Kurumsal Hukuk Yazılımı Seçerken Nelere Dikkat Edilmeli?

Gökçen Beyazoğlu LL.B.

Avukat, Chief Product Officer · Attornaid

Copy Link

Kısa cevap: Kurumsal hukuk yazılımı seçimi bir özellik karşılaştırması değil, bir risk ve süreklilik kararıdır. Belirleyici olan altı başlık şudur: verinin nerede ve nasıl saklandığı, KVKK uyumu, UYAP entegrasyonunun gerçek kapsamı, rol bazlı yetkilendirme ve denetim izi, veri taşınabilirliği, ve yapay zeka çıktısının doğrulanabilirliği. Aşağıdaki 12 kriter bu başlıkları puanlanabilir hale getirir.

Hukuk yazılımı seçimi çoğu zaman demo ekranlarında verilen bir karara dönüşür. Oysa bir hukuk birimi bu kararla yalnızca bir araç değil, müvekkil verisinin saklandığı yeri, ekip içi erişim düzenini ve ileride bu veriyi taşıyabilme hakkını da seçmiş olur. Bu üçü sonradan değiştirilmesi en pahalı kalemlerdir.

Aşağıdaki çerçeve değerlendirmeyi altı başlık ve on iki kritere ayırır. Her kriterin altında, sağlayıcıdan gelen yanıtın nasıl okunacağına dair bir not bulacaksınız; yazının sonunda ise tüm soruların listesi ve bir puanlama tablosu yer alıyor.

Değerlendirme çerçevesi: 6 başlık, 12 kriter

Veri güvenliği ve KVKK uyumu

1. Verinin fiziksel olarak nerede tutulduğu. Sağlayıcıdan sunucu lokasyonunu yazılı olarak isteyin. 6698 sayılı KVKK m.9 yurt dışına aktarımı şarta bağlar; 2024 değişikliğiyle standart sözleşme ve bağlayıcı şirket kuralları gibi mekanizmalar getirilmiştir. Yurt dışı saklama tek başına engel değildir, ancak dayanağın belgelenmesi gerekir.

Yanıtı nasıl okumalı: Net bir ülke adı ve aktarım dayanağı geliyorsa iyi. "Bulutta, güvenli sunucularda" gibi lokasyon belirtmeyen yanıt, sağlayıcının kendi altyapısına hâkim olmadığını veya alt işleyici zincirini bilmediğini gösterir.

2. Şifreleme ve erişim kayıtları. Verinin hem aktarım sırasında hem de disk üzerinde şifrelendiğini teyit edin. Kimin hangi dosyayı ne zaman görüntülediğinin kaydı tutulmuyorsa, bir sızıntı durumunda kapsamı tespit edemezsiniz.

Yanıtı nasıl okumalı: Yalnızca "SSL kullanıyoruz" yanıtı yetersizdir; SSL sadece aktarımı korur, diskteki veriyi değil. Disk şifrelemesi ayrıca sorulmalıdır.

3. Sır saklama yükümlülüğünün devredilemezliği. Avukatlık Kanunu m.36 kapsamındaki sır saklama yükümlülüğü sağlayıcıya devredilemez; sorumluluk büroda kalır. Bu nedenle sağlayıcıyla imzalanan veri işleme sözleşmesi, alt işleyicileri ve ihlal bildirim süresini açıkça düzenlemelidir.

Yanıtı nasıl okumalı: Alt işleyici listesini sözleşme eki olarak veremeyen sağlayıcı, veri zincirinin tamamını kontrol edemiyor demektir. İhlal bildirimi için saat cinsinden bir süre taahhüdü arayın.

Mevzuat ve UYAP uyumu

4. UYAP entegrasyonunun gerçek kapsamı. Entegrasyon kelimesi sağlayıcıdan sağlayıcıya farklı anlama gelir. Dosya listesi çekmek ile evrak indirme, UDF üretimi ve tebligat takibini kapsamak arasında ciddi fark vardır. Hangi işlemin otomatik, hangisinin manuel olduğunu kalem kalem yazdırın.

Yanıtı nasıl okumalı: "UYAP entegrasyonumuz var" cümlesi tek başına bilgi taşımaz. İşlem listesi üzerinden tek tek onay alın; sözlü kapsam sözleşmede daralma eğilimindedir.

