Konuşan yapay zeka çok, hesap verebilen az
Son iki yılda “yapay zeka çağrı merkezi” diye sunulan ürünlerin sayısı hızla arttı. Telefona cevap veren, akıcı Türkçe konuşan, birkaç dakikalık demoda etkileyici görünen sistemler artık hiç de nadir değil.
Ama bir kurum bu sistemlerden birini gerçekten kullanmaya karar verdiğinde, konuşmanın kalitesinden çok daha önemli bir soru masaya gelir:
Vatandaşın, hastanın, müşterinin sesi ve kişisel verisi nereye gidiyor ve bundan kim sorumlu?
Bu soruya net bir cevap veremeyen bir sistem, ne kadar iyi konuşursa konuşsun, KVKK karşısında kurumu korumaz; tam tersine kurumu sorumlu tarafa dönüştürür.
Belzeka’yı bu sorun yüzünden kurduk
Belzeka’yı geliştirmeye başladığımızda piyasaya baktık ve aynı tabloyu tekrar tekrar gördük: Yapay zeka çağrı merkezi ürünlerinin büyük bölümü, kişisel veriyi kurumun kontrolünden çıkaran bir mimari üzerine kurulmuştu. Çağrının sesi bir yurt dışı servisine, metni başka bir servise, özeti üçüncü bir servise gidiyordu. Kurum ise bu zincirin hiçbir halkasını göremiyordu.
Bu, bir kamu kurumu, bir hastane ya da bir finans şirketi için kabul edilebilir bir durum değil. KVKK, verinin nerede işlendiğini, kimin erişebildiğini ve ne kadar süre tutulduğunu kurumun bilmesini ve kanıtlayabilmesini ister. Verinin yolculuğunu göremeyen bir kurum, bu soruların hiçbirine cevap veremez.
Belzeka’nın çıkış noktalarından biri tam olarak buydu: Yapay zeka çağrı merkezinde KVKK karşısında hesap verilememe sorununu kökten çözmek. Bu yüzden Belzeka’yı baştan itibaren tamamen on-premise, yani kurumun kendi sunucularında çalışacak şekilde tasarladık.
On-premise ne demek, neden fark yaratıyor?
On-premise kurulumda Belzeka, kurumun kendi veri merkezinde ya da kurumun kontrolündeki izole bir altyapıda çalışır. Bu şu anlama gelir:
- Ses kayıtları kurumun dışına çıkmaz. Konuşma, kurumun kendi sunucusunda yazıya dökülür.
- Dil modeli kurumun içinde çalışır. Çağrıyı anlayan ve yanıtlayan model, verinin olduğu yerde çalışır; veri modele gitmez, model verinin yanındadır.
- Kayıtlar, transkriptler ve raporlar kurumun kontrolündedir. Kim neye erişti, ne zaman erişti, hepsi kurumun kendi kayıtlarındadır.
- Başka müşterilerle ortak havuz yoktur. Her kurumun kurulumu kendine özeldir; bir kurumun verisi başka bir kurumun verisiyle aynı yerde durmaz.
Sonuç olarak KVKK’nın sorduğu “veri nerede, kim erişiyor, ne kadar tutuluyor” sorularının cevabı kurumun kendi elindedir. Kurum hesap verebilir, çünkü her şeyi görebilir.
Asıl sorun nerede? Neden birçok ürün bunu başaramıyor?
Piyasadaki ürünlerin büyük bölümü on-premise sunamıyor. Bunun nedeni isteksizlik değil; çoğu zaman yapabilecek altyapı ve bilgi birikiminin olmaması. Sahada gördüğümüz temel nedenler şunlar:
1. Modeli kuruma göre eğitecek mühendislik bilgisi yok. Bir dil modelini kurumun kendi sunucusunda çalıştırmak ve kurumun diline, süreçlerine, terminolojisine göre ince ayar (fine-tune) yapmak ciddi bir makine öğrenmesi mühendisliği gerektirir. Bu bilgiye sahip olmayan ürünler, en kolay yolu seçer: Hazır bir yurt dışı API’sine bağlanmak. Bu yol hızlıdır ama veriyi kurumun dışına taşır. On-premise sunamamalarının asıl nedeni çoğu zaman budur.
2. Bilinçsiz yazılım geliştirme. Kişisel veri işleyen bir sistemde güvenlik, sonradan eklenecek bir özellik değil, ilk satırdan itibaren düşünülmesi gereken bir mimari karardır. Yetkilendirme, şifreleme, erişim kayıtları ve veri saklama süreleri baştan tasarlanmadığında, sonradan eklenen yamalar açıkları kapatmaz; sadece üstünü örter.
3. Tamamen “vibe code” ile geliştirilmiş ürünler. Yapay zeka destekli kodlama araçları sayesinde bugün birkaç hafta içinde çalışan bir ürün çıkarmak mümkün. Ancak yalnızca yapay zekaya yazdırılan, mimarisi ve güvenliği gerçek bir mühendislik süzgecinden geçmemiş ürünlerde açıkta kalan anahtarlar, şifrelenmemiş veri tabanları, yetkisiz erişime açık uç noktalar gibi güvenlik açıkları sıkça görülür. Demoda fark edilmeyen bu açıklar, gerçek vatandaş verisi sisteme girdiği anda ciddi bir risk hâline gelir.
4. Verinin yolculuğu belgelenmiyor. Birçok üründe çağrının sesi, metni ve özeti farklı servislere dağılır ve bu zincir hiçbir yerde net olarak belgelenmez. Kurum “verimiz hangi ülkede, hangi sunucuda duruyor?” diye sorduğunda, ürünü satan firma bile bu sorunun tam cevabını veremeyebilir.
