GDPR ve yapay zeka toplantı özetleri: Hangi uç nokta?

Autorec’te transkripsiyon sizin bilgisayarınızda çalışır. Dışarı çıkabilecek tek adım yapay zeka özeti. Özeti açarsanız transkript sizin seçtiğiniz bir LLM sağlayıcısına gider ve o andan itibaren bu sağlayıcı, toplantıda geçen kişisel verilerin işleyeni olur.

Bu yazı o sağlayıcıyı seçmekle ilgili. Hukuki tavsiye değildir; hukuki dayanağınızın ve risk iştahınızın neye izin verdiğine veri koruma görevliniz ya da hukuk danışmanınız karar verir. Türkiye’de çalışıyorsanız veri işleyen, yurt dışına aktarım gibi kavramlar size KVKK’dan tanıdık gelecektir; yine de bu yazı GDPR çerçevesinden bakıyor. Aşağıdaki sağlayıcı bilgileri, Ekim 2026’da kontrol edilmiş kendi belgelerinden alındı. Politikalar değişir; bir satıra güvenmeden önce bağlantılı sayfalara bakın.

Autorec gerçekte ne gönderiyor

Autorec’in yapay zeka özeti, Ayarlar → Yapay zeka özeti bölümünde bir sağlayıcı ekleyene kadar kapalıdır. Çalıştığında bilgisayarınızdan doğrudan yapılandırdığınız API temel URL’si adresine tek bir HTTPS isteği gider. Arada Autorec’e ait bir sunucu yoktur.

İsteğin gövdesinde şunlar bulunur:

sistem mesajı olarak özet isteminiz
kullanıcı mesajı olarak transkript metni
model adı ve en fazla özet uzunluğu

Bunlara ek olarak, Extra request fields (JSON) altına kendiniz eklediğiniz alanlar da gider; örneğin sağlayıcı yönlendirme seçenekleri. Bunlar toplantıyla ilgili veri değil, ayardır. Başka hiçbir şey gönderilmez: ses, video, ekran görüntüsü, dosya adı ya da katılımcı listesi yok. Transkriptin tamamı gönderilir, dolayısıyla uzun bir toplantı çok fazla metin demektir.

Geri gelen başlık ve özet, diskinizde kaydın yanına kaydedilir. API anahtarınız Autorec’in yerel yapılandırmasında durur; yerel sunucular için zaten isteğe bağlıdır.

Sesleri ve yüzleri içeren ses ve video kaydı makineden hiç çıkmaz. Metin çıkar ve insanlar isimleri, sağlık bilgilerini ya da maaşları sesli söylediğinde metin de kişisel veridir. Bir transkript sırf metin olduğu için anonim sayılmaz.

GDPR ve HIPAA yazımız işin kayıt tarafını ele alıyor: hukuki dayanak, rıza, saklama süresi. Oradaki her şey hâlâ geçerli. Bu yazı buna sağlayıcı adımını ekliyor.

Autorec'in Yapay zeka özeti ayarları: sağlayıcı listesi açık, hazır ayarlar toplayıcılar, birinci taraf API'ler, hızlı çıkarım, yerel sunucular ve Custom olarak gruplanmış

Sağlayıcı seçmeden önce neye bakmalı

Kararın büyük kısmını dört soru belirler.

Veri nerede işleniyor? AB sihirli bir kelime değil ama aktarım sorusunu büyük ölçüde masadan kaldırır. ABD’de işleme için bir aktarım mekanizması ve bir aktarım değerlendirmesi gerekir.

Bir veri işleme sözleşmesi (DPA) var mı? Sağlayıcı kişisel verileri sizin adınıza işliyorsa 28. madde bir sözleşme şart koşar. Satış ekibiyle görüşmeden bunu kabul edebildiğinizden emin olun.

İçerik ne kadar süre saklanıyor? Pek çok API sağlayıcısı, istemlerle model eğitmese bile kötüye kullanımı izlemek için onları kısa bir süre saklar. “Sıfır saklama” genellikle varsayılan değil, talep ettiğiniz bir anlaşmadır.

İçerik eğitim için kullanılıyor mu? Büyük oyuncular arasında API trafiği için bu artık nadiren varsayılan, ama herkeste aynı değil ve ücretsiz katmanla ücretli katman arasında farklılık gösterebilir.

AB’de barındırılan sağlayıcılar

Mistral

Mistral, Autorec’in sağlayıcı listesindeki ilk AB seçeneği (Sağlayıcı → Mistral, temel URL https://api.mistral.ai/v1, varsayılan model mistral-small-latest).

