Yapay Zeka Hizmetlerimiz
Advocotek olarak, büyük dil modellerini işletmenizin kendi verisi ve sistemleriyle çalışacak şekilde uçtan uca devreye alıyoruz. Fine tuning'den sunucu optimizasyonuna, CRM/ERP entegrasyonundan canlı demoya kadar tüm süreci biz yönetiyoruz.
Lokal sunucumuzda çalışan bir modeli canlı olarak deneyebilirsiniz.
Fine Tuning (SFT ve GRPO)
Açık kaynak dil modellerini, Supervised Fine-Tuning (SFT) ve GRPO ile şirketinizin kendi verisi, terminolojisi ve iş süreçlerine göre eğitiyoruz. Genel amaçlı bir modeli, sizin alanınızda uzmanlaşmış bir asistana dönüştürüyoruz.
Kurulum ve Optimizasyon
Açık kaynak modelleri tercih ettiğiniz altyapıda, doğru quantization ve donanıma özel optimizasyonlarla devreye alıyoruz. Advocotek düşük gecikme ve yüksek verimlilik sağlayarak, kısa sürede kurumunuza özel kurumsal düzeyde bir in-house AI ortamı kurmanıza yardımcı olur.
Backend Sistemler ile Entegrasyon
Yapay zeka asistanlarını CRM, ERP, Ticketing ve Döküman Yönetimi gibi kendi sistemlerinizle entegre ediyoruz. Model; verinize erişebilir, araç (tool) çağırabilir ve mevcut iş akışlarınızın bir parçası haline gelir.
Yapay zeka projeniz için ihtiyaçlarınızı konuşalım.
Sağlık Kuruluşlarında Yapay Zekâ Kullanımı ve Mevzuat Uyumu
Hastaneler, klinikler, laboratuvarlar, görüntüleme merkezleri ve dijital sağlık girişimleri için yapay zekâ projelerinde regülatif sınırlar, veri koruma risk haritası ve kurum içi çözüm mimarisi.
Sağlık hizmeti sunucuları (hastane, poliklinik, laboratuvar, görüntüleme merkezi, dijital sağlık uygulaması) tarafından yapay zekâ tabanlı hizmetlerin kullanımı.
Yapay zekâ ve teknoloji projeleri değerlendirilmeden önce regülatif çerçevenin, cezai sorumlulukların ve risk alanlarının net olarak ortaya konulması.
Neden Ayrı Bir Değerlendirme Gerekir?
Sağlık sektöründe yapay zekâ kullanımı, standart bir kurumsal bulut hizmeti alımı gibi değerlendirilemez. Üç temel sebep vardır:
1. Veri Statüsü Baştan Farklıdır
Sağlık verisi, 6698 sayılı KVKK m.6 kapsamında özel nitelikli kişisel veridir; işleme şartları genel kişisel verilere göre baştan dardır ve istisnaları sınırlıdır.
2. Sektöre Özgü Lokalizasyon Rejimi
Sağlık Bakanlığı mevzuatı, verinin nereye kaydedilebileceğini ve kopyalanabileceğini doğrudan sınırlar; merkezi sistem harici kopyalamayı yasaklar.
3. Klinik Karar Desteği & Sorumluluk
Hatalı AI çıktısı, basit bir veri ihlalinin ötesinde tıbbi sorumluluk (malpraktis) ve doğrudan hasta güvenliği sonucu doğurur.
Düzenleyici Çerçeve
| Katman | Kaynak Mevzuat | Ne Getirir? / Kurumsal Yükümlülük |
|---|---|---|
| Genel Veri Koruma | 6698 sayılı KVKK | İşleme şartları, aydınlatma yükümlülüğü, veri güvenliği tedbirleri ve VERBİS kaydı. |
| Özel Nitelikli Veri | KVKK Madde 6 | Sağlık verisi için daraltılmış işleme şartları ve özel Kurul güvenlik tedbirleri. |
| Yurt Dışı Aktarım | KVKK m.9 + Yurt Dışına Aktarım Yönetmeliği (RG 10.07.2024, 32598) | Yeterlilik kararı / Uygun güvence (standart sözleşme taahhüdü) / Arızi haller rejimleri. |
| Sektörel Mevzuat | Kişisel Sağlık Verileri Hakkında Yönetmelik | Merkezî sağlık veri sistemi, kopyalama yasağı, rol bazlı erişim kuralları ve anonimleştirme çıtası. |
| Kurumsal Mevzuat | 3359 s. Sağlık Hizmetleri Temel Kanunu | Sağlık hizmeti sunumuna ilişkin genel yükümlülükler ve ilgili Bakanlık genelgeleri. |
2.1 Özel Nitelikli Veri Kuralı
Kişisel sağlık verileri, Kanun'un 6. maddesinin üçüncü fıkrasındaki istisnai amaç ve koşullar kapsamında işleniyorsa ilgili kişinin açık rızası aranmaz; bunların dışındaki tüm haller için aydınlatma yapılıp açık rıza alınması şarttır.
2.2 Kopyalama ve Konumlandırma Sınırı
Kişisel Sağlık Verileri Yönetmeliği, sağlık hizmet sunucularının bu verileri, Bakanlığın ülke genelinde hizmet vermek amacıyla kurulan sistemleri dışında hiçbir yere kopyalayamayacağını veya kaydedemeyeceğini düzenler. Ayrıca elektronik sağlık kayıtlarının merkezî sağlık veri sistemine aktarılmasını zorunlu kılar.
