Egemen Yapay Zeka (Sovereign AI) Nedir? Cohere Yatırımı ve Şirketler İçin Kurum İçi Mimari Rehberi

Egemen Yapay Zeka (Sovereign AI), bir kurumun yapay zeka sistemlerini, verilerini ve modellerini kendi denetiminde ve kendi hukuk düzeninde çalıştırmasıdır. Genel internet üzerindeki çok kiracılı bir kara kutu API’yi kiralamak yerine egemen bir yapay zeka mimarisi kurduğunuzda; dış tedarikçi yarın sabah fiyatları iki katına çıkarsa, kullandığınız model sürümünü yayından kaldırsa veya sınır ötesi veri aktarımı kısıtlansa bile çekirdek iş süreçleriniz kesintisiz çalışmaya devam eder.

29 Ekim 2026’da bu mimari yaklaşım güçlü bir sermaye desteği aldı: Cohere, 35,7 milyar Kanada doları değerleme üzerinden 7 milyar Kanada dolarına kadar fon toplamayı hedefleyen Seri E yatırım turunun ilk kapanışını açıkladı. Cohere bu turu, bir Kanada teknoloji şirketinin bugüne kadarki en büyük özel finansman turu olarak tanımlıyor. 44. Hafta Kurumsal Yapay Zeka Bültenimizde işaret ettiğimiz üzere, Cohere’e kimin yatırım yaptığını ve Cohere benzeri ticari platformlar ile açık ağırlıklı kurum içi (on-premise) yığınlar arasındaki farkı anlamak, 2027 altyapısını planlayan CIO, CISO ve baş mimarlar için net bir yol haritası sunuyor.

Bilgilendirme: Cohere ile ilgili finansal büyüklükler ve müşteri büyüme verileri, şirketin 29 Ekim 2026 tarihli resmi basın bültenine ve blog yazısına dayanan üretici beyanlarıdır. KVKK, GDPR ve BDDK ile ilgili bölümler teknik mimari tasarım prensiplerini açıklar; hukuki uyumluluk sertifikasyonu veya hukuk danışmanlığı yerine geçmez. RuneLab’ın kendi kurum içi ürünlerine yapılan atıflar açıkça belirtilmiştir.

• Cohere’in 7 milyar CAD hedefli turunun arkasındaki sinyal: Avrupa’nın sanayi ve perakende devi Schwarz Group’un (STACKIT bulutu) ve Kanada Hükümeti’nin neden Aleph Alpha birleşmesiyle birlikte özel kurulumlu kurumsal AI’a yatırım yaptığı.
• Egemen yapay zekanın 4 temel bileşeni: Veri yerleşimi, donanım özerkliği, operasyonel yönetişim ve model taşınabilirliği; zero data retention (ZDR) bulut sözleşmelerinin neden tek başına yetmediği.
• Ticari egemen platformlar mı, açık ağırlıklı kurum içi yığınlar mı: Şirketlerde Cohere benzeri çözümlerin nerede kullanıldığı, Türkiye’deki kurumlarda fiziksel kurum içi açık modellerin ne zaman öne çıktığı ve üç şeritli hibrit yönlendirme mimarisi.

Cohere’in 29 Ekim tarihli basın bültenine ve Who Gets to Build the Frontier for AI yazısına göre 35,7 milyar Kanada doları değerlemeli ilk kapanışa tüketici odaklı bir Silikon Vadisi fonu değil; Lidl, Kaufland ve Avrupa egemen bulut sağlayıcısı STACKIT’in (Schwarz Digits) çatı grubu olan Schwarz Group şirketleri liderlik etti. Tura Kanada Hükümeti, Bell Ventures, Bullhound Capital, Inovia Capital, NVIDIA ve Prosperity7 Ventures katıldı.

