Şirket içi yapay zekâ kurulumu ve KVKK: toplantı kayıtları nerede işlenmeli?

Toplantıları yapay zekâyla özetlemek isteyen her şirketin önüne er ya da geç aynı soru gelir: bu kayıtlar nereye gidiyor? Bir satış görüşmesinde müşterinin adı, bir yönetim toplantısında fiyat stratejisi, bir insan kaynakları görüşmesinde çalışanın özel durumu konuşulur. Kendi ürünümüz Transify AI'yi hem bulut hizmeti hem de şirket içi kurulum olarak sunmamızın nedeni budur. Bu yazıda iki modelin farkını ve karar verirken bakılması gerekenleri anlatıyoruz.

#Toplantı kaydı neden hassas veridir?

6698 sayılı Kişisel Verilerin Korunması Kanunu'na (KVKK) göre bir kişiyi belirli ya da belirlenebilir kılan her bilgi kişisel veridir. Toplantı kaydında bunların birçoğu bir arada bulunur:

• Katılımcıların sesi, adı ve çoğu zaman görüntüsü
• Kişilerin görüşleri, performansları ya da özel durumları hakkında söylenenler
• Toplantıda adı geçen üçüncü kişiler: müşteriler, adaylar, tedarikçiler
• Kişisel veri olmasa da korunması gereken bilgiler: fiyatlar, sözleşme koşulları, ürün planları

Kayıt yapay zekâyla işlendiğinde bunlara dökümü ve özeti de eklenir; yani korunması gereken şey yalnızca ses dosyası değil, ondan üretilen her çıktıdır.

#Bulut hizmetinde veri nereden geçer?

Bulut tabanlı bir yapay zekâ hizmeti kullandığınızda veriniz yalnızca o hizmetin sunucusunda kalmaz; hizmetin kullandığı model sağlayıcılara, yani alt işleyicilere de gider. Bunun açıkça yazılması gerektiğini düşünüyoruz. Transify'ın bulut sürümünün gizlilik politikasında belirtilen alt işleyiciler şunlardır:

Bulut sürümde uygulanan önlemler de politikada yazılıdır: tüm iletişim HTTPS/TLS ile şifrelenir, parolalar bcrypt ile özetlenerek saklanır, erişim kayıtları tutulur ve medya dosyaları işlem sonrasında otomatik silinir. Saklama süreleri: medya dosyaları varsayılan olarak 30 gün (Pro ve Team planlarında 24 saat seçilebilir), döküm metni 30 gün.

Birçok ekip için bu yeterlidir: genel ekip toplantıları, eğitim kayıtları, yayımlanacak röportaj ve videolar. Yeterli olmadığı durumlar da bellidir.

#Bulut ne zaman yetmez?

• Yurt dışına aktarım: Alt işleyicilerin sunucuları yurt dışındaysa bu, KVKK'nın 9. maddesi kapsamında bir yurt dışı aktarımıdır ve ayrı koşullara bağlıdır.
• Sektör kuralları: Finans, sağlık ve kamu gibi alanlarda verinin kurum dışına çıkmasını sınırlayan ek düzenlemeler ve sözleşme hükümleri bulunabilir.
• Müşteri sözleşmeleri: Müşterinizle yaptığınız gizlilik sözleşmesi, görüşme kayıtlarının üçüncü taraflarla paylaşılmasını yasaklıyor olabilir.
• Ticari sır: Hukuken serbest olsa bile bazı toplantıların içeriğini şirket dışına çıkarmak istemeyebilirsiniz.

#Şirket içi kurulum neyi değiştirir?

Şirket içi (on-premise) kurulumda hizmet sizin sunucunuzda çalışır. Transify'ın kurumsal kurulumu dört adımdan oluşur:

1. Sunucu hazırlığı: Linux ya da Windows sanal makine; Docker ile ya da doğrudan sunucuya kurulum. En az 8 CPU çekirdeği ve 32 GB RAM önerilir; modeller şirket içinde çalıştırılacaksa GPU'lu bir analiz sunucusu gerekir.
2. Veritabanı: PostgreSQL kurulumu, yedekleme düzeni ve şirketinizin tek oturum açma (SSO) sistemiyle bütünleştirme.
3. Yapay zekâ hattı: Konuşma tanıma, çeviri ve analiz şirket ağınızın içinde çalışır; dış API kullanımı isteğe bağlıdır.
4. Yönetim paneli: Kullanım ve destek tek panelden izlenir; yönetici paneli kuruluma dahildir.

