Yapay Zeka Modellerinin Veri Saklama Politikaları Nasıl İncelenir?

Kurumsal veri güvenliği, yapay zeka sistemlerinin benimsenmesinde birincil karar parametresidir; girdilerin hangi sunucularda işlendiği, model eğitimine dahil edilip edilmediği ve yasal saklama süreleri sözleşmelerle doğrulanmalıdır.

Yapay Zeka Modellerinin Veri Saklama Politikaları Nasıl İncelenir? sorusu, üretken yapay zeka araçlarını iş süreçlerine entegre eden kurumlar için teknik ve hukuki bir gerekliliktir. Kurumsal verilerin, kaynak kodların ve müşteri bilgilerinin güvenliğini sağlamak amacıyla servis sağlayıcıların sunduğu Hizmet Şartları (Terms of Service), Veri İşleme Sözleşmeleri (DPA) ve gizlilik bildirimleri analiz edilmelidir. Bu inceleme; girdilerin model eğitiminde (training) kullanılıp kullanılmadığını, aktarım ve bekleme anındaki şifreleme protokollerini, loglama sürelerini ve KVKK/GDPR uyumluluğunu doğrulamayı kapsar. Sistem mimarisinin ve veri yaşam döngüsünün şeffaf biçimde denetlenmesi, operasyonel ve yasal riskleri doğrudan minimize eder.

Kullanım Senaryosu Analizi: Tüketici Arayüzleri vs. API Entegrasyonları

Kurumsal bir organizasyonda yapay zeka araçları değerlendirilirken ilk ayrım, sistemin son kullanıcı web arayüzü (Consumer Web UI) üzerinden mi yoksa programatik bir arayüz (API) aracılığıyla mı tüketildiğidir. Hizmet sağlayıcıların genel kullanım koşulları, bu iki kanal için taban tabana zıt veri işleme politikaları tanımlar. Birçok sağlayıcı, ücretsiz veya standart bireysel abonelik katmanlarında kullanıcı tarafından girilen komutları (prompt) ve üretilen çıktıları modelin bir sonraki iterasyonunu eğitmek için varsayılan olarak saklar ve işler. Bu durum, organizasyonun fikri mülkiyetinin, tescilli algoritmalarının veya müşteri verilerinin kontrol dışı bir havuza dahil edilmesi riskini doğurur.

Karar vericilerin yaptığı en yaygın operasyonel hata, bir sağlayıcının kurumsal veya API düzeyindeki güvenlik taahhütlerinin web arayüzü için de geçerli olduğunu varsaymaktır. Örneğin, bir çalışanın genel erişime açık bir sohbet botu ekranına hassas bir finansal tabloyu veya kaynak kod bloğunu yapıştırması, sözleşmesel olarak o verinin sağlayıcı tarafından anonimleştirilerek veya doğrudan model iyileştirme süreçlerinde kullanılmasına rıza gösterildiği anlamına gelebilir. Bu nedenle, politika denetimi doğrudan lisans ve erişim türü bazında yapılmalıdır.

Kurumsal API entegrasyonlarında ise veri akışı farklı kurallara tabidir. Kurumsal seviyedeki sözleşmeler, müşterinin girdiği verilerin sağlayıcının temel modellerini (foundation models) eğitmek için kullanılmayacağını yasal güvence altına alır. Bununla birlikte, API seviyesinde dahi varsayılan olarak "sıfır veri tutma" uygulanmayabilir; sistem performansı izleme, hata ayıklama (debugging) ve kötüye kullanım tespiti (abuse monitoring) gerekçeleriyle veriler belirli süreler boyunca geçici depolama alanlarında tutulabilir. İşletmelerin bu iki katman arasındaki ayrımı teknik ve sözleşmesel düzeyde netleştirmesi şarttır.

Tüketici Arayüzlerinde (Web UI) Veri Saklama ve Model Eğitimi Riskleri

Tüketici odaklı üretken yapay zeka arayüzlerinde kullanıcı sözleşmeleri, hizmeti optimize etme gerekçesiyle geniş veri toplama hakları talep eder. Bu arayüzlerde paylaşılan metinler, yüklenen PDF belgeleri, görseller ve ses kayıtları veri tabanlarında kalıcı veya yarı kalıcı olarak indekslenebilir. Sağlayıcılar genellikle ayarlarda bir "opt-out" (veri paylaşımını kapatma) mekanizması sunsa da, bu mekanizma çoğu zaman geriye dönük işlemez ve yalnızca gelecekteki oturumları kapsar.

