Okullarda AI verisi eğitime kapandı; standart sözleşmeyle uygulanacak

Microsoft, American Federation of Teachers (AFT) ve United Federation of Teachers (UFT), 9 Eylül 2026’da New York’ta “National AI Safety & Privacy Standard”ı duyurdu. Ortak duyuruya göre standart, kapsanan öğrenci ve eğitimci verilerinin AI modeli eğitiminde kullanılmasını yasaklıyor, AI kararlarını insan denetimine bağlıyor ve ABD’deki okul bölgelerinin bu korumaları Microsoft müşteri sözleşmelerine eklemesine imkân veriyor.

9 Eylül’de açıklanan düzenleme bütün okullarda kendiliğinden yürürlüğe giren bir yasa veya Microsoft’un tüm ürünlerine uygulanan genel bir gizlilik politikası değil. Education Week’in doğruladığı uygulama takviminde korumaların mevcut Microsoft sözleşmeleri için 1 Kasım 2026’dan itibaren kullanılabileceği ve yeni sözleşmelere de alınabileceği belirtiliyor; okul bölgesinin şartları kendi anlaşmasına dahil etmesi gerekiyor.

Model eğitimi yasağı hangi verileri kapsıyor?

31 sayfalık mutabakat metni, öğrenci verisini yalnızca ad, kimlik numarası, not ve disiplin kaydı olarak tanımlamıyor; AI ürününe girilen istemleri, öğrenciyle bağlantılı çıktıları, davranış örüntülerini, cihaz ve konum bilgilerini, bellek dosyalarını, ses ve görüntüleri ve meta verileri de kapsıyor. Eğitimci, yönetici veya eğitim müşterisinin ürün kullanımı sırasında oluşturduğu bilgiler “kapsanan veri” tanımına giriyor.

Microsoft, kapsanan veriyi herhangi bir AI modelini eğitmek, ince ayar yapmak, güncellemek, kıyaslamak veya başka biçimde geliştirmek için kullanamayacak. Yasak kimliksizleştirilmiş, toplulaştırılmış veya dönüştürülmüş türevleri de içeriyor; geçmişte toplanmış veriye uygulanıyor ve sözleşme sona erdikten sonra süresiz devam ediyor.

Bununla birlikte metin, kimliği belirli bir kişiyle makul biçimde ilişkilendirilemeyecek teknik ve operasyonel telemetriyi kapsanan veriden ayırıyor. Bu telemetri güvenlik, hata ayıklama, kapasite planlama, hizmet sağlığı ve toplu performans takibi gibi amaçlarla kullanılabiliyor; ancak üretken model eğitimi, bireysel öğrenci profili, reklam veya davranış çıkarımı için kullanılamıyor. Kendine zarar verme riski, çocuk istismarı materyali, şiddet tehdidi, zorbalık ve yetkisiz erişim gibi güvenlik durumlarında ise yalnızca gerekli asgari veriye izin veren dar ve denetlenebilir bir istisna bulunuyor.

İnsan gözetimi yalnızca sonuç ekranındaki uyarı değil

Standart kapsamındaki AI sistemleri, eğitimci veya öğrenciler hakkında anlamlı insan incelemesine ya da önceden verilmiş onaya imkân tanımadan karar alamıyor. Ürünün AI kullandığını açıkça göstermesi, sonuçların nasıl üretildiğini ve bilinen hata biçimlerini sade dille açıklaması, ayrıca okul yönetimine yaş ve kullanım senaryosuna göre özellikleri açıp kapatma olanağı vermesi gerekiyor.

İnsan incelemesi olmadan otomatik not verme; davranış analizine dayalı disiplin kararı veya önerisi; ders, yetenek grubu ya da özel eğitim yerleştirmesi ve psikolojik değerlendirme yasak kullanım alanları arasında. Öğrenci adına mesaj gönderme, çalışma teslim etme, ayar değiştirme, başka sistemlere erişme veya satın alma gibi dışarıda sonuç doğuran eylemler öğrenci hesaplarında varsayılan olarak kapalı olmalı; açılmaları okulun açık onayına, sınırlı yetkilere, insan gözetimine ve eksiksiz işlem kaydına bağlı.

Politika vaadi nasıl sözleşme kontrolüne dönüşüyor?

Çerçevedeki on ilke birbirinden seçilebilen tavsiyeler değil: katılan sağlayıcının, kapsamdaki eğitim ürününü kullanan ve sisteme dahil olan eğitim müşterisi için ilkelerin tamamına uyması gerekiyor. Okul bölgesi talep ettiğinde eşdeğer korumalar mevcut veri gizliliği anlaşmasına, lisans sözleşmesine veya ek protokole aktarılabilecek; metnin birebir kopyalanması şart değil, fakat ortaya çıkan hükümler aynı ya da daha güçlü koruma sağlamalı.

