Kurumsal Yapay Zekâ Asistanı: RAG ile Kaynak Gösterimi ve KVKK Sınırları

Kurumsal yapay zekâ asistanı, çalışanların bilgiye erişimini desteklerken önemli bir soruyu da beraberinde getirir: Verilen yanıtın dayanağı nedir? Akıcı bir açıklama, tek başına doğru ve güncel bilgi anlamına gelmez. Asistanın hangi belgeyi kullandığını göstermesi, erişmemesi gereken bilgileri paylaşmaması ve yeterli kaynak bulamadığında bunu açıkça belirtmesi gerekir.

KOBİ ve kurumsal işletmeler açısından mesele yalnızca bir sohbet ekranı açmak değildir. Kurum içi belgelerin kapsamı, kullanıcıların erişim hakları, kişisel verilerin işlenmesi ve yanıtların değerlendirilmesi birlikte ele alınmalıdır. RAG tabanlı kurumsal bilgi bankası yaklaşımı bu çerçeveyi kurmaya yardımcı olur; ancak mimari tercihi tek başına doğruluk veya KVKK uyumu sağlamaz. Başlangıç noktası, sınırları yazılı ve sonuçları gözden geçirilebilir bir pilot olmalıdır.

01Kurumsal yapay zekâ asistanı RAG mimarisiyle nasıl çalışır?

RAG yaklaşımında amaç, asistanın yanıtını kurumun onaylı bilgi kaynaklarına dayandırmasıdır. Kullanıcının sorusuyla ilgili içerik bulunur ve yanıt bu içerik üzerinden hazırlanır. Böylece değerlendirme yalnızca cevabın anlatımına değil, dayandığı belgenin uygunluğuna da odaklanır. Kurumsal bilgi bankası, bu nedenle yalnızca belge depolanan bir alan olarak görülmemelidir.

Önerilen akışı, soru, yetkili kaynak, yanıt ve kaynak gösterimi olarak düşünebilirsiniz. Her aşamada farklı bir kontrol gerekir: Soru pilot kapsamına giriyor mu? Kullanıcı ilgili belgeyi görmeye yetkili mi? Bulunan içerik soruyu gerçekten yanıtlıyor mu? Gösterilen kaynak, cevaptaki ifadeyi destekliyor mu?

• Kaynak kapsamı: Asistanın kullanabileceği onaylı belgeleri belirleyin.
• Belge sorumluluğu: İçeriğin güncelliğini değerlendirecek kişiyi veya ekibi tanımlayın.
• Erişim sınırı: Belgenin bilgi bankasında bulunmasını, tüm kullanıcılara açık olmasıyla eş tutmayın.
• Yanıt sınırı: Kaynak yetersizse asistanın eksik bilgiyi tahminle tamamlamaması gerektiğini yazılı hâle getirin.

Örneğin, asistanın bir yazılımın kullanım adımlarını açıklaması ile kurum adına bağlayıcı bir karar bildirmesi aynı kapsam değildir. Pilot tasarımında bilgi sunma, yönlendirme ve işlem yapma beklentilerini birbirinden ayırmanız, hangi davranışın kabul edileceğini netleştirir.

02Pilot kapsamını dar ve değerlendirilebilir seçin

İlk pilotta bütün kurumsal belgeleri sisteme eklemek yerine, sınırları anlaşılır bir kullanım alanı seçin. Örneğin yalnızca onaylı kullanım kılavuzlarından soruları yanıtlayan bir iç asistanı değerlendirebilirsiniz. Bu, örnek bir pilot senaryosudur; gerçek kapsamınız belge yapınıza, kullanıcı grubunuza ve veri hassasiyetinize göre belirlenmelidir.

Pilotun amacı bir gösterim hazırlamak değil, gerçek sorular karşısında sistemin davranışını gözlemlemektir. Bunun için teknik ekip, içerik sorumluları ve işi kullanan ekipler aynı değerlendirme çerçevesini paylaşmalıdır. Beklenen yanıtın hangi belgeye dayanacağı önceden tanımlanırsa, sonuçları yalnızca kişisel izlenimlerle değerlendirme riski azalır.

• Kullanıcı grubu: Asistanı kimler kullanacak ve hangi bilgilere erişebilecek?
• İş ihtiyacı: Hangi soruların yanıtlanması hedefleniyor?
• Belge kümesi: Hangi onaylı içerikler kullanılacak, hangileri dışarıda kalacak?
• Kapsam dışı davranış: Yanıtlanamayan sorular nasıl açıklanacak ve kime yönlendirilecek?
• Kabul ölçütleri: Doğruluk, kaynak uygunluğu, güncellik ve erişim sınırları nasıl değerlendirilecek?

