Dolandırıcılık ekibi bir model istiyor. Hukuk birimi ise gerçek işlem geçmişlerini kullanmak için bir hukuki sebep bulamıyor. Bir sonraki toplantıda popüler çözüm masaya geliyor: gerçek veri setini “istatistiksel olarak birebir yansıtan” sentetik bir set üretip modeli onunla eğitmek. Böylece gizlilik sorunu ortadan kalkıyor. Peki gerçekten kalkıyor mu? Sentetik veri gerçekten faydalıdır; ancak ona eşlik eden hukuki iddia (“bu kişisel veri değil”), ekiplerin çoğunun hiç kontrol etmediği koşullara bağlıdır.
Sentetik veri nedir ve hukuken hangi iki aşama önemlidir?
Sentetik veri, kaynak veri setindeki kayıtları kopyalamadan onun istatistiksel özelliklerini koruyan, yapay olarak üretilmiş veridir. Hukuken iki ayrı işleme aşaması vardır ve ekipler genellikle yalnızca ikincisini değerlendirir. Birinci aşama: sentetik setin üretilmesi, gerçek kişisel verilerin işlenmesini gerektirir. Bunun için hukuki sebep ve amaçla uyumluluk analizi gerekir; özel nitelikli verilerde ise çok daha fazlası. İkinci aşama: sentetik çıktının kullanılması. Bu aşama, ancak çıktı gerçekten anonimse veri koruma mevzuatının dışında kalır.
Sentetik verinin geçmesi gereken anonimlik testi
Sentetik olması, anonim olduğu anlamına gelmez. Kayıtlar tek tek ayırt edilebiliyor, kaynak kayıtlarla eşleştirilebiliyor ya da kişilere ilişkin özellikler çıkarılabiliyorsa, çıktı kişisel veridir. Üretken modellerin veriyi ezberlediği bilinmektedir: nadir kombinasyonlar ve aykırı değerler kaynaktan çıktıya sızar. Uygulamadaki ölçüt, anonimleştirme testine paraleldir: benzerlik ve üyelik çıkarımı (membership inference) kontrollerini çalıştırın, aykırı değerleri nasıl ele aldığınızı belgeleyin ve tedarikçilerin “gizlilik garantilerini” olduğu gibi aktarılacak bir gerçek olarak değil, doğrulanması gereken bir iddia olarak görün. Diferansiyel gizlilik bütçesiyle üretilmiş ve yeniden kimliklendirme testinden geçmiş bir set, savunulabilir bir zemine sahiptir. Ham müşteri tablosu üzerinde bir gecede eğitilmiş bir GAN ise bu zemini sağlamaz.
Türk startuplarında nerede işe yarar?
Üç alanda gerçekten fayda sağlar. Test ve geliştirme: canlı ortamdaki verinin staging’e kopyalanmasına KVKK’ya uygun bir alternatif; bu kopyalama, Türkiye’deki denetimlerde sık karşılaşılan bir bulgudur. Paylaşım: yatırımcılara, iş ortaklarına veya yurt dışındaki geliştirme ekiplerine, yurt dışına aktarım kurallarını devreye sokmadan “veri görünümünde” materyal sunmak (anonimlik çalışması yapılmışsa). Model eğitimi: az temsil edilen sınıfları zenginleştirmek ve gerçek veri için hukuka uygun bir süreç kurmadan önce prototip geliştirmek. Kaçınılması gereken uygulama ise sentetik veriyi bir aklama aracı olarak kullanmaktır: hukuka aykırı toplanmış veriden sentetik veri üretip temiz bir sayfa açıldığını iddia etmek. İlk işlemenin hukuka aykırılığı bu yolla ortadan kalkmaz.
Üç kimliksizleştirme yönteminin karşılaştırması
| Yöntem | Hâlâ kişisel veri mi? | En uygun kullanım | Sık yapılan hata |
|---|---|---|---|
| Takma adlaştırma | Evet, her zaman | Kendi sistemleriniz içinde bir güvenlik önlemi | Tedarikçi sunumlarında anonimleştirmeymiş gibi anlatılması |
| Anonimleştirme | Geri döndürülemiyorsa hayır | İstatistik yayımlama, veri seti paylaşımı | Küçük grupların yeniden kimliklendirilebilmesi; “isimleri sildik” iddiaları |
| Sentetik veri üretimi | Yalnızca çıktı anonimlik testini geçerse hayır | Test verisi, paylaşım, sınıf zenginleştirme | Modelin aykırı değerleri ezberlemesi; üyelik çıkarımı testinin hiç yapılmaması |
Adım adım savunulabilir bir süreç
Dolandırıcılık modeli örneğinin hukuka uygun versiyonu şöyle işler: (1) üretim aşamasındaki işleme için belgelenmiş bir hukuki sebep; amaç gizliliği korumak olduğundan bu genellikle kayıt altına alınmış bir denge testiyle desteklenen meşru menfaattir; (2) sızan kayıtlar nadir kayıtlar olduğundan, üretici model eğitilmeden önce aykırı değerlerin ayıklanması; (3) tedarikçi destekliyorsa diferansiyel gizlilik bütçesiyle üretim; (4) çıktı üzerinde, eşikleri önceden belirlenmiş üyelik çıkarımı ve en yakın kayıt benzerliği testleri; (5) bunların tamamını kaydeden tek sayfalık bir veri seti föyü. Dördüncü ve beşinci adımlar, bir mühendislik iddiasını hukuki bir pozisyona dönüştüren adımlardır. “Bu veri gerçekten anonim mi?” sorusu geldiğinde KVKK Kurulu’na, bir GDPR denetim otoritesine ya da due diligence ekibine sunacağınız belgeler bunlardır.
Sentetik veri GDPR/KVKK kapsamında anonim midir?
Ancak her anonimleştirme iddiası gibi aynı yeniden kimliklendirme analizinden geçerse. “Sentetik” nitelemesinin tek başına hukuki bir değeri yoktur.
AI Act bu konuda bir şey söylüyor mu?
Evet. Yüksek riskli sistemlerin veri yönetişimi yükümlülükleri arasında sentetik ve anonimleştirilmiş veriyi açıkça seçenekler arasında sayıyor. Ertelenen rejim Aralık 2027’de yürürlüğe girdiğinde, belgelenmiş üretim süreçleri uyum açısından önemli bir avantaj olacak.
Bu hafta yapılması gerekenler
Şu anda staging’e kopyaladığınız ya da dışarıyla paylaştığınız bir veri setini seçin. Bunun yerine sentetik bir set kullanmanın maliyetini hesaplayın: üretim için gereken hukuki sebep, bir üyelik çıkarımı testi ve tek sayfalık bir dokümantasyon. “Sentetik veri kullanıyoruz” cümlesini pazarlama söyleminden hukuki bir savunmaya dönüştüren, işte o sayfadır.
İlgili: takma adlaştırma · Yapay Zeka Uyum Merkezi.
Kaynak. 6698 sayılı Kişisel Verilerin Korunması Kanunu. Kanun bağlantıları mevzuat.gov.tr üzerindeki güncel resmî metinlere gider.
