OpenAI Sıfır Veri Saklama (Zero Data Retention) Sundu: Müşteri Verisini İşleyen E-Ticaret Ekipleri Ne Yapmalı?
Sessiz Sedasız Gelen, Ama Ağır Sonuçları Olan Bir Karar
19 Ağustos 2026'da OpenAI, frontier modeller için Zero Data Retention (ZDR) seçeneğini duyurdu. Kısaca: API üzerinden gönderilen istek ve yanıtlar artık OpenAI tarafında saklanmıyor, eğitimde kullanılmıyor, loglanmıyor. Bu, daha önce yalnızca Enterprise anlaşmalarında kısmi biçimde mevcut olan bir güvenceyi —ilk kez— genel geliştirici ve iş katmanına açıyor.
E-ticaretçilerin büyük çoğunluğu bunu "teknik bir API detayı" olarak okuyacak. Yanlış. Bu kararın firma tarafında doğrudan operasyonel sonuçları var.
Neden Şimdiye Kadar Sorundu?
Bir e-ticaret operasyonunda LLM'e ne gönderiyorsunuz? Müşteri sipariş geçmişi, iade gerekçeleri, chat logları, ürün yorumları, segment etiketleri, kimi zaman e-posta içerikleri. Bunların bir kısmı açıkça GDPR/KVKK kapsamında kişisel veri. Bir kısmı ise rekabet açısından korunması gereken ticari sır (fiyatlama mantığı, kampanya segmentasyonu, stok stratejisi).
Şu ana kadar pek çok ekip ya bu riski görmezden geliyordu ya da sözlü "biz eğitimde kullanmıyoruz" güvencesiyle yetiniyordu. Bu güvencenin sözleşmeye dökülmemiş hali hukuki olarak değersiz. ZDR, ilk kez bu boşluğu kapatan teknik + hukuki bir zemin sunuyor.
Firma Tarafında Ne Değişiyor?
1. Veri sınıflandırması artık bir önkoşul
ZDR'yi anlamlı kullanmak için önce "hangi API çağrılarında ne tür veri geçiyor?" sorusunu yanıtlamanız gerekiyor. Kişisel veri içeren akışlar (müşteri yorumu analizi, iade sınıflandırma, kişiselleştirme) ile kişisel veri içermeyen akışlar (ürün açıklaması yazma, kategori etiketleme) ayrı ayrı etiketlenmeli.
Bu sınıflandırmayı yapmayan bir ekip, ZDR'yi aktifleştirmiş olsa bile hangi çağrıların gerçekten korunduğunu bilemez.
2. Prompt mühendisliği pratiğiniz değişmek zorunda
Veri saklamıyorsanız, hata ayıklama da zorlaşıyor. Hangi prompt'un hangi yanıtı ürettiğini geriye dönük inceleme imkânı kalmıyor. Bu, prompt versiyonlama ve loglamayı kendi altyapınıza almanız gerektiği anlamına geliyor. Aksi hâlde bir reklam metni üretim hattında bir şey bozulduğunda "ne oldu?" sorusuna yanıt bulamazsınız.
3. Tedarikçi ve ajans anlaşmalarına yansıtılmalı
Shopify mağazanızın entegre olduğu bir üçüncü taraf uygulama veya ajans, sizin adınıza OpenAI API çağrısı yapıyorsa ve ZDR aktif değilse, o verinin nerede sakladığını siz değil onlar kontrol ediyor. KVKK'da veri sorumlusu siz olduğunuz için cezayı da siz alıyorsunuz. Tedarikçi sözleşmelerinize "API veri saklama standartları" maddesi eklenmelidir.
Meta Ads ve Google Ads Entegrasyonlarına Etkisi
Reklam performans verisi (ROAS, dönüşüm segmentleri, hedef kitle etiketleri) ile müşteri CRM verisini birleştirerek LLM'e analiz yaptıran ekipler var. Bu ikisinin birlikte gittiği bir prompt, hem kişisel veri hem ticari veri içeriyor. ZDR bu çağrılar için açık olmalı; değilse hem GDPR/KVKK hem de Meta ve Google'ın reklam veri kullanım koşullarıyla çelişme riski doğuyor.
Pratik Adım Sırası
- Mevcut LLM entegrasyonlarını haritalayın — hangi akışta ne tür veri geçiyor.
- Kişisel veri içeren akışları öncelikli ZDR kapsamına alın — bunun için API hesabınızda Enterprise veya ZDR destekli plan gerekiyor, kontrol edin.
- Kendi log altyapınızı kurun — istek/yanıt çiftlerini anonimleştirerek kendi sisteminizde saklayın; ZDR aktifken OpenAI tarafında log olmayacak.
- Tedarikçi ve ajanslarla yazılı teyit alın — onların API entegrasyonlarında ZDR durumunu belgeleyin.
Sonuç
ZDR bir pazarlama çıktısı değil, altyapı kararı. Ama bu kararı operasyona yansıtmayan e-ticaret ekipleri, hem yasal hem rekabetçi bir açık taşıyor. Yapay zekâ altyapısına yatırım yaparken veri yönetimi katmanını ihmal etmek, üzerine inşa ettiğiniz temeli görmezden gelmek demek. Şimdiye kadar "sonra hallederiz" denilen bu mesele artık ertelenebilir değil.