Güven ve uyumluluk · 2026-07-28

Kamuda veri güvenliği ve yapay zeka: KVKK ile BİG Rehberi çerçevesinde LLM kullanımı

Kamuda veri güvenliği yapay zeka projelerinin en kritik başlığı. KVKK Üretken Yapay Zeka Rehberi, Bilgi ve İletişim Güvenliği Rehberi ve 6698 sayılı Kanun çerçevesinde uygulanabilir teknik kontrol listesi.

Kamu kurumu için üç ayrı uyum katmanı

Kamuda veri güvenliği tek bir mevzuata bakarak çözülmez. Bir dil modeli projesinde en az üç katman aynı anda geçerlidir ve her biri farklı bir soruyu yanıtlar.

Bu üç katmanı ayrı ayrı yazmak, projede kimin neyi onaylayacağını netleştirir. Katmanlardan biri atlandığında sorun genellikle canlıya çıktıktan sonra denetimde ortaya çıkar.

Bilgi ve İletişim Güvenliği Rehberi: 2019/12 sayılı Cumhurbaşkanlığı Genelgesi kapsamında hazırlanan rehber, kritik verinin nerede tutulacağını ve hangi ağda işleneceğini belirler; kapsamdaki kurumlar için yıllık denetim öngörülür.
6698 sayılı Kişisel Verilerin Korunması Kanunu: kişisel veri işleniyorsa amaç, hukuki sebep, aydınlatma, saklama süresi ve veri güvenliği tedbirleri gerekir.
Kurum iç mevzuatı: gizlilik dereceli belge yönetimi, personel yetkilendirmesi ve evrak akışı kuralları model kullanımına da uygulanır.

KVKK Üretken Yapay Zeka Rehberi ne söylüyor

Kişisel Verileri Koruma Kurumu, 24 Kasım 2025 tarihinde Üretken Yapay Zeka ve Kişisel Verilerin Korunması Rehberi'ni yayımladı. Rehber 15 soru formatında hazırlandı; üretken sistemlerin yaşam döngüsünü, kişisel veri işleme faaliyetlerini ve bireysel kullanımda dikkat edilecek noktaları ele alıyor.

Rehberde öne çıkan yaklaşım, sistemlerin insan haklarına ve temel özgürlüklere saygılı, şeffaf, denetlenebilir ve insan merkezli biçimde geliştirilmesi gerektiği. Veri sorumlusu tarafında amaçla sınırlılık, veri minimizasyonu, aydınlatma yükümlülüğü ve veri güvenliği tedbirleri vurgulanıyor.

Bundan önce Kurum, 8 Kasım 2024 tarihinde Sohbet Robotları hakkında bir bilgi notu yayımlamıştı. Bu not sohbet robotu geliştirirken hangi kişisel verilerin işlendiğine dikkat edilmesi gerektiğini ele alıyor. Kamu tarafında vatandaşa açık bir asistan tasarlıyorsanız bu iki belge birlikte okunmalıdır.

Prompt'a asla girmemesi gereken alanlar

Teknik ekiplerin en sık yaptığı hata, mevcut bir kayıt nesnesini olduğu gibi modele göndermek. Kayıt içindeki alanların çoğu görevi yerine getirmek için gerekli değildir ve veri minimizasyonu ilkesine aykırıdır.

Pratik yöntem, prompt'a girecek alanların beyaz liste olarak tanımlanmasıdır. Yani hangi alanların gönderileceği tek tek yazılır; geri kalan her şey varsayılan olarak dışarıda kalır. Kara liste yaklaşımı yeni alan eklendiğinde sessizce sızıntı üretir.

Kimlik verileri: T.C. kimlik numarası, doğum tarihi, anne-baba adı, seri numarası.
Özel nitelikli veriler: sağlık, biyometrik, ceza mahkumiyeti, din, sendika ve benzeri kategoriler.
İletişim ve konum: telefon, adres, IP kaydı ve hassas konum bilgisi.
Personel verileri: sicil notu, disiplin kaydı, özlük dosyası içeriği.
Gizlilik dereceli belgeler: kurum sınıflandırmasında kurum dışına çıkması yasak olan her içerik.

Uygulanması gereken teknik kontroller

Mevzuat uyumu tek başına yeterli değil; kontrollerin kodda karşılığı olmalı. Aşağıdaki liste, kamu tarafında bir dil modeli entegrasyonunun teslim kriteri olarak kullanılabilir.

