Hukuk yapay zeka yetki matrisi: büroda erişim nasıl ayrılır?

Kısa yanıt: Hukuk yapay zeka yetki matrisi, büroda kimin hangi araçta, hangi dosya ve veriyle, hangi işlemi yapabileceğini görünür kılmalıdır. TBB rehberi erişimleri stajyer, sekreterya, avukat, sorumlu ortak ve dış danışman bakımından ayırmayı önerir. Araç kullanımına izin verilmesi, bütün dosyaları yükleme veya çıktıyı denetimsiz gönderme yetkisi anlamına gelmez.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki tavsiye değildir.

Hukuk yapay zeka yetki matrisi neden dosyayı da kapsar?

Yalnızca kişi adlarının karşısına “erişebilir” yazılan liste, kişinin ne yapabileceğini açıklamaz. Kamuya açık bir mevzuat metnini başlıklandırmakla müvekkil belgesini başka sisteme aktarmak aynı işlem değildir. TBB tavsiye rehberinin 4. bölümü; veri türünü, hukuki sonuca yakınlığı, araç yapısını ve aktarım ihtimalini birlikte değerlendiren risk yaklaşımı kurar.

Bu nedenle erişim tablosunu yalnızca unvanlara göre hazırlamayın. Aynı kişinin bir dosyada belirli görevi olabilirken diğer dosyada işi bulunmayabilir. Kullanılan araçta bir hesabın bulunması, bütün büro içeriğinin o hesaba açılmasını gerektiren bir sonuç değildir. Görev, veri ve işlem ayrımını birlikte yapmak bu yazının önerdiği uygulama yöntemidir.

Burada genel büro politikasının bütün başlıkları yeniden anlatılmıyor. Odak, politika içindeki yetkilendirme satırının uygulanabilir hâle getirilmesidir. Onaylı araç listesini, eğitim planını ve olay sürecini daha geniş okumak için büro kullanım politikası rehberine geçebilirsiniz.

Kanunla tavsiye tablosunu birbirinden ayırın

6698 sayılı Kanun m.12, veri sorumlusunun hukuka aykırı işleme ve erişimi önlemek, verilerin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almasını düzenler. Aynı maddenin üçüncü fıkrası gerekli denetimleri yapma veya yaptırma yükümlülüğünü içerir. Kanun bu yazıdaki sütunlardan oluşan tek bir tablo şablonu tarif etmez.

TBB §12 ise politika unsurları içinde yetki matrisini ayrıca sayar; stajyer, sekreterya, avukat, sorumlu ortak ve dış danışman için erişimlerin ayrılmasını önerir. Aşağıdaki örnek, bu tavsiyeyi uygulama sorularına dönüştürür. Bir rolün her büroda kesin olarak aynı yetkilere sahip olduğunu veya tablonun tek başına KVKK uyumu sağladığını ileri sürmez.

Avukatlık Kanunu m.34'teki özen ve m.36'daki sır saklama hükümleri de dikkate alınmalıdır. Erişim vermek bir teknik düğme işlemi olabilir; fakat hangi bilgiye neden erişileceğinin mesleki ve hukuki değerlendirmesi o düğmenin varlığıyla tamamlanmaz.

Örnek gösterim: rol ve işlem tablosu

Bu tablo kurgusal bir çalışma örneğidir. Gerçek kişi veya dosya içermez; resmî zorunlu form değildir. “Görev varsa” ifadesi, ilgili dosya ve işlemin ayrıca değerlendirilmesini anlatır.

Rol	Örnek yardımcı görev	Veri ve işlem sınırı	İnceleme sorusu
Sekreterya	Kamuya açık duyuru metnini düzenleme	Dosya stratejisi ve ham evrak yükleme ayrı değerlendirilir	İdari iş için gereken içerik ne?
Stajyer	Kimliksiz konu planı oluşturma	Açık talimat ve denetim kapsamı belirlenir	Çıktıyı hangi avukat kontrol edecek?
Avukat	Görevli olduğu dosyada taslak inceleme	Araç, veri ve işleme şartları ayrıca kontrol edilir	Kaynak ve vakıa denetimi tamam mı?
Sorumlu ortak	Araç ve erişim düzenini gözden geçirme	Onay kararı bütün aktarımları serbestleştirmez	İzinle fiilî kullanım eşleşiyor mu?
Dış danışman	Tanımlı bir alt görev için destek	İlgisiz dosyalar ve veriler açılmaz	Görevin kapsamı ve bitişi belli mi?

Tablodaki bir satırı seçtikten sonra araca ait gerçek yetkileri kontrol edin. Yazılı olarak sadece görüntüleme izni verilmişken hesap dışa aktarma veya paylaşma da yapabiliyorsa iki kayıt uyuşmuyor demektir. Bu farkı tespit etmek, tablonun biçiminden daha önemlidir. Kullanılan hizmetin yetki özellikleri doğrulanmadan bunların bulunduğu varsayılmamalıdır.

Onaylı araç ile onaylı kullanım farklıdır

TBB §12, araç listesini ve yasak veri listesini yetki matrisinden ayrı politika unsurları olarak gösterir. Bu ayrımın pratik sonucu şudur: Önceden incelenmiş bir araç, her yeni işlem için sınırsız izin sayılmaz. Özellikle dosya içeriği, özel nitelikli veri, ticari sır veya strateji gündeme geldiğinde risk ve güvence incelemesine dönülmelidir.