2.3 Anonimleştirme — Tanınan Çıkış Yolu
Yönetmelik, kişisel sağlık verilerinin geri döndürülemez biçimde anonim hale getirilmesi şartıyla sağlık politikaları, maliyet analizleri, bilimsel faaliyetler ve istatistikte kullanılabileceğini düzenler. Ancak pratikte çıta çok yüksektir:
• Anonimleştirme geri döndürülemez olmalıdır: Kimliği maskeleyip nadir tanı + yaş + il bırakmak anonimleştirme değil, takma adlaştırmadır (pseudonymization); sonuç hâlâ kişisel veridir.
• Serbest metin klinik notlar: Hasta, yakın ve kurum adı metin içine gömülü gelir; otomatik filtreler sızıntı riski taşır.
• Tıbbi görüntüler: DICOM metadata temizlense bile kraniyal BT/MR gibi yüz rekonstrüksiyonu mümkün modalitelerde kimliksizleştirme iddiası zayıflar.
Kullanım Senaryoları ve Risk Profili
| Kullanım Senaryosu | İşlenen Veri Türü | Risk Seviyesi & Koşul |
|---|---|---|
| Genel Bilgi Chatbot'u Randevu, yol tarifi, hekim ve bölüm sorguları |
Kişisel veri içermeyebilir | Düşük Tasarımla hasta verisinden tam izole edilirse |
| Hasta İletişim / Triyaj Asistanı Ön değerlendirme, semptom yönlendirmesi |
Şikâyet, semptom, kimlik → Sağlık verisi | Yüksek |
| Klinik Not Özetleme / Dikte Hekim notu, epikriz, ameliyat raporu |
Serbest metin klinik kayıt | Çok Yüksek |
| Görüntü Analizi Radyoloji, patoloji, dermatoloji |
Tıbbi görüntü + metadata | Yüksek |
| Klinik Karar Desteği (CDSS) Tanı ve tedavi öneri motoru |
Hasta dosyası bütünü | Çok Yüksek Veri riski + Tıbbi sorumluluk |
| Anonim Veri Seti Üzerinde Araştırma / Analiz Trend analizi, akademik araştırma |
Anonim | Orta Anonimleştirme kalitesine doğrudan bağlı |
| İdari Süreçler Satın alma, İK, faturalama, envanter |
Sağlık verisi içermez | Düşük-Orta |
Risk Tablosu (R1 - R12)
Yurt Dışı Kopyalama Yasağı İhlali
Verinin Sağlık Bakanlığı sistemleri dışına, üstelik yurt dışına kopyalanması. Sözleşme veya rıza ile aşılamaz bir mevzuat engelidir.
Açık Rızanın Yetersizliği
Açık rıza, 1 Eylül 2024 sonrası yurt dışı aktarım için yalnızca arızi (tek seferlik, süreklilik arz etmeyen) hallerde dayanak olur. Sürekli çalışan bir AI hizmeti arızi değildir.
Rızanın Hizmet Ön Şartına Dönüşmesi
Hastanın tedavi alabilmesi için AI kullanımına rıza vermek zorunda bırakılması, rızayı özgür iradeye dayanmaktan çıkarır ve yasal olarak geçersiz kılar.
Anonimleştirme İddiasının Çökmesi
Takma adlaştırılmış (pseudonymized) verinin anonim sayılması, uygulamada en sık görülen hatadır. Denetimlerde tespiti kolaydır ve yaptırımı ağırdır.
Serbest Metin Sızıntısı
Klinik notlar, hasta mesajları ve dikte kayıtları öngörülemez kimlik bilgisi içerir; otomatik maskeleme filtreleri %100 güvenilirlik sağlamaz.
Sağlayıcının Veri Sorumlusuna Dönüşmesi
Model sağlayıcısı veriyi kendi model eğitimi veya iyileştirme amacıyla kullanıyorsa veri işleyen değil veri sorumlusu olur; kurulan sözleşme yapısı tamamen geçersiz kalır.
Alt İşleyici Zincirinin Belgesizliği
Çözüm sağlayıcı ile model sağlayıcısı arasındaki aktarım için ayrıca uygun güvence gerekir. Sağlayıcının standart web kullanım şartlarını kabul etmek yeterli değildir.
Klinik Doğruluk ve Sorumluluk
Halüsinasyon, yanlış özet, atlanmış bulgu. Hekimin nihai sorumluluğu ortadan kalkmaz; ancak iş akışında AI çıktısına güven oluşursa gerçek hasta zararı doğar.
Algoritmik Yanlılık
Farklı demografik gruplarda performans farkı; tanı gecikmesi ve eşitsizlik riski. Validasyon verisi Türkiye popülasyonunu temsil etmeyebilir.
Tıbbi Cihaz Sınıflandırması (SaMD)
Klinik amaçlı karar desteği sunan yazılım, tıbbi cihaz yazılımı olarak değerlendirilebilir ve ayrı bir uygunluk/ruhsat rejimine tabi olabilir. Ürünün bu kapsamda olup olmadığı teyit edilmelidir.
Hekim-Hasta Gizliliği
Veri koruma mevzuatından bağımsız olarak TCK ve tababet mevzuatındaki meslek sırrı saklama yükümlülüğü devam eder.
Prompt Injection / Agentic Risk
Sistemlere ve veritabanlarına erişebilen agentic yapılarda, hasta kaydına gömülü kötü niyetli metin yoluyla yetkisiz veri erişimi ve sızıntı tetiklenebilir.
