Bankacılıkta ve sağlıkta veri yerelliği: iki mevzuat, iki ayrı soru

Düzenlemeye tabi bir kurumda yapay zeka kurulumu konuşulmaya başlandığında ilk soru neredeyse her zaman aynı oluyor: veri nerede duracak. Soru bu biçimiyle bir tercih gibi görünüyor, oysa bankacılık ve sağlık tarafında karşılığı mevzuat metnine yazılı bir koşul.

Bu yazı iki metni yan yana koyup mimari karşılığını çıkarıyor: model çıkarımı bir işleme adımı olarak nereye düşüyor, vektör indeksi ve gömme kayıtları hangi sınıfa giriyor, telemetri ile uzaktan destek kanalı neyi tetikliyor, yedek kopyalar hangi koşula tabi. Baştan iki şeyi söylemek gerekiyor. Birincisi, bu bir hukuki görüş değil; maddeler anıldığı hâliyle aktarılıyor, yorumlanmıyor. İkincisi, aşağıdaki metinlerin hiçbirinde model çıkarımı, gömme vektörü, vektör veritabanı ya da telemetri terimi geçmiyor — bileşenlerin nereye düştüğü, hükümlerin fiillerinin mimariye eşlenmesiyle çıkarılıyor ve yazıda böyle sunuluyor.

Veri yerelliği koşulunun mevzuattaki dayanakları

Sağlık tarafında dayanak Kişisel Sağlık Verileri Hakkında Yönetmelik: Resmî Gazete 21/6/2019, sayı 30808, Sağlık Bakanlığından; dayanağı 3359 sayılı Sağlık Hizmetleri Temel Kanunu ile 6698 sayılı Kişisel Verilerin Korunması Kanunu. Metin canlı — 4 Temmuz 2026 tarihli ve 33300 sayılı Resmî Gazete’de yayımlanan beş maddelik bir değişiklikle güncellendi.

Bu değişikliğin kapsamı dar: yalnızca 13 üncü maddenin ikinci fıkrasını ve yeni eklenen 13/A maddesini kapsıyor, konusu tanıların yeniden değerlendirilmesi usulü. Aktarım ve veri güvenliği maddeleri değişiklik metninde geçmiyor — yerellik rejimi 2019 metnindeki bağlantılarıyla sürüyor. KVKK tarafında 6698 sayılı Kanunun 9 uncu maddesi 2/3/2024 tarihli 7499 sayılı Kanunla yeniden düzenlenip 1/6/2024’te yürürlüğe girdi; usul ve esaslar 10 Temmuz 2024 tarihli ve 32598 sayılı Yurt Dışına Aktarım Yönetmeliğiyle belirlendi.

Bankacılıkta zincir üç halkalı. Kanun düzeyinde 5411 sayılı Bankacılık Kanununun 73 üncü maddesinin üçüncü fıkrasına 20/2/2020 tarihli 7222 sayılı Kanunla eklenen cümleler, Kurulu “bilgi sistemleri ve bunların yedeklerinin yurt içinde bulundurulması hususunda karar almaya yetkilidir” kılıyor. Yönetmelik düzeyinde BDDK’nın Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmeliği var: Resmî Gazete 15/3/2020, sayı 31069. Üçüncü halka tanım düzeyinde: birincil ve ikincil sistem tanımları bu Yönetmelikte değil, İSEDES Yönetmeliğinin (Resmî Gazete 11/7/2014, sayı 29057) 3 üncü maddesinde; orada birincil sistemler altyapı, donanım, yazılım ve veriden oluşan sistemin tamamını ifade ediyor.

İki metnin doğrudan söyledikleri

Sağlık tarafındaki hüküm coğrafyayı hiç anmıyor. Yönetmeliğin 15 inci maddesinin birinci fıkrası, kişisel sağlık verilerinin yurt içinde aktarımında 6698 sayılı Kanunun 8 inci maddesine, yurt dışına aktarımında 9 uncu maddesine riayet edileceğini söylüyor. Yerellik burada dolaylı kuruluyor: hüküm bir ülke adı vermiyor, aktarım rejimine yolluyor.

