AB Yapay Zeka Yasası: Avrupa’ya yönelik yapay zeka geliştiriyor ya da satın alıyorsanız sorulacak sorular.

“AB’de değiliz, bizi ilgilendirmez.” Bu, Türkiye’de ve Körfez ülkelerinde anlaşılır bir ilk tepkidir; bazı kullanımlar için doğru, bazıları için yanlış olabilir. AB Yapay Zeka Yasası (EU AI Act) yapay zeka kullanımlarını riske göre sınıflandırır, yapay zeka sistemi sunan şirketlere ve bu sistemleri kullanan şirketlere farklı yükümlülükler getirir ve bazı durumlarda AB sınırlarının ötesine uzanacak biçimde yazılmıştır.

Yasa’nın uzmanı olmanız gerekmez. İhtiyacınız olan iki şey var: hukuk danışmanınızla netleştireceğiniz kısa bir AB Yapay Zeka Yasası uyum soruları listesi ve bu soruları yanıtlarken dayanacağınız, yapay zeka kullanımlarınızın dürüst bir envanteri. Bu not sonuç değil, soru sunar.

Yasa AB dışındaki bir şirketi ilgilendirir mi?

İlgilendirebilir. Yasa, AB dışında kurulmuş bazı kuruluşları da kapsayacak şekilde yazılmıştır; örneğin bir yapay zeka sistemini AB’de piyasaya arz ettiklerinde ya da sistemlerinin çıktısı AB’de kullanıldığında. Bunun sizin durumunuza uyup uymadığına, her kullanım için ayrı ayrı hukuk danışmanınız karar verir. Aşağıdakilerden biri sizin için geçerliyse soruyu sorun:

• AB’deki müşterilere yapay zeka özellikleri olan yazılım ya da ürün satıyorsunuz.
• AB’deki kişiler yapay zeka sistemlerinizle etkileşime giriyor; örneğin web sitenizdeki bir sohbet asistanıyla.
• AB’de yapay zeka sistemleri kullanan bağlı şirketleriniz, şubeleriniz ya da çalışanlarınız var.
• AB’deki kurumsal müşterileriniz satın alma soru formlarında ya da sözleşmelerde Yasa’yı soruyor.

Son madde, Yasa’nın doğrudan uygulanmayabileceği durumlarda bile önemlidir; çünkü Avrupalı müşteriler kendi beklentilerini tedarik zinciri boyunca size aktarabilir.

Sağlayıcı mısınız, uygulayıcı mı, yoksa ikisi birden mi?

Yasa farklı rollere farklı yükümlülükler getirir; en sık karşılaşacağınız iki rol sağlayıcı ve uygulayıcıdır. Genel hatlarıyla sağlayıcı (provider), bir yapay zeka sistemini geliştiren ya da geliştirten ve onu kendi adıyla piyasaya arz eden veya hizmete sunan taraftır. Uygulayıcı (deployer) ise bir yapay zeka sistemini kendi yetkisi altında, mesleki bir faaliyet kapsamında kullanır. Bir şirket, satın aldığı bir aracın uygulayıcısı, kendi geliştirdiği bir sistemin de sağlayıcısı olabilir.

Her kullanım için hukuk danışmanınıza sorulacaklar:

• Bu sistemi biz mi geliştirdik, satın mı aldık, yoksa başkasının modeli üzerine mi kurduk?
• Başkalarına kendi adımız ya da markamızla sunuyor muyuz?
• Satın aldığımız bir sistemi esaslı biçimde değiştirdik mi ya da üreticisinin öngörmediği bir amaçla mı kullandık? Bu tür değişiklikler hangi rolde olduğunuzu etkileyebilir.
• Tedarikçi kendi rolü hakkında ne diyor ve bize hangi dokümantasyonu verecek?

Her kullanım senaryosu hangi risk kategorisine girer?

Yasa kullanımları kademelere ayırır: yasaklı uygulamalardan (prohibited practices) oluşan küçük bir grup; en ağır yükümlülükleri taşıyan yüksek riskli (high-risk) kullanımlar; şeffaflık yükümlülükleri (transparency obligations) bulunan kullanımlar ve Yasa’nın kendine özgü pek az şey eklediği, ama diğer mevzuatın yine de geçerli olduğu geri kalan her şey. Yüksek riskli alanlar arasında örneğin işe alım ve çalışan yönetimindeki, eğitimdeki ve krediye ya da temel hizmetlere erişimle ilgili kararlardaki bazı kullanımlar vardır. Bir kullanımın hangi kademeye girdiğine hukuk danışmanı karar verir.

Risk kategorisini teknoloji değil, kullanım belirler.

Aynı model bir iş akışında şirket içi toplantı notlarının taslağını hazırlayabilir, başka birinde iş başvurularını eleyebilir; bu iki kullanım çok farklı kademelere düşebilir. Bu yüzden araçları değil kullanımları sınıflandırın ve şunları sorun:

• Bu kullanım neye karar veriyor ya da neyi etkiliyor ve kimin hakkında?
• İstihdama, eğitime, krediye, temel hizmetlere ya da güvenliğe dokunuyor mu?
• Taslak hazırlamaktan karar vermeye geçmek gibi planlanan bir değişiklik onu başka bir kademeye taşır mı?

Kullanıcılara ne söylenmeli?