Sonuç: veri Türkiye'de ya da seçtiğiniz bölgede, kendi altyapınızda kalır. Kimin hangi kayda eriştiğini rol bazlı yetkilerle siz belirler, denetim kayıtlarından (audit log) izlersiniz.

#İki modelin karşılaştırması

#Şirket içi kurulumun bedeli

Şirket içi kurulum kendiliğinden “daha güvenli” değildir; sorumluluğu sizin tarafınıza taşır. Karar vermeden önce şunları hesaba katın:

• Donanım: Modelleri kendi sunucunuzda çalıştırmak GPU ister; sunucunun alınması ya da kiralanması ve kapasitesinin kullanım yoğunluğuna göre planlanması gerekir.
• İşletme: Güncellemeler, yedekler, izleme ve erişim yönetimi artık sizin ya da anlaştığınız ekibin işidir. Yedeği alınmayan, yaması yapılmayan bir iç sunucu, iyi yönetilen bir bulut hizmetinden daha risklidir.
• Model güncelliği: Bulutta modeller sağlayıcı tarafından yenilenir; şirket içinde yeni sürüme geçiş planlı bir iştir.

Sunucu tarafını üstlenecek bir ekibiniz yoksa bu işi bakım, hosting ve sunucu yönetimi hizmetimizle birlikte yürütebiliriz. Kendi sunucunuzu yönetmenin genel artı ve eksileri için paylaşımlı hosting mi, VPS mi yazımıza bakabilirsiniz.

#Hangi modeli seçerseniz seçin: kontrol listesi

1. Katılımcıları bilgilendirin: Toplantının kaydedildiğini ve yapay zekâyla işleneceğini baştan söyleyin; aydınlatma metninizde bu işlemeye yer verin.
2. Alt işleyicileri öğrenin: Hizmetin veriyi hangi şirketlere ve hangi ülkelere gönderdiğini yazılı olarak isteyin.
3. Saklama süresini belirleyin: Ses dosyası, döküm ve özet için ayrı ayrı. “Süresiz” bir cevap değildir.
4. Erişimi sınırlayın: Her kayda herkes erişmemeli; rol bazlı yetki ve erişim kaydı arayın.
5. Silme taleplerini düşünün: Bir katılımcı verisinin silinmesini istediğinde (KVKK md. 11) kaydı, dökümü ve özeti bulup silebilmelisiniz.
6. Model eğitimini sorun: Verinizin model eğitiminde kullanılıp kullanılmadığını sözleşmede netleştirin.
7. Çıkış planınız olsun: Hizmeti bıraktığınızda verinizi nasıl alacağınızı ve nasıl silineceğini baştan öğrenin.

#Nasıl karar verilir?

Üç soru çoğu zaman yeterlidir: Bu kayıtlarda kimin, ne kadar hassas verisi var? Verinin kurum ya da ülke dışına çıkmasını sınırlayan bir kural ya da sözleşme var mı? Bir sunucuyu güvenli biçimde işletecek kapasitemiz var mı? İlk iki sorudan birinin cevabı güçlü bir “evet” ise şirket içi kurulum ciddi bir seçenektir; değilse bulut hizmetiyle başlayıp ihtiyaç doğduğunda geçmek daha makuldür.

Transify'ı şirketinize kurmak ya da belgeleriniz, görüşmeleriniz ve müşteri verinizle çalışan benzer bir sistemi kendi sunucunuzda kurmak için yapay zekâ çözümlerimizi inceleyebilirsiniz. Kişisel verinin yoğun olduğu bir başka örnek: klinikler için online randevu sistemi. Ürünün teknik tarafı için: asenkron iş hattı.