Özel Yapay Zeka Aracı Bakımı ve Sahipliği: Kontrol Sizde Kalsın

Özel yapay zeka aracının bakımı ve mülkiyeti, kaynak kodun size iletilmesinden ibaret değildir. Kod, prompt’lar, API hesapları, veri akışı ve dokümantasyon sizin denetiminizde değilse aracı satın almış olmazsınız. Başka bir ekibin sağladığı erişimi kullanırsınız.

Özel AI aracı teslim edildiğinde ekranda çalışan bir uygulama görebilirsiniz. Asıl test, model sağlayıcısı sürüm değiştirdiğinde, CRM alanı güncellendiğinde veya aracı geliştiren ajansla ilişkiniz sona erdiğinde yapılır. Araç başka bir kıdemli ekip tarafından işletilemiyor, güncellenemiyor ya da devralınamıyorsa, sahiplik kâğıt üzerinde kalır.

Bakım başlı başına olumsuz bir şey değildir. Model davranışları, API limitleri, veri kaynakları ve güvenlik ihtiyaçları zamanla değişir. Sorun, bu gerçek bakım ihtiyacının kapsamı yazılmamış, süresiz bir destek modeline dönüşmesidir. Bu yazıda ikisini nasıl ayıracağınızı, sözleşmede neleri istemeniz gerektiğini ve aracın gerçekten size ait olup olmadığını nasıl denetleyeceğinizi anlatıyoruz.

Öne Çıkanlar

• Özel bir AI aracına sahip olmak için kaynak kodun yanında prompt kayıtları, müşteri adına açılmış hesaplar ve çalışır dokümantasyon gerekir.
• Model, API veya CRM değişiklikleri AI aracını sessizce bozabilir; bakımın işi bu değişimleri kullanıcı zarar görmeden yakalamaktır.
• API anahtarları, Git deposu veya hosting yalnızca ajans hesabındaysa araç fiilen ajansa bağımlıdır.
• Gelir kritik, müşteri verisi işleyen veya dış sistemlere işlem yazan araçlar düzenli bakım ister; düşük riskli dahili araçlarda gerektiğinde destek yeterli olabilir.
• Bakım sözleşmesi müdahale süresini, kapsamı, teslimleri ve devir planını açıkça yazmalıdır.

Özel AI aracına sahip olmak ne demektir?

Özel bir AI aracında mülkiyet üç katmana dayanır: teknik denetim, iş mantığının denetimi ve hukuki kullanım hakkı. Bu katmanlardan biri eksikse, araç çalışıyor görünse bile işletme tam denetime sahip değildir.

Pek çok teklif “kod sizin” der. Bu tek başına yeterli değildir. Kodun çalıştığı sunucu, modele erişen API anahtarı, veritabanı veya sürüm kontrol deposu başka bir tarafın hesabındaysa, kod size verilse bile sistemi yeniden çalıştırmak zorlaşır.

Kod sizde, hesaplar ajanstaysa araç fiilen sizin değildir

Bir e-ticaret markası için ürün açıklamalarını ve müşteri taleplerini sınıflandıran bir araç geliştirildiğini düşünün. Araç altı ay sorunsuz çalışır. Ardından ajansla iş ilişkisi biter ve ajans hesabına bağlı API anahtarı kapatılır.

Marka kaynak koda sahiptir, ancak araç yanıt üretemez. Git deposuna erişim sınırlıdır, kullanılan modelin sürümü bilinmez ve prompt’lar ayrı bir dosyada tutulmamıştır. Sorun yapay zekânın bozulması değildir. Araç hiçbir zaman işletmenin denetimine geçmemiştir.

Gerçek mülkiyette aşağıdaki erişimler müşteri adına açılır veya müşterinin mevcut hesabına bağlanır:

• Kaynak kodun bulunduğu Git deposu
• Hosting, bulut altyapısı ve alan adı
• Model sağlayıcısı ve API hesapları
• Veritabanı, dosya depolama ve vektör veritabanı
• E-posta, CRM, ERP veya e-ticaret entegrasyonları
• Faturalandırma ve kullanım limiti kontrolleri
• Hata kayıtları, performans panelleri ve uyarılar

Ajansın bu hesaplara erişmesi olağandır. Hesapların yalnızca ajans adına açılması ise olağan değildir.

Sahiplik üç ayrı katmanda kurulmalıdır

Teknik katman kodu, altyapıyı, entegrasyonları ve erişim yetkilerini kapsar. Başka bir ekip bu unsurlarla aracı yeniden yayına alabilmelidir.

