Loading...
Yapay zekâ çözümü alırken imzalanacak sözleşmede bulunması gereken 10 madde: veri ve çıktı sahipliği, eğitimde kullanım yasağı, KVKK rolleri, model değişikliği bildirimi, SLA ve doğruluk, fikri mülkiyet, güvenlik ve çıkış. Birincil kaynaklara dayalı müzakere kontrol listesi.
Stanford Law CodeX'te yayımlanan ve TermScout verisine dayanan analize göre incelenen yapay zekâ sözleşmelerinin %92'si hizmet için gerekenden geniş veri kullanım hakkı istiyor (SaaS'ta %63). Bu rehber, OpenAI, Microsoft ve Google'ın Eylül 2026 itibarıyla standart şartlarını taban çizgisi alarak on sözleşme maddesini 'ne yazmalı' ve 'eksikse riski' sütunlarıyla veriyor. Hukuki görüş değildir.
Bir yapay zekâ hizmet sözleşmesinde en az on madde bulunmalıdır: veri ve çıktı sahipliği, eğitimde kullanım yasağı, saklama süresi ve veri konumu, KVKK rolleri, yurt dışı aktarım, model değişikliği bildirimi, erişilebilirlik SLA'sı, doğruluk ve kabul kriterleri, fikri mülkiyet ile sorumluluk tavanı, güvenlik ve çıkış. Her biri somut bir riske karşılık gelir: Stanford Law CodeX'te yayımlanan ve TermScout verisine dayanan analize göre incelenen yapay zekâ sözleşmelerinin %92'si, hizmet için gerekenden geniş veri kullanım hakkı talep ediyor; SaaS sözleşmelerinde bu oran %63 (2025).
Türk işletmelerinin çekincesi de somut. TÜİK'in 2025 yapay zekâ istatistiklerine göre (ANKA aktarımı), yapay zekâ kullanmayı düşünüp henüz kullanmayan girişimlerin %62,4'ü "hukuki belirsizlik"i engel olarak gösteriyor. Aynı veride yapay zekâ kullanan girişimlerin oranı 2021'deki %2,7'den 2025'te %7,5'e çıkmış. Açık yazılmış bir sözleşme, bu belirsizliği azaltmanın en doğrudan aracıdır.
Hangi firmanın seçileceğini yapay zekâ firması seçme kriterleri ve yapay zekâ danışmanlık seçim rehberi yazılarında ele aldık. Bu rehber bir sonraki adıma, imzaya odaklanıyor. Sağlayıcı şartlarına ilişkin bilgiler Eylül 2026 itibarıyla açılan birincil belgelere dayanıyor ve değişebilir. Yazı hukuki görüş değildir: maddeleri bir müzakere kontrol listesi olarak kullanın, son metni hukukçunuzla birlikte yazın.
Yapay zekâ hizmet sözleşmesi, klasik yazılım lisansından üç noktada ayrılır: verinizin model eğitiminde kullanılıp kullanılamayacağı, altta çalışan modelin sizden habersiz değişebilmesi ve çıktının doğruluğunun garanti edilmemesi. Standart SaaS şablonları bu üç riski karşılamaz; her biri sözleşmede ayrı bir madde gerektirir.
TermScout örneklemi (kaynak yalnızca binlerce BT hizmet sözleşmesine erişildiğini söylüyor; yapay zekâ alt örnekleminin büyüklüğü açıklanmıyor) yapay zekâ sözleşmelerini SaaS ortalamasıyla karşılaştırıyor:
| Şart | Yapay zekâ sözleşmeleri | SaaS sözleşmeleri |
|---|---|---|
| Hizmet için gerekenden geniş veri kullanım hakkı | %92 | %63 |
| Tedarikçinin kendi sorumluluğuna tavan koyması | %88 | %81 |
| Müşterinin sorumluluğuna da tavan konması | %38 | %44 |
| Dokümantasyona uygunluk garantisi | %17 | %42 |
| Yürürlükteki tüm mevzuata uyum taahhüdü | %17 | %36 |
| Üçüncü kişi fikri mülkiyet iddialarına karşı tazminat | %33 | — |
Kaynak: Stanford Law CodeX / TermScout, 2025. Kaynakta SaaS karşılığı verilmeyen satır "—" ile gösterildi.
