Appearance
Üçüncü Taraf Vendor Envanteri (Third-Party Vendor Inventory)
- Sahip: Simetri
- Son Güncelleme: 2026-04-16
- Güncelleme Tetikleyicisi: Yeni vendor ekleme / çıkarma, model sürümü yükseltme, DPA revizyonu, adequacy decision durum değişikliği, yeni regülasyon (EU AI Act delegated act, NIST RMF revizyonu).
- Çeyreklik Review: 90 günde bir her satırın hala geçerli olduğu (model deprecated mi, DPA hala aktif mi, adequacy decision durumu) doğrulanır.
- Durum: İskelet — spesifik model seçimleri ADR ile sabitlenene kadar "birincil aday" olarak listelenir.
1. Neden Bu Doküman?
NIST AI RMF GOVERN 6.1 (Üçüncü taraf AI bileşenleri) ve MAP 4.1 (Üçüncü taraf veri kaynağı envanteri), EU AI Act Art. 25 (Supply Chain / Value Chain) ve GDPR Art. 28 (Processor zinciri) kapsamında, sistemin dayandığı her üçüncü taraf bileşenin (LLM sağlayıcı, embedding API, cloud altyapı) tek noktada belgelenmesi zorunludur.
Bu doküman:
- Enterprise RFP'de ilk sorulan "hangi AI providerları kullanıyorsunuz, veri nereye gidiyor?" sorusuna tek kaynaktan yanıt üretir.
nist-ai-rmf-mapping.md§2 GOVERN 6.1 / §3 MAP 4.1,dpia.md§2.1 Processor zinciri veeu-ai-act-compliance.md§3 gereksinimi için kanıt görevi görür.- Bir provider sızıntı / deprecation / regülatif krize girerse hangi akışın etkileneceğini gösterir (blast radius).
Humindx mimarisi LLM-agnostic (bkz. zero-knowledge.md §5). Bu nedenle her katmanda birincil + yedek aday listelenir; tek vendor lock-in önlenir.
2. Kategoriler ve Seçim Kriterleri
Vendor'lar beş kategoride değerlendirilir. Her kategori farklı veri tier'ı görür:
| # | Kategori | Gördüğü Veri | Ana Risk |
|---|---|---|---|
| 2.1 | LLM Inference — Cold Path | Sanitize edilmiş transkript ([PERSON_1] token'lı) | Bias, retention, inversion |
| 2.2 | LLM Inference — Hot Path | Canlı sohbet (ham T3 — PII görünür) | PII sızıntısı, ZDR zorunlu |
| 2.3 | Embedding API | Sanitize metin (gürültü öncesi) | Inversion saldırısı |
| 2.4 | Lokal NER / PII Redaksiyon | T3 ham metin (lokal, dışarı çıkmaz) | Yanlış redaksiyon → sızıntı |
| 2.5 | Altyapı (Cloud / DB / Cache) | Depolanan T2/T3 veri | Fiziksel erişim, key management |
Model seçim kriterleri (her satırda doğrulanır)
- Zero Data Retention (ZDR) — Sağlayıcı, API'ye giden girdiyi eğitim/retention'a almayacağını yazılı garanti ediyor mu? (Hot Path → zorunlu; Cold Path → zorunlu; Embedding → zorunlu)
- Data residency — AB bölgesinde işleme yapılabiliyor mu (EU-US DPF bağımlılığını düşürür)?
- Art. 25 uyum beyanı — Sağlayıcı kendi "General Purpose AI Model Provider" yükümlülüklerini üstleniyor mu?
- Yetenek sınıfı —
llm-orchestration.mdHot / Cold / RAG sınıf eşleşmesi. - Deprecation ritmi — Sağlayıcının model emeklilik takvimi bizim release döngümüze uyuyor mu? (OpenAI GPT-4o, GPT-4.1 vs. 2026-02-13'te ChatGPT'den emekli oldu — hızlı bir örnek.)
3. Envanter
3.1. LLM Inference — Cold Path (Deep Reasoning)
llm-orchestration.md §Cold Path. Sanitize edilmiş transkript + sistem prompt'u ile Big Five / RIASEC shift_value çıkarımı. Veri tier'ı T2 (sanitized) olarak gönderilir.
| Vendor | Model (Birincil) | Sürüm | Context | Çağrı Noktası | Akış | ZDR | Residency | Neden Seçildi |
|---|---|---|---|---|---|---|---|---|
| Anthropic | claude-sonnet-4-6 | 2026-02-17 | 1M | Scoring Engine deep inference | Outbound | Enterprise API opt-in | US (DPF) + EU API endpoint | 1M context → tüm sohbet tek pass; Constitutional AI bias düşüklüğü |
| Anthropic | claude-opus-4-7 | 2026-04-16 | 1M | Escalation (düşük | Outbound | Enterprise API opt-in | US (DPF) | En yüksek reasoning; maliyet nedeniyle sadece ihtiyaç halinde |
| OpenAI | gpt-5.4 | 2026-03-05 | 1M | Cross-provider validation & yedek | Outbound | Enterprise API (sales onayı) | EU residency mevcut | Geniş eval base; ikinci görüş (bias cross-check) |
Yedekler: Google gemini-3-pro (2025-11-18) cross-check için değerlendirilebilir; ZDR Vertex AI üzerinden kontratlanır.
