Bulut güvenlik ve yönetimi konusunda ülkemizin önde gelen kuruluşlarından olan CloudMetrik tarafından hazırlanan TurkHukuk.ai Güvenlik Analizi Raporu'nun bulgularını, TBB'nin yapay zekâ rehberindeki ilkeler çerçevesinde paylaşıyoruz.
Yapay zekâ araçlarının hukuk alanına girmesiyle birlikte avukatların önünde iki temel soru belirdi.
- Bu sistemler hukuki muhakemede ne kadar güvenilir ?
- Kendilerine teslim edilen müvekkil verilerini nasıl koruyor?
İlk soruyu daha önce Yapay Zekâ: Avukatın Bilmesi Gerekenler yazımızda ve HukukBERT akademik çalışmamızda ele almıştık. Bu yazıda ikinci soruya, yani sistem ve veri güvenliği mimarisine odaklanıyoruz.
Bu doğrultuda, bağımsız bulut mimarisi ve güvenlik firması CloudMetrik tarafından incelenerek hazırlanan TürkHukuk Production Güvenlik Mimarisi Raporu'nun teknik kapsamını ve temel bulgularını şeffaf biçimde paylaşıyoruz.
Meslek Sırrı ve TBB Yapay Zekâ Tavsiye Rehberi Çerçevesi
Hukuk teknolojilerinde güvenlik konusunun pazarlama cümleleriyle geçiştirilebilecek bir başlık olmadığına inanıyoruz.
Bir avukatın çalıştığı dijital altyapı; dava dilekçesini, icra dosyasını, müvekkilin kimlik ve finans bilgilerini, ticari sırları ve savunma stratejisini taşımaktadır. Dolayısıyla güvenlik iddiası soyut vaatlere değil, denetlenebilir teknik mimariye dayanmak zorundadır.
Avukatlık Kanunu m. 36 açıktır.
"Avukatların, kendilerine tevdi edilen veya avukatlık görevi dolayısıyla öğrendikleri hususları açığa vurmaları yasaktır."
Türkiye Barolar Birliği (TBB) Bilişim ve Teknoloji Hukuku Komisyonu tarafından hazırlanan ve Ağustos 2026'da yayımlanan Avukatlar İçin Yapay Zekâ Kullanımı Tavsiye Rehberi de bu yasal yükümlülüğü yapay zekâ çağına tercüme ederek çok net bir sınır çizmektedir.
"Avukat yapay zekâdan yararlanabilir ancak mesleki sırrı, kişisel verileri, müvekkilin menfaatini, nihai hukuki muhakemeyi ve mesleki sorumluluğu hiçbir aşamada yapay zekâya veya üçüncü kişilere devredemez."
TBB'nin yayımladığı rehber, yapay zekâ kullanımını yasaklamak yerine risk temelli bir çerçeve ortaya koymakta ve avukatların herhangi bir yapay zekâ sistemini kullanmadan önce şu soruları sormasını önermektedir:
- Müvekkil verileri ve dava/icra dosyası içerikleri nerede işleniyor ve nerede saklanıyor?
- Sisteme girilen veriler yapay zekâ modellerinin eğitiminde kullanılıyor mu?
- Veriler yurt dışına veya üçüncü kişilere aktarılıyor mu?
- Üretilen çıktılar üzerinde insan denetimi (avukat onayı) ve resmi kaynak doğrulaması mevcut mu?
- Büro içi yetkilendirme ve erişim sınırları meslek sırrını koruyacak teknik güvencelere sahip mi?
TurkHukuk.ai Platformu'nu ilk günden itibaren bu soruların tamamına mimari düzeyde net yanıtlar verecek şekilde kurguladık. Güvenlik ve Veri Gizliliği sayfamızda özetlediğimiz temel politikaların altyapıda nasıl işletildiği, CloudMetrik tarafından hazırlanan teknik raporda belgelenmiştir.
CloudMetrik Güvenlik Mimarisi Raporu Temel Bulguları
CloudMetrik tarafından hazırlanan TürkHukuk Production Güvenlik Mimarisi Raporu, platformun üretim (production) altyapısını veri konumu, şifreleme, anahtar yönetimi, veri gizliliği (ZDR), iç ağ izolasyonu ve operasyonel süreklilik başlıkları altında incelemektedir.
1. Yerel Veri Barındırma ve Ağ İzolasyonu
Hukuki verilerin hangi ülke sınırları içinde tutulduğu, KVKK uyumu ve veri egemenliği açısından ilk belirleyici unsurdur.
- Türkiye Bölgesi (
tr-west-1): Tüm uygulama veritabanları, belge depoları, sistem kayıtları (loglar), anlık görüntüler (snapshot) ve operasyonel yedeklemeler Türkiye sınırları içinde (İstanbul veri merkezi altyapısında) barındırmaktayız. - Doğrudan İnternete Kapalı Veri Katmanı: Veritabanı ve depolama kaynakları private subnet (özel ağ) sınırları içinde konumlandırılmıştır.
2. Disk, Belge ve Anahtar Güvenliği (KMS, HSM ve CSMS)
Verinin Türkiye'de tutulmasına ek olarak fiziksel ve mantıksal depolama katmanlarında yetkisiz erişime karşı şifreleme ve şifreleme anahtarlarının yönetimi gerekmektedir.
