yönetici paneli ve tek oturum açma, yani SSO (single sign-on).
• Veri işleme sözleşmesi, yani DPA (data processing addendum).
• Veri konumu ya da bölge seçeneği.
• Resmi sayfada geçen uyumluluk belgeleri (SOC 2, ISO 27001 gibi).
• Denetim kaydı, yani audit log.

Fiyat, kullanıcı sayısı ve model sürümü gibi hızla değişen bilgileri bilerek yazmadık. Ayrıca hiçbir aracı mutlak kazanan ilan etmiyoruz; çünkü doğru seçim, şirketinizin zaten kullandığı altyapıya ve risk iştahına göre değişir. Planlar ve koşullar zamanla değiştiği için, karar öncesinde her satırı güncel resmi sayfayla teyit etmenizi öneririz.

Kişisel hesap ile şirket planı arasındaki fark neden bu kadar önemli?

Dört sağlayıcı da bireysel ürün ile kurumsal ürünü farklı kurallarla yönetir. Örneğin OpenAI'nin yardım belgelerine göre ChatGPT Free, Plus ve Pro gibi kişisel planlarda modeli geliştirmeye katkı ayarı varsayılan olarak açıktır. Kullanıcı bu ayarı veri kontrolleri bölümünden kapatabilir. Business, Enterprise ve Edu planlarında ise OpenAI, kuruluş ayrıca kabul etmedikçe içeriği model geliştirmede kullanmadığını belirtir.

Anthropic tarafında da benzer bir ayrım var. Claude Free, Pro ve Max gibi tüketici planlarında sohbetlerin eğitime girmesi, kullanıcının model geliştirme ayarındaki tercihine bağlıdır. Team ve Enterprise gibi ticari ürünlerde ise Anthropic, girdi ve çıktıları varsayılan olarak eğitimde kullanmadığını yazar.

Google'da kişisel hesapla açtığınız Gemini uygulamasında etkinlik ayarı açıksa, Google sohbetleri insan incelemecilerin yardımıyla ürün geliştirmede kullanabilir. Uygun bir Workspace sürümündeki iş hesabında ise Google, sohbetlerin insan incelemesine gitmediğini ve modelleri geliştirmede kullanılmadığını belirtir. Microsoft da kurumsal Copilot için benzer bir taahhüt verir.

Kısacası aynı marka adı, aynı güvenceyi taşımaz. Çalışanınız şirket e-postasıyla değil de kişisel hesabıyla giriş yaptıysa, iş planındaki korumalar o sohbet için geçerli olmaz. Bu yüzden şirketler için yapay zeka veri gizliliği, önce hangi hesabın kullanıldığı sorusuyla başlar.

Hangi araç hangi gizlilik ölçütünü karşılıyor?

Aşağıdaki tablo, şirket planlarını resmi kaynaklarda doğrulayabildiğimiz ölçütlerle özetler. "Sınırlı" ifadesi, özelliğin yalnız üst planda bulunduğunu gösterir. Doğrulayamadığımız hücrelerde kontrol notu bıraktık.

Tablodaki her satır, yazıyı hazırladığımız sırada resmi sayfada gördüğümüz durumu yansıtır. Sağlayıcılar plan adlarını ve özellik dağılımını zaman zaman değiştirir; bu nedenle tabloyu bir başlangıç listesi olarak kullanın. Son kararı ise sözleşme ve güncel güven sayfası üzerinden verin.

ChatGPT Business ve Enterprise verinizi nasıl korur?

OpenAI'nin güncel yardım belgelerinde ekip planı ChatGPT Business adıyla geçer; büyük kuruluşlar için ise ChatGPT Enterprise sunar. OpenAI, iş planlarındaki çalışma alanı verisini varsayılan olarak eğitimin dışında tuttuğunu belirtir. Veri paylaşımı ancak kuruluş ayrıca kabul ederse gündeme gelir. Ayrıntılı taahhütleri OpenAI'nin kurumsal gizlilik sayfasında okuyabilirsiniz.