Sohbet geçmişinin saklandığı arayüzlerde, kullanıcı verileri üçüncü taraf bulut sağlayıcılarının altyapılarında oturum kimlikleriyle eşleştirilmiş biçimde depolanır. Çalışanların bu arayüzleri kontrolsüz kullanımı durumunda ortaya çıkan riskler şunlardır:

• Gizlilik Sözleşmesi (NDA) İhlalleri: Müşterilere veya iş ortaklarına ait ticari sırların üçüncü taraf bir altyapıya denetimsiz aktarılması.

• Geri Çağrılamayan Veri: Eğitilmiş ağırlıklara (model weights) dahil edilen bilginin parametrelerden doğrudan silinmesinin matematiksel olarak son derece güç olması (Machine Unlearning karmaşıklığı).

• Yetkisiz Personel Erişimi: Sağlayıcı tarafındaki veri etiketleme veya model değerlendirme ekiplerinin (human reviewers) kullanıcı girdilerini manuel olarak inceleme yetkisinin bulunması.

API Entegrasyonlarında Kurumsal Veri İzolasyonu ve İstisnalar

Kurumsal API uç noktaları (endpoints), B2B iş ortaklıkları için tasarlanmış Hizmet Düzeyi Sözleşmeleri (SLA) ve Kurumsal Gizlilik İlkeleri çerçevesinde çalışır. Bu mimaride, API anahtarı (API Key) veya OAuth token'ları üzerinden gönderilen yükler (payload), istemciye özel bir oturum bağlamında işlenir ve yanıt üretildikten sonra bellekten (RAM) temizlenir. Sağlayıcılar, API üzerinden iletilen verilerin temel modelleri eğitmek için kullanılmayacağını açıkça taahhüt eder.

Ancak "model eğitiminde kullanılmama" güvencesi, verinin sistemden anında silindiği anlamına gelmez. API sağlayıcıları, sistemin kötüye kullanımını engellemek (örneğin siber saldırılar, yasa dışı içerik üretimi veya nefret söylemi filtrelemesi) amacıyla istemci girdilerini ve model çıktılarını genellikle 30 gün boyunca şifrelenmiş izleme günlüklerinde (logging stores) saklar. Bu 30 günlük bekleme süresi, belirli güvenlik sertifikasyonlarına veya regülasyonlara tabi kurumlar için kabul edilemez bir uyum riski teşkil edebilir. Kurumların, API dokümantasyonunda yer alan saklama sürelerini ve bu sürenin istisnası olan denetim mekanizmalarını incelemesi gerekir.

---

Hukuki Uyum Analizi: GDPR ve KVKK Uyumluluğu

Yapay zeka modellerinin veri saklama politikalarının incelenmesinde en kritik aşamalardan biri, yürürlükteki veri koruma mevzuatlarına uyum düzeyinin saptanmasıdır. Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Avrupa Birliği genelinde ise Genel Veri Koruma Tüzüğü (GDPR), kişisel verilerin işlenmesi, depolanması ve silinmesine ilişkin bağlayıcı kurallar koyar. Bir yapay zeka modeline gönderilen istemler içinde ad, soyad, e-posta adresi, TC kimlik numarası, IP adresi veya sağlık verisi gibi unsurların bulunması, tüm etkileşimi doğrudan bu mevzuatların denetim alanına sokar.

İşletmeler, sağlayıcının yayımladığı Veri İşleme Eki'ni (Data Processing Addendum - DPA) incelemeden yapay zeka sistemlerini canlı süreçlere dahil etmemelidir. DPA metni; verinin hangi yasal dayanakla işlendiğini, kimlerin erişebileceğini, alt işlemcilerin (sub-processors) kimler olduğunu ve veri ihlali durumunda bildirim sürelerini resmiyete bağlar. Sağlayıcının DPA sunmaması veya müzakereye kapalı standart tüketici şartlarını dayatması, regüle edilen sektörlerdeki kurumlar için doğrudan uyumsuzluk cezaları anlamına gelir.

Bunun yanı sıra, "unutulma hakkı" (right to be forgotten) ve "veriye erişim hakkı" gibi temel veri sahibi haklarının yapay zeka mimarisinde nasıl karşılanacağı sorgulanmalıdır. Geleneksel ilişkisel veri tabanlarında bir kaydı silmek operasyonel bir sorgudan ibaretken, derin öğrenme modellerinin sinir ağlarına nüfuz etmiş bir veriyi ayrıştırmak teknik olarak mümkün olmayabilir. Dolayısıyla veri saklama politikasının, kişisel verilerin model parametrelerine hiçbir zaman girmemesini garanti eden mimari tedbirleri belgelemesi gerekir.