Değerlendirme sorularını yalnızca kolay örneklerden oluşturmayın. Eksik bilgi içeren, birbiriyle çelişen belgelere temas eden veya kullanıcının yetkisini aşan sorular da hazırlayın. Başarıyı yalnızca yanıtlanan sorular üzerinden değil, doğru biçimde yanıtlanmayan sorular üzerinden de inceleyin. Böylece pilot, daha geniş kullanıma geçmeden önce sınırları görünür kılar.

03KVKK sınırlarını veri akışı ve maskeleme üzerinden belirleyin

“Verilerimiz yapay zekâ sağlayıcısına gider mi?” sorusunun yanıtı kullanım senaryosuna ve seçilen mimariye bağlıdır. OPEIS'in yaklaşımında kişisel veri maskeleme, kurum içi veya bölgesel barındırılan modeller ve veri işleme sözleşmeleri değerlendirilebilecek seçenekler arasındadır. Hangi seçeneğin uygun olduğu, yalnızca model adına bakılarak kararlaştırılmamalıdır.

Önce belgelerin, kullanıcı sorularının ve yanıt kayıtlarının hangi aşamalardan geçtiğini çıkarın. Kaynak belgelerdeki kişisel veriler kadar, kullanıcının sohbet sırasında yazdığı bilgiler de değerlendirmeye alınmalıdır. Ayrıca yanıtları incelemek için tutulan kayıtların içeriği ve bu kayıtlara kimlerin erişebildiği açık olmalıdır.

• Her veri akışında hangi içeriğin işlendiğini ve hangi sistemle paylaşıldığını belirleyin.
• Soruyu yanıtlamak için gerekli olmayan kişisel verilerin kapsam dışında bırakılmasını değerlendirin.
• Maskelemenin hangi aşamada uygulanacağını ve örnek belgelerde nasıl kontrol edileceğini tanımlayın.
• Modelin barındırılması, sağlayıcıya aktarım ve veri işleme sözleşmelerini birlikte inceleyin.
• Belge erişimi ile sohbet ve yanıt kayıtlarına erişim sorumluluklarını yazılı hâle getirin.

Örnek olarak, bir kullanım talimatını açıklamak için belge içindeki kişi adının gerekli olup olmadığını sorgulayabilirsiniz. Gerekli değilse bu bilginin modele aktarılmaması veya maskelenmesi değerlendirilebilir. Ancak maskeleme tek başına KVKK uyumu anlamına gelmez. Teknik önlemler, veri işleme koşulları ve kurumsal sorumluluklarla birlikte ele alınmalıdır. Kurum içi barındırma seçeneği de erişim kontrollerini gereksiz kılmaz.

04Kaynak gösterimini ve “bilmiyorum” davranışını test edin

Yanıtın altında bir belge adı bulunması yeterli değildir. Gösterilen belgenin, cevabın ilgili bölümünü gerçekten desteklemesi gerekir. Kullanıcı kaynağı kontrol edemiyorsa veya kaynakta söylenmeyen bir sonuç yanıta eklenmişse, görünürde kaynaklı fakat denetlenmesi zor bir çıktı ortaya çıkar.

Kaynak sunumunu tasarlarken belge adı, ilgili bölüm ve mevcutsa sürüm ya da güncellik bilgisinin kullanıcıya nasıl gösterileceğini belirleyin. Kaynağa erişim de kullanıcının yetkisiyle uyumlu olmalıdır. Asistanın bir belgeye ulaşabilmesi, o belgenin içeriğini herkese açıklayabileceği anlamına gelmemelidir.

Örnek bir yanıt kalıbı şöyle olabilir: “Bu açıklama, onaylı kullanım kılavuzunun ilgili bölümüne dayanıyor. Belge, sorduğunuz istisna durumunu açıklamıyor; bu bölüm için süreç sorumlusunun değerlendirmesi gerekiyor.” Burada önemli olan, kaynakta bulunan bilgi ile bulunmayan bilginin birbirine karıştırılmamasıdır.