Güçlü yanlarına bakalım. Enterprise tarafında SAML SSO ve SCIM ile kullanıcı yönetimi, IP izin listesi ve Compliance Platform adıyla sunduğu denetim kaydı akışı bulunur. OpenAI ayrıca Business, Enterprise ve API için veri işleme sözleşmesi imzalayabildiğini yazar. Uygun müşteriler için veriyi seçilen bölgede saklayan bir veri konumu seçeneği de var.

Öte yandan sınırları da göz ardı etmeyin. Compliance kayıtları gibi gelişmiş denetim özellikleri Enterprise ve Edu ile sınırlıdır; Business planında hangi kontrollerin bulunduğunu resmi sayfadan teyit etmeniz gerekir. Ayrıca OpenAI, bazı yeni deneyimlerin her uyumluluk kapsamına aynı anda girmeyebildiğini belgelerinde not eder. Yani yeni bir özelliği açmadan önce kapsamını kontrol etmek size düşer.

Örnek senaryo: Pazarlama ekibiniz kampanya brifleri için ChatGPT kullanıyor ve şirket zaten bu araca alışık. Bu durumda Business planı hızlı bir başlangıç sunar. Hukuk biriminiz ayrıntılı denetim kaydı istiyorsa ise Enterprise seçeneğini değerlendirirsiniz.

Claude Team ve Enterprise planlarında veri nasıl işlenir?

Anthropic, Claude'u bireyler için Free, Pro ve Max; kuruluşlar için Team ve Enterprise planlarıyla sunar. Şirket, ticari ürünlerdeki girdi ve çıktıları varsayılan olarak eğitimde kullanmadığını belirtir. Bir istisna dikkat çeker: kullanıcı sohbeti beğen ya da beğenme düğmesiyle değerlendirirse, Anthropic o geri bildirimi kimlik bilgilerinden ayırarak saklayabilir ve eğitimde kullanabilir. Team ve Enterprise yöneticileri bu ayarı kuruluş ayarlarından kapatabilir; ayrıntı için Anthropic'in gizlilik merkezindeki ilgili belgeye bakabilirsiniz.

Plan sayfasına göre Team ve Enterprise ortak olarak SSO, alan adı doğrulama, merkezi faturalama, bağlayıcılar için yönetici kontrolleri ve kullanım analitiği içerir. Enterprise planı buna rol tabanlı erişim, SCIM, denetim kayıtları, Compliance API ve özel veri saklama kontrollerini ekler. Anthropic, ticari ürünleri için SOC 2 Type I ve Type II, ISO 27001 ve ISO 42001 belgelerini listeler.

Sınırlara gelince, denetim kaydı ve özel saklama ayarı yalnız Enterprise'da yer alır; Team planı bu açıdan daha hafiftir. Plan sayfasında sohbet uygulaması için bir veri konumu seçeneği görmedik. Bu nedenle bölge şartınız varsa resmi sayfadan ya da satış ekibinden teyit almanız gerekir.

Örnek senaryo: Uzun sözleşmeleri ve teknik belgeleri özetleyen küçük bir danışmanlık ekibi Team planıyla başlayabilir. Denetim kaydı ihtiyacı doğduğunda da Enterprise'a geçişi planlar.

Google Workspace içindeki Gemini hangi güvenceleri verir?

Gemini'yi şirket ortamında Google Workspace hesabı üzerinden kullanırsınız; Gmail, Docs ve Drive içindeki yan panel ile Gemini uygulaması bu kapsama girer. Google, Workspace üretken yapay zeka gizlilik merkezinde müşteri verisini izin ya da talimat olmadan model eğitiminde kullanmadığını belirtir. Üstelik içeriğiniz başka müşterilerin modellerini de beslemez.

