Back-Office Belge İşlerini BPO Sağlayıcısına Vermek mi, Kendi Sunucularınızda Yapay Zekâ ile Otomatikleştirmek mi: Bir COO Nasıl Karar Verir

Hasar dosyaları, destek talepleri ya da KYC dosyaları biriktiğinde bir COO daha fazla personel alabilir, işi bir BPO sağlayıcısına verebilir ya da şirketin kendi sunucularında yapay zekâ ile otomatikleştirebilir. KYC (know your customer, müşterini tanı) dosyaları, bir finans kuruluşunun bir müşteriyi kabul etmeden önce topladığı kimlik belgeleri ve diğer kayıtlardır. BPO (business process outsourcing), yani iş süreçlerinin dış kaynağa verilmesi, işi başka bir şirketin çalışanlarının, bazen başka bir ülkeden yapması demektir. Otomasyonda ise şirketinizin kontrol ettiği sunuculardaki bir yazılım belgeleri okur ve başa çıkamadığı dosyaları insanlara aktarır. BPO sağlayıcısı, dosyaların çoğunun bir kişinin takdirini gerektirdiği ve dışarıdan çalışanların belgeleri görmesine izin verilen işlere uygundur. Tekrar eden belge türleri otomasyona uygundur; şirketin içinde kalması gereken belgeler de öyle. Bazı şirketler ikisini birleştirir.

Back-office belge işleri için seçeneklerimiz neler?

Şirket içi ekibi büyütmek, belgeleri ve iş bilgisini şirketin içinde tutar. Bu yolda hacimdeki her artış, tam hıza ulaşmaları zaman alan insanları işe almak ve eğitmek demektir.

BPO sağlayıcısı, hasar dosyalarının kontrolü ya da destek taleplerinin sınıflandırılması gibi bir süreci, hizmet seviyeleri içeren bir sözleşmeyle bütünüyle üstlenir. Hizmet seviyeleri, sağlayıcının taahhüt ettiği hedeflerdir; örneğin her dosyanın ne kadar sürede ele alınması gerektiği. İnsanları bulmak ve eğitmek sağlayıcının işi hâline gelir. Sağlayıcının çalışanları başka bir ülkede olabilir ve ya sağlayıcının kendi sistemlerinde ya da sizin verdiğiniz bir kullanıcı hesabıyla sizin sistemlerinizde çalışabilir.

Kendi sunucularınızda yapay zekâ ile otomasyon, her belgeyi ChatGPT'nin arkasındaki türden bir yapay zekâ olan büyük dil modeliyle (LLM) okuyan bir yazılım demektir. Yazılım, çıkardığı alanları kurallarınıza göre kontrol eder ve kontrolden geçenleri sistemlerinize yazar. Kontrollerden geçemeyen dosyalar bir kişiye gider.

Yollar birleştirilebilir. Yazılım, standart bir formdaki adlar, tarihler ve tutarlar gibi rutin alanları üstlenip geri kalanını insanlara bırakabilir.

İşi bir BPO sağlayıcısı yaptığında belgelerimizi kim görür?

Sağlayıcının çalışanları belgeleri görür, çünkü iş zaten belgeleri okumaktır; hasar ve KYC dosyaları da kişisel verilerle doludur. AB Genel Veri Koruma Tüzüğü'ne (GDPR) göre kişisel verileri sizin adınıza işleyen bir şirket veri işleyendir. Şirketiniz ise veri sorumlusu, yani verilerin neden ve nasıl kullanılacağına karar veren taraf olarak kalır.

AB mevzuatının resmî web sitesi EUR-Lex'te 19 Ekim 2026'da okunan GDPR'ın 28. maddesi, veri sorumlusunun “yalnızca yeterli güvenceler sağlayan veri işleyenleri kullanacağını” söyler. Madde ayrıca her veri işleyenle bir sözleşme ya da bağlayıcı başka bir hukuki işlem yapılmasını şart koşar. Bu sözleşmeye göre veri işleyen, “kişisel verileri işlemeye yetkili kişilerin” kendi taahhütleriyle ya da kanun gereği gizlilik yükümlülüğü altında olmasını sağlamalıdır. Sağlayıcı, işin bir kısmını üstlenen bir alt yüklenici gibi başka bir veri işleyeni dahil etmeden önce sizin yazılı izninizi de almalıdır.

Sağlayıcının çalışanlarının, dosyalar sağlayıcıya kopyalanmadan sistemlerinize giriş yapmasına izin vermek de verileri onların erişimine açar. AB'nin veri koruma otoritelerinden oluşan Avrupa Veri Koruma Kurulu (EDPB), bu durumu aynı gün okunan 05/2021 sayılı Kılavuz'unun 14 Şubat 2023 tarihli 2.0 sürümünde ele alıyor.

