LLM Sağlayıcı Veri Saklama Politikaları Karşılaştırması
LLM sağlayıcı veri saklama politikaları: OpenAI, Anthropic, Google, Azure ve AWS Bedrock'ta eğitim kullanımı, saklama süresi, sıfır saklama ve bölge.
LLM sağlayıcı veri saklama politikasında beş soruya bakılır: veri eğitimde kullanılıyor mu, istem ve yanıtlar ne kadar tutuluyor, kötüye kullanım izleme için kim neyi ne kadar saklıyor, sıfır saklama seçeneği var mı ve veri hangi bölgede işleniyor. Büyük sağlayıcıların kurumsal API'leri varsayılan olarak veriyi eğitimde kullanmıyor, ama saklama süreleri, insan incelemesi ve istisnalar sağlayıcıdan sağlayıcıya değişiyor. Politikayı okumak yetmez, ayarı sözleşmeyle ve teknik kontrolle doğrulayın.
LLM sağlayıcı veri saklama politikasında hangi beş soruya bakılır?
Sağlayıcıya gönderilen her istem bir veri kopyası oluşturabilir. Bu kopyanın ne olacağını beş soru belirler:
- Eğitim kullanımı: İstem, yanıt ya da geri bildirim modellerin eğitiminde veya iyileştirilmesinde kullanılıyor mu?
- Standart saklama: İstem ve yanıtlar, dosyalar ve konuşma geçmişi ne kadar süre tutuluyor?
- Kötüye kullanım izleme: Politika ihlali şüphesinde hangi içerik saklanıyor, ne kadar süre ve kim inceliyor?
- Sıfır saklama: Hiç kalıcı kayıt tutulmayan bir seçenek var mı, hangi koşullarla?
- Bölge: Veri hangi ülkede işleniyor ve depolanıyor?
Beşinci soru KVKK açısından doğrudan önemlidir. Kişisel veri yurt dışındaki bir sağlayıcıya gidiyorsa 6698 sayılı Kanun'un 2024'te değişen 9. maddesi uygulanır. Yeterlilik kararı yoksa standart sözleşme gibi uygun güvencelerden biri gerekir ve standart sözleşme imzadan sonra beş iş günü içinde Kurul'a bildirilir.
Büyük sağlayıcılar Ekim 2026 itibarıyla ne taahhüt ediyor?
Aşağıdaki tablo, sağlayıcıların kurumsal API ve bulut hizmetleri için resmî politika sayfalarından Ekim 2026 itibarıyla derlenmiştir. Tüketici uygulamaları bu tabloya dahil değildir. "Belirtilmemiş" yazan hücrelerde resmî sayfada açık bir değer bulunmadığı için sözleşme aşamasında yazılı cevap isteyin.
| Sağlayıcı ve hizmet | Eğitimde kullanım | Standart saklama | Kötüye kullanım izleme | Sıfır saklama | Bölge |
|---|---|---|---|---|---|
| OpenAI API | Açık katılım yoksa hayır | Uç noktaya ve store ayarına göre değişir | Kayıtlar en çok 30 gün | ZDR ve değiştirilmiş izleme, OpenAI onayıyla | ABD, Avrupa ve BAE'de bölgesel depolama ve işleme, ek koşullarla |
| Anthropic API | Ticari ürünlerde varsayılan olarak hayır | Girdi ve çıktılar 30 gün içinde silinir | İşaretlenen içerik 2 yıla, sınıflandırma puanları 7 yıla kadar | Kuruluş bazında, satış ekibi üzerinden | Çıkarım global ya da yalnız ABD, kalıcı depolama ABD |
| Google Vertex AI | İzin ya da talimat olmadan hayır | Gemini modellerinde bellek içi önbellek 24 saat, proje düzeyinde kapatılabilir | İşaretlenen istemler 90 güne kadar, bazı gelişmiş modellerde 30 güne kadar | Muafiyet ve ayar koşullarıyla | Belirtilmemiş |
