Yapay zekâ için veri sınıflandırması: hangi veri hangi araca?

Murat Bey bir il müdürlüğünde birim amiri. Ekibindeki memurlar yazışma taslağı ve özet için yapay zekâ araçlarını kullanmaya başlamış. Biri kişisel hesabıyla bir vatandaş dilekçesini yapıştırmış, diğeri yalnız kamuya açık bir yönetmeliği özetletmiş. İkisine de aynı şeyi söylemek yanlış olur; birinde risk büyük, diğerinde neredeyse yok.

Bu derste Murat Bey’in ekibi için dört basamaklı bir veri sınıflandırması (data classification) tablosu ve kısa bir karar ağacı (decision tree) hazırlayacaksınız. Amaç, her çalışanın bir belgeye bakıp birkaç saniyede hangi araca girebileceğine karar verebilmesi.

Bu ders genel bilgi verir; uzman görüşünün yerine geçmez.

Aklınıza bir soru mu takıldı?

Sorunuzu ya da aradığınız konuyu yazın Ders bul

Bu derste neler öğreneceksiniz?

• Kişisel veri ile özel nitelikli kişisel veriyi KVKK tanımlarına göre ayırmak
• Kurumunuzun verisini dört basamağa yerleştirmek
• Her basamağı izin verilen araç türüne bağlamak
• Dört soruluk bir karar ağacıyla tek bir belgeyi sınıflandırmak

Dayanaklar: KVKK, kamu rehberi ve uluslararası standartlar

KVKK’ya göre kişisel veri, kimliği belirli ya da belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Ad, telefon numarası ve e-posta adresi bu kapsamdadır. Kurumun 100 soruluk rehberi, anonim hâle getirilen verinin (anonymization) artık kişisel veri niteliği taşımadığını belirtir.

Özel nitelikli kişisel veriler daha sıkı korunur. KVKK’nın 2025 tarihli rehberi bunları sınırlı sayma yoluyla sayar: ırk ve etnik köken, siyasi düşünce, felsefi inanç, din, mezhep ve diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri, biyometrik ve genetik veriler. Liste kıyasla genişletilemez.

Kamu kurumları için Cumhurbaşkanlığı Dijital Dönüşüm Ofisi’nin Bilgi ve İletişim Güvenliği Rehberi de ortak bir çerçeve sunar. Kamu kurumları ve kritik altyapı hizmeti veren işletmeler için hazırlanan rehber, 2019/12 sayılı Cumhurbaşkanlığı Genelgesi’ne dayanır; dört gizlilik derecesinden söz eder: çok gizli, gizli, özel ve hizmete özel. Özel nitelikli kişisel verileri de kritik veri kapsamında sayar.

Uluslararası tarafta NIST’in FIPS 199 standardı, bilginin gizlilik, bütünlük ve erişilebilirlik (confidentiality, integrity, availability) açısından ne kadar zarar görebileceğini düşük, orta ve yüksek diye derecelendirir. Standarttaki örnekte kamuya açık bilgi için gizlilik etkisi uygulanamaz olarak işaretlenir. ISO’nun bilgi güvenliği yönetim sistemi (ISMS) standardı ISO/IEC 27001 de aynı üç ilkeyi korumayı ve riske göre yönetmeyi temel alır.

Dört basamaklı tablo

Aşağıdaki basamaklar kanunda bu adlarla geçmez; yukarıdaki kaynaklardan derlenmiş, kurumunuzun kendi politikasına uyarlayacağı bir çalışma modelidir. Araç türleri de üç gruptur: kişisel hesapla kullanılan genel araç, kurumun onayladığı kurumsal hesap ve kurumun kendi kontrolündeki ortam.

