Ay sonu yaklaşıyor, yönetim toplantısı için marj analizi gerekiyor. Muhasebeden ya da satıştan biri ERP'den satış, maliyet ve stok raporunu Excel'e aktarıyor, dosyayı genel amaçlı bir yapay zekâ sohbet aracına yükleyip "şunu özetle, trendi çıkar" diyor. On dakikada cevap geliyor. Niyet iyi, sonuç işe yarıyor. Ama o dosyada fiyatlar, maliyetler, müşteri listesi ve belki mali tablolar var; ve dosya artık şirketin kendi sistemlerinin dışında bir yerde duruyor.
Bu yazı yapay zekâyı kullanmayı bırakmanız gerektiğini söylemiyor. Tersine: asıl soru, şirketinizin hangi verinin hangi araca, hangi hesapla ve hangi ayarlarla gittiğini bilip bilmediğidir.
Aynı araç, farklı hesap türü, farklı kural
Genel amaçlı sohbet araçlarının veri politikaları hesap türüne göre ayrışır. OpenAI'ın yayımladığı politikaya göre kişisel (tüketici) ChatGPT hesaplarında konuşmalar, kullanıcı kapatmadığı sürece modelleri geliştirmek için kullanılabilir; kapatmak için veri kontrolleri ya da gizlilik portalı kullanılır. İşletme tarafında ise ChatGPT Enterprise, Business ve API platformundaki veriler varsayılan olarak model eğitimi için kullanılmaz.
Anthropic da benzer bir ayrım yapar. Şirketin 2025'te duyurduğu güncellemeyle Claude Free, Pro ve Max gibi tüketici planlarında kullanıcı, verisinin modelleri geliştirmek için kullanılıp kullanılmayacağını seçer; izin verenlerde saklama süresi beş yıla çıkar, vermeyenlerde 30 gün olarak kalır. Claude for Work (Team ve Enterprise), Claude for Government, Claude for Education ve API kullanımı bu değişikliğin kapsamı dışındadır; ticari ürünlerde girdi ve çıktılar varsayılan olarak model eğitimi için kullanılmaz.
Bu politikalar zaman içinde değişebilir; yazıdaki bilgiler aşağıdaki kaynak sayfalarının yazının hazırlandığı tarihteki hâlidir. Ortak sonuç şu: aynı araç, çalışanın kişisel hesabıyla mı yoksa şirketin kurumsal hesabıyla mı kullanıldığına göre farklı davranır. Şirket bunu bilmiyorsa, verinin hangi kurala tabi olduğunu da bilmiyordur.
Bu yalnızca teorik değil
En çok anılan örnek Samsung'unki. Bloomberg'in haberine dayanan Forbes ve Business Today'in aktardığına göre 2023 baharında bir Samsung mühendisi dahili kaynak kodunu ChatGPT'ye yükledi; şirket bunun ardından üretken yapay zekâ araçlarının kullanımını geçici olarak kısıtlayan bir not yayımladı. Gerekçe, sohbet araçlarına gönderilen verinin dış sunucularda tutulması ve geri almanın ya da silmenin zor olmasıydı. Olayın ayrıntıları (ne kadar verinin gittiği gibi) kamuya açık kaynaklarda net değil; bu yüzden burada yalnızca iki haber kaynağının da doğruladığı çekirdeği aktarıyoruz.
Anket verileri de benzer bir tablo çiziyor. Microsoft ve LinkedIn'in 31 ülkede 31.000 kişiyle yaptığı 2024 Work Trend Index araştırması, yapay zekâ kullanan çalışanların yüzde 78'inin kendi araçlarını işe getirdiğini bildiriyor. Cisco'nun 2.600 gizlilik ve güvenlik profesyoneliyle yaptığı 2024 Veri Gizliliği Karşılaştırma Çalışması'nda ise katılımcıların yüzde 48'i şirkete ait kamuya açık olmayan bilgiyi üretken yapay zekâ araçlarına girdiğini söylüyor; kuruluşların yüzde 27'si bu araçları geçici olarak tamamen yasaklamış. Bunlar farklı örneklemlere dayanan, kendi bildirime dayalı sonuçlar; ama yönleri aynı: kullanım yönetimin görüş alanından hızlı yayılıyor.
