GDPR ve HIPAA Uyumlu AI Sunum Araçları (2026 Kılavuzu)

Sağlık ve AB kuruluşları için belirli uyumluluk standartlarını karşılayan AI sunum araçları sınırlıdır. HIPAA için (ABD sağlık sektörü, imzalı İş Ortağı Anlaşması gerektirir): Microsoft 365 Copilot, Nisan 2026 itibariyle belgelenmiş BAA'ya sahip tek yaygın seçenektir; Canva, kurumsal düzeyde talep üzerine BAA sunar; Google Gemini for Workspace, Google'ın BAA'sını uygulayan Workspace Business/Enterprise müşterileri için HIPAA uyumlu dağıtım sunar. GDPR için (AB veri işleme): Microsoft ve Google, AB Veri Sınırı / AB depolama bölgesi seçenekleri sunar; Beautiful.ai, Gamma, Canva ve Plus AI, Standart Sözleşme Hükümleri içeren GDPR uyumlu DPA'lar yayınlar ancak hepsi yalnızca AB içinde işlemeyi garanti etmez — çoğu hala verileri Amerika Birleşik Devletleri'nde barındırır. Yaygın satın alma hatası: GDPR'yi "destekleyen" AI sunum araçları, AB veri yerleşimini garanti eden araçlarla aynı değildir. Bu kılavuz, her büyük aracın gerçek uyumluluk durumunu kaynak alıntılarıyla eşleştirir ve her düzenlemenin gerçekte ne zaman geçerli olduğunu açıklar.

Bu kılavuz, Nisan 2026 itibariyle kamuya açık olarak belgelenmiş uyumluluk tutumlarını özetler; belirli dağıtım kararları için kendi uyumluluk danışmanınıza başvurun. Satıcıların yazılı olarak taahhüt etmediği uyumluluk iddialarını listelememekteyiz.

HIPAA: BAA Kapısı

HIPAA (Sağlık Sigortası Taşınabilirlik ve Sorumluluk Yasası), ABD kuruluşlarının Korunan Sağlık Bilgilerini (PHI) nasıl kullandığını düzenler. Sunumunuz hasta adları, tıbbi kayıt numaraları, teşhisler, görüntülemeler veya 18 HIPAA tanımlayıcısından herhangi birini içerebiliyorsa — bir dipnot veya ekte bile olsa — PHI ile çalışıyorsunuz demektir.

Bir bulut hizmetinin PHI ile kullanılabilmesi için, satıcının kuruluşunuzla bir İş Ortağı Sözleşmesi (BAA) imzalaması gerekir. BAA, 45 CFR §164.504(e) kapsamında, satıcıyı PHI'yı korumakla, ihlalleri bildirmekle ve kullanımları sınırlamakla yükümlü kılan belirli bir sözleşmedir. BAA olmadan, araca yüklenen herhangi bir PHI — aracın teknik olarak ne kadar güvenli olduğuna bakılmaksızın — bir HIPAA ihlalidir.

AI Sunum Özellikleri için Halka Açık BAA Sunan Kimler Var?

Microsoft 365 Copilot, Microsoft'un standart BAA'sı kapsamındadır ve bu, HIPAA kapsamında kapsanan kuruluşlar veya iş ortakları olan müşterilere Microsoft Online Services Veri Koruma Eki aracılığıyla sunulmaktadır. BAA'ya Service Trust Portal üzerinden erişilebilir. Microsoft 365 Copilot Enterprise, kapsam içi bir hizmet olarak listelenmiştir. Müşteri verileri, temel modelleri eğitmek için kullanılmaz. Microsoft Copilot for Security de açıkça kapsanmaktadır.

Google Gemini for Workspace, 30 Eylül 2025 tarihi itibariyle HIPAA uyumlu hale gelmiştir. Gemini uygulaması ve Workspace'teki Gemini — Google Slides AI oluşturma özelliklerini destekleyen "Yazma konusunda bana yardım et," bağlamsal akıllı yanıtlar ve yan panel özellikleri dahil — artık Google Workspace'in HIPAA İş Ortağı Eki kapsamında yer alan işlevlerdir. Google'ın BAA'sını imzalamanız ve Google Workspace Business veya Enterprise üzerinden dağıtım yapmanız gerekir; tüketici Gemini ürünü açıkça HIPAA uyumlu değildir.