Kısacası tedarikçi sorumluluğunu sınırlıyor ve veride geniş hak istiyor, ama mevzuata ve kendi dokümantasyonuna uyacağını nadiren yazıyor.
İkinci fark modelin kendisiyle ilgili. Microsoft'un Copilot gizlilik belgesi, Eylül 2026 itibarıyla Copilot modellerinin düzenli güncellendiğini ve üretken yapay zekâ yanıtlarının %100 doğru olduğunun garanti edilmediğini yazıyor. Bir dil modelinde sürüm değişince aynı istem farklı sonuç üretebilir. Sözleşme bu değişkenliği yönetmiyorsa kabul testiniz ilk güncellemede anlamını yitirir.
Alıcılar bu soruyu yapay zekâ asistanlarına da soruyor. Sheltron'un Microsoft Clarity AI atıf panosunda (365 günlük pencere, 9 Ağustos 2026 itibarıyla) "yapay zeka çözümü satın alırken dikkat edilmesi gerekenler" sorgusunda sitemizin sayfaları 21 atıf aldı; bu sorgudaki Share of Authority oranımız %47,73. Pano hangi sayfanın hangi sorguda atıf aldığını eşlemiyor; ancak bu rehberden önce sitemizde bu niyete en yakın içerikler firma seçimini anlatıyordu, sözleşme maddelerini ele alan bir sayfa bulunmuyordu.
Türkiye'de bir yapay zekâ çözüm firmasıyla imzalanan sözleşme, çoğu zaman OpenAI, Microsoft ya da Google gibi bir temel model sağlayıcısının standart şartları üzerine kurulur. Sizi koruyan şey, çözüm firmasının alt katmandaki taahhütleri (eğitim yasağı, silme süresi, veri konumu) sizinle yaptığı sözleşmeye aynen yansıtıp yansıtmadığıdır.
Alt katmandaki şartlar KOBİ ölçeğinde pratikte müzakere edilemez; çözüm firmasının sözleşmesi ise edilebilir. Bu yüzden müzakerenin ilk sorusu şudur: "Hizmet hangi model sağlayıcılarıyla, hangi bölgede ve hangi alt işleyenlerle çalışıyor?" NIST'in üretken yapay zekâ profili (AI 600-1) de kurum içeriğine erişen tüm üçüncü tarafların envanterini öneriyor (GV-6.1-007). Katmanlar derinleşebilir: Microsoft, Copilot'ta alt işleyen olarak kullandığı Anthropic modellerinin Eylül 2026 itibarıyla AB Veri Sınırı dışında olduğunu belirtiyor.
Aşağıdaki tablo üç büyük sağlayıcının kamuya açık standart şartlarını Eylül 2026 itibarıyla karşılaştırıyor. "Bu sayfada belirtilmemiş", açılan belgede hüküm bulunmadığını gösterir; taahhüt olmadığı anlamına gelmez.
