Uyum 3.0

Uyum 3.0 neyi değiştiriyor?

Uyum uzun yıllar bir arka ofis işiydi. Yılda bir politika belgeleri güncellenir, denetim öncesi kanıtlar e-posta zincirlerinden toplanır, gerisi bir sonraki denetime kadar beklerdi. Bu yaklaşım, verinin birkaç sistemde durduğu dönemde işe yarıyordu. Bugün aynı müşteri verisi CRM’de, e-Fatura entegratöründe, WhatsApp Business hattında, bulut depolamada ve bir yapay zeka sağlayıcısının API’sinde aynı anda bulunabiliyor.

“Uyum 3.0” yerleşik bir hukuki terim değil, bir çalışma biçimini anlatan bir etiket. Farkı şu tabloda görebilirsiniz:

Konu	Uyum 1.0	Uyum 2.0	Uyum 3.0
Kontroller nerede	Politika belgesinde	Tablo veya GRC yazılımında	Sistemlerin yapılandırmasında
Kanıt nasıl üretilir	Denetim öncesi elle	Dönemsel olarak toplanır	Kayıtlardan sürekli ve otomatik
Yapay zeka	Kapsam dışı	Ayrı bir risk maddesi	Kararları kayıtlı ve denetlenebilir
Sorumluluk	Hukuk veya uyum birimi	Uyum birimi ve BT	Ürün, BT ve hukuk birlikte
Denetime cevap	Haftalar	Günler	Kayıt çekme süresi kadar

2026’da hangi düzenlemeler masada?

Düzenleme	Kimi ilgilendirir	Öne çıkan yükümlülükler
KVKK (6698 sayılı Kanun)	Türkiye’de kişisel veri işleyen herkes	Aydınlatma, hukuki sebep, veri güvenliği tedbirleri, yurt dışı aktarım şartları
GDPR (AB 2016/679)	AB’deki kişilere mal veya hizmet sunan ya da onların davranışını izleyen şirketler	Hukuki dayanak, veri işleme kayıtları, ilgili kişi hakları, aktarım güvenceleri
AB Yapay Zeka Yasası (AB 2024/1689)	AB pazarına yapay zeka sistemi sunanlar ve çıktısı AB’de kullanılan sistemleri işletenler	Yasak uygulamalar, şeffaflık, yüksek riskli sistemlerde insan gözetimi ve dokümantasyon

KVKK tarafında en önemli güncel değişiklik yurt dışı aktarımda. 7499 sayılı Kanunla yapılan ve 1 Haziran 2024’te yürürlüğe giren değişiklikle 6698 sayılı Kanun’un 9. maddesi yeniden düzenlendi. Aktarım artık yeterlilik kararı, uygun güvenceler (standart sözleşme gibi) veya istisnai hallere dayanıyor. Standart sözleşmenin imzalandıktan sonra belirli süre içinde Kurum’a bildirilmesi gerekiyor. Yurt dışındaki bir bulut veya yapay zeka sağlayıcısı kullanıyorsanız bu madde doğrudan sizi ilgilendirir.

AB Yapay Zeka Yasası 1 Ağustos 2024’te yürürlüğe girdi ve kademeli uygulanıyor. Yasak uygulamalar ve yapay zeka okuryazarlığı yükümlülüğü Şubat 2025’ten, genel amaçlı yapay zeka modellerine ilişkin kurallar Ağustos 2025’ten, şeffaflık kuralları Ağustos 2026’dan itibaren geçerli. 27 Temmuz 2026’da yürürlüğe giren AI Omnibus değişikliği (AB 2026/1744 sayılı Tüzük) yüksek riskli sistemlerin takvimini erteledi: Ek III’teki kullanımlar için kurallar 2 Aralık 2027’den, Ek I kapsamındaki ürünlere gömülü sistemler için 2 Ağustos 2028’den itibaren uygulanacak. Kendi takviminizi planlamadan önce Komisyon’un AI Act sayfasını kontrol edin.

AB’ye satış yapmayan bir şirket için bile bu takvim önemlidir. Avrupalı müşteriler ve iş ortakları, tedarikçilerinden yapay zeka kullanımı hakkında giderek daha ayrıntılı bilgi istiyor.

Uyum 3.0’ın ilkeleri neler?

Veri envanteri tek doğru kaynaktır. Hangi sistemde hangi kişisel verinin, hangi amaçla tutulduğu ve hangi ülkeye gittiği güncel bir envanterde durur. VERBİS kaydı bu envanterin bir çıktısıdır, yerine geçmez.

