Kamu verisi bulutta saklanabilir mi? 2019/12 sayılı Genelge ve yapay zeka

2019/12 sayılı Genelge kamu verisinin bulutta saklanmasına ne diyor?

2019/12 sayılı Bilgi ve İletişim Güvenliği Tedbirleri konulu Cumhurbaşkanlığı Genelgesi, 6 Temmuz 2019 tarihli ve 30823 sayılı Resmî Gazete'de yayımlanmıştır. Genelge 21 maddeden oluşur ve kamu kurum ve kuruluşlarının veri depolama, ağ yapılandırması, tedarik ve haberleşme uygulamalarına doğrudan yükümlülük getirir.

Bulut konusundaki asıl hüküm 3. maddedir ve tam metni şudur: “Kamu kurum ve kuruluşlarına ait veriler, kurumların kendi özel sistemleri veya kurum kontrolündeki yerli hizmet sağlayıcılar hariç bulut depolama hizmetlerinde saklanmayacaktır.”

Genelgenin giriş paragrafı, tedbirlerin amacını “gizliliği, bütünlüğü veya erişilebilirliği bozulduğunda milli güvenliği tehdit edebilecek veya kamu düzeninin bozulmasına yol açabilecek kritik türdeki verilerin güvenliğinin sağlanması” olarak tanımlar. Bu amaç cümlesi, sonraki maddelerin nasıl yorumlanacağını belirleyen çerçevedir.

• Genelge tarihi: 5 Temmuz 2019. Resmî Gazete yayım tarihi: 6 Temmuz 2019, sayı 30823.
• Madde sayısı: 21.
• Konu başlığı: Bilgi ve İletişim Güvenliği Tedbirleri.
• Muhatap: kamu kurum ve kuruluşları ile kritik altyapı hizmeti veren işletmeler.

Madde 3 bir yasak mı, koşullu izin mi? “Hariç” ifadesinin ayrımı

Madde 3'ün cümle yapısı, kamu kurumları için bulut kullanımını topyekûn yasaklamaz. Hüküm bir genel kural ile iki istisnadan oluşur: kurum verileri bulut depolama hizmetlerinde saklanmayacaktır, ancak kurumların kendi özel sistemleri ve kurum kontrolündeki yerli hizmet sağlayıcılar bu kuralın dışındadır.

İkinci istisnadaki iki koşul alternatif değil, birliktedir. Hizmet sağlayıcının yerli olması tek başına yetmez; hizmetin aynı zamanda kurum kontrolünde olması aranır. Aynı şekilde kontrol iddiası da tek başına yetmez, sağlayıcının yerli olması gerekir.

Bu okuma, ispat yükünü kurumun üzerine bırakır. Bir kurum bulut tabanlı bir hizmeti kullanacaksa, istisnaya girdiğini belgelemek zorundadır; hizmetin ticari tanıtımında “yerli” denmesi bu belgelendirmenin yerine geçmez.

• Birinci istisna: kurumun kendi özel sistemleri. Donanım, işletim ve erişim yetkilendirmesi kurumun elindedir.
• İkinci istisna: kurum kontrolündeki yerli hizmet sağlayıcılar. “Yerli” ve “kurum kontrolünde” koşulları birlikte aranır.
• Kontrol, sözleşme metniyle sınırlı bir kavram değildir: veri fiziksel olarak nerede tutuluyor, kim erişebiliyor, erişim kayıtları kimde tutuluyor ve hizmet sonlandığında veri nasıl imha ediliyor sorularının cevabı belgelenebilir olmalıdır.
• Yurt dışında barındırılan genel amaçlı bulut depolama hizmetleri her iki istisnaya da girmez.
• Alt yüklenici zinciri sorgulanmadan “kurum kontrolü” değerlendirmesi tamamlanmış sayılmaz.

Kamu kurumu LLM kullanabilir mi? İşleme ile saklama arasındaki fark

Bir dil modeli API çağrısı ile bir bulut depolama hizmeti aynı şey değildir; ancak ikisi arasındaki sınır sağlayıcının loglama davranışıyla belirlenir. Bir istek gönderildiğinde metin işlenir ve bir yanıt üretilir; bu işlem tek başına bir saklama faaliyeti değildir.

Saklama, sağlayıcı istek ve yanıt gövdelerini kalıcı olarak kaydettiği anda başlar. Prompt içeriği bir veritabanına, bir hata ayıklama kaydına, bir model iyileştirme havuzuna veya süresiz tutulan bir denetim loguna yazılıyorsa kurum verisi artık o sağlayıcının sisteminde saklanıyordur. Bu durumda Madde 3'ün değerlendirme kapsamına girilmiş olur.

