Kurumsal AI'da Gizlilik Yarışı: Veri Artık Müşteri Bulutunda

Bir bankanın bilgi güvenliği ekibinin yapay zeka tedarikçisine sorduğu ilk soru genellikle modelin zekâsıyla ilgili olmuyor: "Bizim verimiz sizin sunucunuzda kaç gün duruyor?" Bu hafta iki büyük laboratuvar, tam da bu soruya art arda cevap yetiştirdi. Anthropic, kurumsal müşterilerin tepkisini çeken veri saklama politikasını değiştirdi; OpenAI ise iki gün önce sıfır veri saklamayla çalışan yeni bir güvenlik izleme sistemi duyurmuştu.

Anthropic geri adım attı

Bloomberg'in aktardığına göre Anthropic, Mythos ve Fable sınıfı modellerde siber saldırıları tespit edebilmek için tüm müşteri verisini 30 gün boyunca kendi sunucularında tutuyordu. Kural, hassas veriyle çalışan şirketlerden sert itiraz gördü; şirket içinde de politikanın "sevilmediği ve ticari risk oluşturduğu" kabul edilmiş durumda. Yeni sistemde 30 günlük pencere korunuyor ama veri Anthropic'in sunucusu yerine müşterinin kendi bulut altyapısında bekliyor. Pratikte bu, kayıtların sizin AWS, Azure ya da Google Cloud hesabınızda durması, tedarikçinin ancak gerektiğinde ve tanımlı yollardan erişmesi demek. Geçiş 2026 sonbaharında devreye girecek; sistem, bankacılık ve sağlık gibi regüle sektörlerden 100'ü aşkın müşteriyle birlikte tasarlanmış. Değişikliği Claude tarafında geliştirici Boris Cherny de açık kaynaklardan doğruladı.

OpenAI'ın karşı hamlesi: hiç saklamamak

OpenAI 19 Ağustos'ta "Private Safety Processing" adını verdiği bir hizmeti tanıttı. Seçili müşterilere sunulan sistem, kötüye kullanımı tespit etmek için oturumlar arası konuşma desenlerini otomatik ajanlarla analiz ediyor; ama hiçbir müşteri verisini saklamıyor ve insan gözden geçirmesi içermiyor. Şüpheli bir desen yakalanırsa OpenAI'a yalnızca dar kapsamlı bir sinyal gidiyor; ek veri paylaşımı müşterinin isteğine kalıyor.

İki yaklaşım arasındaki fark, güvenlik felsefesine dair de bir tercih. Anthropic, kötüye kullanım şüphesinde insan incelemesine imkân tanıyor; bu incelemeler kayıt altına alınan kontrollü erişim yollarından geçiyor. OpenAI ise insan faktörünü denklemden tamamen çıkarıp işi otomatik analize bırakıyor. Hassas veriyle çalışan bir şirket için ilki daha fazla denetim izi, ikincisi daha az temas anlamına geliyor; hangisinin "daha güvenli" olduğu, sorduğunuz soruya göre değişiyor.

Zamanlama tesadüf sayılmaz. Kurumsal harcama platformu Ramp'in verisine göre Fable 5'in benimsenmesini frenleyen etkenlerden biri fiyatla birlikte tam da bu 30 günlük saklama kuralıydı; aynı veri, OpenAI'ın üçüncü çeyrekte iş kullanıcılarında daha hızlı büyüdüğünü gösteriyor. Kurumsal harcama tablosunun detaylarını geçen haftaki haberimizde yazmıştık.

Sahadan bakış: sözleşmeye girecek üç soru

Türkiye'de KVKK'ya tabi her şirket için bu yarışın anlamı net: veri saklama koşulları artık pazarlık edilebilir bir alan. Sahada gördüğümüz kadarıyla çoğu kurumsal AI sözleşmesi bu maddeyi hâlâ boş geçiyor; oysa KVKK'nın yurt dışına veri aktarımı kuralları düşünüldüğünde, promptların içine müşteri bilgisi giren her senaryoda "veri nerede bekliyor" sorusu hukuki bir soruya dönüşüyor. Tedarikçinize sorulacak üç soru şu: Girdi ve çıktılar kaç gün, hangi ülkede, kimin altyapısında saklanıyor? Güvenlik izlemesi insan eliyle mi otomatik mi yapılıyor? Veriyi kendi bulutunuzda ya da yerinde tutma seçeneği var mı? İki devin aynı hafta bu konuya koşması, cevapların yakında standart sözleşme maddesine dönüşeceğini gösteriyor; erken soran, iyi şart alır.

Kaynaklar: The Decoder, TechCrunch