- Veritabanı Disk Şifrelemesi (EVS): Müvekkil bilgileri, dava/icra kayıtları ve çalışma geçmişini barındıran tüm sistem ve veri diskleri XTS-AES-256 algoritmasıyla şifrelenmiştir.
- Nesne ve Belge Depolama (OBS): UYAP üzerinden alınan evraklar, yüklenen dava dosyaları ve sistem yedekleri Object Storage Service (OBS) üzerinde SSE-KMS (AES-256) sunucu taraflı şifreleme ile yazıldığı anda şifrelenmektedir.
- Katmanlı Anahtar Yönetimi (CMK & HSM): Disk verisini şifreleyen anahtarlar (DEK), Key Management Service (KMS) bünyesinde platforma özel tanımlanmış müşteri yönetimli anahtarlarla (CMK) korunmaktadır. Anahtar materyali FIPS 140-2 Seviye 3 uyumlu donanım güvenlik modülü (HSM) altyapısında muhafaza edilmekte ve periyodik otomatik rotasyona tabi tutulmaktadır.
- Secret Yönetimi (CSMS): Veritabanı parolaları, servis kimlikleri ve sertifika bileşenleri Secret Management Service (CSMS) içinde saklanmaktadır.
3. Yapay Zekâ Veri Gizliliği ve Sıfır Veri Saklama (Zero Data Retention — ZDR)
Avukatların genel amaçlı yapay zekâ araçlarını kullanırken karşılaştığı en büyük risk, sisteme yüklenen bir dilekçenin veya sözleşmenin model sağlayıcı tarafından kaydedilmesi ve gelecekteki modellerin eğitiminde kullanılmasıdır.
CloudMetrik raporunda da doğrulandığı üzere TurkHukuk.ai Platformu'nda iki katmanlı bir koruma uygulamaktayız.
- Model Eğitiminde Kullanmama: Büro belgeleri, yüklenen dosyalar, Kalfa ile yapılan çalışmalar ve kullanıcı girdileri yalnızca talep edilen işlemin yürütülmesi amacıyla anlık olarak işlenir; hiçbir koşulda yapay zekâ modeli eğitiminde kullanılmaz. Kendi geliştirdiğimiz HukukBERT dil modeli yalnızca kamuya açık mevzuat ve yüksek yargı kararlarıyla eğitilmiştir.
- Zorunlu Zero Data Retention (ZDR): Kalfa'nın metin üretimi ve analiz süreçlerinde başvurulan dış yapay zekâ bileşenlerinde Sıfır Veri Saklama (ZDR) yaklaşımı zorunludur. İşlem döngüsü sırasında gereksiz kalıcı içerik kopyalarının oluşması engellenmekte, veri saklayan veya model eğitimi için veri toplayan sağlayıcılara yönlendirme mimari olarak kapalıdır.
4. Şifreli İç Ağ İletişimi ve Erişim Sınırları
Savunma derinliği (defense-in-depth) prensibi gereği, yalnızca dış sınırların değil, sistemin kendi içindeki servisler arası trafiğin de şifrelenmesi esas alınmıştır:
- TLS ve Mutual TLS (mTLS): Kullanıcıya açık uç noktalarda güncel HTTPS/TLS protokolleri kullanılırken, kritik veri katmanı servisleri arasındaki iç iletişim dahili sertifika otoritesi (Internal CA) güven zinciriyle doğrulanan TLS ve mTLS ile korunmaktadır. Internal CA imzalama özel anahtarı hiçbir iş yükü sunucusuna veya uygulama container'ına dağıtılmamaktadır.
- Uçtan Uca Veritabanı Trafiği: TLS kullanılan veritabanı bağlantılarında Private Load Balancer şifreli trafiği TCP seviyesinde (Layer 4) iletilmektedir.
- En Az Ayrıcalık (Least Privilege) ve Büro İzolasyonu: Uygulama katmanında farklı hukuk bürolarının verileri izole edilmekte, büro içindeki kullanıcılar yalnızca yetkili oldukları iş ve dosyaları görebilmektedir. UYAP şifreleri ve e-imza sunucularımızda saklanmamakta, avukatın kendi cihazında kalmaktadır.
Hukukta Yapay Zekâ Güvenliği Bir Tercih Değil, Ön Şarttır
Hukuk alanında yapay zekâ kullanımı hızla yaygınlaşırken, hız ve kolaylık uğruna veri güvenliğinden veya mesleki sır saklama yükümlülüğünden taviz verilmemesi gerektiğine inanıyoruz.
TBB'nin tavsiye rehberinde de vurgulandığı üzere; nihai hukuki muhakeme ve mesleki sorumluluk her zaman avukata aittir.
Yapay zekâ asistanımız Kalfa, avukatın açık onayı olmadan hiçbir dış işlem yapmayacak şekilde insan denetimi (human-in-the-loop) ilkesiyle çalışmakta, altyapımız ise müvekkil sırrını Türkiye sınırları içinde, şifreli, izole ve sıfır veri saklama (ZDR) güvencesiyle korumaktadır.
Veri güvenliği politikalarımızın tamamına, KVKK / GDPR / AB Yapay Zekâ Yasası uyum esaslarımıza ve sıkça sorulan sorulara Güvenlik ve Veri Gizliliği sayfamızdan ulaşabilirsiniz.
Referanslar ve İlgili Bağlantılar: