Yapay Zeka HIPAA ve GDPR Uyumlu mu?

Düzenlemeye tabi bir işletme için uyumlu yapay zeka, açıp kapattığınız tek bir ayar değildir — bir denetimler zinciridir: hasta veya müşteri verisine dokunan her tedarikçiyle imzalanmış bir İş Ortağı Sözleşmesi (BAA), aktarım sırasında ve beklemede şifreleme, denetim kaydı, erişim denetimleri ve yapay zekanın eylemlerini yöneten bir insan. Bu önemlidir çünkü işi yanlış yapmanın bedeli, tam olarak yapay zekanın en hızlı benimsendiği yerde yoğunlaşmıştır: sağlık verisi ihlalleri 2025'te ortalama 7,42 milyon dolar tuttu — üst üste 14. yıldır herhangi bir sektördeki en pahalı ihlal (IBM Cost of a Data Breach 2025). Ve yeni risk yapay zekanın kendisi değil — yönetilmeyen yapay zeka: yapay zeka kaynaklı bir ihlal bildiren kuruluşların %97'sinde hiçbir yapay zeka erişim denetimi yoktu.

Bu rehber, bir klinik, med spa, diş hekimliği muayenehanesi veya hassas müşteri verisi işleyen herhangi bir KOBİ için "HIPAA uyumlu yapay zeka" ve "GDPR uyumlu yapay zeka"nın gerçekte ne anlama geldiğini açıklıyor — talep edilmesi gereken denetimleri, bir tedarikçiye sorulacak soruları ve hasta ile müşteri görüşmeleri için yapay zekayı bir istatistiğe dönüşmeden nasıl benimseyeceğinizi.

Yapay zeka HIPAA uyumlu mu?

Hiçbir yazılım tek başına "HIPAA uyumlu" değildir — HIPAA uyumluluğu, bir sistemin nasıl dağıtıldığı ve işletildiğinin bir özelliğidir, bir ürünün taşıdığı bir rozet değil. Bir yapay zeka aracı yalnızca üç şey doğru olduğunda HIPAA uyumlu bir şekilde kullanılabilir:

Veri yolundaki her tedarikçiyle bir BAA imzalanmış olmalıdır — yapay zeka platformu ve tüm alt işleyiciler (model sağlayıcısı, bulut barındırıcısı ve depolama). BAA olmadan, korunan sağlık bilgilerini (PHI) o tedarikçiye göndermenin kendisi bir ihlaldir.
PHI aktarım sırasında ve beklemede şifrelenir, erişim denetimleri ve denetim kaydı ile birlikte — böylece bir kaydın her görüntülenmesi bir kişiye atfedilebilir.
Dağıtım PHI'yi en aza indirir ve sınırlar — yalnızca yetkili roller onu görür, veri kuruluş başına kapsamlandırılır ve bir saklama ile silme politikası vardır.

"HIPAA sertifikalı" olduğunu iddia eden herhangi bir tedarikçiye karşı şüpheci olun. Resmi bir HIPAA sertifikasyon kurumu yoktur; dürüst iddia "HIPAA'ya hazır" olmaktır — denetimler ve imzalı BAA'lar mevcuttur, böylece siz uyumlu bir şekilde işletebilirsiniz. Söz konusu riskin büyüklüğünü abartmak zordur: 2024'te ABD'deki sağlık kuruluşları 741 büyük veri ihlali (500+ kayıt) bildirerek 289 milyondan fazla kişinin kayıtlarını ifşa etti (HIPAA Journal).

GDPR bir yapay zeka sohbet botundan ne talep eder?

AB veya Birleşik Krallık'taki müşterilere hizmet veriyorsanız, GDPR, bir yapay zeka ajanı bir isim, telefon numarası, mesaj veya başka herhangi bir kişisel veriyi işlediği anda devreye girer. Bir yapay zeka dağıtımının desteklemesi gereken temel yükümlülükler:

Yasal bir dayanak ve bir Veri İşleme Sözleşmesi (DPA) — yapay zeka tedarikçisi sizin işleyiciniz olarak hareket eder.
Veri sahibi hakları — bir kişinin verisini dışa aktarma ve talep üzerine silme yeteneği ("unutulma hakkı").
Veri minimizasyonu ve amaç sınırlaması — yalnızca görüşmenin ihtiyaç duyduğunu toplayın ve yalnızca bunun için kullanın.
Riske uygun güvenlik — şifreleme, erişim denetimi ve ihlal bildirimine hazır olma.