Duyurunun satır aralarındaki iki stratejik hamle, kurumsal pazarın nereye evrildiğini açıkça gösteriyor:

• Avrupa egemen bulut ve model konsolidasyonu: Yatırım, Cohere’in Alman egemen AI girişimi Aleph Alpha ile daha önce imzaladığı birleşme anlaşmasının üzerine geliyor. Birleşme henüz tamamlanmadı: Cohere bu adımı önümüzdeki on iki ayın hedefleri arasında sayıyor. Schwarz Digits ise bu yetenekleri egemen STACKIT bulutuna yerleştirmeyi hedeflediğini söylüyor. Bu yön; veri merkezi, temel dil modelleri ve ajan çalışma alanını Avrupa yargı yetkisi içinde tek pakette sunmaya işaret ediyor.
• Ham API’den özel kurulumlu ajan çalışma alanlarına geçiş: Cohere, anahtar teslim kurumsal ajan ve arama platformu North’un devreye alınmasının ardından 2026 üçüncü çeyreğini yıllık bazda %165 yinelenen gelir (ARR) büyümesiyle kapattığını, küresel müşteri tabanının da son bir yılda 20 katına çıkarak 300 müşteriye ulaştığını bildirdi (üretici beyanı; 300 rakamı North kurulumlarını değil toplam müşteriyi gösteriyor). Şirketler artık yalnızca ham sohbet API’si değil; kendi özel bulutlarında (VPC) veya veri merkezlerinde çalışan, dosya yetkilerini koruyan kurumsal bilgi ve otomasyon platformları talep ediyor.

Finans, telekomünikasyon, sigorta, enerji ve üretim sektörlerindeki mimari çalıştaylarda “egemen yapay zeka” kavramının bazen yalnızca sunucu satın almakla eş tutulduğunu görüyoruz. Gerçekte canlı ortama hazır bir egemen yapay zeka mimarisi dört katmanın birlikte çalışmasını gerektirir:

1. Veri Yerleşimi ve Onaysız Dış Çıkışın Kapatılması: Ham prompt’lar, yüklenen sözleşmeler, veritabanı satırları, fine-tuning (ince ayar) veri setleri ve embedding’ler (vektör temsilleri) onaylı ağ sınırının içinde kalır. Yoğun vektör gömmelerinden kaynak metnin kısmen geri üretilebileceği (embedding inversion) unutulmamalıdır; PDF dosyasını içeride tutup vektörlerini yurt dışındaki bir SaaS vektör veritabanına göndermek veri yerleşimini bozar.
2. Çıkarım ve Çalışma Zamanı Özerkliği: Kurum, çıkarım motorunu (vLLM, SGLang, şirket içi Kubernetes veya tahsisli sunucular) ve sabitlenmiş model ağırlık sürümünü kendisi kontrol eder. Hiçbir dış sağlayıcı salı gecesi sessizce model ağırlığını güncelleyip çarşamba sabahı onaylı mevzuat çıkarım şablonlarınızı bozamaz.
3. Operasyonel Yönetişim (RBAC, PII Maskeleme ve Denetim İzi): RAG araması kaynak sistemdeki dosya yetkilerini korur (SharePoint’te yönetim kurulu klasörüne erişimi olmayan bir uzman, yapay zekaya soru sorarak o belgeden özet alamaz), dış servise çıkacak çağrılarda kişisel veriler maskelenir ve kimin hangi kaynak pasajla hangi yanıtı aldığı değiştirilemez loglarda tutulur.
4. Model ve Tedarikçi Taşınabilirliği: İş uygulamaları tek bir üreticinin özel SDK’sına gömülmek yerine standart OpenAI uyumlu kurum içi bir ağ geçidine bağlanır; gerektiğinde ticari modeller, Mistral Large 4 gibi büyük açık MoE modeller ve görev odaklı uzman modeller uygulama kodu değişmeden değiştirilebilir.

Pek çok ekip PDF arşivini şirket içi diskte tuttuğu için verinin güvende olduğunu varsayar; ancak RAG hattının yeniden sıralama (reranker) veya üretim adımında o PDF’ten kesilen en kritik paragrafları dış API’ye gönderir. Veri yerleşimi; ayrıştırıcı, embedding, vektör veritabanı, reranker ve üretici LLM adımlarının tamamını kapsamalıdır.

Satın alma ve hukuk toplantılarında en sık sorulan soru şudur: “Küresel bulut LLM sağlayıcımız prompt’larımızı model eğitiminde kullanmayacağına dair taahhüt veriyor ve Zero Data Retention (ZDR / Sıfır Veri Saklama) ek protokolü imzalıyorsa neden yine de kurum içi veya egemen yapay zeka mimarisine ihtiyaç duyalım?” (Not: Sıfır veri saklama [ZDR] verinin sağlayıcıda saklanmamasıyla ilgilidir; eğitimde kullanmama ayrı bir taahhüttür.)