| Konu | OpenAI (Services Agreement, yürürlük 1 Ocak 2026, ve API belgeleri) | Microsoft Copilot (Microsoft Learn) | Google (Gemini for Google Cloud, Vertex AI ve Gemini SLA'ları) |
|---|---|---|---|
| Eğitimde kullanım | Müşteri içeriği, açık onay olmadan hizmetin geliştirilmesinde kullanılmaz | İstem, yanıt ve Microsoft Graph verisi temel modellerin eğitiminde kullanılmaz | İstemler ve yanıtlar model eğitiminde kullanılmaz |
| Çıktı sahipliği | Girdi müşteride kalır, çıktı müşteriye aittir | Microsoft çıktı üzerinde sahiplik iddia etmez | Bu sayfada belirtilmemiş (veri işleme ekine yönlendiriyor) |
| Saklama ve silme | Kötüye kullanım izleme kayıtları 30 güne kadar; fesihte içerik 30 gün içinde silinir | Saklama politikası kurumun Purview ayarlarıyla yönetilir | Bu sayfada belirtilmemiş |
| Veri konumu | Services Agreement'ta yok; API belgelerine göre ABD, AB ve diğer bölgelerde veri yerleşimi seçeneği var (uygunluk koşullu) | AB müşterisi için AB Veri Sınırı; AB dışı müşteride ABD, AB veya diğer bölgeler | Bu sayfada belirtilmemiş |
| Model değişikliği | Genel kullanımdaki modelde en az 6 ay, özel varyantta en az 3 ay bildirim | Modeller düzenli güncellenir; güvenlik ve gizlilik ayarları değişmez | SLA, önerilen model ömrünü aşan kullanımı kapsam dışı bırakır |
| Çalışma süresi SLA'sı | Sözleşmede ayrı bir SLA maddesi yok | Bu sayfada belirtilmemiş | Vertex AI: eğitim/dağıtım/toplu tahmin %99,9; Gemini çevrimiçi çıkarım API'si %99,5 |
| Fikri mülkiyet tazminatı | Üçüncü kişi IP iddialarında tazminat var | Copilot Copyright Commitment (koruma filtreleri kullanıldıysa) | Bu sayfada belirtilmemiş |
| Sorumluluk tavanı | Son 12 ayda ödenen toplam tutar | Bu sayfada belirtilmemiş | Bu sayfada belirtilmemiş |
Bu tablo bir taban çizgisidir: büyük sağlayıcılar bu korumaları standart şartlarında veriyorsa, aradaki çözüm firmasının daha azını sunması için teknik bir gerekçe yoktur. Şartlar sabit de değildir; OpenAI, müşteri haklarını esaslı biçimde etkileyen değişiklikleri en az 30 gün önceden bildirerek güncelleme hakkını saklı tutuyor. Bu yüzden sözleşme ekinde hangi tarihli sağlayıcı şartlarına dayanıldığı yazılmalıdır. Platform düzeyindeki farkları Microsoft Copilot Business ve ChatGPT Enterprise karşılaştırması işliyor.
Verinin hiç dışarı çıkmaması gerekiyorsa modeli kurum içinde (on-premise) çalıştırmak iki katmanlı yapıyı ortadan kaldırır; Sheltron'un kurumsal AI otomasyonu hizmeti bu kurulum seçeneğini de kapsıyor. Bu durumda bile değişiklik bildirimi, kabul kriteri ve çıkış maddeleri geçerliliğini korur.
Veri maddesinin üç parçası olmalıdır: girdinin ve çıktının size ait olduğu, verinizin hiçbir modelin eğitiminde kullanılmayacağı ve verinin nerede, ne kadar süre saklanacağı. Büyük sağlayıcılar bunları Eylül 2026 itibarıyla standart şartlarında zaten veriyor; çözüm firmanızdan daha azını kabul etmeniz için bir gerekçe yok.
OpenAI Services Agreement (1 Ocak 2026'da yürürlüğe giren sürüm) müşterinin girdi üzerindeki tüm haklarını koruduğunu ve çıktının müşteriye ait olduğunu yazıyor. Microsoft çıktı üzerinde sahiplik iddia etmiyor. Avrupa Komisyonu'nun kamu alımları için hazırladığı model sözleşme maddeleri (MCC-AI) ise daha ileri gidiyor: kurumun veri setleri üzerindeki tüm haklar kurumda kalıyor ve tedarikçi bu verileri sözleşmenin ifası dışında hiçbir amaçla kullanamıyor. Sözleşmede iki cümle birlikte yer almalıdır: veri sizindir ve yalnız hizmetin sunulması için kullanılır.
TermScout örneklemindeki %92'lik oran, bu maddenin neden ayrıca yazılması gerektiğini gösteriyor. OpenAI'ın veri kontrolleri belgesi, API'ye gönderilen verinin 1 Mart 2023'ten beri, müşteri açıkça kabul etmedikçe modellerin eğitiminde kullanılmadığını belirtiyor. Microsoft ve Google da istem ve yanıtları model eğitiminde kullanmadıklarını yazıyor. Ancak bu taahhütler sağlayıcıyla sizin aranızda değil, sağlayıcıyla çözüm firması arasında geçerlidir. Çözüm firmasının kendi ince ayar ya da değerlendirme süreçlerinde verinizi kullanıp kullanmayacağı ayrıca yazılmadıkça belirsiz kalır.