Güçlü yanı, mevcut Workspace yönetimine doğrudan oturmasıdır. Yöneticiler sohbet geçmişini yönetebilir, Gemini'yi servis bazında açıp kapatabilir ve saklama süresini belirleyebilir. Google, Vault ile saklama yönetimini ve kullanıcı etkinliğini izlemeye yarayan denetim kayıtlarını da sunar. Ayrıca kullanıcı istemleri, Cloud Data Processing Addendum kapsamında müşteri verisi sayılır. Google bunlara ek olarak SOC 1/2/3, ISO/IEC 27001, 27018 ve 42001 belgelerini listeler.

Sınır tarafında, gizlilik merkezinde Gemini için genel bir veri konumu taahhüdü görmedik. Google, bazı Gemini özelliklerinde veri bölgesi ayarının geçerli olmadığını da not eder. Bu yüzden bölge şartınız varsa ilgili özelliği tek tek kontrol etmeniz gerekir. Gemini'nin Workspace sürümünüzde hangi özelliklerle geldiği de sürüme göre değişebilir.

Örnek senaryo: E-postası ve belgeleri zaten Google Workspace üzerinde duran bir e-ticaret şirketi düşünün. Bu şirket için Gemini, yeni bir tedarikçi eklemeden en kısa yolu sunar.

Microsoft 365 Copilot kurum verisini nasıl ele alır?

Microsoft 365 Copilot, kurumunuzun e-posta, belge, takvim ve Teams içeriğine Microsoft Graph üzerinden erişen kurumsal asistandır. Microsoft, belgelerinde bu ürünün adını Microsoft Copilot olarak güncellediğini ve geçiş döneminde eski adın da görünebileceğini not eder. Microsoft'un veri, gizlilik ve güvenlik belgesine göre şirket; istemleri, yanıtları ve Graph üzerinden erişilen verileri temel dil modellerini eğitmekte kullanmaz.

En güçlü yanı, mevcut Microsoft 365 izin modelini aynen uygulamasıdır: Copilot yalnız kullanıcının en az görüntüleme yetkisi olduğu veriyi gösterir. Yöneticiler Microsoft Purview ile saklama ilkeleri belirleyebilir ve Copilot etkileşimlerini Purview denetim kayıtlarında izleyebilir. Avrupa Birliği kullanıcıları için EU Data Boundary, diğer bölgeler için ise Advanced Data Residency ve Multi-Geo seçenekleri bulunur. Microsoft ayrıca ISO 27001 ve ISO 42001 gibi belgeleri listeler.

Sınırı ise aynı izin modelinden doğar. Şirketinizde SharePoint klasörlerini gereğinden geniş paylaştıysanız, Copilot bu dağınıklığı görünür kılar. Bir çalışan, erişebildiği ama varlığından haberi olmadığı bir dosyanın özetini karşısında bulabilir. Bu nedenle Copilot'u açmadan önce paylaşım izinlerini temizlemeniz gerekir. Microsoft da bazı üçüncü taraf modellerin EU Data Boundary dışında kalabildiğini not eder.

Örnek senaryo: Tüm iş akışı Outlook, Teams ve SharePoint üzerinde dönen bir şirket için Copilot, verinin zaten bulunduğu ortamda çalışır.

Şirketler için yapay zeka veri gizliliğinde saklama süresini kim kontrol eder?

Eğitim konusu kadar önemli bir başka soru, verinin ne kadar süre durduğudur. Bir sohbet eğitime girmese bile sağlayıcının sunucusunda kaldığı sürece hukuki talep, güvenlik olayı ya da iç denetim açısından bir varlık olarak durur. Dolayısıyla saklama süresini kimin belirlediği, sözleşmenizin en kritik maddelerinden biridir.

Dört araçta tablo kabaca şöyle:

• Gemini: yöneticiler istem ve yanıtların saklanma süresini belirler, Vault ile yönetir.
• Microsoft 365 Copilot: yöneticiler Microsoft Purview ile saklama ilkeleri tanımlar; kullanıcılar etkinlik geçmişlerini silebilir.
• Claude: özel saklama kontrolleri Enterprise planında yer alır; kullanıcının sildiği sohbetler belirli bir süre içinde arka uçtan da kalkar.
• ChatGPT: yönetici düzeyindeki saklama ayarları plana göre değişir; Enterprise ayrıntılarını resmi sayfadan kontrol edin.