| Azure OpenAI, Microsoft Foundry | Hayır, OpenAI'a da iletilmez | Durumlu özellik verisi müşteri kaynağında, müşteri silebilir | İşaretlenen içerik müşterinin coğrafyasında saklanır, süre belirtilmemiş | Değiştirilmiş izleme, sınırlı erişim başvurusuyla | Seçilen coğrafya, Global ve DataZone dağıtımda daha geniş |
| AWS Bedrock | Model sağlayıcıları istem ve yanıtlara erişemez | Bölge bazında saklama modu: none, default, aws_review | İnsan incelemesi isteyen modellerde 30 güne kadar, AWS içinde | none modu, bazı modellerde onaya bağlı | Bölge bazında, bölgeler arası çıkarımda işleme bölgesinde |
Tablodan üç sonuç çıkar. Birincisi, kurumsal API'lerde eğitim kullanımı artık nadiren varsayılandır. İkincisi, asıl fark kötüye kullanım izlemededir: kimin, hangi içeriği, ne kadar süre ve insan gözüyle inceleyip incelemediği. Üçüncüsü, sıfır saklama hiçbir sağlayıcıda kendiliğinden açık değildir.
Google tarafında Gemini API ile Vertex AI ayrı şartlara tabidir. Gemini API'nin ücretli hizmetinde istem ve yanıtlar ürün geliştirmede kullanılmaz. Ücretsiz hizmette ise içerik ürün geliştirmede kullanılabilir ve insan incelemesine açıktır.
Kurumsal API ile tüketici uygulaması arasındaki fark nedir?
Aynı sağlayıcının kurumsal API'si ile tüketici uygulaması farklı kurallara tabidir. Google'ın Gemini API şartları bu farkı açıkça gösterir. Ücretsiz hizmette insan değerlendiriciler girdi ve çıktıları okuyabilir ve Google, ücretsiz hizmete hassas, gizli ya da kişisel bilgi gönderilmemesini önerir.
Kurum için sonuç şudur: Sözleşmeniz ancak sözleşmeli hesaptan yapılan kullanımı korur. Bir çalışan kişisel hesabından müşteri verisini bir sohbet uygulamasına yapıştırırsa kurumsal taahhütlerin hiçbiri geçerli olmaz. Bu yüzden onaylı araç listesi, kurumsal hesapların zorunlu kullanımı ve gölge kullanımın tespiti veri saklama politikasının ayrılmaz parçasıdır. Tespit yöntemleri için gölge yapay zekâ tespiti yazısına bakabilirsiniz.
Sıfır veri saklama gerçekten sıfır mı?
Sıfır saklama, seçilen kapsamda istem ve yanıtların kalıcı depolamaya yazılmaması demektir. Ama kapsam sınırlıdır ve istisnalar vardır:
- OpenAI'da sıfır saklama ve değiştirilmiş izleme OpenAI'ın onayına ve ek koşulların kabulüne bağlıdır. Sıfır saklama, Responses ve Chat Completions uç noktalarında
storeparametresini kapalı olmaya zorlar. - Vertex AI'da sıfır saklama için kötüye kullanım izleme muafiyeti, önbelleğin kapatılması ve bazı özelliklerden kaçınmak gerekir. Google Search ile temellendirmede kayıtlar üç güne kadar, Google Maps ile temellendirmede 30 gün tutulur ve bu depolama kapatılamaz.
- AWS Bedrock'ta bazı modeller güvenlik amacıyla saklama ister. Hesap
nonemodundayken bu modellere yapılan istek hata ile reddedilir. - Anthropic'te sıfır saklama kuruluş bazında sözleşmeyle etkinleştirilir. Konsol ve bazı ürünler kapsam dışında kalır.
Sağlayıcıdan "sıfır saklama" yazılı teyidi alırken uç nokta, özellik ve model listesini birlikte isteyin. Yeni bir model ya da özellik devreye alındığında bu listeyi yeniden kontrol edin.
