Bulut Yapay Zekâ (Cloud AI) Tam Olarak Ne Anlama Gelir?
Bulut yapay zekâ, bir yapay zekâ modelinin eğitim ve çalıştırma (çıkarım) işlemlerinin sizin cihazınızda değil, bulut sağlayıcısının veri merkezlerindeki sunucularda gerçekleştirilmesi anlamına gelir. Siz bir soru sorduğunuzda ya da bir görsel yüklediğinizde, bu veri internet üzerinden ilgili veri merkezine gider, orada işlenir ve sonuç size geri gönderilir. Bu makalede bu sürecin teknik olarak nasıl işlediğine ve — asıl merak edilen kısma — verilerinizin fiziksel olarak hangi ülkede/bölgede işlendiğine, büyük bulut sağlayıcılarının resmi belgelerine dayanarak bakıyoruz.
Cloud AI Mimarisi Nasıl Çalışır?
Bulut tabanlı bir yapay zekâ hizmetinin arkasında genellikle üç katman bulunur: veri toplama/gönderme katmanı (sizin cihazınız), işleme katmanı (bulut sağlayıcının sunucuları ve özel yapay zekâ çipleri) ve sonuç döndürme katmanı. Bu üç katman arasındaki trafik şifreli bağlantılar üzerinden akar, ancak verinin fiziksel olarak nerede durduğu tamamen sağlayıcının altyapı mimarisine bağlıdır.
Bu üç katmanın her biri, farklı bir güvenlik ve gecikme (latency) sorusu doğurur. Gönderim katmanında asıl mesele verinin iletim sırasında şifrelenip şifrelenmediği; çoğu ticari servis burada TLS gibi standart şifreleme protokollerini kullanır ve bu genellikle sorunsuzdur. İşleme katmanında ise asıl soru, verinin sadece geçici olarak bellekte mi tutulduğu, yoksa modelin gelecekteki eğitiminde kullanılmak üzere kalıcı olarak mı saklandığıdır — bu ayrım, kurumsal kullanıcılar için hizmet sözleşmesinde açıkça aranması gereken bir maddedir. Sonuç döndürme katmanında ise performans (gecikme süresi) öne çıkar; veri merkezi kullanıcıya ne kadar uzaksa, cevabın dönüş süresi de o kadar uzayabilir — bu da bazı sağlayıcıların aynı hizmeti birden fazla bölgede aynı anda çalıştırmasının nedenlerinden biri.
Eğitim (Training) ve Çıkarım (Inference) Farkı
Bir modelin “eğitilmesi” ile “kullanılması” birbirinden farklı iki süreçtir ve veri işleme açısından da farklı sonuçlar doğurur. Eğitim aşamasında model, genellikle çok büyük miktarda veriyle beslenerek belirli veri merkezlerinde haftalarca sürebilen yoğun hesaplama işlemlerinden geçer; bu veri merkezlerinin konumu, model sağlayıcısının kendi altyapı stratejisine göre belirlenir ve çoğu zaman kullanıcıya açık bir seçenek olarak sunulmaz. Çıkarım aşaması ise sizin günlük kullanımınızdır: bir soru sorarsınız, model zaten eğitilmiş ağırlıklarını kullanarak cevap üretir. Kurumsal bulut hizmetlerinde çıkarım işleminin hangi bölgede gerçekleşeceği genellikle yapılandırılabilir bir ayardır; bu da “verilerim nerede işleniyor” sorusunun cevabını büyük ölçüde çıkarım aşamasındaki bölge seçimine bağlar.
Bölgesel Veri Merkezleri Neden Önemli?