Bölge: Mistral’ın yardım merkezine göre veriler varsayılan olarak Avrupa Birliği’nde barındırılıyor; ABD’de ise yalnızca ABD API uç noktasını açıkça kullanırsanız. Mistral, bir kısmı AB dışında olan alt işleyenlerini de Trust Center’da listeliyor.
DPA: Mistral, ticari koşulları kapsamında bir Veri İşleme Eki (Data Processing Addendum) yayımlıyor.
Eğitim: dikkatle okunması gereken satır bu. Mistral’ın yardım merkezi, kullandıkça öde planında eğitimden istediğiniz zaman çıkma hakkınız olduğunu söylüyor ve anahtarı tarif ediyor: Mistral Studio’da Privacy → Anonymous improvement data. Ücretsiz Studio modunda Mistral’ın verilerinizi modellerini eğitmek için kullanabileceği belirtiliyor. Tüketiciye yönelik sohbet ürünüyle API’nin ayrı anahtarları var. Yani varsaymayın; Autorec’e girdiğiniz anahtarın ait olduğu hesapta Privacy sayfasını açıp kontrol edin.
Saklama: Mistral, ücretli planlarda sohbet tamamlamaları da dahil olmak üzere desteklenen API çağrıları için bir Sıfır Veri Saklama (Zero Data Retention) seçeneği sunuyor. Bunu destek üzerinden talep ediyorsunuz; Mistral onaylayabilir ya da reddedebilir. Ulaşabildiğim Mistral yardım sayfaları API içeriği için varsayılan saklama süresini belirtmiyor, bu yüzden bir sayı yazmayacağım. Sorun ya da DPA’yı okuyun.

Scaleway

Scaleway’in Generative APIs hizmeti Paris’te barındırılıyor ve bir chat completions uç noktası da dahil olmak üzere OpenAI uyumluluğu sunuyor. Autorec’te bunun için hazır ayar yok; Custom… seçeneğini seçin ve Scaleway konsolundaki temel URL’yi girin.

Scaleway’in veri gizliliği sayfasına göre şirket istemleri ya da çıktıları toplamıyor, okumuyor, yeniden kullanmıyor veya analiz etmiyor ve bunları model eğitmek için kullanmıyor. İstisna, kötüye kullanım ya da arıza incelemesi: bu durumda veriler iki haftaya kadar saklanabiliyor. Sayfa Scaleway’i veri işleyen olarak tanımlıyor ve sözleşme tarafı için gizlilik politikasına ve yapay zeka hizmet koşullarına yönlendiriyor.

IONOS

IONOS AI Model Hub, OpenAI uyumlu uç noktalar sunduğunu, tüm işlemenin Almanya’daki (Berlin) veri merkezlerinde gerçekleştiğini ve müşteri verilerinin hiçbir zaman model eğitimi için kullanılmadığını belirtiyor. Belirtilmiş bir saklama süresi bulamadım; toplantı içeriğini bu hizmetten geçirmeden önce onlara sorun. Burada da Custom… kullanın.

Diğerleri

OVHcloud AI Endpoints ve Aleph Alpha da Avrupalı. Bu yazıyı yazarken güncel koşullarını ve API uyumluluklarını birincil kaynaklardan doğrulayamadım, bu yüzden tabloda yer almıyorlar.

ABD’li sağlayıcılar

OpenAI ve Anthropic’in Autorec’te hazır ayarları var. API varsayılanları sanıldığından daha iyi. Açık soru eğitim değil, ABD’ye aktarım.

OpenAI: belgelerine göre API verileri, siz katılmayı seçmedikçe modellerini eğitmek için kullanılmıyor ve kötüye kullanım izleme kayıtları varsayılan olarak 30 güne kadar saklanıyor. Sıfır Veri Saklama önceden onay gerektiriyor. AB’de veri yerleşimi (eu.api.openai.com öneki) bir proje ayarı ve Sıfır Veri Saklama ya da değiştirilmiş kötüye kullanım izleme gibi koşullarla geliyor; her model de desteklenmiyor.
Anthropic: gizlilik merkezine göre API kullanıcılarının girdileri ve çıktıları 30 gün içinde arka uçtan siliniyor ve ticari ürünlerin girdileri ve çıktıları varsayılan olarak eğitim için kullanılmıyor. Standart Sözleşme Maddelerini içeren DPA’sı, Ticari Koşullara otomatik olarak dahil ediliyor. Yalnızca AB’de işleme seçeneğini doğrulayamadım, bu yüzden böyle bir seçenek olduğunu iddia etmiyorum.