Pazarlama metni taslağı, halka açık piyasa bülteni özetleme veya genel çeviri gibi düşük riskli üretkenlik işlerinde ZDR sözleşmeli bir bulut API’si hem pratik hem ekonomiktir. Ancak dört kurumsal senaryoda çok kiracılı genel bulut API’leri yetersiz kalır:

• Sektörel dış hizmet ve sınır ötesi veri kuralları (BDDK, KVKK, Savunma, Kamu): Bankacılık, ödeme kuruluşları, sigorta ve savunma projelerinde birincil müşteri verilerinin, hesap hareketlerinin veya ticari sır niteliğindeki kaynak kodların yurt dışındaki çok kiracılı sunuculara anlık işleme için dahi çıkarılması BDDK ve KVKK değerlendirmesi gerektirir. Verinin kurum ağından çıkmadığı bir mimari, KVKK ve BDDK değerlendirmelerini sınır ötesi bulut aktarımını savunmaya kıyasla çok daha sadeleştirir.
• İç veritabanları ve ERP/CRM sistemleriyle yüksek frekanslı entegrasyon: Yapay zeka ajanı canlı operasyonel tablolar üzerinde doğal dilden SQL çalıştırıyor veya saatte binlerce iç sözleşmeyi tarıyorsa, tablo şemalarını ve sorgu sonuçlarını dış internete açmak hem sızıntı yüzeyini hem ağ gecikmesini büyütür.
• Onaylanmış süreçlerde model sürümü dondurma (version pinning) zorunluluğu: İç denetim, sigorta hasar değerlendirme veya kredi tahsis destek akışlarında doğruluk testinden geçen model ağırlığının 12–24 ay boyunca birebir aynı kalması istenir; genel bulut API’leri ise eski model snapshot’larını (anlık kopyalarını) birkaç ay içinde kullanımdan kaldırır.
• Yüksek hacimde döviz endeksli birim maliyet kontrolü: Binlerce çalışanın veya otomatik doküman/çağrı kuyruklarının günde yüz milyonlarca token tükettiği ölçekte token başı döviz faturası doğrusal büyümeye devam ederken, kurum içi sabit GPU kapasitesi hızla amorti edilir.

Genel SaaS uç noktalarının hassas iş yüklerine yetmediği noktada şirketlerin önünde iki ana mimari seçenek belirir: ticari egemen AI platformları (Cohere Command + Embed/Rerank + North ailesinin şirketin özel VPC’sinde lisanslanması; Schwarz Digits bu yetenekleri kendi STACKIT bulutuna taşımayı hedefliyor) ile açık ağırlıklı kurum içi (on-premise) yığınlar.

Somutlaştırmak gerekirse, şirketler Cohere gibi ticari platformları çoğunlukla küresel bir BT organizasyonunun kendi açık model yaşam döngüsünü yönetmek istemediği, AWS/Azure özel VPC’si üzerinde tek bir ticari üretici SLA sözleşmesiyle hazır çok dilli arama ve ajan arayüzü (North) satın almak istediği senaryolarda tercih eder.

Türkiye’de faaliyet gösteren regüle kurumlarda ise Frankfurt veya Toronto’daki bir bölgesel bulut dahi mevzuat açısından yurt dışı veri aktarımı sayıldığı (ve yıllık yabancı para cinsinden kapalı model/VPC taban lisansları donanım maliyetini hızla aştığı) için fiziksel kurum içi açık ağırlık mimarisi çok daha güçlü bir karşılık bulur. Şirketin kendi veri merkezine kurulan RuneBox GPU altyapısı üzerinde kaynak gösteren RuneDesk bilgi asistanını ve Apache 2.0 lisanslı Kenning Turkish Legal, Hati Glint SQL ile Vor-LateEmbed-TR-0.6B-v1 gibi Türkçe uzman modelleri çalıştırmak hem veriyi ülke ve kurum içinde tutar hem de model mülkiyetini şirkete bırakır.

