Veri yerleşimi, bir kuruluşun verisinin fiziksel veya coğrafi olarak hangi ülke ya da bölgede depolandığını ifade eden kavramdır. Veri koruma mevzuatı, kurumları belirli verileri toplandığı ülke veya bölge sınırları içinde saklamaya zorlayabilir. Bulut bilişim ve yapay zeka iş yükleri yaygınlaştıkça, verinin nerede bulunduğunu bilmek artık bir teknik ayrıntı değil, doğrudan hukuki ve mali risk taşıyan bir kurumsal sorumluluk haline geldi.

Avrupa Birliği'nin Genel Veri Koruma Tüzüğü (GDPR) yürürlüğe girdikten sonra Avustralya, Brezilya, Kanada, Japonya, Güney Afrika ve Birleşik Arap Emirlikleri gibi ülkeler kendi veri koruma mevzuatlarını çıkardı. Bu eğilimin bedeli soyut değil; 2023'te Meta, GDPR'a uymadığı gerekçesiyle rekor düzeyde bir para cezasına çarptırıldı.Mayıs 2023'te Facebook'un ana şirketi Meta, GDPR'a uymadığı için Avrupa Birliği'ne 1,3 milyar dolar (1,2 milyar avro) ödemeye mahkum edildi. Bu ceza, düzenleyicilerin veri yerleşimi ihlallerini artık göz ardı etmediğinin açık bir göstergesi ve her kurum için bir uyanma çağrısı niteliğinde.

Veri Yerleşimi Nedir?

Veri yerleşimi şemsiyesi altında üç farklı ama sık sık birbirine karıştırılan kavram bulunur ve bunları ayırt etmek doğru uyumluluk stratejisi kurmanın ilk adımıdır.

Veri yerleşimi, bir kuruluşun verisinin fiziksel veya coğrafi konumudur. GDPR gibi veri gizliliği yasaları kapsamında kurumlar, belirli verileri toplandığı ülke veya bölge içinde saklamak zorunda kalabilir. Veri yerelleştirme ise bundan bir adım öteye giderek, verinin belirli bir konum ve yargı yetkisi içinde kalmasını zorunlu kılan bir yükümlülüğü ifade eder; yani yerleşim bir sonuçken, yerelleştirme bu sonucu dayatan yasal bir gerekliliktir. Veri egemenliği ise verinin depolandığı ve işlendiği yargı yetkisine dayanan haklar ve kontrolle ilgilidir; kimin veriye hangi koşullarda erişebileceğini ve hangi ülkenin yasalarının o veri üzerinde geçerli olduğunu belirler.

Bu üç kavram arasındaki fark pratikte önemli sonuçlar doğurur. Bir kurum verisini belirli bir bölgede tutuyor olabilir (yerleşim) ama bu, yasal bir zorunluluktan değil sözleşmesel bir tercihten kaynaklanıyor olabilir. Buna karşılık bazı sektörlerde (kamu, finans, sağlık) veri yerelleştirme doğrudan yasal veya sözleşmesel bir yükümlülük olarak dayatılır ve kurumun bu konuda tercih hakkı yoktur.

Bulutta Veri Yerleşimini Karmaşık Hale Getiren Nedir?

Bulut kaynaklarının nasıl konumlandırıldığı ve kullanıldığı, veri yerleşimini karmaşık hale getiren temel etkendir. Üç ana bulut provizyon türü vardır: gelişmiş, dinamik ve kullanıcı tarafından tahsis edilen. Bunların hepsi veri için bir miktar risk taşır ama en büyük tehdit, kaynakların talep üzerine tahsis edildiği dinamik provizyondan gelir.

Bulut yerel iş yüklerinin doğası da bu karmaşıklığı artırır. Bulutta ortaya çıkıp kaybolan geçici mikroservisler, tespit edilmesi ve izlenmesi zor veri erişimine ve hareketine yol açabilir. Bulut yerel uygulamalar, API'ler, uç noktalar, servis mesh yapıları, konteynerler ve konteyner orkestratörleri gibi birbirine bağımlı küçük servislerden oluşur. Bu bileşenler birbiri arasında veri aktarır veya taşır ve bu süreçte tespit edilemeyen veri kaybına veya çalınmasına yol açabilecek güvenlik açıkları barındırabilir.