Bulut sağlayıcıları dünya genelinde onlarca bölgede veri merkezi işletir. Bir kurumsal müşteri belirli bir bölgeyi seçtiğinde, verilerinin o bölgenin sınırları içinde kalması hedeflenir; ancak bu “veri egemenliği” (data sovereignty) ile “veri konumu” (data residency) kavramlarının birbirinden ayrılması gerekir. Veri konumu, verinin fiziksel olarak nerede depolandığını ve işlendiğini ifade ederken; veri egemenliği, o veriye hangi ülkenin yasalarının uygulanacağını belirler. Bir veri, AB sınırları içindeki bir sunucuda tutulsa bile, sağlayıcı şirket başka bir ülkenin yasalarına (örneğin ABD’nin CLOUD Act düzenlemesine) tabi olabilir — bu ayrım, KVKK veya GDPR uyumluluğu değerlendirilirken gözden kaçırılmaması gereken bir noktadır.
Verileriniz Gerçekte Nerede İşleniyor? Google Cloud Örneği
Somut bir örnek üzerinden gitmek faydalı olacaktır. Google Cloud’ın resmi hizmet şartları belgesine göre şirket, 90’dan fazla hizmet için müşterilerin veri konumunu yapılandırmasına izin veriyor. Bu kapsamda hesaplama, depolama ve veritabanı hizmetlerinin yanı sıra, Vertex AI servisleri ve Gemini Enterprise gibi yapay zekâ ürünleri de “belirli sınırlamalarla” veri konumu yapılandırması sunuyor.
Ancak burada kritik bir ayrıntı var: resmi belgeye göre bazı yapay zekâ özellikleri veri konumu taahhüdünün dışında tutuluyor. Örneğin üretken yapay zekâ hizmetlerinde Google Search veya Google Maps ile zenginleştirme (grounding) özelliği ve RAG Engine (getirim destekli üretim motoru) bu kapsam dışında bırakılan servisler arasında sayılıyor. Bu da şu anlama geliyor: bir kurum “verilerim sadece Avrupa’da işlensin” diye bölge seçse bile, kullandığı yapay zekâ özelliğine bağlı olarak bazı işlemler bölge taahhüdünün dışında kalabiliyor. Dolayısıyla “bulutta veri residency var mı” sorusunun cevabı tek kelimeyle evet ya da hayır değil; kullanılan spesifik özelliğe bağlı.
KVKK ve GDPR Açısından Ne Anlama Geliyor?
Türkiye’deki KVKK ve AB’nin GDPR düzenlemesi, kişisel verilerin yurt dışına aktarımını belirli şartlara bağlar. Bir yapay zekâ hizmetini kurumsal ölçekte kullanacaksanız, sağlayıcının veri konumu belgesinde hangi hizmetin hangi bölgede kaldığını, hangi özelliğin bölge taahhüdü dışında olduğunu tek tek kontrol etmek gerekir. Genel geçer bir “bulut sağlayıcım GDPR uyumlu” ifadesi tek başına yeterli bir güvence değildir; asıl belirleyici olan, kullanılan spesifik servisin veri işleme sözleşmesi (Data Processing Addendum) ve o servise özel istisnalardır. Bu konuda nihai değerlendirme için kurumunuzun hukuk/uyumluluk danışmanına başvurmanız, teknik dokümantasyonu yorumlarken güvenli bir yaklaşımdır.
Büyük Bulut Sağlayıcıları Arasında Yaklaşım Farkı Var mı?
Google Cloud’ın yukarıda incelediğimiz modeli — hizmet bazında yapılandırılabilir veri konumu, ancak bazı özelliklerde istisna — sektördeki yaygın bir desen. AWS ve Microsoft Azure da benzer şekilde, müşterilerin belirli bölgeleri seçmesine izin veren ancak her AI hizmetinin aynı seviyede bölge taahhüdü sunmadığı bir yapı izliyor. Ortak nokta şu: hiçbir büyük sağlayıcı “tüm yapay zekâ özellikleriniz otomatik olarak seçtiğiniz bölgede kalır” gibi kapsamlı, istisnasız bir taahhüt vermiyor. Bunun teknik nedeni de anlaşılabilir; bazı yapay zekâ özellikleri (örneğin bir modelin gerçek zamanlı web araması yapması) doğası gereği birden fazla bölgeye ve dış servise bağımlı çalışıyor, dolayısıyla tek bir bölgeye kilitlenmesi teknik olarak zor ya da performans kaybına yol açabiliyor. Bu nedenle bir sağlayıcı seçerken “GDPR uyumlu” gibi genel bir etiketten çok, kullanacağınız spesifik ürünün kendi veri konumu sayfasına bakmak daha güvenilir bir yöntem.
