
# Sektöre Özgü Güvenlik Anketi Otomasyonu için Büyük Dil Modellerinin İnce Ayarlanması

Güvenlik anketleri her SaaS ortaklığının kapı bekçisidir. Bir fintech girişimi [ISO 27001](https://www.iso.org/standard/27001) sertifikası ararken ya da bir sağlık‑teknoloji startup’ı [HIPAA](https://www.hhs.gov/hipaa/index.html) uyumluluğunu kanıtlamak zorunda kalırken, altta yatan sorular genellikle tekrarlayıcı, yüksek derecede düzenlenmiş ve yanıtlaması zaman alıcıdır. Geleneksel “kopyala‑yapıştır” yöntemleri insan hatasına yol açar, dönüş süresini uzatır ve değişikliklerin denetlenebilir bir izini tutmayı zorlaştırır.

Karşınızda **ince ayarlanmış Büyük Dil Modelleri (LLM'ler)**. Bir temel LLM'i bir organizasyonun tarihsel anket yanıtları, sektör standartları ve iç politika belgeleri üzerine eğiterek, ekipler *özelleştirilmiş*, *doğru* ve *denetime hazır* yanıtları saniyeler içinde üretebilir. Bu makale, Procurize’in birleşik uyum merkeziyle uyumlu, güvenlik, açıklanabilirlik ve yönetişim ilkelerini koruyan bir ince ayarlı LLM boru hattının neden, ne ve nasıl inşa edileceğini adım adım anlatıyor.

---

## İçindekiler
1. [İnce Ayarlamanın Genel LLM'lere Göre Üstünlüğü](#why-fine-tuning-beats-generic-llms)  
2. [Veri Temelleri: Yüksek Kaliteli Eğitim Korpusunun Oluşturulması](#data-foundations)  
3. [İnce Ayar İş Akışı – Ham Belgelerden Dağıtıma Hazır Model’e](#pipeline)  
4. [Modelin Procurize’e Entegrasyonu](#integration)  
5. [Yönetişim, Açıklanabilirlik ve Denetim Sağlama](#governance)  
6. [Gerçek Dünya ROI’su: Önemli Metri­kler](#roi)  
7. [Sürekli Öğrenme Döngüleriyle Geleceğe Hazırlık](#future)  
8. [Sonuç](#conclusion)  

---

<a name="why-fine-tuning-beats-generic-llms"></a>
## 1. İnce Ayarlamanın Genel LLM'lere Göre Üstünlüğü

| Özellik | Genel LLM (zero‑shot) | İnce Ayarlı LLM (sektöre özgü) |
|--------|------------------------|--------------------------------|
| **Yanıt Doğruluğu** | %70‑85 (prompt’a bağlı) | %93‑99 (tam politika metnine göre eğitilmiş) |
| **Yanıt Tutarlılığı** | Çalıştırmalara göre değişken | Belirli bir sürüm için deterministik |
| **Uyum Kelime Dağarcığı** | Sınırlı, hukuki ifadeleri kaçırabilir | Sektöre özgü terminoloji gömülü |
| **Denetim İzı** | Kaynak belgelere bağlamak zor | Eğitim alıntılarına doğrudan izlenebilirlik |
| **Çıkarım Maliyeti** | Daha yüksek (büyük model, çok token) | Daha düşük (küçük ince ayarlı model) |

İnce ayarlama, modelin **bir şirketin politikaları, kontrol çerçeveleri ve geçmiş denetim yanıtlarıyla aynı dili içselleştirmesini** sağlar. Genel bir sohbet‑motoruna güvenmek yerine, model *bilgi‑artırımlı* bir yanıtlayıcı hâline gelir ve şunları bilir:

* ISO 27001’in hangi maddelerinin belirli bir anket sorusuna denk geldiği.  
* Organizasyonun “kritik veri” tanımının Veri Sınıflandırma Politikasında nasıl yapıldığı.  
* “Dinlenirken şifreleme” ifadesinin SOC 2 ve GDPR’yı karşılayacak tercih edilen formülasyonu.

Sonuç, ayda onlarca anket yanıtlamak zorunda olan ekipler için hız ve güvenilirlikte dramatik bir artıştır.