3.2. LLM Inference — Hot Path (Conversational / Low Latency)
Misty Chat canlı sohbet. Kullanıcıdan gelen ham metin (T3, PII içerir) ilk olarak buraya düşer — sanitization Cold Path öncesi olduğu için Hot Path'te PII görünür. Bu yüzden ZDR + DPA mutlaka imzalı olmalı.
| Vendor | Model (Birincil) | Sürüm | Context | Çağrı Noktası | Akış | ZDR | Residency | Neden Seçildi |
|---|---|---|---|---|---|---|---|---|
| Anthropic | claude-haiku-4-5 | 2025-10-01 | 200k | Chat Engine canlı WebSocket | Outbound | Enterprise API opt-in zorunlu | US (DPF) + EU API | En düşük latency Claude; ZDR sözleşmesi Opus/Sonnet ile aynı kontrat altında |
| OpenAI | gpt-5.4-nano | 2026-03-17 | 400k | Yedek fast path | Outbound | Enterprise API zorunlu | EU residency | API-only (consumer ChatGPT'den bağımsız); sub-second |
gemini-3-flash | 2026-Q1 | 1M | Yedek fast path (Vertex AI) | Outbound | DPA + ZDR Vertex kontratla | EU (Vertex region) | Vertex AI bölge kontrolü en granüler; fiyat |
Ön koşul: ZDR sözleşmesi imzalanmadan hiçbir Hot Path provider'ı prod'a alınamaz → DoD §8.2 gate.
3.3. Embedding
Sanitize metin → vektör (pgvector). Gürültü enjeksiyonu API çağrısından sonra yerelde uygulanır (vector-privacy.md §3).
| Vendor | Model (Birincil) | Sürüm | Boyut | Çağrı Noktası | Akış | ZDR | Residency | Neden Seçildi |
|---|---|---|---|---|---|---|---|---|
| OpenAI | text-embedding-3-small | 2024-01 | 1536 | Birincil RAG embedding (db-schema.md:269 embedding vector(1536)) | Outbound | Enterprise API opt-in | EU residency | Maliyet/performans dengesi; mevcut şema 1536 hazır |
| Voyage AI | voyage-3-large | 2025-01-07 | 1024 / 2048 (Matryoshka) | Yedek — multilingual üstünlük | Outbound | DPA + kontratla ZDR | US (DPF) | TR dahil multilingual benchmark'ta OpenAI v3-large üzerinde (+9.74%); Matryoshka ile depolama esnekliği |
| OpenAI | text-embedding-3-large | 2024-01 | 3072 | Opsiyon: yüksek doğruluk gerektiren context room | Outbound | Enterprise API opt-in | EU residency | 2x depolama maliyeti; sadece değerli segment'te |
3.4. Lokal NER / PII Redaksiyon
Dış LLM'e veri gitmeden önce çalışan lokal sanitization katmanı. zero-knowledge.md §3 pipeline'ının motoru. Veri dışarı çıkmaz — bu satırlar "vendor" dır ama "processor" değildir.
| Vendor | Paket / Model | Sürüm | Deployment | Amaç | Neden Seçildi |
|---|---|---|---|---|---|
| turkish-nlp-suite | tr_core_web_trf (spaCy 3.8) | 2024-11 | Self-hosted | Birincil TR NER (PERSON, ORG, LOC) | TR dil desteği en güçlü açık kaynak; transformer pipeline doğruluk |
| Microsoft Presidio | presidio-analyzer | 2.x | Self-hosted | NER + regex + checksum birleşik pipeline (TC kimlik, IBAN, kart) | NER tek başına IBAN/TC yakalamaz; checksum katmanı şart |
| Meta | Llama-3.1-8B-Instruct | 2024-07 | Self-hosted (vLLM) | Yedek redaksiyon (edge case) | İzinli lisans; 16GB GPU'da Q4 quantization ile 20-40 tok/s |
Kritik kural: Bu kategoride hiçbir vendor'a veri dışarı çıkmaz. Sağlayıcı sadece kod/model ağırlığı sağlayıcısıdır, processor değildir — GDPR Art. 28 DPA gerekmez.
3.5. Altyapı (Cloud / DB / Cache)
| Vendor | Ürün | Amaç | Tier | Residency | Neden Seçildi |
|---|---|---|---|---|---|
| PostgreSQL + pgvector | pgvector ext. v0.7+ | Birleşik vektör + ilişkisel DB | T2 / T3 | Kendi cloud'umuz (EU) | Tek DB operasyonel yük; RLS native; tam gerekçe: ADR-001 |
| Redis | Redis 7.x | Hot Path session (24h TTL) | T3 (geçici) | Kendi cloud'umuz (EU) | Sub-ms latency; TTL "hard delete" garantisi (vector-privacy.md §2) |
| HuggingFace / vLLM | (planlı) | Tam self-hosted LLM fallback (zero-knowledge.md §5) | — | EU | Vendor lock-in kırma; regülatif escape hatch |
Cloud sağlayıcı seçimi (AWS / GCP / Azure) henüz ADR ile sabitlenmedi. Ayrı issue olarak takip edilecek — bu tablo ADR yazıldığında revize edilir.
