Hukuki Yapay Zeka Güvenliği: Gizlilik, İmtiyaz ve SOC 2 Standartları

Avukatlar müvekkillerinin sırlarını korumakla yükümlüdür ve günümüzde üretken yapay zeka araçları tam da bu tür materyalleri her gün işlemektedir. hukuki yapay zeka’yı güvenle kullanmak, yani hukuki yapay zeka güvenliği, büyük ölçüde şu üç temele dayanır: gizlilik (tedarikçinin verileri nasıl depoladığı ve kullandığı), avukat-müvekkil gizliliği (kazara bir feragatten kaçınma) ve SOC 2 Type II gibi doğrulanabilir standartlar.

American Bar Association’ın (ABA) Legal Technology Survey raporuna göre, hukuk bürolarında yapay zeka benimsenme oranı bir yıl içinde neredeyse üç katına çıkarak 2023’te %11’den 2024’te %30’a yükseldi; öte yandan ABA’nın 2023 Cybersecurity TechReport verilerine göre büroların %29’u şimdiden bir güvenlik ihlali yaşamış durumda. Bu makale, söz konusu riski değerlendirmek için pratik bir çerçeve sunmaktadır: Bir tedarikçiye nelerin sorulacağı, hangi belgelerin talep edileceği ve bir SOC 2 raporunun sizi korumada tam olarak nerede yetersiz kalacağı.

Hukuki Yapay Zeka Güvenliği Neden Ayrı Bir Risk Kategorisidir

Bir hukuk bürosu, başkalarının sırlarının — gizli iletişimler, dava stratejisi, ticari sırlar, kişisel olarak tanımlanabilir bilgiler — toplandığı bir merkezdir. Tüketici sınıfı üretken yapay zeka (GenAI) araçları genellikle paylaşımlı altyapılar üzerinde çalışır ve girdileri model eğitimi için saklayabilir; bu da gizlilik içeren içeriklerin kalıcı olarak bir modele gömülebileceği anlamına gelir. İşin mali boyutu oldukça yüksektir: IBM’in Cost of a Data Breach Report’una göre küresel çapta bir veri ihlalinin ortalama maliyeti 2024 yılında 4,88 milyon dolar‘a ulaşarak pandemiden bu yana yıldan yıla en büyük sıçramayı gerçekleştirmiştir.

İki gerçek vaka, bunun özellikle hukuk büroları için ne anlama geldiğini göstermektedir. Orrick, 2023 yılında 638.000 kişinin verilerini ifşa eden bir ihlalin ardından 8 milyon dolar uzlaşma bedeli ödedi. Bryan Cave Leighton Paisner, 51.000’den fazla kişiyi etkileyen bir ihlalin ardından 750.000 dolar karşılığında uzlaşmaya vardı. Her iki vakada da doğrudan yapay zeka söz konusu değildi, ancak ikisi de müvekkil verileri kontrollü bir ortamdan çıktığı an büronun kabul ettiği riski açıkça gözler önüne seriyor; ki personel gizli materyalleri denetimsiz bir legal AI aracına yapıştırdığında olan tam olarak budur.

Müvekkil Verilerini Yapay Zeka Sistemleri İçin Farklı Kılan Nedir?

Sıradan SaaS tedarikçileri ticari kayıtları işler. Hukuki yapay zeka platformları ise ifşa edildiğinde bağımsız hukuki sonuçlar doğuran bilgi kategorilerini — gizli iletişimler, dava stratejisi ve ticari sırlar — işler. Müvekkil fatura verilerinin ihlali bir mevzuata uygunluk sorunudur; gizli iletişimlerin ihlali (veya dikkatsizce ifşa edilmesi) ise sadece büroyu utandırmakla kalmaz, yasal korumanın kendisini tamamen ortadan kaldırabilir. Bu ayrım, yapay zeka yasal teknoloji tedarikçilerinin neden tipik kurumsal yazılımlara kıyasla daha katı bir standartta değerlendirildiğini açıklamaktadır.

Bir hukuki yapay zeka aracıyla yapılan tek bir sohbet, bu kategorilerin birkaçını aynı anda kapsayabilir; bekleyen bir satın alma hakkındaki bir yazışma aynı zincirde gizli anlaşma stratejisine, bir müvekkilin ticari sırlarına ve karşı tarafların kişisel verilerine dokunabilir. En yüksek riski taşıyan kategoriler şunlardır:

• Gizli avukat-müvekkil iletişimleri
• Dava stratejisi ve avukat çalışma ürünü
• Ticari sırlar ve gizli anlaşma şartları
• Müvekkillere, çalışanlara ve üçüncü taraflara ait kişisel olarak tanımlanabilir bilgiler

Benimseme ve Yönetişim Arasındaki Uçurum

Avukatların yapay zekayı ne kadar hızlı benimsediği ile büroların bunun için ne kadar hızlı politika oluşturduğu arasındaki uçurum çok belirgindir: 2024’te avukatların %79’u yapay zekayı bir şekilde kullandı, ancak büroların yalnızca %10’unun yürürlükte resmi bir yapay zeka kullanım politikası vardı. Bu uçurum, “gölge yapay zekanın” büyüdüğü yerdir; çalışanların, müvekkil bilgilerini büro denetimi olmadan, arkasında hiçbir sözleşme, denetim izi ve veri koruma anlaşması bulunmayan ücretsiz hukuki yapay zeka araçlarına yapıştırmasıdır.

Yazılı bir politikası olmayan bürolar nadiren yapay zeka kullanımından tamamen yoksundur; aslında yoksun oldukları şey görünürlüktür. Onaylanmış araçlar listesi olmadan, bir ortağın, bir asistan avukatın sözleşme taslağını incelemeye gelmeden önce sıradan bir sözleşme analizi yapay zeka botundan geçirip geçirmediğini bilmesinin hiçbir yolu yoktur; bu da tam olarak büronun kendi kararıyla değil, varsayılan olarak devraldığı türden bir risktir. Aynı yönetişim açığı, avukatların çoğu zaman girdilerine daha sonra ne olacağını teyit etmeden dava gerçeklerini ve strateji notlarını bir arama aracına beslediği yapay zeka destekli hukuki araştırma iş akışlarında da kendini göstermektedir.

Avukat-Müvekkil Gizliliği: Yapay Zeka Kullanımı Bunu Nasıl Kaldırabilir

İmtiyaz, yalnızca gizli kalan bilgileri korur. Gizli bir içeriğin halka açık bir GenAI aracına girildiği an, bu girdi yetkisiz bir üçüncü tarafa ifşa olarak değerlendirilebilir ve mahkemeler bu ifşayı gönüllü bularak korumadan feragat edildiğine karar verebilir. Sonucu iki mekanizma belirler: tedarikçi personelinin içeriği okuyup okuyamayacağı (insan incelemesi) ve içeriğin, diğer kullanıcılar için yeniden ortaya çıkabileceği temel modeli eğitmek için kullanılıp kullanılmadığı. Tüm bunların temelinde, müvekkil bilgilerini depolamak veya işlemek için hangi araç kullanılırsa kullanılsın geçerli olan ve ABA Model Rule 1.6 kapsamında düzenlenen avukatın gizlilik yükümlülüğü yatmaktadır.

Feragat Mekanizmaları: Üçüncü Bir Tarafa Gönüllü İfşa

Teknoloji yeni olsa bile buradaki hukuki doktrin eskidir. Gönüllü ifşa doktrini uyarınca, avukat-müvekkil gizliliği kapsamındaki materyalleri avukat-müvekkil ilişkisi dışındaki herhangi biriyle — kontrol edici bir gizlilik sözleşmesi olmadan — paylaşmak bir feragat olarak değerlendirilebilir. Veri koruma sözleşmesi bulunmayan, insan incelemesi veya model eğitimi konusunda hiçbir kısıtlaması olmayan halka açık bir yapay zeka yasal teknoloji platformu, bir mahkemenin gözünde tam da bu türden dışarıdan bir üçüncü taraf gibi görünür.

Mahkemeler onlarca yıldır aynı mantığı bulut depolama, üçüncü taraf e-posta barındırma ve dışarıdan sağlanan belge incelemesi süreçlerine de uygulamıştır; burada sorun hiçbir zaman mecra olmamış, asıl mesele alıcının gizlilik yükümlülüklerine bağlı olup olmadığı olmuştur. Veri kullanımı konusunda sözleşmesel bir kısıtlaması olmayan bir hukuki yapay zeka aracı, tıpkı güvenli olmayan herkese açık bir dosya paylaşım bağlantısının başarısız olacağı gibi bu testte başarısız olur.