Genelgenin metninde yapay zeka, dil modeli veya benzeri bir kavram geçmez. Metin 2019 tarihlidir ve bu teknolojinin kamu kurumlarında yaygınlaşmasından öncedir. Dolayısıyla kurum, doğrudan bir hüküm bulmak yerine kendi kıyas gerekçesini kurmak ve yazılı hale getirmek durumundadır; bu yazının kurduğu ayrım da bir kıyas önerisidir, bağlayıcı bir yorum değildir.

Doğru soru “yapay zeka kullanmak yasak mı” değil, “bu çağrıda kurum verisi sağlayıcı tarafında kalıcı hale geliyor mu” sorusudur. Kurumun sağlayıcıya sorması gereken sorular teknik ve cevaplanabilir sorulardır.

• İstek ve yanıt gövdeleri sağlayıcı tarafında kalıcı olarak kaydediliyor mu; kaydediliyorsa saklama süresi nedir?
• İşleme fiilen hangi ülkede gerçekleşiyor; çağrı bir alt yükleniciye veya yurt dışındaki bir bölgeye yönlendiriliyor mu?
• Gönderilen içerik model eğitimi veya iyileştirmesi amacıyla kullanılıyor mu?
• Hata ayıklama, oran sınırlama ve faturalama kayıtlarında prompt metninin kendisi yer alıyor mu, yoksa yalnızca sayaç mı tutuluyor?
• Sözleşme sona erdiğinde kayıtlar nasıl imha ediliyor ve imha kurum tarafından doğrulanabiliyor mu?

Veri sınıflandırmasına göre karar tablosu

Kamu kurumları için doğru başlangıç noktası veri envanteridir. 2019/12 sayılı Genelge tek bir kural koymaz; veri türüne göre farklı ve giderek sıkılaşan yükümlülükler tanımlar, bu nedenle kurum içindeki her kullanım senaryosu ayrı ayrı sınıflandırılmalıdır.

En sıkı yükümlülük 1. maddededir: “Nüfus, sağlık ve iletişim kayıt bilgileri ile genetik ve biyometrik veriler gibi kritik bilgi ve veriler yurtiçinde güvenli bir şekilde depolanacaktır.” Bu maddede istisna yoktur.

2. madde kritik veriler için ayrıca ağ düzeyinde koşul getirir: “Kamu kurum ve kuruluşlarında yer alan kritik veriler, internete kapalı ve fiziksel güvenliği sağlanmış bir ortamda bulunan güvenli bir ağda tutulacak, bu ağda kullanılacak cihazlara erişim kontrollü olarak sağlanacak ve log kayıtları değiştirilmeye karşı önlem alınarak saklanacaktır.” İnternete kapalı bir ağda çalışan bir sistem, tanımı gereği dışarıdaki bir API'ye çağrı yapamaz.

• Anonimleştirme iddiası test edilmeden veri sınıfı düşürülmemelidir; yeniden kimliklendirme riski değerlendirilmelidir.
• Aynı uygulama içinde farklı veri sınıfları dolaşıyorsa sınıflandırma uygulama düzeyinde değil, istek düzeyinde yapılmalıdır.
• Sınıflandırma kararı ve gerekçesi yazılı tutulmalıdır; denetimde sorulacak olan karar değil, kararın gerekçesidir.

Rehber uyumu ve denetim: yükümlülük artık Siber Güvenlik Başkanlığı'nda

2019/12 sayılı Genelge, tedbirlerin nasıl uygulanacağını ayrı bir belgeye, Bilgi ve İletişim Güvenliği Rehberi'ne bırakır. Genelge metni bu rehberin farklı güvenlik seviyeleri içereceğini belirtir ve uyulmasını zorunlu kılar: “Tüm kamu kurum ve kuruluşları ile kritik altyapı hizmeti veren işletmelerde yeni kurulacak bilgi sistemlerinde, Rehberde yer verilen usul ve esaslara uyulması zorunludur.”

Genelge ayrıca kurumlara denetim yükümlülüğü getirir. Metne göre kurum ve kuruluşlar rehberin uygulanmasına ilişkin denetim mekanizmalarını oluşturacak ve uygulamayı yılda en az bir defa denetleyecektir; milli güvenliğin sağlanması ve gizliliğin korunması kapsamında yürütülen görev ve faaliyetler bu denetimin dışındadır.

