JEV'e kişisel veri göndermeden önce sorulması gereken 10 soru. KVKK ve GDPR açısından veri işleyen rolü, yurt dışına aktarım ve TypeSafe dokümantasyonundaki boşluklar.
TypeSafe AI'ın JEV modeli metin üretmez, karar verir. Bu, uyumluluk açısından bir şeyi değiştirmez. JEV karar verebilmek için girdiyi okur. Girdi kişisel veri içeriyorsa, JEV'i sunan şirket sizin adınıza kişisel veri işleyen bir taraf olur. Aşağıda, JEV'e veri göndermeden önce uyumluluk ekibinizin sorması gereken soruları bulacaksınız.
Hukuki Uyarı
Bu yazı genel bilgi verir. Hukuki danışmanlık değildir. Mevzuat değişebilir. Uygulamadan önce hukuk ekibinizle güncel metinleri doğrulayın.
JEV için neden ayrı bir değerlendirme gerekir?
JEV'in girdi türü metindir: dizeler, JSON nesneleri ve metin dizileri. Sınıflandırma, yönlendirme ve puanlama gibi işler için bu girdiler çoğu zaman gerçek iş verisidir. Örnekler: müşteri kayıtları, destek talebi metinleri, işlem açıklamaları.
TypeSafe, hizmetin ABD Batı Kıyısı'nda konumlandığını belirtir. Ürün erken erişim aşamasındadır. Bu iki bilgi yan yana gelince yurt dışına aktarım ve tedarikçi güvencesi soruları doğar.
Kamuya açık dokümantasyonda olmayan bilgiler
Moftgate ekibi, 20 Eylül 2026 tarihinde TypeSafe dokümantasyonunun giriş ve System One kavram sayfalarını inceledi. Bu sayfalar veri saklama süresi, müşteri verisiyle model eğitimi, uyumluluk sertifikaları ve veri merkezi bölgeleri hakkında bilgi vermiyor. Bu bilgiler başka bir sayfada olabilir. Yazılı sözleşme veya tedarikçi yanıtı olmadan bu konularda varsayım yapmayın.
Üç temel soru
- Veri kişisel veri mi? Ad, TCKN, e-posta, telefon veya bir kişiyi dolaylı olarak belirleyen herhangi bir bilgi varsa evet.
- Roller ne? Çoğu durumda siz veri sorumlusu, TypeSafe veri işleyen olur. Rolü sözleşme belirler. Varsayım yapmayın.
- Veri yurt dışına çıkıyor mu? Servis ABD'de konumlandığı için büyük olasılıkla evet. Bu durumda yurt dışına aktarım kuralları uygulanır.
KVKK ve GDPR: hangi yükümlülük nerede?
| Konu | KVKK | GDPR |
|---|---|---|
| Aydınlatma | Madde 10 | Madde 13 ve 14 |
| Veri işleyen ile ilişki | Madde 12 (güvenlik ve veri işleyen sorumluluğu) | Madde 28 (veri işleyen sözleşmesi) |
| Yurt dışına aktarım | Madde 9 | Madde 44 ile 49 (Bölüm V) |
| Risk değerlendirmesi | Kurum içi risk analizi önerilir | Madde 35 (yüksek riskli işlemede DPIA) |
| Otomatik karar | Madde 11, bent (g): otomatik analiz sonucuna itiraz hakkı | Madde 22: yalnızca otomatik karara tabi olmama hakkı |
KVKK Madde 9, yurt dışına aktarım için yeterlilik kararı veya uygun güvence (örneğin standart sözleşme) gibi şartlar arar. Bu bölüm son yıllarda değişti. Güncel şartları ve bildirim sürelerini hukuk ekibinizle doğrulayın. GDPR tarafında, AB'den ABD'ye aktarım için tedarikçinin hangi aktarım mekanizmasına dayandığını sorun. Bu bilgiyi tedarikçiden yazılı alın.