Aynı maddenin ikinci fıkrası, kamu kurum ve kuruluşlarına aktarım için protokol düzenlenmesini arıyor; aktarım, teknik altyapının uygun olması hâlinde KamuNET üzerinden gerçekleştiriliyor. Kurumun kendi kurulumu tek başına durmuyor; bir ekosisteme bağlanıyor.

Bankacılık tarafındaki hüküm tam tersi biçimde yazılmış. Yönetmeliğin 25 inci maddesinin birinci fıkrası tek cümle: “Bankaların birincil ve ikincil sistemlerini yurt içinde bulundurmaları zorunludur.” Bu doğrudan bir coğrafya kuralı: aktarım rejimine yollama yapmıyor, maddenin beş fıkrasında Kurul izni, Kurum onayı veya muafiyet yolu geçmiyor.

Asıl bulgu bundan sonra geliyor: bankacılığın da coğrafi olmayan bir ön sorusu var. Bir bileşen için yurt içi sorusundan önce, birincil sistem kapsamına girip girmediği soruluyor. Aynı maddenin üçüncü fıkrası kapsam dışında kalmayı üç koşulun birlikte sağlanmasına bağlıyor: sistem üzerinden herhangi bir iş süreci yürütülmemesi ve hassas veri ya da sır kapsamına girebilecek verilerin “işlenmemesi, iletilmemesi ve saklanmaması”.

İki ayak farklı yollardan aynı yere çıkıyor. Sağlıkta soru aktarım, bankacılıkta kapsam. Hiçbirinde soru “veri hangi ülkede duruyor” biçiminde başlamıyor — ülke, ilk soru cevaplandıktan sonra gelen ikinci sorudur.

Model çıkarımı bir işleme adımı olarak nereye düşer

Model çıkarımı mevzuatta tanımlı bir kavram değil; buradaki eşleme mimari bir okuma. Çıkarım pratikte bir işleme adımıdır ve bağlam penceresine giren her kayıt bir erişim olayıdır. Erişimin ölçütü ise sağlık yönetmeliğinde yazılı: 6 ncı maddenin birinci fıkrası, sağlık hizmeti sunumunda görevli kişilerin verilere yalnızca “verilecek sağlık hizmetinin gereğiyle sınırlı” olarak erişeceğini söylüyor.

Aynı maddenin üçüncü fıkrası bu sınırı süreyle de tanımlıyor: e-Nabız hesabı bulunmayan kişilerde erişim sağlık hizmeti sunucusundaki hekimler için yirmi dört saat, yatan hastada taburcu olana kadar tanımlı. Mimari karşılığı: bağlam penceresine hangi kaydın hangi süre boyunca girebileceği sistemde tanımlı olmalı. Bu retrieval katmanında uygulanıyor — kimin neyi görebildiğinin indekse nasıl taşınacağı “RAG mimarisinde erişim kontrolü: kim neyi görebilir?” yazısında ele alındı.

Açık rıza olmadan işlemeye imkân veren bent de dar: 6698 sayılı Kanunun 6 ncı maddesinin üçüncü fıkrası, sağlık amaçlı işlemeyi sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca ve sayılı amaçlarla mümkün kılıyor. Bankacılıkta ise üçlü ölçüt burada doğrudan uygulanıyor: çıkarım bir iş sürecinin parçasıysa ve girdi sır kapsamındaysa, bileşen kapsam sorusunu geçemez.

KVKK’nın Nisan 2025 tarihli yapay zeka tavsiyeleri iki mimari çıktı veriyor: aynı sonuca kişisel veri işlenmeksizin ulaşılabiliyorsa anonim hâle getirme yöntemlerinin tercih edilmesi ve paydaşların veri sorumlusu ya da veri işleyen statülerinin proje başında belirlenmesi. Kurumun kendi salonundaki bir kurulumda bu soruların çoğu tek bir mimari kararla kapanıyor.