Bu yapısal karmaşıklık, kurumların "verimiz nerede" sorusuna basit bir cevap vermesini giderek zorlaştırıyor. Bir kurumun ana veritabanı Türkiye'de barındırılıyor olsa bile, o veriye bağlı analitik servis, yedekleme sistemi veya üçüncü taraf entegrasyonu farklı bir coğrafi bölgede çalışıyor olabilir; bu da "işleme" ve "aktarım" katmanlarının ayrı ayrı değerlendirilmesini gerektirir.

Yapay Zeka İş Yükleri Veri Yerleşimi Riskini Nasıl Değiştiriyor?

Yapay zeka iş yükleri, veri yerleşimi sorununa yeni bir katman ekliyor. Bir kurum bir LLM API'sine sorgu gönderdiğinde, bu veri genellikle model sağlayıcısının veri merkezinin bulunduğu bölgeye gidiyor; bu bölge kurumun kendi ana veri merkeziyle aynı ülkede olmayabilir.

Bu noktada iki farklı veri akışını ayırt etmek gerekir. Eğitim verisi, bir modelin geliştirilmesinde kullanılan ve genellikle sağlayıcının altyapısında uzun süre kalan veridir. Çıkarım (inference) verisi ise bir kurumun günlük kullanımda modele gönderdiği sorgular ve bağlam bilgisidir; bu veri genellikle işlendikten sonra silinir ama işlendiği an, geçici olarak da olsa farklı bir yargı yetkisine tabi olabilir. Kurumlar sıklıkla bu ikisini birbirine karıştırıyor ve "verimiz modeli eğitmek için kullanılmıyor" güvencesini, verinin hiçbir zaman yurt dışına çıkmadığı anlamına geldiğini düşünerek yanlış yorumluyor.

Bu ayrım, daha önce ele aldığımız Sovereign AI (egemen yapay zeka) yaklaşımının neden önem kazandığını da açıklıyor. Egemen yapay zeka, modelin kendisinin ve işlem altyapısının belirli bir yargı yetkisi içinde kalmasını sağlayarak, çıkarım verisinin dahi sınır ötesine geçmediği bir mimari kurmayı hedefler. Her kurum için gerekli değil ama düzenlenmiş sektörlerde veya hassas veriyle çalışan kurumlarda bu yaklaşım, sözleşmesel taahhütlerden daha güçlü bir güvence sunar.

Türkiye'de Veri Yerleşimi ve KVKK Neyi Gerektiriyor?

Türkiye'de veri yerleşimi tartışmalarının merkezinde 6698 sayılı Kişisel Verilerin Korunması Kanunu bulunuyor. 2024 yılında Kanun'un 9. maddesinde yapılan değişiklikle, kişisel verilerin yurt dışına aktarılmasına ilişkin rejim daha esnek bir yapıya kavuştu; artık yeterlilik kararı, bağlayıcı şirket kuralları ve açık rıza gibi GDPR'a benzer mekanizmalar üzerinden veri aktarımı mümkün. Bu değişiklik, eski dönemdeki "veri yurt dışına aktarılamaz" varsayılan kısıtlamasını önemli ölçüde yumuşattı.

Ancak bu esneme, tüm sektörel düzenlemeleri kapsamıyor. KVKK dışında çeşitli mevzuatlarda hâlâ verilerin Türkiye'de barındırılmasına yönelik yasaklayıcı hükümler yürürlükte; özellikle bankacılık, sigortacılık ve bazı kamu veri kategorilerinde sektörel düzenlemeler doğrudan yerelleştirme zorunluluğu getiriyor. Bu nedenle bir kurumun genel KVKK rejimine uyumlu olması, sektörüne özgü yerelleştirme yükümlülüklerinden muaf olduğu anlamına gelmiyor.