• Kaynak bulunamadığında: Yanıt için yeterli onaylı içerik olmadığını belirtmeli.
• Belgeler çeliştiğinde: Çelişkiyi gizlemek yerine içerik sorumlusunun değerlendirmesine yönlendirmeli.
• Soru belirsiz olduğunda: Eksik bağlamı tahmin etmek yerine açıklayıcı soru sormalı.
• Erişim yetkisi bulunmadığında: Kısıtlı bilgiyi yanıt içinde dolaylı biçimde de paylaşmamalı.

Bu davranışları pilotun kabul ölçütlerine ekleyin. Kaynak göstermeyi bir arayüz ayrıntısı, bilmediğini söylemeyi ise başarısızlık olarak değerlendirmeyin. Her ikisi de kurumsal asistanın kullanım sınırlarını anlaşılır kılan temel kontrollerdir.

05Devreye alma kontrol listesini sorumlularla tamamlayın

Pilottan canlı kullanıma geçiş, yalnızca model bağlantısının çalışmasıyla tamamlanmaz. Belgelerin güncellenmesi, yanıtların incelenmesi ve sorunların ilgili ekibe aktarılması için işletim düzeni gerekir. Kontrol listesindeki her maddenin bir sorumlusu ve gözden geçirilebilir çıktısı bulunmalıdır.

• Kapsam onayı: Kullanıcı grubu, belge kümesi ve kapsam dışı sorular yazılı mı?
• İçerik kontrolü: Güncel ve onaylı belgeler ayrıştırıldı mı?
• Veri kontrolü: Maskeleme gereksinimleri ve sağlayıcıya aktarılabilecek içerikler değerlendirildi mi?
• Yetki testi: Farklı kullanıcıların yalnızca izin verilen bilgilere eriştiği sınandı mı?
• Yanıt testi: Cevap ile gösterilen kaynağın uyumu incelendi mi?
• Belirsizlik testi: Eksik, çelişkili ve kapsam dışı sorularda beklenen davranış görüldü mü?
• Kayıt ve inceleme: Yanıt kayıtlarının erişimi ve değerlendirme sorumluluğu tanımlandı mı?
• İşletim planı: Belge güncellemeleri, izleme, bakım ve sorun yönlendirme akışı belirlendi mi?

Bu kontrolleri hazırlarken Yapay Zekâ Asistanı Devreye Alma Rehberi üzerinden konuyu değerlendirebilirsiniz. OPEIS'in keşif, kapsamlandırma, tasarım, geliştirme, test ve destek aşamalarından oluşan çalışma süreci de ihtiyaçların ve sorumlulukların birlikte netleştirilmesini temel alır.

06Sık sorulan sorular

RAG kullanmak yanlış yanıt riskini ortadan kaldırır mı?

Hayır. RAG, yanıtı onaylı kurumsal içerikle ilişkilendirmeyi amaçlar. Kaynağın eksik veya güncelliğini yitirmiş olması ve yanıtın kaynakla uyuşmaması yine değerlendirilmelidir. Kaynak kontrolü, örnek sorularla test ve belirsizliği açıkça ifade etme davranışı birlikte ele alınmalıdır.

Kişisel verileri maskelemek KVKK açısından yeterli mi?

Tek başına yeterli kabul edilmemelidir. Hangi verinin işlendiği, nerede barındırıldığı, sağlayıcıyla ne paylaşıldığı, erişim sınırları ve veri işleme sözleşmeleri birlikte değerlendirilmelidir. Maskeleme, bu çerçevedeki teknik seçeneklerden biridir; bütün uyum sürecinin yerine geçmez.

Pilot için bütün belgelerimizi hazırlamamız gerekir mi?

Hayır. Dar bir kullanım senaryosu ve onaylı belge kümesiyle başlayabilirsiniz. Önemli olan, pilotun hangi soruları yanıtlayacağını ve nerede duracağını belirlemektir. Sonuçlar değerlendirildikten sonra kapsamı, içerik ve erişim kontrolleriyle birlikte genişletmeyi düşünebilirsiniz.

Sonuç: Kurumsal asistanı değerlendirirken yalnızca “Doğru cevap veriyor mu?” diye sormayın. “Hangi kaynağa dayanıyor, hangi veriyi işliyor ve ne zaman yanıt vermemesi gerekiyor?” sorularını da karar çerçevenize ekleyin. Kurumunuzun pilot kapsamını ve RAG tabanlı bilgi bankası ihtiyacını değerlendirmek için OPEIS Yapay Zekâ Çözümleri hizmetini inceleyebilirsiniz.