Bu madde yalnız ticari bir koruma değildir: tedarikçi verinizi kendi modelini geliştirmek için kullanırsa, o işleme bakımından yalnız sizin talimatınızla hareket eden bir veri işleyen sayılmayabilir. Eğitim yasağı, KVKK'daki rollerin netliğini de korur.
Örnek ifade (hukukçunuzla uyarlayın): "Tedarikçi ve alt işleyenleri, Müşteri Verisini ve Çıktıları, Müşterinin önceden yazılı onayı olmaksızın herhangi bir modelin eğitimi, ince ayarı veya iyileştirilmesi için kullanamaz."
OpenAI'ın API belgelerine göre kötüye kullanım izleme kayıtları varsayılan olarak 30 güne kadar saklanıyor; sıfır saklama (Zero Data Retention) seçeneği ise OpenAI'ın ön onayına bağlı. Microsoft, Copilot'u 1 Mart 2024'te veri yerleşimi taahhütlerinin kapsamına aldı; AB dışındaki müşterilerin sorgularının ise ABD, AB veya diğer bölgelerde işlenebileceğini yazıyor. Türkiye'deki bir işletme için bu, işleme ülkelerinin sözleşmede ayrıca yazılması demektir. Hangi verinin hiç dışarı çıkmayacağı ise sözleşmeden önce kararlaştırılmalıdır; işletmeler için AI uyum master rehberi bu "veri sınırı" kararını ele alıyor.
Hazır bir yapay zekâ modelini kendi sürecine entegre eden işletme, KVKK'ya göre genellikle veri sorumlusu; tedarikçi ise veri işleyendir. Sözleşme bu rolü, tedarikçiye bırakılan kararları ve yurt dışı aktarımın dayanağını yazmalıdır; çünkü veri güvenliği tedbirlerinden tedarikçiyle birlikte müştereken sorumlu olursunuz.
KVKK'nın Kasım 2025 tarihli Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, hazır bir modeli kendi sürecine entegre eden şirketin veri sorumlusu olarak değerlendirilebileceğini ve kapalı modellerde işletmenin model üzerinde anlamlı bir kontrolü olmayabileceğini not ediyor. Rolü sözleşmenin başlığı değil fiili kontrol belirler: Kurumun Haziran 2025 tarihli veri sorumlusu ve veri işleyen rehberine göre sağlayıcı, sözleşme gereği verileri kendi amaçları için kullanamıyorsa veri işleyendir.
Maddeye girmesi gerekenler:
Sheltron'un kendi veri işleme yaklaşımını KVKK sayfasında açıkladığı gibi, tedarikçinizden de bu taahhütleri yazılı ve erişilebilir biçimde isteyin.
Sağlayıcı yurt dışındaysa aktarım 6698 sayılı Kanun'un 9. maddesine ve Yönetmelik'e tabidir; yeterlilik kararı yoksa uygun güvencelerden biri kullanılır. KVKK'nın standart sözleşmeler sayfasında dört tip yer alıyor; yapay zekâ tedariki için en sık gerekenler veri sorumlusundan veri işleyene (SS-2) ve veri işleyenden veri işleyene (SS-3) aktarım tipleridir. İkincisi iki katmanlı yapının KVKK'daki karşılığıdır: çözüm firması veriyi model sağlayıcısına aktarıyorsa bu halka da güvence altında olmalıdır.
Yurt dışındaki bir yapay zekâ sağlayıcısıyla imzalanan KVKK standart sözleşmesi, imzaların tamamlanmasından itibaren beş iş günü içinde Kurum'a bildirilmelidir; KVKK'nın yurt dışı aktarım rehberine göre bildirmeyenlere idari para cezası uygulanabilir. Sözleşmede bu bildirimi hangi tarafın yapacağı ve alt işleyen listesinin güncellenmesinde size ne kadar önceden haber verileceği yazılmalıdır.