Veri Sorumlusu ve Veri İşleyen Rollerinin Belirlenmesi

Veri koruma hukukunun temel taşı, tarafların sıfatlarının doğru tespit edilmesidir. Bir yapay zeka sağlayıcısı ile kurum arasındaki ilişkide kurum kural olarak Veri Sorumlusu (Data Controller), yapay zeka platformu ise Veri İşleyen (Data Processor) konumundadır. Bu ayrım, verinin güvenliğinden ve işlenme amacının sınırlarından kurumun sorumlu olduğunu, sağlayıcının ise yalnızca kurumun talimatları doğrultusunda hareket edebileceğini hükme bağlar.

Eğer yapay zeka sağlayıcısı, kurumun sağladığı verileri kendi modellerini geliştirmek, analiz yapmak veya ticari ürünlerini zenginleştirmek için işliyorsa, bu noktada sağlayıcı da bağımsız bir Veri Sorumlusu haline gelir. Sağlayıcının veri sorumlusu haline gelmesi, kurum açısından müşterilerinden bu aktarım için açık rıza (explicit consent) alma zorunluluğunu doğurur. İnceleme sürecinde şu sözleşme maddeleri aranmalıdır:

• Sağlayıcının, girdileri yalnızca kurum adına yanıt üretmek amacıyla işleyeceğine dair açık taahhüt.

• Sağlayıcının veriyi kendi algoritmik eğitim süreçlerinde kullanmayacağına ilişkin bağlayıcı madde.

• Sözleşme sona erdiğinde tüm verilerin, yedeklerin ve geçici kopyaların kalıcı olarak silineceğini veya iade edileceğini garanti eden hüküm.

Verilerin Sınır Ötesi Aktarımı ve Bulut Lokasyonları

Küresel yapay zeka sağlayıcılarının büyük bölümü veri işleme operasyonlarını Amerika Birleşik Devletleri merkezli hipersoğutmalı veri merkezlerinde yürütür. KVKK kapsamında kişisel verilerin yurt dışına aktarımı, kanunun 9. maddesinde yapılan güncel düzenlemeler doğrultusunda standart sözleşmelerin (Standard Contractual Clauses - SCC) Kurul'a bildirilmesi, bağlayıcı şirket kuralları veya yeterlilik kararına dayanmak zorundadır. GDPR tarafında ise Schrems II kararı sonrası AB-ABD Veri Gizliliği Çerçevesi (EU-US Data Privacy Framework) standartlarına uyum aranır.

Kurumsal karar vericiler, yapay zeka sağlayıcısının veriyi hangi coğrafi bölgede (region) işlediğini ve sakladığını haritalandırmalıdır. Sağlayıcının Avrupa Birliği sınırları içinde (EU Sovereign Cloud) veya yerel veri merkezlerinde barındırma opsiyonu sunup sunmadığı kontrol edilmelidir. Yalnızca çıkarım (inference) aşamasında bile olsa verinin sınır ötesi bir sunucuya iletilmesi hukuki olarak bir yurt dışı aktarımıdır ve gerekli hukuki kalkanlar kurulmadan icra edilmesi ciddi yaptırımlara yol açar.

---

Teknik Güvenlik ve Veri Şifreleme Standartlarının Denetlenmesi

Sözleşmesel vaatlerin teknik olarak doğrulanabilmesi, yapay zeka mimarisinin benimsediği kriptografik standartların ve altyapı güvenlik protokollerinin derinlemesine incelenmesini gerektirir. Veri güvenliği dokümantasyonunda yer alan ifadelerin endüstri normlarına uygunluğu, verinin istemciden çıkıp yapay zeka modeline ulaştığı ve yanıtın geri döndüğü tüm yaşam döngüsü boyunca test edilmelidir. Sağlayıcının güvenlik duruşunu değerlendirirken bağımsız üçüncü taraf denetim raporları temel dayanak noktasıdır.

SOC 2 Type II (Service Organization Control) raporu, bir sağlayıcının güvenlik, kullanılabilirlik, işlem bütünlüğü, gizlilik ve mahremiyet ilkelerini belirli bir zaman dilimi boyunca kesintisiz uyguladığını kanıtlar. Yalnızca SOC 2 Type I sertifikasına sahip olmak, kontrollerin sadece belirli bir andaki tasarımını gösterdiği için kurumsal risk analizi açısından yetersizdir. Benzer biçimde, bilgi güvenliği yönetimini belgeleyen ISO/IEC 27001 ve bulut veri gizliliğine odaklanan ISO/IEC 27701 sertifikasyonlarının güncelliği doğrulanmalıdır.