Canva, kurumsal seviyede talep üzerine bir BAA sunmaktadır, ancak yalnızca belirli yapılandırmalar için. Canva, SOC 2 Type II ve ISO 27001 sertifikalıdır ve Canva Enterprise, takım içeriğini AI eğitmek için kullanmaz. Ancak, varsayılan Canva ürünü — ücretsiz, Pro ve Teams katmanları dahil — HIPAA uyumlu değildir. PHI yüklemeden önce BAA kapsamını Canva'nın kurumsal satış ekibiyle doğrulayın.

Diğer herkes — Gamma, Beautiful.ai, Plus AI, Tome, Pitch — Nisan 2026 itibariyle AI sunum iş akışları için halka açık bir BAA belgelememiştir. Bu, diğer güvenlik kimlik bilgilerine bakılmaksızın PHI için uygun olmadıkları anlamına gelir.

Önemli Not: Slaytlarınız PHI'ya temas ediyorsa, kısa liste Microsoft 365 Copilot, Google Gemini for Workspace (BAA imzalanmış) ve Canva Enterprise'dır (talep üzerine BAA). Diğer her şey bir uyumluluk riskidir.

GDPR: Veri İşleme ve Veri Yerleşimi

GDPR, AB veya Birleşik Krallık veri öznelerinin kişisel verilerini her işlediğinizde geçerlidir. Bir sunum aracı için bu, yüklediğiniz slayt içeriğini (kişisel veri içeriyorsa), sunumu kimin oluşturduğuna dair meta verileri ve aracın nasıl kullanıldığına dair telemetri verilerini içerir.

Bir tedarikçi için GDPR uyumluluğunun, alıcıların sıklıkla birbirine karıştırdığı iki ayrı katmanı vardır:

1. GDPR uyumlu bir Veri İşleme Eki (DPA). Bu, siz (veri sorumlusu) ile tedarikçi (veri işleyici) arasındaki yasal sözleşmedir. Uluslararası aktarımlar için Standart Sözleşme Hükümleri (SCC'ler), bir alt işleyici listesi, işleme faaliyetlerinin kaydı ve teknik ve organizasyonel önlemleri (TOM'lar) içermelidir. Çoğu kurumsal SaaS tedarikçisi bir DPA yayınlar.

2. AB veri yerleşimi. Bu, verinin depolama veya işleme için hiçbir zaman AB altyapısını terk etmeyeceğine dair teknik bir taahhüttür. Çok az sayıda AI sunum tedarikçisi bunu sunar, çünkü altta yatan LLM'ler genellikle ABD'de barındırılır.

Bir tedarikçi, SCC'leri içeren mükemmel bir DPA'ya sahip olabilir ve yine de verilerinizi Amerika Birleşik Devletleri'nde işleyebilir. SCC'ler ve tamamlayıcı önlemler mevcut olduğunda bu aktarım GDPR kapsamında yasaldır — ancak kamu sektörü alıcıları, Schrems II'ye duyarlı sektörler veya yalnızca AB içi işleme gerektiren dahili politikalara sahip kuruluşlar için eleme nedeni olabilir.

Gerçek AB Veri Yerleşimi Seçenekleri Sunan Araçlar

Microsoft 365 Copilot bir AB Veri Sınırı hizmetidir. Bekleyen müşteri verileri AB Veri Sınırı içinde kalmaya devam eder. Ancak Microsoft, 17 Nisan 2026 tarihinden itibaren geçerli olmak üzere tüm AB/EFTA kiracıları için "Flex Routing" özelliğini etkinleştirdi; bu, Copilot LLM çıkarımının yoğun talep sırasında AB Veri Sınırı dışında gerçekleşmesine izin verir. Bekleyen veriler AB'de kalır; gerçek zamanlı çıkarım kalmayabilir. Katı AB içi işleme ihtiyacı olan kuruluşlar Flex Routing'i açıkça devre dışı bırakmalıdır. Ek olarak, Microsoft üzerinden yönlendirilen Anthropic modelleri AB Veri Sınırı kapsamı dışındadır.

