KVKK uyumu
Diğer adlandırmalar: KVKK , Türkiye veri koruma , kişisel veri yapay zeka
KVKK kısaca
KVKK — Kişisel Verilerin Korunması Kanunu, Türkiye’nin 2016’da yürürlüğe giren temel veri koruma yasası. AB GDPR’ına paralel ama daha sade. Altı temel ilke:
- Hukuka ve dürüstlük kuralına uygunluk — meşru bir hukuki temele dayanma.
- Doğruluk — veriyi güncel tutma.
- Belirli, açık ve meşru amaç — niye işleniyor, nereye kadar.
- Ölçülülük — gereğinden fazlasını işlememe.
- Süre — gereken süre kadar saklama.
- Güncellik — yanlış veri varsa düzeltme.
Bunlar yapay zekâya da geçerlidir — yapay zekâ “özel düzenleme” değil.
Yapay zekânın KVKK’ya beş zorluğu
Yapay zekâ KVKK ile beş ana eksende çelişebilir:
- Veri minimizasyonu — LLM’lere “her şey gönder” eğilimi.
- Amaç sınırlaması — eğitim için toplanan veri çıkarımda da kullanılabilir mi?
- Saklama — model ağırlıklarına gömülen veri silinebilir mi?
- Yurt dışı aktarma — bulut LLM’leri çoğu zaman ABD/AB’de.
- Otomatik karar — KVKK m.11 → kullanıcının itiraz hakkı.
Bu zorluklar mimari kararla çözülmeli — politika ile değil.
Ilura’nın cihaz-üstü mimarisi
Ilura beş zorluğu cihaz-üstü işleme ile çözer:
1) Veri minimizasyonu
Bellek senin iPhone’unda. Apple Intelligence işlemleri cihazda yapar; işlenmek üzere buluta giden kişisel veri yok. Agent da yalnız görevi için gerekeni görür — sınırlar tanımında ve Playbook’larında.
2) Amaç sınırlaması
Her erişim göreve bağlıdır: agent’ın neye bakacağı, neye asla dokunmayacağı tanımında yazılıdır. Karışık değil; her veri parçasının amacı belli.
3) Saklama süresi
Hafıza üzerinde son söz senin: yanlış kaydı düzeltirsin, istemediğini silersin. Manuel silme her zaman mümkün — çift onayla, kalıcı.
4) Yurt dışı aktarma
Yapısal cevap: kişisel veri işlenmek için cihazdan çıkmaz; yurt dışı aktarım gerçekleşmez. KVKK m.9’un mekanizmalarına (yeterlilik kararı, SCC, BCR) gerek kalmaz.
(İlk nesil Ilura’da bu eksen eğitmen seçimiyle yönetilirdi — Avrupa/Türkiye veri merkezli sağlayıcılar işaretlenir, eğitime giden örnekler PII maskelemesinden geçerdi: TC → TC[masked], IBAN → TR-XX-*** gibi. Cihaz-üstü dönemde maskelenecek bir aktarım yok.)
5) Otomatik karar
Ilura’da otomatik karar yok. Riskli işlem kullanıcı onayı gerektirir. Bu KVKK m.11/g (otomatik kararlara itiraz hakkı) sorununu kaynağında çözer — otomatik karar zaten yok.
Kanıt — mimarinin kendisi
İlk nesil Ilura denetim kanıtını imzalı SHA-256 hash zinciriyle üretirdi; her bulut çağrısı ve tool eylemi kayda geçerdi. Bugünkü cihaz-üstü mimaride en güçlü kanıt yapının kendisidir: Ilura’nın sunucusunda kişisel veri yoktur, “bu veri nereye gitti?” sorusunun cevabı baştan bellidir — hiçbir yere.
Kurumsal kullanımda roller
Cihaz-üstü mimaride rol dağılımı sadeleşir:
- Veri Sorumlusu: kullanıcı şirket (kendi süreçleri için)
- Ilura: kişisel veri görmez — cihaz-üstü işleme
- Çalışanın agent’ı: kişisel cihazında, kişisel hafızasıyla
- Silme: kullanıcı kararı, çift onaylı, kalıcı
Bu standart sözleşme iletişim sayfasından talep edilebilir.
Ilura ≠ KVKK uyum sertifikası
Ilura bir araçtır, sertifika değil. KVKK uyum sertifikası KVKK Kurumu (Kişisel Verileri Koruma Kurulu) tarafından verilir. Ilura sana uyum için gerekli teknik altyapıyı sunar; sertifikalandırma süreci kullanıcının kendi hukuk müşaviriyle yürütülür.
Yaygın yanılgılar
“Bulut yapay zekâ = otomatik KVKK ihlali.” — Hayır. KVKK uygun sözleşme + Yurt Dışı Aktarma temeli + şeffaflıkla bulut da uyumlu olabilir. Ama mimari yerel olduğunda belirsizlik kalkar.
“PII maskeleme yeterli.” — Tek başına değil. Maskeleme + audit log + amaç sınırlaması + saklama süresi birlikte uyumu kurar.
“KVKK sadece Türkiye için.” — Hayır. AB GDPR ile büyük örtüşme var; KVKK uyumlu bir mimari çoğu zaman GDPR’a da yakın.