Vektör indeksi, gömme ve önbellek kayıtlarının sınıflandırılması

Vektör veritabanı, gömme ve önbellek de mevzuatta geçmeyen kavramlar. Ama sağlık yönetmeliğinin kendi ayrımı bu bölümün omurgasını kuruyor: “kimliksizleştirme” ile “anonim hâle getirme” aynı şey değil ve metinde ayrı maddelerde duruyorlar.

7 nci maddenin birinci fıkrası kimliksizleştirmeyi tarif ediyor: merkezi sağlık veri sistemine kimliksizleştirilerek gönderilen veriler, ilişkisel veri tabanı aracılığıyla ait oldukları kişilerle eşleştirilir. Kayıt yeniden eşleşebilir durumda ve fıkra bu yetkiyi sayıyla sınırlıyor — her birim amiri kendi biriminden en fazla üç kişinin yetkilendirilmesini talep edebiliyor. 16 ncı madde ise anonim hâle getirilmiş verilerle bilimsel çalışma yapılmasını ayrı bir rejime bağlıyor.

Eşleme buradan çıkıyor. Bir gömme vektörü ilgili kayıtla yeniden eşleşebiliyorsa, kimliksizleştirilmiş kaydın tarafındadır: türev kayıt kaynak kaydın rejimini takip eder. Yeniden eşleştirme yetkisinin sayıyla sınırlanmasının sistem tarafındaki karşılığı da açık: eşleme tablosuna erişim dar ve sayılı tutulur. Aynı okuma önbellek ve ara çıktılar için de geçerlidir.

2026 değişikliği bu tartışmaya doğrudan bir soru ekliyor. 13 üncü maddenin yeni ikinci fıkrası, ilgili başvuruyla sınırlı olmak üzere Genel Müdürlükçe tesis edilen işlemin sağlık hizmeti sunucusunun kendi veri tabanında da gerçekleştirileceğini yazıyor. Bir kayıt üzerinde tesis edilen işlemin türev kayıtlara — indekse, gömme vektörüne, önbelleğe — nasıl yayılacağı mimaride baştan cevaplanmalı.

Telemetri, uzaktan destek ve sağlayıcıyla paylaşılan veriler

Bu bölümün ölçütü KVKK’nın Ocak 2025 tarihli Yurt Dışına Aktarım Rehberinde. Rehber aktarımı üç ölçütle tanımlıyor: aktaranın Kanuna tâbi olması, verilerin iletilmesi veya başka bir suretle erişilebilir hâle getirilmesi, alıcının üçüncü bir ülkede olması. Kritik olan ikinci ölçüt; Rehber mevcut hesaba erişim hakkı verilmesini ve uzaktan erişim talebinin onaylanmasını örnek sayıyor.

Rehber aynı kapsamda sağlayıcının destek ve yönetim amaçlı uzaktan bağlanmasıyla yurt dışındaki bir bulutta depolamayı birlikte değerlendiriyor. Üçüncü bir ülkeden uzaktan erişim, veri yalnızca ekranda görüntülense dahi aktarım sayılıyor; ölçüt verinin kopyalanması değil, kanalın kendisi.

Bunun mimari karşılığı doğrudan: aynı ölçüt telemetri kanalına, lisans doğrulama trafiğine ve model güncelleme kanalına da uygulanır; bu kanallar varsayılan olarak kapalı tutulup tek tek açılır. Bankacılıkta paralel hüküm var: Yönetmeliğin 10 uncu maddesi, müşteri sırrı bilgilerinin kanıtlanabilir bir müşteri talebi olmadan yurt içindeki ve yurt dışındaki üçüncü kişilerle paylaşılamayacağını söylüyor — ayrım coğrafya değil, talebin varlığı. Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmelik (Resmî Gazete 4/6/2021, sayı 31501) mimari bir ölçüt ekliyor: paylaşım metotları mümkün olan en az veri kopyası oluşturacak şekilde kurgulanır. Aynı Yönetmelik, sağlık ve cinsel hayata ilişkin verilerin müşteri sırrı olsa dahi istisna hâllerine dayanılarak paylaşılamayacağını yazıyor.