5. Ortak altyapı, ortak risk. Tüm müşterilerin verisinin aynı altyapıda tutulduğu sistemlerde, tek bir açık tüm müşterileri etkileyebilir. Bir kurumun güvenliği, aynı altyapıyı paylaşan en zayıf halkanın güvenliğine bağlı hâle gelir.
Belzeka’da nelere dikkat ediyoruz?
Belzeka’yı geliştirirken bu sorunların her birini mimarinin içinde çözmeyi hedefledik:
- Kendi modelimizi kurum içinde çalıştırıyoruz. Belzeka’nın dil ve ses modelleri kurumun kendi altyapısında çalışır ve kurumun verisiyle, kurumun içinde eğitilir. Bu konudaki yaklaşımımızı RAG ve kurum bilgilerinin yapay zekaya öğretilmesi yazımızda anlattık.
- Her kurum için izole kurulum. Ortak havuz yok; her kurumun verisi kendi kurulumunda durur.
- Rol bazlı erişim ve çok adımlı doğrulama. Kimin hangi kayda erişebileceği kurum tarafından belirlenir; panel erişimi güçlü kimlik doğrulamayla korunur.
- Erişim kayıtları. Bir kaydı kimin, ne zaman açtığı kayıt altındadır; kurum bunu kendi denetiminde raporlayabilir.
- Tier III sertifikalı veri merkezleri ve RAID yapılandırması. Kurulumların barındırıldığı sunucular Tier III sertifikalı veri merkezlerinde, yedekli güç ve soğutma altyapısıyla çalışır. Disk sistemleri RAID ile yapılandırılır; tek bir diskin arızalanması veri kaybına ya da hizmet kesintisine yol açmaz.
- Veri saklama süreleri kurumun elinde. Ses kayıtlarının ve transkriptlerin ne kadar süre tutulacağına kurum karar verir.
- Mühendislik disipliniyle geliştirme. Belzeka’nın güvenlik açısından kritik bileşenleri, yapay zekaya yazdırılıp geçilen değil, mühendislerimizin tasarladığı, gözden geçirdiği ve test ettiği koddur.
Güvenlik yaklaşımımızın ayrıntılarını Güvenlik sayfamızda bulabilirsiniz.
Yapay zeka çağrı merkezi seçerken sorulacak sorular
Hangi ürünü değerlendirirseniz değerlendirin, imza atmadan önce şu soruların net cevaplarını isteyin:
- Çağrının sesi, metni ve özeti hangi sunucuda, hangi ülkede işleniyor?
- Sistem tamamen bizim sunucumuzda çalışabiliyor mu, yoksa bir yurt dışı API’sine bağlı mı?
- Dil modeli kurumumuza özel eğitilebiliyor mu? Bu eğitim nerede yapılıyor?
- Verimiz başka müşterilerin verisiyle aynı altyapıda mı duruyor?
- Kim hangi kayda erişebiliyor, bu erişimler nasıl kayıt altına alınıyor?
- Kayıtları ne kadar süre tutacağımıza biz mi karar veriyoruz?
- Ürünün güvenliği bağımsız bir gözle incelendi mi?
Bu soruların cevabı belirsizse, KVKK karşısındaki sorumluluk da belirsizdir ve bu sorumluluk sonunda kuruma kalır.
Kurumunuz için değerlendirelim
Belzeka’nın kurumunuzun altyapısında nasıl çalışacağını, hangi verinin nerede duracağını birlikte netleştirebiliriz. İletişim sayfamızdan bize ulaşabilirsiniz. Demo ile gerçek bir sistem arasındaki farkı merak ediyorsanız Biz Neden Farklıyız yazımız da yol gösterici olacaktır.
Sıkça Sorulan Sorular
Yapay zeka çağrı merkezi KVKK’ya uygun olabilir mi? Olabilir; ancak bu, ürünün mimarisine bağlıdır. Kişisel verinin nerede işlendiği, kimin erişebildiği ve ne kadar süre tutulduğu kurum tarafından bilinebilir ve kanıtlanabilir olmalıdır. Verinin kurum dışına, özellikle yurt dışındaki servislere taşındığı mimarilerde bu kontrolü sağlamak çok zordur.
On-premise yapay zeka çağrı merkezi ne demektir? Sistemin; ses tanıma, dil modeli ve kayıtlar dahil tüm bileşenleriyle kurumun kendi sunucularında ya da kurumun kontrolündeki izole bir altyapıda çalışması demektir. Bu modelde çağrı verisi kurumun dışına çıkmaz.
Neden birçok yapay zeka çağrı merkezi on-premise sunamıyor? Çoğu ürün, dil modelini kendi sunucusunda çalıştırma ve kuruma göre eğitme konusunda yeterli mühendislik birikimine sahip değildir; bu yüzden hazır yurt dışı API’lerine bağlanır. Bu yaklaşım hızlıdır, ancak veriyi kurumun kontrolünden çıkarır.
Belzeka verileri nerede saklıyor? Belzeka tamamen on-premise çalışır. Ses kayıtları, transkriptler ve raporlar kurumun kendi altyapısında, kuruma özel izole kurulumda saklanır; başka müşterilerin verisiyle aynı yerde tutulmaz. Kuruluma ev sahipliği yapan sunucular Tier III sertifikalı veri merkezlerinde bulunur ve RAID yapılandırmalı disk sistemleriyle çalışır; bir disk arızalansa bile veri kaybolmaz ve hizmet kesintisiz sürer.
Saklama süresine kim karar veriyor? Kurum. Ses kayıtlarının ve transkriptlerin ne kadar süre tutulacağı kurumun kendi politikasına göre belirlenir.