Gizliliği Koruyan Sözleşme Şartları

Sıfır Veri Saklama ve eğitmeme, birbirinden ayrı iki sözleşmesel taahhüttür. Sıfır Veri Saklama (ZDR), oturum sona erdikten sonra tedarikçinin gönderilen içeriği depolamaması anlamına gelir. Eğitmeme taahhüdü ise, içeriğin geçici olarak saklansa bile temel modeli eğitmek veya ince ayar yapmak için asla kullanılmaması demektir. Bir tedarikçi birini sunup diğerini sunmayabilir, bu nedenle her ikisinin de pazarlama dilinde ima edilmek yerine sözleşmede açıkça yer alması gerekir. Bunlar, gizli materyallerin doğrudan işlendiği, belge incelemesi ve gizlilik kontrollerine dokunan herhangi bir yapay zeka yasal teknoloji iş akışına güvenmeden önce kontrol etmeye değer aynı korumalardır.

Bir hukuki yapay zeka tedarikçisiyle yapılacak ve gizliliği koruyan bir sözleşmede yazılı olarak en azından şunlar açıkça belirtilmelidir:

• Her oturumdan sonra Sıfır Veri Saklama
• Temel modeli kapsayan ayrı bir eğitmeme taahhüdü
• Müvekkil içeriğinin insan tarafından incelenmesine yönelik yazılı yasak
• AB bağlantılı herhangi bir veri söz konusuysa, GDPR Madde 28 ile tutarlı bir veri işleme sözleşmesi
• 24-72 saat içinde bir ihlal raporu sunulmasını zorunlu kılan olay bildirim maddesi

Gizliliği anlamlı bir şekilde koruyan tedarikçiler, kendilerini genel amaçlı asistanlardan ziyade güvenli hukuki yapay zeka platformları olarak pazarlama eğilimindedir, çünkü Sıfır Veri Saklama ve eğitmeme taahhütlerini bir üst satış taktiği olarak değil, temel sözleşmenin bir parçası olarak sunarlar.

Etik Kurallar: ABA Formal Opinion 512 ve Model Kurallar

American Bar Association’ın (ABA) Standing Committee on Ethics and Professional Responsibility komitesi, 29 Temmuz 2024 tarihinde uygulamada üretken yapay zeka kullanımını ele alan ilk resmi ABA kılavuzu olan Formal Opinion 512’yi yayımladı. Bu görüşün temel kararı şudur: Bir GenAI aracını, müvekkil verilerini nasıl işlediğine dair makul bir anlayışa sahip olmadan kullanan bir avukat veya bir yapay zeka hukuk danışmanı, Model Rule 1.6’yı ihlal edebilir.

Avukatların “GAI uzmanı olmaları gerekmez”, ancak kullanmayı seçtikleri belirli üretken yapay zeka aracının “yetenekleri ve sınırlamaları hakkında makul bir anlayışa sahip olmaları” gerekir. ABA Formal Opinion 512, Standing Committee on Ethics and Professional Responsibility

Opinion 512 Gerçekte Ne Gerektiriyor

Bu görüş, avukatların mühendis olmasını gerektirmez. Ancak, müvekkil bilgileri sisteme yüklenmeden önce belirli bir tedarikçinin veri işleme süreçleri üzerinde anlamlı bir durum tespiti yapılmasını zorunlu kılar; bu da gerçek hizmet şartlarını okumayı, saklama uygulamalarını anlamayı ve girdilerin eğitim için kullanılıp kullanılmadığını teyit etmeyi kapsar. Bu yükümlülük, yapay zeka dahil olmak üzere bir avukatın herhangi bir aracı nasıl kullandığı üzerinde gizlilik görevi yükleyen Model Rule 1.6’ya dayanmaktadır.

Bu durum tespiti görevi, bir araç onaylandıktan sonra sona ermez. GenAI tedarikçileri modelleri, veri saklama politikalarını ve alt işleyicilerini kendi takvimlerine göre güncelledikleri için aynı makul anlayış standardı sürekli olarak geçerlidir; bir tedarikçinin kayıt sırasındaki veri işleme yöntemlerinin, bir yıl sonraki veri işleme yöntemleriyle aynı olacağının bir garantisi yoktur ve Opinion 512’nin bunu tek seferlik bir kontrolden ziyade sürekli bir durum tespiti olarak çerçevelemesinin bir nedeni de budur.