Süre rakamlarını burada bilerek vermiyoruz; çünkü sağlayıcılar bu değerleri güncelleyebilir ve plan bazında farklı uygular. Güncel değeri sağlayıcının resmi sayfasından kontrol edin. Ayrıca güvenlik incelemesine takılan içerikleri daha uzun tutabildiklerini sağlayıcıların kendi belgelerinde yazdığını unutmayın.

Pratik önerimiz şu: saklama süresini, şirketinizin e-posta ve belge saklama politikasıyla aynı mantıkta belirleyin. Yapay zeka sohbetleri ayrı bir istisna olarak kalırsa, ileride hangi verinin nerede durduğunu açıklamak zorlaşır.

Yönetici paneli, SSO ve denetim kaydı neden vazgeçilmez?

Bir yapay zeka aracını şirket genelinde açtığınızda ilk risk, kimin hangi hesapla eriştiğini bilmemektir. Tek oturum açma, çalışanların şirket kimliğiyle giriş yapmasını sağlar. Böylece işten ayrılan kişinin erişimini kimlik sisteminden tek hamlede kapatırsınız. SCIM ise kullanıcı ekleme ve çıkarma işlemlerini kimlik sağlayıcınızla otomatik eşitler.

Denetim kaydı ise "kim, ne zaman, neyi yaptı" sorusuna yanıt verir. Örneğin Microsoft Purview'daki Copilot kayıtları, etkileşimin hangi uygulamada gerçekleştiğini ve yanıt için hangi dosyalara erişim olduğunu gösterebilir. Benzer şekilde OpenAI, Enterprise müşterilerine kayıtları kendi güvenlik izleme araçlarına aktarma imkânı verir.

Bu özelliklerin plan dağılımı önemlidir:

• Claude'da SSO Team ve Enterprise'da, denetim kaydı ve SCIM ise yalnız Enterprise'da bulunur.
• ChatGPT'de SAML SSO, SCIM ve Compliance Platform Enterprise tarafında öne çıkar.
• Gemini ve Copilot, bu kontrolleri zaten kullandığınız Workspace ya da Microsoft 365 yönetim katmanından devralır.

Küçük bir ekipseniz bu farklar başta önemsiz görünebilir. Ancak bir müşteri güvenlik anketi gönderdiğinde ya da bir veri olayı yaşadığınızda, kaydı olmayan bir araç için yanıt vermek çok zorlaşır.

Veri işleme sözleşmesi ve veri konumu KVKK açısından ne anlama gelir?

Veri işleme sözleşmesi, sağlayıcının sizin adınıza kişisel veriyi hangi amaçla, hangi güvenlik önlemiyle ve hangi alt işleyicilerle işleyeceğini tanımlar. Dört sağlayıcı da kurumsal ürünleri için bir DPA ya da eşdeğer veri koruma eki sunar. Ancak sözleşmenin varlığı tek başına uyum anlamına gelmez; içeriğini kendi veri envanterinizle eşleştirmeniz gerekir.

Veri konumu ise verinin hangi ülkede ya da bölgede durduğunu ve nerede işlendiğini belirler. Türkiye'deki şirketler için yurt dışına veri aktarımı, Kişisel Verileri Koruma Kurumu düzenlemeleri çerçevesinde ayrıca değerlendirmeniz gereken bir başlıktır. Avrupa Birliği'nde faaliyet gösteren ya da AB'deki kişilerin verisini işleyen şirketler için ise Genel Veri Koruma Tüzüğü (GDPR) devreye girer.

Bu açıdan araçlar farklı noktalarda durur. Microsoft, Copilot'u EU Data Boundary kapsamında tanımlar; OpenAI ise uygun müşterilere bölge seçimi sunar. Claude ve Gemini için sohbet verisinin bölge seçeneğini resmi sayfadan ya da sözleşme görüşmesinde teyit etmeniz gerekir.

