Veri Yerleşimi (data residency) ile Veri Egemenliği (data sovereignty) Aynı Şey Değildir

Veri yerleşimi bir depolama sorusudur: baytlar fiziksel olarak hangi ülkede duruyor ve işleme nerede gerçekleşiyor. Veri egemenliği ise bir denetim sorusudur: o veriyi ve üzerindeki işlemeyi kimin kararları yönetiyor ve bu kararların ne kadarını sonradan inceleyebiliyorsunuz. İkisi örtüşür ama aynı özellik değildir; bir sistem birini kusursuz sağlarken diğerinde tamamen başarısız olabilir. Türkiye'deki bir veri merkezinden hizmet veren, ancak ağırlıklarını, güvenlik filtrelerini veya saklama politikasını size haber vermeden değiştirebilen bir sağlayıcı size yerleşim verir, egemenlik neredeyse hiç vermez. Bu yazının konusu tam olarak bu ayrım ve ayrımın mimarinin her katmanına inen pratik sonuçlarıdır.

Bu karışıklık Türkiye'deki ihale ve teklif şartnamelerinde sürekli karşımıza çıkıyor. Madde 'veriler Türkiye'de tutulacaktır' diye yazılıyor ve orada duruyor; sanki diskin coğrafyası meseleyi kapatıyormuş gibi. Tedarikçi dürüstçe depolamanın yurt içinde olduğunu yanıtlıyor, kutu işaretleniyor ve sonucu asıl belirleyen sorular hiç sorulmuyor: yeni bir model sürümünü kim, hangi bildirim süresiyle yayına alabilir ve istemleriniz aktarım sırasında ne oluyor. Yerleşim maddesi iki sayfa süren, değişiklik yönetimi maddesi ise hiç bulunmayan şartnameler okuduk. Sonuç, coğrafya üzerinden denetlenebilen ama model davranışını haftadan haftaya değiştiren her şey konusunda sessiz kalan bir sözleşme oluyor. Denetlenebilirlik coğrafyada kalıyor, davranışta kaybediliyor.

Sorulması gereken sorular yazması kolay, yanıtlanması rahatsız edici sorulardır. Sağlayıcı bir uç noktanın arkasındaki modeli size söylemeden değiştirebilir mi? Çoğu değiştirebilir ve değiştiriyor. Sürüm sabitleyebiliyor musunuz ve sabitlenen sürüm ne kadar süre destekleniyor? Güvenlik filtresi yapılandırmasını yazılı olarak alabiliyor musunuz? İstemleriniz eğitimde kullanılıyor mu ve bu sözleşmesel bir taahhüt mü, yoksa birinin kapatabileceği bir ayar mı? Bir olay incelemesi sırasında sağlayıcı tarafında istemi kimler okuyabiliyor, hangi yetkiyle okuyor ve bu erişim talep edebileceğiniz biçimde kayıt altına alınıyor mu? Bir egemenlik incelemesi büyük ölçüde bu listeden ibarettir; yanıtların satış sunumuna değil sözleşmeye yazılması şartıyla.

Böyle bakıldığında egemenlik, haritanızın değil kanıtınızın bir özelliğidir. Bir iş yükü üzerinde egemenliğiniz varsa, aylar sonra hangi model sürümünün hangi çıktıyı ürettiğini, ona hangi verinin ulaştığını, yapılandırmayı kimin onayladığını ve o günden bu yana neyin değiştiğini yeniden kurabilirsiniz. Bu, hukuki bir problem olmadan önce mühendislik problemidir ve yapay zeka sistemlerinde veri gizliliği için zaten kurmanız gereken kontrollerle büyük ölçüde örtüşür: istek kaydı, istem maskeleme, saklama süreleri ve kayıt deposunun kendisi üzerinde erişim denetimi. Bu kontrolleri kuran ekipler, hangi konuşlandırma biçimini seçerse seçsin egemenlik hikayesinin büyük bölümünü zaten elde etmiş olur.