5. Mevzuat değişikliklerine uyum hızı. Parasal sınırlar, harç ve tarife kalemleri her yıl güncellenir. Sağlayıcının bu güncellemeleri ne kadar sürede yansıttığını ve bunun sözleşmede taahhüt edilip edilmediğini sorun.

Yanıtı nasıl okumalı: Geçmiş yıla ait bir örnek isteyin: en son tarife değişikliği sisteme kaç gün içinde yansımış? Örnek veremeyen sağlayıcı için bu süreç tanımlı değildir.

Yetkilendirme ve denetlenebilirlik

6. Rol bazlı yetkilendirme. Kurumsal bir birimde herkesin her dosyayı görmesi kabul edilebilir değildir. Yetkilendirmenin dosya, müvekkil ve dava türü bazında kısıtlanabildiğini test edin.

Yanıtı nasıl okumalı: Demo sırasında kısıtlı yetkili bir kullanıcı oluşturulmasını ve o hesapla giriş yapılmasını isteyin. Anlatılan yetkilendirme ile çalışan yetkilendirme sık sık ayrışır.

7. Denetim izi. Değişikliklerin kim tarafından ne zaman yapıldığını gösteren, silinemeyen bir kayıt olmalıdır. İç denetim ve olası bir uyuşmazlıkta tek dayanağınız budur.

Yanıtı nasıl okumalı: Kritik soru şudur: bu kaydı yönetici silebiliyor mu? Silinebilen denetim izi, denetim izi değildir.

Veri taşınabilirliği ve bağımlılık

8. Veri dışa aktarımı. Ayrılmak istediğinizde verinin makine tarafından okunabilir açık bir formatta ve ek ücret olmaksızın alınabildiğini teyit edin. Yalnızca PDF çıktısı veren sistem, pratikte veri taşınabilirliği sunmaz.

Yanıtı nasıl okumalı: Deneme sürecinde bir dışa aktarım talep edin ve çıkan dosyayı açın. Ekler, notlar ve ilişkilerin de geldiğini kontrol edin; çoğu dışa aktarım yalnızca ana tabloyu verir.

9. Geçiş ve veri taşıma süreci. Mevcut sisteminizden taşımanın kim tarafından, hangi sürede ve hangi bedelle yapılacağı sözleşme öncesinde netleşmelidir. Geçiş maliyeti çoğu zaman lisans bedelinden büyüktür.

Yanıtı nasıl okumalı: Teklife dahil mi, ayrı kalem mi? "Destek oluruz" ifadesi taahhüt değildir; gün ve bedel yazılı olmalıdır.

Yapay zeka yetenekleri

10. Yapay zeka çıktısının doğrulanabilirliği. Asistan bir emsal karara veya mevzuat hükmüne atıf yapıyorsa, her iddianın kaynağına tıklanabilir biçimde bağlanması gerekir. Kaynak göstermeyen sistem, uydurma karar riskini denetlenemez hale getirir.

Yanıtı nasıl okumalı: Demoda bilerek zor bir soru sorun ve gelen atıfları tek tek açın. Kaynağa gitmeyen ya da alakasız karara giden bir atıf, sistemin tamamı için uyarı işaretidir.

11. Dosya verisinin model eğitiminde kullanılması. Sözleşmede, yüklediğiniz dosyaların model eğitiminde kullanılmayacağına dair açık bir hüküm arayın. Bu hüküm yoksa, müvekkil verisinin akıbeti belirsizdir.

Yanıtı nasıl okumalı: Sözlü güvence yeterli değildir. Hükmün sözleşme metninde yer aldığını görün; alt işleyici olarak kullanılan model sağlayıcıları için de geçerli olmalıdır.

Destek ve sürdürülebilirlik

12. Destek, SLA ve sürdürülebilirlik. Yanıt süresi taahhüdü, çalışma saatleri ve kesinti durumunda işleyecek süreç yazılı olmalıdır. Ayrıca sağlayıcının kurumsal sürekliliği, uzun vadeli bir bağımlılık kurduğunuz için değerlendirme kapsamındadır.

Yanıtı nasıl okumalı: Yanıt süresi ile çözüm süresi farklıdır; ikisini ayrı ayrı sorun. Geçmiş kesintiler için bir durum sayfası (status page) tutuluyorsa şeffaflık işaretidir.

