GDPR

GDPR, kişisel verinin yalnızca bir veritabanında bulunmasını değil, hangi amaçla işlendiğini ve kimlerin eriştiğini de önemser. Yapay zeka asistanına belge bağlamak, arama ve yanıt üretimi sırasında bu verinin yeni bir kullanım bağlamına girmesine neden olabilir.

Bir şirket AB’de bulunmasa bile AB’deki kişilere ait veriler veya AB müşterileriyle yürütülen süreçler kapsam analizini gerektirebilir. Bu, teknik mimariyi ve sözleşmesel sorumlulukları hukuk ekibiyle birlikte ele alma nedenidir.

En güvenli başlangıç, asistanın cevaplamak zorunda olduğu soruları tanımlamaktır. Ardından yalnızca bu sorular için gereken klasörleri bağlayın; eski aday dosyaları, gereksiz kimlik bilgilerini veya tüm posta kutusunu varsayılan kapsam yapmayın.

KobiGPT’nin şirket, departman ve rol sınırları erişim tasarımını destekler. Ancak bunların doğru uygulanması için kullanıcı atamalarını, dosya sahipliğini ve dış model sağlayıcılarıyla veri akışını ayrıca belgelemeniz gerekir.

Kaynak gösterimi, bir yanıtın dayandığı metni incelemeyi kolaylaştırır ve yanlış belge seçimini görünür kılar. Bu özellik, veri sahibinin hakları, silme talepleri veya saklama politikaları için gereken süreçlerin yerine geçmez.

GDPR değerlendirmesi teknik bir kontrol listesiyle bitmez. İşleme amacı, hukuki dayanak, veri işleyen sözleşmeleri, aktarım mekanizmaları ve ihlal prosedürleri kullanım senaryosu üzerinden onaylanmalıdır.

AB’de yerleşik kişilerin verisi işleniyorsa GDPR yükümlülükleri KVKK’nın yanına eklenir; iki rejim benzer ama aynı değildir. Veri işleme envanteri, saklama süreleri ve silme talebi süreçleri asistan kurulumunun dışında kalan konulardır ama asistana bağlanan içeriği doğrudan belirler.

Pratik etki şudur: silme talebi geldiğinde ilgili dokümanın hem kaynak depodan hem vektör indeksinden çıkarılması gerekir. Bu yüzden kişisel veri içeren dosyaları hiç indekslememek, sonradan seçici silme kurgulamaktan hem ucuz hem güvenlidir. Uyum kararları için hukuk danışmanınıza başvurun.

İkinci konu veri yerleşimidir. Bulut kurulumunda verinin nerede işlendiği ve saklandığı sözleşme düzeyinde netleştirilmelidir; bu bilgi olmadan sınır ötesi aktarım değerlendirmesi yapılamaz. Veri yerleşimi konusunda katı gereksinimi olan kuruluşlar için self-hosted kurulum ayrı bir seçenek olarak değerlendirilebilir — bu durumda altyapı, model sağlayıcı yapılandırması ve verinin bulunduğu coğrafya tamamen sizin kontrolünüzde kalır.