Sözlük

Kişisel veri, maskeleme, KVKK ve yapay zekâ güvenliği üzerine kısa tanımlar. Her tanım Kanun ve kurum metinlerine dayanır; en önemlisi, maskeleme ile anonimleştirme arasındaki farktır.

Kişisel veri maskeleme (PII maskeleme)

Metindeki kişisel verilerin, türünü koruyan yer tutucu etiketlere (örneğin <KİŞİ_1>) dönüştürülmesi. Amaç, ham kimlik bilgisinin yapay zekâ modeline ve sağlayıcı loglarına ulaşmadan önce metinden çıkarılması; cümlenin anlamı ve yapısı korunur.

Anonimleştirme

Verinin, başka verilerle eşleştirilerek dahi hiçbir surette bir kişiyle ilişkilendirilemez hâle getirilmesi (KVKK madde 3). Çok yüksek bir eşiktir; maskeleme bu eşiği tek başına sağlamaz, bu yüzden maskeleme anonimleştirme değildir.

Takma adlandırma (pseudonymisation)

Verinin, ek bilgi olmadan belirli bir kişiye bağlanamayacak şekilde işlenmesi. Avrupa Veri Koruma Kurulu'na göre takma adlı veri kişisel veri olmaya devam eder; maskelemenin Avrupa'daki kavramsal karşılığıdır ve riski azaltır, kapsamdan çıkarmaz.

Kişisel veri

Kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgi (KVKK madde 3). Ad, TCKN, telefon, adres ve e-postanın yanı sıra bir kişiye dolaylı olarak ulaştıran ifadeler de kişisel veridir.

Özel nitelikli kişisel veri (KVKK m.6)

Sağlık, cinsel hayat, din, siyasi görüş, ırk ve etnik köken, sendika üyeliği, ceza mahkûmiyeti ile biyometrik ve genetik veri gibi kategoriler. İşlenmeleri varsayılan olarak yasaktır; açık rıza ya da Kanun'da sayılan sınırlı istisnalarla işlenebilir.

Veri minimizasyonu

Kişisel verinin, işleme amacının gerektirdiğiyle sınırlı tutulması ilkesi. Yapay zekâ akışında pratik karşılığı, modele yalnızca işin gerektirdiği metnin gitmesi ve kişisel alanların yola çıkmadan maskelenmesidir.

AI gateway

Uygulama ile yapay zekâ modeli arasında duran tek giriş noktası. Tüm model trafiği bu kapıdan geçer; maskeleme, erişim kontrolü ve kayıt tutma burada uygulanır. OpenAI SDK uyumlu bir gateway, uygulama kodunu değiştirmeden araya girebilir.

Yakalama oranı (recall)

Metindeki gerçek kişisel verilerin ne kadarının tespit edildiğini ölçen metrik. Kaçan veri, yanlış yakalanandan daha pahalıya patladığı için maskeleme kalitesinin manşet göstergesidir.

Yanlış alarm (false positive)

Temiz bir metinde, aslında kişisel veri olmayan bir ifadenin 'kişisel veri' sanılması. Yüksek yanlış alarm metni gereksiz bozar ve modele giden içeriği zayıflatır; bu yüzden recall ile birlikte raporlanır.

Gölge YZ (Shadow AI)

Çalışanların kurum onayı ve denetimi dışında yapay zekâ araçları kullanması. KVKK'nın iş yeri rehberi bunu bir risk alanı olarak tanımlar ve çözüm olarak yasak yerine açık politika, onaylı araçlar ve girdi kurallarını önerir.

Yurt dışına aktarım (KVKK m.9)

Kişisel verinin yurt dışındaki bir tarafa aktarılması. Yeterlilik kararı, uygun güvenceler ya da arızi istisnalara dayanmak zorundadır. Yurt dışındaki bir modele kişisel veri içeren metin göndermek bu rejimin kapsamına girer.

TCKN (T.C. kimlik numarası)

Kişiyi tekil olarak belirleyen 11 haneli kimlik numarası. Doğrudan kişisel veridir ve serbest metinde, form dökümlerinde ya da imza bloklarında sık sık gözden kaçarak modele gider.