Mantık katmanı prompt’ları, model yapılandırmalarını, insan onayı kurallarını, veri filtrelerini ve iş akışı mantığını kapsar. AI aracı yalnızca yazılımdan ibaret değildir. İşletmenizin teklif üslubu, sınıflandırma kuralları veya müşteri yönlendirme yaklaşımı prompt’larda yer alıyorsa, bunlar da teslim edilmelidir.

Hukuki katman fikri mülkiyet devrini, üçüncü taraf lisanslarını, veri kullanım şartlarını ve bakım sonrası çıkış planını kapsar. Sözleşmedeki “tam sahiplik” ifadesi neyin devredildiğini açıkça tanımlamıyorsa, farklı yorumlar ortaya çıkar.

Sahiplik testi basittir: Aracı kuran ekip yarın ayrılırsa, başka bir kıdemli ekip sistemi çalıştırabilir mi? Cevap hayırsa eksik teslim vardır.

Yapay zeka aracı neden bakım gerektirir?

Özel AI aracı, web sayfası gibi bir kez yayına alınıp unutulmaz. Bunun nedeni yalnızca kodunuzun değişmesi değildir. Model sağlayıcısı, API’ler, veri kaynakları ve güvenlik gereklilikleri de değişir.

Bakımın amacı her ay gereksiz geliştirme satmak değildir. Amaç, bu değişimleri sistem yanlış yönlendirme yapmadan, maliyet artırmadan veya müşteriye zarar vermeden tespit etmektir.

Aynı prompt, yeni model sürümünde aynı davranmayabilir

Model sağlayıcıları zaman içinde yeni sürümler yayınlar, eski sürümleri kaldırır veya model davranışını etkileyen altyapı değişiklikleri yapar. Bu yüzden kritik iş akışlarında belirli model sürümünü sabitlemek ve her değişikliği değerlendirme testleriyle kontrol etmek gerekir.

Örneğin danışmanlık firması için geliştirilen bir teklif asistanı, önceki sürümde müşterinin gereksinimini üç maddede özetliyor olabilir. Model güncellemesinden sonra daha uzun, daha genel ve satış ekibinin kullanmadığı içerikler üretmeye başlayabilir. Sistem teknik olarak çalışmayı sürdürür. Buna rağmen iş sonucu zayıflar.

Bu nedenle kritik araçlarda aşağıdakiler gerekir:

• Kullanılan model ve sürüm kaydı
• Kritik prompt’lar için örnek giriş-çıkış testleri
• Model değişmeden önce kontrol ortamında deneme
• Geri alma planı
• Hata veya kalite düşüşünü bildiren kayıtlar

API’ler, fiyatlar ve limitler değişir

AI aracı yalnızca bir model API’sine bağlı değildir. CRM, e-posta sistemi, belge işleme hizmeti, kimlik doğrulama, ödeme altyapısı veya otomasyon katmanı da sürecin parçasıdır.

CRM notlarını özetleyen bir satış ekibi aracını düşünün. CRM’deki “teklif durumu” alanının adı değiştirilir. Araç hata vermeden boş değer almaya başlar ve takip önceliğini yanlış belirler. Satış temsilcisi durumu iki hafta sonra fark eder.

Bu tür aksaklıklar çoğu zaman dikkat çekmez. Sistem tamamen kapanmaz; sessizce hatalı veya eksik çalışır. Düzenli takip, bakım bütçesinin en somut gerekçesidir.

İzlenmeyen araçta sorun geç fark edilir

NIST AI Risk Management Framework, AI sistemlerinin yaşam döngüsü boyunca düzenli izlenmesini; performans değişimlerini ve yeni riskleri görünür kılmak için önerir. NIST AI RMF Playbook, izlemeyi tek seferlik denetim değil, süreklilik gerektiren bir kontrol olarak ele alır.

İzleme şunları içerebilir:

• Başarısız API çağrıları ve entegrasyon hataları
• Beklenmedik kullanım veya maliyet artışları
• Kritik workflow’larda boş, yanlış ya da eksik çıktı oranı
• Yetkisiz erişim denemeleri
• Veri kaynağı değişiklikleri
• İnsan onayıyla geri çevrilen çıktıların nedenleri

Bu kayıtlar yoksa bakım ekibi neyi koruduğunu da gösteremez.

Gerçek bakım ile ajans bağımlılığı arasındaki fark

Bakım hizmeti meşrudur; ajans bağımlılığı bakım değildir. Aynı teklifin içinde yer alsalar da bunlar farklı çalışma modelleridir.

Gerçek bakım, müşteri hesabındaki sistemi güvenli ve güncel tutar. Bağımlılık oluşturan yaklaşım ise kritik erişimleri veya sistem bilgisini tedarikçinin elinde bırakır.

