Kurum içi ve bölge içi işlem izleme: "veri dışarı çıkmaz" ne anlama gelmeli

Bugün çoğu sağlayıcı verinin müşteride kaldığını söylüyor. Lisanslı bir kuruluş için bu iddianın dört soruyu geçmesi gerekir: veritabanı nerede çalışıyor, model nerede çalışıyor, sağlayıcının destek personeli neyi görebiliyor ve kayıtlarla dışarıya ne çıkıyor. Aşağıda Marqib'in bu sorulara verdiği yanıtlar ve başka bir sağlayıcıya sormanız gerekenler yer alıyor.

Platform nerede çalışır

Marqib, kuruluşun kendi bulut hesabında (kuruluşun bölgesindeki AWS, Azure veya Google Cloud) ya da kuruluşun sunucularında tek kiracılı bir kurulum olarak çalışır. Veritabanı, kural motoru, vaka dosyaları ve denetim kaydı orada bulunur. Sağlayıcı ortak bir ortam işletmez ve hiçbir müşteri kaydı tutmaz. Tek istisna app.marqib.com adresindeki açık demodur: potansiyel müşterilerin ürünü görebilmesi için sağlayıcının barındırdığı bir ortamda sentetik veriyle çalışır ve orada hiçbir pilot yürütülmez.

Model kullanılıyorsa nerede çalışır

Tespitte hiçbir zaman dil modeli kullanılmaz. Taslak aşamasında, kuruluş isterse kullanılabilir ve uç noktayı kuruluş seçer: BAE'de Azure OpenAI, Bahreyn'de AWS Bedrock, kuruluşun kendi sunucularında açık ağırlıklı bir model ya da hiç model kullanmamak; bu durumda kuralın ürettiği taslak anlatının kendisi olur. Herhangi bir çağrıdan önce müşteri tanımlayıcıları, adlar, hesap numaraları, kart ve cüzdan referansları belirteçlerle değiştirilir ve ancak yanıt alındıktan sonra geri yerine konur; neyin gönderildiğine ilişkin kayıt denetlenebilir.

Kayıtlar, telemetri ve destek erişimi

Uygulama kayıtları kuruluşun hesabında kalır. Platform sağlayıcıya telemetri göndermez. Destek, yazılı bir veri işleme sözleşmesi kapsamında, kuruluşun verdiği ve geri alabildiği erişimle sağlanır; her oturum kayda alınır. Bunu sözleşmeye yazmayan bir sağlayıcı, üzerine yerellik etiketi yapıştırılmış barındırılan bir ürün satıyordur.

Her sağlayıcıya sorulması gerekenler

Veritabanı hangi hesapta çalışıyor ve kök (root) yetkilerini kim tutuyor? Yapay zekâ özellikleri için hangi model uç noktası, hangi bölgede kullanılıyor ve ona ne gönderiliyor? Kayıtlar, hata raporları veya kullanım metrikleriyle ortamın dışına ne çıkıyor? Destek personeliniz müşteri kayıtlarını görebiliyor mu ve bu erişim kayda alınıyor mu? Kuruluş platformu yapay zekâ özellikleri kapalıyken çalıştırabilir mi? Sözleşmede yoksa, yanıt sayılmaz.

Düzenleyici çerçeve

Suudi Arabistan'ın PDPL'i ve SAMA'nın dış kaynak kullanımı kuralları, BAE PDPL'i ile DIFC ve ADGM veri koruma rejimleri ve Türkiye'de KVKK, uygun güvencelerle veri işlenmesine izin verir; hiçbiri verinin sağlayıcıda tutulmasını şart koşmaz. Bölge içinde tek kiracılı kurulum, kuruluşun veri koruma ve dış kaynak kullanımı değerlendirmelerini kısa tutmanın en basit yoludur.

Sorular