Müvekkil Verisini Yapay Zekâya Vermeden Önce Maskeleme Nasıl Yapılır?

Maskeleme, belgedeki kişiyi tanımlayan bilgileri ([DAVACI_1], [TCKN_1] gibi) etiketlerle değiştirip yapay zekâya yalnız bu sürümü vermektir. Ad, T.C. kimlik numarası, adres, telefon, IBAN, plaka ve sağlık bilgisi gibi veriler çıkarılır, aynı kişi her yerde aynı etiketle gösterilir ve eşleme tablosu yalnız sizde kalır. Ancak KVKK açısından bu çoğu zaman anonimleştirme değil, takma ad kullanımıdır; yani risk azalır ama veri kişisel veri olmaktan çıkmayabilir.

Bu rehber, genel amaçlı bir yapay zekâ aracına dilekçe, sözleşme ya da bilirkişi raporu vermeden önce uygulayabileceğiniz pratik bir yöntemi anlatıyor. Konunun hukuki çerçevesi için önce avukatlar için yapay zekâ ve KVKK yazımızı okumanızı öneririz.

Müvekkil verisini neden maskelemelisiniz?

Maskeleme, avukatın sır saklama yükümlülüğü ile kişisel verilerin korunması kurallarını, yapay zekâ kullanımıyla bağdaştırmanın en basit yoludur. Bir belgeyi bulut tabanlı bir yapay zekâ aracına yapıştırdığınızda, metin genellikle hizmet sağlayıcının sunucularına, çoğu zaman yurt dışına gider. Bu durum üç ayrı risk doğurur:

1. Meslek sırrı: Avukatlık Kanunu kapsamında avukat, mesleği nedeniyle öğrendiği bilgileri saklamakla yükümlüdür.
2. Yurt dışına aktarım: 6698 sayılı KVKK, kişisel verilerin yurt dışına aktarımını belirli şartlara bağlar (m.9).
3. Özel nitelikli veri: Sağlık, cezai mahkûmiyet, din, sendika üyeliği gibi veriler KVKK m.6 kapsamında daha sıkı korunur. Ceza ve iş kazası dosyaları bu verilerle doludur.

Maskeleme bu riskleri tamamen ortadan kaldırmaz, ama aktarılan verinin niteliğini ve miktarını önemli ölçüde azaltır. "Veri minimizasyonu" ilkesinin pratikteki karşılığı budur: amaca yetmeyen hiçbir kişisel veriyi araca vermeyin.

Hangi veriler maskelenmeli?

Kısa yanıt: bir kişiyi doğrudan ya da başka bilgilerle birleştirildiğinde tanımlayabilecek her veri. Aşağıdaki tablo, hukuk belgelerinde en sık rastlanan veri türlerini ve önerilen etiketleri gösterir.

Veri türü	Örnek konum	Önerilen etiket
Ad soyad (taraf)	Dilekçe başlığı, olay anlatımı	[DAVACI_1], [DAVALI_1], [TANIK_2]
T.C. kimlik no / VKN	Taraf bilgileri	[TCKN_1], [VKN_1]
Adres	Taraf bilgileri, tebligat adresi	[ADRES_1]
Telefon, e-posta	İletişim bilgileri, yazışmalar	[TELEFON_1], [EPOSTA_1]
IBAN, hesap no, kart no	Ödeme talimatları, icra belgeleri	[IBAN_1]
Araç plakası	Trafik kazası dosyaları	[PLAKA_1]
Sağlık bilgisi	Raporlar, maluliyet, iş kazası	[SAGLIK_BILGISI_1] ya da genelleştirme
Doğum tarihi	Nüfus bilgileri	[DOGUM_TARIHI_1] ya da yalnız yaş
Şirket unvanı	Ticari uyuşmazlıklar	[SIRKET_1]
Dosya numaraları	Mahkeme ve icra dosyaları	[DOSYA_NO_1]
İşyeri, okul, küçük yer adları	Olay anlatımı	[ISYERI_1], [YER_1]

Sık unutulan tanımlayıcılar

• Dolaylı tanımlayıcılar: "Kasabadaki tek eczanenin sahibi" gibi ifadeler isim olmadan da kişiyi tanımlar.
• Belge üst bilgileri: Antetler, imza blokları, alt bilgilerdeki büro ve kişi adları.
• Ekler ve dipnotlar: Ana metni maskeleyip ek listesindeki isimleri unutmak sık yapılan bir hatadır.
• Dosya adı: "Ahmet_Yilmaz_bosanma.pdf" gibi dosya adları da araca gider.
• Taranmış belgedeki görsel öğeler: Kaşe, imza, fotoğraf.