Meşru bakım kapsamı nedir?

Şeffaf bir yapay zeka aracı bakım sözleşmesi şunları kapsayabilir:

• Model ve API değişikliklerinin takip edilmesi
• Kritik workflow’ların belirli aralıklarla test edilmesi
• Hata kayıtlarının ve maliyetlerin izlenmesi
• Güvenlik güncellemeleri ve erişim kontrolleri
• CRM, ERP veya veri kaynağı değişikliklerine uyarlama
• Prompt ve iş kuralı değişikliklerinin kayıt altına alınması
• Tanımlı müdahale süreleri ve sorumluluklar
• Düzenli bakım özeti veya değişiklik kaydı

Asıl konu, kapsamın ölçülebilir olmasıdır. “Teknik destek dahil” bir kapsam tanımı değildir. Hangi sistemlerin izleneceği, hangi durumların değişiklik sayılacağı ve acil hallerde ne kadar sürede yanıt verileceği yazılmalıdır.

Bağımlılık yaratan bakım modeli nasıl görünür?

Aşağıdaki göstergeler, bakımın hizmetten çok bir kilitleme mekanizması olduğunu gösterir:

• API anahtarları yalnızca ajans hesabındadır.
• Git deposuna müşteri erişemez.
• Prompt’lar teslim kapsamında yer almaz.
• Hosting ve veritabanı ajans adına açılmıştır.
• Dokümantasyon retainer devam ettiği sürece paylaşılmaz.
• Her küçük değişiklik için kapsamı belirsiz ek ücret istenir.
• Araç başka bir ekip tarafından devralınamayacak kadar kapalı kurulur.
• Bakım bittiğinde erişimlerin ne olacağı açıklanmaz.

Ajansın kendine ait genel yöntemleri, yeniden kullanılabilir araçları veya iç işleyişleri olabilir. Ancak işletmeniz için geliştirilen özel workflow mantığı, veri şeması ve prompt şablonları teslim kapsamı dışında bırakılamaz.

Bakım hizmeti, aracı çalıştıran bilgiyi gizlemek değildir. Araç müşterinin denetiminde kalırken onu güncel biçimde işletmektir.

Bir araç müşteri mesajlarını sınıflandırıp rezervasyon ekibine iletiyorsa, bakım yalnızca kod güncellemekten ibaret değildir. Yanlış önceliklendirilen özel talepler, insan onayı eşiği ve hata örnekleri de incelenmelidir. Teknik ekip ile operasyon ekibi aynı kayıtlara erişemiyorsa, araç zamanla gerçek iş akışından uzaklaşır.

Sözleşmede bulunması gereken 7 teslim kalemi

Özel AI aracı teklifini incelerken teslimleri projenin sonuna bırakmayın. Bunları en başta yazılı olarak netleştirin.

1. Kaynak kod ve sürüm kontrol deposu: Kodun bulunduğu depo müşteri hesabında olmalı veya müşteriye yönetici erişimi verilmelidir.

2. Prompt, model ayarı ve workflow kayıtları: Sistem mesajları, prompt şablonları, model isimleri, sıcaklık gibi ayarlar ve iş kuralları dokümante edilmelidir.

3. Müşteri adına açılmış hesaplar: API, hosting, bulut, veritabanı ve kritik üçüncü taraf servis hesapları müşteri kontrolünde olmalıdır.

4. Veri akışı ve bağımlılık listesi: Hangi verinin nereden geldiği, nereye gittiği ve hangi servislerde işlendiği yazılmalıdır.

5. Kurulum ve geri alma kılavuzu: Yeni bir ekibin sistemi kurabilmesi, güncelleyebilmesi ve sorunlu sürümden geri dönebilmesi için operasyon belgesi gerekir.

6. Açık IP devir maddesi: Özel olarak geliştirilen kodun, prompt’ların ve iş mantığının kullanım ve devir hakları net yazılmalıdır.

7. Bakım ve çıkış planı: Bakımın kapsamı, müdahale süresi, hariç tutulan işler ve ajans değişikliğinde devir süreci tanımlanmalıdır.

Bu dokümanlar yalnızca büyük işletmeler için gerekli değildir. Küçük bir ekipte bile iki kişinin bildiği bir sistem, üçüncü kişi geldiğinde anlaşılamıyorsa işletme riski yaratır.

AI aracınızın sahipliğini 30 dakikada kontrol edin

Mevcut bir aracınız varsa aşağıdaki soruları yanıtlayın. Her “bilmiyorum” cevabı, kapatılması gereken bir mülkiyet boşluğunu gösterir.