Ayarların gerçekten uygulandığı nasıl doğrulanır?
Politika sayfası ve sözleşme bir taahhüttür. Hesabınızdaki ayar ise gerçekte ne olduğunu gösterir. Üç ayda bir şu kontrolleri yapın:
| Sağlayıcı | Kontrol | Beklenen sonuç |
|---|---|---|
| Azure OpenAI | Kaynağın JSON görünümünde ContentLogging yeteneği | Değiştirilmiş izleme onaylıysa false |
| AWS Bedrock | Bölgedeki hesap ve proje saklama modu | Kurum politikasına uygun mod, gerekirse none |
| Vertex AI | Proje düzeyinde veri önbelleği ve istek-yanıt kaydı | Sıfır saklama gerekiyorsa ikisi de kapalı |
| OpenAI API | Organizasyon ve proje veri kontrolleri, store kullanımı | Onaylı kontrol etkin, gereksiz depolama yok |
| Anthropic API | Sözleşmedeki saklama hükmü ve kuruluş ayarı | Sözleşmeyle uyumlu |
Azure tarafında Microsoft, kontrolün Azure CLI ile de yapılabileceğini belirtir:
az cognitiveservices account show -n <kaynak-adi> -g <kaynak-grubu>Çıktıdaki yetenek listesinde ContentLogging değeri yalnızca kayıt kapalıysa görünür ve false olmalıdır.
AWS Bedrock'ta saklama modunu kuruluş genelinde zorlamak için hizmet kontrol politikası (SCP) kullanılabilir. AWS'nin belgesindeki örnek, none dışındaki bir modun ayarlanmasını reddeder. Böylece bir ekibin farkında olmadan saklamayı açması önlenir.
Kişisel veri işleniyorsa sözleşmeye ne eklenmeli?
Politika sayfaları tek taraflı değişebilir. Kişisel veri işleniyorsa taahhütleri sözleşmeye ve veri işleme ekine taşıyın. 6698 sayılı Kanun'un 12. maddesine göre veri sorumlusu, verinin kendi adına işlenmesi halinde güvenlik tedbirlerinden işleyenle birlikte müştereken sorumludur. Asgari olarak şunları yazdırın:
- Eğitimde kullanım yasağı ve geri bildirimlerin durumu.
- Standart ve kötüye kullanım izleme saklama süreleri.
- İnsan incelemesinin kim tarafından ve hangi ülkede yapıldığı.
- Alt işleyici listesi ve değişiklikte ön bildirim.
- İhlal bildirim süresi. Kurul'un 2019/10 sayılı kararı, ihlalin Kurul'a en geç 72 saat içinde bildirilmesini ister. Sağlayıcının bildirimi bu süreyi tüketmemelidir.
- Politika değişikliğinden önce bildirim yükümlülüğü.
Madde dili ve pazarlık notları için yapay zekâ sözleşme maddeleri yazısına bakabilirsiniz.
Sağlayıcı seçimi için pratik süreç nedir?
Seçim tek bir sorudan değil, kısa bir değerlendirme sürecinden oluşur:
- Kullanım amacını ve işlenecek veri sınıflarını yazın.
- Kişisel veri ya da ticari sır işlenecekse saklama ve bölge şartlarını belirleyin.
- Yukarıdaki beş soruyu sağlayıcıya gönderin, cevapları yazılı alın.
- Cevapları politika sayfası ve sözleşmeyle karşılaştırın, çelişki varsa sözleşmeyi esas alın.
- Açık kalan riskler için telafi edici kontrol ekleyin.
- Kararı gerekçesiyle kayda geçirin ve yılda bir gözden geçirin.
