Modelden önce kurumunuz karar verir.

Erişim promptlarla değil, sistemle sınırlandırılır.

İki bağımsız uygulama katmanı

Erişim kapsamı hem veritabanında hem de sunucu tarafındaki araç yetkilendirmesinde uygulanır. Bir katmanın izin vermesi diğer katmanın denetimini ortadan kaldırmaz; her uç nokta isteği yeniden kontrol eder.

Kapsam dışı bilgi görünmez

Kullanıcının erişemediği bir nesne yalnızca açılamaz değildir; o istek açısından mevcut kabul edilmez. Finans ekibindeki bir kullanıcının sohbeti İnsan Kaynakları verisine erişemez. Bunun nedeni modele verilen bir talimat değil, bilginin o isteğin kapsamına hiç alınmamasıdır.

En dar kural geçerlidir

Kurum, ekip, proje, nesne ve eylem düzeyindeki kurallar birlikte değerlendirilir. Çakışma olduğunda daha dar erişim kuralı uygulanır.

Ekip politikaları yalnızca daraltabilir

Bir ekip, kurum tarafından tanımlanan erişim ve veri politikalarını daraltabilir. Kurum tavanını genişletemez veya zayıflatamaz.

Yetki kaldırıldığında yeni erişim durur

Yetkilendirme her yeni istekte yeniden değerlendirilir. Bir kullanıcının yetkisi kaldırıldığında sonraki istekten itibaren yeni bilgi getirme durur. Daha önce gerçekleşmiş işlemlerin kayıtları geriye dönük olarak değiştirilmez.

Arka plan işleri kendi kimliğiyle çalışır

Ajanlar, zamanlanmış işler ve diğer arka plan süreçleri kendilerine tanımlanmış servis kimlikleriyle çalışır. Bu süreçler, kendilerini oluşturan yöneticinin daha geniş erişim kapsamını otomatik olarak devralmaz.

DLP ve prompt masking

Hassas veri modelden önce denetlenir

DLP kontrolleri yalnızca kullanıcının yazdığı prompta uygulanmaz. Bağlı veri kaynaklarından getirilen belgeler, entegrasyon çıktıları, ajan bağlamları ve otomasyon girdileri de aynı politikalardan geçer.

Kurum kendi hassas veri kurallarını belirler

Kurumlar, hangi veri türlerinin serbestçe işlenebileceğini, hangilerinin maskelenmesi gerektiğini ve hangilerinin belirli model rotalarına gönderilemeyeceğini tanımlayabilir. Bu politikalar ekip, proje, kullanım amacı ve model rotasına göre daraltılabilir.

Prompt masking veri ifşasını azaltır

Prompt masking; kişisel bilgiler, müşteri verileri, ticari sırlar ve kurum tarafından tanımlanmış diğer hassas alanların özgün değerlerini modele göndermeden işlemin devam etmesini sağlar. Maskeleme, erişim kontrolünün yerine geçmez: kullanıcı önce ilgili bilgiye erişim yetkisine sahip olmalı, ardından veri politikalarından geçmelidir.

DLP gerektiğinde isteği durdurur

Her hassas veri kullanımının maskelenerek devam etmesi gerekmez. Kurum politikası, belirli içeriklerin hiçbir modelle işlenmemesini veya yalnızca Türkiye'deki rotalarda kullanılmasını zorunlu kılabilir.

Kayıtlar da aynı korumalara tabidir

Bir içeriğin model gönderiminde maskelenmesi ancak işlem kaydında açık biçimde saklanması kabul edilmez. İşlem kayıtları, bağlam ve sonuçlar da ilgili erişim, DLP ve saklama politikaları altında tutulur.

Veri nerede saklanır, nerede işlenir?

Saklama ve çıkarım ayrı ayrı yönetilir

Çalışma alanı verisinin saklandığı yer ile model çıkarımının gerçekleştiği yer Feza'da birbirinden ayrı sınırlar olarak ele alınır. Feza, çalışma alanı verisini Türkiye'de tutmak üzere kuruluyor. Model çıkarımı ise kurum politikası, veri sınıfı ve seçilen rotaya göre Türkiye'de veya kurum tarafından onaylanmış bir Avrupa Birliği rotasında gerçekleşebilir.