Not: Bu bölüm genel bilgi verir, hukuki danışmanlık değildir. KVKK ve GDPR kapsamındaki yükümlülüklerinizi belirlemek için hukukçunuza danışın.

Uyumluluk belgeleri gerçekte neyi kanıtlar?

SOC 2 raporu, bağımsız bir denetçinin sağlayıcının güvenlik ve gizlilik kontrollerini incelediğini gösterir. ISO 27001 bilgi güvenliği yönetim sistemini, ISO 42001 ise yapay zeka yönetim sistemini kapsayan uluslararası standartlardır. Dört sağlayıcının resmi sayfalarında bu belgelerin bir kısmı ya da tamamı geçer.

Ancak bu belgeler sizin uyumunuzu kanıtlamaz. Sağlayıcı kendi altyapısını denetletir; çalışanınızın müşteri listesini yanlış araca yapıştırması bu belgelerin kapsamı dışında kalır. Üstelik belgeler genellikle belirli ürünleri kapsar ve yeni çıkan bir özellik aynı raporun içinde olmayabilir.

Belge kontrolünü şu sırayla yapmanızı öneririz:

1. Kullanacağınız ürünün ve planın rapor kapsamında olup olmadığını güven merkezinden kontrol edin.
2. Raporun güncel tarihli olup olmadığına bakın.
3. Gerekirse raporun tam metnini gizlilik sözleşmesiyle talep edin.
4. Raporun içindeki müşteri sorumlulukları bölümünü kendi kontrollerinizle eşleştirin.

Son madde çoğu zaman atlanır. Oysa sağlayıcılar raporlarında, güvenli kullanımın bir kısmının müşteri tarafında kaldığını açıkça yazar.

Satın almadan önce sağlayıcıya hangi soruları sormalısınız?

Plan sayfaları genel bir çerçeve çizer; ancak şirketinize özgü sorular çoğu zaman satış görüşmesinde ya da sözleşme ekinde netleşir. Ekip olarak müşterilerimize, imza öncesinde aşağıdaki soruları yazılı olarak sormalarını öneriyoruz. Yanıtları da sözleşme dosyasıyla birlikte saklamanızı tavsiye ederiz.

1. Girdilerimiz ve çıktılarımız hangi durumlarda eğitimde kullanılabilir ve bunu hangi ayar kapatır?
2. Sohbet verisini ne kadar süre saklıyorsunuz ve bu süreyi yönetici olarak değiştirebiliyor muyuz?
3. Verimizi hangi bölgede saklıyor, hangi bölgede işliyorsunuz?
4. Alt işleyicileriniz kimler ve listeyi değiştirdiğinizde bize nasıl haber veriyorsunuz?
5. Güvenlik incelemesine takılan içerikleri kim görebilir ve ne kadar süre tutuyorsunuz?
6. Denetim kayıtlarını kendi güvenlik izleme araçlarımıza aktarabiliyor muyuz?
7. Sözleşme sona erdiğinde verimizi nasıl ve hangi sürede siliyorsunuz?

Bu soruların bir kısmının yanıtı resmi sayfalarda zaten yazar. Yine de yazılı teyit almak, ileride bir anlaşmazlık çıktığında elinizde somut bir kayıt bırakır. Ayrıca sağlayıcının yanıt verme biçimi, kurumsal destek kalitesi hakkında da size fikir verir.

Bağlayıcılar ve eklentiler veri gizliliğini nasıl etkiler?

Dört aracın tamamı, zamanla e-posta, takvim, dosya deposu ya da üçüncü taraf uygulamalara bağlanabilen bir yapıya dönüştü. Bu bağlantılar verimliliği artırır; ancak aracın görebildiği veri alanını da genişletir. Örneğin Microsoft, Copilot ile bir ajan kullandığınızda o ajanın gizlilik bildirimini ve kullanım koşullarını ayrıca kontrol etmenizi önerir.