4. Risk Özet Matrisi
threat-model.md §5 formatı. Her vendor × risk sınıfı. Kapalı = kontrol mevcut + doğrulandı; Kısmen = kontrol var ama bir bağımlılık açık; Açık = kapatma aksiyonu beklemede.
| Vendor | Veri ifşası | Vendor lock-in | Tedarik zinciri | Genel |
|---|---|---|---|---|
| Anthropic Claude (Cold) | Kapalı (sanitize + ZDR) | Kısmen (OpenAI yedeği hazır) | Kısmen (DPF bağımlılığı) | ✅ |
| Anthropic Claude Haiku (Hot) | Kısmen (ham T3 gider, ZDR şart) | Kısmen | Kısmen | ⚠️ |
| OpenAI GPT-5.4 | Kapalı (sanitize + ZDR) | Kapalı | Kısmen (DPF) | ✅ |
| Google Gemini | Açık (ZDR kontrat pending) | Kapalı | Kapalı (Vertex EU) | ⚠️ |
| OpenAI embedding | Kapalı (sanitize + gürültü) | Kısmen (Voyage yedek) | Kısmen (DPF) | ✅ |
| Voyage AI | Açık (DPA imzalanmadı) | Kısmen | Açık | ⚠️ |
| Lokal NER stack | Kapalı (dahili) | — | — | ✅ |
| pgvector / Redis | Kapalı (at-rest AES-256) | Kapalı | Kapalı | ✅ |
Açık aksiyonlar (vendor onboarding'i kilitleyen)
- [ ] Hot Path provider (
claude-haiku-4-5/gpt-5.4-nano) ZDR sözleşmesi imzalanmadan prod'a alınmaz → DoD §8.2 ön koşulu. - [ ] Google Gemini DPA revize: default opt-out → opt-in akışı doğrula ve Vertex bölge seçimi belirle.
- [ ] Voyage AI DPA imzalanana kadar sadece offline eval / benchmark'ta kullan; prod trafiği yok.
- [ ] EU-US DPF durumu Latombe temyizi CJEU kararı sonrası yeniden değerlendirilir (beklemede, 2025-10'da dosyalandı).
- [ ] Cloud provider ADR açılmalı — altyapı tablosu §3.5 bu ADR ile sabitlenecek.
5. Vendor Ekleme / Çıkarma Süreci
Yeni bir vendor eklerken (veya mevcut model için major sürüm yükseltirken) aşağıdaki adımlar sırayla tamamlanmadan prod trafiği açılamaz:
- Kategori tespiti — §2'deki 5 kategoriden hangisi? (Veri tier'ını belirler.)
- DPA imzası — GDPR Art. 28 yazılı Data Processing Agreement. ZDR gerekli mi? (Hot / Cold / Embedding → evet; Lokal NER → hayır; Altyapı → cloud sağlayıcısı ile DPA şart.)
- Transfer basis — US provider ise DPF aktif mi, SCC'ler (Standard Contractual Clauses) hazır mı, BCR var mı?
- Threat model update —
threat-model.md§4 (MITRE ATLAS) ve §5 matrisine yeni provider riski eklendi mi? - DPIA revize —
dpia.md§2.1 Processor listesi + §2.3 risk tablosu güncellendi mi? - Bu dosya — §3 tablosuna satır, §4 risk matrisine ekleme, §6 değişiklik geçmişine kayıt.
- Model Card — Cold Path modeli ise (Tier 2'den itibaren)
psychometrics/model-cards/TEMPLATE.mdkopyalanıp doldurulmadan prod'a alınamaz.
Vendor çıkarma (deprecation): §3'te satır silinmez, "deprecated (YYYY-MM-DD, gerekçe)" notuyla korunur — tarihsel audit gerektiği için. Prompt / config temizliği ayrı PR'da yapılır.
6. Değişiklik Geçmişi
| Tarih | Değişen | Neden |
|---|---|---|
| 2026-04-16 | İlk sürüm | SIM-174 — NIST AI RMF GOVERN 6.1 + MAP 4.1 gap kapatma |
7. Ne Zaman Bu Dokümanı Aç?
- Yeni LLM / embedding / NER vendor değerlendirilirken (veya sürüm yükseltmesinde).
- DPA / sözleşme yenileme siklusunda.
- Regülasyon değişikliğinde (DPF iptali, yeni adequacy decision, AI Act delegated act yayını).
- Çeyreklik review'da (frontmatter).
- Enterprise RFP hazırlarken — bu dosya doğrudan kanıt olarak paylaşılabilir.
Not: Model sürüm adları 2026-04-16 itibarıyla geçerlidir. LLM ekosistemi hızlı değiştiği için spesifik model adları yerine yetenek sınıfı kalıcıdır (llm-orchestration.md §Model Listesi Notu). Deprecation ritmi için §7 review maddesine bağlı kal.