Kurumlarla yürüttüğümüz saha ve eğitim çalışmalarında gördüğümüz en sağlıklı mimari, tüm şirket trafiğini tek bir uç noktaya hapsetmek yerine RuneGate gibi merkezi bir politika ağ geçidi üzerinden üç veri şeridine ayırmaktır:

• Kırmızı Şerit (Gizli Müşteri Verisi, Çekirdek Finans, Hukuk, Kaynak Kod, Çağrı Sesi): %100 kurum içi GPU sunucularına (RuneBox) yönlendirilir. Doküman soru-cevap için RuneDesk, ses için RuneVoice veya Nemotron 3.5 Transcribe ve yerel LLM servisleri çalışır; dış ağ çıkışı güvenlik duvarında kapalıdır.
• Sarı Şerit (Arızi Kişisel Veri İçerebilen İç İş Süreçleri): Varsayılan olarak kurum içinde işlenir; dış model kapasitesi gerektiğinde ise RuneGate üzerindeki RuneGuard katmanı isim, T.C. Kimlik numarası, IBAN ve tutarları yerel yer tutucularla maskeledikten sonra onaylı kurumsal servise iletir.
• Yeşil Şerit (Açık Pazar Araştırması, Genel Çeviri, Sentetik Testler): Departman bütçe tavanları altında en uygun fiyat/performanslı bulut API’lerine (havuzlanmış ChatGPT Business API kredileri dahil) yönlendirilir.

Egemen yapay zeka bulut servislerini boykot etmek değildir; binanızdan hangi istemin çıkıp hangisinin çıkamayacağını ağ ve kriptografi kesinliğiyle bilmek ve dış fiber kabloyu çektiğinizde dahi kritik operasyonlarınızın ayakta kalmasını sağlamaktır.

1. İlk 15 yapay zeka senaryonuzu Kırmızı, Sarı ve Yeşil veri şeritlerine sınıflandırın: Hukuk/KVKK, Bilgi Güvenliği ve Mühendislik liderlerini yapılandırılmış bir 360° Yapay Zeka Hazırlık Analizi (AI Readiness) çalışmasında bir araya getirin (metodoloji detayları için Kurumsal Yapay Zeka Danışmanlığı Rehberimize bakabilirsiniz).
2. Önce kurum içi LLM yönlendirme ağ geçidini devreye alın: Ekiplerin uygulama koduna doğrudan dış API adresi gömmesini durdurun; tüm trafiği ilk haftadan itibaren loglama, bütçe kontrolü ve model değiştirme esnekliği sunan iç ağ geçidinden geçirin.
3. Tek bir Kırmızı Şerit iş akışı için 1–2 GPU’luk odaklanmış kurum içi pilot kurun: Sözleşme/mevzuat RAG asistanı veya Türkçe çağrı analitiği gibi yüksek değerli tek bir süreci seçip gerçek kurum belgeleriyle gecikme, kaynak doğruluğu ve birim maliyeti kanıtlayın.
4. İç operasyon yetkinliğini kalıcı hale getirin: Altyapı ve yazılım ekiplerinizi Local LLM ve On-Premise AI Eğitimi, karar vericilerinizi ise Yöneticiler İçin Yapay Zeka programlarıyla yetiştirerek (Kurumsal Yapay Zeka Eğitimi Rehberi ve Kurumsal Yapay Zeka Danışmanlığı Rehberi yazılarımıza bakın) egemen mimarinin sahipliğini kurum içinde tutun.

Yönetim kurulu sunumlarında “egemen yapay zeka” kavramı soyut görünebilir; ta ki başarılı bir genel bulut prototipi canlıya geçiş haftasında Hukuk, Risk Yönetimi veya Bilgi Güvenliği komitesinden dönene kadar. Sahada tekrar eden üç kurumsal senaryo, standart bulut API’lerinin nerede yetmediğini ve egemen mimarinin canlı kullanıma nasıl geçtiğini net biçimde gösterir.

Bir banka veya sigorta şirketi; ticari kredi teklif dosyalarını, ekspertiz raporlarını veya sağlık/kasko hasar itirazlarını özetleyen bir yapay zeka asistanı kurduğunda, yurt dışı genel bulut API’lerindeki sıfır veri saklama (ZDR) maddesi tek başına iç kontrol ve BDDK dış hizmet değerlendirmelerini karşılamaya yetmez.

İç denetim ekiplerinin sorusu çok somuttur: Altı ay önce onaylanan bir kredi veya tazminat özetinin hangi sabit model ağırlık sürümüyle, hangi doküman indeks anlık görüntüsüyle ve hangi kullanıcı yetki kontrolüyle üretildiğini kendi loglarımızdan kanıtlayabiliyor muyuz?

Kurumlar bu ihtiyacı Avrupa’da Cohere’in öne çıkardığı ve Schwarz Digits’in kendi STACKIT bulutuna taşımayı hedeflediği tahsisli özel bulut (private VPC) anlaşmalarıyla veya Türkiye’deki veri merkezlerinde doğrudan RuneBox ve RuneDesk üzerinde çalışan açık ağırlıklı kurum içi mimarilerle çözer; böylece ağırlıklar, vektör indeksleri ve değiştirilemez denetim kayıtları kurum ağından hiç çıkmaz.

Pek çok yönetici veri egemenliğinin yalnızca KVKK kapsamındaki kişisel verilerle ilgili olduğunu düşünür. Oysa üretim, savunma, kimya ve dayanıklı tüketim sektörlerinde asıl kritik varlık kişisel veri içermeyen ticari sırlardır: tedarikçi birim maliyet kırılımları, alaşım ve reçete oranları, garanti arıza istatistikleri ve CAD toleransları.

Satın alma analistleri veya kalite mühendisleri bu tabloları denetimsiz tarayıcı sohbet sekmelerine yapıştırdığında şirketin kâr marjı yapısı kurum kontrolü dışındaki ağlara taşınır.

Ekiplere kurum ağında çalışan ve ERP tablolarına Hati Glint SQL gibi uzman Türkçe yerel SQL modelleriyle bağlanan güvenli bir çalışma alanı sunmak hem gölge yapay zeka sızıntısını keser hem de tedarikçi fiyat sapma analizini günlerden dakikalara indirir.

Perakende, enerji, lojistik ve finans iştiraklerini aynı çatı altında barındıran holdinglerde veri egemenliğinin bir de grup içi boyutu vardır: ortak veri merkezindeki GPU kümesi paylaşılsa bile A iştirakinin İK ve hukuk sözleşmeleri B iştirakinin kullanıcılarına mantıksal ve kriptografik olarak tamamen kapalı kalmalıdır.

Kurumsal egemen yapay zeka yığını; doküman yükleme, vektör arama isim alanları (namespaces) ve ağ geçidi anahtarlarında Active Directory / SSO grup yetkilerini pasaj düzeyine kadar zorunlu tutar.

Bu izole kurum içi çekirdeği açık veri araştırmaları için RuneGate maskeleme katmanıyla birleştiren gruplar, tek bir merkezi GPU yatırımıyla tüm iştiraklerin mevzuat sınırlarını koruyarak büyüdükçe verimli çalışır.

Kurumsal bağlamda egemen yapay zeka, bir kurumun yapay zeka sistemlerindeki veri yerleşimini (prompt’lar, dokümanlar ve vektör indeksleri), çıkarım donanımını, erişim ve denetim politikalarını (RBAC, kişisel veri maskeleme, loglama) ve model taşınabilirliğini dış bir bulut sağlayıcısına bağımlı kalmadan kendi kontrol sınırları içinde yönetebilmesidir.

Cohere, 29 Ekim 2026 tarihli resmi duyurusunda 35,7 milyar Kanada doları değerleme üzerinden 7 milyar Kanada dolarına kadar fon toplamayı hedefleyen Seri E turunun ilk kapanışını açıkladı. Tur, Schwarz Group şirketleri liderliğinde Kanada Hükümeti, Bell Ventures, Bullhound Capital, Inovia Capital, NVIDIA ve Prosperity7 Ventures katılımıyla gerçekleşti. Bu adım, Cohere’in Aleph Alpha ile daha önce imzaladığı ve henüz tamamlanmayan birleşme anlaşmasının ardından geldi; Schwarz Digits de bu yetenekleri STACKIT bulutuna yerleştirmeyi hedeflediğini açıkladı.

Çoğu regüle senaryoda tek başına yeterli olmaz. Sıfır veri saklama (ZDR) verinin sağlayıcıda saklanmamasıyla ilgilidir; eğitimde kullanmama ise ayrı bir taahhüttür. Her iki güvence olsa bile prompt’ların yurt dışındaki çok kiracılı sunuculara iletilmesi, modelin habersiz sürüm değiştirmesi, dış ağ kesintisi riski veya BDDK ve savunma sanayii gibi alanlardaki fiziksel veri yerleşimi beklentileri ortadan kalkmaz.

Hayır. En başarılı kurumsal mimari hibrit yönlendirmedir: gizli müşteri kayıtları, finansal tablolar ve kaynak kodlar verinin kurum ağından çıkmadığı kurum içi sunucularda işlenirken; açık veri araştırmaları veya anonimleştirilmiş görevler kişisel veri maskeleme ağ geçidi üzerinden genel bulut API’lerine yönlendirilebilir.