Benzer şekilde Claude'un Team ve Enterprise planlarında bağlayıcılar için yönetici kontrolleri bulunur. Gemini ise Workspace içinde çalıştığı için yöneticinin servis bazındaki ayarlarına tabidir. Dolayısıyla her yeni bağlayıcıyı ayrı bir veri akışı olarak görmeniz gerekir.

Pratikte şu yaklaşımı öneririz: bağlayıcıları varsayılan olarak kapalı tutun, iş ihtiyacı olan ekip için tek tek açın ve her onayı kayda geçirin. Böylece hangi aracın hangi veriye eriştiğini her zaman açıklayabilirsiniz.

Hangi ihtiyaca hangi araç uyar?

Tek bir doğru araç yok; doğru seçim mevcut altyapınıza ve risk profilinize göre değişir. Aşağıdaki tablo, sahada en sık gördüğümüz ihtiyaçlara göre bir başlangıç önerisi sunar.

Tabloyu yorumlarken bir noktayı akılda tutun: dört aracın şirket planı da verinizi varsayılan olarak eğitimde kullanmaz. Dolayısıyla asıl fark yönetim araçlarında, saklama kontrolünde ve mevcut altyapınızla uyumda ortaya çıkar. Toplantı kaydı gibi daha dar bir kullanım alanına bakıyorsanız, yapay zeka toplantı notu asistanlarını karşılaştırdığımız yazıda gizlilik ölçütlerini o senaryoya göre ele aldık.

Çalışanlar kişisel hesapla şirket verisi girerse ne olur?

Şirket planı satın almak, çalışanların kişisel hesapları bırakacağı anlamına gelmez. Sahada en sık gördüğümüz tablo şu: şirket bir araç için lisans alır, ancak bazı çalışanlar alışkanlıkla kişisel ücretsiz hesaplara devam eder. Bu durumda yukarıda saydığımız korumaların hiçbiri o sohbetler için geçerli olmaz.

Örneğin kişisel bir ChatGPT hesabında model geliştirme ayarı varsayılan olarak açıktır. Kişisel Gemini hesabında da etkinlik ayarı açıksa sohbetler insan incelemesine gidebilir. Üstelik bu sohbetler şirketin hiçbir denetim kaydında görünmez ve çalışan ayrıldığında hesabı da beraberinde götürür.

Bu olgunun genel adı gölge yapay zeka, yani shadow AI. Riskleri ve önlemleri shadow AI rehberimizde ayrıntılı anlattık; burada yalnız gizlilik açısından üç pratik adım öneriyoruz:

• Onaylı aracı kolay erişilebilir yapın; çalışan resmi aracı zahmetsiz bulursa kişisel hesaba dönmez.
• Kişisel hesaplara hangi veri türlerini asla yazmayacaklarını çalışanlarınıza yazılı olarak bildirin.
• Yasaklamak yerine eğitin; çünkü yasak, kullanımı görünmez hale getirir.

Ek olarak kötü niyetli içeriğin araçları yönlendirme riskini de göz ardı etmeyin. Prompt injection saldırılarını anlattığımız yazı bu tarafı tamamlar.

Şirket içi yapay zeka kullanım politikası için kontrol listesi

Politika belgesi uzun olmak zorunda değil; çalışanların okuyup uygulayabileceği kısa ve net bir metin daha iyi sonuç verir. Ekip olarak müşterilerimizle politika hazırlarken şu maddelerden yola çıkıyoruz:

1. Onaylı araçları ve planlarını adıyla listeleyin.
2. Çalışanların yalnız şirket hesabıyla giriş yapmasını şart koşun.
3. Hiçbir araca yazmayacakları veri türlerini sayın: müşteri kimlik bilgileri, kart verileri, şifreler ve özel nitelikli kişisel veriler gibi.
4. Yönetici panelindeki eğitim, saklama ve paylaşım ayarlarını kimin yöneteceğini belirleyin.
5. Yapay zeka çıktısının insan kontrolünden geçmeden müşteriye gitmeyeceğini yazın.
6. Yeni bir eklentiyi ya da bağlayıcıyı kimin onaylayacağını tanımlayın.
7. Olası bir veri olayında kime haber vereceklerini netleştirin.
8. Politikayı en az yılda bir gözden geçirin; araçlar ve planlar sık değişir.