Pratik düzeyde bu, üçüncü taraf bulut veya yapay zeka sağlayıcılarıyla çalışan kurumlar için iki ayrı kontrolü gerektiriyor. Birincisi, sağlayıcının veri işleme sözleşmesinde KVKK'nın 9. maddesindeki yeterli koruma taahhüdü şartını karşılayıp karşılamadığının doğrulanması. İkincisi, kurumun kendi tarafında açık rıza alma, işleme amacını belirtme ve veri envanteri tutma gibi yükümlülüklerin eksiksiz yerine getirilmesi. Sağlayıcı tarafındaki sözleşmesel taahhüt, kurumun kendi yükümlülüklerini ortadan kaldırmıyor; bu, bulut güvenliğinde paylaşılan sorumluluk modelinin veri yerleşimi bağlamındaki yansıması.

Kurumlar Veri Yerleşimini Nasıl Yönetir?

Veri yerleşimini, yerelleştirmeyi ve egemenliği sağlamak için iki temel yetenek gerekiyor. Birincisi, buluttaki verinin konumunu, bu verinin kopyalarını ve hareketini tespit eden teknoloji. İkincisi, bulut ortamlarının uyumluluk duruşunu merkezileştiren, analiz eden ve raporlayan teknoloji.

Veri güvenliği duruş yönetimi (DSPM) platformları, kullanıcı etkinliği ve davranışsal risk konusunda görünürlüğü artırarak bu yetenekleri sağlıyor. Bir DSPM çözümü, buluttaki hassas veriyi ve veri kopyalarını bulup sınıflandırıyor; böylece kurumlar mevcut ve potansiyel veri yerleşimi, yerelleştirme ve egemenlik sorunlarını çözüme kavuşturabiliyor. Bu tür bir platform, kurumların düzenlemeye tabi verinin karmaşık bulut ortamlarında nerede olduğunu anlamasına, gölge veriyi (shadow data) ortaya çıkarıp sınıflandırmasına ve verinin gerçekte nasıl aktığını öğrenerek düzenleyici risklere karşı önlem almasına yardımcı oluyor.

Bu yaklaşım, önceki AI guardrails içeriğimizde ele aldığımız veri katmanı guardrail'leriyle doğrudan örtüşüyor; veri yerleşimi izleme, aslında veri guardrail'lerinin kurumsal ölçekte uygulanmış bir biçimi. Tek başına yeterli değil ama guardrail mimarisinin veri katmanını somutlaştıran pratik bir araç.

Ne Zaman Yerel Veri Merkezi Şart, Ne Zaman Sözleşmesel Taahhüt Yeterli?

Bu karar, kurumun sektörüne, işlediği veri kategorisine ve tedarikçisinin sunduğu güvencelere göre değişir.

Kamu kurumları, bankacılık, sigortacılık ve sağlık gibi düzenlenmiş sektörlerde, veri yerelleştirme genellikle yasal veya sözleşmesel bir zorunluluktur ve kurumun bu konuda tercih hakkı sınırlıdır; bu durumda yerel veri merkezi seçimi bir tercih değil bir gerekliliktir. Buna karşılık genel ticari veri işleyen, düzenlenmiş bir sektörde faaliyet göstermeyen kurumlar için, sağlayıcının sunduğu sözleşmesel taahhüt (KVKK'nın 9. maddesindeki yeterli koruma güvencesi gibi) çoğu zaman yeterli bir uyumluluk temeli oluşturur.

Somut bir örnek bu ayrımı netleştirebilir: Microsoft 365 gibi küresel bir bulut hizmeti, Türkiye'de henüz kendi veri merkezine sahip değil ve müşteri verisini en yakın Avrupa Birliği bölgesindeki veri merkezlerinde saklıyor. Bu durum tek başına bir KVKK ihlali oluşturmuyor çünkü sağlayıcı GDPR uyumlu yeterli koruma taahhüdü veriyor; ancak müşterinin kendi tarafında açık rıza alma ve işleme amacını belirtme gibi ek yükümlülükleri yerine getirmesi gerekiyor. Yapay zeka sağlayıcıları için de aynı mantık geçerli: sağlayıcının veri işleme sözleşmesi ve bölge seçenekleri, kurumun kendi uyumluluk yükümlülüklerinin yerini almıyor, onları tamamlıyor.