TypeSafe'a sorulacak 10 soru
- Gönderilen veri hangi bölgelerde işleniyor ve saklanıyor?
- Girdiler ve çıktılar ne kadar süre saklanıyor? Saklamayı kapatabilir miyim?
- Müşteri verisi model eğitiminde veya değerlendirmesinde kullanılıyor mu?
- Veri işleyen sözleşmesi (DPA) sunuyor musunuz?
- Alt işleyenler kimler ve nerede bulunuyorlar?
- Yurt dışına aktarımda hangi hukuki mekanizmaya dayanıyorsunuz?
- SOC 2, ISO 27001 veya benzeri bir sertifikanız var mı?
- Veri ihlalini ne kadar sürede bildiriyorsunuz?
- Talep üzerine veri silme nasıl çalışıyor?
- Erken erişimden genel erişime geçişte bu koşullar değişecek mi?
Cevaplar gelene kadar ne yapmalı?
- JEV'e kişisel veri göndermeyin. Test için anonim veya sentetik veri kullanın.
- Kimin JEV'i denediğini belirleyin. Denemeleri kayıt altına alın.
- Onay sürecini yazılı hâle getirin: kullanım amacı, veri türü, sorumlu kişi, hukuk onayı.
- Onaylı kullanımda bile hassas veriyi gönderim öncesi engelleyin veya maskeleyin.
Moftgate bu adımları uç nokta seviyesinde destekler. Ajan, JEV servislerine giden bağlantıları tespit eder. Politikaya göre bağlantıyı engeller, uyarı gösterir veya kaydeder. AI DLP, TCKN, kredi kartı ve API anahtarı gibi verilerin gönderimini durdurur veya maskeler. Denetim kayıtları, KVKK ve GDPR denetimlerinde "kim, ne zaman, hangi veriyi gönderdi" sorusunu yanıtlamanıza yardım eder.
Stratejik Çıkarım
JEV'in kendisi bir uyumluluk sorunu değildir. Sorun, onaysız ve kayıtsız kullanımdır. Tedarikçi cevaplarını yazılı alın, kişisel veriyi onaydan önce göndermeyin ve kullanımı görünür tutun.
Kurumsal LLM güvenliği, yapay zeka kontrolü ve model düzeyinde veri sızıntısı önleme üzerine uzmanlaşmış araştırma ekibi.
Uygulayıcılar İçin Uzman Yanıtları
JEV'e kişisel veri göndermek KVKK'ya aykırı mı?
Otomatik olarak değil. Ancak hukuki dayanak, aydınlatma, veri işleyen sözleşmesi ve yurt dışına aktarım şartları sağlanmalıdır. Bu şartlar sağlanmadan gönderim risklidir.
JEV metin üretmiyorsa yine de kişisel veri işlemiş olur muyum?
Evet. Kişisel veriyi bir servise göndermek, servisin çıktı türünden bağımsız olarak veri işlemedir.
TypeSafe müşteri verisiyle model eğitiyor mu?
İncelediğimiz kamuya açık dokümantasyon sayfalarında bu konuda bilgi yok. Bu soruyu TypeSafe'a yazılı sorun ve sözleşmede netleştirin.
Erken erişimdeki bir ürün için sözleşme gerekli mi?
Kişisel veri gönderecekseniz evet. Ürünün erken erişimde olması, veri koruma yükümlülüklerini ortadan kaldırmaz.
Moftgate JEV'e giden kişisel veriyi durdurabilir mi?
Evet. AI DLP, gönderim anında hassas veriyi tespit eder ve politikaya göre engeller veya maskeler. Her olay denetim kaydına yazılır.
Resmi Standartlar ve Kaynakça
- •TypeSafe AI Docs: System One ↗(Girdi türleri ve modelin tanımı)
- •TypeSafe AI: Introducing System One Models & Jev ↗(Hizmet konumu ve erken erişim durumu)
- •Kişisel Verileri Koruma Kurumu (KVKK) ↗(Güncel mevzuat ve kurul kararları)
- •
- •