Power Automate'te Copilot ve AI Builder ile Veri Koruma

Birçok küçük ve orta ölçekli işletme artık doğal dilden akış oluşturmak veya belgeleri otomatik olarak okumak için Power Automate'teki Copilot'a ve AI Builder'a güveniyor. Bu sırada neredeyse her zaman aynı soru ortaya çıkıyor: İşlenen verilere gerçekte ne oluyor ve bu GDPR ile uyumlu mu? Cevap basit bir evet ya da hayırdan daha incelikli, çünkü hangi özelliği kullandığına, Power Platform ortamının nerede bulunduğuna ve kiracı (tenant) yöneticinin hangi ayarları yaptığına bağlı.

Bu makale, Microsoft'un kendi belgelerine göre Copilot ve AI Builder verilerini nasıl ele aldığını, bu verilerin teknik olarak nerede depolandığını ve yapay zeka özelliklerini üretimde kullanmadan önce GDPR anlamında veri sorumlusu olarak kontrol etmen gereken noktaları özetliyor. Güncelleme: Temmuz 2026.

Microsoft, Copilot girdilerini ve çıktılarını nasıl ele alıyor

Microsoft'un Copilot veri güvenliği ve gizliliği SSS'si'ne göre, girdilerin (promptların) ve Copilot'un yanıtları diğer müşteriler için erişilebilir değildir. Bunlar ayrıca OpenAI'nin veya diğer üçüncü taraf sağlayıcıların modellerini eğitmek veya geliştirmek için de kullanılmaz. Microsoft ayrıca, kiracı yöneticin buna açıkça izin vermediği sürece, verilerini kendi yapay zeka modellerini eğitmek için kullanmaz. Copilot, Azure OpenAI Service üzerine kuruludur ve belgelere göre tamamen Azure bulutu içinde çalışır; bağlantılar TLS ile şifrelenir ve Power Platform ile Azure OpenAI arasındaki veri aktarımları açık internet yerine Microsoft'un omurga (backbone) ağı üzerinden gerçekleşir.

Pratikte önemli olan: Copilot yalnızca o anda oturum açmış kişinin zaten erişimi olan verilere erişir. Dataverse, SharePoint veya diğer veri kaynaklarındaki mevcut izinler bu nedenle atlanmaz, kimlik doğrulama ve yetkilendirme mekanizmaları aracılığıyla dikkate alınır.

AI Builder verileri teknik olarak nerede depolanır

AI Builder için, AI Builder mimarisi belgelerine göre, eğitim verileri ile tahmin verileri arasında net bir ayrım vardır:

• Eğitim verileri: Nesne tanıma veya belge işleme için özel bir modeli eğitmek amacıyla kullanılan görüntüler ve belgeler, kalıcı olarak Dataverse'de saklanır ve yalnızca ilgili model için kullanılır, asla dışarıya paylaşılmaz.
• Tahmin verileri: Bir Power Automate akışında çalışma zamanında işlenen görüntüler ve belgeler, işlemden sonra kalıcı olarak saklanmaz.
• Metin girdileri: Yapay zeka promptları gibi metin senaryolarından gelen girdiler, faaliyetlerin sonradan izlenebilmesi için Dataverse'de ayrı bir yapay zeka olay tablosunda kaydedilir.
• Coğrafi sınırlar: Azure OpenAI Service ilgili bölgede kullanılabilir olduğu sürece, belgelere göre verilerin ortamının coğrafi sınırını terk etmez. Hizmet bölgesel olarak kullanılamıyorsa, yöneticiler verilerin bölgeler arasında işlenip işlenemeyeceğini ve nasıl işleneceğini özel olarak belirleyebilir.

Depolanan eğitim verilerine erişim için AI Builder yönetimi belgelerine göre: yalnızca modelin sahibi ve Power Platform Sistem Yöneticisi veya Sistem Özelleştiricisi rollerine sahip kişiler erişebilir. KOBİ olarak bu rol ayrımını varsayılan ayarlara bırakmak yerine aktif olarak kullanmalısın.

KOBİ kullanımı için GDPR değerlendirmesi

GDPR açısından, Copilot veya AI Builder'ı üretimde kullanan bir şirket olarak veri sorumlusu sensin, Microsoft ise veri işleyen olarak hareket eder. Microsoft'un belgelerinde açıkladığı teknik ve organizasyonel önlemler, örneğin durağan haldeki ve aktarım sırasındaki şifreleme, kiracılar arası veri izolasyonu ve rol tabanlı erişim kontrolleri, GDPR'nin 32. maddesinin gerektirdiği güvenlik önlemlerine karşılık gelir. Veri işleme sözleşmesinin temeli, GDPR uyumlu standart sözleşme maddeleri içeren Microsoft Veri Koruma Eki (Data Protection Addendum) ile bulutta kişisel verilerin korunmasına yönelik ISO/IEC 27018 gibi sertifikalardır.