Puanlama tablosu

Her kriteri 0 ile 3 arasında puanlayın: 0 yanıt alınamadı, 1 yetersiz, 2 kabul edilebilir, 3 yazılı olarak taahhüt edildi. Puanı ağırlıkla çarpıp toplayın. Ağırlıkların toplamı 32 olduğundan ağırlıklı puan 96 üzerinden hesaplanır.

Nasıl yorumlanır: 77 ve üzeri (%80), kurumsal kullanım için yeterli olgunluk. 58-76 arası, eksiklerin sözleşmeyle kapatılması şartıyla değerlendirilebilir. 58 altı, kurumsal bir hukuk birimi için uygun değildir. Ağırlığı 3 olan bir kriterden 0 veya 1 alınması, toplam puandan bağımsız olarak tek başına eleme sebebidir.

Sağlayıcıya sorulacak 15 soru

Bu listeyi demo öncesinde gönderin. Yazılı yanıt vermeyen bir sağlayıcı, sözleşme aşamasında da taahhüt vermeyecektir.

• Verilerimiz fiziksel olarak hangi ülkede saklanıyor?
• Yurt dışına aktarım varsa hangi KVKK mekanizmasına dayanıyor?
• Alt işleyicileriniz kimler ve listesi sözleşme eki mi?
• Veri ihlali durumunda bize kaç saat içinde bildirim yapılıyor?
• Kimin hangi dosyaya eriştiğinin kaydı tutuluyor mu, bu kayıt silinebiliyor mu?
• Yetkilendirme dosya ve müvekkil bazında kısıtlanabiliyor mu?
• UYAP tarafında hangi işlemler otomatik, hangileri manuel?
• Mevzuat değişiklikleri sisteme ne kadar sürede yansıyor, bu taahhüt altında mı?
• Sözleşme sona erdiğinde verimizi hangi formatta ve hangi sürede alabiliriz?
• Dışa aktarım için ek ücret talep ediliyor mu?
• Mevcut sistemimizden geçişi kim yapıyor, süresi ve bedeli nedir?
• Yapay zeka çıktıları kaynak gösteriyor mu, kaynağa tıklanabiliyor mu?
• Yüklediğimiz dosyalar model eğitiminde kullanılıyor mu?
• Destek yanıt süresi taahhüdünüz nedir, sözleşmede yer alıyor mu?
• Planlı bakım ve beklenmeyen kesintilerde izlenen süreç nedir?

Kararınızı dayandırabileceğiniz kamu kaynakları

İş yükü, süre ve maliyet varsayımlarınızı kendi tahmininize değil, kamuya açık verilere dayandırın. Aşağıdaki kaynakların tamamı ücretsizdir ve düzenli olarak güncellenir.

Değerlendirmeye kimler katılmalı

Hukuk yazılımı kararının tek kişiye bırakılması, sonradan ortaya çıkan itirazların en yaygın sebebidir. Üç farklı bakış açısının masada olması gerekir, çünkü üçü farklı kriterlere bakar ve biri eksik kaldığında o kriter değerlendirilmemiş olur.

Günlük kullanıcı: dosyayı işleyen avukat

İş akışının gerçekten hızlanıp hızlanmadığını yalnızca bu kişi görebilir. Değerlendirmeye dahil edilmediğinde, satın alınan sistem kullanılmaz ve ekip eski yöntemine geri döner. Demo sırasında kendi güncel dosyalarından en az üçünü baştan sona işletmesini isteyin.

Veriden sorumlu kişi: KVKK irtibat kişisi veya büro yöneticisi

Saklama yeri, aktarım dayanağı, alt işleyiciler ve ihlal bildirim süresi bu kişinin sorumluluk alanıdır. Avukatlık Kanunu m.36 kapsamındaki sır saklama yükümlülüğü sağlayıcıya devredilemediği için, bu başlıktaki eksikler doğrudan büroya yansır.

Bütçe sahibi: yönetici ortak veya hukuk birimi direktörü

Lisans bedeli tek maliyet kalemi değildir. Geçiş, eğitim, paralel çalışma dönemi ve ileride ayrılma maliyeti toplam sahip olma maliyetini oluşturur. Bu kalemlerin tamamının teklifte görünmesini isteyin.

Deneme sürecini nasıl kurgulamalısınız

Demo, sağlayıcının kontrol ettiği bir gösterimdir; deneme ise sizin kontrol ettiğiniz bir testtir. İkisini karıştırmayın. Otuz günlük bir deneme için aşağıdaki kurgu, çerçevedeki kriterlerin çoğunu sahada doğrular.

