Kişisel veri (PII) maskeleme

PII, "kişiyi tanımlayan bilgi" demektir: ad soyad, TCKN, telefon, adres, e-posta, sağlık durumu ve benzeri her şey. Maskeleme, bu bilgileri türünü koruyan bir etikete çevirir. "Danışan Elif Korkmaz, TC 10000000214" cümlesi maskelendiğinde modele "Danışan <KİŞİ_1>, TC <TCKN_1>" olarak gider.

Metnin anlamı ve yapısı yerinde kalır. Model bir danışanın bir kimlik numarasıyla anıldığını görür ama kimliğin kendisini görmez. Böylece özet çıkarma, sınıflandırma ya da yanıt üretme gibi işler bozulmadan sürer; modele kişinin kendisi değil, yalnızca deseni gider.

Maskeleme ile karıştırılan iki kavram var. Şifreleme veriyi anahtarla geri açılabilir biçimde saklar; depolama güvenliğidir, modele giden içeriği azaltmaz. Anonimleştirme ise çok daha yüksek bir hukuki eşiktir ve maskeleme onu karşılamaz. Bu ayrımların tanımlarını sözlükte topladık.

Çünkü metin kurumdan çıkıyor. Bir destek temsilcisi müşteri e-postasını özetletmek için sohbet botuna yapıştırdığında ya da bir geliştirici hata ayıklamak için üretim log'unun bir parçasını modele verdiğinde, içindeki kişisel veri de kurum dışına çıkar. Model sağlayıcısının sözleşmesi ne derse desin, bu KVKK açısından bir veri işleme faaliyetidir; sağlayıcı yurt dışındaysa çoğu zaman bir de yurt dışı aktarımıdır.

Kişisel Verileri Koruma Kurumu bu konuda net: yasak temelli yaklaşımlar gerçekçi sonuç vermiyor, çünkü yasak kullanımı gizliye itiyor. Kurumun somut önerisi, yapay zekâ ile konuşurken ayırt edici bilgiler yerine genelleştirilmiş ifadeler kullanmak. Maskelemenin yaptığı tam olarak budur. Bu çerçeveyi ve dayandığı belgeleri KVKK ne diyor? sayfasında ayrıntılı anlattık.

Kazanç somut: modele giden ham veri azalır (veri minimizasyonu), tüm yapay zekâ trafiği tek onaylı kapıdan geçer (denetim ve "Gölge YZ" kontrolü) ve bir sızıntıda hangi istekte neyin maskelendiği kayıtta kalır.

Uyum tarafında en çok işinize yarayacak ayrım şudur: maskeleme, KVKK anlamında anonimleştirme değildir. Kanuna göre anonim veri, başka verilerle eşleştirilerek dahi hiçbir surette bir kişiyle ilişkilendirilemeyen veridir. Serbest metindeki isimleri etikete çevirmek bu eşiği tek başına aşmaz; maskeli metin kişisel veri olarak korunmaya devam edebilir. Yani maskeleme, aydınlatma ya da hukuki dayanak gibi yükümlülükleri ortadan kaldırmaz; onları destekleyen bir teknik kontroldür.

Bu ayrımı doğru kurmanın pratik karşılığı ölçümdür. Hiçbir otomatik sistem her kişisel veriyi yakalamaz; biz ne yakaladığımızı ve ne kaçırdığımızı açık raporluyoruz: insan doğrulamalı 403 belgelik Türkçe test setinde %84,6 yakalama oranı (recall); kişisel veri içermeyen ayrı bir sette %5,7 yanlış alarm ölçtük (Temmuz 2026). Yöntemin tamamı benchmark sayfasında açık.

Türkçede kişisel veri her zaman bir numara kalıbı olarak durmaz; çoğu zaman cümlenin anlamında saklanır. "Raporu perşembe günkü diyaliz seansından sonra iletiriz" cümlesinde tek bir tanı adı geçmez ama sağlık verisi oradadır. Bu yüzden özel nitelikli kategorileri yakalamak için sabit kalıp aramak yetmez; cümlenin bağlamını anlamak gerekir.

Siper 26 kişisel veri kategorisini bu bağlamdan tespit eder; dokuzu KVKK m.6 kapsamındaki özel nitelikli kategorilerdir. Ölçüm sonuçlarını toplam bir ortalamada eritmiyoruz: sağlık, din, siyasi görüş gibi kritik kategorilerin performansını ayrı raporluyoruz, çünkü bir sağlık verisinin kaçması bir telefon numarasının kaçmasından farklıdır.

En hızlı anlama yolu denemek: bir metni playground'a yapıştırın, neyin maskelendiğini kendi gözünüzle görün. Kayıt gerekmez.