SDAIA, 31 Ekim 2026'da "Sentetik Veriler: Fırsatlar, Zorluklar ve Yönetişim Mekanizmaları" başlıklı 47 sayfalık bir çalışma yayımladı. Sentetik veriler, gerçek kayıtlarınızın istatistiksel özelliklerini taklit etmek için algoritmalarla üretilir ve gerçek kişilere dair bilgi içermez. Şirketiniz bunları üç şekilde kullanabilir: müşteri kayıtlarını açığa çıkarmadan sistemlerini test etmek ve modellerini eğitmek, dolandırıcılık gibi elinde yeterince bulunmayan nadir durumları üretmek ve bir geliştirici ya da ortakla bilgiyi daha güvenli paylaşmak. Ancak çalışma, bunların mutlak gizlilik sağlamadığı uyarısında bulunuyor: kişiler bunlardan tanınabiliyorsa Kişisel Verilerin Korunması Kanunu kapsamına girerler.
SDAIA ne dedi?
SDAIA'nın duyurusuna göre sentetik veriler yeniliği hızlandırabilir, toplama ve hazırlama maliyetlerini düşürebilir ve özellikle sağlık ve finansal hizmetler gibi hassas bilgilerle çalışan sektörlerde kurumlar arasında bilgi paylaşımını kolaylaştırabilir. Ancak çalışmanın kendisi, gerçeklerini taklit eden kayıtlar üretmenin kişilerin yeniden tanınma risklerini ve istatistiksel yanlılıkları mutlaka ortadan kaldırmadığını vurguluyor. Çalışma yönetişimi dört boyuta dayandırıyor: gizliliğin korunması, veri kalitesi, adalet ve yanlılığın azaltılması, şeffaflık.
Fikir yeni değil: çalışmaya göre gizliliği korumak için ilk sistematik kullanım 1993'te ABD nüfus sayımının gizliliğini korumak amacıyla yapıldı, büyük sıçrama ise 2014'te çekişmeli üretici ağlarla (GAN) geldi. Yeni olan, üretken yapay zekânın bunları üretmeyi daha kolay ve ucuz hâle getirmesi.
Sentetik verilerin 3 türü
| Tür | Nedir | Şirketinize ne zaman uyar |
|---|---|---|
| Tamamen sentetik | Tüm kayıtlar üretilmiştir; tek bir gerçek kayıt kalmaz | Gizlilik her şeyden önemliyse ya da henüz yaşanmamış durumları temsil etmek için |
| Kısmen sentetik | Ad, gelir ve konum gibi hassas alanları üretilmiş değerlerle değiştirilen gerçek kayıtlar | Hassas alanları korurken gerçek kayıtların gerçekçiliğine ihtiyaç duyduğunuzda; ilk türden daha az güvenlidir |
| Hibrit | Gerçek ve sentetik kayıtların karışımı | Küçük bir kümeyi büyütmek ya da nadir durumları temsil etmek istediğinizde |
Çalışmaya göre üç yolla üretilirler: müşteri yaş dağılımı gibi kendi yazdığınız kurallarla; değişkenler arasındaki ilişkileri öğrenen istatistiksel modellerle; ya da görseller, metinler ve diğer karmaşık içerikler için uygun üretken yapay zekâ modelleriyle.
Şirketiniz bunlardan nasıl yararlanabilir?
- Sistemleri müşteri bilgisi olmadan test etmek. Geliştirme ve test ortamınızın müşterilerinizin gerçek adlarına ve cep telefonu numaralarına ihtiyacı yok. Biçim ve dağılım bakımından gerçeklerine benzeyen sentetik müşteriler, faturalar ve işlemler üretin; gerçek kayıtları yalnızca canlı ortamda tutun. Test kayıtlarının gerçek alan adlarına veya adreslere işaret etmediğinden emin olun; gerçek bir alan adıyla çakışan uydurma şirket adı hikâyesinde bunun ne yol açtığını gördük.
- Modelleri nadir durumlarla eğitmek. Çalışma, finans sektörünün bunları dolandırıcılık ve kara para aklamayı tespit etmek için nadir işlemler üretmekte kullandığını belirtiyor. Bir modeli eğitmek için elinizde çok az dolandırıcılık, iade ya da arıza vakası varsa aynı fikir işinize yarar.
- Küçük grupları daha iyi temsil etmek. Kayıtlarınız tek bir şehre ya da müşteri segmentine kayıyorsa, sentetik veriler bunları dengeleyerek modelin diğerlerine karşı yanlı olmasını önler.
- Bir geliştirici veya ortakla paylaşmak. Tedarikçiye ya da yazılım şirketine müşteri veritabanınızın bir kopyasını vermek yerine, üzerinde geliştirip test edebileceği sentetik veriler verin.
Sentetik veriler Kişisel Verilerin Korunması Kanunu'nun dışında mı kalır?