• Gerçek dosya kullanın. Örnek veriyle yapılan test hiçbir şey kanıtlamaz. Anonimleştirilmiş de olsa kendi dosya yapınızı taşıyın.
• En karmaşık dosyanızı seçin. Basit dosya her sistemde çalışır. Çok taraflı, çok duruşmalı, eki bol bir dosya ayrıştırıcıdır.
• Kısıtlı yetkili bir kullanıcı oluşturun. Yetkilendirmenin anlatıldığı gibi çalıştığını yalnızca böyle görürsünüz.
• Deneme sonunda dışa aktarım talep edin. Bu, hem veri taşınabilirliğini hem de sağlayıcının bu konudaki tutumunu test eder.
• Yapay zeka çıktılarının atıflarını açın. On atıftan kaçının doğru kaynağa gittiğini sayın; bu oran sistemin güvenilirliği hakkında özellik listesinden daha çok şey söyler.
• Destek ekibine bilerek bir soru sorun. Yanıt süresi taahhüdünün pratikte karşılığı olup olmadığını deneme sırasında ölçün.

Deneme sonunda puanlama tablosunu üç katılımcının ayrı ayrı doldurması ve sonra karşılaştırılması, tek bir ortak puandan daha bilgilendiricidir. Puanların ayrıştığı kriterler, genellikle sözleşmede netleştirilmesi gereken kalemlerdir.

Senaryo: aynı soruya iki farklı yanıt

Kriterler soyut kaldığında değerlendirme yine sezgiye döner. Aşağıda dört kritik soru ve iki farklı sağlayıcıdan gelebilecek gerçekçi yanıtlar karşılaştırılıyor. Amaç doğru yanıtı ezberletmek değil, yanıtın hangi özelliğinin bilgi taşıdığını göstermek.

Soru: Verilerimiz fiziksel olarak hangi ülkede saklanıyor?

Nasıl okunur: A yanıtında bir ülke adı yok. Bu genellikle gizleme değil, bilgisizlik işaretidir: sağlayıcı kendi alt işleyici zincirine hâkim değildir. B yanıtı yalnızca lokasyonu değil, yedeğin ayrı bir ülkede olduğunu ve dayanağını da veriyor. Yedeğin nerede durduğunu sormadan sorulmuş bir lokasyon sorusu eksiktir.

Soru: UYAP tarafında hangi işlemler otomatik?

Nasıl okunur: A yanıtı hiçbir bilgi taşımıyor; "tam entegrasyon" ölçülebilir bir ifade değil. B yanıtı bir eksiği açıkça söylüyor ve bu onu daha güvenilir yapıyor. Eksiğini söyleyen sağlayıcı, söylediklerinin de doğru olma ihtimalini yükseltir. Tebligat takibinin manuel olması kabul edilebilir bir tercih olabilir; kabul edilemez olan, bunu sözleşmeden sonra öğrenmektir.

Soru: Yapay zeka çıktıları kaynak gösteriyor mu?

Nasıl okunur: "Yüksek doğruluk oranı" ölçülemeyen bir iddiadır; hangi ölçüme göre, hangi örneklemde sorusu yanıtsızdır. B yanıtında kritik olan son cümledir: kapsam dışını belirtebilen sistem, her soruya kendinden emin yanıt verenden yapısal olarak daha güvenlidir. Demoda bunu doğrudan test edin.

Soru: Sözleşme biterse verimizi nasıl alırız?

Nasıl okunur: A yanıtı biçim, süre ve ücret hakkında hiçbir şey söylemiyor; üç boşluğun üçü de sonradan pazarlık konusu olur ve pazarlık gücünüzün en düşük olduğu anda yapılır. B yanıtı biçimi, eklerin nasıl geleceğini, süreyi ve silme teyidini içeriyor. Deneme sürecinde bir dışa aktarım isteyip çıkan dosyayı açmak, bu yanıtı doğrulamanın tek yoludur.

Dört örnekte de ayırt edici olan aynı şey: yanıtın ölçülebilir olması. Ülke adı, senkronizasyon sıklığı, kapsam listesi, dosya biçimi ve gün sayısı ölçülebilir; "güvenli", "tam", "yüksek" ve "talep hâlinde" ölçülemez. Değerlendirme tablosunu doldururken ölçülemeyen her yanıtı bir puan aşağı çekin.