OWASP bunu nasıl çerçeveliyor?
OWASP'ın 2025 tarihli Büyük Dil Modeli Uygulamaları için İlk 10 listesinde "LLM02: Hassas Bilgi İfşası" ayrı bir risk olarak yer alıyor. Önerilen önlemler arasında verinin eğitime girmesini önleyecek temizleme (sanitization), kullanıcıların verilerinin eğitime dahil edilmesini reddedebilmesi, saklama ve silme politikalarının açık tutulması ve kullanıcılara hassas bilgi girmemeleri konusunda rehberlik verilmesi var. Yani tavsiye yasak değil; bilgilendirme, ayar ve disiplin.
Hukuki boyut: kişisel veri ve iş sırrı
Müşteri listesi, çoğu zaman kişisel veri içerir. 6698 sayılı KVKK'nın 9. maddesi 1 Haziran 2024'te yeniden düzenlendi (7499 sayılı Kanun, m. 34). Güncel düzende kişisel veriler, ilgili ülke, sektör ya da uluslararası kuruluş için Kurul tarafından verilmiş bir yeterlilik kararı varsa aktarılabilir. Yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları ya da Kurul onaylı taahhütname gibi uygun güvencelerden birinin sağlanması gerekir. Güvence de yoksa yalnızca sınırlı istisnalar devreye girer; KVKK bunların dar yorumlanması gerektiğini, yani yalnızca arızi, düzenli olmayan ve nadiren gerçekleşen aktarımlar için kullanılabileceğini belirtiyor. KVKK'nın ilgili sayfasında Kurul'un henüz bir yeterlilik belirlemesi yapmadığı yazıyor; güncel durumu sayfadan kontrol etmek gerekir.
Bir sohbet aracının verinizi Türkiye dışında işleyip işlemediği, aracın sağlayıcısına ve hesap türüne bağlıdır; yani her kullanım otomatik olarak yurt dışına aktarım sayılmaz ama bunu bilmeden bir cevap vermek de mümkün değildir. Ticari sır tarafında ise 6102 sayılı Türk Ticaret Kanunu'nun 55. maddesinin 1. fıkrasının (d) bendi, üretim ve iş sırlarının hukuka aykırı olarak ifşa edilmesini haksız rekabet hâllerinden biri sayar. Bu yazı hukuki görüş değildir; kendi durumunuzdaki sonuç için hukuk danışmanınıza başvurun. Ama iki alanda da pratik soru aynıdır: verinin nereye gittiğini gösterebiliyor musunuz?
Çıkış yolu: veriyi taşımayın, verinin durduğu yerde çalışın
Dışa aktar, yükle, cevabı geri kopyala döngüsü hem riskin hem de zahmetin kaynağıdır. Daha sağlam model, yapay zekâyı verinin zaten durduğu yere götürmektir: ERP'ye yetkili bir bağlantıyla doğrudan okuyan, şirketin kendi kullanıcı yetkileri içinde çalışan ve elle dosya taşımayı gerektirmeyen bir yapay zekâ.
iyibir'in ürünleri bu yaklaşımla çalışır ve Logo Edge ve Logo ERP'ye entegredir. iyibir Mind, Logo verinizden rapor ve pano üretir; yönetim raporu için Excel'e aktarıp bir araca yüklemenize gerek kalmaz. iyibir Copilot ise ERP'deki işi yapay zekâ yardımıyla yürütür: teklif hazırlama, mutabakat, cari ve stok kartı açma gibi.
iyibir'in Logo Edge ile nasıl çalıştığını ve geçiş yolunu ayrı bir sayfada anlattık. Logo Edge sayfası
Dürüst olmak gerekirse entegrasyon tek başına güvenlik değildir. Hangi verinin hangi amaçla işlendiğini yazan bir veri işleme sözleşmesi, kimin neye erişebildiğini belirleyen yetkiler ve yapay zekâ sağlayıcısının koşulları yine önemlidir. Fark şurada: bunlar bir kez tanımlanıp denetlenebilir bir düzen kurar; dosya yükleme ise her seferinde bireysel bir karara bağlıdır. iyibir'in kendi koşulları da herkese açık sayfada duruyor.