Bir bakışta

Sağlayıcı	İşleme bölgesi	Saklama	Eğitim	DPA
Mistral	Varsayılan olarak AB; ABD uç noktası isteğe bağlı	Ücretli planlarda talep üzerine ZDR; kontrol ettiğim sayfalarda varsayılan süre belirtilmemiş	Studio’da devre dışı bırakma anahtarı; ücretsiz katmandaki veriler kullanılabilir	Yayımlanmış ek
Scaleway	Paris, Fransa	İstem saklanmıyor; arıza incelemesi için iki haftaya kadar	Kullanılmıyor	Gizlilik politikası ve yapay zeka koşullarında veri işleyen koşulları
IONOS	Almanya (Berlin)	Belirtilmemiş	IONOS’a göre hiçbir zaman kullanılmıyor	Kontrol edilmedi
OpenAI	ABD; koşullu olarak isteğe bağlı AB yerleşimi	30 güne kadar (kötüye kullanım kayıtları); onayla ZDR	Katılmayı seçmedikçe kullanılmıyor	Kontrol edilmedi
Anthropic	Yalnızca AB olarak belirtilmemiş	30 gün içinde siliniyor	Varsayılan olarak kullanılmıyor	Ticari Koşullara dahil

“Kontrol edilmedi”, benim okumadığım anlamına geliyor; olmadığı anlamına değil.

Ağ geçitleri yeni bir taraf ekler

Bir modelin önüne OpenRouter gibi bir toplayıcı koyduğunuzda, modeli çalıştıran şirketin yanında toplayıcı da veri işleyen olur. Bunu kısıtlayabilirsiniz; örneğin OpenRouter’ın sıfır veri saklama bayrağı gibi istek düzeyindeki seçeneklerle, ki bunu Extra request fields (JSON) alanında ayarlayabilirsiniz. OpenRouter gizlilik yazımız bu ayarları tek tek anlatıyor. Derli toplu bir belge izi istiyorsanız tek bir AB sağlayıcısıyla yapılmış tek bir doğrudan sözleşmeyi belgelemek, bir yönlendirme katmanını belgelemekten daha kolaydır.

Yerel model ne zaman daha iyi cevap

AB’deki bir uç nokta riski azaltır. Kendi makinenizdeki bir model ise veri işleyeni tamamen ortadan kaldırır: sağlayıcı yok, DPA yok, aktarım yok, saklama sorusu yok. Sağlık verisi, avukat-müvekkil gizliliği, İK vakaları ya da sıkı bir müşteri gizlilik sözleşmesine (NDA) tabi her şey için savunması çoğu zaman en kolay karar budur.

Bedeli donanım ve kalite. Dizüstündeki küçük bir model, barındırılan büyük bir modele göre daha kaba bir özet yazar ve uzun transkriptler yavaş ilerler. Yerel LLM rehberimiz Autorec’i Ollama’ya ya da LM Studio’ya nasıl yönlendireceğinizi gösteriyor.

Makul bir ayrım:

rutin iç toplantılar: eğitimi kapalı ve DPA’sı imzalanmış, AB’de barındırılan bir uç nokta
hassas toplantılar: yerel bir model ya da hiç özet olmadan yalın bir transkript

Sağlayıcıyı Ayarlar’dan istediğiniz zaman değiştirebilirsiniz ve özetler kayıt bazında oluşturulur; yani bu ayrımın ya hep ya hiç olması gerekmiyor.

Kısa bir kontrol listesi

Sağlayıcıyı seçin ve kullanacağınız anahtarın ait olduğu hesapta DPA’sını kabul edin.
Eğitim ayarını genel olarak değil, o hesapta doğrulayın.
Sağlayıcı sunuyorsa ve riskiniz gerektiriyorsa Sıfır Veri Saklama talep edin.
Katılımcılara transkripti bir yapay zeka sağlayıcısının işlediğini söyleyin. Kayıt bildiriminizde veri işleyenin türü yer almalı.
Sağlayıcıyı veri işleme faaliyetleri kaydınıza ekleyin.
Önce kendiniz gözden geçirmek istediğiniz toplantılar için Transkripsiyondan sonra otomatik özetle seçeneğini kapalı tutun.

Autorec sesi makinenizde tutar ve makineden tam olarak hangi metnin çıktığını size gösterir. Sözleşmeler ve politika sizin işiniz. Kayıt tarafı için GDPR ve HIPAA rehberine, toplantı botlarını neden kullanmadığımız için de botsuz kaydedici yazısına bakın.