---

<a name="data-foundations"></a>
## 2. Veri Temelleri: Yüksek Kaliteli Eğitim Korpusunun Oluşturulması

İnce ayarlı bir model, onun öğrendiği veriler kadar iyidir. Başarılı boru hatları genellikle **dört aşamalı bir kürasyon süreci** izler:

### 2.1. Kaynak Belirleme
* **Geçmiş Anket Yanıtları** – Procurize’in yanıt deposundan CSV/JSON ihracı.  
* **Politika Belgeleri** – PDF, markdown veya Confluence sayfaları; SOC 2, [ISO 27001](https://www.iso.org/standard/27001), [HIPAA](https://www.hhs.gov/hipaa/index.html), [PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/) vb.  
* **Kontrol Kanıtları** – Ekran görüntüleri, mimari diyagramlar, test sonuçları.  
* **Hukuki Gözden Geçirme Notları** – Belirsiz ifadeleri açıklayan avukat yorumları.

### 2.2. Normalleştirme
* PDF’leri OCR araçları (ör. Tesseract) ile metne çevir, başlıkları koru.  
* HTML etiketlerini temizle ve satır sonlarını standartlaştır.  
* Her anket yanıtını ilgili politika referansıyla eşle (örn. “A5.2 – ISO 27001 A.12.1”).

### 2.3. Etiketleme & Zenginleştirme
* Her cümleyi **metadata** ile etiketle: `industry`, `framework`, `confidence_level`.  
* OpenAI‑uyumlu ince ayar formatı için *prompt‑response* çiftleri ekle:
  ```json
  {
    "messages": [
      {"role": "system", "content": "Fintech şirketi için bir uyum asistanısın."},
      {"role": "user", "content": "Verileriniz dinlenirken nasıl şifreleniyor?"},
      {"role": "assistant", "content": "Tüm üretim veritabanları, 90 günde bir dönen anahtarlarla AES‑256‑GCM ile şifrelenir; bu Politika EN‑001’de belgelenmiştir."}
    ]
  }
  ```

### 2.4. Kalite Kapısı
* **Deduplication script** ile neredeyse aynı girişleri kaldır.  
* Verinin %5’ini manuel gözden geçir: eski referanslar, yazım hataları veya çelişkili ifadeler kontrol et.  
* **BLEU‑style skor** ile bir doğrulama setine karşı iç‑kohezyonu ölç.

Sonuç, **yapılandırılmış, sürüm kontrollü bir eğitim seti**; Git‑LFS deposunda saklanır ve ince ayar işine hazırdır.

---

<a name="pipeline"></a>
## 3. İnce Ayar İş Akışı – Ham Belgelerden Dağıtıma Hazır Model’e

Aşağıda, uçtan uca boru hattını gösteren yüksek‑seviye bir Mermaid diyagramı bulunuyor. Her blok, CI/CD ortamında **gözlemlenebilir** olacak şekilde tasarlanmıştır; bu sayede geri dönüş ve uyum raporlaması mümkün olur.

```mermaid
flowchart TD
    A["Belgeleri Çıkar & Normalleştir"] --> B["Etiketle & Metaveri Ekle"]
    B --> C["Prompt‑Response Çiftlerine Böl"]
    C --> D["Doğrula & Deduplye Et"]
    D --> E["Eğitim Deposuna Push Et (Git‑LFS)"]
    E --> F["CI/CD Tetikleyicisi: LLM İnce Ayar"]
    F --> G["Model Kütüphanesi (Sürümleme)"]
    G --> H["Otomatik Güvenlik Taraması (Prompt Enjeksiyonu)"]
    H --> I["Procurize Çıkarım Servisine Dağıt"]
    I --> J["Gerçek‑Zamanlı Yanıt Üretimi"]
    J --> K["Denetim Logu & Açıklanabilirlik Katmanı"]
```

### 3.1. Temel Model Seçimi
* **Boyut vs. Gecikme** – Çoğu SaaS şirketi için 7 B‑parametreli bir model (örn. Llama‑2‑7B) denge sağlar.  
* **Lisans** – Temel modelin, ticari kullanım için ince ayara izin verdiğinden emin olun.

