Bankacılıkta yapay zekâyı müşteri verisi yurt dışına çıkmadan kullanın

Engel, modelin kötü olması değil. Bir çağrı görüşmesini özetletmek, bir kredi başvuru dosyasını sınıflandırmak ya da bir müşteri şikâyetini yanıtlatmak için metin bir asistana yapıştırıldığında, içindeki ad, TCKN, hesap ve bakiye de kurumdan çıkar. Sağlayıcı yurt dışındaysa bu çoğu zaman bir yurt dışı aktarımıdır.

Asıl bedel de genellikle ceza değil. Bankada bir yapay zekâ projesinin önündeki gerçek duvar, hukuk ve uyumun onayı çıkmadığı için pilotun hiç üretime alınamamasıdır. Güvenlik mimarı, ham müşteri verisinin sınırı geçmesine imza atamaz; proje o imzayı beklerken durur.

Bu yüzden bankada doğru soru "ceza yer miyiz" değil, "bu akışı hukuk ve uyumdan geçirebilir miyiz" sorusudur. Cevap, ham veriyi hiç yurt dışına çıkarmadan işlemek.

İki ayrı düzenleme aynı yöne işaret ediyor. KVKK tarafında yurt dışına aktarım artık açık rızaya değil, önce yeterlilik kararına, o yoksa uygun güvencelere dayanmak zorunda; büyük yapay zekâ sağlayıcılarının bulunduğu ülkeler için bu yol pratikte tıkalı ve yönetilmesi ağır.

BDDK tarafında kural daha somut. Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliğin 25. maddesi, bankaların birincil ve ikincil sistemlerini yurt içinde bulundurmasını zorunlu kılar. Aynı maddenin beşinci fıkrası bunu dış hizmete de taşır: bir faaliyet için dış hizmet ya da bulut bilişim hizmeti alınırsa, sağlayıcının o hizmette kullandığı bilgi sistemleri ve yedekleri de yurt içinde bulundurulur.

Yani yurt dışındaki bir modele ham veri göndermek iki mevzuata birden takılır: hem KVKK'ya hem BDDK'ya. Bu çerçeve, kaynağıyla birlikte KVKK ne diyor? sayfasında; yönetmeliğin tam metni Resmî Gazete'de yayımlıdır. Buradaki özet bir hukuki görüş değildir; kendi mimarinizi hukuk ve uyum ekibinizle değerlendirin.

Siper, İstanbul'daki sunucularda yönetilen bir katmandır. Maskeleme Türkiye'de yapılır; kişisel veri, istek sınırı geçmeden yer tutucu bir etikete döner. "Müşteri Elif Korkmaz, TC 10000000214 ile başvurdu" cümlesi modele "Müşteri <KİŞİ_1>, TC <TCKN_1> ile başvurdu" olarak gider. Model işini görür, kişiyi görmez.

İkinci kazanç denetimdir. Tüm yapay zekâ trafiği tek onaylı kapıdan geçtiğinde, çalışanların kurum bilgisi dışında araç kullanması, yani Gölge YZ, kontrol altına alınır; hangi istekte neyin maskelendiği kayıtta kalır. Bu, bir sızıntı incelemesinde işinize yarayan somut bir iz bırakır.

Ölçüm açıktır. İnsan doğrulamalı 403 belgelik Türkçe test setinde %84,6 yakalama oranı (recall) ölçtük (Temmuz 2026); sağlık ya da siyasi görüş gibi özel nitelikli kategorileri toplam ortalamada eritmeden ayrı raporluyoruz. Yöntemin tamamı benchmark sayfasında. Tümüyle kendi veri merkezinizde çalıştırmak isterseniz on-prem kurulum da mümkündür; ama çoğu banka için İstanbul'da yönetilen hizmet en pratik yoldur.

Maskeleme, uyum programınızın içinde KVKK m.12'nin istediği türden, alındığı kanıtlanabilen bir teknik tedbirdir; aydınlatma ve işlemeye hukuki dayanak gibi yükümlülüklerin yerine geçmez; yanlarında çalışır ve denetimde elinizi güçlendirir. Hukuki nitelendirme de nettir: maskeleme, KVKK anlamında anonimleştirme değildir; maskeli metin kişisel veri olarak korunmaya devam edebilir.

Bu ayrımı açıkça kurmanız projeye onay veren ekiplerin işini kolaylaştırır. Performansı da kategori kategori ölçüp yayımlıyoruz; bu şeffaflık, maskelemeyi güvenlik ve uyum tarafında somut ve denetlenebilir bir kontrole çevirir.