Ayrıca sistem mimarisinde çok kiracılı (multi-tenant) yapının getirdiği riskler analiz edilmelidir. Aynı fiziksel sunucuyu ve GPU kümesini paylaşan farklı kurumsal müşterilerin verilerinin mantıksal olarak nasıl izole edildiği, bellek sızıntılarına (memory leakage) ve yan kanal saldırılarına (side-channel attacks) karşı hangi donanım seviyesi yalıtım önlemlerinin alındığı güvenlik beyaz bültenlerinden (security whitepapers) okunmalıdır.

Aktarım Sırasında (In-Transit) ve Beklemede (At-Rest) Şifreleme Protokolleri

Veri saklama politikalarının teknik ayağında, kriptografik standartların güncelliği tavizsiz biçimde kontrol edilmelidir. Veri, ağ üzerinden model sunucularına aktarılırken (data in-transit) en az TLS 1.3 protokolü kullanılmalı, eskiyen ve güvenlik açığı barındıran TLS 1.0, 1.1 ve zayıf şifreleme paketleri (cipher suites) altyapıdan tamamen kaldırılmış olmalıdır. Aktarım güvenliğinde Yetkili Sertifika Sağlayıcıları tarafından imzalanmış geçerli SSL/TLS sertifikalarının varlığı teyit edilmelidir.

Veri sağlayıcının depolama katmanlarında beklerken (data at-rest); geçici loglar, önbellekler (caches) ve veri tabanları seviyesinde en az AES-256 (Advanced Encryption Standard) standardı ile şifrelenmelidir. Kurumsal düzeydeki olgun sağlayıcılar, şifreleme anahtarlarının yönetiminde müşteriye kendi anahtarını getirme (BYOK - Bring Your Own Key) veya Müşteri Tarafından Yönetilen Şifreleme Anahtarları (CMEK) esnekliği tanır. BYOK mimarisi, kurumun istediği anda anahtarı iptal ederek sağlayıcının sunucularındaki veriyi anında okunamaz hale getirmesine imkan verir.

Sıfır Veri Saklama (Zero Data Retention - ZDR) Mimarisi ve İstisnaları

Sıfır Veri Saklama (Zero Data Retention - ZDR), kurumsal yapay zeka entegrasyonlarında en üst düzey gizlilik standardı olarak kabul edilir. ZDR mimarisinde, istemci tarafından gönderilen istem ve model tarafından üretilen yanıt yalnızca GPU/CPU belleğinde (RAM) çıkarım süresince tutulur. Yanıt istemciye başarıyla iletildiği anda oturum sonlandırılır ve hiçbir veri kalıcı disk depolama birimlerine yazılmaz.

Ancak kurumsal karar vericilerin dikkat etmesi gereken kritik istisna, kötüye kullanım denetimi (abuse monitoring) mekanizmalarıdır. Birçok sağlayıcı ZDR sunduğunu iddia etmesine rağmen, sözleşmenin alt maddelerinde sistemin kötü niyetli kullanımını engellemek için veriyi 30 güne kadar şifrelenmiş geçici depolama alanında tuttuğunu belirtir. Gerçek bir ZDR uyumluluğu için:

1. Sağlayıcı ile resmi bir "Abuse Monitoring Opt-Out" veya "Zero Retention Agreement" imzalanmalıdır.

2. Sağlayıcının güvenlik operasyonları merkezinin (SOC) insan incelemesi (human review) yetkisi sistem seviyesinde devre dışı bırakılmalıdır.

3. Oturum sonrasında sistemde anomali tespiti veya hata ayıklama amaçlı dahi olsa hiçbir metin kaydının bırakılmadığı bağımsız denetim raporlarıyla doğrulanmalıdır.

---

Yapay Zeka Modellerinde Veri Sızıntısını Önleme Stratejileri

Veri saklama politikalarının getirdiği riskleri bertaraf etmenin en sağlam yolu, hassas verilerin üçüncü taraf modellere ham haliyle iletilmesini engelleyen mimari kurgular inşa etmektir. Bir kurum, en katı gizlilik sözleşmesine sahip olsa dahi, insan hatası veya yazılımsal güvenlik açıkları nedeniyle veri sızıntısı riski her zaman mevcuttur. Bu nedenle güvenlik stratejisi, sözleşmesel taahhütlerin ötesine geçerek teknik koruma katmanlarını içermelidir.