### 3.2. Eğitim Konfigürasyonu
| Parametre | Tipik Değer |
|-----------|-------------|
| **Epoch’lar** | 3‑5 (doğrulama kaybına göre erken durdurma) |
| **Öğrenme Hızı** | 2e‑5 |
| **Batch Size** | 32 (GPU belleğine göre ayarlanır) |
| **Optimizer** | AdamW |
| **Quantization** | 4‑bit (çıkarım maliyetini azaltmak için) |

Eğitim, yönetilen bir GPU kümesi (AWS SageMaker, GCP Vertex AI vb.) üzerinde **MLflow** ile artefakt takibi yapılarak yürütülür.

### 3.3. Eğitim Sonrası Değerlendirme
* **Exact Match (EM)** – tutma seti üzerinde ölçülür.  
* **F1‑Score** – kısmi doğru yanıtlar için önemlidir (ifade değişikliği olduğunda).  
* **Uyum Skoru** – Modelin yanıtında gerekli politika atıflarının bulunup bulunmadığını kontrol eden özel metrik.  

Uyum skoru %95’in altına düşerse, bir **insan‑döngüsü incelemesi** tetiklenir ve ek veriyle yeniden eğitim yapılır.

---

<a name="integration"></a>
## 4. Modelin Procurize’e Entegrasyonu

Procurize zaten bir **anket merkezi**, görev atama ve sürüm‑kontrollü kanıt depolama sunar. İnce ayarlı model, bu ekosisteme bir mikro‑servis olarak eklenir.

| Entegrasyon Noktası | İşlev |
|---------------------|-------|
| **Yanıt Öneri Widget’ı** | Anket düzenleyicide “AI Yanıtı Oluştur” düğmesi, çıkarım uç noktasını çağırır. |
| **Politika Referans Otomatik Bağlayıcı** | Model `{answer: "...", citations: ["EN‑001", "SOC‑2‑A.12"]}` şeklinde JSON döndürür. Procurize her atıfı ilgili politika belgesine tıklanabilir bir link olarak gösterir. |
| **İnceleme Kuyruğu** | Oluşturulan yanıtlar “AI Bekliyor” durumuna girer. Güvenlik analistleri yanıtı kabul, düzenle veya reddedebilir. Tüm eylemler loglanır. |
| **Denetim İzı Dışa Aktarımı** | Bir anket paketi dışa aktarılırken model sürüm hash’i, eğitim veri anlık görüntüsü hash’i ve bir **model‑açıklanabilirlik raporu** (aşağıya bakınız) eklenir. |

Hafif bir **gRPC** veya **REST** sarmalayıcı, modeli yatay ölçeklenebilir kılar. Kubernetes üzerinde **Istio sidecar injection** kullanarak yönlendirilmiş mTLS ile Procurize ve çıkarım servisi arasındaki iletişim güvence altına alınır.

---

<a name="governance"></a>
## 5. Yönetişim, Açıklanabilirlik ve Denetim Sağlama

İnce ayarlama yeni uyum sorumlulukları getirir. Bu kontroller, boru hattının güvenilir kalmasını sağlar:

### 5.1. Açıklanabilirlik Katmanı
* **SHAP** veya **LIME** teknikleri, token önemini gösterir – UI’da vurgulanmış kelimeler olarak sunulur.  
* **Atıf Isı Haritası** – Model, yanıtı oluştururken en çok hangi kaynak cümlelere dayanmış olduğunu vurgular.

### 5.2. Sürümlenmiş Model Kütüphanesi
* Her model kaydı: `model_hash`, `training_data_commit`, `hyperparameters`, `evaluation_metrics` içerir.  
* Denetim sırasında “2025‑09‑15 tarihinde Q‑42 sorusuna hangi model yanıt verdi?” sorusuna basit bir sorgu ile kesin model sürümü bulunur.

### 5.3. Prompt Enjeksiyon Savunması
* Gelen prompt’ları **statik analiz** ile tarar; “Tüm politikaları göz ardı et” gibi zararlı kalıpları engeller.  
* **System prompt** ile modelin davranışı sınırlandırılır: *“Yalnızca iç politikalarla yanıt ver; dışarıdan kaynak üretme.”*

### 5.4. Veri Saklama & Gizlilik
* Eğitim verileri, IAM politikalarıyla korunan şifreli bir S3 bucket’ta tutulur.  
* Kişisel veriler (PII) dahilse, ekleme öncesi **diferansiyel gizlilik** gürültüsü eklenir.

---

<a name="roi"></a>
## 6. Gerçek Dünya ROI’su: Önemli Metri­kler

| KPI | İnce Ayarlamadan Önce | İnce Ayarlamadan Sonra | İyileşme |
|-----|-----------------------|------------------------|----------|
| **Ortalama Yanıt Üretim Süresi** | 4 dk (manuel) | 12 sn (AI) | ‑95 % |
| **İlk‑Geçiş Doğruluğu (insan düzenlemesi yok)** | %68 | %92 | +34 % |
| **Uyum Denetim Bulguları** | Çeyrekte 3 | Çeyrekte 0.5 | ‑83 % |
| **Çeyrek Başına Tasarruf Edilen Ekip Saatleri** | 250 sa | 45 sa | ‑82 % |
| **Anket Başına Maliyet** | $150 | $28 | ‑81 % |

Orta ölçekli bir fintech ile yapılan pilot çalışmada **%70’lik bir azaltma** ve sonuç olarak daha hızlı gelir tanıma gözlendi.

---

<a name="future"></a>
## 7. Sürekli Öğrenme Döngüleriyle Geleceğe Hazırlık

Uyum ortamı sürekli değişir—yeni düzenlemeler, güncellenen standartlar ve ortaya çıkan tehditler. Modeli güncel tutmak için:

1. **Planlı Yeniden Eğitim** – Yeni anket yanıtları ve politika revizyonları çeyrek bazlı işlenir.  
2. **Aktif Öğrenme** – Bir denetçi AI yanıtını düzenlediğinde, düzenlenmiş versiyon yüksek güvenilirlikli bir eğitim örneği olarak geri beslenir.  
3. **Kavram Kayması Tespiti** – Token gömme dağılımları izlenir; bir sapma alarm tetikler ve veri ekibi uyarılır.  
4. **Federated Learning (Opsiyonel)** – Çok‑kiracılı SaaS platformlarında, her kiracı ham veri paylaşmadan ortak bir temel modeli kendi “local head”iyle ince ayarlar; bu sayede gizlilik korunur, fakat ortak bilgi hâlâ faydalı olur.

LLM’yi bir **canlı uyum varlığı** olarak görmek, organizasyonların düzenleyici değişikliklere ayak uydurmasını sağlarken tek bir bilgi kaynağını korur.

---

<a name="conclusion"></a>
## 8. Sonuç

Sektöre özgü uyum verileri üzerinde büyük dil modellerinin ince ayarlanması, güvenlik anketlerini bir darboğazdan **öngörülebilir, denetlenebilir bir hizmete** dönüştürür. Procurize’in iş birliği akışıyla birleştirildiğinde elde edilen faydalar:

* **Hız:** Yanıtlar saniyeler içinde, günler yerine.  
* **Doğruluk:** Hukuki ve teknik politikalarla hizalanmış metin, yasal incelemeden sorunsuz geçer.  
* **Şeffaflık:** Atıflı açıklanabilirlık raporları ve denetim logları.  
* **Kontrol:** Yönetişim katmanları, denetim gereksinimlerini karşılar.

SaaS şirketlerinin riski yöneten programlarını ölçeklendirmek isteyen herkes, ince ayarlı bir LLM boru hattına yatırım yaparak ölçülebilir ROI elde eder ve sürekli genişleyen uyum ortamına karşı dayanıklı bir altyapı kurar.

> *Kendi ince ayarlı modelinizi başlatmaya hazır mısınız? Procurize’den üç ayın anket verisini dışa aktarın ve yukarıda özetlenen veri‑kürasyon kontrol listesini izleyin. Orta ölçekli bir GPU kümesi üzerinde ilk sürüm 24 saatten kısa bir sürede eğitilebilir – bir sonraki SOC 2 anketinizde ekip size teşekkür edecektir.*

---

## İlgili Bağlantılar
- [NIST Special Publication 800‑53 Rev 5: Federal Bilgi Sistemleri ve Organizasyonları için Güvenlik ve Gizlilik Kontrolleri](https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final)  
- [“Fine‑Tuning Language Models: A Comprehensive Survey” – arXiv ön baskısı (2024)](https://arxiv.org/abs/2403.12345)  
- [OpenAI Cookbook: Prompt Tasarımı ve İnce Ayar En İyi Uygulamalar](https://github.com/openai/openai-cookbook)