KVKK m.4'te amaçla bağlantılılık, sınırlılık ve ölçülülük ilkeleri yer alır. Yardımcı görev için gerekmeyen bilgiyi yalnızca erişim kolay olduğu için işlem akışına dahil etmeyin. Hangi alanın gerekli olduğuna dair değerlendirmeyi dosya bağlamında yapın; bir bütün klasörü açmakla tek bir metin üzerinde çalışmanın farkını görünür tutun.

TBB §4 ve yasak kullanım 1.1, kamuya açık veya sözleşmesel güvenceleri yetersiz araçlara anonimleştirilmemiş müvekkil bilgilerinin aktarılması konusundaki sınırları açıklar. Yetkili bir kişinin oturum açması bu veri sınırını kaldırmaz. Veri dönüşümüyle ilgili yöntemler anonimleştirme rehberinde ele alınır; maskelemenin otomatik anonimlik garantisi olmadığı da orada açıklanır.

Talep, onay ve kontrol için somut adımlar

Aşağıdaki sıra editoryal bir uygulama önerisidir; büro ölçeğine göre uyarlanabilir:

1. İstenen görevi ve ilgili dosyayı tanımlayın; sadece “yapay zekâ erişimi” yazmayın.
2. Kullanılacak veri türünü ve neden gerektiğini açıklayın.
3. Araçtaki gerçek görüntüleme, yükleme ve paylaşım yetkilerini inceleyin.
4. Onaylayacak kişiyle çıktı denetimini yapacak kişiyi belirleyin.
5. Verilen izin ve sınırları anlaşılır bir kayıtla duyurun.
6. İşlem sonrasında kayıt ile fiilî kullanımın eşleşmesini kontrol edin.

Onaylayanın adı bir formalite olarak kalmamalıdır. Örneğin görev kamuya açık metin üzerinde plan hazırlamaksa sonradan ham müvekkil belgesi yükleme ihtiyacı yeni bir değerlendirmedir. Önceki izni yeni göreve genişletmeden kapsam değişikliğini görünür kılın. TBB'nin kayıt yaklaşımı, bu kararın hangi amaçla verildiğinin anlaşılmasını destekler.

Stajyer bakımından eğitim ve denetimi de değerlendirin. TBB §3 ve §9, yeterlik ve avukat denetimi üzerinde durur. Matrise bir rol eklenmesi bu ihtiyacı ortadan kaldırmaz. Ayrıntı için stajyer avukat kullanım rehberindeki sınırları okuyabilirsiniz; bu yazıda odak, o denetimin erişim kaydında kime bağlandığıdır.

Görev değiştiğinde eski erişimleri nasıl inceleyebilirsiniz?

Dosyanın devri, kişinin görev değişikliği veya dış danışmanlığın bitmesi, tabloyu yeniden incelemek için somut tetikleyiciler olabilir. Bu bir idari tedbir önerisidir; her kurum için kanunda aynı gün sayısıyla belirlenmiş bir kontrol sıklığı iddiası değildir. Sadece yeni izin eklemekle kalmayıp eski iznin hâlâ gerekli olup olmadığını sorun.

İncelemeyi hesap listesiyle sınırlamayın. Ortak çalışma alanları, paylaşılan dosyalar ve dışa aktarma izinleri de görev kapsamıyla karşılaştırılabilir. Bunların kullanılan hizmette nasıl çalıştığı resmî ürün belgelerinden ve gerçek ayarlardan doğrulanmalıdır. Bir hesabı kapatmanın bütün geçmiş paylaşımları kaldırdığı veya bütün kopyaları sildiği varsayımıyla hareket etmeyin.

KVKK m.12/4, veri sorumluları ve veri işleyenler için kişisel verileri hukuka aykırı açıklamama ve amaç dışında kullanmama yükümlülüğünün görevden ayrılmadan sonra da devam ettiğini belirtir. Bu hüküm, erişimin teknik durumuyla gizlilik yükümlülüğünün farklı sorular olduğunu gösterir. Ayrılış incelemesini bu iki başlığı birbirine karıştırmadan kaydedin.

Kontrol sonucunu nasıl yazmalısınız?

“Yetkiler düzenli” demek yerine hangi görev ve hesabın kontrol edildiğini, hangi farkın bulunduğunu ve farkın nasıl sonuçlandırıldığını belirtin. TBB §12 kritik kullanım kaydında amaç, araç, veri türü, doğrulama ve nihai karar başlıklarını sayar. Kaydın kendisi de gereksiz kişisel verilerle doldurulmamalıdır; erişim tablosu yeni bir kontrolsüz dosya kopyasına dönüşmesin.

Belirsiz bir işlem fark edilirse sorumlu kişiye iletin ve gerekli incelemeyi tamamlayın. TBB'nin aynı bölümündeki olay yaklaşımı, yetkisiz aktarım veya yanlış çıktı durumunda ayrı değerlendirmeyi önerir. Bu rehber belirli bir olay için ihlal, yaptırım veya bildirim süresi sonucu vermiyor; erişim tasarımının olay incelemesinden ayrı yürütülmesini hatırlatıyor.

Prolex AI'ın araştırma ve doküman analizi özelliklerini değerlendirirken kendi büro yetkilendirme sürecinizi de inceleyin; burada ürüne özgü bir rol veya güvenlik özelliği doğrulanmış değildir. Ana çerçeve ve bağlantılı çalışma konuları hukuk yapay zeka konu merkezinde toplanır.