AB pazarına hizmet verenler için ek bir katman var: AB Yapay Zekâ Tüzüğü'nün 25(4). maddesi, yüksek riskli sistemlerde sağlayıcı ile üçüncü taraf tedarikçi arasındaki bilgi, teknik erişim ve destek yükümlülüklerinin yazılı anlaşmayla belirlenmesini öngörüyor. Bu yükümlülük henüz uygulanmıyor: Avrupa Komisyonu'na göre Eylül 2026 itibarıyla yüksek riskli sistem kuralları, hassas alanlardaki (Ek III) sistemler için 2 Aralık 2027'de, düzenlenmiş ürünlere gömülü (Ek I) sistemler için 2 Ağustos 2028'de uygulanacak. Sözleşmeyi bugün yazarken bu maddeye yer açmak, sonradan yeniden müzakereyi önler.
Sözleşme, altta çalışan modelin ya da model sağlayıcısının değişmesini yazılı bildirime ve yeniden kabul testine bağlamalıdır. OpenAI, kendi API müşterilerine genel kullanımdaki modeller için en az 6 ay, özel varyantlar için en az 3 ay bildirim taahhüt ediyor; önizleme modellerinde bu süre 2 haftaya kadar inebiliyor.
Bu madde, yapay zekâ sözleşmesini klasik yazılım sözleşmesinden ayıran en belirgin hükümdür. OpenAI'ın model emeklilik sayfası Eylül 2026 itibarıyla önizleme modellerinin iş açısından kritik üretim yüklerinde kullanılmasını önermiyor ve güvenlik ya da uyum gerekçesiyle daha hızlı emekliliği saklı tutuyor. Google'ın Vertex AI SLA'sı, belgelerde önerilen model ömrünü aşan kullanımı SLA kapsamı dışında bırakıyor; Gemini çevrimiçi çıkarım SLA'sında da kısa süreli erişilebilirlik için işaretlenen modellerde taahhüt %99,5'ten %95'e iniyor. Microsoft ise güncellemelerin güvenlik, gizlilik ve uyum ayarlarını değiştirmediğini belirtiyor; çıktı davranışına ilişkin bir güvence ise belgede yer almıyor.
Üç sağlayıcının ortak mesajı şudur: model değişecek; soru, ne zaman ve size nasıl haber verileceğidir. Çözüm firması kendi sağlayıcısından aylar önce bildirim alıyorsa, bu süreyi size yansıtmaması için bir neden yoktur. NIST AI 600-1 (GV-6.2-007) de ince ayar, sapma (drift) ve bozulma gibi zaman içindeki değişikliklerin tedarikçi sözleşmesinde ele alınmasını öneriyor. AB'nin model maddeleri de her "önemli değişiklik"te teknik dokümantasyonun güncellenmesini şart koşuyor.
Maddeye girmesi gerekenler:
Örnek ifade (hukukçunuzla uyarlayın): "Tedarikçi, hizmette kullanılan temel modelin veya model sağlayıcısının değiştirilmesini en az [X] gün önceden yazılı olarak bildirir; bildirimde yeni modelin adı, sürümü, barındırıldığı ülke ve kabul testi sonuçları yer alır."
Bir yapay zekâ SLA'sı iki ayrı taahhüt içermelidir: hizmetin erişilebilir kalması ve çıktının kabul edilebilir kalitede olması. Eylül 2026 itibarıyla Google'ın Vertex AI SLA'sı eğitim, dağıtım ve toplu tahmin için %99,9; Gemini çevrimiçi çıkarım API'si için %99,5 erişilebilirlik öngörüyor. İncelenen standart şartların hiçbirinde ise doğruluk taahhüdü yer almıyor.
Vertex AI SLA'sı (son değişiklik 12 Şubat 2026) eğitim, dağıtım ve toplu tahmin hizmetleri için aylık en az %99,9 erişilebilirlik taahhüt ediyor. Hedef karşılanmazsa kredi kademeli işliyor: erişilebilirlik %99 ile %99,9 arasındaysa aylık faturanın %10'u, %95 ile %99 arasındaysa %25'i, %95'in altındaysa %50'si. Aynı SLA'da özel model çevrimiçi tahmini için oran %99,5'tir. Bir çözüm firmasının Gemini modelini çağırırken fiilen kullandığı hizmetin ise ayrı bir sözleşmesi var: Gemini çevrimiçi çıkarım API'si SLA'sı (son değişiklik 30 Haziran 2026) aylık %99,5 erişilebilirlik öngörüyor, kısa süreli erişilebilirlik için işaretlenen modellerde ise %95. Buradaki kredi kademeleri %99 ile %99,5 arası için %10, %95 ile %99 arası için %25, %95 altı için %50. Hangi SLA'nın geçerli olduğu, çözüm firmasının hangi hizmeti kullandığına bağlıdır. OpenAI'ın Services Agreement metninde ise ayrı bir çalışma süresi SLA maddesi bulunmuyor.