Google Gemini for Workspace, Business Plus ve üzeri Workspace müşterileri için veri bölgelerini destekleyerek kapsanan verilerin AB bölgesinde depolanmasına olanak tanır. Gerçek zamanlı Gemini çıkarım davranışı, bölgeniz için güncel Google Workspace HIPAA/DPA belgelerine göre doğrulanmalıdır.

Diğer tüm büyük AI sunum araçları, Nisan 2026 itibarıyla varsayılan olarak verileri Amerika Birleşik Devletleri'nde işler ve depolar. Buna Gamma, Beautiful.ai, Canva (aktarımlar için SCC'lerle ABD'de depolanan veriler), Plus AI ve Tome dahildir.

Araca Göre Uyumluluk Matrisi

"Kamuya açıklanmamış", satıcının Nisan 2026 araştırmamız itibarıyla o spesifik kontrole yazılı olarak kamuya açık bir taahhütte bulunmadığı anlamına gelir. Bir açıklamanın olmamasını ne uyumluluk ne de uyumsuzluk olarak değerlendirmeyin — bu, tedarik sürecinde sorulması gereken bir sorudur.

Sağlık Sektörü (ABD) için: Gerçekten Ne Kullanmalısınız?

Önerilen Araçlar

PHI'nin (Korumalı Sağlık Bilgisi) bir slayta, AI istemine veya veriye bağlı bir görsele plausibly şekilde girebileceği herhangi bir iş akışı için:

1. Microsoft 365 Copilot (Enterprise E3/E5 ve Copilot lisansı ile). BAA destekli PowerPoint oluşturma, Teams entegrasyonu ve tenant düzeyinde kontroller ile en olgun seçenek. Müşteri verileri temel modelleri eğitmek için kullanılmaz.

2. Google Workspace Business/Enterprise ve Gemini ile. Eylül 2025 itibarıyla HIPAA uyumlu. Gemini ile Google Slides "Bana oluşturmada yardım et" ve yan panel özellikleri, BAA imzalandığında HIPAA BAA kapsamında korunur. Yönetici Konsolunda açık BAA kabulü gerektirir.

3. Canva Enterprise ve imzalı BAA ile. BAA imzalanmış ve yapılandırma enterprise seviyesinde kilitlenmişse, pazarlama ve hasta eğitim materyalleri için uygulanabilir. Klinik sunumlar veya operasyonel dashboard'lar için önerilmez.

İş Akışı Uyarıları

• Mümkün olan yerlerde kimlik bilgilerini kaldırın. HIPAA Safe Harbor kimlik kaldırma (45 CFR §164.514(b)(2)) HIPAA'yı denklemden tamamen çıkarır. Slaytınız toplu sayılar veya kimliği kaldırılmış vaka örnekleri gösterebiliyorsa, bu daha düşük riskli yoldur.
• Tenant düzeyinde eğitim opt-out ayarlarını yapılandırın. BAA olsa bile, tenant verilerinde herhangi bir fine-tuning veya kişiselleştirmeyi önleyen yönetici konsolu ayarlarını doğrulayın.
• Çalışanların tüketici AI araçlarını kullanımını denetleyin. 2024–2025'te #1 HIPAA ihlali vektörü, klinisyenlerin özetlemek için tüketici ChatGPT veya Gemini'sine notları yapıştırmasıydı. BAA'lı kurumsal araçlar dağıtın ve tüketici sürümlerini güvenlik duvarında engelleyin.
• Loglama'yı doğrulayın. HIPAA §164.312(b) denetim kontrolleri gerektirir. Tenant'ınızın AI etkileşimlerini uyumluluk programınızın gerektirdiği seviyede kaydettiğini onaylayın.

Spesifik olarak klinik ve operasyonel sunum iş akışları için, Sağlık ve tıbbi slaytlar için AI sunumlar konulu yardımcı makalemize bakın.

