Netmera Genel Müdürü Hasan Emre Özgür, Fintechtime Haziran sayısı için yazdı “Yapay Zeka Çağında On-Prem Paradoksu”.
“Yapay zekâ çağında SaaS mimarileri hız, ölçeklenebilirlik ve sürekli güncelleme avantajlarıyla öne çıkarken, regülasyona tabi sektörlerde on-prem yaklaşımının yeniden güç kazandığı görülüyor. Veri güvenliği, kişisel verilerin korunması ve maliyet kaygıları; finansal kurumları daha kontrollü altyapılara yönlendiriyor. Türkiye’de BDDK, TCMB ve diğer düzenleyici kurumlar private cloud ve community cloud modellerine belirli koşullarla izin verse de uygulamada kurumların daha temkinli hareket ettiği dikkat çekiyor. Bu durum teknoloji sağlayıcıları için operasyonel yükü artırırken yapay zekâ destekli ürünlerin hızlı güncellenmesini de zorlaştırıyor. Önümüzdeki dönemde asıl rekabet, veriyi korurken inovasyon hızını da sürdürebilen kurumlar arasında yaşanacak.”
Yapay Zeka Çağında On-Prem Paradoksu
“Geleceği tahmin etmenin en iyi yolu, onu inşa etmektir.”
WordPress Co-Founder Peter Drucker
Dijital dönüşümün ilk yıllarında teknoloji dünyasının en güçlü vaatlerinden biri SaaS modeliydi. Yazılımın bir ürün değil, yaşayan bir servis haline gelmesi; sürekli güncellenebilmesi, ölçeklenebilmesi, merkezi olarak yönetilebilmesi ve müşterilere düşük operasyonel maliyetlerle sunulabilmesi teknoloji sektöründe yeni bir çağ başlattı. Özellikle fintech, martech, fraud yönetimi, müşteri etkileşimi, AML, KYC/KYB ve analitik platformlarında SaaS mimarileri inovasyonun temel taşı haline geldi.
Ancak bugün, yapay zekanın hızlandırdığı yeni teknoloji çağında çok kritik bir paradoks ile karşı karşıyayız. Dünyanın dört bir yanında SaaS mimarileri daha merkezi, daha dinamik ve daha bulut odaklı hale gelirken; özellikle regülasyona tabi sektörlerde kurumların önemli bir bölümü yeniden “on-prem” yaklaşımına yöneliyor.
Üstelik bu eğilim yalnızca Türkiye’ye özgü değil. Avrupa’dan Körfez ülkelerine kadar birçok pazarda benzer refleksler görülüyor. Ancak Türkiye’de finansal regülasyonların etkisiyle bu yaklaşım çok daha belirgin hissediliyor. Bu yaklaşımın temelinde iki ana neden bulunuyor.
Birincisi ve en önemlisi veri güvenliği. Kurumlar, müşteri verilerinin kurum dışına çıkmasını istemiyor. Özellikle kişisel verilerin, finansal hareketlerin, müşteri davranışlarının veya rekabete duyarlı bilgilerin dış sistemlerde tutulması; veri sızıntısı, manipülasyon veya kontrol kaybı riskleri nedeniyle ciddi endişe yaratıyor.
İkinci neden ise maliyet. Bulut üzerinde çalışan sistemlerde yalnızca yazılım lisansı değil; hosting, yönetilen hizmetler (managed services), yüksek erişilebilirlik, yedeklilik, siber güvenlik ve veri saklama gibi kalemler de maliyet oluşturuyor. Özellikle donanımsal olarak dedike edilmiş private cloud mimarileri tercih edildiğinde, toplam sahip olma maliyetleri bazı senaryolarda kurumların mevcut on-prem altyapılarından daha yüksek hale gelebiliyor.
Türkiye’de de bu hassasiyetlerin regülasyon tarafında karşılık bulduğunu görüyoruz. BDDK, TCMB, SPK ve BTK gibi düzenleyici kurumlar, özellikle kişisel veri, müşteri verisi ve kritik finansal sistemlerin yurt içinde konumlanmasına yönelik çerçeveler çizmiş durumda.
Ancak dikkat çekici olan nokta şu ki mevzuat bulutu tamamen yasaklamıyor. Tam tersine, son yıllarda “private cloud” ve “community cloud” yani topluluk bulutu gibi modellerin regülasyon metinlerinde açık şekilde tanımlandığını görüyoruz.
Örneğin TCMB’nin 1 Aralık 2021 tarihli tebliğinde; hassas müşteri verileri işlenecekse bunun yalnızca kuruluşa özel kaynaklar üzerinden çalışan private cloud modeliyle yapılabileceği belirtiliyor. Bunun yanında, yalnızca regüle finansal kuruluşlara tahsis edilmiş fiziksel altyapının mantıksal ayrıştırma ile paylaşıldığı topluluk bulutu modellerine de belirli koşullar altında izin veriliyor.
Benzer şekilde BDDK düzenlemelerinde de özel bulut ve topluluk bulutu modelleri tanımlanmış durumda. Özellikle Kurum denetimine tabi kuruluşlar arasında mantıksal ayrıştırma ile çalışan topluluk bulutu yapılarının teorik olarak mümkün olduğu görülüyor. Kağıt üzerinde tablo oldukça açık görünüyor. Ancak sahadaki gerçeklik farklı.