EDPB Kılavuzu'na göre üçüncü bir ülkeden, yani Avrupa Ekonomik Alanı (EEA) dışındaki bir ülkeden yapılan uzaktan erişim, üç kriter karşılandığında “aynı zamanda bir aktarım olarak kabul edilir”. Bu, “yalnızca kişisel verilerin bir ekranda görüntülenmesi yoluyla gerçekleşse bile” geçerlidir. Kriterlerden biri, erişimi alan şirketin, burada BPO sağlayıcısının, üçüncü bir ülkede bulunmasıdır. EDPB, böyle bir aktarımın GDPR'ın V. Bölümünde belirlenen “yalnızca belirli koşullar altında gerçekleşebileceğini” ekliyor.

Yapay zekâ kendi sunucularımızda çalışırsa belgeler bizde kalır mı?

Dil modeli dahil sistemin her parçası şirketinizin kontrol ettiği sunucularda çalışıyorsa belgeler sizde kalır. Günlük işin parçası olarak belgeleri dışarıdan hiçbir çalışan okumaz ve hiçbir belgenin metni OpenAI'a ya da başka bir model sağlayıcısına gitmez. Sistem dışarıdaki bir sağlayıcının barındırdığı bir modeli kullanıyorsa belgeler o sağlayıcıya gider.

Kendi sunucularınızda da hangi çalışanın hangi dosyaları açabileceğine ve sistemin loglarına, yani yaptıklarının kayıtlarına neler yazabileceğine yine karar vermeniz gerekir. Sistemi geliştiren ve işleten kişilerin gerçek belgeleri görmesi gerekebilir. Bu durumda bu işi sizin için yapan bir mühendislik firması da, tıpkı bir BPO sağlayıcısı gibi, GDPR kapsamında genellikle bir veri işleyendir. Yukarıda bağlantısı verilen ve verileriniz şirketten çıkmadan yapay zekâ geliştirmeyi dış kaynağa vermeyi anlatan yazı, dışarıdan mühendislerin böyle bir sistem üzerinde nasıl çalışabileceğini ele alıyor.

Karma bir yapıda, bir BPO sağlayıcısının çalışanları sisteminizin inceleme kuyruğunda, yani yazılımın bir kişiye gönderdiği dosyaların listesinde çalışabilir. Bu durumda sağlayıcının çalışanları yalnızca bu dosyaları görür; veri işleyen sözleşmelerine ve EEA dışından uzaktan erişime ilişkin GDPR kuralları ise onlar için de geçerli olmaya devam eder.

Dış kaynağa verilen işte bir şeyler ters giderse kim sorumludur?

Kanunun şirketinize yüklediği yükümlülükler şirketinizde kalır; sağlayıcı ise sözleşme kapsamında kendi yükümlülüklerini üstlenir. Aynı gün EUR-Lex'te okunan (AB) 2024/1624 sayılı Kara Para Aklamayla Mücadele Tüzüğü, bunun KYC için nasıl işlediğini gösteriyor. Tüzük uygulanmaya başladığında 18. maddesi, kapsadığı şirketlerin, aralarında bankalar ve diğer finans kuruluşları da olmak üzere, tüzüğün onlardan istediği görevleri hizmet sağlayıcılarına dış kaynak olarak vermesine izin verir.

Bu tür görevleri dış kaynağa veren bir şirket, sağlayıcı işe başlamadan önce denetim otoritesine, yani kendisini denetleyen kuruma bildirimde bulunmalıdır. Şirket, “dış kaynağa verilen görevlerle bağlantılı, icrai ya da ihmali her türlü eylemden tamamen sorumlu olmaya devam eder”. 18. madde ayrıca “hiçbir koşulda dış kaynağa verilemeyecek” görevleri de sayar. Bunlar arasında şunlar var:

• Bir müşteriye hangi risk profilinin verileceğine ilişkin karar
• Bir müşteriyi kabul etme ya da onunla arızi bir işlem gerçekleştirme kararı
• Şirketin kara para aklama ve terörün finansmanıyla mücadeleye yönelik iç politikalarının, prosedürlerinin ve kontrollerinin onaylanması
• Şüpheli ya da olağandışı işlem ve faaliyetleri tespit etme kriterlerinin onaylanması

Aynı madde, bu tür görevlerin AB'nin kara para aklama riskleri nedeniyle listelediği üçüncü ülkelerde yerleşik sağlayıcılara verilmesini yasaklar. İstisna, ek koşullar altında aynı gruptaki bir sağlayıcıdır. 90. madde, tüzüğün “10 Temmuz 2027'den itibaren uygulanacağını” söyler; iki tür şirket için bu tarih daha sonradır. Bu yüzden bugün size uygulanan ulusal kuralları kontrol edin.