Üç Konuşlandırma Biçimi (deployment posture) ve Her Birinin Gerçekte Verdiği

Birinci biçim, çok kiracılı genel API'dir. Size en güçlü modelleri, yeni sürümlere anında erişimi, kapasite planlaması derdinin olmamasını ve kimse kullanmadığında sıfıra inen bir token başı maliyeti verir. Vermediği şeyler ise model sürümleri üzerinde denetim, işlemenin hangi yargı çevresinde yapıldığı ve hizmet şartlarının vaat ettiğinin ötesinde yükünüzün saklama yolu üzerinde söz hakkıdır. Kişisel veri içermeyen, ticari sır olmayan ve düzenlemeye tabi olmayan her şey için doğru varsayılan budur: iç yazışma taslakları, açık depolarda kod yardımı, yayımlamaya razı olacağınız materyalin özetlenmesi. Bu biçimi ilkesel olarak reddeden ekipler genellikle kiralayabilecekleri yetenek için beş ila on kat fazla ödüyor.

İkinci biçim, özel veya ayrılmış bulut bölgesidir: aynı sağlayıcı, aynı model ailesi; ancak işlemenin adı konmuş bir bölgede yapılacağına dair sözleşmesel bir taahhüt ve daha iyi tekliflerde trafiğinizin paylaşmadığı ayrılmış bir kapasite havuzu ile. Bu size gerçek bir yerleşim, genellikle inandırıcı bir izolasyon ve çoğu zaman daha uzun bir sürüm sabitleme penceresi verir. Modelin kendisi üzerinde egemenlik vermez. Ağırlıklar sağlayıcıya aittir, güncelleme temposu onlarındır ve bir model ailesini kullanımdan kaldırırlarsa göçü sizin değil onların takvimiyle yaparsınız. Adı konmuş bölge Türkiye dışındaysa aktarım sorusunu da ortadan kaldırmaz; küresel sağlayıcıların çoğunda bu bölge hala Türkiye dışındadır.

Üçüncü biçim tamamen kurum içidir: kendi ağınızın içinde, denetlediğiniz donanım üzerinde açık ağırlıklı modeller. Üç özelliği aynı anda veren tek biçim budur; veri hiç dışarı çıkmaz, siz değiştirmedikçe ağırlıklar değişmez ve çıkarım yolunun tamamını ölçümleyebilirsiniz. Bunun bedeli yatırım harcaması, hiçbir zaman bitmeyen bir operasyon yükü, sınır modellere karşı bir yetenek açığı ve daha önce sağlayıcının sizin adınıza üstlendiği her güvenlik davranışının sorumluluğudur. Dar bir iş yükü kümesi için doğru yanıt, geri kalan her şey için pahalı bir hatadır. Aşağıdaki ekonomi bölümünün mimari şemadan daha önemli olmasının sebebi tam olarak budur.

Ara alan konusunda dürüst olun, çünkü satın alma görüşmeleri en çok orada raydan çıkıyor. Ayrılmış bölge, 'daha az zahmetli kurum içi' değildir; farklı bir risk profili ve farklı bir arıza biçimidir. Aynı şekilde kurum içi de otomatik olarak daha güvenli değildir; düz bir ağa kurulmuş, istem kaydı tutmayan, kötü işletilen bir GPU kümesi iyi yapılandırılmış yönetilen bir uç noktadan daha kötüdür. açık kaynak ve kapalı modeller arasındaki seçim bu konuşlandırma kararının ardından gelir, onun yerine geçmez. Önce neyi denetleyebilmeniz gerektiğine karar verin, sonra hangi ağırlıklara gerçekçi biçimde erişip bunları işletebileceğinize bakın.

Asıl Belirleyici: KVKK Yurt Dışına Aktarım (cross-border transfer)

Türkiye'deki kurumlar için asıl kısıt genel bir bulut korkusu değil, 6698 sayılı Kanun'un kişisel verilerin yurt dışına aktarılmasını düzenleyen 9. maddesidir. Uygulamanız kişisel veri içeren bir istemi Türkiye dışında işlenen bir uç noktaya gönderdiğinde bu bir aktarımdır ve hukuka uygun bir yola ihtiyaç duyar. Kanunun öngördüğü yollar, hedefi kapsayan bir yeterlilik kararı, taraflar arasında gerekli onay adımını içeren bir taahhütname veya standart sözleşme ya da ilgili kişinin açık rızasıdır. Her birinin operasyonel ağırlığı farklıdır ve aralarındaki seçim hukuk biriminizin kararıdır; ancak mimarinin, hangi yol seçilirse seçilsin bunu kanıtlanabilir kılacak şekilde kurulması gerekir.