Bu listeyi kendi sektörünüze göre genişletebilirsiniz. Önemli olan, her maddenin bir sorumlusu olmasıdır; sahibi olmayan kural kâğıt üzerinde kalır.

Hazır araçlar ne zaman yetmez?

Hazır sohbet araçları genel yazım, özetleme ve fikir üretme işlerinde güçlüdür. Ancak bazı ihtiyaçlarda tek başına yetmezler. Örneğin şirket içi belgelerinizle çalışan ve her kullanıcıya yalnız yetkili olduğu veriyi gösteren bir bilgi asistanı istiyorsanız, araca dosya yüklemek yerine kontrollü bir mimari kurmanız gerekir.

Bu tür çözümlerde sık başvurduğumuz yöntem RAG, yani retrieval augmented generation (belge çağırarak üretme) yaklaşımıdır. Model, yanıt üretmeden önce sizin belirlediğiniz kaynaklardan ilgili parçayı çeker; böylece veri sizin altyapınızda kalır. Yöntemi RAG rehberimizde anlattık.

Hazır aracın yetmediği tipik durumlar şunlardır:

• CRM, ERP ya da destek sistemiyle özel entegrasyon gerektiğinde.
• Kişisel verinin belirli bir ülkede kalması şart olduğunda.
• Her yanıtın hangi kaynağa dayandığını kayıt altına almanız gerektiğinde.
• KVKK ya da GDPR açısından veri akışını uçtan uca belgelemeniz gerektiğinde.

Bu noktada ekibimiz, yapay zeka otomasyonu hizmetimiz kapsamında kendi verinizle çalışan çözümler kurar. Henüz hangi yolu seçeceğinizden emin değilseniz, yapay zeka danışmanlığı ile önce veri akışınızı ve risklerinizi birlikte haritalandırabiliriz.

Kendi sunucunuzda çalışan model ne zaman mantıklı olur?

Açık ağırlıklı bir dil modelini kendi sunucunuzda ya da özel bulut ortamınızda çalıştırmak, verinin hiç dışarı çıkmaması gereken durumlar için bir seçenektir. Bu yaklaşımda istemler ve yanıtlar sizin altyapınızda kalır. Saklama ve erişim kurallarını da tamamen siz belirlersiniz.

Ancak kontrol arttıkça sorumluluk da artar. Güvenlik güncellemeleri, erişim yönetimi, kayıt tutma ve donanım kapasitesi artık sağlayıcının değil sizin işinizdir. Ayrıca kendi sunucunuzdaki model, büyük ticari hizmetlerin yetenek düzeyine her işte ulaşmayabilir. Bu yüzden kullanım alanını dar ve net tutmanızı öneririz.

Kendi sunucunuzu şu durumlarda düşünebilirsiniz:

• Sözleşme ya da mevzuat, verinin üçüncü taraf bulutuna çıkmasına izin vermiyorsa.
• İş belirli ve tekrarlayan bir görevse, örneğin sınıflandırma ya da özetleme.
• İç ekibinizde ya da dış destekte sunucu yönetimi yetkinliği varsa.

Kavramın teknik tarafını, yani bir yapay zeka ajanını kendi altyapınızda nasıl çalıştırabileceğinizi kendi sunucunuzda ajan kurulumu yazımızda anlattık. Çoğu şirket için gerçekçi yol karma bir yapıdır: genel işler için kurumsal planlı hazır araç, hassas işler için kontrollü bir iç çözüm.

Şirketler için yapay zeka veri gizliliğinde sık yapılan hatalar

Sahada şirketlerle çalışırken bazı hataların tekrar tekrar karşımıza çıktığını görüyoruz. Bunların çoğu teknik değil, süreç kaynaklıdır.