• Basamak 1, kamuya açık: Yayımlanmış mevzuat, duyuru, basın bülteni. Kurumun izin verdiği her araca girebilir.
• Basamak 2, kurum içi: Taslak yazışma, iç talimat, toplantı notu. Yalnız kurumun onayladığı araçlara girer.
• Basamak 3, kişisel: Ad, telefon, adres, dilekçe içeriği. Önce kişiyi tanıtan ayrıntılar çıkarılır; kalan metin yalnız onaylı kurumsal araca ya da kurumun kendi ortamına girer.
• Basamak 4, özel nitelikli ya da gizlilik dereceli: Sağlık raporu, sendika üyeliği, adli sicil, gizli ya da hizmete özel yazı. Kurumun yazılı ve özel kararı yoksa hiçbir yapay zekâ aracına girmez.

Bir belgede birden çok basamak varsa en yüksek basamak geçerlidir. Kamuya açık bir yönetmeliğin altına bir vatandaşın sağlık durumu eklenmişse belge artık dördüncü basamaktadır.

Dört soruluk karar ağacı

1. Belgede gizlilik derecesi ya da özel nitelikli kişisel veri var mı? Evetse basamak 4; durun.
2. Belge bir kişiyi doğrudan ya da dolaylı olarak tanıtıyor mu? Evetse basamak 3.
3. Belge kurum dışında zaten yayımlanmış mı? Evetse basamak 1.
4. Bu üç sorunun hepsine hayır dediyseniz belge basamak 2’dir.

Sıra önemlidir. En ağır riski ilk soruda yakalarsınız; kamuya açık olup olmadığına en son bakarsınız. KVKK’nın iş yerleri rehberi de yasaklamak yerine yönlendirmeyi, çalışanın hangi bilgiyi girebileceğini politikada açıkça yazmayı önerir. Rehber, kurumun bilgisi ve onayı dışındaki kullanımı gölge yapay zekâ (shadow AI) olarak adlandırır.

Adım adım uygulama

1. Biriminizde en sık kullanılan on belge türünü listeleyin. Liste on satıra ulaştığında adım tamamdır.
2. Her belge türünü karar ağacından geçirip bir basamağa yazın. Her satırda bir basamak ve karar verilen soru numarası varsa adım tamamdır.
3. Kurumunuzda kullanılan araçları üç gruba ayırın: kişisel hesapla genel araç, onaylı kurumsal hesap, kurumun kendi ortamı. Her aracın grubu bilgi işlem birimiyle birlikte belirlendiyse adım tamamdır.
4. Tabloyu tek sayfaya indirin ve hukuk ya da kişisel veri sorumlusuna gösterin. Yazılı görüşü alındığında adım tamamdır.
5. Ekibe beş dakikalık bir deneme yaptırın: herkes iki örnek belgeyi sınıflandırsın. Herkes aynı basamağa ulaştıysa tablo kullanıma hazırdır.

Sık yapılan hatalar

• Belgenin yalnız başlığına bakmak. Kamuya açık bir şablonun içine yazılmış tek bir ad, belgeyi üçüncü basamağa taşır.
• Adı silmeyi yeterli saymak. T.C. kimlik numarası, adres ya da nadir bir görev unvanı da kişiyi tanıtabilir.
• Kurumsal hesabı her şeye izin sanmak. Onaylı araç da basamak 4’teki veri için tek başına yeterli değildir.

Kendinizi deneyin

Kaynaklar

• KVKK: Özel Nitelikli Kişisel Verilerin İşlenme Şartları (Türkçe)
• KVKK: İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı (Türkçe)
• KVKK: 100 Soruda Kişisel Verilerin Korunması Kanunu (Türkçe)
• Cumhurbaşkanlığı Dijital Dönüşüm Ofisi: Bilgi ve İletişim Güvenliği Rehberi (Türkçe)
• NIST FIPS 199: Standards for Security Categorization (İngilizce)
• ISO/IEC 27001: Information security management systems (İngilizce)

Son kontrol: 13 Kasım 2026. Bu bilgi 13.11.2026 tarihli kaynaklara dayanır; durum değişebilir.

Kaynak: yzdersleri.com/ders/yapay-zeka-icin-veri-siniflandirmasi-dort-basamak/ · Yapay Zeka Dersleri