Bu teorik değildir. Kümülatif GDPR cezaları artık 2.685 yaptırım eylemi boyunca 6,1 milyar euroyu geçti (CMS GDPR Enforcement Tracker, Mart 2026 itibarıyla). Düzenlemeye tabi bir KOBİ için pratik test basittir: yapay zeka tedarikçiniz talep üzerine bir kişinin verisini üretebilir, silebilir ve ona kimin eriştiğini kanıtlayabilir mi? Eğer yapamıyorsa, araç bir yükümlülüktür.

Neden "gölge yapay zeka" gerçek uyumluluk tehdididir

2025 verilerinden en çok alıntılanan bulgu net bir hikaye anlatıyor: tehlike nadiren yapay zeka modelidir — yönetim olmadan benimsenen yapay zekadır. IBM'in 2025 raporuna göre:

Kuruluşların %13'ü bir yapay zeka modeli veya uygulamasının ihlalini bildirdi — ve bunların %97'sinde hiçbir yapay zeka erişim denetimi yoktu.
Beş kuruluştan biri gölge yapay zekaya bağlı bir ihlal bildirdi — çalışanların kendi başlarına benimsediği onaysız araçlar.
İhlale uğrayan kuruluşların %63'ünün ya hiçbir yapay zeka yönetişim politikası yoktu ya da hâlâ bir tane yazmaktaydı.
Yüksek düzeyde gölge yapay zeka, bir ihlalin maliyetine ortalama 670.000 dolar ekledi ve bu olaylar küresel ortalamadan daha fazla kişisel veri (%65) sızdırdı.

Örüntü, gözetimi geride bırakan "hemen şimdi yap" benimsemesidir. Yanıt taslakları hazırlamak için hasta ayrıntılarını bir tüketici sohbet botuna yapıştıran bir ön büro ekibi, ders kitaplarına uygun gölge yapay zeka riskidir: BAA yok, denetim izi yok, erişim denetimi yok. Çözüm yapay zekayı yasaklamak değil — personele hassas veriler için inşa edilmiş, onaylı ve yönetilen bir yapay zeka vermektir, böylece asla yönetilmeyen birine başvurmazlar. Bu, gizlilik öncelikli, önyargı bilincine sahip oyun kitabımızda ele aldığımız aynı insan-döngüde disiplinidir: yapay zeka eyler, insanlar yönetir.

Uyumlu yapay zekanın gerçekte gerektirdikleri (kontrol listesi)

Bunu bir tedarikçi puan kartı olarak kullanın. Düzenlemeye tabi görüşmeleri işleyen bir platform her satıra evet diyebilmelidir.

Denetim	Ne talep edilmeli	Neden önemli
Veri yolu boyunca BAA'lar	Platformla ve onun model/bulut alt işleyicileriyle imzalanmış BAA	BAA yok = PHI göndermek başlı başına bir ihlaldir
Şifreleme	Beklemede AES-256 (veya eşdeğeri); aktarımda TLS	Çalınan veriyi kullanılamaz hale getirir
Denetim kaydı	Bir kaydın her görüntülemesi/oluşturması/güncellemesi kaydedilir ve atfedilebilir	HIPAA hesap verebilirliği ve ihlal adli incelemesi için gereklidir
Erişim denetimleri ve kapsamlandırma	Rol tabanlı izinler; her kuruluşun verisi izole edilmiş	Etki alanını sınırlar; kiracılar arası sızıntıyı durdurur
Uyumlu model yönlendirme	Hassas iş yükleri BAA kapsamındaki yapay zeka altyapısında çalışır	PHI'yi yönetilen sınır içinde tutar
Veri sahibi hakları	Self servis dışa aktarma ve silme	GDPR/CCPA uyumluluğu ve hasta güveni
İnsan-döngüde	Hassas eylemlerde devir ve onaylar	Düzenleyicinin ve hastanın beklediği yönetişim
Saklama politikası	Tanımlanmış saklama, ardından arşivleme veya silme	Süresiz PHI birikimini önler

Listede olmayanı fark edin: bir "HIPAA sertifikalı" etiketi. Denetimlerin kendisi uyumluluktur.