Birçok KOBİ'yi rahatlatması gereken bir nokta: Microsoft çalışanlarının ürün geliştirme amacıyla promptları ve çıktıları manuel olarak inceleyebildiği isteğe bağlı veri paylaşımı programı, isteğe bağlı veri paylaşımı SSS'sine göre varsayılan olarak devre dışıdır ve şu anda açıkça yalnızca ABD bölgesindeki kiracılar için kullanılabilir. Alman ve Avrupalı kiracılar için bu seçenek şu anda hiç geçerli değildir; veriler her durumda coğrafi sınırın içinde kalır ve manuel olarak incelenmez.

Yine de sorumluluk sende kalır: GDPR, kişisel verileri yalnızca bir hukuki dayanak varsa işlemeni ve erişim veya silme gibi ilgili kişi haklarını yerine getirebilmeni şart koşar. Müşteri verileri veya çalışan verileri bir Copilot promptunda veya bir AI Builder eğitim veri kümesinde yer alırsa, bu diğer her türlü işleme için geçerli olan kurallar aynı şekilde geçerlidir.

Veri korumasına uygun kullanım için pratik adımlar

• Ortam bölgesini kontrol et: Coğrafi sınırın pratikte de geçerli olması için Avrupa verileri için Power Platform ortamlarını bir AB bölgesinde oluştur.
• Veri işleme sözleşmesi imzala: Microsoft Veri Koruma Eki'nin lisans sözleşmenin bir parçası olarak veri işleme sözleşmesi işlevi gördüğünden emin ol ve bunu işleme faaliyetleri kaydında belgelendir.
• Rolleri ve yetkileri sınırla: Sistem Yöneticisi ve Sistem Özelleştiricisi rollerini yalnızca AI Builder eğitim verilerine gerçekten ihtiyaç duyan kişilere ver.
• DLP politikaları belirle: AI Builder'ı da içeren Dataverse bağlayıcısının, iş dışı bağlayıcılarla kontrolsüzce birleştirilmemesi için Power Platform Yönetim Merkezi'nde Veri Kaybını Önleme (DLP) politikaları oluştur.
• Promptları bilinçli tasarla: Microsoft eğitim için kullanmasa bile, sağlık veya banka bilgileri gibi hassas kişisel verileri gereksiz yere Copilot promptlarına girmekten kaçın.
• Etkinliği izle: Hangi metin girdilerinin işlendiğini takip edebilmek için Dataverse'deki yapay zeka olay tablosunu kullan.

Bu noktaları düzgün bir şekilde uygulayan, kendi verileri üzerindeki kontrolü elinde tutar ve Copilot ile AI Builder'ı gönül rahatlığıyla üretimde kullanabilir. Yapay zeka özellikleriyle veri korumasına uygun Power Automate akışları oluştururken NordFlux, sabit fiyatlı Power Automate danışmanlığı ile sana destek olur.

Sık Sorulan Sorular

Microsoft, Copilot girdilerimizle kendi yapay zeka modellerini eğitiyor mu?

Hayır, varsayılan olarak değil. Microsoft belgelerine göre, promptlar, yanıtlar ve erişilen veriler, bir kiracı yöneticisi isteğe bağlı veri paylaşımı programını açıkça etkinleştirmediği sürece temel modelleri eğitmek için kullanılmaz. Bu program ayrıca şu anda yalnızca ABD bölgesindeki kiracılar için kullanılabilir.

AI Builder ile verilerimiz AB'yi terk ediyor mu?

Azure OpenAI Service bölgende kullanılabilir olduğu sürece, belgelere göre verilerin ortamının coğrafi sınırı içinde kalır. Avrupalı şirketler için bu şu anlama gelir: ortamını bir AB bölgesinde oluştur, böylece veriler bir yöneticinin bilinçli onayı olmadan bu alanı terk etmez.

AI Builder'daki eğitim verilerine kim erişebilir?

Belgelere göre, Dataverse'de saklanan eğitim verilerine yalnızca ilgili modelin sahibi ile kuruluşundaki Sistem Yöneticisi veya Sistem Özelleştiricisi rollerine sahip kişiler erişebilir. Bu rolleri bilinçli olarak vermeli ve düzenli olarak gözden geçirmelisin.

Copilot ve AI Builder kullanımı için ayrı bir sözleşmeye ihtiyacımız var mı?

Genellikle yalnızca yapay zeka özellikleri için ayrı bir sözleşmeye ihtiyacın yoktur. Kullanım, GDPR anlamında bir veri işleme sözleşmesi işlevi gören Veri Koruma Eki de dahil olmak üzere mevcut Microsoft lisans sözleşmen kapsamına girer. Yine de bu ekin gerçekten sözleşme belgelerinin bir parçası olup olmadığını kontrol etmelisin.

Copilot'u sadece aktif olarak kullanmamak yeterli mi?

Belgelere göre, Power Automate'teki Copilot bir PowerShell betiği kullanılarak destek talebi yoluyla devre dışı bırakılabilir, AI Builder'daki yapay zeka promptları ise Power Platform Yönetim Merkezi'nde ortam başına doğrudan kapatılabilir. Yapay zeka özelliklerini temelde kullanmak istemeyenler, bunu yalnızca kullanmamaya güvenmek yerine teknik olarak da zorunlu kılabilir.