Sık yapılan altı hata

• Özellik listesi üzerinden karar vermek. Uzun özellik listesi, o özelliklerin sizin iş akışınızda çalıştığı anlamına gelmez. Kendi dosyalarınızdan üçünü deneme ortamında baştan sona işletin.
• Veri çıkışını sonraya bırakmak. Dışa aktarım koşulları en çok ihtiyaç duyulduğu anda, yani ayrılırken pazarlık edilemez. Girişte çözülmelidir.
• Yapay zekayı tek başına bir özellik saymak. Belirleyici olan asistanın var olması değil, çıktısının doğrulanabilir olmasıdır.
• Geçiş maliyetini hesaba katmamak. Veri taşıma, eğitim ve paralel çalışma dönemi çoğu zaman ilk yıl lisans bedelini aşar.
• Tek kullanıcı mantığıyla kurumsal ihtiyacı karşılamaya çalışmak. Yetkilendirme ve denetim izi gereksinimi ortaya çıktığında ikinci bir geçiş kaçınılmaz olur.
• Kararı tek kişiye bırakmak. Yazılımı kullanacak avukat, veriden sorumlu kişi ve bütçeyi onaylayan yönetici farklı kriterlere bakar; üçünün de değerlendirmeye katılması gerekir.

Sıkça sorulan sorular

Kurumsal hukuk yazılımı seçerken en kritik kriter nedir?

Veri güvenliği ve KVKK uyumudur. Avukatlık Kanunu m.36 uyarınca avukatın sır saklama yükümlülüğü, kullanılan yazılıma devredilemez; sorumluluk büroda kalır. Bu nedenle verinin nerede saklandığı, kimin eriştiği ve yurt dışına aktarım yapılıp yapılmadığı, diğer tüm özelliklerden önce netleştirilmelidir.

Hukuk yazılımının verilerimi yurt dışında saklaması sorun yaratır mı?

Yaratabilir. 6698 sayılı KVKK m.9 kapsamında yurt dışına kişisel veri aktarımı belirli şartlara bağlıdır ve 2024 yılındaki değişiklikle standart sözleşme ile bağlayıcı şirket kuralları gibi mekanizmalar getirilmiştir. Sağlayıcıdan verinin fiziksel olarak hangi ülkede tutulduğunu ve hangi aktarım mekanizmasına dayandığını yazılı olarak isteyin.

UYAP entegrasyonu olan her yazılım aynı mı çalışır?

Hayır. Entegrasyonun kapsamı sağlayıcıdan sağlayıcıya değişir. Bazı çözümler yalnızca dosya listesi ve duruşma tarihi çeker; bazıları evrak indirme, UDF belge üretimi ve tebligat takibini de kapsar. Sözleşme öncesinde hangi işlemlerin otomatik, hangilerinin manuel olduğunu kalem kalem sorun.

Yapay zeka özellikli hukuk yazılımlarında neye dikkat etmeliyim?

Çıktının doğrulanabilirliğine. Bir yapay zeka asistanı emsal karar veya mevzuat gösteriyorsa, her iddianın kaynağına tıklanabilir şekilde bağlanması gerekir. Kaynak göstermeyen sistem, uydurma karar riskini denetlenemez hale getirir. Ayrıca dosya verinizin model eğitiminde kullanılıp kullanılmadığını sözleşmede açıkça arayın.

Yazılımdan ayrılmak istersem verilerimi alabilir miyim?

Bu, sözleşme imzalanmadan önce netleştirilmesi gereken bir konudur. Verinin makine tarafından okunabilir açık bir formatta (CSV, JSON gibi) ve ek ücret olmaksızın dışa aktarılabildiğini teyit edin. Yalnızca PDF çıktısı veren sistemler pratikte veri taşınabilirliği sunmaz.

Küçük bir büro ile kurumsal hukuk birimi aynı yazılımı kullanabilir mi?

Genellikle hayır. Kurumsal birimlerde rol bazlı yetkilendirme, dosya bazında erişim kısıtı, denetim izi (audit log) ve raporlama ihtiyacı ortaya çıkar. Tek kullanıcı için tasarlanmış çözümler bu gereksinimleri karşılamadığından, büyüme halinde ikinci bir geçiş maliyeti doğurur.