Tutarlı etiketleme nasıl yapılır?

Tutarlı etiketleme, aynı kişinin ya da verinin belgenin tamamında aynı etiketle gösterilmesidir. Bu kural, yapay zekânın olayı doğru anlaması için gereklidir: "Ahmet" bir yerde [DAVACI_1], başka yerde [KISI_3] olursa, model iki farklı kişi olduğunu varsayar ve özet bozulur.

1. Önce listeleyin. Belgedeki tüm kişi, kurum ve tanımlayıcıları bir tabloya çıkarın.
2. Rol bazlı etiket seçin. [KISI_1] yerine [DAVACI_1], [DAVALI_1], [BILIRKISI_1] gibi rol taşıyan etiketler kullanın. Model, rolü bildiğinde olayı daha iyi anlar.
3. Varyasyonları birleştirin. "Ahmet Yılmaz", "Yılmaz", "A. Yılmaz", "davacı Ahmet" ifadelerinin hepsi aynı etikete gitmeli.
4. Numarayı belge boyunca sabit tutun. Aynı dosyaya ait farklı belgelerde de aynı eşleme tablosunu kullanın.
5. Anlamı koruyun. Tarihler hukuki süre açısından önemliyse tam tarihi silmek yerine göreli ifade kullanabilirsiniz ("olay tarihinden 12 gün sonra").

Örnek dönüşüm

Önce: "Davacı Ahmet Yılmaz (TCKN: ...), 34 ABC 123 plakalı aracıyla ... adresine giderken..."

Sonra: "Davacı [DAVACI_1] ([TCKN_1]), [PLAKA_1] plakalı aracıyla [ADRES_1] adresine giderken..."

Yukarıdaki örnekteki ad ve plaka temsilidir, gerçek bir kişiye ait değildir.

Geri eşleme nasıl yapılır ve nerede saklanır?

Geri eşleme, yapay zekâdan gelen çıktıdaki etiketleri gerçek değerlerle yeniden değiştirme işlemidir. Eşleme tablosu, maskelemenin anahtarıdır; bu tablo araca gitmemelidir.

• Eşleme tablosunu yalnız büronuzun kontrolündeki ortamda saklayın (yerel dosya ya da büro sisteminde dosyaya bağlı not).
• Tabloyu yapay zekâ ile aynı sohbet penceresine yapıştırmayın.
• Geri eşlemeden sonra çıktıyı okuyun: model bazen etiketi değiştirir ("[DAVACI_1]" yerine "Davacı 1") ya da yeni bir etiket uydurur. Bunları elle düzeltin.
• İş bittiğinde, artık gerekmeyen eşleme kopyalarını büronuzun saklama politikasına göre ortadan kaldırın.

Anonimleştirme ile takma ad (maskeleme) arasındaki fark nedir?

Anonimleştirme, verinin başka verilerle eşleştirilse bile hiçbir surette kimliği belirli ya da belirlenebilir bir kişiyle ilişkilendirilemeyecek hâle getirilmesidir; takma ad kullanımında ise ek bilgiyle (eşleme tablosu) kişiye geri dönmek mümkündür. Bu fark, KVKK'nın uygulanıp uygulanmayacağını belirler.