Sık Sorulan Sorular

Veri yerleşimi ile veri yerelleştirme aynı şey mi?Hayır. Veri yerleşimi, verinin fiilen nerede depolandığını ifade eden bir durumdur; sözleşmesel bir tercihten kaynaklanabilir. Veri yerelleştirme ise verinin belirli bir konumda kalmasını zorunlu kılan yasal bir gerekliliktir. Bir kurum yasal zorunluluk olmadan da belirli bir bölgede veri tutmayı tercih edebilir; bu, yerelleştirme değil yerleşimdir.

KVKK, kişisel verinin Türkiye dışına çıkmasını tamamen yasaklıyor mu?Hayır, artık değil. 2024'te yapılan değişiklikle KVKK'nın 9. maddesi, yeterlilik kararı, bağlayıcı şirket kuralları ve açık rıza gibi mekanizmalar üzerinden yurt dışına veri aktarımına izin veren daha esnek bir rejime geçti. Ancak bazı sektörel düzenlemeler hâlâ kendi yerelleştirme yükümlülüklerini koruyor.

Hangi sektörler zorunlu veri yerelleştirmesine tabi?Kamu sektörü, bankacılık, sigortacılık ve sağlık gibi ağır düzenlemeye tabi sektörlerde veri yerelleştirme genellikle yasal veya sözleşmesel bir zorunluluktur. Bu sektörlerdeki kurumlar, genel KVKK rejiminin esnekliğinden bağımsız olarak kendi sektörel mevzuatlarını ayrıca kontrol etmelidir.

Yapay zeka sağlayıcısı seçerken veri yerleşimi açısından nelere bakılmalı?Sağlayıcının veri merkezi bölgelerini, eğitim verisi ile çıkarım verisini ayrı ayrı nasıl işlediğini ve sözleşmesinde KVKK'nın 9. maddesindeki yeterli koruma şartını karşılayıp karşılamadığını kontrol etmek gerekir. Düzenlenmiş sektörlerdeki kurumlar için, verinin hiç sınır ötesine geçmediği egemen yapay zeka mimarileri daha güçlü bir güvence sunar.

TL;DR

Veri yerleşimi, verinin fiziksel olarak nerede bulunduğunu; veri yerelleştirme, bu konumun yasal olarak zorunlu kılınmasını; veri egemenliği ise o konuma bağlı hak ve kontrolü ifade eder. Bulut ortamının dinamik ve dağıtık yapısı, verinin gerçek konumunu izlemeyi zorlaştırıyor. Yapay zeka iş yükleri, eğitim verisi ile çıkarım verisinin farklı yargı yetkilerine tabi olabilmesi nedeniyle bu soruna yeni bir boyut ekliyor. Türkiye'de KVKK'nın 2024'te esnetilen 9. maddesi yurt dışına aktarımı kolaylaştırdı ama sektörel yerelleştirme yükümlülükleri hâlâ geçerliliğini koruyor. Yerel veri merkezi zorunluluğu düzenlenmiş sektörlerde kesinken, genel ticari veride sözleşmesel taahhüt çoğu zaman yeterli bir temel oluşturuyor.

Sonuç

Veri yerleşimi, artık yalnızca bir hukuk departmanı meselesi değil, teknoloji mimarisi kararlarının doğrudan parçası. Bir kurumun hangi bulut sağlayıcısını, hangi yapay zeka platformunu ve hangi veri merkezi bölgesini seçtiği, uyumluluk riskini baştan belirliyor; sonradan düzeltmek, baştan doğru tasarlamaktan çok daha maliyetli.

Mevcut bulut ve yapay zeka tedarikçilerinizin veri işleme sözleşmelerini gözden geçirin: hangi veri merkezi bölgelerinde barındırılıyorsunuz, ve bu sözleşmeler KVKK'nın 9. maddesindeki yeterli koruma şartını açıkça karşılıyor mu? Düzenlenmiş bir sektörde faaliyet gösteriyorsanız, önce sektörünüze özgü yerelleştirme yükümlülüklerini netleştirerek başlayın; genel KVKK esnekliği, sektörel zorunlulukların yerini tutmuyor.

Kaynaklar:

• Kişisel Verileri Koruma Kurumu, Kişisel Verilerin Yurt Dışına Aktarılması Rehberi — https://www.kvkk.gov.tr/Icerik/8142/Kisisel-Verilerin-Yurt-Disina-Aktarilmasi-Rehberi

‍