Sağlayıcıya Sorulacak Sorular
Aşağıdaki 10 maddenin her birine teknoloji sağlayıcısından yazılı ve belgeli resmi cevap alınmalıdır:
Veri Akışı
- 1 Veri hangi şirketin, hangi ülkedeki hangi sunucusunda işleniyor?
- 2 Türkiye'de konumlandırma (yurt içi region veya On-Premise kurulum) mümkün mü?
- 3 Alt işleyici listesi nedir; altyapı değişikliklerinde önceden bildirim taahhüdü var mı?
Hukuki Dayanak
- 4 Zincirdeki her aktarım için Kurul'un ilan ettiği hangi standart sözleşme metni kullanıldı ve Kurum'a bildirim tarihleri nedir?
- 5 Veri model eğitiminde kullanılıyor mu? Zero Data Retention sözleşmesel garanti altında mı?
- 6 Kötüye kullanım izleme (abuse monitoring) logları ne kadar, nerede tutuluyor, kim erişiyor?
Klinik Güvenlik
- 7 Model hangi veri setiyle eğitildi/validasyonu yapıldı? Türkiye popülasyonunda performans verisi var mı?
- 8 Ürün tıbbi cihaz yazılımı (SaMD) kapsamında mı? Varsa uygunluk belgesi nedir?
- 9 Hata oranı, belirsizlik bildirimi ve "bilmiyorum" davranışı nasıl yönetiliyor?
- 10 Hekim onayı olmadan hiçbir çıktının hasta dosyasına yazılmamasını sağlayan kontrol var mı?
Mimari Seçenekler
Kurum İçi / Yurt İçi AI Platformu
Açık ağırlıklı veya kurum modeli, kurumun kendi altyapısında (On-Premise) veya yurt içi özel bulutta çalıştırılır. Veri kurum sınırını kesinlikle terk etmez.
Gerçek Anonimleştirme + Dış Analiz
Yalnızca geri döndürülemez şekilde anonimleştirilmiş veri üzerinde çalışma ve analiz gerçekleştirilir.
AI'ın Hasta Verisinden İzolasyonu
Model yalnızca genel bilgi üretir; kişiselleştirme yurt içi sistemde kalır. Girdi tarafında katı filtre zorunludur.
Yurt Dışı Hizmet, Hasta Verisiyle
Doğrudan yurt dışı SaaS/API sağlayıcılarına hasta verisi ve klinik kayıt gönderimi.
Uyum Kontrol Listesi
Kurumsal Uyum Hazırlık Testi
Mevcut veya planlanan yapay zekâ projenizin aşamalarını işaretleyerek uyum durumunuzu takip edin.Ufuktaki Düzenlemeler
KVKK Kurumu Üretken Yapay Zekâ Duyurusu
Kurum, üretken yapay zekâ kullanımında ad-soyad, adres, telefon numarası ve kimlik bilgisi gibi verilerin sisteme girilmemesi, anonim ve genel ifadeler kullanılması, sağlayıcının veri toplama ve saklama politikalarının dikkatle incelenmesi yönünde uyarılarda bulunmuştur.
Türkiye Yapay Zekâ Eylem Planı (2026/9 s. Genelge)
2026/9 sayılı Cumhurbaşkanlığı Genelgesi ile uygulama dönemine girmiştir. Risk seviyesine göre Algoritmik Etki Değerlendirmesi, Model Kartı ve denetleyici kurumlara sunulacak teknik dosya gibi mekanizmaların standartlaştırılması öngörülmektedir.
Yapay Zekâ Kanun Teklifi (24 Haziran 2024)
24 Haziran 2024 tarihli teklif TBMM komisyon sürecindedir; yüksek riskli sistemler için kayıt ve uygunluk değerlendirmesi yaklaşımı ile yasaklı uygulamalara ilişkin cezalar öngörmektedir.
AB Yapay Zekâ Yasası (EU AI Act)
Kademeli yürürlüğe girmektedir; sağlıkta klinik amaçlı sistemler yüksek riskli kategoriye girmektedir. AB pazarına ürün/hizmet sunan veya AB'deki kişileri etkileyen aktörleri de kapsadığından, uluslararası hasta kabul eden veya AB'ye hizmet veren kuruluşlar için doğrudan ilgilidir.
Yönlendirme ve Geleceğe Uyum
Bugün kurulacak mimarinin, yarın gelecek Algoritmik Etki Değerlendirmesi ve teknik dosya yükümlülüklerini karşılayabilecek şekilde belgelenmesi önerilir. Model kartı, veri akış şeması ve validasyon kaydı bugünden tutulursa, ileride yeniden yapılandırma maliyeti doğmaz.
Mevzuat Eki
Sağlık Verilerinizi Riske Atmadan Kurum İçi AI Çözümüne Geçin
Advocotek; sağlık kuruluşlarına özel On-Premise kurulum, açık ağırlıklı lokal LLM modelleri ve hassas sistem entegrasyonuyla verinizi kurum sınırlarından çıkarmadan yüksek performanslı yapay zekâ ortamı kurar.
Finansal Kurumlarda Yapay Zekâ Kullanımı ve Mevzuat Uyumu
Bankalar ve BDDK denetimindeki finansal kuruluşlar için yapay zekâ projelerinde müşteri sırrı, birincil sistemler, Bilgi Paylaşım Komitesi ve On-Premise AI mimarisi.
Bankalar ve BDDK denetimindeki finansal kuruluşlar (finansal kiralama, faktoring, finansman ve tasarruf finansman şirketleri, varlık yönetim şirketleri; sermaye piyasası ve sigorta kuruluşları farkları belirtilmiştir).