Dokuzuncu madde tek başına durmaz. İşlemenin 5. madde kapsamında hukuka uygun bir sebebi olmalıdır; istemler sağlık kayıtları, biyometrik veri, sendika üyeliği veya din bilgisi gibi özel nitelikli kişisel verilere dokunuyorsa 6. madde, genel bir rıza akışının karşılamayacağı ek koşullar getirir. Onuncu madde insanlara ne yaptığınızı gerçekten anlatmanızı ister; bir yapay zeka özelliği için bu, aydınlatma metninin işlemeyi 'ileri teknolojiler' paragrafıyla değil, kişinin tanıyabileceği terimlerle anlatması demektir. On ikinci madde güvenlik yükümlülüğünü veri sorumlusu olarak size yükler ve model sağlayıcınızla bir veri işleme sözleşmesi imzaladınız diye ona geçmez. Sözleşme sorumluluğu paylaştırır, yükümlülüğü devretmez.

Mimari sonuç nettir: aktarım API çağrısında gerçekleşir, dolayısıyla denetiminiz de orada olmalıdır. Pratikte bu, model çağrısından önce çalışan bir sınıflandırma adımı, iş yükü izin verdiğinde doğrudan tanımlayıcıları temizleyen bir maskeleme veya belirteçleme katmanı ve sınıflandırıcı gerektirdiğinde isteği yurt içindeki bir uç noktaya gönderebilen bir yönlendirme kararı demektir. Ayrıca yalnızca sonucu değil kararın kendisini de kaydetmek gerekir; çünkü altı ay sonraki bir denetim, belirli bir isteğin neden oraya gittiğini soracaktır. Bunu paylaşılan altyapı olarak bir kez kurmak, ekiplerinizin ürettiği her yapay zeka özelliğine sonradan eklemekten çok daha ucuzdur. Üstelik tek bir yerde denetlendiği için gözden kaçan bir akış bırakma ihtimaliniz de belirgin biçimde azalır.

Türkçe Yetkinliği Model Kısa Listesini (shortlist) Daraltır

Türkçe sondan eklemeli bir dildir ve bu, kurum içinde çalıştırmayı düşündüğünüz her açık ağırlıklı model için pratik sonuçlar doğurur. Tek bir Türkçe kelime, İngilizcenin beş altı kelimeye yaydığı bilgiyi taşıyabilir; iyelik, hal, olumsuzluk, zaman ve soru aynı anda ek zincirlerinde kodlanır. Ağırlıklı olarak İngilizce üzerinde eğitilmiş modeller yaygın Türkçeyi akıcı biçimde işler, sonra tam da kurumsal kullanımda önemli olan yerlerde bozulur: seyrek çekimli biçimler, alan terimlerinden oluşan birleşik yapılar, ek almış özel adlar ve aynı ekin ünlü uyumuna göre değişen varyantları. Hata biçimi bariz bir saçmalık değildir; bir sözleşme özetinde kimin kime ne borçlu olduğunu değiştiren, kendinden emin ama yanlış bir hal ekidir.

Kimsenin fatura gelene kadar bakmadığı sayı, tokenizasyon verimliliğidir. Test ettiğimiz tokenizasyon araçlarında eşdeğer bir Türkçe metin, İngilizce karşılığının tipik olarak 1,5 ila 2 katı token tüketiyor ve fark, uzun ek zincirleri barındıran hukuki ve teknik metinlerde en yüksek seviyeye çıkıyor. Bu çarpan size üç ayrı yerden vuruyor: istek başına maliyet, gecikme ve etkin bağlam penceresi. Çünkü 32 bin tokenlık bir pencere, aynı pencerenin aldığı İngilizce metne kıyasla belirgin biçimde daha az Türkçe belge alır. Bir modeli kısa listeye almadan önce kendi derleminizi onun tokenizer'ından geçirip token başına düşen karakter sayısını hesaplayın. Bu bir öğleden sonra sürer ve sıralamayı düzenli olarak değiştirir.