AB / GDPR İçin: Dağıtım Seçenekleri

AB kuruluşları kademeli bir karar ağacıyla karşı karşıya:

Yalnızca AB'de İşleme Gerekiyorsa (En Katı Kriter)

• Flex Routing devre dışı Microsoft 365 Copilot. Bu, ölçekte AB'ye özel en yakın AI sunum seçeneğidir. Microsoft 365 yönetim merkezinde Nisan 2026 son tarihine kadar Flex Routing'i açıkça devre dışı bırakmalı ve yoğun talep sırasında bazı Copilot özelliklerinin düşebileceğini kabul etmelisiniz.
• AB veri bölgeli Google Workspace. Business Plus ve üzeri sürümler AB veri bölgesi yapılandırmasına izin verir. Kullandığınız belirli Gemini özelliklerinin bölgeniz kapsamında olduğunu doğrulayın.
• Kendi barındırmalı veya AB-yerel alternatifler. En yüksek güvence gerektiren durumlar için (örn. Avrupa kamu sektörü), AB'de barındırılan üretim hattları veya şirket içi PowerPoint üretimini düşünün. 2Slides, yapılandırılabilir veri işleme bölgeleriyle kurumsal dağıtımlar sunar.

SCC'li DPA Gerekiyorsa (Çoğu Kurumsal Durum)

Hemen hemen tüm büyük AI sunum sağlayıcıları — Gamma, Beautiful.ai, Canva, Plus AI, Pitch — SCC'lerle GDPR uyumlu DPA yayınlar. Yasal olarak, transfer etki değerlendirmesi (TIA) destekliyorsa bu çoğu GDPR yükümlülüğü için yeterlidir. Sağlayıcının alt işlemci listesini, varsayılan saklama sürelerini ve AB-ABD Veri Gizliliği Çerçevesi durumunu inceleyin ve TIA'nızı belgeleyin.

Risk İştahınız Güvencelerle ABD İşlemesine İzin Veriyorsa

Yayınlanmış DPA'sı olan büyük araçlardan herhangi biri işe yarar. Pratik risk itibar kaybıdır (ABD merkezli bir işlemci, uyumluluk denetimlerini daha karmaşık hale getirir) ve tekniktir (alt işlemciler değişebilir, tedarik zincirleri opaktır). Alt işlemci değişiklik bildirimlerini izleyin ve acil durum planları oluşturun.

Çıkarım: GDPR uyumluluğu ikili değil, bir spektrumdur. Doğru araç, kuruluşunuzun AB mukimiyeti gerektirmesine, SCC'lerle ABD transferlerini kabul etmesine veya daha katı egemenlik gereksinimlerine sahip olmasına (örn. Alman BSI, Fransız SecNumCloud veya AB Schrems II tamamlayıcı önlemleri) bağlıdır.

Hukuk ve Finans Hizmetleri İçin: İlgili Düzenlemeler

Hukuk (ABD ve Birleşik Krallık)

Müvekkil verilerini işleyen hukuk büroları, avukat-müvekkil gizlilik ayrıcalığı yükümlülükleri ve eyalet baro etiği kurallarıyla (ABD'de gizlilik konusunda ABA Model Kural 1.6) karşı karşıyadır. Bunlar SOC 2 anlamında "uyumluluk çerçeveleri" değildir, ancak aynı kontrolleri etkin bir şekilde gerektirir: müvekkil verileri üzerinde eğitim yapılmaması, kiracı izolasyonu, denetim günlükleri ve tedarikçi sözleşmesinde gizlilik maddeleri. Microsoft 365 Copilot ve Google Gemini for Workspace ana akım güvenli seçeneklerdir. Dava ve müvekkile yönelik sunumlar için hukuk ekipleri için AI sunumlar: vaka özetleri ve müvekkil teklifleri rehberimize bakın.

Finans Hizmetleri

GLBA (Gramm-Leach-Bliley Yasası) ABD finans kurumlarındaki kamuya açık olmayan kişisel bilgileri (NPI) düzenler. FINRA kuralları broker-bayi iletişimleri için geçerlidir. SOX halka açık şirket mali raporlamalarını etkiler. PCI-DSS kart sahibi verilerini kapsar.

Bu düzenlemelerin hiçbiri doğrudan HIPAA'nın BAA modeline denk gelmez, ancak hepsi benzer kontroller gerektirir: veri işleme anlaşmaları, alt işlemci şeffaflığı, saklama sınırları ve denetim izleri. Microsoft 365 Copilot, ABD hükümeti müşterileri için FedRAMP High yetkisine sahiptir ve bu finans hizmetleri titizliği için güçlü bir vekil göstergedir. Google Workspace da FedRAMP High'a sahiptir.