Proje değerlendirmesi öncesinde regülatif çerçevenin, BDDK yükümlülüklerinin ve risk alanlarının ortaya konulması.
Önce Kurum Tipini Netleştirin
Aynı başlık altında toplanan kurumların tabi olduğu rejim farklıdır. Yanlış mevzuat üzerinden yapılan değerlendirme, hem gereksiz kısıt hem de gözden kaçan yükümlülük üretir:
| Kurum Tipi | Düzenleyici | Temel Kanun |
|---|---|---|
| Banka | BDDK | 5411 sayılı Bankacılık Kanunu |
| Finansal kiralama, faktoring, finansman, tasarruf finansman | BDDK | 6361 sayılı Kanun |
| Varlık yönetim şirketi | BDDK | 5411 sayılı Kanun ilgili hükümleri |
| Ödeme / elektronik para kuruluşu | TCMB | 6493 sayılı Kanun (Ayrı nota bakınız - 7192 s. Kanun) |
| Aracı kurum, portföy yönetim şirketi | SPK | 6362 sayılı Kanun |
| Sigorta / emeklilik şirketi | SEDDK | 5684 ve 4632 sayılı Kanunlar |
Düzenleyici Çerçeve: 3 Bağımsız Katman
Bir AI projesinde üç bağımsız katman aynı anda karşılanmalıdır:
| Katman | Kaynak Mevzuat | Ne Getirir? / Kurumsal Yükümlülük |
|---|---|---|
| Veri Koruma | 6698 s. KVKK m.9 + Yönetmelik | Yeterlilik kararı / uygun güvence / arızi haller (RG 10.07.2024, 32598). |
| Sır Saklama | 5411 s. Kanun m.73 + Sır Yönetmeliği | Müşteri sırrının paylaşım sınırları (RG 04.06.2021, 31501). |
| Bilgi Sistemleri & Dış Hizmet | BDDK Bilgi Sistemleri & Destek Hizmeti Yön. | Yurt içi konumlandırma, dış hizmet risk analizi ve BDDK denetimi. |
2.1 Müşteri Sırrı — En Sert Kısıt
Bankacılık Kanunu m.73/3 uyarınca müşteri ilişkisi kurulduktan sonra oluşan tüm veriler müşteri sırrıdır. Kişinin banka müşterisi olduğunu gösterir ad-soyad dahi sır kapsamındadır.
Bilgi Paylaşım Komitesi & Ölçülülük
Bankalar paylaşımı koordine etmekle sorumlu bir Bilgi Paylaşım Komitesi (hukuk, uyum, iç kontrol) kurmakla yükümlüdür. Bazı paylaşımlar 6 aylık dönemlerle BDDK'ya raporlanır.
2.2 Yurt İçi Konumlandırma & Aktarım
BDDK Yönetmeliği gereği birincil ve yedek sistemlerin yurt içinde konumlandırılması ve felaket senaryolarında faaliyetin yurt içinden sürdürülmesi esastır. Bu, sözleşme veya rıza ile aşılamaz.
Kullanım Senaryoları ve Risk Profili
| Senaryo | Veri Türü | Risk Seviyesi |
|---|---|---|
| İç kullanım: kod, doküman, toplantı özeti (müşteri verisi yok) | Kurumsal veri | Düşük-Orta |
| Kamuya açık bilgi chatbot'u (kimlik doğrulaması yok) | Kişisel veri içermeyebilir | Düşük |
| Kimlik doğrulamalı müşteri destek chat'i | Müşteri sırrı | Yüksek |
| Agentic asistan (hesap sorgulayan, işlem tetikleyen) | Öngörülemez kapsam | Çok Yüksek |
| Çağrı merkezi kayıt analizi / kalite skorlama | Ses + serbest metin + çalışan verisi | Yüksek |
| Kredi değerlendirme, skorlama, limit tahsisi | Finansal profil | Çok Yüksek Otomatik karar boyutu |
| Fraud / AML izleme | İşlem + davranış | Yüksek |
| Pazarlama segmentasyonu | Müşteri profili | Yüksek |
| Sözleşme/mevzuat analizi (anonim, müşteri verisi olmadan) | Kurumsal doküman | Orta |
Risk Tablosu (R1 - R16)
Müşteri Sırrı İhlali
Ad-soyad dahi müşteri olduğu gösterilecek şekilde işlendiğinde sır haline gelir. Açık rıza yeterli değildir; müşteri talep/talimatı aranır. Uygulamada bir AI hizmeti için bunu her müşteriden almak pratik değildir.
Rızanın Ön Şart Haline Getirilmesi
Dijital kanal tek erişim yoluysa, "kabul etmezsen hizmet yok" yapısı rızayı sakatlar ve ayrıca yasaklanmıştır.
Yurt İçi Konumlandırma İhlali
Birincil/yedek sistem yurt içi zorunluluğu sözleşmeyle aşılamaz.
Ölçülülük İhlali
Amaçla sınırlı olmayan, "ne çıkarsa" tarzı geniş veri aktarımı. Denetimde tespiti kolaydır.
Komite ve Raporlama Atlanması
Paylaşımın bilgi paylaşım komitesi kararına bağlanmaması ve periyodik BDDK raporlamasının yapılmaması.
Dış Hizmet Zinciri
Destek hizmeti kuruluşunun alt yüklenici (model sağlayıcı, bulut) kullanması ayrıca değerlendirilmelidir. Kurumun sözleşmesi yalnızca ilk halkayı kapsar; sorumluluk ise kurumda kalır.
