Sorgu Sonucunu Yapay Zekâya Yapıştıran DBA: Sorumluluk Kimde?

Saat 17:40. Bir veritabanı yöneticisi üretimden bir sorgu çalıştırdı. Sonuç 4.000 satır ve bir şeyler tutarsız. Yanındaki sekmede yapay zekâ asistanı açık. Sonucu kopyalıyor, yapıştırıyor ve "bu kayıtlardaki tutarsızlığı bul" diye yazıyor. Yirmi saniye sonra doğru cevap geliyor.

Bu kötü niyetli birinin hikâyesi değil. Yorgun, hızlı çalışmak isteyen, iyi niyetli birinin hikâyesi. Ve kişisel verilerin korunması açısından ciddi bir sorun.

Kurum Bunu Artık Resmen Biliyor

Kişisel Verileri Koruma Kurumu üretken yapay zekâ konusunda iki rehber yayınladı: kasım 2025'te "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)" ve 5 Mart 2026'da "İşyerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı". İkincisinin çıkış noktası şu: çalışanlar metin üretmek, belge özetlemek, çeviri, kodlama desteği ve araştırma için bu araçlara başvuruyor ve bunu çoğu zaman farkında olmadan kişisel veri paylaşarak yapıyor.

Hukuki sonuç netleşiyor: sorumluluk çalışanda değil, veri sorumlusunda. Yapıştırılan metinde müşterinin adı, kimlik numarası ya da sağlık bilgisi varsa, o metni işleyen taraf hâlâ kurumdur.

Neden DBA ve Analist İçin Özel Bir Risk?

Sıradan bir çalışan bir e-postayı yapay zekâya yapıştırır. Bir veritabanı yöneticisi ya da analist ise yapılandırılmış ve toplu veri yapıştırır: bir tablonun çıktısı, bir hata kaydı, bir müşteri listesinin parçası.

• Hacim. Bir e-posta bir kişiyi ilgilendirir. Bir sorgu sonucu binlerce kişiyi.
• Yer değiştirme. Veri ilk kez bir yönetişim sürecinin dışına çıkıyor: talep yok, gerekçe yok, alıcı kurum dışı bir servis.

Beş Katman Birlikte Çalışır

Tek bir kontrolle çözülmez. Beş katman birlikte gerekir ve ilki hiçbir ürünün yerine getiremeyeceği bir iştir.

1. Kurumsal politika. Hangi yapay zekâ araçları onaylı, hangi veri sınıfı asla yapıştırılmaz. Bunu yazmak ve duyurmak kurumun işidir.
2. Hangi kolon dışarı çıkabilir? Üretimden veri çıkarmanın tek yolu bir talep olsun. Talep, sorgunun hangi kolonları döndüreceğini çalıştırmadan önce gösterir. Kimlik numarası, kart, IBAN, telefon gibi hassas kolonlar maskelenir.
3. Maskeleme içeriğe de bakar. Yalnız "TCKN" adlı kolonu maskelemek yetmez. On bir haneli her sayı kimlik numarası değildir; kimlik için sağlama, kart için Luhn, IBAN için mod-97 gibi doğrulama algoritmalarıyla gerçek olanı ayırt etmek gerekir. Sipariş numarası boşuna maskelenmez, gerçek kimlik numarasının kaçma ihtimali azalır.
4. Dosya teslimi kayıtlı olsun. Sonuç şifreli paketle teslim edilir, indirme parolası portalde gerekçeyle gösterilir. Kim indirdi, hangi adresten, hangi gerekçeyle kayıt altındadır.
5. Maskesiz veri ayrı bir karar olsun. Bir kolonun maskesiz gitmesi gerekiyorsa bu ikinci bir onay ve yazılı gerekçe ister. "Yapay zekâya yapıştırılacak mı" sorusu bu onayın soru listesine eklenebilir.

Dürüst Sınır

Ürünün yaptığı üç şey var: yapıştırılabilecek şeyi azaltır (maskeli teslim edilen dosyada kimlik numarası zaten yoktur), kayıt bırakır (kim, ne zaman, hangi gerekçeyle veri aldı) ve maskesiz veriyi ayrı bir karara bağlar. Maskeli bir dosyadaki hassas olmayan kayıtlar yine de bir iş sırrı olabilir; ama kimlik numarası listesinin yapıştırılması ile maskeli listenin yapıştırılması arasında KVKK açısından çok büyük bir fark vardır.

DBA ve Analist İçin Beş Maddelik Kural

Bunu bir politika belgesine ya da ekip toplantısına olduğu gibi taşıyabilirsiniz.

1. Üretimden gelen hiçbir sonuç onaylı olmayan bir yapay zekâ aracına yapıştırılmaz.
2. Onaylı bir araç kullanılıyorsa bile maskesiz kimlik, kart ve sağlık verisi yapıştırılmaz.
3. Hata ayıklamak için gerçek veri gerekiyorsa maskeli ya da sentetik örnek üretilir.
4. Yapıştırılan veri, kurumun kullandığı yapay zekâ hizmetinin saklama ve eğitim şartlarına göre değerlendirilir.
5. Şüphe halinde soru sorulur: "bu veri bir müşteriye ait mi?"

Sık Sorulan Sorular

Yapay zekâya yapıştırılan müşteri verisinden kim sorumlu?

Kurum rehberlerinin ve hukuk yazılarının ortak sonucu, sorumluluğun çalışanda değil veri sorumlusunda kaldığıdır. Yapıştırılan metinde müşterinin adı, kimlik numarası ya da sağlık bilgisi varsa o metni işleyen taraf hâlâ kurumdur.

Maskeleme yapay zekâya yapıştırmayı engeller mi?

Hayır. Hiçbir ürün, teslim edilmiş bir dosyanın içeriğinin bir yapay zekâ asistanına yapıştırılmasını engelleyemez. Maskeleme yapıştırılabilecek hassas veriyi azaltır ve teslimi kayıt altına alır. Yapıştırma eylemini tespit etmek uç nokta koruma ve veri kaybı önleme araçlarının işidir.

Maskeleme yalnız kolon adına mı bakar?

Hayır. Hem kolon adına hem içeriğe bakılır ve içerikte doğrulamalı desenler kullanılır: kimlik numarası için sağlama, kart için Luhn, IBAN için mod-97. Böylece sipariş numarası gibi on bir haneli sıradan bir sayı gereksiz maskelenmez, gerçek kimlik numarasının kaçma ihtimali ise azalır.

Maskesiz veri gerekiyorsa ne olur?

Bir kolonun maskesiz gitmesi için ayrı bir onay ve yazılı gerekçe istenir. Bu onay, kurumun ayar politikasına bağlıdır; varsayılan politika onay ister.