Çözüm firmasının çalışma süresi taahhüdü pratikte dayandığı altyapıyla sınırlıdır; ama destek yanıt süresi, olay bildirimi ve yedek plan gibi kendi kontrolündeki alanlarda taahhüt verebilir. NIST AI 600-1, tedarikçi sözleşmelerindeki SLA'ların olay müdahalesini, yanıt sürelerini ve kritik desteğe erişimi kapsamasını öneriyor (GV-6.2-007). Aynı belge, yedek planın gerektiğinde manuel işlemeyi de içerebileceğini hatırlatıyor (GV-6.2-006). Kredi oranlarını proje maliyetiyle birlikte okumak için AI ve GEO yatırım maliyeti ve ROI rehberine bakabilirsiniz.
Bir yapay zekâ SLA'sı erişilebilirliği ölçer, doğruluğu değil. Microsoft'un yanıtların %100 doğru olduğunu garanti etmemesi, doğruluğun ayrı bir mekanizmayla ele alınması gerektiğini gösteriyor. AB'nin model maddeleri doğruluk düzeyinin ekte tanımlanması için bir kalıp sunuyor: gerekli doğruluk düzeyleri ve ölçüm metrikleri sözleşmenin ekinde (Ek G) yazılı olarak tanımlanıyor. Kabul koşulları ise maddelerin kapsamı dışında; ayrıca yazılmaları gerekiyor.
Uygulamada kabul, gerçek iş örneklerinden oluşan ve sizin belirlediğiniz bir değerlendirme setine bağlanır; metrik ve eşik ekte yazılır, model değişince test tekrarlanır. Halüsinasyon riskinin kurumsal tarafı için AI halüsinasyon krizinden korunma rehberi tamamlayıcı bir okuma olabilir.
Örnek ifade (hukukçunuzla uyarlayın): "Kabul, Ek [X]'te (doğruluk ve kabul kriterleri) tanımlı değerlendirme seti üzerinde [metrik] için [eşik] değerinin sağlanmasına bağlıdır; model değişikliğinden sonra aynı test tekrarlanır."
Fikri mülkiyet maddesi, çıktının kime ait olduğunu ve üçüncü kişi telif iddiasında masrafı kimin üstleneceğini yazmalıdır. TermScout örnekleminde yapay zekâ tedarikçilerinin yalnız %33'ü bu tür iddialara karşı tazminat veriyor; %88'i kendi sorumluluğunu tavanla sınırlarken müşteri sorumluluğunu da sınırlayanların oranı %38'de kalıyor.
Bu maddede de büyük sağlayıcıların çizgisi iyi bir referans. OpenAI, Services Agreement'ın 13.1. maddesinde üçüncü kişilerin fikri mülkiyet ihlali iddialarına karşı müşterisini tazmin etmeyi üstleniyor. Sorumluluk tavanını ise olaydan önceki 12 ayda ödenen toplam tutar olarak belirliyor; ağır ihmal ve kast, tazminat yükümlülükleri ve ödeme yükümlülükleri bu tavanın dışında tutuluyor. Microsoft'un Copilot Copyright Commitment taahhüdü, müşteri ürünün koruma ve filtrelerini kullandığı sürece telif davalarında savunma ve tazmin sağlıyor. Microsoft, çıktının telif korumasına konu olup olmayacağına ise karar vermiyor.
AB'nin model maddeleri burada kısmen yardımcı oluyor: güncel MCC-AI-Light (Şubat 2025 sürümü), yapay zekâ sisteminin ve veri setlerinin kullanımından doğan üçüncü kişi fikri mülkiyet ve veri koruma iddialarına karşı karşılıklı bir tazminat maddesi içeriyor: tedarikçi, sistemin ve kendi veri setlerinin kullanımından doğan iddialarda kurumu; kurum da kendi veri setlerinden doğan iddialarda tedarikçiyi tazmin ediyor. Ancak Komisyon, ilk sürümün sayfasında bu maddelerin tam bir sözleşme olmadığını; fikri mülkiyet, sorumluluk ve ödeme gibi konuların ayrıca düzenlenmesi gerektiğini yazıyor. Çıktı sahipliği, sorumluluk tavanı ve ödeme bu yüzden çözüm firmasıyla doğrudan müzakere edilir.