Yanlış Sözleşme Formatı ve Bildirim Eksikliği
Sağlayıcının kendi DPA'sı uygun güvence değildir; Kurul metni değiştirilmeksizin kullanılmalı ve 5 iş günü içinde bildirilmelidir.
Sağlayıcının Veri Sorumlusuna Dönüşmesi
Veri model eğitiminde kullanılıyorsa sağlayıcı veri işleyen değildir; kurulan yapı geçersiz kalır.
Otomatik Karar ve Açıklanabilirlik
KVKK m.11, münhasıran otomatik sistemlerle analiz sonucu aleyhe sonuç doğmasına itiraz hakkı verir. Kredi reddi, limit düşürme, hesap bloğu gibi kararlarda insan gözden geçirme ve gerekçelendirme zorunludur. Model açıklanabilir değilse bu yükümlülük karşılanamaz.
Model Riski Yönetimi
Kredi/risk modellerinde validasyon, geriye dönük test, model envanteri ve versiyon kontrolü beklenir. LLM tabanlı bileşenler bu çerçeveye oturtulmalıdır.
Algoritmik Ayrımcılık
Model, korunan özelliklerle korelasyonlu vekil değişkenler üzerinden dolaylı ayrımcılık üretebilir. Hukuki ve itibari sonuç doğurur.
Agentic Yetki Genişlemesi
Sistemlere erişebilen yapılarda kapsam öngörülemez; prompt injection ile yetkisiz veri erişimi veya işlem tetiklenebilir.
Halüsinasyon Kaynaklı Yanlış Bilgilendirme
Müşteriye hatalı faiz, ücret, hak veya süre bilgisi verilmesi; tüketici mevzuatı ve tazminat riski.
MASAK/AML Sorumluluğunun Devri
Şüpheli işlem tespit ve bildirim sorumluluğu AI'a devredilemez; nihai değerlendirme kurumda kalır.
Ülke Riski
Yeterlilik kararı yokluğunda, ilgili kişinin aktarım yapılan ülkede haklarını kullanma ve etkili kanun yollarına başvurma imkânı değerlendirilir.
Denetim Bulgusu ve Yaptırım
KVKK idari para cezalarına ek olarak BDDK nezdinde faaliyet ve itibar riski; bağımsız bilgi sistemleri denetiminde bulgu.
Sağlayıcıya Sorulacak Sorular
Aşağıdaki 13 sorunun her birine teknoloji sağlayıcısından yazılı ve belgeli cevap talep edilmelidir:
Veri Akışı
- 1Veri, sağlayıcı sisteminden çıktıktan sonra hangi şirketin, hangi ülkedeki hangi sunucusunda işleniyor?
- 2Doğrudan API mi, bulut dağıtımı mı kullanılıyor? Hangi region?
- 3Türkiye'de konumlandırma (yurt içi region veya On-Premise kurulum) mümkün mü?
- 4Alt işleyici listesi nedir; değişiklikte önceden bildirim taahhüdü var mı?
Hukuki Dayanak
- 5Zincirdeki her aktarım için hangi standart sözleşme metni imzalandı, bildirim tarihleri nedir?
- 6Veri model eğitiminde kullanılıyor mu? Zero Data Retention garanti altında mı?
- 7Abuse monitoring logları ne kadar, nerede tutuluyor, kim erişiyor?
Model ve Denetim
- 8Model versiyonlama, değişiklik bildirimi ve geriye dönük tekrarlanabilirlik nasıl sağlanıyor? (Denetimde "o tarihte model ne cevap verdi" sorusu sorulur.)
- 9Karar gerekçelendirme/açıklanabilirlik çıktısı üretilebiliyor mu?
- 10Yanlılık (bias) testleri yapıldı mı, sonuçları paylaşılabilir mi?
- 11Agentic yapının erişim kapsamı ve prompt injection kontrolleri nedir?
- 12Denetçi erişimi: BDDK veya bağımsız denetçi talep ettiğinde hangi kanıtlar sağlanabilir?
- 13Sözleşme feshinde veri imhası nasıl belgeleniyor, exit desteği var mı?
Mimari Seçenekler
Kurum İçi AI Platformu
Açık ağırlıklı modelin kurumun kendi veri merkezinde/özel bulutunda çalıştırılması. Veri kurum sınırını terk etmez.
Yurt İçi Region Deployment
Sağlayıcının modeli Türkiye'de konumlandırması.
Kimliksizleştirme + Dar Kapsam
Yurt içi ara katmanda kimlik bilgilerinin tokenize edilmesi, yalnızca gerekli alanların gönderilmesi.
AI'ın Müşteri Verisinden İzolasyonu
Model yalnızca genel bilgi üretir; kişiselleştirme yurt içi sistemde kalır.
Yurt Dışı SaaS, Müşteri Verisiyle
Doğrudan veya aracı üzerinden yurt dışına müşteri verisi gönderimi.
Uyum Kontrol Listesi
Bankacılık Uyum Hazırlık Testi
Bankanızın veya finansal kurumunuzun BDDK ve müşteri sırrı uyum aşamalarını takip edin.Ufuktaki Düzenlemeler
KVKK Kurumu Üretken Yapay Zekâ Duyurusu
Üretken yapay zekâ kullanımında ad-soyad, adres, telefon numarası ve kimlik bilgisi gibi verilerin sisteme girilmemesi, anonim ve genel ifadeler kullanılması, sağlayıcının veri toplama ve saklama politikalarının dikkatle incelenmesi yönünde uyarılar içerir.