Model Kurallar Haritası: 1.1, 1.6, 5.1, 5.3

Formal Opinion 512 tek başına varlık göstermez; birkaç mevcut Model Kuralları’nı özellikle üretken yapay zekaya uygular. Aşağıdaki tablo, her bir kuralı yapay zeka bağlamında ne gerektirdiğiyle eşleştirmektedir.

Dürüstlük yükümlülüğü sadece teorik değildir. Mata v. Avianca davasında, ChatGPT tarafından üretilen ve uydurma dava atıfları içeren bir dosya sunan avukatlara yaptırım uygulanmıştır; Park v. Kim davasında da benzer bir sonuç yaşanmıştır. O zamandan beri bazı mahkemeler, dava dilekçelerinde yapay zeka kullanımının beyan edilmesini gerektiren daimi emirler çıkarmıştır. California, Florida ve New York’taki eyalet barolarının her biri, Opinion 512’nin üzerine eklenen kendi tamamlayıcı etik görüşlerini yayımlamıştır, bu nedenle birden fazla eyalette faaliyet gösteren büroların ABA çerçevesine ek olarak yerel yönergeleri de kontrol etmesi gerekir.

SOC 2 Nedir: Denetim Neyi Kapsar, Neyi Kapsamaz

SOC 2, American Institute of Certified Public Accountants (AICPA) tarafından geliştirilen ve beş Trust Services Criteria ile değerlendirilen bir denetim çerçevesidir. SOC 2, bir ürünün sahip olduğu veya olmadığı bir geçti/kaldı sertifikası değil, bir tedarikçinin kontrollerinin bağımsız bir CPA firması tarafından onaylanmasıdır.

Beş Trust Services Criteria

AICPA’nın Trust Services Criteria prensipleri güvenlik, erişilebilirlik, işlem bütünlüğü, gizlilik ve mahremiyeti kapsar. Güvenlik, her SOC 2 denetiminde zorunlu olan tek kriterdir; diğer dördü, tedarikçinin müşterilerine taahhüt ettiklerine dayalı olarak eklenir. Bir denetçi, her kategorideki kontrollerin uygun şekilde tasarlanıp tasarlanmadığını ve Type II için bu kontrollerin zaman içinde amaçlandığı gibi fiilen çalışıp çalışmadığını inceler — tüm detaylar AICPA’nın Trust Services Criteria referansında yayımlanmaktadır.

Bir hukuki yapay zeka tedarikçisi için en önemli olan kriterler gizlilik ve mahremiyettir; çünkü bunlar yalnızca sunucuların güvenli olup olmadığını değil, kişisel olarak tanımlanabilir ve müvekkil tarafından gizli olarak belirlenmiş bilgilerin nasıl işlendiğini kapsar. Yalnızca Güvenlik kriterini kapsayan bir rapor, müvekkil verilerinin nasıl saklandığı veya paylaşıldığı hakkında hiçbir şey söylemez, bu nedenle bir büronun yalnızca “SOC 2 Type II” başlığına değil, raporun kapsam bölümüne bakması ve okuması gerekir.

Type I ve Type II — ve Type II Hukuk İçin Neden Önemlidir

Type I raporu, yalnızca denetim gününde kontrollerin doğru bir şekilde tasarlandığını teyit eder. Type II raporu ise bu kontrollerin 6 ila 12 aylık bir dönem boyunca kesintisiz olarak gerçekten işe yaradığını teyit eder; işte bu, hukuk ekiplerinin müvekkil verilerini bir tedarikçiye emanet etmeden önce ısrar etmesi gereken standarttır. SOC 3, aynı temel raporun yoğunlaştırılmış, kamuya açık paylaşılabilir bir versiyonudur, ilk eleme için faydalıdır ancak tam belgenin yerini alacak kadar detaylı değildir. Kritik olarak, bu üç raporun hiçbiri yapay zekaya özgü hiçbir şeyi kontrol etmez; model eğitim uygulamaları, çıktı doğruluğu veya halüsinasyon riski SOC 2’nin kapsamının tamamen dışında kalır. SOC 2 bir tavandır değil, tabandır.

