Modeliniz Anonim mi? Ezberleme, Üyelik Çıkarımı ve EDPB'nin Yeni Anonimleştirme Kılavuzu

Kişisel veriyle eğitilmiş bir model, eğitim verisi silindikten sonra anonim sayılır mı? Bu soru iki ayrı toplulukta, birbirini duymadan tartışılıyor: hukukçular anonimleştirme testini biliyor ama ezberlemenin nasıl ölçüldüğünü bilmiyor, araştırmacılar ise çıkarım saldırılarını yazıyor ama hukuki teste hiç değinmiyor. Bu yazıda iki tarafı birbirine bağlıyoruz: hukuki testin üç kriterini ölçülebilir saldırı yüzeylerine çeviriyor ve bir mühendisin anonim iddiasında bulunmadan önce fiilen ne ölçmesi gerektiğini anlatıyoruz.

Aynı soru, iki ayrı dil#

Bu soru iki ayrı odada, iki ayrı dille tartışılıyor ve odalar birbiriyle nadiren konuşuyor.

Birinci odada hukukçular var. Bir veri kümesinin ya da modelin kişisel veri olup olmadığını tartışıyorlar, testin adımlarını biliyorlar, ama bir modelin içinde verinin fiilen nasıl kaldığına dair somut bir resimleri yok. İkinci odada makine öğrenmesi araştırmacıları var. Ezberlemeyi ölçüyorlar, çıkarım saldırıları yazıyorlar, ama bulgularının hukuki testin hangi ayağına denk düştüğünü söylemiyorlar.

Sonuç tanıdık: hukuk metni ölçülemeyen bir dille yazılmış gibi görünür, teknik makale ise sorumluluğu olmayan bir merak gibi okunur. Oysa ikisi aynı şeyi soruyor: bu modelden bir insana geri dönülebilir mi?

Bu yazının amacı iki odayı birleştirmek. Önce hukuki testin ne sorduğunu net biçimde koyacağız, sonra o soruların her birini ölçülebilir bir saldırı yüzeyine bağlayacağız ve sonunda bir mühendisin, anonim iddiasında bulunmadan önce fiilen ne ölçmesi gerektiğine dair bir protokol çıkaracağız.

Bu yazı, gizliliği koruyan öğrenme yöntemlerinin nasıl çalıştığını değil, bir sistemin anonim sayılıp sayılamayacağının nasıl değerlendirileceğini anlatıyor; yöntemlerin kendisi için gizlilik korumalı öğrenme yazısına bakabilirsiniz.

Hukuki test: tekilleştirme, bağlanabilirlik, çıkarım#

Avrupa Veri Koruma Kurulu (EDPB), Anonimleştirme Hakkında 02/2026 sayılı Kılavuz ↗u 7 Temmuz 2026’da kabul etti; kamuoyu istişaresi 30 Ekim 2026’ya kadar açık. Kılavuz, WP29’un 05/2014 sayılı Görüşünü güncelliyor ve anonimleştirmenin (anonymisation) üçlü testini koruyor:

• Tekilleştirme (singling out): Veri kümesi içinde tek bir kişiyi ayırt edebilir misiniz?
• Bağlanabilirlik (linkability): Aynı kişiye ait iki farklı kaydı birbirine bağlayabilir misiniz?
• Çıkarım (inference): Bir kişi hakkında, açıkça yazmayan bir bilgiyi yüksek olasılıkla çıkarabilir misiniz?

Kılavuzun en önemli yanı, kimliklenebilirliğe göreli bir yaklaşım benimsemesi. Bu yaklaşım Adalet Divanı’nın C-413/23 P sayılı EDPS v SRB kararında (4 Eylül 2025) de kabul edildi ve pratik sonucu şu: aynı veri kümesi bir taraf için kişisel veri, başka bir taraf için anonim olabilir. Anonimlik, dosyanın kalıcı bir özelliği değil; kimin, hangi ek bilgilere ve makul araçlara sahip olduğuna bağlı bir değerlendirmedir.

Modeller için ayrıca 28/2024 sayılı EDPB Görüşü ↗ (18 Aralık 2024) var. Görüş açık: kişisel veriyle eğitilmiş bir yapay zekâ modelinin anonim olduğu varsayılamaz. Değerlendirme vaka bazlıdır ve iki riskin birden ihmal edilebilir olmasını gerektirir: modelden kişisel veri çıkarma riski ve sorgular yoluyla kişisel veri elde etme riski.

Anonimlik bir rozet değil, bir iddiadır. Her iddia gibi kanıtlanması gerekir ve kanıt, dosyanın kendisinde değil, ona kimin nasıl eriştiğindedir.

Ezberleme ölçülebilir bir şeydir#

Şimdi ikinci odaya geçelim. Mühendislik tarafındaki iyi haber şu: ezberleme mistik bir olgu değil, ölçülebilir ve sınırlı bir kapasitedir.