Verinin iyibir tarafında hangi koşullarla işlendiğini görmek için: Veri işleme sözleşmesi
Şirketiniz için kısa bir kontrol listesi
- Envanter çıkarın: şirkette hangi yapay zekâ araçları, hangi hesap türleriyle (kişisel mi kurumsal mı) kullanılıyor? Çalışanlara sormak, tahmin etmekten iyidir.
- Veri sınıflarını yazın: hangi veriler hiçbir koşulda genel amaçlı bir araca yüklenmez? Örneğin müşteri listeleri, fiyat ve maliyet tabloları, mali tablolar, personel ve bordro verisi.
- Hesap türlerini ve ayarlarını kontrol edin: model eğitimi seçeneği, saklama süresi ve sohbet geçmişi ayarları kişisel ve kurumsal hesaplarda farklıdır; ayar değişiklikleri kimde?
- Yazılı bir yapay zekâ kullanım politikası hazırlayın: izin verilen araçlar, yasak veri sınıfları, onay süreci. Bir sayfa yeter, ama herkesin okuduğundan emin olun.
- Çalışanları bilgilendirin: amaç yasaklamak değil, iyi niyetle yapılan paylaşımın sonucunu göstermek.
- Mümkün olduğunda veriyi yerinde okuyan, yetkilere saygı duyan araçları tercih edin; dosya aktarma ihtiyacını kökünden azaltır.
- Kişisel veri içeren kullanımlar için sağlayıcının veri işleme koşullarını ve verinin işlendiği ülkeyi öğrenin; gerekirse hukuk danışmanınıza sorun.
Kapanış: veriyi taşımayın, olduğu yerde çalışın
Yapay zekânın faydası gerçek, çalışanların onu kullanma isteği de yerinde. İşletmenin görevi bu isteği engellemek değil, verinin kontrol edilen bir düzenin içinde kalacağı bir yol açmaktır. Çoğu zaman bunun en sade yolu, veriyi araca götürmek yerine aracı verinin yanına getirmektir.
Logo verinizden raporları ve panoları yapay zekâyla, dosya taşımadan görmek için: iyibir Mind
ERP'deki işleri (teklif, mutabakat, cari ve stok kartı) yapay zekâ yardımıyla yürütmek için: iyibir Copilot
Kaynaklar
- OpenAI: How your data is used to improve model performance
- OpenAI: Business data privacy, security, and compliance
- Anthropic: Updates to Consumer Terms and Privacy Policy
- Anthropic Privacy Center: Is my data used for model training? (ticari ürünler)
- Bitdefender: Anthropic Shifts Privacy Stance, Lets Users Share Data for AI Training
- OWASP Top 10 for LLM Applications 2025: LLM02 Sensitive Information Disclosure
- KVKK: Yurt Dışına Aktarım (6698 sayılı Kanun m. 9, 1 Haziran 2024 değişikliği)
- Resmî Gazete, 12 Mart 2024, sayı 32487: 7499 sayılı Kanun, m. 34 (KVKK m. 9'un yeniden düzenlenmesi)
- 6102 sayılı Türk Ticaret Kanunu, m. 55/1-d (mevzuat.gov.tr)
- Erdem & Erdem: Ticari Sırların Korunması
- Forbes: Samsung Bans ChatGPT Among Employees After Sensitive Code Leak (2 Mayıs 2023, Bloomberg haberine dayanır)
- Business Today: Samsung bans the use of ChatGPT, Google Bard, Bing chatbot and other AI tools (2 Mayıs 2023)
- Microsoft ve LinkedIn: 2024 Work Trend Index on the state of AI at work
- Cisco: 2024 Data Privacy Benchmark Study