İkinci filtre alan sözcük dağarcığıdır. Genel Türkçede iyi puan alan bir model, Türk sigorta poliçelerinde, ihale şartnamelerinde, epikrizlerde veya mahkeme kararlarında kullanılamaz olabilir; çünkü sözcük dağarcığı, kısaltma gelenekleri ve cümle yapıları ön eğitim karışımındaki hiçbir şeye benzemez. Kendi materyalinizle uyarlanmış küçük bir modelin daha büyük bir genel modeli düzenli olarak geçtiği yer burasıdır ve küçük dil modelleri kurum içi konuşlandırma için tam bu noktada gerçekten ilginç hale gelir: tek bir hızlandırıcıya sığan ve belge türlerinizi bilen 7B ila 14B bir model, fiilen çalıştırdığınız işlerde 70B'lik bir genelciyi geçebilir. Kararı model boyutundan çok, modelin belge türlerinize olan yakınlığı belirler.

Bunların hiçbiri bir sıralama tablosundan karara bağlanamaz. Kamuya açık Türkçe kıyaslama setleri sınırlıdır, kimi zaman özgün olarak yazılmak yerine çevrilmiştir ve belge karışımınızı neredeyse hiçbir zaman temsil etmez. Bunun yerine özel bir değerlendirme seti kurun. Tipik olarak görev başına 300 ila 800 etiketli örnekle başlıyoruz, örnekleri gerçek üretim belgelerinden alıyoruz ve en zor yüzde 20'lik dilimi bilinçli olarak fazla temsil edecek şekilde bölüyoruz. Benzerlik metriğiyle değil, alan uzmanının yazdığı bir değerlendirme ölçeğiyle puanlayın. Kısa listedeki her modele ve kabul ettiğiniz her sürüm değişikliğine karşı yeniden çalıştırın. Bu set bir ila üç haftalık uzman zamanına mal olur ve programın en çok yeniden kullanılan çıktısıdır.

Kurum İçi Çalıştırmanın Dürüst Ekonomisi

Giriş bileti beklenenden yüksek olduğu için oradan başlayalım. Ciddi bir kurum içi kurulum tek bir hızlandırıcı değildir; erişilebilirlik için en az iki, geliştirme ve değerlendirme için bir tane daha, pratikte bir de yedek gerekir. Çünkü salı günü arızalanan bir kartın yapay zeka özelliklerinizi devre dışı bırakmaması lazımdır. Üstüne sunucuları, ağı, kabin alanını ve bunları besleyecek güç dağıtımını ekleyin. Satın almak yerine kiralayabilirsiniz; bu, yatırım harcamasını aylık bir kaleme çevirir ve size bir çıkış kapısı bırakır, ancak kiralama yalnızca kullanım oranınız düşükken ucuz kalır ve düşük kullanım oranı, tam olarak kendi kendinize barındırmamanız gereken durumdur.

Her şeye karar veren tek sayı kullanım oranıdır. Amortismana tabi donanım yüzde üç yükte de yüzde seksen yükte de aynı maliyeti üretir; API ise yalnızca kullandığınızı faturalandırır. Gördüğümüz kurulumlarda 80 GB sınıfı tek bir hızlandırıcı, nicelenmiş 7B ila 14B bir modeli sunarken gecikme belirgin biçimde bozulmadan kabaca 20 ila 60 eşzamanlı akışlı isteği taşıyor. Kurumsal trafik ise dalgalıdır. Keskin bir sabah zirvesi olan mesai günü deseni, çukurları bilinçli olarak toplu işlerle doldurmadığınız sürece ortalama kullanım oranını yüzde 10 ila 25 aralığında bırakır. Gecelerinizi dolduracak toplu iş yükünün adını koyamıyorsanız, kullanım oranınızın düşük olacağını varsayıp iş gerekçesini buna göre fiyatlandırın.

Sonra iş gerekçesine kimsenin yazmadığı yinelenen maliyetler geliyor. MLOps yan görev değildir: izleme, değerlendirme, model güncellemeleri ve olay müdahalesi içeren üretim seviyesinde bir kurum içi yığın, kararlı durumda iki ila dört tam zamanlı mühendis ister ve tek mühendis tek hata noktası demektir. Açık ağırlıklı sürümler yeterince hızlı geliyor; üç ila altı ayda bir yenileme normaldir ve her yenileme, değerlendirme setini yeniden çalıştırmak, istemleri yeniden ayarlamak ve güvenlik bariyeri davranışını yeniden doğrulamak anlamına gelir. Elektrik ise basit aritmetiktir: sürekli çalışan 6 kW'lık bir düğüm ayda yaklaşık 4.400 kWh çeker ve 1,4 ila 1,8 arası bir tesis verimlilik oranıyla, soğutma da sayıldığında fiilen 6.000 ila 7.900 kWh ödersiniz.