Raporun yaşı da önemlidir. Bir Type II raporu sabit bir denetim penceresini kapsar, bu nedenle 18 ay önce sona ermiş bir rapor artık tedarikçinin mevcut kontrollerini yansıtmaz. Tedarikçinin, raporun bitiş tarihi ile bugün arasındaki boşluğu kapsayan bir köprü mektubu sağlayıp sağlayamayacağını sorun; meşru bir tedarikçi bunu mutlaka hazırda bulunduracaktır.

SOC 2’nin Ötesi: Hukuki Yapay Zeka İçin Tam Veri Güvenliği Katmanı

SOC 2 Type II artık neredeyse temel bir gereklilik haline geldiğinden — 2026’nın ortaları itibarıyla GC.AI, Harvey, Spellbook ve ChatGPT Enterprise’ın tümü buna sahipti — tek başına bu sertifika artık ciddi bir hukuki yapay zeka tedarikçisini sıradan bir tedarikçiden ayırmıyor. Gerçek değerlendirme, bir alt katmanda, şifreleme standartlarında ve veri güvenliği yapay zeka çerçevelerinde gerçekleşmektedir.

Şifreleme, Sertifikalar ve Yapay Zekaya Özgü Çerçeveler

AES-256 beklemedeki veriler için şifreleme standardıdır ve ABD hükümetinin hassas ve gizli bilgiler için gerektirdiği standarda uygundur; TLS 1.2 veya üstü aktarım halindeki veriler için temel referanstır ve bazı talepkar veri koruma sözleşmeleri bunun üzerine FIPS 140-3 Level 1 modüllerini belirler. Kontrol etmeye değer komşu çerçeveler arasında bilgi güvenliği yönetimi için ISO 27001’in yanı sıra genel veri güvenliğinden ziyade özellikle yapay zeka yönetişimine yönelik olan daha yeni ISO 42001 ve NIST AI Risk Management Framework yer almaktadır. Hükümetle ilişkili hukuki işler için FedRAMP yetkilendirmesi ve fiziksel olarak yalıtılmış dağıtım seçenekleri herhangi bir ticari sertifikadan daha önemlidir.

Çoğu hukuki yapay zeka platformunun üzerine inşa edildiği iki LLM sağlayıcısı olan Anthropic ve OpenAI, her ikisi de sıfır veri saklama şartlarını destekleyen kurumsal anlaşmalar sunar; ancak bu şartların doğrudan yasal yapay zeka tedarikçisiyle sözleşme bazında müzakere edilmesi ve onaylanması gerekir, temel model sağlayıcısının genel politikasından varsayılmamalıdır.

Tüketici ve Profesyonel Yapay Zeka: Pratik Ayrım

Tüketici düzeyindeki yapay zeka araçları — örneğin ücretsiz bir ChatGPT hesabı — paylaşımlı altyapı üzerinde çalışır, girdileri eğitim için saklayabilir ve tipik olarak hiçbir veri koruma sözleşmesi sunmaz. Bu durum onları herhangi bir müvekkil verisi için tamamen uygunsuz kılar; nokta. Profesyonel düzeydeki yapay zeka platformları ise bir yapay zeka avukat asistanı olarak görev yaparken bu noktaların her birinde farklılık gösterir ve iki katman arasındaki uçurum genellikle kısa bir kontrol listesine indirgenir:

• Tüketici katmanı: paylaşımlı altyapı, model eğitimi için olası veri saklama, veri koruma sözleşmesinin olmaması, yönetici için kullanıma dair görünürlük olmaması
• Profesyonel katman: Doğrudan LLM sağlayıcılarıyla müzakere edilen ZDR sözleşmeleri, rol tabanlı erişim kontrolleri, veri yerleşimi garantileri, müşteriler arası kiracı izolasyonu ve bir yöneticinin gerçekten inceleyebileceği bir denetim günlüğü

Tek bir tedarikçinin ürün yelpazesinde bile katmanlar tam olarak bu noktalarda birbirinden ayrılır; ChatGPT’nin Enterprise, Team, Edu ve API katmanları SOC 2 uyumlu standartlara göre oluşturulurken ücretsiz tüketici katmanı buna uygun değildir.