Müzakerede üç soruya yazılı cevap aranmalıdır:
Onuncu madde iki şeyi bağlar: hizmet sürerken güvenliğin nasıl denetleneceğini ve sözleşme biterken verinin, istem şablonlarının, değerlendirme setlerinin ve logların hangi formatta, ne kadar sürede teslim edilip silineceğini. OpenAI fesihte müşteri içeriğini 30 gün içinde siliyor; AB'nin model maddeleri imhanın kanıtlanmasını istiyor.
Güvenlik ve denetim: Güvenlik maddesi "verileriniz şifrelenir" cümlesinden ibaret olmamalıdır. OpenAI'ın sözleşmesinde iki somut mekanizma var: güvenlik önlemleri esaslı biçimde zayıflatılırsa müşteri, güncellemeden itibaren 5 iş günü içinde fesih bildirebiliyor; bağımsız denetim raporları da yazılı taleple, yılda en fazla bir kez paylaşılıyor. KVKK'nın üretken yapay zekâ rehberi istem enjeksiyonu, jailbreak, model ters çevirme ve üyelik çıkarımı saldırılarına karşı teknik kontrolleri ve kırmızı takım testlerini sayıyor. NIST AI 600-1 ise üçüncü tarafın süreçlerini değerlendirme hakkını (GV-6.1-006) ve ciddi olayların bildirilmesini (GV-6.2-007) öneriyor.
Tedarikçiden dört unsuru yazılı isteyin: denetim raporuna erişim, ciddi olay bildirim süresi, yapay zekâya özgü saldırılara karşı test yaklaşımı ve güvenlik seviyesi düşerse fesih hakkı. Kamuya açık bir taahhüt sayfasına örnek olarak Sheltron'un güvenlik sayfasına bakabilirsiniz.
Çıkış ve veri iadesi: MCC-AI'ın yüksek risk dışı sistemler için hazırlanan "light" sürümü üç net kalıp sunuyor: veri setleri kurumun belirlediği ortak bir dosya formatında teslim edilir, sistem logları sözleşme sonunda gecikmeksizin teslim edilir ve veriler ilk talepte imha edilip imhanın makul bir kanıtı sunulur.
Teslim edilecek olan yalnız ham veri değildir; istem şablonları, yapılandırmalar, değerlendirme setleri ve loglar, yeni bir tedarikçiye geçişte projeyi sıfırdan kurmamanızı sağlar. Silme talimatı vermeden önce teslim alınan paketi eksiksizlik için doğrulayın. Birikmiş ölçüm geçmişinin ajans değişiminde nasıl korunacağını GEO ajansı seçme rehberi benzer bir mantıkla anlatıyor. Sözleşme bir AI görünürlük hizmetini de kapsıyorsa, teslim alınan ölçüm verisini ekibin kendisinin okuyabilmesi geçişi kolaylaştırır; bunun temelleri için GEO Akademi içeriklerinden yararlanılabilir.
Örnek ifade (hukukçunuzla uyarlayın): "Sözleşmenin sona ermesinden itibaren [X] gün içinde Müşteri Verisi, istem şablonları, yapılandırmalar, değerlendirme setleri ve loglar [CSV/JSON] formatında teslim edilir; ardından silinir ve silme yazılı olarak teyit edilir."
İmzadan önce on maddenin her biri için üç şeyi kontrol edin: metinde ne yazdığı, eksikse hangi riskin doğduğu ve hangi birincil belgeye dayandığı. En kolay atlananlar, standart yazılım şablonlarında karşılığı olmayan eğitim yasağı, model değişikliği bildirimi ve doğruluk kabulü maddeleridir.
