Regüle veri, prompt'un içinden geliyor
Müşteri destek botuna gelen bir soru TCKN taşıyor, kredi değerlendirme akışı IBAN görüyor, dolandırıcılık analizi kart numarasına bakıyor. Bu veriler prompt'ın içinde — uygulama kodunda değil. Uyumluluğu kodun içine gömdüğünüzde her mevzuat değişikliği bir release oluyor.
- TCKN, IBAN ve kart örüntüleri doğrulanarak tespit edilir
- Yerleşim kuralı yürürlükteyken yedekleme kapatılır
- Karar izi eşleşip kaybeden kuralları da tutar
0yerleşim kuralı yürürlükteyken bölge dışına çıkan istek
Bu sektörde neyin zorlaştığı
Finansal hizmetlerde LLM kullanan ekiplerin ortak sorunu, kararın nerede verildiği. Model seçimi, maskeleme ve reddetme mantığı uygulama koduna dağıldığında iki şey birlikte bozuluyor: kuralı değiştirmek yavaşlıyor, ve denetçiye "bu cevap neden böyle üretildi" sorusunun cevabı verilemiyor.
Bu sektörde neyin zorlaştığı
- Bir mevzuat yorumu değiştiğinde kural değişikliği release pipeline'ına giriyor — tipik olarak iki hafta.
- Geliştirici KVKK uzmanı değil; maskeleme mantığı en iyi niyetle yanlış yazılıyor.
- Denetim izi model adını ve kural adını tutuyor, ama cevabı üreten talimat metnini tutmuyor.
- Sağlayıcı anahtarları ekipte; rotasyon ve sızıntı riski mühendislik yükü.
- Yeni modeli denemenin güvenli bir yolu olmadığı için geçişler erteleniyor.
Yazacağınız ilk üç kural
Aşağıdakiler tanıtım örneği değil; bu sektörde ilk oturumda konuştuğumuz kurallar. Her biri konsoldan YAML olarak yazılır, shadow modda ölçülür, sonra uygulamaya alınır.
- 1
tckn-tespit-yerli-model- Koşul
- signals.pii.types içinde tckn_tr var
- Sonuç
- tr-west-1 bölgesindeki modele çivile · prompt'u maskele · önbelleği kapat · yedekleme zincirini kapat
Neden böyleUyumluluk yolunda failover bir güvenlik açığıdır. Yedekleme açık kalırsa, birinci aday düştüğünde istek sessizce başka bir bölgeye gider — tam olarak engellemek istediğiniz şey. Aday kalmazsa gateway hata döner. - 2
kart-verisi-reddet- Koşul
- signals.pii.types içinde credit_card var
- Sonuç
- isteği reddet · 403 · denetim etiketi yaz · uyumluluk ekibine bildir
Neden böyleKart verisini maskeleyip devam etmek yerine reddetmek, sistemi PCI kapsamının dışında tutmanın en temiz yolu. Maskeleme bir işleme faaliyetidir; reddetme değildir. - 3
kredi-karari-denetim- Koşul
- request.headers.dataClass = credit_decision
- Sonuç
- prompt sürümünü pinle · konuşma kaydını sakla · denetim etiketi · canary'ye sokma
Neden böyleKredi kararını etkileyen bir akışta hangi talimat metninin çalıştığı denetimin ilk sorusu. Canary bu akışta kapalı olmalı — aynı başvuru tipinin iki farklı prompt sürümüyle değerlendirilmesi savunulabilir değil.
Denetimde ne gösteriyorsunuz
- Karar izi
- Kazanan kural, eşleşip kaybeden kurallar, uygulanan yükümlülükler, seçilen model ve bölge
- Prompt izlenebilirliği
- Cevabı üreten prompt kimliği ve sürümü kayıtlı
- Yerleşim kanıtı
- İsteğin hangi bölgede işlendiği ve yurt dışı adayın neden düştüğü
- Maskeleme kanıtı
- Hangi tür verinin maskelendiği; maskelenmemiş içerik sağlayıcıya gitmedi
- Değişiklik izi
- Kural setinin hangi sürümünün ne zaman yürürlükte olduğu
- Anahtar sorumluluğu
- Sağlayıcı kimlik bilgileri sizde değil; rotasyon ve sızıntı yüzeyi sizin kapsamınızda değil
Bu sektörden gelen sorular
Maskeleme yükümlülüğü doğduğunda sağlayıcıya giden metin maskelenmiş hâlidir — TCKN yerine [TCKN_TR] gider. Ayrıca yerleşim kuralı yazdıysanız istek zaten yurt dışı adaya düşmez. İkisi birlikte çalışır: maskeleme içeriği, yerleşim kuralı ise coğrafyayı sınırlar.
Hayır. Tarayıcı TCKN doğrulama algoritmasını uyguluyor; sipariş numarası veya rastgele bir sayı sinyal üretmiyor. Bu önemli, çünkü her on bir haneli sayıyı PII sayan bir tarayıcı üretim trafiğini gereksiz yere kısıtlar ve ekip kuralı kapatmak zorunda kalır.
Sinyal yalnızca detected değil available alanı da taşır. Tarama yapılamadıysa politika bunu görür ve temkinli davranmayı seçebilir. "PII tespit edilmedi" ile "PII taraması yapılamadı" aynı şey değil — sinyalin yokluğunu temizlik sanan bir kural denetimde en pahalı hatadır.
Modelion bir sertifika iddiasında bulunmuyor. Yaptığı şey, uyum yükümlülüğünüzü politika olarak yazılabilir ve denetlenebilir hâle getirmek: kararı tek bir yere taşımak, kanıtı otomatik üretmek. Kapsamın kendisi sizin ve hukuk biriminizin sorumluluğunda.
Bu sayfadaki mevzuat atıfları, ürünün hangi davranışı mümkün kıldığını anlatmak içindir; hukuki görüş değildir. Uyum yükümlülüğünüzün kapsamını kendi hukuk biriminizle belirlemeniz gerekir.
Kendi kural setinizle başlayalım
İlk oturumda sizin trafiğinizi ve mevzuat sınırlarınızı konuşuyoruz; sonunda shadow modda ölçülmüş bir sapma raporu ve yazılmaya hazır üç kural oluyor.