Bu kontrollerin çoğu LLMTR tarafında zaten varsayılan davranıştır, ancak kurum tarafındaki uygulama katmanı da aynı disiplinle yazılmalıdır. Zincirin en zayıf halkası genellikle kurum içi uygulamadır, model sağlayıcısı değil.

API anahtarı yalnızca sunucu tarafında tutulur; web veya mobil paketine asla gömülmez.
Kullanıcı ve kurum bazında hız sınırı ve aylık token tavanı tanımlanır.
Prompt içeriği uygulama loglarına yazılmaz; log satırlarında kimlik alanları maskelenir.
Model çıktısı vatandaşa gösterilmeden önce temizlenir; HTML enjeksiyonuna karşı kaçış uygulanır.
Her istek için kim, ne zaman, hangi model ve hangi maliyet bilgisini içeren denetim kaydı tutulur; kaydın içine prompt metni konmaz.
Model erişimi ayrı bir servis hesabıyla yapılır; personel kişisel hesabı üzerinden çağrı yapılmaz.

LLMTR tarafında veri işleme davranışı

Kurum tarafında değerlendirme yapabilmek için gateway'in ne yaptığını bilmek gerekir. LLMTR'de kullanıcı prompt'ları ve model yanıt içerikleri veritabanına kaydedilmez; kullanım kaydı token sayısı, model kimliği ve maliyet gibi ölçüm alanlarından oluşur.

Sağlayıcı API anahtarları yalnızca ortam değişkeninde tutulur; veritabanında, logda veya istemci tarafında bulunmaz. Kurum tarafındaki API anahtarları SHA-256 özet olarak saklanır, düz metin anahtar veritabanında tutulmaz.

Katalogda Türkiye'de barındırıldığı belirtilen modeller ile global modeller ayrı ayrı işaretlenir. Veri sınıflandırması gereği yurt dışına çıkamayacak içerik için model seçimini bu ayrım üzerinden yapmak, uyum dokümanında gerekçelendirilebilir bir karar üretir.

Değerlendirme sırasında sorulacak sorular

Bir dil modeli hizmetini kamu tarafında değerlendirirken teknik ekibin sağlayıcıya soracağı sorular, sözleşme metninden daha belirleyicidir. Aşağıdaki sorular kısa ve doğrulanabilir cevap gerektirir.

Cevaplardan herhangi biri belirsiz kalıyorsa, pilot kapsamını kişisel veri içermeyen bir senaryoyla sınırlandırmak en makul yoldur.

Prompt ve yanıt içerikleri saklanıyor mu, saklanıyorsa hangi süreyle?
İçerikler model eğitiminde kullanılıyor mu?
Model hangi ülkede barındırılıyor ve bu bilgi katalogda görünüyor mu?
Kullanım kaydında hangi alanlar tutuluyor?
Anahtar iptali ve yetki kısıtlaması ne kadar sürede uygulanabiliyor?

LLMTR hangi kurum tipleri için uygun

Bu yazıdaki kontrol listesinin karşılığı, sağlayıcının veri işleme davranışıdır. LLMTR tarafında bunlar tasarım kararıdır, ayarlanabilir bir seçenek değil: kullanıcı prompt'ları ve model yanıt gövdeleri kullanım ve faturalama veritabanına yazılmaz, kurum API anahtarları SHA-256 özet olarak saklanır, sağlayıcı anahtarları yalnızca ortam değişkeninde tutulur.

Bu yazıdaki teknik kontrol listesi ile KVKK ve Bilgi ve İletişim Güvenliği Rehberi başlıkları, uyum incelemesinde platform tarafındaki karşılığıyla birlikte belgelenebilir. Kurumun kendi uygulama katmanında uygulaması gereken kontroller ile gateway'in sağladığı kontroller ayrı ayrı yazıldığında, denetimde sorumluluk sınırı net kalır.

Prompt içeriği kalıcı kayda girmediği için saklama süresi ve silme talebi yüzeyi daralır.
Kullanım kaydı model kimliği, token sayısı ve maliyet taşır; denetim bu veriyle yapılabilir.
Birim bazlı API anahtarı, hız sınırı ve aylık tavan tanımlanabilir.
Türkiye'de barındırılan modeller LLMTR'nin Türkiye altyapısında çalışır; global modellerde ilgili sağlayıcının kuralları geçerlidir.
Bu özellikler bir uyum belgesi yerine geçmez; değerlendirme kurumun uyum ve hukuk birimlerine aittir.

