Yapay zekâ ile modernizasyon yaptığınızda araç kodunuzu ve muhtemelen veritabanınızın kopyalarını okur, bunu da genellikle Krallık dışındaki veri merkezlerinde yapar. Bölgeler sayfasına göre AWS Transform'un bugün Orta Doğu'da hiçbir çalışma alanı bölgesi yok ve Saudi Press Agency'ye göre AWS'nin Suudi bölgesi Aralık 2026'da açılacak. Bu yüzden bir şey göndermeden önce: kodu kişisel verilerden ayırın, en azını gönderin ve dışarı çıkan her şeye Kişisel Verilerin Krallık Dışına Aktarılmasına İlişkin Yönetmeliği uygulayın.

6. bölümde işi durdurmadan yeni sisteme geçişi planladınız. Bu son bölüm veri sorusunu yanıtlıyor ve serinin alıştırmalarını 90 günlük bir plana dönüştürüyor. Kanunun temelleri için pratik PDPL rehberimize bakın.

Modernizasyon sırasında şirketinizden gerçekte ne çıkıyor

Veri kelimesi burada 4 farklı şeyi saklıyor ve her birinin riski farklı:

  • Kodun kendisi: geliştiricilerinizin yazdığı yazılım. Genellikle müşteri verisi içermez, ama içine yazılmış parolalar, sunucu adresleriniz veya geliştirici yorumlarında müşteri adları bulunabilir.
  • Veritabanı kopyaları: analiz ve test için gereklidir ve gönderilebilecek en tehlikeli şeydir, çünkü müşterilerin adlarını, kimlik numaralarını ve cep telefonlarını, çalışanların maaşlarını içerir.
  • Araçla sorularınız ve sohbetleriniz: ekibinizin sohbet penceresine yazdığı her şey; biri bir sorunu anlatmak için gerçek bir kaydı oraya yapıştırabilir.
  • Çıktılar: yeni kod, dokümantasyon ve 4. bölümde çıkardığınız iş kuralları; bunlar şirketinizin içeriden nasıl işlediğini anlatır.

Çalışma kuralı: kod dışarı çıkmadan önce temizlenir, gerçek veriler ise ancak başka seçenek yoksa çıkar. Çoğu dönüştürme projesinde test için maskelenmiş bir kopya yeterlidir, yani gerçek adların ve numaraların aynı biçimde sahte değerlerle değiştirildiği veriler.

AWS Transform gibi bir araç verilerinizi nerede işliyor

Örnek olarak AWS Transform'u alıyoruz çünkü Amazon ayrıntıları yayımladı; aynı sorular başka her araç için de geçerli. Amazon'un resmi sayfalarının bugün söyledikleri:

  • Nerede saklanıyor: Veri koruma sayfasına göre verileriniz, çalışma alanını oluşturduğunuz bölgede tutulur. Bölgeler sayfası 11 bölge listeliyor; aralarında Frankfurt, Londra, Mumbai, Tokyo ve Virginia var, bazıları yalnızca belirli yetenekler için, ve hiçbiri Orta Doğu'da değil.
  • Nerede işleniyor: Bölgeler arası işleme sayfası, aracın Amazon Bedrock modelleriyle çalıştığını ve isteklerin ve sonuçlarının aynı coğrafya içindeki başka bir bölgede işlenebileceğini açıklıyor; örneğin Frankfurt'tan gelen bir istek 6 Avrupa bölgesinde işlenebilir. Aynı sayfa, 7 Ekim 2026'dan itibaren Mumbai ve Seul kaynaklı sohbet isteklerinin AWS'nin tüm ticari bölgelerine dağıtıldığını, depolamanın ise kaynak bölgede kaldığını duyuruyor.
  • Hizmet iyileştirme: Amazon, hizmet iyileştirme sayfasında sorularınızı ve aracın ürettiği kodu, model eğitimi dahil, hizmeti iyileştirmek için kullanabileceğini ve bundan çıkmanın hesap yöneticinizin AWS Organizations'ta ayarlayacağı bir yapay zekâ hizmetleri devre dışı bırakma politikasıyla yapıldığını söylüyor.

Aralık 2026'da beklenen Suudi AWS bölgesi de bu aracın otomatik olarak oradan çalışacağı anlamına gelmiyor. Projeniz başladığında bölgeler sayfasını kendiniz açın; liste değişiyor.

Veriler dışarı çıkmadan önce PDPL ne istiyor

Kişisel veriler Krallık dışına çıkıyorsa, onları SDAIA'nın Ulusal Veri Yönetişimi Platformu'nda yayımlanan Kişisel Verilerin Korunması Kanunu (PDPL) ve aktarım yönetmeliği anlamında aktarıyorsunuz demektir. Bir modernizasyon projesinde önemli olanlar, hukuki değil pratik bir dille:

  • Alıcı ülkedeki koruma düzeyi: yetkili makam, yeterli koruma düzeyi sağlayan ülkelerin bir listesini yayımlar ve bunu 4 yılda bir ya da gerektiğinde gözden geçirir. Verilerinizin nerede işleneceğini öğrenin, sonra listeyi kontrol edin.
  • Alternatif güvenceler: yönetmeliğin tanımladığı muafiyet durumlarında aktarım uygun güvencelere bağlanır; bunlar 3 tanedir: standart sözleşme maddeleri, bir şirketler grubu içinde bağlayıcı ortak kurallar veya alıcı taraf için bir akreditasyon sertifikası.
  • Risk değerlendirmesi: yönetmelik, veri sorumlusunu, yani şirketinizi, belirttiği durumlarda aktarımdan önce bir risk değerlendirmesi yapmakla yükümlü tutar.
  • Hassas veriler: bazı muafiyet durumları sağlık verileri ve kişisel finansal veriler gibi hassas verileri açıkça dışarıda bırakır, bu yüzden onlara ekstra özen gösterin.

