Yapay zeka güvenliği; yapay zeka ve büyük dil modeli tabanlı sistemlerde yetkisiz erişim, veri sızıntısı, prompt injection, güvensiz entegrasyon, aşırı yetkilendirme, hatalı veya güvensiz çıktı ve benzeri teknik risklerin; veri koruma ve yönetişim kontrolleriyle birlikte değerlendirilmesi ve yönetilmesidir.

Yapay zeka risk değerlendirmesi, yapay zeka yönetişimi, LLM ve uygulama güvenliği testleri, tedarikçi ve üçüncü taraf risk değerlendirmesi, veri güvenliği ve mahremiyet değerlendirmesi ile denetim ve mevzuata hazırlık danışmanlığı alanlarında destek sağlıyoruz.

Evet. Bu sayfadaki hizmetler kurumsal risk değerlendirmesi ve teknik güvenlik tarafını kapsar, çalışanların güvenli kullanım alışkanlığı kazanması için ayrıca Yapay Zeka Farkındalık Eğitimi'mizi sunuyoruz. Veri sızıntısı, prompt üzerinden veri ifşası ve deepfake gibi konuları tek günlük bir programla ele alıyoruz.

Türkiye'de yapay zekaya özgü düzenleyici çerçeve gelişmeye devam etmektedir. 18 Ağustos 2026 tarihinde yayımlanan 2026/9 sayılı Cumhurbaşkanlığı Genelgesi ile Türkiye Yapay Zeka Eylem Planı (2026-2030) yürürlüğe girmiştir. Genelge özel şirketlere tek başına doğrudan bir teknik yükümlülük getirmese de yapay zeka kullanımı mevcut mevzuattan bağımsız değildir. Örneğin yapay zeka sistemleriyle kişisel veri işleniyorsa 6698 sayılı KVKK kapsamındaki yükümlülükler uygulanmaya devam eder.

Genelge esas olarak kamu kurum ve kuruluşlarına yönelik bir yönlendirme aracıdır ve özel şirketlere tek başına doğrudan bir teknik yükümlülük veya yaptırım getirmez. Ancak bu, özel şirketlerin yapay zeka kullanımında mevcut KVKK, sözleşmesel, sektörel veya diğer uygulanabilir yükümlülüklerden muaf olduğu anlamına gelmez.

Evet. Yapay zeka sistemi kişisel veri işliyorsa ilgili veri işleme faaliyeti 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında değerlendirilir. Kişisel Verileri Koruma Kurumu'nun üretken yapay zeka rehberi de bu sistemlerle gerçekleştirilen kişisel veri işleme faaliyetlerini 6698 sayılı Kanun çerçevesinde ele almaktadır. Teknik güvenlik ve veri koruma kontrolleri değerlendirilebilir, hukuki yorum gerektiren konuların hukuk veya veri koruma uzmanıyla birlikte ele alınması gerekir.

Evet, belirli durumlarda etkileyebilir. Avrupa Birliği Yapay Zeka Tüzüğü (EU AI Act) 2 Ağustos 2026 itibarıyla önemli ölçüde uygulama dönemine girmiştir, bazı hükümler için farklı geçiş tarihleri bulunmaktadır. Türkiye'de yerleşik bir şirketin AB pazarına yapay zeka sistemi sunması, AB'de kullanılan bir sistemin sağlayıcısı olması veya düzenlemenin ülke dışı kapsamına giren başka bir rol üstlenmesi halinde yükümlülükler doğabilir. Hangi hükümlerin uygulanacağı şirketin rolü, kullanım senaryosu ve sistem sınıfına göre ayrıca değerlendirilmelidir.

LLM güvenlik testi; büyük dil modeli tabanlı uygulamaların prompt injection, talimat aşma, hassas veri sızıntısı, yetkisiz veri erişimi, RAG ve API entegrasyon hataları, araç kullanım yetkileri ve benzeri istismar senaryolarına karşı kontrollü biçimde değerlendirilmesidir.

Prompt injection, bir kullanıcının veya harici veri kaynağının modele verilen talimatları manipüle ederek sistemin amaçlanan kurallarını aşmaya, gizli bilgilere erişmeye veya istenmeyen eylemler gerçekleştirmeye çalıştığı saldırı sınıfıdır. Risk yalnızca sohbet ekranıyla sınırlı değildir, RAG kaynakları, web içerikleri, dosyalar, e-postalar ve agent araçları üzerinden dolaylı prompt injection senaryoları da oluşabilir.

Klasik sızma testi ağırlıklı olarak uygulama, ağ, API ve altyapı zafiyetlerine odaklanırken AI red teaming; model davranışı, prompt manipulation, güvenlik kontrollerinin aşılması, veri sızıntısı, araç kullanımı ve yapay zekaya özgü kötüye kullanım senaryolarını da kapsayabilir. Uygulamanın mimarisine göre iki yaklaşım birlikte yürütülebilir.

Agentic AI sistemlerinde modelin hangi araçlara, API'lere, dosyalara ve verilere erişebildiği, yetki sınırlarının doğru uygulanıp uygulanmadığı, dış kaynaklı talimatların modele etkisi, insan onayı gerektiren işlemler ve bir hatanın zincirleme eylemlere dönüşme riski değerlendirilir.

Hayır. Yapay zeka risk değerlendirmesi daha üst seviyede kullanım senaryosu, iş etkisi, veri, yönetişim, tedarikçi ve kontrol risklerini görünür hale getirir. LLM ve uygulama güvenliği testi ise belirli bir yapay zeka uygulamasında istismar edilebilir teknik güvenlik açıklarını kontrollü testlerle araştırır.

Öncelikle hangi araçların kimler tarafından, hangi veri türleriyle ve hangi amaçla kullanıldığı belirlenir. Ardından hesap ve erişim kontrolleri, hassas veri paylaşımı, kurumsal politika, veri saklama ve aktarım koşulları, tedarikçi ayarları ve gerekli teknik önlemler değerlendirilir.

Verinin nerede işlendiği ve saklandığı, model eğitimi için kullanılıp kullanılmadığı, erişim ve yetkilendirme modeli, loglama, silme seçenekleri, güvenlik taahhütleri, alt işleyenler, entegrasyonlar ve olay yönetimi gibi başlıklar incelenir. Sözleşmelerdeki bilgi güvenliği ve veri işleme hükümleri güvenlik riski açısından ayrıca değerlendirilir.

Kapsama göre yapay zeka varlık ve veri akışı görünümü, önceliklendirilmiş risk ve bulgular, teknik veya yönetişim kontrol eksikleri, düzeltme önerileri ve uygulanabilir aksiyon planı hazırlanır. Teknik test yapılan çalışmalarda test bulguları ve doğrulama yaklaşımı ayrıca raporlanır.

Süreç kısa bir keşif görüşmesiyle başlar. Mevcut veya planlanan yapay zeka kullanımınız, uygulamanın mimarisi, veri akışları, üçüncü taraflar ve öncelikler belirlenir, ardından risk değerlendirmesi, teknik test veya yönetişim çalışmasından hangilerinin gerekli olduğu netleştirilir.