Otomatik olarak değil. Çalışma, sentetik verilerin ne Kişisel Verilerin Korunması Kanunu'nda ne de uygulama yönetmeliğinde açıkça anıldığını, ancak yönetmeliğin 9. maddesinin anonimleştirilmiş bilgilerin kişisel sayılmadığını hükme bağladığını açıklıyor. Yani her şey yeniden tanınmaya bağlı: bir kişi doğrudan ya da dolaylı olarak tanınabiliyorsa kanun uygulanır; tanınamıyorsa anonim kabul edilir. Bu nedenle çalışma, özellikle kişilerle kolayca eşleştirilebilen küçük örneklemler ve nadir durumlarda yeniden tanınma riskinin değerlendirilmesini istiyor.
Çalışma ayrıca SDAIA'nın 2023'te bölgenin veri ve gizlilik alanındaki ilk düzenleyici deneme ortamını kurduğunu hatırlatıyor; burası sentetik veriler dahil gizliliği güçlendiren teknolojilerin, gizlilik gerekliliklerine aykırı düşmeden test edildiği bir alan.
Dikkat etmeniz gereken 4 risk
- Yeniden tanınma. Üretici model, gerçek kayıtlardaki kesin veya nadir örüntüleri ezberleyip belirli bir kişiyi açığa çıkarabilir.
- Gerçekçilik eksikliği. Sentetik veriler aykırı değerleri ve ince ayrıntıları kaçırabilir; model testlerde başarılı olur, gerçek müşterilerde başarısız olur.
- Model bozulması. Modelleri tekrar tekrar başka modellerin ürettiği içerikle eğitmek onların çeşitliliğini giderek azaltır; çalışma buna model çöküşü diyor.
- Yanlılığın yeniden üretilmesi. Asıl kayıtlarınız yanlıysa, sentetik veriler bu yanlılığı devralabilir hatta büyütebilir.
SDAIA yol haritasından pratik adımlar
Çalışma 3 aşama ve 6 adımlık bir yol haritası öneriyor; biz bunun orta ölçekli bir şirkete uyan kısmını aldık:
- Önce amacı belirleyin. Bunları yazılım testi için mi, bir model eğitmek için mi, yoksa üçüncü bir tarafla paylaşmak için mi istiyorsunuz? Amaç, gereken doğruluk ve gizlilik düzeyini ve doğru aracı belirler.
- Bir sorumlu atayın ve iç kurallar koyun. Üretilmelerini ve kullanılmalarını kim onaylıyor, kalitelerinden kim sorumlu. SDAIA'ya uygun veri yönetişimini uygulamaya başladıysanız sentetik verileri de buna ekleyin.
- Kullanmadan önce kaliteyi ve gizliliği kontrol edin. Sentetik kümeyi gerçek olanla karşılaştırın, birinin kişileri yeniden tanıyıp tanıyamayacağını test edin ve son modeli bağımsız gerçek kayıtlarla değerlendirin.
- Üretim sürecini belgeleyin. Asıl kayıtların kaynağını, kullanılan aracı veya modeli ve ayarları kaydedin ki iş daha sonra incelenebilsin.
- Tedarikçilerden şeffaflık isteyin. Sentetik veri ya da üretim aracı satın alırsanız kaynaklar, kullanılan model, bilinen yanlılıklar ve sınırları hakkında belge isteyin.
Bu adımlar ulusal yapay zekâ risk yönetimi çerçevesiyle uyumludur. Origami olarak şirketlerin gerçek müşteri kayıtlarından ayrı, sentetik verilerle çalışan test ortamları kurmasına yardım ediyoruz. Bizimle başlamak isterseniz bizimle iletişime geçin.
Kaynaklar
Sık sorulan sorular
Sentetik veri nedir?
SDAIA çalışmasındaki tanıma göre, gerçek verilerin istatistiksel özelliklerini taklit etmek için algoritmalar veya yapay zekâ modelleriyle üretilen, gerçek kişi ya da kurumlara dair tanımlayıcı bilgi içermeyen kayıtlardır.
Sentetik veriler gizlilik açısından tamamen güvenli mi?
Hayır. SDAIA, özellikle üretici model gerçek kayıtlardaki nadir örüntüleri ezberlemişse, kişilerin yeniden tanınma riskini ortadan kaldırmadıklarını vurguluyor; bu riski kullanmadan önce değerlendirin.
Kişisel Verilerin Korunması Kanunu sentetik verilere uygulanır mı?
Yeniden tanınmaya bağlı. Uygulama yönetmeliğinin 9. maddesi anonimleştirilmiş bilgilerin kişisel sayılmadığını söylüyor; ancak bunlardan bir kişi tanınabiliyorsa kanun uygulanır.
Küçük veya orta ölçekli bir şirket nereden başlamalı?
Test ortamından: geliştirme ve testteki gerçek müşteri kayıtlarını sentetik verilerle değiştirin, bir sorumlu atayın ve nasıl üretildiklerini belgeleyin.