Eğitim (FERPA)

FERPA, federal finansman alan ABD okullarındaki öğrenci eğitim kayıtlarını düzenler. HIPAA'dan farklı olarak FERPA bir BAA mekanizması kullanmaz; "okul yetkilisi" istisnasını ve tedarikçiyle yazılı bir anlaşma kullanır. Microsoft ve Google, eğitim SKU'ları için FERPA'ya özgü koşullar yayınlamaktadır. Araç seçiminde FERPA'yı HIPAA'ya benzer şekilde ele alın — uygun koşullarla Microsoft 365 Education, Google Workspace for Education veya Canva for Education'a bağlı kalın.

Yaygın Uyumluluk Tuzakları

1. "Enterprise" ın "HIPAA uyumlu" anlamına geldiğini varsaymak. Canva Enterprise, otomatik olarak BAA kapsamına girmez — bunu talep etmeniz gerekir. Beautiful.ai, Gamma ve Plus AI enterprise katmanları halka açık olarak BAA sunmamaktadır. Enterprise katmanı güvenlik kontrollerini iyileştirir; otomatik olarak HIPAA sorumluluğunu ortadan kaldırmaz.

2. GDPR uyumlu DPA'yı AB veri ikametiyle karıştırmak. Her büyük SaaS sağlayıcısının bir GDPR DPA'sı vardır. Ancak sadece bir avuç sağlayıcı verileri gerçekten AB'de depolar ve işler. Spesifik soruyu sorun: "Verilerimin işlenmesi — gerçek zamanlı LLM çıkarımı dahil — tamamen AB içinde mi gerçekleşiyor?"

3. Alt işlemci yayılmasını göz ardı etmek. Bir AI sunum aracı, metin için OpenAI, mantıksal çıkarım için Anthropic, ses için ElevenLabs ve CDN için Cloudflare kullanabilir. Her biri bir alt işlemcidir, her birinin kendi veri politikaları vardır ve herhangi biri şartları değiştirebilir. Yayınlanmış alt işlemci listesini inceleyin ve değişiklik bildirimlerine abone olun.

4. Eğitim verisi varsayılanlarını unutmak. Sağlayıcının DPA'sı "müşteri verileri üzerinde eğitim yapmıyoruz" diyebilir — ancak bunun sadece temel ürün için değil, kullandığınız belirli AI özellikleri için geçerli olduğunu doğrulayın. Beautiful.ai, AI tarafından işlenen verileri 30 gün boyunca saklar; Gamma enterprise eğitim devre dışı bırakma seçeneği sunar ancak varsayılan tüketici katmanı sunmaz.

5. Kurumsal iş için tüketici AI araçlarını kullanmak. ChatGPT Free ve Google Gemini (tüketici) hiçbir zaman BAA veya kurumsal DPA tarafından kapsanmaz. Bunları güvenlik duvarında veya DLP politikası aracılığıyla engelleyin ve onaylanmış kurumsal alternatifler sağlayın.

6. Microsoft Copilot'un BAA'sının tüm Copilot ürünlerini kapsadığını varsaymak. Microsoft 365 Copilot (Word, Excel, PowerPoint'te) bir BAA'ya sahiptir. Ancak bağımsız Copilot deneyimleri, Copilot Studio ajanları ve Copilot Pro (tüketici) farklı kapsama sahiptir. Microsoft Service Trust Portal'da belirli SKU ve hizmet adını doğrulayın.

Sıkça Sorulan Sorular

ChatGPT sunum oluşturmak için HIPAA uyumlu mu?

OpenAI, ChatGPT Enterprise ve sıfır saklama uç noktasına sahip OpenAI API için BAA sunmaktadır — ChatGPT Plus veya ChatGPT Free için değil. Slayt içeriği taslağı oluşturmak için ChatGPT kullanıyorsanız, imzalanmış bir BAA ile ChatGPT Enterprise'da olmalısınız ve slaytlar HIPAA kapsamındaki bir alt araçta oluşturulmalıdır. ChatGPT Free'ye PHI yapıştırmayın.

Gemini ile Google Slides HIPAA uyumlu sayılır mı?

Evet, 30 Eylül 2025 itibariyle, Google Workspace Business veya Enterprise kullanıyorsanız ve Google'ın BAA'sını imzaladıysanız, ve Gemini özelliklerini Workspace yan paneli veya Google Slides entegrasyonu üzerinden kullanıyorsanız uyumludur. Tüketici Gemini uygulaması kapsam dışındadır.