Ölçüt	Takma ad / maskeleme	Anonimleştirme
Kişiye geri dönülebilir mi?	Evet, eşleme tablosuyla	Hayır, hiçbir surette
KVKK uygulanır mı?	Genel olarak evet, veri kişisel veri olmaya devam edebilir	Anonim veri KVKK kapsamı dışındadır (m.28/1-ç ile anonim hâle getirilmiş veriler ve m.3 tanımı)
Hukuk belgesinde uygulanabilir mi?	Evet, pratik yöntem budur	Çoğu zaman zor, çünkü olay anlatımı tek başına tanımlayıcı olabilir
Risk azaltımı	Önemli ölçüde	En yüksek

Pratik sonuç şudur: dilekçe ya da bilirkişi raporu gibi bir belgeyi maskelediğinizde, bunu "anonim veri" olarak değil, "riski azaltılmış kişisel veri" olarak düşünün. Yurt dışı aktarım ve aydınlatma yükümlülükleri bakımından değerlendirmeyi buna göre yapın. Kişisel Verileri Koruma Kurumu'nun silme, yok etme ve anonim hâle getirme konusundaki rehberi bu ayrımı ayrıntılı açıklar.

Otomatik maskeleme araçlarının sınırları nelerdir?

Otomatik maskeleme araçları zaman kazandırır, ama hiçbiri tek başına güvenilir bir son kontrol değildir. Kural tabanlı ya da yapay zekâ tabanlı tüm araçların bilinen sınırları vardır:

1. Biçimli veride iyi, serbest metinde zayıf. TCKN, IBAN, telefon ve plaka belirli bir kalıba uyduğu için kolay yakalanır. Ad, lakap ve dolaylı tanımlayıcılar ise kaçabilir.
2. Türkçe ek sorunu. "Yılmaz'ın", "Yılmaz'a", "Yılmazlar" gibi çekimli biçimler, basit kelime eşleştirmesinde atlanabilir.
3. Yaygın kelimeyle çakışan isimler. "Deniz", "Umut", "Barış" gibi isimler hem kişi adı hem sıradan kelimedir; araç ya fazla ya eksik maskeler.
4. Taranmış belgeler. OCR hatası olan metinde kalıp eşleşmez; önce metnin doğru çıkarıldığından emin olun. Bu konuyu avukatlar için OCR yazısında ele aldık.
5. Maskelemenin kendisi bir aktarım olabilir. Maskeleme işini dış bir bulut hizmeti yapıyorsa, ham metin maskelenmeden önce o hizmete gider. Aracın nerede çalıştığını sorun.

Bu nedenle otomatik aracı ilk geçiş, sizin okumanızı son kontrol olarak düşünün. Özellikle özel nitelikli veri içeren belgelerde, maskelenmiş sürümü baştan sona okumadan araca vermeyin.

Adım adım maskeleme kontrol listesi

1. Belgenin yapay zekâya gerçekten gerekli olan bölümünü seçin; tamamını vermeyin.
2. Kişi, kurum ve tanımlayıcı listesini çıkarın.
3. Rol bazlı etiketleri belirleyin ve eşleme tablosunu oluşturun.
4. Biçimli verileri (TCKN, IBAN, telefon, plaka, e-posta) maskeleyin.
5. Ad ve unvanları tüm çekimli biçimleriyle maskeleyin.
6. Dolaylı tanımlayıcıları genelleştirin.
7. Üst bilgi, alt bilgi, ekler ve dosya adını kontrol edin.
8. Maskelenmiş sürümü baştan sona okuyun.
9. Çıktıyı geri eşleyin ve etiket hatalarını düzeltin.
10. Çıktıyı bir kaynak olarak değil, taslak olarak değerlendirin ve doğrulayın.

Belge türüne göre maskelemede nelere dikkat edilmeli?

Her belge türünün kendine özgü riskli alanları vardır; aynı kontrol listesini kullansanız bile odaklanacağınız yerler değişir.

• Dava dilekçeleri: Başlıktaki taraf bilgileri, vekil bilgileri, dosya numaraları ve delil listesindeki tanık adları. Olay anlatımında geçen işyeri ve semt adlarını da genelleştirin.
• Bilirkişi raporları: Hesap tablolarındaki ücret, banka ve hesap bilgileri; tıbbi raporlarda tanı, tedavi ve hastane adları. Sağlık verisi özel nitelikli olduğu için gerekmiyorsa bu bölümleri hiç vermeyin.
• Sözleşmeler: Taraf unvanları, imza blokları, IBAN ve ödeme talimatları, ticari sır niteliğindeki fiyat ve koşullar. Ticari sır kişisel veri olmasa da gizlilik yükümlülüğü kapsamındadır.
• Gerekçeli kararlar: Karar başlığındaki taraf, vekil ve hâkim adları ile dosya numaraları. Karar metninde geçen tanık beyanları da kişi adları içerir.
• Yazışmalar ve e-postalar: İmza alanları, telefon numaraları, ileti zinciri içinde alıntılanan eski mesajlar.