Aşağıdaki tablo hukuki görüş değildir; her satırın son metni projenin kapsamına göre uyarlanmalıdır.
| # | Madde | Ne yazmalı | Eksikse riski | Dayanak |
|---|---|---|---|---|
| 1 | Veri ve çıktı sahipliği | Girdi, çıktı ve proje varlıkları müşterinin; veri yalnız hizmet için kullanılır | Veri başka amaçla kullanılır, çıktıda hak iddiası doğar | OpenAI Services Agreement 4.1; MCC-AI Section C |
| 2 | Eğitimde kullanım yasağı | Yazılı onay olmadan hiçbir model eğitimi veya ince ayarında kullanım yok | Ticari sırlar model geliştirmede kullanılabilir; KVKK rolleri bulanıklaşır | OpenAI 4.2; KVKK Rehber No 113 |
| 3 | Saklama süresi ve veri konumu | Saklama süresi, işlendiği ülkeler ve sıfır saklama seçeneği | Veri bilinmeyen bölgede, bilinmeyen süre tutulur | OpenAI API belgeleri; Microsoft Learn |
| 4 | KVKK rolleri ve veri işleme şartları | Rollerin tanımı, tedarikçiye bırakılan teknik kararlar | Müşterek sorumlulukta görev dağılımı belirsiz kalır | KVKK Rehber No 106 ve No 113; Kanun md. 12 |
| 5 | Yurt dışı aktarım ve alt işleyen listesi | Aktarım dayanağı, standart sözleşme tipi, bildirim sorumlusu, alt işleyenler | Beş iş günlük bildirim kaçar, idari para cezası riski doğar | KVKK yurt dışı aktarım rehberi; standart sözleşmeler |
| 6 | Model ve sağlayıcı değişikliği | Yazılı önceden bildirim, yeni sürüm bilgisi, yeniden kabul testi, önizleme yasağı | Çıktı kalitesi habersiz değişir, kabul testi geçersizleşir | OpenAI Deprecations; NIST GV-6.2-007 |
| 7 | Erişilebilirlik ve destek SLA'sı | Çalışma süresi hedefi, kredi kademeleri, destek ve olay yanıt süresi, yedek plan | Kesintide telafi ve muhatap belirsizdir | Vertex AI ve Gemini SLA'ları; NIST GV-6.2-006/007 |
| 8 | Doğruluk ve kabul kriterleri | Ekte değerlendirme seti, metrik ve eşik; model değişiminde tekrar test | Hatalı çıktı "sözleşmeye uygun" sayılır | MCC-AI Ek G; Microsoft Learn |
| 9 | Fikri mülkiyet, tazminat, tavan | IP tazminatı, koşulları, simetrik sorumluluk tavanı ve istisnaları | Telif iddiasının masrafı size kalır | TermScout (Stanford CodeX); OpenAI 13.1 ve 14.2; MCC-AI-Light Indemnifications |
| 10 | Güvenlik, denetim ve çıkış | Denetim raporu, olay bildirimi, fesih hakkı; ortak formatta teslim ve silme teyidi | Tedarikçiye kilitlenirsiniz, veri iadesi belirsiz kalır | OpenAI 5.1, 5.2, 11.3; MCC-AI Handover |
Tabloyu teklif aşamasında tedarikçilere göndermek cevapları karşılaştırılabilir kılar; bunun satınalma sürecine nasıl yerleşeceğini satınalma AI otomasyonu ve tedarikçi seçimi yazısı anlatıyor. Dışarıdan alma kararı henüz verilmediyse önce iç ekip mi ajans mı sorusunu netleştirin. Hizmet tiplerine genel bakış için Sheltron'un yapay zekâ çözümleri sayfasına bakabilirsiniz.
Müzakere, projenin hangi veriye dokunacağı ve hangi süreçlerin tedarikçiye açılacağı baştan belli olduğunda kısalır. Sheltron'un hızlı değerlendirme formuyla hangi süreçlerinizin yapay zekâ otomasyonuna uygun olduğunu netleştirin; sözleşmenin hangi veriye dokunacağı da buradan belli olur.
Ajans desteği mi arıyorsunuz? Partner GEO ajansımız Lein Digital.
Web sitenizin ChatGPT, Gemini ve diğer AI platformlarında nasıl göründüğünü ücretsiz öğrenin.
Ücretsiz Analiz Al