Organizasyonlar, modelleri doğrudan eğitmek (fine-tuning) yerine bağlamsal veri getirme yöntemlerini benimseyerek verinin model ağırlıklarına kalıcı olarak gömülmesini önleyebilir. İnce ayar yapılmış modellerde, modele aktarılan şirket içi belgeler sinir ağının parametrelerine kodlanır. Bu durum, zeki komut enjeksiyonu (prompt injection) veya model tersine mühendislik (model inversion) saldırılarıyla üçüncü şahısların şirket verilerini modelden geri çekebilmesine zemin hazırlar.

Teknik mimaride veri akışını sınırlandırmak, hem saklama politikalarının denetim yükünü hafifletir hem de kurumun mevzuatsal uyumluluk riskini minimize eder. Çıkarım anında modele yalnızca ihtiyaç duyduğu kadar bilginin verilmesi ve bu bilginin işlem bitiminde yok edilmesi temel ilke olmalıdır.

RAG (Retrieval-Augmented Generation) ile Güvenli Veri Entegrasyonu

RAG mimarisi, kurumsal verilerin yapay zeka modelleriyle güvenli entegrasyonunda endüstri standardı haline gelmiştir. Bu modelde kurumsal dokümanlar harici bir sağlayıcıya yüklenmez; kurumun kendi denetimindeki yerel veya özel bulut ortamında barındırılan bir vektör veri tabanında (Vector Database) saklanır. Kullanıcı bir soru sorduğunda, sistem yalnızca o soruyla ilgili metin parçacıklarını (chunks) vektör veri tabanından sorgular ve çıkarım için modele anlık bir bağlam (context) olarak iletir.

RAG yaklaşımının veri güvenliği ve saklama politikaları açısından faydaları şunlardır:

• Sıfır Model Eğitimi Riski: Veriler modelin kalıcı parametrelerine dahil edilmez; yalnızca geçici çıkarım penceresinde (context window) tutulur.

• Erişim Yetkilendirmesi (RBAC): Kullanıcının şirket içindeki yetkisine göre sadece erişim izni olan belgeler vektör tabanından çekilir, böylece model yetkisiz personelle hassas bilgi paylaşamaz.

• Anında Veri İptali: Bir belge güncellendiğinde veya silindiğinde vektör veri tabanından anında kaldırılabilir; modelin unlearning süreçlerine tabi tutulmasına gerek kalmaz.

Yerel (On-Premise) ve Açık Kaynaklı Model Dağıtım Alternatifleri

Hassas verilerle çalışan, askeri, finansal veya sağlık sektörlerindeki kurumlar için en yüksek veri egemenliği standardı, açık kaynaklı ağırlıklara sahip büyük dil modellerini (LLM) yerel sunucularda çalıştırmaktır. Llama, Mistral gibi yüksek performanslı açık ağırlıklı modeller; kurumun kendi veri merkezinde (on-premise) veya sanal özel bulutunda (VPC) donanım tabanlı olarak devreye alınabilir.

Yerel model dağıtımında veriler hiçbir koşulda şirket güvenlik duvarının (firewall) dışına çıkmaz. Ağ düzeyinde tamamen izole edilmiş (air-gapped) ortamlarda çalıştırılan yapay zeka modelleri için harici bir sağlayıcının veri saklama politikasını denetleme ihtiyacı ortadan kalkar; tüm saklama, şifreleme ve silme süreçleri kurumun kendi bilgi güvenliği politikaları (CISO standartları) tarafından doğrudan yönetilir. Bu yöntemin dezavantajı ise donanım (GPU altyapısı) yatırım maliyetleri ve operasyonel bakım yüküdür.

---

Kurumlar İçin Yapay Zeka Veri Politikası Denetim Listesi (Checklist)

Bir organizasyonun yapay zeka tedarik sürecinde (vendor procurement) veri güvenliğini şansa bırakmaması için sistematik bir denetim sürecinden geçmesi gerekir. Yalnızca satış ekiplerinin veya web sitesindeki pazarlama metinlerinin sunduğu taahhütler hukuki koruma sağlamaz. Kurumun hukuk, siber güvenlik ve bilgi teknolojileri ekipleri ortak bir değerlendirme yaparak sağlayıcının veri saklama politikalarını doğrulamalıdır.

