Yapay zekâ kullanırken verileriniz nerede duruyor?

Bir yapay zekâ asistanının gelen kutunuzu okumasına izin veriyorsunuz ya da kontrol edilsin diye bir teklifi ChatGPT'ye yapıştırıyorsunuz. O anda size ait bir şey kapıdan dışarı çıkıyor. Yapay zekâ kullanırken verileriniz nerede duruyor ve kim erişebiliyor? Bu soruyu önceden neredeyse kimse sormuyor. Ve neredeyse her işletme sahibi altı ay sonra bu soruyla yine karşılaşıyor: bir müşteriden, mali müşavirinden ya da bunun izinli olup olmadığını merak eden bir çalışandan. İşte dürüst cevap: korkutmadan ve bunun için bir bilgi işlem departmanı gerekiyormuş gibi yapmadan.

Yapay zekâ tek bir müşteri e-postasını okuduğunda ne oluyor

Diyelim ki bir müşteri teslimatla ilgili bir soru yazdı ve yapay zekâ asistanınız cevabı hazırladı. O e-posta üç yerden geçiyor. Bunları ayırmakta fayda var, çünkü birbirinden bağımsız üç ayrı tercih söz konusu.

• Dosyalarınızın ve mesajlarınızın zaten durduğu yer: e-posta programınız, belge klasörünüz, müşteri sisteminiz.
• Düşünme işinin yapıldığı yer: yapay zekâ modelini çalıştıran şirketin bilgisayarları. E-postanın metni oraya gidiyor, cevap oradan geliyor.
• Ara parçanın çalıştığı yer: e-postayı alan, ileten ve cevabı geri koyan küçük parça. Bu genelde birinin sizin için kurduğu bölüm.

Bu üç yerin her biri Hollanda'da, Avrupa'nın başka bir yerinde ya da Amerika Birleşik Devletleri'nde olabilir. Ve bunları ayrı ayrı seçebilirsiniz. Konuşmalar tam da burada raydan çıkıyor: biri “verilerimiz Avrupa'da” diyor ama sadece ilk maddeyi kastediyor, düşünme işi ise rahatça Amerika'da yapılıyor. Ya da tersi.

“Avrupa sunucusu” ile “Avrupalı şirket” aynı şey değil

Bu, çoğu işletme sahibinin hiç duymadığı kısım. 2018 tarihli Amerikan CLOUD Act yasası, geçerli bir mahkeme kararı olduğunda Amerikan şirketlerini verileri Amerikan makamlarına teslim etmeye zorunlu kılıyor, bu veriler Avrupa'daki sunucularda dursa bile. Yasa, dolabın nerede durduğuna değil, sağlayıcının kim olduğuna bakıyor. Yani Amsterdam'da Amerikalı bir şirkete ait bir veri merkezi ile Amsterdam'da Hollandalı bir şirkete ait bir veri merkezi aynı şey değil.

Buna karşılık, Amerikalı taraflarla veri trafiğine izin veren bir Avrupa düzenlemesi de var. Bu düzenleme 2025'te Avrupa mahkemesi tarafından ilk derecede onaylandı, ancak Adalet Divanı'nda bir temyiz süreci devam ediyor. Sizin durumunuza çevirisi: bugün izinli, ve iki yıl sonra kuralların aynı olacağı kesin değil.

Her yer için gerçekte neyi seçebilirsiniz

İyi haber: sandığınızdan fazla seçeneğiniz var ve genelde ekstra bir maliyeti yok. Kötü haber: bunu önceden seçmeniz gerekiyor, çünkü sonradan taşınmak gerçekten para tutuyor.

Düşünme kısmı için, metni yazan model, büyük sağlayıcılar artık Avrupa'da işleme sunuyor, ama her abonelikte değil. OpenAI bunu Şubat 2025'ten beri kurumsal sürümleri (ChatGPT Enterprise ve Edu) ve geliştirici platformundaki projeler için yapıyor; metin Avrupa'da işleniyor ve hiçbir şey saklanmıyor. Sıradan bir Plus ya da Business aboneliği buna dahil değil. Bu fark büyük ve hiçbir fiyat sayfasında yazmıyor. Ayrıca Fransız Mistral gibi Avrupalı model üreticileri de var; orada bu soru zaten gündeme gelmiyor.

Ara parça için, bizim ve meslektaş büroların sizin için kurduğu bölüm, seçim en kolayı. Bu, pekâlâ Hollanda'daki bir veri merkezindeki sunucuda çalışabilir. TransIP gibi bir Hollanda sağlayıcısında böyle bir sunucu, bu yazının yazıldığı sırada ayda beş euro civarında başlıyor. Yani yapmamanın gerekçesi nadiren burada.

• Düşünme: hangi modelin kullanıldığını, hangi ülkede çalıştığını ve bir şeyin saklanıp saklanmadığını sorun.
• Depolama: dosyaların, konuşmaların ve kayıtların nerede ve ne kadar süre kaldığını sorun.
• Ara parça: hangi veri merkezinde çalıştığını ve sözleşmenin kimin adına olduğunu sorun.
• Burada anlaştığınız her şey veri işleme sözleşmesinde yer almalı, bir mesajda değil.

Baştan doğru kurmanın maliyeti

Karşılaştığımız KOBİ otomasyonlarının çoğunda cevap şu: ekstra hiçbir şey. Tercih kurulumda saklı, fiyatta değil. Kurarken Avrupa'da işleme ve Hollanda'da bir sunucu seçiyorsunuz, bitti. Para tutan şey, sonradan değiştirmek: o zaman bir bölümü yeniden kuruyorsunuz ve mevcut verileri taşımanız gerekiyor.