En güçlü telafi edici kontrol veri minimizasyonudur. Sağlayıcıya hiç gitmeyen veri orada saklanmaz. Kimlik numarası, iletişim bilgisi ve sağlık verisi gibi alanları istemden önce maskelemek, sağlayıcı seçiminden bağımsız olarak riski düşürür. Yöntem için KVKK uyumlu PII maskeleme yazısına, sağlayıcıların genel güvenlik değerlendirmesi için AI tedarikçi risk değerlendirmesi yazısına bakabilirsiniz. Maskelemeyi ve sağlayıcı yönlendirmesini tek noktada toplamak isteyen kurumlar için LLM gateway mimarisi uygun bir yerdir.
Sık Sorulan Sorular
LLM sağlayıcısında veri saklama süresi neden önemlidir?
Sağlayıcıda tutulan her istem ve yanıt, bir ihlalde, hukuki bir saklama talebinde ya da yanlış yapılandırmada ifşa olabilecek bir veri kopyasıdır. Süre kısaldıkça maruziyet azalır. Standart saklama, kötüye kullanım izleme kayıtları ve özelliklere bağlı depolama farklı sürelere tabi olabilir. Üçünü ayrı ayrı sorun ve hesabınızdaki ayarla karşılaştırın.
Verilerimin eğitimde kullanılıp kullanılmadığını nasıl öğrenirim?
Sağlayıcının kurumsal veri kullanımı sayfasını ve sözleşmesini okuyun. OpenAI, Anthropic, Google Vertex AI ve Azure, kurumsal API verisini varsayılan olarak eğitimde kullanmadığını belirtir. Ücretsiz ya da tüketici hizmetlerinde kural farklı olabilir. Örneğin Gemini API'nin ücretsiz hizmetinde içerik ürün geliştirmede kullanılabilir. Hangi hesap türünü kullandığınızı ve geri bildirim düğmelerinin etkisini de kontrol edin.
Sıfır veri saklama gerçekten hiç kayıt tutulmadığı anlamına gelir mi?
Her zaman değil. Sıfır saklama çoğu sağlayıcıda onaya bağlıdır ve belirli uç noktalarla sınırlıdır. Bazı özellikler, örneğin web aramasıyla temellendirme, durumlu yanıt depolama ya da bazı yeni modeller, saklamayı gerektirebilir. Bu yüzden sıfır saklamanın hangi uç noktaları, özellikleri ve modelleri kapsadığını yazılı olarak isteyin ve teknik ayarı düzenli olarak doğrulayın.
Yurt dışındaki bir sağlayıcıya kişisel veri göndermek KVKK açısından ne gerektirir?
Kişisel veri yurt dışındaki bir sağlayıcıya gidiyorsa 6698 sayılı Kanun'un 9. maddesi uygulanır. Yeterlilik kararı yoksa standart sözleşme gibi uygun güvencelerden biri gerekir ve standart sözleşme imzadan sonra beş iş günü içinde Kurul'a bildirilir. Bölgesel işleme seçeneği riski azaltabilir, ama tek başına aktarım değerlendirmesinin yerini tutmaz. Hukuk biriminizle değerlendirin.
Bu politikalar ne sıklıkla kontrol edilmeli?
En az yılda bir ve her yeni model ya da özellik devreye alındığında. Politika sayfaları sık güncellenir. Örneğin Microsoft'un Azure veri gizliliği belgesinin değişiklik kaydında 2023'ten bu yana beş güncelleme yer alır. Sözleşmeye değişiklikten önce bildirim yükümlülüğü ekleyin, politika sayfalarının değişiklik kaydını izleyin ve hesap ayarlarını üç ayda bir teknik olarak doğrulayın.
Kaynaklar
- OpenAI: Data controls in the OpenAI platform
- Anthropic Privacy Center: How long do you store my organization's data?
- Google Cloud: Vertex AI generative AI data governance
- Google AI for Developers: Gemini API Additional Terms of Service
- Microsoft Learn: Data, privacy, and security for Foundry Models sold by Azure
- AWS: Amazon Bedrock data retention
İlgili Yazılar
Bu yazı, Türkiye odaklı Yapay Zekâ Güvenliği Rehberi'nin destek makalelerinden biridir.