• API anahtarları hangi hesabın altında?
• Git deposunun sahibi kim?
• Hosting ve veritabanı faturası kime kesiliyor?
• Prompt’lar ve workflow mantığı yazılı mı?
• Kullanılan model adı ve sürümü kayıt altında mı?
• Hangi üçüncü taraf servisler araca bağlı?
• Veriler dışa aktarılabiliyor ve silinebiliyor mu?
• Araç başka bir ekip tarafından yeniden yayına alınabilir mi?
• Hata kayıtlarını ve kullanım maliyetini kim görüyor?
• Ajansla çalışmayı bırakırsanız ilk hafta ne olur?

Bu listeyi tamamlamak için yeni bir araç yaptırmanız gerekmez. Önce erişimleri, dokümanları ve faturaların kimin adına olduğunu inceleyin. Ardından eksikleri öncelik sırasına koyun.

Araçtaki müşteri arayüzü veya yönetim paneli de özel geliştirme gerektiriyorsa, Astro web geliştirme gibi performans odaklı bir uygulama katmanı bağımsızlığın parçası olabilir. AI workflow’unun hızlı olması, kullanıcı ekranının yavaş ve kırılgan olmasını telafi etmez.

Ne zaman aylık bakım gerekir?

Her özel AI aracı için aylık bakım gerekmez. Kararı, aracın işletme açısından yarattığı risk ve bağlı olduğu sistemlerin sayısı belirlemelidir.

Aylık bakımın mantıklı olduğu durumlar

Aşağıdaki koşullardan birkaçını taşıyan araçlar için düzenli bakım çoğu zaman uygundur:

• Araç müşterilerle doğrudan konuşuyorsa
• Fiyat, sipariş, teklif veya finansal sonucu etkiliyorsa
• CRM, ERP veya e-ticaret sistemine veri yazıyorsa
• Kişisel veri ya da hassas şirket verisi işliyorsa
• Birden fazla API ve otomasyon zinciri kullanıyorsa
• Çok sayıda çalışan veya müşteri tarafından kullanılıyorsa
• Araç durduğunda satış, operasyon veya müşteri hizmeti aksıyorsa

Örneğin bir sigorta işletmesinin belge ön inceleme aracı, eksik dosyaları hatalı sınıflandırdığında operasyon ekibi yanlış öncelik sırasıyla çalışabilir. Araç müşteriye doğrudan yanıt vermese bile iş sonucunu etkiler. Düzenli test, erişim denetimi ve hata incelemesi gerekir.

Gerektiğinde destek ne zaman yeterlidir?

Daha sınırlı araçlarda proje bazlı veya ihtiyaç halinde destek daha uygun olabilir:

• Araç yalnızca dahili taslak üretiminde kullanılıyorsa
• İnsan onayı olmadan dış sistemde işlem yapmıyorsa
• Veri kaynakları nadiren değişiyorsa
• Kullanıcı sayısı sınırlıysa
• İş akışı düşük riskliyse
• Hata olduğunda iş manuel süreçle sürdürülebiliyorsa

Ekip içi toplantı notlarını özetleyen bir araç buna örnektir. Çıktı kalitesi düştüğünde çalışan metni yeniden düzenler. Sistem müşteri verisini dışarı aktarmıyor ve başka bir araçta kayıt oluşturmuyorsa, aylık sabit destek yerine kapsamı belirli destek daha mantıklı olabilir.

Veri sahipliği ve KVKK bakımın parçasıdır

AI aracına müşteri bilgisi, teklif verisi, çalışan notu veya belge yüklendiğinde konu yalnızca teknoloji tercihi olmaktan çıkar. Veri işleme ve erişim yönetimi de bakım kapsamına girer.

KVKK, yapay zeka sistemlerinde kişisel veri işleme faaliyetlerinin 6698 sayılı Kanun kapsamındaki genel ilkelere tabi olduğunu vurgular. KVKK Bülteni (Sayı 8, Yapay Zekâ), hukuka uygunluk, amaçla sınırlılık, veri minimizasyonu ve veri güvenliği konularını bu çerçevede değerlendirir.

İşletmenin yazılı yanıt alması gereken sorular şunlardır:

• Araca hangi kişisel veya ticari veriler gönderiliyor?
• Bu veriler hangi sağlayıcılardan geçiyor?
• Veriler ne kadar süre saklanıyor?
• Kimler hangi erişim yetkisine sahip?
• Veriler silinebiliyor ve dışa aktarılabiliyor mu?
• Sağlayıcı verileri model eğitimi için kullanıyor mu?
• Erişim ayrıldığında anahtarlar ve yetkiler nasıl kapatılıyor?