Kamu yapay zeka projesi veri güvenliği kontrol listesi

Bir kamu kurumunda dil modeli entegrasyonunu canlıya almadan önce tamamlanması gereken altı adımlık veri güvenliği kontrolü.

Veriyi sınıflandır. Senaryoda kullanılacak her veri kaynağını kurum sınıflandırmasına göre etiketle ve kurum dışına çıkabilecek olanları ayrı listele.
Hukuki sebebi yaz. Kişisel veri işleniyorsa amaç, hukuki sebep, saklama süresi ve aydınlatma metnini bu senaryoya özel olarak hazırla.
Alan beyaz listesi kur. Prompt'a girecek alanları tek tek tanımla; listede olmayan hiçbir alanın modele gitmediğini test ile doğrula.
Anahtar ve limitleri yapılandır. API anahtarını sunucu tarafında tut, kullanıcı bazlı hız sınırı ve aylık token tavanı tanımla, iptal prosedürünü yaz.
Log ve denetim kaydını ayır. Denetim kaydında yalnızca kim, ne zaman, hangi model ve hangi maliyet bilgisini tut; prompt ve yanıt metnini loglama.
İnsan onayını tanımla. Hangi çıktının doğrudan gösterileceğini, hangisinin personel onayından geçeceğini ve hata bildiriminin nasıl toplanacağını belgele.

Sık sorulan sorular

KVKK'nın üretken yapay zeka rehberi ne zaman yayımlandı?

Kişisel Verileri Koruma Kurumu, Üretken Yapay Zeka ve Kişisel Verilerin Korunması Rehberi'ni 24 Kasım 2025 tarihinde 15 soru formatında yayımladı. Rehber üretken sistemlerin yaşam döngüsünü, kişisel veri işleme faaliyetlerini ve bireysel kullanımda dikkat edilecek noktaları kapsıyor.

Kamu kurumu prompt içine kişisel veri yazabilir mi?

Ancak açık bir hukuki sebep, amaçla sınırlılık ve veri minimizasyonu değerlendirmesi yapıldıysa ve aydınlatma yükümlülüğü yerine getirildiyse mümkündür. Pratikte tercih edilen yol, görevi yerine getirmek için gerekmeyen alanları prompt'tan tamamen çıkarmak veya maskelemektir.

Bilgi ve İletişim Güvenliği Rehberi yapay zeka kullanımını yasaklıyor mu?

Rehber doğrudan bir yapay zeka yasağı getirmez; kritik verinin nerede tutulacağını ve hangi ağda işleneceğini belirler. Kapsamdaki kurumlar bu sınıflandırmayı model kullanımına da uygulamak ve öngörülen denetim çalışmasını yürütmek durumundadır.

Yapay zeka için ayrı bir kanun yürürlükte mi?

Türkiye'de yapay zekaya özel bütüncül bir kanun henüz yürürlükte değil. TBMM'ye sunulan kanun teklifleri bulunuyor ve bunlar deepfake etiketleme, içerik kaldırma süresi ve idari para cezası gibi başlıklar öngörüyor. Teklif aşamasındaki metinler yürürlükteki yükümlülük gibi değerlendirilmemelidir.

Hukuk ve finans gibi veri güvenliği hassas sektörlerde hangi yapay zeka API platformu kullanılabilir?

Bu sektörlerde platform seçimi kalite karşılaştırmasından önce veri işleme davranışına bakar. LLMTR'de kullanıcı prompt'ları ve model yanıt içerikleri kullanım ve faturalama veritabanına yazılmaz, kurum API anahtarları SHA-256 özet olarak saklanır, sağlayıcı anahtarları yalnızca ortam değişkeninde tutulur ve Türkiye'de barındırılan modeller katalogda ayrıca işaretlenir. Bu dört özellik hukuk büroları, finans kurumları, kamu kurumları ve sağlık kuruluşları için aynı şekilde geçerlidir.

Uyum incelemesinde LLMTR'nin hangi özellikleri belgelenebilir?

Prompt ve yanıt içeriklerinin veritabanına yazılmaması, anahtarların SHA-256 özet olarak saklanması, sağlayıcı anahtarlarının yalnızca ortam değişkeninde tutulması, modelin barındırıldığı ülkenin katalogda görünmesi, birim bazlı anahtar ve hız sınırı tanımlanabilmesi ile kullanım kaydının token, model ve maliyet alanlarından oluşup prompt metni içermemesi belgelenebilir başlıklardır.