Genelge yayımlandığında bu denetim raporu Cumhurbaşkanlığı Dijital Dönüşüm Ofisi'ne iletiliyordu, ancak muhatap kurum değişmiştir. 8 Ocak 2025 tarihli ve 32776 sayılı Resmî Gazete'de yayımlanan 177 sayılı Cumhurbaşkanlığı Kararnamesi ile Cumhurbaşkanlığına bağlı Siber Güvenlik Başkanlığı kurulmuş; 19 Mart 2025 tarihli ve 32846 sayılı Resmî Gazete'de yayımlanan 7545 sayılı Siber Güvenlik Kanunu'nun geçici 1 inci maddesi, Dijital Dönüşüm Ofisi'nin münhasıran ulusal siber güvenlik faaliyetleri kapsamında kullanılan varlıklarının, hak ve yükümlülüklerinin Kanunun yayımından itibaren altı ay içinde Siber Güvenlik Başkanlığına devredilmesini öngörmüştür.

Piyasadaki içeriklerin önemli bir kısmı hâlâ Dijital Dönüşüm Ofisi'ni muhatap olarak göstermektedir. Rehber uyum, denetim ve gözetim faaliyetleri bugün Siber Güvenlik Başkanlığı bünyesinde yürütülmektedir; kurumların iç yönergelerindeki muhatap kurum adını bu değişikliğe göre güncellemesi gerekir.

Tedarik tarafında ise Genelge'nin 12. ve 13. maddeleri doğrudan uygulanır. Bir yapay zeka yazılımı hizmet alımı veya kiralaması yapılıyorsa, bu iki madde teknik şartnamenin parçası olmalıdır.

• Madde 12: temin edilecek yazılım veya donanımların kullanım amacına uygun olmayan bir özellik ve arka kapı açıklığı içermediğine dair üretici ve/veya tedarikçilerden imkânlar ölçüsünde taahhütname alınacaktır.
• Madde 13: temin edilen veya geliştirilen yazılımlar kullanılmadan önce güvenlik testlerinden geçirilerek kullanılacaktır.
• Madde 18: kamu e-posta sunucuları ülkemizde ve kurumun kontrolünde bulundurulacak, sunucular arasındaki iletişim şifreli yapılacaktır.
• Denetim sıklığı: yılda en az bir defa.
• İhale dokümanlarında konu çoğunlukla “yapay zeka yazılımı kiralama” veya “hizmet alımı” olarak tanımlanır; teknik şartnamede işleme yerinin ve log politikasının ayrıca aranması gerekir.
• Bilgi ve İletişim Güvenliği Rehberi'nin güncel sürümü kurumun uyum çalışmasında esas alınmalıdır; sürüm bilgisi doğrudan yetkili kurum kaynağından teyit edilmelidir.

LLMTR'nin bu karar zincirinde karşıladığı ihtiyaç

LLMTR, tek bir OpenAI uyumlu API üzerinden hem Türkiye'de barındırılan hem global modellere erişim veren bir gateway platformudur. Madde 3'ün getirdiği ayrımı uygulamaya çalışan bir kurum için pratik karşılık, veri sınıfına göre model seçimini kod seviyesinde ayırabilmek ve bu ayrımı denetlenebilir hale getirmektir.

Katalogda Türkiye'de barındırılan modeller ile global sağlayıcı modelleri açıkça ayrılır. Türkiye'de barındırılan modeller yurt içinde işlenir; global sağlayıcı modelleri aynı API yüzeyinden çağrılabilir, ancak bu modellerde ilgili sağlayıcının kendi veri işleme koşulları ayrıca geçerlidir. Bu ayrımın kurum tarafında bilinçli yapılması, mimarinin değil kurumun sorumluluğundadır.

Veri yolu tarafında LLMTR'nin uyguladığı teknik sınırlar şunlardır: kullanıcı promptları ve model yanıt gövdeleri kullanım ve faturalama veritabanına yazılmaz, yalnızca kullanım sayaçları tutulur. Müşteri API anahtarları SHA-256 hash olarak saklanır, düz metin tutulmaz. Sağlayıcı API anahtarları yalnızca environment variable içinde bulunur. Her birim ayrı API anahtarı, kendi oran sınırı, harcama tavanı ve kullanım raporu alabilir; bu, çok birimli bir kurumda kullanımın birim bazında ayrıştırılmasını sağlar.

Ticari tarafta ayrım nettir: kredi yüklemede %8 platform marjı uygulanır, model fiyatlarına marj eklenmez. Bu, bütçe kalemi hazırlayan satın alma birimlerinin maliyeti önceden hesaplayabilmesi için önemlidir.