Ulusal Veri Yönetişimi Platformu bu adım için pratik hizmetler sunuyor; aralarında kişisel veri işleme etki değerlendirmesi, veri koruma görevlisi atamanız gerekip gerekmediğini söyleyen bir araç ve uyum öz değerlendirmesi var. Biz bir teknoloji şirketiyiz, hukuk danışmanı değiliz; aktarım kararını veri koruma görevlinize veya hukuk danışmanınıza götürün. Yerel bölgeyi beklemeyi düşünüyorsanız, bununla gerçekte neyin değiştiğini Krallık içinde bir bulut bölgesi yazımızda anlattık.

Bir şey göndermeden önce her araca veya tedarikçiye sorulacak 6 soru

  1. Verilerimiz hangi bölgede saklanıyor ve hangi bölgelerde işlenebilir? Cevabı resmi sayfanın bağlantısıyla birlikte yazılı isteyin.
  2. Sorularımız veya kodumuz model eğitmek için kullanılıyor mu ve bunu nasıl durdururuz?
  3. Analiz, veritabanı kopyaları olmadan yalnızca kod üzerinde yapılabilir mi?
  4. Bizim ekibimizden ve tedarikçinin ekibinden kim çalışma alanına erişebilir ve her erişim kaydediliyor mu?
  5. Proje bitince verilerimiz ne zaman silinir ve silmeyi nasıl doğrularız?
  6. Gerekirse hassas aşama Krallık içinde veya kendi sunucularımızda yürütülebilir mi?

Bir tedarikçi bunlardan birine yazılı yanıt vermiyorsa, bu zaten bir yanıttır. Barındırma seçeneklerinin kendisi için buluta geçiş rehberimize bakın.

Serinin alıştırmalarından kurulan 90 günlük plan

Bu plan sisteminizi 90 günde modernize etmez. Sizi yazılı bir karara ve paralel çalıştırmaya hazır tek bir pilot modüle götürür ve önceki altı bölümün alıştırmalarından kurulmuştur:

DönemNe yaparsınızHangi bölümdenÇıktı
1. ile 30. gün arası: neye sahip olduğunuzu bilinŞirketin bir gün bile onlarsız çalışamayacağı sistemleri ve her birini kimin anladığını listeleyin, her sistemi destek, bilgi riski, entegrasyon ve değişiklik hızına göre puanlayın, ardından her sistem için kişisel veri içerip içermediğini kaydeden tek sayfalık bir tablo hazırlayın1., 2. ve 3. bölümlerSistemlerinizin haritası ve verilerinin sınıflandırması
31. ile 60. gün arası: karar verinHer aday sistem için en az bir iş kuralı çıkarıp gerçekle karşılaştırın, her sistem için bir yol seçin ve altı veri sorusunu her aday araca veya tedarikçiye sorun4., 5. ve 7. bölümlerHer sistem için yazılı bir karar ve veri koruma görevlinizin imzaladığı bir veri aktarım kararı
61. ile 90. gün arası: tek bir modülü deneyinÖnemli olan en küçük modülü seçin, maskelenmiş test verileri hazırlayın, geçiş formunu kimin imzalayacağı ve geri dönüş tetikleyicisiyle doldurun ve kapanmış bir dönem üzerinde karşılaştırmaya başlayın6. ve 7. bölümlerBir pilot modül ve süreç sahiplerinin değerlendirdiği karşılaştırma sonuçları

90. günün sonunda önceden bilmediğinizi bilirsiniz: neye sahip olduğunuzu, neyin modernize edilmeye değdiğini ve yapay zekâ araçlarının tedarikçi örnekleriyle değil kendi kodunuzla nasıl davrandığını. Ancak o zaman maliyet ve süre üzerine her konuşma sizin gerçekliğinize dayanır.

Origami'nin bakışı

Modernizasyon projelerine kod haritasından önce veri haritasıyla başlarız: ne çıkıyor, nereye ve neden. Analizin temizlenmiş kod ve maskelenmiş veriler üzerinde yapılmasını, gerçek verilerin ise mümkün olduğunca sizin ortamınızda kalmasını tercih ederiz; böylece teknik hız sonradan bir uyum sorununa dönüşmez.

Yapay zekâ araçlarını işi gerçekten kısalttığı yerde kullanırız, ama onlara neyin gönderileceği kararı yazılı ve imzalı olarak sizde kalır. Nasıl çalıştığımızı görmek için hizmetlerimize göz atın.

Serinin kapanışı

7 bölüm önce tek bir soruyla başladık: eski sistemimi yapay zekâ ile nasıl modernize ederim? Vardığımız cevap şu: yapay zekâ okumayı, dönüştürmeyi ve test etmeyi hızlandırır, ama önemli kararlar şirketi yönetenlerde kalır: hangi sistem buna değer, hangi kural doğru, kim imzalar ve veriler nereye gider. Eski sistemleriniz şirketi yıllarca ayakta tuttu; onları sakin ve planlı biçimde modernize etmek onlar için yapabileceğiniz en iyi şeydir. Serinin tüm bölümlerini bilgi merkezinde bulabilirsiniz.

Kaynaklar