Türkiye Yapay Zekâ Eylem Planı (2026/9 s. Genelge)
2026/9 sayılı Cumhurbaşkanlığı Genelgesi ile uygulama dönemine girmiştir. Şu an özel sektöre doğrudan bağlayıcı genel yükümlülük getirmemekle birlikte, risk seviyesine göre Algoritmik Etki Değerlendirmesi, Model Kartı ve denetleyici kurumlara sunulacak teknik dosya gibi mekanizmaların standartlaştırılması öngörülmektedir.
Yapay Zekâ Kanun Teklifi (24 Haziran 2024)
24 Haziran 2024 tarihli teklif TBMM komisyon sürecindedir; yüksek riskli sistemler için kayıt ve uygunluk değerlendirmesi ile yasaklı uygulamalara ilişkin cezalar öngörmektedir.
AB Yapay Zekâ Yasası (EU AI Act)
Kademeli yürürlüktedir ve AB'de kurulu olmayan ancak AB pazarına sistem sunan, sistemi AB'de kullanan veya AB'deki kişileri etkileyen aktörleri de kapsar. Kredi değerlendirmesi, AB çerçevesinde yüksek riskli kullanım alanları arasında yer almaktadır — sınır ötesi faaliyeti olan kuruluşlar için doğrudan ilgilidir.
Yönlendirme ve Geleceğe Uyum
Yüksek riskli sistemler için beklenen yükümlülüklerin çekirdeği — model kartı, veri yönetişimi kaydı, risk değerlendirmesi, insan gözetimi ve log tutma — bugünün BDDK model riski ve denetim beklentileriyle büyük ölçüde örtüşmektedir. Bu dokümantasyonun proje başlangıcında kurulması, ileride ek maliyet doğurmadan uyumu sağlar.
Mevzuat Eki
Finansal Müşteri Sırrınızı Riske Atmadan Kurum İçi AI Çözümüne Geçin
Advocotek; bankalar ve BDDK denetimindeki finansal kuruluşlara özel On-Premise kurulum, açık ağırlıklı lokal LLM modelleri ve Bilgi Paylaşım Komitesi uyumuyla müşteri sırrını kurum bünyesinde tutarak yüksek performanslı yapay zekâ ortamı kurar.
Ödeme ve Elektronik Para Kuruluşlarında Yapay Zekâ Kullanımı ve Mevzuat Uyumu
Ödeme kuruluşları ve elektronik para kuruluşları için yapay zekâ projelerinde TCMB birincil sistem sınırları, sır saklama, bağımsız denetim ve kurum içi çözüm mimarisi.
Ödeme kuruluşları ve elektronik para kuruluşları tarafından yapay zekâ tabanlı hizmetlerin kullanımı.
Proje değerlendirmesi öncesinde regülatif çerçevenin, TCMB yükümlülüklerinin ve risk alanlarının ortaya konulması.
Düzenleyici Kurum: BDDK Değil, TCMB
Sektörde En Sık Yapılan Kritik Hata
Bu, sektörde en sık yapılan hatadır ve yanlış mevzuat üzerinden değerlendirme yapılmasına yol açar.
7192 sayılı Kanun ile, daha önce Bankacılık Düzenleme ve Denetleme Kurumu'nda (BDDK) bulunan yetkiler Türkiye Cumhuriyet Merkez Bankası'na (TCMB) devredilmiştir. Elektronik para ve ödeme kuruluşlarına faaliyet izni verilmesi ve işlemlerine ilişkin denetimler TCMB nezdinde takip edilmektedir. Kanun 1 Ocak 2020'de yürürlüğe girmiştir.
Dolayısıyla ödeme/elektronik para kuruluşları için değerlendirme 6493 sayılı Kanun ve TCMB mevzuatı üzerinden yapılmalıdır. Banka mevzuatına (5411 sayılı Kanun, BDDK yönetmelikleri) yapılan atıflar bu kuruluşlar için doğrudan geçerli değildir — ancak mantık ve katılık düzeyi büyük ölçüde paraleldir.
Düzenleyici Çerçeve: 3 Bağımsız Katman
Bir AI projesinde üç bağımsız katman aynı anda karşılanmalıdır. Birinin sağlanması diğerlerini sağlamış olmaz:
| Katman | Kaynak Mevzuat | Ne Getirir? / Kurumsal Yükümlülük |
|---|---|---|
| Veri Koruma | 6698 s. KVKK m.9 + Yönetmelik | Yeterlilik kararı / uygun güvence / arızi haller rejimleri (RG 10.07.2024, 32598). |
| Sır Saklama | 6493 s. Kanun ve TCMB Düzenlemeleri | Müşteri bilgilerinin ve finansal işlem detaylarının üçüncü kişilerle paylaşım sınırı. |
| Bilgi Sistemleri | TCMB Tebliği & Yönetmeliği | Birincil sistem tanımı, yönetim standartları ve bağımsız denetim yükümlülükleri. |
2.1 Yurt Dışı Aktarım — Üç Kademeli Sistem
KVKK m.9, 1 Haziran 2024'te değişmiş, 1 Eylül 2024 itibarıyla yeni düzenlemelere tam uyum zorunlu hale gelmiştir. Sıralama: 1. Yeterlilik kararı, 2. Uygun güvenceler (değiştirilmeksizin imzalanan standart sözleşmeler ve 5 iş gününde Kurum'a bildirim), 3. Arızi haller.