Bir modelin ağırlıklarında saklayabileceği bilgi miktarı sonludur ve ölçülebilir. Morris ve arkadaşlarının 30 Mayıs 2025 tarihli çalışmasında ↗ bu kapasite parametre başına yaklaşık 3,6 bit olarak ölçüldü. Bu sayı, tartışmanın zeminini değiştiriyor: model artık içine ne girdiği bilinmeyen bir kara kutu değil, kapasitesi bilinen bir depolama ortamı.

İkinci bulgu daha rahatsız edici. Nasr, Carlini ve arkadaşlarının 28 Kasım 2023 tarihli çalışmasında ↗, bir sapma (divergence) saldırısı ChatGPT’nin eğitim verisi yayma oranını 150 katına çıkardı. Buradaki asıl ders saldırının kendisi değil, ölçeklenebilir olmasıdır: modelin normal kullanımda hiçbir şey sızdırmıyor görünmesi, sızdırmadığı anlamına gelmez. Yalnızca doğru istemi henüz kimsenin denememiş olduğu anlamına gelir.

Bu ikisi bir araya geldiğinde hukuki testin neden mühendislik işi olduğunu görürsünüz. Ezberleme sonlu bir kapasitedir, çıkarımsa keşfedilmeyi bekleyen bir yüzeydir. İkisi de ölçülebilir, ikisi de tahmin edilemez değildir ve hiçbiri modelin büyüklüğüne bakarak göz kararı kestirilemez.

Üç kriteri saldırı yüzeyine çevirmek#

Köprü tam burada kuruluyor. Hukuki testin her ayağının teknik bir karşılığı var ve bu karşılıklar laboratuvarda ölçülebilir.

Tekilleştirme karşılığı: eğitim verisi çıkarımı#

Eğitim verisi çıkarımı (training data extraction), modelden eğitim kümesindeki belirli bir kaydı geri almaya çalışır. Başarılı bir çıkarım, tekilleştirme kriterinin doğrudan ihlalidir: elinizde tek bir kişiye ait, ayırt edilmiş bir kayıt vardır. Bunun kontrollü biçimi, eğitim öncesinde veriye benzersiz sahte kayıtlar (kanarya kayıtları) yerleştirip modelin bunları geri verip vermediğini test etmektir.

Çıkarım karşılığı: üyelik çıkarımı saldırısı#

Üyelik çıkarımı saldırısı (membership inference attack) daha mütevazı ama hukuken en az onun kadar önemli bir soru sorar: bu kayıt eğitim kümesinde var mıydı? Kaydın içeriğini almanız gerekmez. Bir kişinin belirli bir veri kümesinde bulunduğunu öğrenmek, o veri kümesi bir hastalık kohortuysa zaten hassas bir çıkarımdır.

Bağlanabilirlik karşılığı: yardımcı bilgiyle eşleştirme#

Bağlanabilirlik, tek bir saldırıya değil bir bağlama karşılık gelir: modelin çıktıları, kamuya açık başka bir kaynakla birleştirildiğinde aynı kişiye ait kayıtları bir araya getirmeye izin veriyor mu? Kılavuzun göreli yaklaşımı tam olarak buraya oturur; değerlendirme, saldırganın makul olarak erişebileceği yardımcı bilgiye bağlıdır.

Bir noktanın altını çizelim: bu üç yüzey sentetik veri için de geçerlidir. Kişisel veriyle eğitilmiş bir üreticiden çıkan sentetik veri otomatik olarak anonim değildir; üretici modelin ezberlediği ne varsa örneklerine sızabilir. Sentetik veri de aynı üç testten geçirilir.

Mühendisin protokolü: iddia etmeden önce ne ölçersiniz#

Bir modelin ya da veri kümesinin anonim olduğunu söylemeden önce yapılması gereken iş bellidir. Aşağıdaki akış, hukuki testi ölçüm adımlarına çeviren asgari bir protokoldür.

# Anonimlik iddiasindan once minimum denetim protokolu (pseudocode)
envanter = kisisel_veri_tara(egitim_kumesi)   # ne girdi, hangi kategorilerde
tekrar_analizi(egitim_kumesi)                 # tekrarli kayitlar ezberlemeyi besler

kanaryalar = benzersiz_sahte_kayit(n)         # egitimden ONCE yerlestirilir
model = egit(egitim_kumesi + kanaryalar)

# 1) tekillestirme: kaydi geri alabiliyor muyum?
cikarim_sonucu = cikarim_saldirisi(model, kanaryalar, butce=yuksek)

# 2) cikarim: bu kayit egitimde miydi?
uyelik_sonucu = uyelik_cikarimi(model, uye_olanlar, uye_olmayanlar)
#    onemli olan tek sayi degil: saldiri sansi asiyor mu, ve KIMDE asiyor
for grup in alt_gruplar:
    uyelik_cikarimi(model, grup)              # azinlik gruplari daha risklidir

# 3) sorgu yuzeyi: agirliklar degil, YAYINLANAN arayuz test edilir
sorgu_sonucu = arayuz_uzerinden_dene(model.api, saldiri_istemleri)

# 4) resmi garanti gerekiyorsa: DP ile egit, epsilon ve delta raporla
# 5) hepsini yaz: ayarlar, butce, negatif sonuclar. Protokolsuz iddia, iddia degildir.