Kullanım Senaryosuna Göre Veri İşleme Karşılaştırması
Farklı yapay zekâ kullanım biçimlerinin veri işleme açısından nasıl farklılaştığını özetleyen aşağıdaki tablo, bu makale için hazırlanmış özgün bir sentezdir; belirli bir sağlayıcının resmi verisi değil, yukarıdaki mimari farkların pratik bir karşılaştırmasıdır.
| Kullanım Biçimi | Veri Nerede İşlenir | Tipik Risk Noktası |
|---|---|---|
| Tüketici sohbet botu (varsayılan ayar) | Sağlayıcının seçtiği, genelde belirtilmeyen bölge | Bölge seçimi kullanıcıya açık olmayabilir |
| Kurumsal bulut AI API’si (bölge seçimli) | Müşterinin seçtiği bölge, hizmete göre kısmi istisnalarla | Bazı alt özellikler bölge taahhüdü dışında kalabilir |
| On-device (cihaz üzerinde) model | Kullanıcının kendi cihazı | Model küçük olduğu için yetenek/hassasiyet sınırlı olabilir |
| Açık kaynak modeli kendi sunucunuzda çalıştırma | Sizin belirlediğiniz sunucu/veri merkezi | Altyapı, güvenlik ve ölçekleme sorumluluğu size ait |
Bulut AI Kullanırken Dikkat Edilmesi Gereken Noktalar
- Veri konumu belgesini okuyun: Kullandığınız sağlayıcının güncel veri residency/konum belgesini bulun ve kullandığınız spesifik AI özelliğinin listede olup olmadığını kontrol edin.
- İstisnaları arayın: Belgede “şu özellikler kapsam dışıdır” gibi bir bölüm genellikle vardır; bu bölümü atlamayın, çünkü asıl risk genellikle burada gizlidir.
- Veri saklama süresini kontrol edin: Bazı sağlayıcılar sorgu verilerini model iyileştirme amacıyla belirli bir süre saklayabilir; kurumsal planlarda bu genellikle devre dışı bırakılabilir bir ayardır.
- Alt yüklenicileri (sub-processor) inceleyin: Büyük sağlayıcılar bazı işlemler için başka şirketlerin altyapısını kullanabilir; bu bilgi genelde şeffaflık raporlarında yer alır.
- KVKK/GDPR için hukuki teyit alın: Teknik belge okumak faydalı bir ilk adımdır, ama nihai uyumluluk değerlendirmesi için hukuk danışmanına başvurmak daha güvenlidir.
On-Device AI, Bulut AI’nin Yerini Alabilir mi?
Son dönemde telefon ve bilgisayar üreticileri, bazı yapay zekâ işlemlerini cihaz üzerinde (on-device) çalıştırmaya başladı. Bu yaklaşımın avantajı açık: veri cihazdan hiç çıkmadığı için bulut tabanlı veri işleme sorularının çoğu ortadan kalkıyor. Ancak on-device modeller, donanım kısıtları nedeniyle bulut tabanlı büyük modellere göre genellikle daha sınırlı yeteneklere sahip oluyor — karmaşık akıl yürütme, uzun bağlam işleme veya çok büyük bir bilgi tabanına erişim gerektiren görevlerde bulut modelleri hâlâ önde. Pratikte çoğu ürün artık hibrit bir yaklaşım izliyor: basit ve hassas işlemleri cihazda, karmaşık işlemleri buluta yaparak iki yaklaşımın dengesini kurmaya çalışıyor. Yapay zekâ ve veri mühendisliği alanında çalışan ekiplerin büyük bir kısmı da tam olarak bu hibrit mimarilerin tasarımı ve veri akışının güvenliğiyle ilgileniyor.