Bu denetim süreci; verinin sisteme girişinden silinmesine kadar geçen tüm yaşam döngüsünü, üçüncü taraf bileşenleri, veri merkezlerinin coğrafi konumunu ve olası bir güvenlik ihlali anındaki kriz yönetim planını kapsamalıdır. Sağlayıcının bu taleplere verdiği yanıtların netliği, kurumun dijital varlıklarının korunmasında doğrudan belirleyicidir.

Veri Sınıflandırması ve Hassasiyet Derecelendirmesi

Yapay zeka araçlarına hangi verilerin aktarılabileceği tanımlanmadan hiçbir saklama politikası tam anlamıyla koruma sağlayamaz. Kurum, sahip olduğu veri varlıklarını sınıflandırmalıdır:

1. Açık Veri: Kamuya açık bilgiler, genel pazarlama metinleri (Tüketici arayüzlerinde dahi kullanılabilir).

2. Kurum İçi Veri: Şirket içi genel duyurular, operasyonel kılavuzlar (Kurumsal API sözleşmesi şarttır).

3. Gizli Veri: Finansal raporlar, stratejik planlar, fikri mülkiyet, kaynak kodları (Yalnızca ZDR onaylı kurumsal API veya izole RAG mimarisi).

4. Çok Gizli / Hassas Veri: Müşteri kişisel verileri (PII), sağlık verileri, kritik güvenlik şifreleri (Yalnızca yerel/on-premise modeller veya tam anonimleştirme sonrası).

Model Eğitimi ve İnce Ayar (Fine-tuning) İzinlerinin Tespiti

Sözleşme incelemesinde odaklanılması gereken en tehlikeli madde, "sağlayıcının hizmeti geliştirmek için veriyi kullanma hakkı" olduğunu belirten hükümlerdir. Bu tür maddeler çoğunlukla "to train, improve, or fine-tune our models" şeklinde ifade edilir. Kurumsal sözleşmede bu ifadenin üzeri çizilmeli veya ek protokollerle bu hakkın müşteri verileri üzerinde geçerli olmadığı açıkça yazılmalıdır.

Eğer kurum kendi modellerine ince ayar (fine-tuning) yaptırıyorsa, ortaya çıkan model ağırlıklarının (weights) kime ait olduğu netleştirilmelidir. İnce ayar yapılmış modelin sağlayıcının diğer müşterileriyle paylaşılmayacağını, kurumun mülkiyetinde olduğunu ve sözleşme feshedildiğinde model ağırlıklarının kalıcı olarak silineceğini belirten fikri mülkiyet maddeleri güvence altına alınmalıdır.

Güvenlik Sertifikaları (SOC 2, ISO 27001) ve Bağımsız Denetim Raporları

Pazarlama dokümanlarında "güvenli bulut" ifadesinin yer alması yeterli değildir. Kurumun güvenlik ekibi sağlayıcıdan şu resmi belgeleri talep etmelidir:

• SOC 2 Type II Raporu: Denetçi görüşü (opinion) ve raporda listelenen istisnalar (exceptions) detaylıca okunmalıdır. İstisna sayısı yüksekse sağlayıcının kontrolleri zayıf demektir.

• Sızma Testi (Penetration Test) Özet Raporları: Üçüncü taraf bağımsız güvenlik firmaları tarafından son 12 ay içinde yapılmış test sonuçları ve bulunan açıkların kapatılma durumları incelenmelidir.

• İş Sürekliliği ve Felaket Kurtarma Planları: Sağlayıcının bir veri merkezi çökmesi durumunda yedekleri nasıl ayağa kaldırdığı ve bu yedeklerin şifreleme anahtarlarının nerede barındığı teyit edilmelidir.

İnsan Denetimi (Human-in-the-Loop) Kapsamı ve Manuel İnceleme Sınırları

Yapay zeka modellerinin veri politikalarında gözden kaçan en büyük tehlikelerden biri "insan incelemesi" (human review) süreçleridir. Birçok sağlayıcı, filtrelerine takılan veya rastgele seçilen prompt/çıktı çiftlerini model doğruluğunu ölçmek amacıyla insan etiketleyicilere veya taşeron şirketlere inceletir.

Bu durum, kurum verilerinin üçüncü şahıslar tarafından okunması anlamına gelir ve doğrudan gizlilik ihlalidir. Kurumsal politikalarda, sağlayıcının hiçbir çalışanının veya üçüncü taraf taşeronunun müşteri girdilerini manuel olarak görüntüleme (manual review) yetkisinin bulunmadığı netleştirilmelidir.