Bir aktarım oluştuğunda üç kademeli yapı devreye giriyor. 6698 sayılı Kanunun 9 uncu maddesine göre önce Kurulun yeterlilik kararı aranıyor. Yeterlilik kararı yoksa dört uygun güvenceden biri geliyor: Kurulca ilan edilen standart sözleşme, yazılı taahhütname ve Kurul izni gibi. Bunlar da yoksa aktarım ancak arızi olmak kaydıyla mümkün. Belge yükü mimari bir maliyet kalemi: standart sözleşmenin metni değiştirilmeden kullanılıyor ve imzalardan itibaren beş iş günü içinde Kuruma bildiriliyor.

Yedekleme ve iş sürekliliği kopyalarının yerleşimi

Tek cümlelik ilke şu: kopya, kaynağın rejimini taşır. Bankacılıkta bu ilke metnin kendisinde yazılı. Yönetmeliğin 25 inci maddesinin ikinci fıkrası, “birincil sistemlerin her türlü yedeği ikincil sistemler olarak kabul edilir” diyor ve bunları birinci fıkra hükmüne tabi kılıyor. Yedeğin kaçıncı kopya olduğuna bakılmıyor; “bir kopya yurt içinde dursun yeter” okuması metinde karşılık bulmuyor.

Banka, yedeklerin hangi ortam ve konumlarda tutulduğunu güncel durumu yansıtacak şekilde kayıt altına almakla yükümlü. İkincil merkezin birincil merkezle aynı coğrafi etkilere açık olmaması esas alınıyor — yani coğrafi ayrışma aranıyor, ama ayrışma yurt içi sınırları içinde kuruluyor.

Model ağırlıkları ve gömme indeksleri açısından doğrudan karşılığı olan hüküm senkronizasyonla ilgili: birincil merkezdeki güncelleme, yama ve konfigürasyon değişiklikleri ikincil merkezdeki yedeklerde de uygulanıyor ve bütünlük kontrolleriyle eşitlik doğrulanıyor. Süre ölçütü de tanımlı — en geç yirmi dört saat içinde faaliyetlerin yeniden sürdürülebiliyor olması esas alınıyor ve yılda en az bir kez ikincil merkez üzerinden test yapılması isteniyor.

Sağlık ve özel nitelikli veri tarafında kopya taşımanın kuralları Kişisel Verileri Koruma Kurulunun 31/01/2018 tarihli ve 2018/10 sayılı Kararında: farklı fiziksel ortamlardaki sunucular arasında VPN veya sFTP, taşınabilir ortamda kriptografik şifreleme ve anahtarın farklı bir ortamda tutulması. Anahtarın kopyayla birlikte taşınmaması bu bölümün en somut mimari kuralı. Türev kayıtlar da yedekleme kapsamının içinde: vektör indeksi, gömme kayıtları ve önbellek.

Üç dağıtım modeli, tek kontrol listesi

Üç model var: yurt dışındaki bir servise API üzerinden bağlanan kurulum, yurt içinde barındırılan yönetilen kurulum, kurumun kendi salonundaki Yerel (On-Premise) Yapay Zeka Sunucu Sistemleri. Üçü aynı beş soruyla okunuyor.

• Bir aktarım oluşuyor mu — Rehberin üç ölçütünde veri yalnızca ekranda görüntülense dahi cevap değişebiliyor.
• Uzaktan erişim kanalı var mı — destek ve yönetim kanalları aktarım kapsamında değerlendiriliyor.
• Sonraki aktarımlar nereye gidiyor — 6698 sayılı Kanunun 9 uncu maddesi orada da aynı güvenceleri arıyor.
• Hangi güvence belgesi gerekiyor — bağlayıcı şirket kurallarında aktarıma ancak Kurul onayından sonra başlanabiliyor.
• Anahtarlar ve işlem kayıtları nerede duruyor — konum, modelin nerede çalıştığından bağımsız bir koşul.

Bankacılıkta zincir hükmü belirleyici: dış hizmet alınırsa sağlayıcının o hizmette kullandığı “bilgi sistemleri ve bunların yedekleri de birincil ve ikincil sistemler kapsamında ele alınır”. Bankalar için Yönetmeliğin 25 inci maddesindeki yurt içi bulundurma koşulu, sermaye piyasası kurumları için Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10), sigortacılık ve özel emeklilik için Sigortacılık ve Özel Emeklilik Sektörlerinde İç Sistemlere Dair Yönetmelik benzer koşulu taşıyor.