Tamamen Türkiye'de kalan rota

Türkiye'de konumlandırılmış modeller kullanıldığında hem çalışma alanı verisi hem de model çıkarımı Türkiye sınırları içinde kalır. Bu rota; verisinin sınır dışına çıkmasını istemeyen, kurum politikası gereği yerel işlemeyi tercih eden veya belirli veri sınıflarını yalnızca Türkiye'de işleyebilen müşteriler için tasarlanmıştır.

Onaylı sınır ötesi rota

Kurum politikasının izin verdiği veri ve kullanım senaryolarında çıkarım, Avrupa Birliği'ndeki onaylı bir model rotası üzerinden gerçekleştirilebilir. Bu rotada çalışma alanı verisi Türkiye'de kalır; yalnızca ilgili isteğin gerçekleştirilmesi için izin verilen ve gerektiğinde maskelenmiş içerik seçilen modele gönderilir.

Aynı kurum iki rotayı birlikte kullanabilir

Kurum bütün istekleri için tek bir model rotası seçmek zorunda değildir. Örneğin genel kurum içi içerikler onaylı bir sınır ötesi rotada işlenirken, hassas veriler Türkiye'deki modellere yönlendirilebilir. Yasaklanan veri sınıfları ise hiçbir modele gönderilmez.

Sınır gönderimden önce görünür

Kullanılacak model, sağlayıcı ve işleme bölgesi istek gönderilmeden önce belirlenir; gerçekleşen rota daha sonra işlem kaydına eklenir. Buradaki “onaylı rota”, kurum politikası kapsamında kullanılmasına izin verilen rotayı ifade eder; bir düzenleyici kurum sertifikası anlamına gelmez.

Türkiye'de kalma iddiası uçtan uca doğrulanır

Yalnızca model sunucusunun Türkiye'de bulunması, çıkarımın tamamen Türkiye'de kaldığını söylemek için yeterli değildir. Model altyapısının, gönderilen içeriğin, işlem kayıtlarının ve ilgili veri akışının tamamı doğrulanmadan bir rota “Türkiye'de kalan rota” olarak yayımlanmaz.

Model rotaları

Rota yalnızca model adı değildir

Her rota; model, sağlayıcı, işleme bölgesi, izin verilen veri sınıfları ve geçerli kullanım politikalarıyla tanımlanan kalıcı bir Feza nesnesidir.

Kurallar sağlayıcıdan bağımsızdır

Kurum politikaları tek bir model sağlayıcısının özelliklerine göre kurulmaz. Kullanılan model değişse bile erişim, DLP, prompt masking ve kayıt kuralları uygulanmaya devam eder.

Sessiz geri dönüş yapılmaz

Türkiye'de kalması gereken bir istek, yerel rota kullanılamadığında otomatik olarak sınır dışındaki bir modele gönderilmez. Benzer şekilde, kurumun onayladığı sınırı karşılamayan bir rota sessizce başka bir sağlayıcı veya bölgeyle değiştirilmez: istek durdurulur ve durum kullanıcıya gösterilir.

Müşteri içeriğiyle model eğitimi yapılmaz

Feza, müşteri içeriğini kendi modellerini eğitmek için kullanmaz. Bu, bir sertifika veya pazarlama rozeti değil, Feza'nın kendi kullanım taahhüdüdür. Harici model sağlayıcılarının veri kullanım koşulları rota bazında değerlendirilir ve kurumun görebileceği şekilde sunulur.

Yönetişim ve yönetim denetimleri

Roller ve üyelikler tek yerden yönetilir

Kullanıcılar, ekip üyelikleri, roller, erişim sınırları ve model politikaları kurum düzeyinde yönetilir.

Aynı kurallar bütün çalışma alanında geçerlidir

Sohbet, ajan, otomasyon, proje, beceri veya entegrasyon kullanılması güvenlik modelini değiştirmez. Aynı kimlik, erişim, DLP ve model rotası kuralları bütün Feza çalışma alanında uygulanır.