OpenAI, API üzerinden gönderilen verilerin varsayılan olarak model eğitimi için kullanılmadığını belirtir. Ancak bu, hiçbir kullanım kaydının tutulmadığı anlamına gelmez. OpenAI’nin varsayılan veri kullanım politikaları, bazı kötüye kullanım izleme kayıtlarının varsayılan olarak 30 güne kadar tutulabileceğini açıklar.

Bu ayrım önemlidir. “Eğitim için kullanılmıyor” ifadesi tek başına veri saklama süresini, veri akışını veya KVKK sorumluluklarını açıklamaz.

Özel AI aracı teklifinde sorulacak sorular

Teklifi imzalamadan önce aşağıdaki sorulara açık ve yazılı yanıt isteyin:

• Araç hangi model veya modelleri kullanacak?
• Model sürümü sabitlenecek mi; değişiklikler nasıl test edilecek?
• Kod, prompt ve workflow mantığı proje sonunda kime devredilecek?
• Git, hosting, API ve bulut hesapları kimin adına açılacak?
• Hangi üçüncü taraf servisler kullanılacak?
• Servislerden biri kapanır veya fiyatını değiştirirse ne olacak?
• Veri dışa aktarma ve silme süreci nedir?
• Bakım hangi işleri içeriyor, hangilerini içermiyor?
• Acil bir arızada müdahale süresi nedir?
• Aracı başka bir ajans devralabilir mi?
• Devirde hangi dokümanlar teslim edilecek?

Bu soruların amacı ajansı zorlamak değildir. Bu yanıtların proje başlamadan yazılı olması işi netleştirir. Belirsizlik, yapay zekânın kaçınılmaz sonucu değildir.

Sık sorulan sorular

Özel yapay zeka aracının bakımını kim yapmalı?

Bu işi sistemi anlayan ve müşteri hesabındaki erişimlerle çalışabilen bir ekip üstlenmelidir. İlk geliştiren ajans bakım hizmeti verebilir. Ancak müşteri istediğinde başka bir kıdemli ekip de aracı devralabilmelidir.

Kaynak kodu almak sahiplik için yeterli mi?

Hayır. Kaynak kodun yanında prompt’lar, model ayarları, API hesapları, veri akışı, altyapı erişimleri ve operasyon dokümantasyonu da gerekir. Bunlardan biri eksikse araç fiilen tedarikçiye bağımlı kalabilir.

Yapay zeka aracı için aylık bakım zorunlu mu?

Bu her araç için zorunlu değildir. Müşteri verisi işleyen, dış sistemlere işlem yazan, birden fazla API kullanan veya gelir açısından kritik workflow’larda çalışan araçlarda düzenli bakım mantıklıdır. Düşük riskli iç araçlarda gerektiğinde destek yeterli olabilir.

Model değişince AI aracı neden farklı çalışır?

Model sağlayıcıları yeni sürümler çıkarabilir, eski modelleri kaldırabilir veya aynı prompt’un davranışını etkileyen değişiklikler yapabilir. Kritik iş akışlarında model sürümü kayda alınmalı, değişiklikler test edilmelidir.

Prompt’lar ajansın mülkiyetinde olabilir mi?

Ajansın kendine ait genel yöntemleri olabilir. Ancak işletmeniz için oluşturulan özel prompt şablonları, workflow mantığı ve iş kuralları teslim kapsamında açıkça yer almalıdır. Haklar net değilse, sözleşmeden önce hukuki görüş alınmalıdır.

Aracımın verileri nerede tutuluyor?

Bu durum model sağlayıcısına, veritabanına, vektör veritabanına, hosting altyapısına ve kullanılan otomasyonlara göre değişir. Tedarikçi her veri akışını, saklama süresini ve erişim yetkisini yazılı olarak açıklayabilmelidir.

Sahiplik bakımı bitirmez, belirsizliği bitirir

Özel AI aracı, hazır bir abonelik ürününe göre daha fazla denetim sağlayabilir. Ancak bu denetim, kodla birlikte hesaplar, prompt’lar, veri akışı ve dokümantasyon da işletmenin elindeyse gerçektir.

Bakım, mülkiyetin yerine geçmez. Model değişikliklerini test etmek, maliyetleri izlemek, entegrasyonları güncellemek ve veri erişimini denetlemek için ayrı bir hizmettir. Doğru modelde araç sizindir; bakım ise ihtiyacınıza göre seçtiğiniz, kapsamı belirli destektir.