Özel nitelikli veride aranan “yeterli önlemler” ile yurt dışına aktarımda aranan “uygun güvenceler” aynı şey değil: birincisi verinin sınıfından, ikincisi gittiği yerden doğuyor.

• Kurul kararı gereği kriptografik muhafaza, anahtarların farklı ortamlarda tutulması, hareketlerin loglanması.
• Uzaktan erişimde en az iki kademeli kimlik doğrulama ve düzenli testler.
• Bankacılıkta ikincil merkez kapsamına alınan ve alınmayan varlıkların iki ayrı liste hâlinde belgelenmesi.
• Her bilgi varlığı için konum ve güvenlik sınıfının envanterde yer alması; sınıflar iki yılı aşmayan aralıklarla gözden geçiriliyor.

Aynı yerellik sorusu vergi tarafında hüküm düzeyinde coğrafya diyor; karşılığı “e-Belge: doğrudan entegrasyon mu, özel entegratör mü?” yazısında ele alındı. Kurumun kendi salonundaki kurulum soruyu en erken noktada kapatıyor: aktarım oluşmadığında üç kademeli güvence yapısı hiç devreye girmiyor.

Bu yazı mevzuat metinlerini anıldığı hâliyle aktarır; hukuki görüş içermez. Metinler değiştiği için planlamadan önce resmigazete.gov.tr, mevzuat.gov.tr ve kvkk.gov.tr üzerindeki güncel metne bakılmalıdır.

Kaynaklar

• Kişisel Sağlık Verileri Hakkında Yönetmelik — Sağlık Bakanlığı, Resmî Gazete 21/6/2019, sayı 30808 (md. 6, 7, 15, 16)
• Kişisel Sağlık Verileri Hakkında Yönetmelikte Değişiklik Yapılmasına Dair Yönetmelik — Resmî Gazete 4/7/2026, sayı 33300 (md. 13/2 ve yeni md. 13/A)
• 6698 sayılı Kişisel Verilerin Korunması Kanunu — md. 6 ve md. 9 (Değişik: 2/3/2024-7499)
• Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik — Kişisel Verileri Koruma Kurumu, Resmî Gazete 10/7/2024, sayı 32598 (md. 12-14)
• Kişisel Verilerin Yurt Dışına Aktarılması Rehberi — Kişisel Verileri Koruma Kurumu, Yayınları No: 48, Ocak 2025 (aktarımın üç ölçütü)
• Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler — Kişisel Verileri Koruma Kurumu, Yayınları No: 76, Nisan 2025 (anonimleştirme tercihi)
• Kişisel Verileri Koruma Kurulunun 31/01/2018 tarihli ve 2018/10 sayılı Kararı (kriptografik muhafaza, anahtar yönetimi)
• Bankaların Bilgi Sistemleri ve Elektronik Bankacılık Hizmetleri Hakkında Yönetmelik — BDDK, Resmî Gazete 15/3/2020, sayı 31069 (md. 6, 25, 27, 28, 29)
• Bankaların İç Sistemleri ve İçsel Sermaye Yeterliliği Değerlendirme Süreci Hakkında Yönetmelik — BDDK, Resmî Gazete 11/7/2014, sayı 29057 (md. 3)
• 5411 sayılı Bankacılık Kanunu — md. 73 (Ek: 20/2/2020 tarihli ve 7222 sayılı Kanun, md. 10)
• Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmelik — BDDK, Resmî Gazete 4/6/2021, sayı 31501 (en az veri kopyası ilkesi)
• Bilgi Sistemleri Yönetimine İlişkin Usul ve Esaslar Tebliği (VII-128.10) — Sermaye Piyasası Kurulu, Resmî Gazete 13/3/2025, sayı 32840
• Sigortacılık ve Özel Emeklilik Sektörlerinde İç Sistemlere Dair Yönetmelik — SEDDK, Resmî Gazete 25/11/2021, sayı 31670