Entagl, düzenlemeye tabi işletmeler için nasıl inşa edildi

Entagl, müşteri ve hasta görüşmelerini sohbet ve ses kanallarında yürüten bir yapay zeka ajan platformudur — ve güven, sonradan akla gelen bir şey olarak değil, bir özellik olarak ele alınır. Hassas veri işleyen çalışma alanları için platform, yukarıdaki denetimler bir proje değil, varsayılan olacak şekilde inşa edildi:

HIPAA çalışma alanları BAA kapsamındaki yapay zekaya yönlendirilir. Bir çalışma alanı HIPAA-etkin olarak işaretlendiğinde, yapay zeka trafiği standart (daha ucuz, BAA dışı) yol yerine, imzalı bir BAA kapsamında otomatik olarak Vertex AI'ya yönlendirilir. Uyumlu sınır bir politika notuyla değil, kodda zorunlu kılınır.
Yığın boyunca imzalı BAA'lar — bulut barındırıcısı, model sağlayıcısı (sıfır veri saklama etkinleştirilmiş) ve depolama ile — böylece PHI asla BAA kapsamındaki bir yolun dışına çıkmaz.
Mesajlar, medya ve PII için AES-256-GCM ile beklemede şifreleme ve aktarımda TLS.
PHI denetim kaydı. HIPAA-etkin çalışma alanları için, kişiler, görüşmeler ve mesajlardaki görüntülemeler ve değişiklikler, çalışma alanı kapsamında ayrılmış bir denetim kaydına kaydedilir — veritabanında saklanır ve ardından altı yıllık HIPAA penceresi için arşivlenir.
Çalışma alanı izolasyonu, rol tabanlı izinler ve self servis GDPR hakları — her sorgu bir çalışma alanına kapsamlandırılır, ekip rolleri kimin neyi gördüğünü yönetir ve bir çalışma alanı kişilerini, görüşmelerini ve medyasını zaman sınırlı imzalı bir indirme olarak dışa aktarabilir veya silebilir.
Kendi Anahtarını Getir (BYOK) — kendi OpenAI veya Gemini anahtarınızı bağlayın, böylece model kullanımı kendi sağlayıcı hesabınız ve yönetişiminiz üzerinden çalışır.
Tasarımdan itibaren insan-döngüde — birleşik bir ekip gelen kutusuna devir ve her görüşmede çıktı koruyucuları, böylece yapay zekanın tek başına ele almaması gereken durumlarda bir kişi kontrolü elinde tutar.

Daha derin nokta mimaridir: Entagl tek bir beyni paylaşan dört ajana sahip tek bir platform olduğundan, tek bir müşteri kaydı, tek bir denetim izi ve tek bir yönetişim sınırı vardır — her biri hastalarınızın verisinin bir kopyasını tutan ve her biri ayrı bir uyumluluk yüzeyi olan, birbirinden kopuk araçlardan oluşan bir yığın değil. Konsolidasyonun kendisi bir güvenlik duruşudur.

Bu ne anlama gelir, ne anlama gelmez

Burada dürüstlük her yerden daha çok önemlidir, çünkü uyumluluk iddiaları tekrarlanır:

Uyumluluk paylaşılır, devredilmez. HIPAA'ya hazır bir platform size denetimleri ve BAA'yı verir; yapılandırma, personel eğitimi, erişim kararları ve kendi politikalarınız hâlâ sizin sorumluluğunuzdadır. Hiçbir tedarikçi sizi tek başına uyumlu hale getirmez.
HIPAA'ya hazır ≠ sertifikalı. İşaret edilecek bir sertifikasyon yoktur — tedarikçileri etiketlere göre değil, imzalı BAA'lara ve gösterilebilir denetimlere göre değerlendirin.
Düzenlemeler bölgeye göre değişir. GDPR (AB/Birleşik Krallık), HIPAA (ABD sağlık), PIPEDA (Kanada) ve diğerleri farklılık gösterir. Faaliyet gösterdiğiniz yerin yükümlülüklerini doğrulayın — bu rehber yönlendirmedir, hukuki tavsiye değildir.

Yapay zekayı nasıl benimseyeceğine karar veren düzenlemeye tabi KOBİ'ler için uyumluluk, ayrıca kur-ya da-satın al hesabını eğen gizli bir maliyettir — BAA'ları, şifrelemeyi, denetim kaydını ve model yönetişimini kurum içinde inşa etmek ve sürdürmek, tam olarak kendin yap yapay zeka ajanlarının gerçek maliyeti yazısında ayrıntılı olarak ele aldığımız türden bir masraftır.

SSS

Bir klinik veya med spa hasta mesajlaşması için yapay zeka kullanabilir mi?

Evet — doğru denetimlerle yapılırsa. Yapay zeka platformu ve alt işleyicileri imzalı bir BAA kapsamında olmalı, PHI şifrelenmeli ve erişimi kaydedilmeli ve hassas eylemlerde bir insan döngüde kalmalıdır. Hasta ayrıntıları için BAA olmadan ve denetim izi olmadan genel bir tüketici sohbet botu kullanmak, riski yaratan yapılandırmadır — yapay zekanın kendisi değil. HIPAA çalışma alanları için inşa edilmiş bir platform seçin ve hassas iş yüklerini onun uyumlu yolu üzerinden yönlendirin.