Bulut Yapay Zekâ Altyapısının Fiziksel Boyutu
Veri konumu tartışmasının bir de somut, fiziksel tarafı var: bu veri merkezleri gerçek binalar, gerçek enerji tüketimi ve gerçek donanım yatırımları anlamına geliyor. Büyük teknoloji şirketlerinin yapay zekâ altyapısına yaptığı yatırımların büyüklüğü, bu veri merkezlerinin sayısının ve kapasitesinin neden hızla arttığını da açıklıyor; NVIDIA’nın OpenAI’nin veri merkezine yaptığı büyük ölçekli yatırım bu eğilimin güncel bir örneği. Bir bulut AI hizmetini değerlendirirken, verinin “hangi ülkede” işlendiği kadar, o ülkedeki veri merkezinin hangi güvenlik sertifikalarına (ISO 27001, SOC 2 gibi) sahip olduğunu da sağlayıcının şeffaflık sayfalarından kontrol etmek faydalı bir alışkanlıktır.
Sonuç: Veri Konumu Sorusuna Nasıl Yaklaşmalı?
Bulut yapay zekâ, verinizi işlemek için kendi donanımınıza değil, sağlayıcının veri merkezlerine güvenmeniz anlamına geliyor. Bu, çoğu kullanım için pratik ve maliyet etkin bir çözüm olsa da, “verilerim tam olarak nerede işleniyor” sorusunun cevabı sağlayıcıdan sağlayıcıya, hatta aynı sağlayıcı içinde özellikten özelliğe değişiyor. Google Cloud örneğinde görüldüğü gibi, resmi olarak veri konumu taahhüdü sunulsa bile bazı yapay zekâ özellikleri bu taahhüdün dışında kalabiliyor. Kurumsal kullanımda en güvenli yaklaşım, genel pazarlama ifadelerine değil, sağlayıcının güncel teknik dokümantasyonuna ve gerektiğinde hukuki danışmanlığa dayanmaktır.
Sıkça Sorulan Sorular
Bulut yapay zekâ ile on-device yapay zekâ arasındaki temel fark nedir?
Bulut yapay zekâda veri işleme sağlayıcının veri merkezlerinde gerçekleşir ve internet bağlantısı gerektirir; on-device yapay zekâda işlem cihazın kendi donanımında yapılır ve veri cihazdan çıkmaz. On-device modeller genellikle donanım kısıtları nedeniyle daha sınırlı yeteneklere sahiptir.
Bir bulut AI sağlayıcısının verilerimi hangi ülkede işlediğini nasıl öğrenebilirim?
Sağlayıcının resmi veri residency veya veri konumu belgesini inceleyin. Bu belgeler genellikle hangi hizmetlerin bölge seçimine izin verdiğini ve hangi özelliklerin bu kapsamın dışında kaldığını ayrı ayrı listeler.
KVKK, yapay zekâ hizmetlerinde veri işlemeyi nasıl etkiler?
KVKK, kişisel verilerin yurt dışına aktarımını belirli şartlara bağlar. Bir yapay zekâ hizmeti kişisel veri işliyorsa, sağlayıcının veri işleme sözleşmesini ve veri konumu ayarlarını incelemek, hukuki uyumluluk açısından önemli bir ilk adımdır; nihai değerlendirme için hukuk danışmanına başvurulması önerilir.
Tüm yapay zekâ özellikleri veri konumu ayarına uyuyor mu?
Hayır. Büyük sağlayıcıların resmi belgelerinde bazı özellikler (örneğin arama ile zenginleştirme veya belirli getirim motorları) veri konumu taahhüdünün dışında tutulabiliyor. Kullanılan her özelliğin bu kapsamda olup olmadığı ayrı ayrı kontrol edilmelidir.
Küçük bir işletme bulut AI kullanırken veri güvenliğini nasıl artırabilir?
Öncelikle hangi verinin yapay zekâ servisine gönderildiğini sınırlamak, hassas veriyi mümkünse anonimleştirmek, sağlayıcının veri saklama ayarlarını (varsa) kapatmak ve kurumsal planlardaki ek güvenlik/uyumluluk seçeneklerini değerlendirmek makul başlangıç adımlarıdır.