Hepsi bir araya geldiğinde başabaş noktası yüksektir. Kendi kendine barındırmanın kazanmaya başladığını tipik olarak, hızlandırıcıları ortalama yüzde 40 ila 60 kullanım oranının üzerinde tutabildiğinizde görüyoruz; bu da çoğu kurum için günde yüz binlerce değil, on milyonlarca token seviyesinde sürekli trafik demektir. Bunun altında, uyum gereksinimini bir kenara bırakırsak, kurum içi çalıştırma birim iş başına yalnızca daha pahalıdır; personel zamanı dürüstçe sayıldığında çoğu zaman birkaç kat pahalıdır. Konuşmanın bu kısmında doğru tavsiye sıklıkla 'şimdilik yapmayın' oluyor: iş yükünü bir API üzerinde çalıştırın, bir çeyrek boyunca gerçek hacmi ölçün ve tahmin yerine elinizde bir talep eğrisi olduğunda kurulum kararına geri dönün.

Türkiye'de Şirketlerin Gerçekte Vardığı Hibrit Desen

Aritmetikten sonra kurumların çoğu aynı şekle yakınsıyor. Küçük, açık ağırlıklı bir model kurum içinde çalışıyor ve gerçekten dışarı çıkamayacak iş yüklerini üstleniyor: müşteri tanımlayıcısı içeren istemler, insan kaynakları kayıtları, maskelenmemiş sözleşmeler ve sektör düzenleyicisinin özel beklentisi olan her şey. Geri kalan her şey, yeteneğin daha iyi ve birim iş başına maliyetin daha düşük olduğu ticari bir API'ye gidiyor. İkisinin arasında, kararı istek bazında veren bir yönlendirme katmanı duruyor. Bunu ilk gün beyaz tahtada kimse tasarlamıyor; ekipler, mimarinin tamamını sürükleyen hassasiyetin trafiğin yalnızca yüzde 10 ila 20'sinde bulunduğunu keşfettikten sonra buraya varıyor.

Yönlendirme katmanı, hassas yol konusunda sıkıcı derecede belirlenimci olduğu sürece hakkını verir. Sınıflandırma önce çalışır ve yerel model lehine hata yapar; çünkü yanlış yönlendirme kararının maliyeti asimetriktir. Düşük hassasiyetli bir isteği yerel modele göndermek birkaç kuruşluk GPU zamanı israf eder, yüksek hassasiyetli bir isteği yurt dışına göndermek ise bildirime konu bir olaydır. Katmanın istek başına hem sınıflandırma hem hedef kaydını tutması, her şeyi yerele zorlayan bir acil durum anahtarı, dışa giden yolda istem maskeleme ve iki tarafta da aynı değerlendirme koşumunu barındırması gerekir; böylece kalite farkı varsayılmaz, ölçülür. Bunu düzgün kurmak için dört ila sekiz hafta ayırın.

İş yüklerini sınıflandırmak teknik değil iş tarafına ait bir çalışmadır ve masada kıdemli biri olduğunda ekiplerin beklediğinden hızlı ilerler. Dışa dönük içerik işleri, yani pazarlama metinleri, dokümantasyon taslakları ve markanızın yapay zeka arama motorlarındaki görünürlüğünün ölçülmesi, hiç kişisel veri içermez ve yerleşim tartışmasına hiç girmez. Toplulaştırılmış, kimliksizleştirilmiş veri üzerindeki iç analitik de genellikle girmez. Geriye kalan liste, başlangıçtaki korkunun düşündürdüğünden çok daha kısadır; ve bu listeyi maskeleme, takma adlandırma ve alan bazlı gizleme ile kısaltmak, onu sunabilmek için GPU envanterinizi büyütmekten genellikle daha ucuzdur. Bu sınıflandırmayı yazılı bir politikaya bağlamak, her yeni özellikte aynı tartışmayı baştan açmayı önler.