Protokolde dikkat edilecek üç ayrıntı var. Birincisi, üyelik çıkarımı sonucunu tek bir ortalama sayı olarak okumayın: saldırı ortalamada rastgele tahminden iyi olmasa bile, küçük bir alt grupta çok daha başarılı olabilir. Gizlilik riski, tıpkı adalet ölçümleri gibi, alt gruplarda saklanır.

İkincisi, 28/2024 sayılı Görüşün sorgu riskini ayrıca sayması boşuna değil. Ağırlıkları kapalı tutan bir servis bile, arayüzü üzerinden kişisel veri verebiliyorsa testi geçemez. Dolayısıyla denetim, yayınladığınız arayüzün üzerinde yapılır.

Üçüncüsü, resmi bir garanti istiyorsanız yolunuz diferansiyel gizlilikten (differential privacy) geçer ve bu, ε ile δ değerlerini raporlamak demektir. Somut bir örnek için Google’ın VaultGemma-1B ↗ modeli sıfırdan DP-SGD ile, ε ≤ 2.0 ve δ ≤ 1.1e-10 bütçesiyle eğitildi. Karşılaştırma için: ABD 2020 Nüfus Sayımı’nın üretimde kullandığı gizlilik kaybı bütçesi ↗ toplamda ε = 12.2 idi (kişiler için 10.3, konut birimleri için 1.9). Yani gerçek dünyada ε, ders kitaplarındaki kadar küçük olmak zorunda değil; önemli olan değerin ne olduğu ve neye göre seçildiğidir.

Belgeleme, Türkiye bağlamı ve makul sınırlar#

Denetimi yaptınız diyelim. Geriye en çok atlanan adım kalıyor: yazmak. Anonimlik değerlendirmesi, sonucu kadar yöntemiyle de değerlidir; hangi saldırıların, hangi bütçeyle, hangi varsayımlar altında denendiği yazılmadıysa ortada bir değerlendirme değil bir kanaat vardır. Bu kayıtların doğal yeri model kartları ve yönetişim belgeleridir.

Göreli yaklaşımın pratik sonucu da burada devreye girer: değerlendirme belirli bir bağlam için geçerlidir. Modeli yalnızca kurum içinde çalıştırırken yaptığınız değerlendirme, ağırlıkları kamuya açtığınızda ya da arayüzü serbest bıraktığınızda geçersizdir. Dağıtım biçimi değişti mi, değerlendirme yenilenir.

Silme talepleri ayrı bir konudur ve sık sık karıştırılır. Bir kaydın etkisini modelden çıkarmaya çalışan makine unutması (machine unlearning) yöntemleri değerli olabilir, ama başarılı bir unutma işlemi modelin anonim olduğunun kanıtı değildir; yalnızca belirli bir kaydın etkisine dair bir iddiadır.

Türkiye tarafında yapay zekâya özgü yürürlükte bir kanun bulunmuyor; çerçeveyi kişisel verilerin korunması mevzuatı ve KVKK’nın rehberleri çiziyor. KVKK 24 Kasım 2025’te Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda) ↗ belgesini yayımladı; daha önce de 15 Eylül 2021’de Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler ↗ metnini çıkarmıştı. Avrupa’daki tartışmayı izlemek, yerel uygulamada da işinize yarar; çünkü sorular aynı.

Eğitim verisinin nereden geldiği de aynı masaya oturuyor. EDPB, anonimleştirme kılavuzuyla aynı genel kurulda, üretken yapay zekâ bağlamında web kazımaya ilişkin 03/2026 sayılı kılavuzu da kabul etti ↗. İkisi birlikte okunmalı: veriyi nasıl topladığınız ile modelin sonunda ne kadar anonim olduğu aynı zincirin halkalarıdır.

Anonimlik sorusunun cevabı ne saf hukuk ne saf mühendislik. Hukuki test size neyi kanıtlamanız gerektiğini söyler, ölçüm araçları ise bunu nasıl kanıtlayacağınızı. İki odayı aynı masaya oturtan ekipler hem daha savunulabilir sistemler kuruyor hem de kendi risklerini gerçekten biliyor.