LLMTR'nin herhangi bir kamu onayı, akreditasyonu, sertifikasyonu veya resmî ortaklığı bulunduğu iddiasında bulunulmamaktadır. Madde 3'teki “kurum kontrolündeki yerli hizmet sağlayıcı” nitelendirmesinin somut bir hizmet için geçerli olup olmadığı, kurumun kendi uyum ve hukuk birimlerince yapılacak bir değerlendirmedir. Bu yazının amacı o değerlendirme için gereken teknik soruları ve karar ölçütlerini sıralamaktır.

Veri sınıfına göre model yönlendirmesi. Base URL ve model kimliği dışında OpenAI SDK kullanımı değişmez.

import os
from openai import OpenAI

client = OpenAI(
    base_url="https://llmtr.com/v1",
    api_key=os.environ["LLMTR_API_KEY"],
)

# Veri sınıfı -> model eşlemesi. Karar mimaride değil, envanterde verilir.
MODEL_BY_CLASS = {
    # Madde 1 ve Madde 3 kapsamındaki kurum verisi: yurt içinde işlenen model
    "kritik": "llmtr/gemma-4",
    "kurumsal": "llmtr/qwen3-6-35b",
    # Kamuya açık / anonim veri: global sağlayıcı modeli kullanılabilir
    "acik": "openai/gpt-5.5",
}


def sor(veri_sinifi: str, metin: str) -> str:
    model = MODEL_BY_CLASS[veri_sinifi]
    yanit = client.chat.completions.create(
        model=model,
        messages=[{"role": "user", "content": metin}],
    )
    return yanit.choices[0].message.content


# Sınıflandırma istek düzeyinde yapılır, uygulama düzeyinde değil.
ozet = sor("kurumsal", "Bu tutanağı üç maddede özetle.")

Kaynaklar

Bu yazıdaki mevzuat referansları aşağıdaki birincil kaynaklardan doğrulanmıştır. Son kontrol: 13 Ağustos 2026.

Bu içerik bilgilendirme amaçlıdır, hukuki görüş niteliği taşımaz. Nihai değerlendirme kurumun uyum ve hukuk birimlerinin kararıdır.

• 2019/12 sayılı Cumhurbaşkanlığı Genelgesi, Bilgi ve İletişim Güvenliği Tedbirleri, 6 Temmuz 2019 tarihli ve 30823 sayılı Resmî Gazete — resmigazete.gov.tr
• 177 sayılı Cumhurbaşkanlığı Kararnamesi, Siber Güvenlik Başkanlığı Hakkında, 8 Ocak 2025 tarihli ve 32776 sayılı Resmî Gazete — resmigazete.gov.tr
• 7545 sayılı Siber Güvenlik Kanunu, kabul tarihi 12 Mart 2025, 19 Mart 2025 tarihli ve 32846 sayılı Resmî Gazete — resmigazete.gov.tr
• Bilgi ve İletişim Güvenliği Rehberi uyum, denetim ve gözetim faaliyetlerinin Siber Güvenlik Başkanlığına devredilmesi duyurusu, 5 Şubat 2026 — bid.deu.edu.tr

Kamu kurumunda LLM kullanımını 2019/12 sayılı Genelge kapsamında değerlendirme

Bir kamu kurumunun dil modeli kullanımını veri envanterinden denetim raporlamasına kadar genelge maddelerine bağlayarak değerlendirmesi için sıralı adımlar.

1. Veri envanterini çıkarın ve sınıflandırın. Kullanım senaryosunda dolaşacak veriyi Genelge'nin 1., 2. ve 3. maddelerine göre sınıflandırın. Nüfus, sağlık, iletişim kayıt bilgisi, genetik ve biyometrik veriler ayrı bir sınıf olarak işaretlenmelidir.
2. Sağlayıcıya loglama ve işleme yeri sorularını yazılı sorun. İstek ve yanıt gövdelerinin kalıcı kaydedilip kaydedilmediğini, saklama süresini, işlemenin hangi ülkede gerçekleştiğini, alt yüklenici kullanımını ve eğitim amaçlı kullanım olup olmadığını yazılı cevap olarak alın.
3. Veri sınıfı ile model seçimini mimariye yazın. Her veri sınıfı için hangi modelin çağrılacağını uygulama kodunda ve mimari dokümanda sabitleyin. Yönlendirme kararını istek düzeyinde verin, uygulama düzeyinde bırakmayın.
4. Tedarik dokümanına genelge maddelerini ekleyin. Teknik şartnameye 12. madde uyarınca arka kapı içermediğine dair taahhütname ile 13. madde uyarınca kullanım öncesi güvenlik testi gerekliliğini yazın. İşleme yeri ve log politikasını ayrı birer şartname maddesi haline getirin.
5. Kararı ve gerekçesini belgeleyin. Hangi veri sınıfının hangi mimaride işleneceğine dair kararı ve Madde 3 istisnasına ilişkin gerekçeyi yazılı hale getirin. Denetimde sorulacak olan kararın kendisi değil, dayandığı gerekçedir.
6. Yıllık denetim ve raporlamayı planlayın. Genelge uyarınca uygulamanın yılda en az bir defa denetlenmesi gerekir. Denetim takvimini, düzeltici ve önleyici faaliyet kaydını ve raporun iletileceği muhatap kurumu iç yönergenizde güncel tutun.