Hava Boşluklu (air-gapped) Kurulum ve Gerçekte Vazgeçtikleriniz

Hava boşluğu savunma sanayiinde, kritik altyapının bazı bölümlerinde ve kimi kamu işlerinde gerçek bir gerekliliktir; bunun dışında ise zaman zaman maliyetini hesaplamamış kurumlar tarafından rahatlama amacıyla benimseniyor. Gerçek bir hava boşluğu, dışarı hiçbir ağ yolunun olmaması demektir: modeller, bağımlılıklar, konteyner imajları ve veri fiziksel ortamla, bir inceleme sürecinden geçerek içeri girer ve hiçbir şey dışarı çıkmaz. Mühendisliği iyi bilinen ve özellikle egzotik olmayan bir konudur. Bedeli, bağlı olmaktan gelen her kolaylığın elle yürütülen, takvime bağlanmış ve personel gerektiren bir prosedüre dönüşmesi ve ortamınızla dış dünya arasındaki açığın, kimse bakmasa da her hafta biraz daha büyümesidir.

Somut liste şudur. Model güncellemeleri artık bir çekme işlemi değil, yayına almadan önce tam bir yeniden değerlendirme gerektiren üç aylık bir içeri aktarımdır. Tehdit istihbaratı, yani yeni istem enjeksiyonu desenleri, jailbreak aileleri ve zehirlenmiş paket uyarıları, size otomatik ulaşmaz ve birinin elle taşıması gerekir. Yönetilen değerlendirme hizmetleri kullanılamaz, dolayısıyla değerlendirme koşumunuz artık bakımını sizin üstlendiğiniz bir yazılımdır. Telemetri dışarı akmaz, yani olayınızı sizin yerinize teşhis edebilecek bir tedarikçi yoktur. Yama temposu haftalıktan, değişiklik pencerenizin izin verdiğine, tipik olarak üç ayda bire düşer; bu, işletim sistemi kadar CUDA yığını ve çıkarım sunucusu için de geçerlidir. Destek uygulamalı olmaktan çıkıp danışmanlığa döner.

Hava boşluğunun arkasına konulması en zor şey ajan iş yükleridir ve bunu taahhüt vermeden önce bilmekte fayda vardır. Bir ajanın değeri büyük ölçüde ulaşabildiği araç kümesinden gelir; kapalı bir ortamda bu küme, şemalarının bakımını elle yaptığınız iç sistemlerle sınırlıdır. Güvenlik tablosu da değişir: üretim ortamındaki yapay zeka ajanlarını uslu tutan şeyin önemli bölümü, taze saldırı desenlerinden beslenen hızlı güvenlik bariyeri yinelemesidir ve bu döngüyü az önce üç aya yavaşlattınız. Gerekiyorsa model sunumunu hava boşluğuna alın, ama ajan yüzeyini bilinçli olarak dar tutun ve insan onayı adımını zorunlu bırakın. Dar bir ajan yüzeyi, üç ayda bir güncellenen bir ortamda çok daha kolay savunulur.

Tedarikçiden Çıkış (vendor exit) Bir Egemenlik Sorusudur

Egemenlik, ayrılabilme yeteneğini de içerir ve bu yetenek, kimse sözleşmeyi açmadan çok önce sıradan mühendislik kararlarıyla kazanılır veya kaybedilir. Taşınabilir tutulması en kolay ve en sık ihmal edilen varlık istemlerdir: uygulama koduna gömülü değil, sürüm kontrolünde veri olarak tutun ve modele özgü biçimlendirmeyi bir adaptör arkasında yalıtın. Değerlendirme setleri daha da önemlidir, çünkü yerine geçecek modelin yeterince iyi olduğunu kanıtlamanızı sağlayan şey onlardır. Değerlendirmeniz bir tedarikçinin platformu içinde yaşıyorsa ve etiketleri ile puanları bozulmadan dışarı alınamıyorsa, geçiş yapmayı sessizce bir göç işi olmaktan çıkarıp araştırma projesine dönüştürmüşsünüz demektir. Bu iki varlık taşınabilir olduğunda tedarikçi değişimi haftalarla, olmadığında aylarla ölçülür.