Tedarikçi Durum Tespiti Kontrol Listesi

Durum tespiti bir formalite değildir; müvekkil verileri bir tedarikçiye ulaşmadan önce Formal Opinion 512’nin gerektirdiği asıl mekanizmadır. Aşağıdaki beş soru, ciddi hukuki yapay zeka platformlarının zaten yanıtlamaya hazır olduğu temel unsurlardan yola çıkarak asıl önemli olan zemini kapsamaktadır.

1. Güncel bir SOC 2 Type II raporunuz var mı? Pazarlama sitesindeki bir rozeti değil, raporun kendisini gizlilik sözleşmesi (NDA) kapsamında isteyin.
2. Hangi LLM sağlayıcılarıyla sıfır veri saklama anlaşmaları imzaladınız? Her sağlayıcının tek tek isimlendirilmesini sağlayın; genel bir iddia yeterli değildir.
3. Oturum sona erdikten sonra belgelere ne olur? Sadece oturum düzeyinde silinmesini değil, talep üzerine kurumsal çapta tamamen silinmesini teyit edin.
4. AES-256 ve TLS 1.2+ yazılı olarak teyit edildi mi? Şifreleme iddiaları sadece güvenlik sayfasında değil, sözleşmede de yer almalıdır.
5. Sızma testi sonuçlarının yer aldığı halka açık bir güven merkezi var mı? Burada gösterecek hiçbir şeyi olmayan bir tedarikçi, güvenliği tamamen inanca dayalı olarak kabul etmenizi istiyor demektir.

Uzaklaşmanızı gerektiren tehlike işaretleri: Raporu sunmadan “SOC 2 uyumluyuz” diyen bir tedarikçi, sunulan bir veri koruma sözleşmesi olmaması veya büro devre dışı kalmayı seçmediği sürece varsayılan olarak müvekkil verileri üzerinde eğitim yapan ayarlar.

Mevzuat Katmanı: GDPR, CCPA ve Yeni Yapay Zeka Yasaları

Tedarikçi güvenlik kontrolleri mevzuata uygunluk tablosunun sadece yarısıdır; bir büronun mevzuat açısından kendi maruz kaldığı risk, kimin verilerinin ve nerede işlendiğine bağlıdır:

• GDPR (AB’de): 20 milyon euro’ya veya küresel gelirin %4’üne kadar para cezaları; Madde 35, yüksek riskli yapay zeka işleme faaliyetleri başlamadan önce, Madde 28 kapsamındaki bir veri işleme anlaşmasıyla desteklenen bir Veri Koruma Etki Değerlendirmesi (DPIA) gerektirir. Türkiye için KVKK bağlamı da benzer bir yükümlülük tablosu oluşturabilir.
• EU AI Act: Şubat 2025’ten bu yana kademeli olarak yürürlüğe girmektedir, yasaklanmış yapay zeka uygulamaları (Madde 5) için 35 milyon euro’ya veya küresel cironun %7’sine kadar cezalar içerir — yüksek riskli sistem ihlalleri, 15 milyon euro’ya veya cironun %3’üne kadar ayrı ve daha düşük bir ceza dilimine tabidir.
• CCPA ve eyalet yasaları (ABD’de): Giderek büyüyen diğer eyalet gizlilik yasaları yamalı bohçasının üzerine, kasıtlı ihlal başına 7.988 dolar’a kadar cezalar öngörür.

Dış mevzuatın yanı sıra büroların hala bir iç yönetişime ihtiyacı vardır: onaylanmış araçlar listesi, personel eğitimi, periyodik denetimler ve görevlendirme mektubunun gerektirdiği durumlarda müvekkil onayı. Bir tedarikçinin SOC 2 Type II raporu temiz görünüyor diye bunların hiçbiri isteğe bağlı hale gelmez; mevzuat riski tedarikçinin değil, büronun omuzlarındadır.

Sıkça Sorulan Sorular

Bu makale yalnızca hukuki bilgi amaçlıdır ve hukuki danışmanlık teşkil etmez. Hukuki yapay zeka tedarikçilerini değerlendiren bürolar, kendi yargı bölgelerindeki etik kurallara ve barolarının yapay zeka kullanımına ilişkin özel yönergelerine aşina olan ruhsatlı avukatlara danışmalıdır.