‘Sıfır Veri Tutma’ (ZDR) Nedir? Yapay Zekâya Yüklediğiniz Şirket Belgeleri Gerçekten Güvende mi?

Şirketlerin yönetim kurulu toplantılarında yapay zekâya dair sorulan bir numaralı soru artık net: “Yüklediğimiz finansal tablolar, patent taslakları ve müşteri verileri nereye gidiyor?” Teknoloji devleri bu haklı paranoyayı yatıştırmak için kurumsal sözleşmelerin en tepesine devasa bir vaat yerleştirdi: Sıfır Veri Tutma (Zero Data Retention - ZDR).

Peki ZDR gerçekten vaat edildiği gibi verilerinizi mutlak bir gizlilik çemberine alıyor mu, yoksa kurumsal pazarlamanın arkasında bilinmeyen teknik riskler mi barınıyor?

---

Sıfır Veri Tutma (ZDR) Tam Olarak Nedir ve Nasıl Çalışır?

Standart bir yapay zekâ API’sini (örneğin OpenAI GPT-4o veya Anthropic Claude 3.5) kullandığınızda, sistem yalnızca yanıt üretmekle kalmaz; aynı zamanda olası siber saldırıları, telif ihlallerini ve zararlı içerikleri denetlemek için girdilerinizi ve çıktılarınızı 30 güne kadar ‘İstismar İzleme’ (Abuse Monitoring) loglarında saklar.

ZDR sözleşmesi devreye girdiğinde bu kural kökten değişir:

• Diskte Saklama Yok (No Storage at Rest): API sunucusu istemcinin isteğini alır, modeli çalıştırır, yanıtı döndürür ve oturum kapandığı anda veriyi diske kaydetmeden bellekten temizler.
• İnsan Gözü Yok: 30 günlük standart denetim havuzuna hiçbir girdi düşmediği için sağlayıcı şirketlerin mühendisleri veya güvenlik denetçileri verilerinizi geriye dönük olarak göremez.
• Model Eğitimi Zaten Yasak: Kurumsal API anlaşmalarında müşterinin verisi hiçbir zaman model ağırlıklarını güncellemek için kullanılmaz.

---

30 Günlük İstismar Logları ile ZDR Arasındaki Hukuki ve Teknik Ayrım

Pek çok şirketin düştüğü en büyük yanılgı, “Biz kurumsal API kullanıyoruz, verimiz zaten saklanmıyor” zannetmektir. Kurumsal API kullanmak verinizin eğitilmeyeceğini garanti eder; ancak ZDR anlaşması imzalamadıysanız veriniz 30 gün boyunca sağlayıcının sunucularında açık veya şifreli log olarak bekler.

Bu durum KVKK, GDPR veya HIPAA denetimlerinde ciddi bir uyumluluk riski doğurur. Bir sağlık kuruluşu veya banka, hasta ya da müşteri verisini üçüncü taraf bir sunucuda 30 gün boyunca bekletemez. İşte ZDR, bu 30 günlük log mekanizmasını tamamen kapatan resmi hukuki ve teknik bir feragatnamedir.

---

OpenAI PSP ve Anthropic EFS: Güvenlik ile Denetimi Uzlaştıran Teknolojiler

Yapay zekâ şirketleri ZDR verirken aynı zamanda modellerinin terör veya biyolojik silah üretiminde kullanılmasını engellemek zorundadır. Bu iki zıt hedefi uzlaştırmak için yeni şifreleme mimarileri geliştirildi:

• OpenAI Private Safety Processing (PSP): Müşterinin API çağrısı sırasında güvenlik sınıflandırıcıları veriyi doğrudan okumaz. İçerik, müşterinin kendi bulut ortamında şifrelenir veya donanımsal olarak izole edilmiş güvenli enklavlarda (secure enclaves) işlenir. OpenAI sunucularında yalnızca anonimleştirilmiş güvenlik metaverisi kalır.
• Anthropic Enterprise Frontier Safeguards (EFS): Anthropic, büyük kurumsal müşterilerin verilerini tamamen şirketin kendi AWS veya Google Cloud altyapısı içinde izole ederek modelin istemci ortamına misafir olmasını sağlar.

---

Gözden Kaçan Riskler: RAM Belleği, KV Cache ve Dosya Yüklemeleri

ZDR kağıt üzerinde harika görünse de kurumsal siber güvenlik ekiplerinin bilmesi gereken teknik açıklar mevcuttur:

1. Çıkarım Sırasında Bellek (RAM/VRAM): ZDR verinin diskte kalmasını engeller; ancak model yanıt üretirken veriniz GPU belleğindedir. Bir ‘side-channel’ bellek saldırısında bu veriler teorik olarak hedef alınabilir.
2. Önek Önbellekleme (Prefix Caching): Çoklu oturumlarda maliyeti düşürmek için sistem komutları veya belgeler KV Cache içinde tutulabilir. ZDR anlaşmalarında paylaşımlı cache havuzlarının devre dışı bırakıldığından emin olunmalıdır.
3. Web ve Dosya Yükleme İstisnaları: ChatGPT Enterprise arayüzüne PDF yüklediğinizde veya OpenAI Assistants API’sine dosya bağladığınızda, sistem belgeyi vektörleştirmek için diske yazar. Bu servisler ZDR kapsamında değildir.

---

Sonuç: Kurumsal Veri Güvenliğinde ZDR Sözleşmelerinin Gerçek Gücü

Sıfır Veri Tutma (ZDR), kurumsal yapay zekâ çağında mahremiyetin en güçlü kalkanıdır. Ancak ZDR tek başına sihirli bir değnek değildir; kurumların hangi API uç noktalarında ZDR’nin aktif olduğunu doğrulaması, web arayüzü ile API trafiğini ayırması ve sağlayıcılardan SOC 2 Type II ile bağımsız sızma testi raporlarını talep etmesi şarttır. Bilinçli bir ZDR mimarisi, en hassas şirket sırlarını bile yapay zekânın gücüyle güvenle buluşturabilir.