Bir teknoloji şirketi yöneticisi olarak son dönemde yaptığımız müşteri görüşmelerinde, kurumların önemli bölümünün mevzuatın izin verdiği alanlardan daha dar bir yorum benimsediğini gözlemliyoruz. Birçok kurum, private cloud ortamında dahi fiziksel donanım ayrımı talep ediyor. Bazıları ise buna rağmen bulut kullanımına mesafeli yaklaşmaya devam ediyor.
Bunun temel nedenlerinden biri, “kişisel veri”, “birincil sistem”, “ikincil sistem” gibi kavramların uygulamada farklı yorumlanması. Kurumların hukuk, denetim, bilgi güvenliği ve teknoloji ekipleri arasında dahi zaman zaman farklı bakış açıları oluşabiliyor. Sonuç olarak ortaya pazarda ortak standardın bulunmadığı bir yapı çıkıyor.
Ve bu durum SaaS ekosisteminin doğasına aykırı yeni bir gerçeklik yaratıyor.
Bugün AML, fraud yönetimi, uzaktan müşteri edinimi, müşteri analitiği, pazarlama otomasyonu veya müşteri etkileşim platformları geliştiren teknoloji şirketleri ürünlerini merkezi bulut mimarileri üzerinde çalışacak şekilde tasarlıyor. Çünkü SaaS modelinin temel gücü merkezileşmeden geliyor.
1000’den fazla müşterisi olan bir teknoloji firmasının, her müşterinin on-prem ortamına ayrı ayrı erişmeye çalıştığını düşünün. Her müşterinin farklı firewall politikaları, farklı network mimarileri, farklı işletim sistemleri, farklı veritabanı versiyonları ve farklı güvenlik süreçleri bulunuyor. Bir ürün güncellemesinin onlarca farklı ortamda ayrı ayrı test edilmesi gerekiyor. Kritik bir problem yaşandığında müdahale süreleri uzuyor. Teknoloji sağlayıcısı, müşterinin IT önceliklerine bağımlı hale geliyor. Daha da önemlisi ürünün versiyon bütünlüğü bozuluyor.
Aynı platformun sahada yüzlerce farklı versiyonunun çalışması ihtimali ortaya çıkıyor. Bu durum yalnızca operasyonel maliyetleri artırmıyor; performansı, güvenliği ve inovasyon hızını da aşağı çekiyor.
Oysa yapay zekanın yükselişi ile birlikte artık yazılımlar statik sistemler olmaktan çıktı.
Üretken yapay zeka destekli kullanıcı asistanları, doğal dil ile çalışan yönetim ekranları, predictive aksiyon motorları, davranış analitiği yapan ajanlar, duygu analizi gerçekleştiren modeller ve otonom karar destek sistemleri artık SaaS platformlarının doğal parçası haline geliyor.
Ve bu dönüşüm yıllık değil; günlük hatta saatlik yaşanıyor.
Bir SaaS ürününün artık sürekli güncellenmesi gerekiyor. Çünkü yapay zeka modelleri gelişiyor, yeni güvenlik açıkları ortaya çıkıyor, kullanıcı davranışları değişiyor ve rekabet sürekli yeniden şekilleniyor.
İşte tam bu noktada on-prem yaklaşımı yalnızca operasyonel bir tercih olmaktan çıkıp inovasyon hızını doğrudan etkileyen stratejik bir bariyere dönüşüyor.
Peki çözüm ne olabilir?
SaaS hizmeti veren üçüncü parti platformlar için bağımsız güvenlik sertifikasyon mekanizmaları oluşturulabilir. Düzenleyicilerin belirlediği minimum güvenlik standartları çerçevesinde; penetrasyon testleri, veri izolasyonu, erişim yönetimi, loglama, şifreleme ve yapay zeka güvenliği gibi alanlarda sertifikasyon süreçleri tanımlanabilir.
Böylece kurumlar yalnızca “nerede çalışıyor?” sorusuna değil, “ne kadar güvenli çalışıyor?” sorusuna da odaklanabilir.
Çünkü geleceğin rekabeti yalnızca veriyi koruyabilenler arasında değil; aynı zamanda veriyi güvenli şekilde işleyerek en hızlı inovasyonu üretebilenler arasında yaşanacak.
Elbette ülkemizin en değerli varlıklarından biri olan kişisel verilerimizin yurt içinde kalması kritik öneme sahip.
Elbette güvenlikten taviz verilmemeli.
Ancak güvenliği sağlarken inovasyonu yavaşlatan, yapay zekanın sunduğu verimlilik potansiyelini sınırlayan ve SaaS ekosisteminin doğasına aykırı hale gelen yapılar da yeniden düşünülmeli.
Çünkü önümüzdeki dönemde teknolojinin kazananları; yalnızca en güçlü yapay zekaya sahip olanlar değil, aynı zamanda bu yapay zekayı sürdürülebilir, güvenli ve ölçeklenebilir şekilde çalıştırabilen ülkeler olacak.