Tüzüğün giriş bölümünün bir parçası olan 47 numaralı gerekçe (Recital 47) şunu ekler: görevi hiçbir hizmet sağlayıcısı yerine getirmiyorsa, şirket tarafından “üçüncü taraf yazılımların kullanılması veya edinilmesi” dış kaynak kullanımı sayılmaz.

Yazılım bir KYC dosyasını toplayıp alanlarını kontrol ederken müşteriyi şirketinizde adı belirlenmiş bir kişi onaylayabilir. Hasar dosyaları için de, dosyayı hangi yol hazırlarsa hazırlasın, hangi kararları her zaman kendi çalışanlarınızın vereceğini yazılı hâle getirin.

Hacim aniden arttığında her yol bununla nasıl başa çıkar?

Ay sonu ya da düzenleyici bir son tarih, dosya sayısında ani bir artış getirebilir. BPO sağlayıcısı böyle bir artışı, çalışanlarını başka işlerden kaydırarak ya da yeni insanlar alarak karşılar. Sağlayıcıya ne kadar önceden haber vermeniz gerektiğini ve yeni çalışanlar kurallarınızı öğrenirken hizmet seviyelerine ne olacağını sorun.

Yeterli sunucu kapasitesi olduğunda yazılım aynı kurallarla daha fazla belge işleyebilir. Başa çıkamadığı dosyalar yine insanlara gider; bu yüzden kötü taramaların ya da olağandışı vakaların aniden artması inceleme kuyruğunu büyütür. En yoğun gününüzde bu kuyrukta kimin çalışacağına, kendi çalışanlarınızın mı yoksa ihtiyaç anında çağrılabilecek bir sağlayıcı ekibinin mi, önceden karar verin.

Bizim belgelerimizde işi hangisi daha iyi yapıyor: bir sağlayıcının çalışanları mı, yazılım mı?

İkisi için de aynı ölçüm işe yarar. Her türden yakın tarihli belgelerden bir örneklem alın ve kendi çalışanlarınıza her alanın doğru değerini yazdırın. Ardından sağlayıcının çalışanları ve yazılım, her belge türünün her alanı için bu örnekleme göre puanlanır.

Uyum kurallarınız sağlayıcının çalışanlarının bu belgeleri görmesine izin veriyorsa, sağlayıcı örneklemi bir deneme çalışmasında işleyebilir. Yazılım da aynı örneklem üzerinde, bu belgelerin işlenmesine izin verilen sunucularda test edilir. Alan başına doğruluğu, bir kişiye gönderilen dosyaların oranını ve bir belgenin gelişinden kaydın tamamlanmasına kadar geçen süreyi karşılaştırın.

Kendi çalışanlarınızı da aynı örneklem üzerinde ölçün. İnsanlar da hata yapar ve çalışanlarınızın puanı, iki yolun da ulaşması gereken düzeydir. Yukarıda bağlantısı verilen, bir otomasyon firmasına sorulacak sorular ile belge işleme yapay zekâsını satın almak ya da geliştirmek üzerine yazılar, örneklemin nasıl oluşturulacağını anlatıyor. Bunlardan ikincisi örnekleme kabul seti diyor.

BPO sağlayıcıları ve mühendislik firmaları işi nasıl fiyatlandırır?

Fiyatlandırma modelleri farklıdır; bu yüzden her BPO sağlayıcısına ve her mühendislik firmasına nasıl ücretlendirdiğini sorun. Bir BPO sağlayıcısı kişi başına, saat başına ya da işlenen belge başına ücret alabilir. Bir mühendislik firmasının teklifi iki bölümden oluşabilir: sistemin geliştirilmesi ve ardından desteklenmesi.

En yoğun ayınız dahil, üç yıl için beklediğiniz hacimleri belge türüne ve aya göre yazın ve her teklifi bu aynı rakamlara göre alın. Kendi maliyetlerinizi de ekleyin: yazılım için sunucular ve inceleme kuyruğunda çalışan personel ya da bir sağlayıcıyı denetlemek için yöneticilerinizin harcadığı zaman. Her teklif ayrıca hacminiz düştüğünde ya da bir form değiştiğinde fiyatın nasıl değiştiğini göstermelidir.

Sözleşmeyi sona erdirirsek elimizde ne kalır?

BPO sağlayıcısıyla çalışırken, olağandışı vakaların nasıl ele alınacağı gibi iş bilgisinin büyük kısmı sağlayıcının çalışanlarının kafasında durur. Yazıya dökülmediyse bu bilgi sözleşme sona erdiğinde onlarla birlikte gider.