BAA'ya sahipsem hasta verileriyle Canva Pro kullanabilir miyim?

Hayır. Canva'nın BAA'sı yalnızca Enterprise katmanında mevcuttur, Pro'da değil. Canva Pro, HIPAA'nın gerektirdiği kiracı düzeyindeki kontrollere sahip değildir ve BAA bunu kapsamaz.

SOC 2 Type II bir aracın HIPAA uyumlu olduğu anlamına mı gelir?

Hayır. SOC 2 bir güvenlik denetim çerçevesidir. HIPAA, özel sözleşme yükümlülükleri (BAA) ve özel kontroller (§164.308, §164.312) gerektirir. Bir araç SOC 2 sertifikalı olabilir ve yine de satıcı BAA imzalamıyorsa HIPAA uyumlu olmayabilir.

HIPAA uyumlu olmayan bir AI aracına yanlışlıkla PHI yüklersem ne olur?

Bu, risk değerlendirmesine bağlı olarak HIPAA §164.402 (İhlal Bildirim Kuralı) kapsamında raporlanabilir bir olaydır. Belgelenmiş bir olay müdahale süreciniz olmalıdır. HIPAA gizlilik görevlinizle ve varsa yasal danışmanınızla iletişime geçin. Pratik risk azaltma yöntemi, PHI'nın yetkilendirilmemiş AI araçlarına yapıştırılmasını önleyen DLP araçlarını dağıtmaktır.

Sonuç

AI sunum aracı pazarı, uyumluluk açısından hassas kuruluşların nihayet gerçek seçeneklere sahip olacağı kadar olgunlaştı — ancak kısa liste, pazarlama sayfalarının önerdiğinden çok daha dar. Nisan 2026 için HIPAA: Microsoft 365 Copilot, Google Gemini for Workspace ve Canva Enterprise (imzalı BAA ile) belgelenmiş yollara sahip tek yaygın araçlardır. Gerçek AB mukimiyeti ile GDPR için: Flex Routing devre dışı bırakılmış Microsoft 365 Copilot ve AB veri bölgeleri olan Google Workspace en net seçeneklerdir. Diğer herkes — en popüler AI deck oluşturucularından bazıları da dahil olmak üzere — verileri SCC'ler altında ABD'de işliyor, bu yasal ancak egemenlikle aynı şey değil.

Uyumluluk alıcısının görevi kesin sorular sormaktır. "HIPAA'yı destekliyor musunuz?" bir pazarlama yanıtı alır. "Kullanacağımız belirli AI özelliklerini kapsayan BAA'mızı karşı imzalayacak mısınız ve Service Trust Portal kapsamında hangi hizmetler dahildir?" sözleşmesel bir yanıt alır. Aynı şey GDPR için de geçerlidir: "GDPR'yi destekliyor musunuz?" "Verilerim fiziksel olarak nerede saklanıyor ve gerçek zamanlı çıkarım nerede gerçekleşiyor?" ile aynı soru değildir. Kesin soruyu sorun, kesin yanıtı alın ve her ikisini de belgeleyin. Kurumsal düzey AI sunum araçlarının daha geniş bir görünümü için, 2026 için kurumsal AI sunum araçları karşılaştırmamıza bakın.

Uyumluluğa duyarlı dağıtımlar için — eğitim yapmama taahhütleri ve veri mukimiyeti seçenekleri ile kurumsal katmanımız hakkında 2Slides ile iletişime geçin.

---

Kaynaklar:

• Microsoft 365 Copilot HIPAA/BAA kapsamı — Microsoft Learn
• Microsoft Copilot for Security HIPAA BAA duyurusu — Microsoft Tech Community
• Microsoft 365 Copilot AB Veri Sınırı & Flex Routing — Office365 IT Pros
• Google Workspace HIPAA Dahil Edilen İşlevsellik (Gemini) — Google
• Google Workspace HIPAA Uyumlu mu? — HIPAA Journal
• Canva Veri İşleme Eki
• Canva Güven Merkezi — Gizlilik
• Canva HIPAA analizi — Paubox
• Gamma Veri İşleme Eki
• Beautiful.ai Güvenlik & Gizlilik
• Microsoft Ülke İçi Veri İşleme Duyurusu (Kasım 2025)