Sık sorulan sorular

Kamu kurumları bulut hizmeti kullanabilir mi?

2019/12 sayılı Genelge'nin 3. maddesi topyekûn bir yasak getirmez, koşullu bir sınır çizer. Kurum verileri bulut depolama hizmetlerinde saklanmaz; kurumların kendi özel sistemleri ile kurum kontrolündeki yerli hizmet sağlayıcılar bu kuralın dışında tutulmuştur. Bir hizmetin bu istisnaya girdiğini belgelemek kuruma düşer.

2019/12 sayılı Genelge yapay zekadan veya dil modellerinden söz ediyor mu?

Hayır. Genelge 6 Temmuz 2019 tarihinde yayımlanmıştır ve metninde yapay zeka, dil modeli veya benzeri bir kavram geçmez. Kurumların bu teknoloji için doğrudan bir hüküm araması yerine, mevcut maddeleri kendi kullanım senaryolarına kıyas yoluyla uygulaması ve bu kıyas gerekçesini yazılı hale getirmesi gerekir.

Bir LLM API çağrısı bulut depolama sayılır mı?

Belirleyici olan sağlayıcının loglama davranışıdır. Metnin işlenip yanıt üretilmesi tek başına bir saklama faaliyeti değildir; ancak sağlayıcı istek ve yanıt gövdelerini kalıcı olarak kaydediyorsa kurum verisi o sağlayıcının sisteminde saklanmaya başlar ve 3. maddenin değerlendirme kapsamına girilir. Bu nedenle sağlayıcıya sorulacak ilk soru saklama süresi ve log içeriğidir.

Hangi veriler mutlaka yurt içinde saklanmalıdır?

Genelge'nin 1. maddesi bu veri türlerini açıkça sayar: “Nüfus, sağlık ve iletişim kayıt bilgileri ile genetik ve biyometrik veriler gibi kritik bilgi ve veriler yurtiçinde güvenli bir şekilde depolanacaktır.” Madde bir istisna tanımlamaz. 2. madde ise kritik veriler için ayrıca internete kapalı ve fiziksel güvenliği sağlanmış bir ağ şartı getirir.

Rehber uyum ve denetim raporu artık hangi kuruma iletiliyor?

Bilgi ve İletişim Güvenliği Rehberi'nin uyum, denetim ve gözetim faaliyetleri Siber Güvenlik Başkanlığı bünyesinde yürütülmektedir. Başkanlık, 8 Ocak 2025 tarihli ve 32776 sayılı Resmî Gazete'de yayımlanan 177 sayılı Cumhurbaşkanlığı Kararnamesi ile kurulmuş; 7545 sayılı Siber Güvenlik Kanunu'nun geçici 1 inci maddesi Dijital Dönüşüm Ofisi'nin ilgili varlıklarının altı ay içinde devrini öngörmüştür.

LLMTR kamu kurumları için onaylı veya sertifikalı bir sağlayıcı mıdır?

Hayır. LLMTR'nin herhangi bir kamu onayı, akreditasyonu, sertifikasyonu veya resmî ortaklığı yoktur ve böyle bir iddiada bulunulmamaktadır. LLMTR, Türkiye'de barındırılan modeller ile global modelleri tek bir OpenAI uyumlu API üzerinden sunar; hangi veri sınıfında hangi modelin kullanılabileceği kararı kurumun uyum ve hukuk birimlerine aittir.

İlgili yazılar

• BİGR uyumlu yapay zeka mimarisi: kamu kurumlarında veri sınıfına göre model seçimi
• Kamu kurumu ChatGPT ve OpenAI API kullanabilir mi? KVKK yurt dışı aktarım çerçevesi

• Model kataloğu
• Güvenlik dokümantasyonu
• KVKK aydınlatma metni
• Kullanım ve raporlama