Sağlayıcıdan en baştan yazılı süreç kuralları isteyin ve iş değiştikçe bunları güncellemesini sağlayın. Doğru yanıtlarıyla birlikte örneklemi kendi dosyalarınızda tutun. Yazılı kurallar ve örneklem, işi yeni bir sağlayıcıya ya da bir yazılıma devretmenizi ve kalitenin korunduğunu kontrol etmenizi sağlar.

Belgelerdeki kişisel veriler için GDPR'ın 28. maddesi, veri işleyen sözleşmesinin iş bittiğinde ne olacağını belirtmesini şart koşar. Şirketinizin tercihine göre veri işleyen, “hizmetlerin sunulmasının sona ermesinden sonra tüm kişisel verileri siler veya veri sorumlusuna iade eder”. Kanun saklamasını gerektirmedikçe kopyalarını da siler. İmzalamadan önce bu ikisinden hangisini istediğinizi ve sağlayıcının bunu nasıl teyit edeceğini kararlaştırın.

Otomasyon yolunda, sözleşme bunları size devrediyorsa kod, modele verilen talimatlar ve verileriniz üzerinde ek eğitim almış her model sizde kalır. Firmanın projeler arasında yeniden kullandığı bileşenler gibi, sözleşmenin neleri kapsam dışı bıraktığını okuyun.

Bir BPO sağlayıcısına ve bir mühendislik firmasına neler sormalıyız?

İki yoldaki her adaya aynı soruları gönderin:

• Belgelerimizi görecek kişiler nerede çalışacak ve sistemlerimize giriş mi yapacaklar, yoksa dosyaları sizin sistemlerinize mi kopyalayacaklar?
• İşe başka hangi şirketler, hangi ülkelerden katılacak?
• Sonuçları alan alan puanlayabilmemiz için imzadan önce belge örneklemimiz üzerinde çalışır mısınız?
• Başa çıkamadığınız bir dosyaya ne oluyor ve şirketimizde onu ardından kim görüyor?
• Sözleşme sona erdiğinde hangi yazılı kurallar, kod ve veriler bize geri dönecek ve hangi biçimde?

Dış kaynak kullanımı, veri aktarımları ve müşteri kontrollerine ilişkin kurallar ülkeye ve sektöre göre değişir. Bu yazı AB metinlerini örnek olarak kullanır ve hukuki tavsiye değildir; bu yüzden seçtiğiniz yolu bir avukatla ya da bağlı olduğunuz düzenleyiciyle teyit edin.

amBrain nerede devreye girer?

amBrain'in kamuya açık olarak anlattığı tek dil modeli projesi şu: “Bir müşterinin FinTech perimetresi içinde bir LLM entegrasyonunu üretime aldık: yapılandırılmamış broker ve işlem yeri bildirimlerinin — kurumsal işlemler (corporate actions), enstrüman ve teminat değişiklikleri — çıkarılıp normalize edilerek trading sisteminin tükettiği yapılandırılmış kayıtlara dönüştürülmesi.”

Bu yazı bir vaka çalışması değildir ve müşterinin adı verilmez. Alıntılanan satır, o projede modelin nerede çalıştığını ya da yukarıda anlatılan adımlardan hangilerini içerdiğini söylemez. Bu yazıdaki hiçbir ifade, amBrain'in hasar dosyaları, destek talepleri, KYC dosyaları ya da başka herhangi bir back-office belgesi için sistemler kurduğunu söylemez. amBrain'in bir BPO sağlayıcısının yerini aldığını, biriyle çalıştığını ya da yazılım ile bir sağlayıcının çalışanlarından oluşan karma bir yapı işlettiğini de söylemez.

GDPR ve Kara Para Aklamayla Mücadele Tüzüğü bu yazıda yalnızca şirketinizin uyması gerekebilecek kurallar olarak yer alıyor. Yazı, amBrain'in bu ya da başka herhangi bir kural karşısındaki kendi uyum durumu hakkında hiçbir iddiada bulunmaz. amBrain'e ait fiyat ya da takvim vermez; imzadan önce örnekleminiz üzerinde yapılacak bir deneme dahil, bir prototip ya da pilot için koşul da vermez.

amBrain 2019'dan bu yana yazılım geliştiriyor. Üç formatta çalışıyor: tam teslim, özel ekip ya da sizin ekibinize yerleşen mühendisler. Mülkiyet konusundaki satırı ise şöyle: “Müşteri, yeniden kullanılabilir bileşenlerimiz dışında ürünün ve kodun tam mülkiyetini elinde tutar.” amBrain kısa listenizdeyse, ona da diğer her mühendislik firmasına verdiğiniz örneklemin ve soruların aynısını verin.