Kontroller yapılandırmada tanımlanır. Erişim yetkileri, saklama süreleri ve şifreleme, bir politika belgesinde değil sistemlerin ayarlarında yazılıdır. Saklama süresi dolan kaydı silen zamanlanmış bir görev, bir politika cümlesinden daha güçlü bir kanıttır.

Yapay zeka kararları kayıt altındadır. Bir model müşteri talebini sınıflandırıyor veya bir belgeden veri çıkarıyorsa, girdi, çıktı ve kullanılan model sürümü kaydedilir. NIST’in AI Risk Management Framework’ü bu tür kayıtları, riskleri ölçmenin ve yönetmenin temeli olarak görür.

Kritik kararda insan vardır. AB Yapay Zeka Yasası yüksek riskli sistemlerde insan gözetimini zorunlu tutuyor. Yasa kapsamına girmeyen sistemlerde de kişiyi doğrudan etkileyen kararlarda bir insan onayı bırakmak iyi bir uygulamadır.

Coğrafya bilinçli seçilir. Verinin hangi bölgede işlendiği, sağlayıcı seçiminde bir kriterdir. Bazı iş yüklerinde yurt içi barındırma veya kendi sunucunuzda çalışan açık kaynak bir model, aktarım sorusunu baştan ortadan kaldırır.

Uyum nasıl rekabet avantajına dönüşür?

Avrupalı bir müşteriye yazılım veya hizmet satan Türk şirketleri, satın alma sürecinde uzun güvenlik ve veri koruma soru formlarıyla karşılaşır. Sorulara kayıtlardan cevap verebilen bir şirket, aynı soruları her seferinde sıfırdan araştıran bir rakibe göre daha hızlı ilerler. Bir veri ihlalinde de, hangi verinin nerede olduğunu bilen ekip, KVKK’nın öngördüğü bildirim sürecini çok daha sakin yürütür.

Bu avantajı yüzdeyle ifade etmiyoruz. Kanıtı, bir sonraki denetimde veya müşteri soru formunda kendiniz görürsünüz. Bunu görmek için de denetime cevap süresini ve soru formlarını doldurmak için harcanan emeği bugünden not etmeniz yeterli.

Nereden başlamalısınız?

1. Kişisel veri envanterini güncelleyin ve yurt dışına giden akışları işaretleyin.
2. Yapay zeka kullanan süreçlerin listesini çıkarın: hangi model, hangi veri, hangi karar.
3. Erişim ve saklama süresi kontrollerinden ikisini sistem ayarına taşıyın.
4. Yapay zeka çağrılarının kayıt altına alınmasını sağlayın.
5. Hukuk danışmanınızla birlikte KVKK, GDPR ve AI Act kapsamını yazılı olarak değerlendirin.

Yapay zeka sağlayıcısı seçerken hangi sorular sorulmalı?

Uyum 3.0’ın en somut uygulama alanı, sağlayıcı seçimidir. Bir dil modeli API’sini, bulut hizmetini veya hazır bir chatbot ürününü kullanmadan önce şu soruların yazılı cevabını alın:

• Gönderdiğimiz veri modelin eğitiminde kullanılıyor mu? Kapatılabiliyor mu?
• Veri hangi bölgede işleniyor ve ne kadar süre saklanıyor?
• Alt işleyenler kimler ve hangi ülkelerdeler?
• Veri işleme sözleşmesi ve KVKK kapsamında standart sözleşme imzalanabiliyor mu?
• İstek ve cevap kayıtlarına biz erişebiliyor muyuz, silebiliyor muyuz?

OpenAI, Anthropic, Google ve Microsoft gibi büyük sağlayıcılar bu soruların cevabını kurumsal dokümantasyonlarında yayımlıyor. Cevapları sözleşme öncesinde hukuk danışmanınızla birlikte okuyun ve envanterinize işleyin. Daha küçük ve yeni bir sağlayıcı bu sorulara açık cevap veremiyorsa, kişisel veri içeren işler için uygun aday değildir.

Corrplus’ta nasıl yaklaşıyoruz?

Hukuki danışmanlık vermiyoruz. Hukuk danışmanınızın belirlediği gereklilikleri sistemlere yerleştiren teknik ekibiz. Keşif aşamasında veri akışlarını ve yapay zeka kullanımını haritalıyor, tasarım aşamasında kontrolleri, kayıt yapısını ve sağlayıcı seçimini yazılı hale getiriyoruz. Kurulumu kısa döngülerle yapıyor, işletme aşamasında kayıtların ve kontrollerin çalıştığını izliyoruz. Ayrıntılar için KVKK ve yapay zeka uyum yönetişimi sayfamıza bakabilirsiniz.