Pahalı olanı embedding bağımlılığıdır ve nadiren fiyatlandırılır. Erişim indeksiniz tescilli bir embedding modeliyle kurulduysa o vektörler yalnızca o model için anlamlıdır ve başka bir modelin vektörleriyle karıştıramazsınız. Geçiş, derlemin tamamını yeniden embedding'den geçirmek ve indeksi baştan kurmak demektir. Birkaç milyon parça büyüklüğündeki bir derlem için bu tipik olarak bir ila dört günlük GPU zamanı ve erişim kalitesi için bir yeniden ayarlama döngüsü anlamına gelir; üstelik bunun eski indeks trafiği sunmaya devam ederken yapılması gerekir. Kendiniz barındırabileceğiniz açık ağırlıklı bir embedding modeli bu bağımlılığı tamamen kaldırır; genellikle ölçülebilir ve ödemeye değer, mütevazı bir kalite bedeliyle.

Üçüncü tuzak ince ayar çıktılarıdır. Yönetilen platformların çoğunda, eğitmek için para ödediğiniz adaptör indirebileceğiniz bir dosya değildir; yalnızca sunulan bir uç nokta olarak vardır ve gerçekte sahip olduğunuz şey eğitim verinizle bir tariften ibarettir. Başlamadan önce ağırlıkları teslim alıp almayacağınızı sorun. Sonra çıkış maddelerini okuyun: bildirim süresi, veri iade biçimi ve penceresi ki otuz ila doksan gün tipiktir, silme sertifikası ve tedarikçi temel modeli kullanımdan kaldırırsa ince ayarlı çıktılarınıza ne olacağı. Bu sorulara belirsiz yanıt veren bir tedarikçi, ilişkinin gerçekte ne kadar egemenlik sunduğu konusunda size işe yarar bir şey söylüyordur.

Mevzuat Teması: AB Yapay Zeka Yasası ve Türkiye

Avrupa Birliği'ne satış yapıyor, AB pazarına sistem sunuyor veya çıktılarınız orada kullanılıyorsa AB Yapay Zeka Yasası konuşlandırma kararlarınıza uzanır. Yasa, (AB) 2024/1689 sayılı Tüzük'tür. 1 Ağustos 2024'te yürürlüğe girmiş ve istisnalarla birlikte 2 Ağustos 2026'da uygulanmaya başlamıştır. Beşinci maddedeki yasaklı uygulamalara ilişkin kurallar ve yapay zeka okuryazarlığı yükümlülükleri 2 Şubat 2025'ten bu yana uygulanıyor; genel amaçlı yapay zeka modeli sağlayıcılarına ilişkin 51 ila 56. madde yükümlülükleri ise 2 Ağustos 2025'ten bu yana yürürlükte. Bunların hiçbiri nerede barındırdığınıza bağlı değildir; hizmet ettiğiniz pazarı takip eder ve kurum içi kurulum bu nedenle tek başına bir uyum yanıtı değildir.

Yüksek riskli sistemlere ilişkin takvim değişti ve yayımlanmış rehberliğin büyük bölümü bunu henüz yakalayamadı. Yapay Zeka Dijital Omnibus'u olan 8 Temmuz 2026 tarihli (AB) 2026/1744 sayılı Tüzük, 24 Temmuz 2026'da AB Resmi Gazetesi'nde yayımlandı ve 27 Temmuz 2026'da yürürlüğe girerek (AB) 2024/1689, (AB) 2018/1139 ve (AB) 2023/1230 sayılı Tüzükleri değiştirdi. Ek III kapsamındaki bağımsız yüksek riskli kategorileri, yani biyometri, kritik altyapı, eğitim, istihdam, göç, iltica ve sınır kontrolünü, 2 Ağustos 2026'dan 2 Aralık 2027'ye erteledi; asansör, oyuncak ve makine gibi Ek I kapsamındaki ürüne gömülü yüksek riskli sistemlerin ise 2 Ağustos 2028'den itibaren uygulanmasını öngördü.

Buradan iki düzeltme çıkıyor. Birincisi, yüksek risk yükümlülüklerinin 2 Ağustos 2026'dan itibaren tam olarak uygulandığını söyleyen her sayfa güncelliğini yitirmiştir; ikincil özetler yerine Avrupa Komisyonu'nun yapay zeka düzenleyici çerçeve sayfalarına ve değiştiren tüzüğün EUR-Lex metnine bakın, tarihsiz uyum yazılarına ise temkinli yaklaşın. İkincisi, 50. maddedeki şeffaflık yükümlülükleri ertelenmedi ve planlandığı gibi 2 Ağustos 2026'da yürürlüğe girdi. 50(2). madde, halihazırda piyasada olan sistemler için sentetik içerik işaretlemesinde 2 Aralık 2026'ya kadar bir geçiş süresi tanıyor; omnibus ile getirilen yeni yasaklar da aynı tarihe kadar geçiş süresine sahip. AB Yapay Zeka Yasası takvimini tarih sırasıyla ayrı bir yazıda topladık.