• Şirket planı alıp kişisel hesap kullanımını hiç ele almamak.
• Yönetici panelindeki varsayılan ayarları incelemeden aracı tüm çalışanlara açmak.
• Uyumluluk belgesini görüp kendi sorumluluklarını yok saymak.
• Copilot ya da Gemini'yi açmadan önce dosya paylaşım izinlerini temizlememek.
• Yeni eklenti ve bağlayıcıları onay süreci olmadan etkinleştirmek.
• Saklama süresini hiç belirlememek ve varsayılanla yetinmek.

Bu hataların ortak noktası, yapay zeka aracını sıradan bir yazılım gibi görmektir. Oysa bu araçlar, çalışanın önüne koyduğu her veriyle beslenir; dolayısıyla kurulum kadar kullanım kuralları da önemlidir.

Özellikle bağlayıcılar konusunda dikkatli olun. Bir yapay zeka aracını e-posta, takvim ya da dosya deposuna bağladığınızda, aracın erişebildiği veri alanı bir anda genişler. Her yeni bağlantı için "bu araç neye erişecek ve kim onayladı" sorusunu sormak, birçok sorunu baştan önler.

Bu karşılaştırma hakkında

Bu karşılaştırma bağımsızdır; listedeki hiçbir sağlayıcıdan ücret, komisyon ya da ortaklık geliri almıyoruz, bağlantılar ortaklık bağlantısı değildir. Bilgiler resmi sayfalardan derlendi ve değişebilir. Bir sağlayıcıysanız ve bilgilerin güncellenmesi gerektiğini düşünüyorsanız iletişim sayfamızdan bize yazabilirsiniz.

Tablodaki her hücreyi, yazıyı hazırladığımız sırada ilgili sağlayıcının kendi gizlilik merkezi, plan sayfası ya da yardım belgesiyle karşılaştırdık. Plan adları ve özellik dağılımı değiştikçe yazıyı güncelliyoruz; yine de karar vermeden önce güncel resmi sayfayı kontrol etmenizi öneririz.

Yazıda geçen örnekler gerçek müşteri vakası değil, sahada sık gördüğümüz durumlardan kurguladığımız örnek senaryolardır. Herhangi bir aracı test ederek puan vermedik; yalnız sağlayıcıların kendi yayımladığı taahhütleri ve plan bilgilerini yan yana koyduk. Bu nedenle tablo, bir performans sıralaması değil, gizlilik ve yönetim özelliklerinin haritasıdır.

Sonuç olarak hangi adımla başlamalısınız?

İlk adım araç seçmek değil, mevcut durumu görmektir. Çalışanlarınızın bugün hangi yapay zeka araçlarını, hangi hesaplarla kullandığını öğrenin. Ardından şirketinizin zaten kullandığı altyapıya bakın: Microsoft 365 ya da Google Workspace kullanıyorsanız, aynı ekosistemdeki asistan çoğu zaman en az sürtünmeli yoldur.

Sonra yönetici panelinde eğitim, saklama ve paylaşım ayarlarını gözden geçirin; kısa bir kullanım politikası yazın ve çalışanlarınızı bu politika üzerine bilgilendirin. Böylece şirketler için yapay zeka veri gizliliği, bir kerelik satın alma kararı olmaktan çıkar ve süreklilik taşıyan bir yönetim alışkanlığına dönüşür.

Unutmayın, dört aracın şirket planı da verinizi varsayılan olarak eğitimde kullanmaz. Asıl risk çoğu zaman yanlış hesapta, eksik ayarda ya da sahibi olmayan bir kuralda saklıdır.

Hangi aracı seçerseniz seçin, bu üç noktayı düzenli aralıklarla kontrol etmek, gizlilik riskinin büyük kısmını yönetilebilir hale getirir. Ayrıca sağlayıcıların gizlilik sayfalarını yılda en az bir kez yeniden okumanızı öneririz; çünkü plan adları, varsayılan ayarlar ve kapsam değiştiğinde ilk etkilenen, sizin daha önce verdiğiniz kararlardır.