Pratik bir kural: belgenin yapay zekâya gitmesi gereken bölümünü işaretleyin, gerisini tamamen çıkarın. Hiç gönderilmeyen veri, maskelenmiş veriden her zaman daha güvenlidir.

Av. Asistan'da yapay zekâ gizliliği nasıl kontrol edilir?

Av. Asistan, UYAP ve UETS verisini tarayıcı eklentisiyle otomatik aktaran, Türk avukatlar için yapay zekâ destekli büro yönetim uygulamasıdır. Uygulamadaki yapay zekâ özellikleri için maskeleme yerine, hangi verinin yapay zekâya gidebileceğini sınırlayan kontroller kullanılır:

• Açık onay: Yapay zekâ ilk kullanımda açık onay ister ve yurt dışı aktarım konusunda bilgilendirir. Onay verilmemişse istek reddedilir.
• Ceza dosyaları: Ceza dosyalarında yapay zekâ sunucu tarafında kapalıdır.
• Tebligatlar: UETS e-tebligat entegrasyonu ile aktarılan tebligatlar ve ekleri hiçbir koşulda yapay zekâya gönderilmez.
• Dosya bazlı işaret: Herhangi bir dosyayı "yapay zekâya gönderme" olarak işaretleyebilirsiniz.
• Doğrulama uyarısı: Yapay zekâ çıktısı bir kaynak değildir ve doğrulanmalıdır.

Bu kontroller, yukarıda anlatılan maskeleme disiplininin yerine geçmez; özellikle genel amaçlı başka araçlar kullanıyorsanız maskeleme yine sizin sorumluluğunuzdadır. Av. Asistan yapay zekâ asistanı sayfasında asistanın yaptığı işler (belge özeti, belge üzerinde soru sorma, OCR, emsal arama sorgusunu geliştirme) ve sınırları açıklanmıştır. Yapay zekâ çıktısının doğrulanması konusunda yapay zekâ uydurma içtihat riski yazımıza da bakabilirsiniz.

Ayrıca okuyun: Avukatlar İçin Yapay Zekâ Komutu (Prompt) Yazma Rehberi, Hukuk Bürosu İçin Siber Güvenlik: 12 Temel Önlem

Sık Sorulan Sorular

Maskelenmiş veri KVKK kapsamından çıkar mı?

Genellikle hayır. Eşleme tablosuyla kişiye geri dönülebiliyorsa bu takma ad kullanımıdır ve veri kişisel veri olmaya devam edebilir. Yalnız gerçek anlamda anonim hâle getirilmiş veri KVKK kapsamı dışında kalır.

Hangi veriler mutlaka maskelenmeli?

Ad soyad, T.C. kimlik no, VKN, adres, telefon, e-posta, IBAN, plaka, dosya numaraları ve sağlık gibi özel nitelikli veriler. Kişiyi dolaylı tanımlayan ifadeler de genelleştirilmelidir.

Neden [KISI_1] yerine [DAVACI_1] gibi etiketler öneriliyor?

Rol taşıyan etiketler, yapay zekânın olaydaki ilişkileri doğru anlamasını sağlar. Aynı kişinin belge boyunca aynı etiketle gösterilmesi, özetin ve yanıtların tutarlı olması için gereklidir.

Otomatik maskeleme aracına güvenebilir miyim?

İlk geçiş için kullanılabilir, ama son kontrol olarak yeterli değildir. Çekimli isimler, yaygın kelimeyle çakışan adlar ve dolaylı tanımlayıcılar kaçabilir; maskelenmiş metni mutlaka okuyun.

Av. Asistan belgeleri otomatik maskeler mi?

Av. Asistan'ın yapay zekâ gizliliği, açık onay, ceza dosyalarında sunucu tarafında kapalı yapay zekâ, tebligatların hiç gönderilmemesi ve dosya bazlı "yapay zekâya gönderme" işareti ile sağlanır. Başka araçlara veri verirken maskeleme sizin sorumluluğunuzdadır.