--- title: "LLM'e veri göndermeden önce: Türkçe metinde kişisel veri kontrol listesi" description: "LLM'e metin göndermeden önce hangi kişisel verileri kontrol etmelisiniz? En sık sızan alanlar, yedi adımlık kontrol listesi ve maskelenmiş örnek çıktı." pubDate: 2026-07-11 updatedDate: 2026-07-20 author: fatih tags: ["kvkk", "kişisel veri", "llm"] cluster: kvkk-uyum format: kontrol-listesi draft: false faq: - q: "Maskeleme KVKK'ya göre anonimleştirme sayılır mı?" a: "Sayılmaz. Maskeleme, anonimleştirme değildir; maskelenmiş metin KVKK kapsamında kişisel veri olarak işlenmeye devam eder. Maskeleme, modele giden ham kişisel veriyi azaltan bir güvenlik önlemidir; hukuki yükümlülükleri tek başına ortadan kaldırmaz." - q: "Çalışanların ChatGPT gibi araçlara müşteri metni girmesi yasak mı?" a: "Tek başına yasak değil. Ancak KVKK'nın iş yerlerinde üretken yapay zekâ kullanımına ilişkin duyurusu, kurum politikası olmadan kişisel veri girilmesini açık bir risk sayıyor. En pratik önlem, metni araca ulaşmadan önce maskelemek." - q: "Otomatik maskeleme kişisel verilerin ne kadarını yakalar?" a: "Hiçbir otomatik sistem her şeyi yakalamaz; böyle bir vaat duyarsanız şüphelenin. Siper'in ölçümü açık: insan doğrulamalı 403 belgelik Türkçe test setinde %84,6 yakalama oranı (recall); kişisel veri içermeyen ayrı bir sette %5,7 yanlış alarm (Temmuz 2026). Yöntemin tamamı benchmark sayfasında." sources: - title: "KVKK: İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı" url: "https://www.kvkk.gov.tr/Icerik/8674/is-yerlerinde-uretken-yapay-zeka-araclarinin-kullanimi" - title: "KVKK: 15 Soruda Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi" url: "https://www.kvkk.gov.tr/Icerik/8547/uretken-yapay-zeka-ve-kisisel-verilerin-korunmasi-rehberi-15-soruda" - title: "KVKK: Sohbet Robotları (ChatGPT Örneği) Hakkında Bilgi Notu" url: "https://www.kvkk.gov.tr/Icerik/8047/Sohbet-Robotlari-ChatGPT-Ornegi-Hakkinda-Bilgi-Notu" - title: "6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)" url: "https://www.mevzuat.gov.tr/MevzuatMetin/1.5.6698.pdf" --- Salı sabahı. Destek ekibinden biri, uzun bir müşteri e-postasını özetletmek için sohbet botuna yapıştırıyor. E-postanın altında imza var: ad soyad, telefon, bir de teslimat adresi. O metin artık kurum dışında. Kural aslında tek cümle: kişisel veriyi modele göndermeden önce bulun ve maskeleyin. Model sağlayıcısının sözleşmesi ne derse desin, ham kişisel verinin kurum dışına çıkması KVKK açısından başlı başına bir veri işleme faaliyetidir; sağlayıcı yurt dışındaysa buna bir de yurt dışı aktarımı eklenir. Bu yazı, "gönder" tuşuna basmadan önce neye bakacağınızı tek listede topluyor. ## Türkçe metinde en sık hangi kişisel veriler sızıyor? Sızıntıyı en çok metnin kenarlarında görüyoruz: imza satırında, alıntılanan eski yazışmada, ekran görüntüsünden kopyalanan tabloda. Metnin "içeriğine" odaklanan göz, kenardakini veri olarak görmüyor. | Veri türü | Nerede karşımıza çıkıyor | Neden gözden kaçıyor | | --- | --- | --- | | Ad soyad | "Ayşe Demir ile görüşüldü" | Cümlenin öznesi; kimse veri saymıyor | | TC kimlik no | İmza blokları, form dökümleri | 11 hane, tablonun içinde kayboluyor | | Telefon ve e-posta | İmza satırları | Kopyala-yapıştır sırasında fark edilmiyor | | Açık adres | "Moda Caddesi No:15" gibi ifadeler | Serbest metinde kalıba benzemiyor | | IBAN ve kart | Ödeme yazışmaları | Rakam dizisi "teknik detay" sanılıyor | | Sağlık bilgisi | "diyabet tanısıyla izleniyor" | Tanı adı geçmese de bağlamdan anlaşılıyor | | Kurum içi kimlikler | Müşteri no, dosya no | Tek başına masum; sistemle eşleşince kişi | ## Göndermeden önce: yedi adımlık kontrol listesi Listeyi yukarıdan aşağı, her seferinde aynı sırayla uygulayın. Amaç kusursuzluk değil, alışkanlık; sırayla bakan göz çok daha az şey kaçırır. 