ChatGPT veya genel bir sohbet botu HIPAA uyumlu mu?

BAA olmadan kullanılan bir tüketici sohbet botu, model ne kadar iyi olursa olsun, PHI'yi işlemenin uyumlu bir yolu değildir. Uyumluluk, modelin kalitesine değil, dağıtıma bağlıdır — imzalı bir BAA, şifreleme, erişim denetimleri, denetim kaydı ve veri işleme koşulları. Birkaç sağlayıcı BAA kapsamındaki kurumsal katmanlar sunar; birinin mevcut olduğunu ve PHI'nin onun içinde kaldığını doğrulamak sizin yükümlülüğünüzdür.

BAA nedir ve yapay zeka için neden önemlidir?

İş Ortağı Sözleşmesi, HIPAA tarafından gerekli kılınan, kapsam dahilindeki bir varlık (örneğin bir klinik) ile onun adına PHI işleyen herhangi bir tedarikçi arasındaki bir sözleşmedir. Tedarikçiyi o veriyi korumak ve ihlalleri bildirmek için yasal olarak bağlar. Yapay zeka için BAA, zincirdeki her halkaya uzanmalıdır — platform, model sağlayıcısı, bulut ve depolama — çünkü PHI hepsinin içinden geçer.

GDPR bir yapay zeka müşteri hizmetleri ajanına nasıl uygulanır?

Bir yapay zeka ajanı bir AB/Birleşik Krallık sakininin kişisel verisini işlediği anda, yasal bir dayanağa, tedarikçinin işleyiciniz olarak yer aldığı bir DPA'ya ve veri sahibi haklarını — özellikle dışa aktarma ve silme — yerine getirme yeteneğine ihtiyacınız vardır. Ajan ayrıca topladığı veriyi en aza indirmeli ve güvende tutmalıdır. Kümülatif GDPR cezaları 6,1 milyar euroyu geçmişken, "sohbet botunun bunu sakladığını fark etmedik" bir savunma değildir.

Yalnızca şifreleme yapay zekayı uyumlu hale getirir mi?

Hayır. Beklemede ve aktarımda şifreleme gereklidir ancak yeterli değildir. Uyumluluk ayrıca BAA'lar/DPA'lar, erişim denetimleri, denetim kaydı, veri sahibi hakları ve insan gözetimi gerektirir. Şifreleme veriyi korur; geri kalanı onu hesap verebilir bir şekilde ele aldığınızı kanıtlar.

Sonuç

Düzenlemeye tabi bir işletme için yapay zeka artık isteğe bağlı değildir — ama yönetişim de değildir. 2025 kanıtları açıktır: yapay zekayı erişim denetimleri olmadan aceleye getirmek, hassas verilerin nasıl ihlal edildiğidir ve en pahalı ihlaller tam olarak yapay zekayı en hızlı benimseyen sektörlere düşer. Denetimler yerleşik olduğunda uyumlu yapay zeka çözülmüş bir mühendislik problemidir: veri yolu boyunca BAA'lar, şifreleme, denetim kaydı, kapsamlandırılmış erişim, uyumlu model yönlendirme, veri sahibi hakları ve döngüde bir insan. Hepsini talep edin. Yapay zekayı benimsemeye değer kılan hız avantajı — yanıt hızı çalışmamızdaki bir dakikanın altındaki yanıt süreleri gibi — yalnızca hastalarınız ve müşterileriniz verilerinin nereye gittiğine güvenebilirse bir anlam ifade eder.

Düzenlemeye tabi bir işletme mi yürütüyorsunuz ve bunun için inşa edilmiş yapay zeka mı istiyorsunuz? 30 dakikalık bir demo ayırtın ve sizin özel kurulumunuz için HIPAA çalışma alanlarını, BAA'ları, şifrelemeyi ve denetim kaydını birlikte adım adım inceleyelim.

Kaynaklar: IBM Cost of a Data Breach Report 2025 (Ponemon Institute); The HIPAA Journal sağlık verisi ihlali istatistikleri; CMS GDPR Enforcement Tracker (2025/2026 baskısı). Bu makale yönlendirme amaçlı genel bir kılavuzdur, hukuki tavsiye değildir — kendi özel yükümlülüklerinizi nitelikli bir hukuk danışmanıyla doğrulayın.