Bazen de gerçekten mümkün olmuyor. Bazı işlevler için, ses, görüntü, çok özel bir model, henüz Avrupa yolu yok. O zaman dürüst konuşma şu: o bölümü hassas veriler için kullanmayın ya da bu durumda neden kabul edilebilir bulduğunuzu bir kez yazılı hale getirin. Sorun yokmuş gibi davranmak, tek yanlış seçenek.

15 Ağustos 2026'dan itibaren müşteriniz soracak

Şimdiye kadar bu daha çok kendi meselenizdi. Bu ay değişiyor. Hollanda Siber Güvenlik Yasası, Avrupa'nın NIS2 kurallarının ulusal uygulaması, Senato'nun 7 Temmuz'daki onayının ardından 15 Ağustos 2026'da yürürlüğe giriyor. Yasa, on sekiz sektörde yaklaşık elli çalışanın veya on milyon euro cironun üzerindeki kuruluşlar için geçerli. Kapsama giren kuruluş sayısı yaklaşık binden yaklaşık sekiz bine çıkıyor.

Siz kapsamda değil misiniz? Yine de sizi ilgilendiriyor, çünkü bu sekiz bin kuruluş tedarik zincirlerindeki riskleri kontrol altında tutmakla yükümlü. Bunu doğrudan tedarikçilerine soru sorarak yapıyorlar, yasa kapsamında olmayan tedarikçilere de. Pratikte bu bir anket demek. Ve böyle listelerde her zaman şu soru var: verilerimiz nerede işleniyor ve saklanıyor? Temel yükümlülükler için geçiş süresi yok, yani bu konuşmalar hemen başlıyor.

“Açıkçası bilmiyorum” cevabı, kendisi denetim altında olan bir satın almacı karşısında size puan kaybettirir. “Müşteri sistemimiz Hollanda'da çalışıyor, metinler Avrupa'da işleniyor ve hiçbir şey saklanmıyor” cevabı ise konuşmayı otuz saniyede bitirir. Bu farkı bir haftada kuramazsınız, otomasyonu kurdurduğunuz anda kurarsınız.

Her yapay zekâ tedarikçisine soracağınız üç soru

Bunun için teknik biri olmanıza gerek yok. Bu üç soru, beş dakikada kimin işini düzgün yaptığını ortaya çıkarır. Bize de sorun.

• Metnim nerede işleniyor ve nerede kalıyor? İyi bir cevap bir ülke adı verir ve bir şeyin saklanıp saklanmadığını söyler. Belirsiz bir cevap sadece marka adı verir.
• Verilerim modeli geliştirmek için kullanılıyor mu? Cevap hayır olmalı ve bu, veri işleme sözleşmesinde yazmalı, sadece bir e-postada değil.
• Ben bırakırsam ya da siz bırakırsanız ne olur? Verilerinizi yanınızda götürdüğünüzü, sözleşmenin sizin adınıza olabileceğini ve tek bir tarafa bağlı kalmadığınızı duymak istersiniz.

Biri bu konunun etrafından dolanıyorsa, cevabınızı almışsınız demektir. Mutlaka bir şeyler yanlış olduğu için değil; kendisi bilmeyen bir tedarikçi, müşterinizin anketini yanıtlamanıza da yardım edemez.

Ne zaman gerçekten önemli, ne zaman değil

Biz panik satmıyoruz. KOBİ'lerin yapay zekâ ile yaptığı işlerin büyük bölümü için bu ağır bir konu değil. Reklam metni Amerika'da yazıldı diye kimseye ceza kesilmiyor. Bir kez yapmanız gereken ayrım şu:

• Önemli: müşteri ve çalışan verileri, dosyalar, fiyat ve çizim içeren teklifler, bir müşteriyle gizlilik anlaşmasına giren her şey ve daha büyük bir şirkete teslim ettiğiniz her şey.
• Daha az önemli: kamuya açık metinler, pazarlama fikirleri, zaten sitenizde olan şeylerin özetleri, isim ve tutar içermeyen genel sorular.
• Her zaman yanlış: hiçbir anlaşma olmadan hassas verileri ücretsiz bir araca yapıştırmak, o araç nerede çalışırsa çalışsın.

Pratikte en büyük risk bu son madde. Harita değil, pratik olsun diye müşteri dosyasını hızlıca ücretsiz bir sohbet botuna yapıştıran çalışan. Buna karşı hiçbir Avrupa sunucusu işe yaramaz, sadece insanların anladığı bir kural ve en az onun kadar kolay, güvenli ve çalışan bir araç işe yarar.

Bu hafta yapabilecekleriniz

• Şirketinizde hangi yapay zekâ araçlarının dolaştığını yazın. Sadece sorun; şaşıracaksınız.
• Her araçta ayarlara bakın: Avrupa'da işlemeyi açabiliyor, konuşmaların saklanmasını kapatabiliyor musunuz?
• Her araç için tek satır yazın: neye izin var, neye yok. Ekibinizle konuşmak için fazlası gerekmiyor.
• Bir şey kurduracak mısınız? Yukarıdaki üç soruyu talebinize koyun, daha hiçbir şey kurulmadan önce.

O zaman başlıktaki soru bir sorun olmaktan çıkar, elinizin altındaki bir cevaba dönüşür. Kendiniz için, müşterileriniz için ve bu ay gelecek olan anket için.