Türkiye'de yürürlükte özel bir yapay zeka kanunu yoktur. Düzenleme, mevcut araçların uygulanmasıyla yürüyor: kişisel verilerin korunmasına ilişkin 6698 sayılı Kanun, Türk Ceza Kanunu, 5651 sayılı Kanun ve Türk Ticaret Kanunu. Türkiye Büyük Millet Meclisi'ne çeşitli kanun teklifleri sunuldu ve hiçbiri yasalaşmadı; dolayısıyla belirli bir gelecek düzenlemeye göre planlama yapmak strateji değil spekülasyondur. KVKK, üretken yapay zeka ve kişisel verilerin korunmasına ilişkin bir rehber yayımladı; bu bağlayıcı bir düzenleme değil rehberliktir, ancak denetleyici beklentilerin makul bir ifadesidir. Pratik duruş, halihazırda tabi olduğunuz KVKK yükümlülüklerine göre inşa etmek ve AB Yapay Zeka Yasası'nın isteyeceği belgeleri baştan tutmaktır; çünkü bunu sonradan eklemek daha pahalıya mal olur.

HatsonTech Bu İşe Nasıl Yaklaşıyor

Bir egemenlik çalışmasında ilk teslim ettiğimiz şey mimari değil, bir haritadır. Yapay zekaya dokunan her veri akışını, yükün bir sınırı geçtiği noktaya kadar izliyoruz; içindeki kişisel veriyi işaretliyoruz, aktarımın gerçekleştiği her yerde 9. madde kapsamındaki hukuka uygun yolu adlandırıyoruz ve bu akışların hangilerinin bugün kayıtlardan gerçekten yeniden kurulabileceğini not ediyoruz. Orta ölçekli bir envanterde bu çalışma tipik olarak iki ila dört hafta sürüyor ve düzenli olarak iki şey buluyor: hassas sanılan ama hiç kişisel veri içermeyen iş yükleri ve kimsenin envantere almadığı, genellikle bir ekibin satın alma sürecinden geçmeden benimsediği bir araçta duran bir iki sessiz akış.

Gerçekten kurum içinde kalması gereken iş yükleri için açık ağırlıklı modelleri, kamuya açık bir kıyaslama seti yerine müşterinin kendi belgelerinden kurulmuş bir Türkçe değerlendirme setine karşı seçiyoruz; tokenizasyon verimliliğini o derlem üzerinde ölçüyoruz ve kesinlikle işe yarayacak en büyük modelden önce, işe yarayabilecek en küçük modeli deniyoruz. Genel bir model alan sözcük dağarcığında yeterince isabetli değilse bir sonraki adım müşteri verisiyle uyarlamadır ve yaptığımız büyük dil modeli eğitimi ve ince ayar işi tam olarak budur. Bu genellikle tam yeniden eğitim değil, iyi etiketlenmiş mütevazı bir set üzerinde parametre verimli uyarlamadır; çünkü işe yarayıp yaramadığını belirleyen şey değerlendirme setidir.

Sık sık hayır da diyoruz. Bir iş yükü dalgalı, düşük hacimli ve kişisel veriden arınmışsa, onu kendi kendinize barındırmak kiralayabileceğiniz bir şey için donanıma ve personele para harcamanın yoludur; oradaki dürüst tavsiye, maskeleme katmanı ve yazılı bir değişiklik yönetimi maddesi olan bir API uç noktasıdır. Gereksinim gerçekten hava boşluğuysa, ilk gün kurulumunu değil operasyonel gerçeği fiyatlandırıyoruz: üç aylık içeri aktarımlar, bakımını sizin üstlendiğiniz bir değerlendirme koşumu ve tedarikçi telemetrisinin hiç olmaması. Bu programlar aslında orada başarılı ya da başarısız oluyor. Egemenlik, tam olarak neyi koruduğunu adlandırabildiğinizde ödemeye değer bir şeydir.