Entegrasyonlar sınırsız erişim kazanmaz

Bir entegrasyonun bağlı olması, bütün kullanıcıların o sistemdeki tüm verilere erişebileceği anlamına gelmez. Entegrasyon eylemleri kullanıcı, ekip, proje ve servis kimliği kapsamına göre sınırlandırılır.

Yüksek etkili işlemler onaya bağlanabilir

Veri değiştiren, harici sisteme gönderim yapan veya kurumsal sonuç doğuran eylemler için insan onayı zorunlu tutulabilir. Ajanın bir işlemi önermesi ile işlemin uygulanması birbirinden ayrılır.

Kayıtların kendisi de yetkilidir

Bir işlem kaydı, ait olduğu sohbetten, projeden veya otomasyondan daha geniş bir kitleye açılmaz. Kayıt içeriği de ilgili maskeleme ve veri saklama politikalarına tabidir.

Yapay zekaya özgü riskler

Prompt enjeksiyonu varsayılan bir risk olarak ele alınır

Feza, modelin okuduğu bir belge, e-posta veya web içeriği tarafından yönlendirilebileceğini varsayar. Getirilen içerik talimat değil, veri olarak işaretlenir. Model kimlik bilgisi taşımaz. Her araç çağrısı sunucuda kullanıcının gerçek erişim kapsamıyla yeniden yetkilendirilir.

Prompt masking ile prompt enjeksiyonu aynı şey değildir

Prompt masking hassas verinin modele ifşa edilmesini azaltır. Prompt enjeksiyonu kontrolleri ise getirilen içeriğin sistemi veya araçları yönlendirmesine karşı uygulanır. Feza bu iki riski ayrı güvenlik katmanları olarak ele alır.

Model tek başına yetki veremez

Bir modelin bir işlem önermesi veya araç çağrısı üretmesi, o işlemi gerçekleştirme yetkisi oluşturmaz. Yetki her zaman Feza'nın sunucu tarafındaki kimlik ve politika katmanından gelir.

Güncel güven durumu

Feza yalnızca doğrulanabilen güven iddialarını yayımlar.

Sertifikasyon

Şu anda herhangi bir bilgi güvenliği standardı veya sertifikası iddia edilmiyor. Bir sertifika ancak kapsamı ve geçerliliği doğrulandıktan sonra burada yayımlanacaktır.

Bağımsız inceleme

Ürünün mevcut hali için tamamlanmış bir üçüncü taraf güvenlik incelemesi veya sızma testi iddia edilmiyor.

Mevzuata uyumluluk

Hiçbir yargı alanı için genel veya koşulsuz bir uyumluluk iddiasında bulunulmuyor. Kurumun veri türü, kullanım amacı, model rotası, sağlayıcısı ve sözleşmesel yapısı ayrıca değerlendirilmelidir.

Kullanılabilirlik

Ölçülmüş ve yayımlanmış bir hizmet seviyesi bulunmadan kullanılabilirlik oranı veya SLA iddia edilmiyor.

Dosya güvenliği

Dosya türü doğrulama, karantina ve zararlı içerik taraması lansman koşulları arasındadır. Bu kontroller doğrulanmadan çalışır durumda oldukları iddia edilmeyecektir.

Performans ve kapasite

Temsil gücü olan ölçümler bulunmadan hız, hacim, dosya boyutu, doğruluk veya dil kalitesi rakamları yayımlanmaz.

Hukuki belgeler

Gizlilik politikası

Mevcut metin taslak durumundadır ve hukukçu incelemesinden geçmemiştir. Gizlilik politikasını okuyun.

Kullanım koşulları

Mevcut metin taslak durumundadır ve hukukçu incelemesinden geçmemiştir. Kullanım koşullarını okuyun.

Veri işleme sözleşmesi

Veri işleme koşulları müşteri ve kullanım senaryosu için ayrı bir sözleşmeyle düzenlenir. Bu sözleşme genel site metni olarak yayımlanmaz.

Künye

Ticari sicil, temsil ve iletişim bilgileri künye sayfasında yayımlanır. Künyeyi görüntüleyin.