2.2 Birincil Sistem ve Lokalizasyon
İlgili Tebliğ'de birincil sistemler, Kanun'da yer alan hususlarla ilgili bütün bilgilerin elektronik ortamda güvenli ve istenildiği an erişime imkân sağlayacak şekilde saklandığı sistemler ile faaliyetlerin yürütülmesinde kullanılan altyapı, donanım, yazılım ve veriden oluşan sistemin tamamı olarak tanımlanmıştır.
2.3 Bağımsız Bilgi Sistemleri Denetimi
Aynı Tebliğ, kuruluşların Kanun kapsamındaki faaliyetlerinde kullandıkları bilgi sistemlerinin yetkilendirilmiş bağımsız denetim kuruluşlarınca denetlenmesine ilişkin usul ve esasları düzenler.
Kullanım Senaryoları ve Risk Profili
| Kullanım Senaryosu | İşlenen Veri Türü | Risk Seviyesi & Koşul |
|---|---|---|
| Genel Bilgi / SSS Chatbot'u Kimlik doğrulaması olmadan genel bilgi sağlama |
Kişisel veri içermeyebilir | Düşük Tasarımla müşteri verisinden izole edilirse |
| Kimlik Doğrulamalı Müşteri Destek Chat'i Bakiye, hesap hareketleri ve destek sorguları |
Ad, doğum tarihi, hesap/işlem no, şikâyet içeriği | Yüksek |
| Agentic Asistan Sistemlere erişen, bakiye sorgulayan, işlem tetikleyen |
Değişken ve öngörülemez kapsam | Çok Yüksek |
| İşlem / Davranış Analizi, Segmentasyon Harcama alışkanlığı analizi ve pazarlama |
Müşteri işlem verisi | Yüksek |
| Dolandırıcılık Tespiti (Fraud) Şüpheli işlem ve anomali tespiti |
İşlem + davranış + cihaz verisi | Yüksek Ayrıca otomatik karar boyutu |
| Kredi / Limit Benzeri Değerlendirme Mikro kredi, esnek ödeme limiti tahsisi |
Finansal profil | Çok Yüksek KVKK m.11 otomatik karar hakkı |
| İç Kullanım Kod yazımı, doküman özeti (müşteri verisi olmadan) |
Kurumsal veri | Düşük-Orta |
| Çağrı Merkezi Kayıt Transkripsiyonu / Özeti Görüşme ses kayıtlarının metne dökülmesi |
Ses + serbest metin | Yüksek |
Risk Tablosu (R1 - R15)
Sır Saklama İhlali
Müşteri destek görüşmesinin içeriği (ör. "ödemem geçmiyor", "hesabım bloke") kişinin kurumun müşterisi olduğunu ve finansal durumunu ortaya koyar. Ad-soyad tek başına sır olmasa da, müşteri ilişkisiyle birlikte işlendiğinde sır niteliği kazanır.
Yurt İçi Konumlandırma İhlali
Kanal birincil sistem kapsamındaysa yurt dışı işleme doğrudan uygunsuzluktur; sözleşmeyle giderilemez.
Aracı Üzerinden Gelen Zincir Riski
Kuruluş ↔ çözüm sağlayıcı sözleşmesi, çözüm sağlayıcı ↔ model sağlayıcı aktarımını kapsamaz. O halka için ayrı standart sözleşme ve bildirim gerekir.
Yanlış Sözleşme Formatı
Sağlayıcının kendi DPA'sı uygun güvence değildir. Geçerli olan tek metin Kurul'un ilan ettiği, değiştirilmeksizin kullanılması zorunlu olan standart sözleşmedir.
Bildirim Eksikliği
Standart sözleşme imzalansa dahi 5 iş günü içinde Kurum'a bildirilmezse aktarım hukuka aykırı hale gelir.
Sağlayıcının Veri Sorumlusuna Dönüşmesi
Veri model eğitiminde kullanılıyorsa sağlayıcı veri işleyen değil veri sorumlusudur; işlem hizmet alımı değil üçüncü kişiye ifşa haline gelir.
Serbest Metin Kontrolsüzlüğü
Müşteri chat kutusuna kart numarası, TCKN veya üçüncü kişi verisi yazabilir. Maskeleme katmanı hiçbir zaman %100 değildir.
Kart Verisi ve PCI DSS
Kart verisinin AI akışına girmesi, PCI DSS kapsamını genişletir ve sertifikasyon durumunu etkileyebilir. Ayrıca AI sağlayıcısı kapsam dahiline girebilir.
Agentic Yetki Genişlemesi
Sistemlere erişen, sorgu çalıştıran, işlem tetikleyebilen yapılarda veri kapsamı ve yetki sınırı öngörülemez hale gelir; prompt injection ile yetkisiz erişim tetiklenebilir.
Otomatik Karar ve İtiraz Hakkı
KVKK m.11, ilgili kişiye münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhine sonuç doğmasına itiraz hakkı verir. Fraud bloğu, limit reddi gibi kararlarda insan gözden geçirme mekanizması kurulmalıdır.
MASAK Yükümlülükleri
Şüpheli işlem tespiti ve bildirimi yükümlülüğü AI'a devredilemez; AI destekli olsa dahi nihai değerlendirme ve bildirim sorumluluğu kuruluştadır. Ayrıca AI kullanımı, mevcut izleme sisteminin denetlenebilirliğini zayıflatmamalıdır.
Ülke Riski
Yeterlilik kararı yokluğunda, ilgili kişinin aktarım yapılan ülkede haklarını kullanma ve etkili kanun yollarına başvurma imkânı değerlendirilir. Devlet erişimine ilişkin geniş yetkiler içeren rejimlerde bu kriter zorlanır.