Sözleşmesel denetim yalnızca model eğitimi yasağından oluşmuyor. Sağlayıcının uygun bağımsız güvenlik sertifikalarını sürdürmesi, rol tabanlı erişim uygulaması, teyit edilmiş veya makul biçimde şüphelenilen bir veri ihlalini öğrendikten sonra en geç 72 saat içinde eğitim müşterisine bildirmesi ve alt işleyenlerin aynı yükümlülüklere uymasından sorumlu olması gerekiyor. Okul, saklama politikasını belirleyebilmeli ve silmeyi başlatabilmeli; aktif sistemler ile yedekler için genel üst sınır, yasal saklama veya belgelenmiş hukuki koruma istisnaları dışında 180 gün.

Türkiye’de sözleşme görüşmesine çevrilebilecek kontrol listesi

ABD hukuku ve sözleşme yapısı için hazırlanan standart Türkiye’de doğrudan geçerli bir düzenleme değil; hükümler yerel mevzuat ve kurumun veri işleme koşulları incelenmeden kopyalanmamalı. Buna karşılık eğitim teknolojisi, satın alma, bilgi güvenliği ve veri koruma ekipleri için ölçülebilir sorular sunuyor:

• Veri toplama: Hizmet hangi veri kategorilerine gerçekten ihtiyaç duyuyor; istemler, yanıtlar, yüklenen dosyalar, ses, görüntü, cihaz bilgisi ve kullanım kayıtlarından hangileri işleniyor?
• Saklama ve silme: Her kategorinin saklama süresi nedir; okul süreyi değiştirebilir, silmeyi doğrudan başlatabilir ve işlemin tamamlandığını yazılı olarak doğrulatabilir mi?
• Model eğitimi: Yasak doğrudan tanımlayıcıların yanında kimliksizleştirilmiş, toplulaştırılmış, dönüştürülmüş ve türetilmiş verileri de kapsıyor mu?
• Telemetri ve izleme: Hangi operasyonel kayıtlar telemetri sayılıyor; bunlar profil çıkarma, kişiselleştirme, reklam veya davranış tahmini için kullanılabiliyor mu?
• İnsan onayı: Not, disiplin, yerleştirme veya öğrenci adına işlem yapma gibi sonuçlarda yetkili incelemeyi kim yapıyor; eylem yetenekleri varsayılan olarak kapatılabiliyor mu?
• Alt işleyenler: Güncel listeye nasıl erişiliyor, yeni bir alt işleyen için ne kadar önce bildirim yapılıyor ve okulun itiraz ya da cezasız çıkış hakkı var mı?
• Denetim ve ihlal: Bağımsız denetim belgeleri, erişim kayıtları, olay bildirim süresi ve sözleşme sona erdikten sonra devam eden yükümlülükler açıkça tanımlanıyor mu?

Standardın erişimi şimdilik Microsoft ve talep eden müşterilerle sınırlı

Mutabakatın tarafları National Academy for AI Instruction ile Microsoft Corporation; AFT ve UFT ise standardın duyurulmasında ve geliştirilmesinde yer aldı. Kapsam, Microsoft’un tanıma giren eğitim ürünleriyle sınırlı. Genel amaçlı veya eğitim için sunulmayan ürünler otomatik olarak bu çerçeveye girmeyebilir; başka AI sağlayıcılarının yükümlülükleri kabul etmesi de ayrıca imza gerektiriyor.

Henüz kaç okul bölgesinin korumaları sözleşmesine ekleyeceği, talep mekanizmasının uygulamada nasıl işleyeceği ve diğer büyük sağlayıcıların aynı standardı imzalayıp imzalamayacağı bilinmiyor. Bu nedenle standardın etkisini belirleyecek unsur duyurunun ulusal adı değil; model eğitimi yasağı, insan onayı, silme takvimi, denetim ve tedarikçi sorumluluğunun tek tek müşteri sözleşmelerine girip uygulanması olacak.

Ayrıca okuyun:

• Claude sohbetinizi eğitime kapatabilirsiniz; güvenlik incelemesi istisna
• GitHub Classroom kapandı: Depolar kaldı, ders verilerinin bir kısmı siliniyor
• 8,7 milyon yolcunun verisi yayımlandı: Ödeme bilgileri listede değil