1. Kimlik numaraları. TCKN, vergi, SGK, pasaport, MERSİS. On ve on bir haneli rakam dizilerine bir kez daha bakın. 2. Adı geçen herkes. Yalnız müşteri değil; eş, çocuk, tanık, doktor. Üçüncü kişilerin adı da kişisel veridir. 3. İletişim alanları. Telefon, e-posta, açık adres. İmza bloklarını ve alıntılanan eski yazışmaları atlamayın. 4. Finansal bilgiler. IBAN, kart numarası, maaş tutarı. 5. KVKK m.6 izleri. Sağlık durumu, dini inanç bilgisi, sendika üyeliği, ceza mahkûmiyeti. Tanı ya da kurum adı geçmese bile cümleden anlaşılıyorsa veri oradadır. 6. Kurum içi tanımlayıcılar. Müşteri numarası, dosya numarası, sipariş kodu. Sistemlerinizle eşleştirilebildiği anda kişisel veriye dönüşür. 7. Dolaylı kimlikleme. "Ankara'daki tek şubemizin müdürü" cümlesinde isim yok ama kişi tek. Ya yeniden yazın ya maskeleyin. ## KVKK m.6 verileri neden ayrı dikkat ister? KVKK'nın 6. maddesi sağlık, dini inanç, etnik köken, siyasi görüş, sendika üyeliği, ceza mahkûmiyeti, cinsel hayat, biyometrik ve genetik veriyi "özel nitelikli" sayar; işleme şartları daha sıkı, ihlalin bedeli daha ağırdır. Asıl zorluk şu: bu veriler numara kalıbına benzemez, cümlenin anlamında saklanır. "Raporu perşembe günkü diyaliz seansından sonra iletiriz" cümlesinde tek bir tanı adı geçmez. Sağlık verisi yine de oradadır. Bu yüzden özel nitelikli kategorileri yakalamak, kalıp eşlemeden fazlasını ister; cümleyi anlamak gerekir. ## Maskeleme çıktısı: önce ve sonra Maskelemede kişisel veri, türünü söyleyen bir etikete dönüşür. Metnin anlamı ve yapısı modele aynen gider; model deseni görür, kişiyi görmez. Canlı demo servisinden alınmış gerçek bir örnek: ```text Girdi: Danışan Elif Korkmaz, TCKN 10000000214, adresi Moda Caddesi No:15 Kadıköy. Çıktı: Danışan , TCKN , adresi . ``` Örnekteki kimlik numarası gerçek bir kişiye ait değil; ürünle doğrulanmış sentetik bir test değeri. İki şeyi açık söyleyelim. Hiçbir otomatik sistem her kişisel veriyi yakalamaz; Siper'in güncel ölçümü, insan doğrulamalı 403 belgelik Türkçe test setinde %84,6 yakalama oranı (recall). Yöntemin tamamı [benchmark sayfasında](/benchmark) açık. İkincisi, maskeleme anonimleştirme değildir: maskelenmiş metin KVKK kapsamında kişisel veri olarak işlenmeye devam eder. Bu ayrımın hukuki arka planını [KVKK ne diyor?](/kvkk-ne-diyor) sayfasında anlattık. ## Bu listeyi elle işletmek sürdürülebilir mi? Tek seferlik bir yazışmada evet. Günde yüzlerce destek kaydı işleyen bir ekipte hayır; elle tarama üçüncü günden sonra gevşer. Otomasyon gevşemez. İki yol var. Metni modele göndermeden önce maskeleyen bir API çağrısı ekleyebilirsiniz; ya da OpenAI SDK uyumlu bir gateway ile mevcut entegrasyonu hiç değiştirmeden aradaki maskeleme katmanını açarsınız. Siper ikisini de İstanbul'daki sunucularda, yönetilen hizmet olarak sunar; metin, modele gönderilmeden önce her seferinde maskeleme katmanından geçer. Küçük başlayın: [playground](/#playground)'a bir destek e-postası yapıştırın, neyin maskelendiğine bakın. Kayıt istemez.