Alt İşleyicinin Sessiz Değişimi
Sağlayıcı altyapı veya region değiştirirse uygunluk zinciri fark edilmeden kopar.
Bağımsız Denetim Bulgusu
AI bileşeni bilgi sistemleri denetiminde bulgu üretebilir; bu, faaliyet izni ve itibar açısından sonuç doğurur.
Halüsinasyon Kaynaklı Yanlış Bilgilendirme
Müşteriye hatalı ücret, süre veya hak bilgisi verilmesi; tüketici şikâyeti ve tazminat riski oluşturur.
Sağlayıcıya Sorulacak Sorular
Aşağıdaki 12 sorunun her birine teknoloji sağlayıcısından yazılı ve belgeli cevap talep edilmelidir:
Veri Akışı
- 1Veri, sağlayıcı sisteminden çıktıktan sonra hangi şirketin, hangi ülkedeki hangi sunucusunda işleniyor?
- 2Doğrudan API mi, bulut dağıtımı mı (Bedrock / Vertex / Azure) kullanılıyor? Hangi region?
- 3Türkiye'de konumlandırma (yurt içi region veya On-Premise kurulum) mümkün mü?
- 4Alt işleyici listesi nedir; değişiklikte önceden bildirim taahhüdü var mı?
Hukuki Dayanak
- 5Zincirdeki her aktarım için Kurul'un ilan ettiği hangi standart sözleşme metni imzalandı, Kurum'a bildirim tarihleri nedir?
- 6Veri model eğitiminde kullanılıyor mu? Zero Data Retention sözleşmesel garanti altında mı?
- 7Abuse monitoring logları ne kadar süreyle, hangi ülkede tutuluyor, kim erişebiliyor?
Teknik ve Denetim
- 8Agentic yapının erişebileceği sistem ve veri kapsamı nasıl sınırlandırılıyor?
- 9Prompt injection ve veri sızdırma senaryolarına karşı hangi kontroller var?
- 10Bağımsız bilgi sistemleri denetimi için gerekli log, kanıt ve dokümantasyonu sağlayabiliyor musunuz?
- 11Kart verisi akışa girerse ne oluyor? PCI DSS uyum durumunuz nedir?
- 12Sözleşme sona erdiğinde veri imhası nasıl belgeleniyor?
Mimari Seçenekler
Kurum İçi AI Platformu
Açık ağırlıklı modelin kuruluşun kendi veri merkezinde/özel bulutunda çalıştırılması. Veri kurum sınırını terk etmez.
Yurt İçi Region Deployment
Sağlayıcının modeli Türkiye'de konumlandırması.
AI'ın Müşteri Verisinden İzolasyonu
Model yalnızca genel bilgi üretir; kişiselleştirme ve veri erişimi yurt içi sistemde kalır. Girdi filtresi zorunlu.
Yurt Dışı SaaS, Müşteri Verisiyle
Doğrudan veya aracı üzerinden yurt dışına müşteri verisi gönderimi.
Uyum Kontrol Listesi
FinTech Uyum Hazırlık Testi
Kuruluşunuzun yapay zekâ projesinin TCMB, KVKK ve bağımsız denetim uyum aşamalarını takip edin.Ufuktaki Düzenlemeler
KVKK Kurumu Üretken Yapay Zekâ Duyurusu
Üretken yapay zekâ kullanımında ad-soyad, adres, telefon numarası ve kimlik bilgisi gibi verilerin sisteme girilmemesi, anonim ve genel ifadeler kullanılması, sağlayıcının veri toplama ve saklama politikalarının dikkatle incelenmesi yönünde uyarılar içerir.
Türkiye Yapay Zekâ Eylem Planı (2026/9 s. Genelge)
2026/9 sayılı Cumhurbaşkanlığı Genelgesi ile uygulama dönemine girmiştir. Özel sektöre şu an doğrudan bağlayıcı genel yükümlülük getirmemekle birlikte, risk seviyesine göre Algoritmik Etki Değerlendirmesi, Model Kartı ve denetleyici kurumlara sunulacak teknik dosya gibi mekanizmaların standartlaştırılması öngörülmektedir.
Yapay Zekâ Kanun Teklifi (24 Haziran 2024)
24 Haziran 2024 tarihli teklif TBMM komisyon sürecindedir; yüksek riskli sistemler için kayıt ve uygunluk değerlendirmesi ile yasaklı uygulamalara ilişkin cezalar öngörmektedir.
AB Yapay Zekâ Yasası (EU AI Act)
Kademeli yürürlüktedir ve AB pazarına hizmet sunan ya da AB'deki kişileri etkileyen aktörleri de kapsar. Sınır ötesi ödeme hizmeti veren kuruluşlar için doğrudan ilgilidir.
Yönlendirme ve Geleceğe Uyum
Kredi değerlendirmesi benzeri kullanımlar AB çerçevesinde yüksek riskli kategoriye yakın konumlanmaktadır. Bugün kurulacak yapının model kartı, veri akış şeması ve karar gerekçelendirme kaydı ile belgelenmesi, ileride doğacak yükümlülüklere hazırlık açısından önerilir.
Mevzuat Eki
Ödeme Verilerinizi Riske Atmadan Kurum İçi AI Çözümüne Geçin
Advocotek; ödeme ve elektronik para kuruluşlarına özel On-Premise kurulum, lokal açık ağırlıklı modeller ve güvenli API entegrasyonuyla verinizi TCMB birincil sistem sınırları içinde tutarak yüksek performanslı yapay zekâ ortamı kurar.