Şeffaflık, Yasa’nın değişmeyen temel fikirlerinden biridir: açıkça belli olmadığı sürece insanlar bir kişiyle değil bir yapay zeka sistemiyle muhatap olduklarını bilmelidir; yapay zekayla üretilmiş ya da değiştirilmiş bazı içerikler de bu şekilde tanınabilmelidir. Sizin kullanımlarınız için neyin geçerli olduğu hukuk danışmanının konusudur; pratik sorular ise sizindir:

• İnsanlar yapay zekayla nerede doğrudan etkileşime giriyor: sohbette, sesli görüşmede, e-posta yanıtlarında?
• Açıkça belli değilse etiket ne diyor, nerede görünüyor ve hangi dillerde?
• Yapay zekayla üretilmiş görsel, ses, video ya da metin yayımlıyor musunuz ve bunlar nasıl işaretleniyor?
• Çalışanlarınız, bir müşteri “Bir insanla mı konuşuyorum?” diye sorduğunda ne diyeceklerini biliyor mu?

Veri koruma kapsamındaki bildirimler, yani aydınlatma metinleri, bununla örtüşebilir; KVKK ve GDPR sorularımıza bakın.

Elinizdeki hangi uygulamalar işe yarar?

İyi mühendislik pratiği, hukuk danışmanının soracaklarının çoğunu zaten üretir. Bunların hiçbiri tek başına uyum anlamına gelmez; ama size güvence yerine kanıt verir:

• Yapay zeka sistemleri envanteri: sahipleri, amaçları ve kullanıcılarıyla.
• Değerlendirme setleri: kalitenin nasıl ve hangi vakalarda test edildiğini, ne sıklıkla yeniden test edildiğini gösterir.
• Onay noktaları: kanıtlar göz önündeyken bir insanın nerede gözetim yaptığını ya da karar verdiğini gösterir.
• Denetim kayıtları: girdileri, kaynakları, sürümleri, çıktıları ve onayları kaydeder; alan listesini bir denetim kaydının neleri içermesi gerektiğini anlatan notumuzda bulabilirsiniz.
• Veri akış haritaları, işletim kılavuzları ve olay kayıtları: verinin nasıl yönetildiğini ve bir şey ters gittiğinde ne olduğunu gösterir.

Bunlar, koruma önlemlerimizin parçası olarak sistemlere yerleştirdiğimiz kontrollerin aynısıdır.

Hukuk danışmanınızla birlikte neler hazırlanmalı?

Hukuk danışmanınıza “Uyumlu muyuz?” kadar geniş bir soru yerine kısa bir dosya götürün:

1. Envanter: her yapay zeka kullanımı; ne yaptığı, kimin kullandığı, kimi etkilediği ve çıktısının, AB dahil, nerede kullanıldığı.
2. Kullanım başına rolünüz: kendiniz geliştirmiş, satın almış, bir model üzerine kurmuş, kendi markanızla sunmuş ya da değiştirmiş olabilirsiniz.
3. Kullanım başına önerdiğiniz kategori: hukuk danışmanının teyit etmesi ya da düzeltmesi için gerekçesiyle birlikte.
4. Kullanıcıya dönük bildirimler: mevcut ifade ve nerede göründüğü.
5. Gözetim ve dokümantasyon: onay noktaları, değerlendirme sonuçları, kayıtlar ve tedarikçi belgeleri.
6. Bir sahip: Yasa’daki, rehberlerindeki ve yürürlük takvimindeki değişiklikleri hukuk danışmanı aracılığıyla izleyen ve bir kullanım değiştiğinde envanteri güncelleyen kişi.

Temsili bir vakaya bakalım. Türkiye merkezli bir çevrimiçi perakendeci birkaç AB ülkesine gönderim yapıyor ve bir tedarikçiden satın alıp kendi politikaları ve markasıyla yapılandırdığı bir müşteri sohbet asistanı kullanıyor. Hukuk danışmanıyla birlikte soruların üzerinden geçiyor. AB’deki müşteriler asistanı kullandığına göre Yasa bu şirketi kapsıyor mu? Şirket tedarikçinin sisteminin uygulayıcısı mı, yoksa markalama ve yapılandırma bunu değiştiriyor mu? Bir müşteri hizmetleri asistanı hangi kademeye girer ve para iadesi kararları vermeye başlarsa bu değişir mi? Sohbet penceresi ne demeli ve hangi dillerde? Perakendeci görüşmeye envanter kaydını, tedarikçi sözleşmesini, bildirim metnini, para iadeleri için onay kuralını ve bir kayıt örneğini getiriyor. Sonuçları çıkarmak hukuk danışmanının işidir; bu not hiçbir sonuç çıkarmaz.

Nereden başlamalı?

Envanteri çıkarmaya başlayın: her yapay zeka kullanımı için bir satır. Envanter hazır olduğunda hukuk danışmanınızla ilk görüşmeyi planlayın. Kurallar ve yorumları gelişmeye devam ediyor; bu yüzden böyle bir not size güncel durumu söyleyemez, bunu hukuk danışmanınız ve resmi kaynaklar söyleyebilir. Envanteri, onay noktalarını ve kayıtları oluşturmak hukuki değil, mühendislik ve operasyon işidir; yardımcı olduğumuz kısım da budur, örneğin yapay zeka stratejisi ve keşif çalışmasının parçası olarak.

Bu not genel bilgi amaçlıdır; hukuki tavsiye değildir.

Kaynaklar

1. Tüzük (AB) 2024/1689 (AB Yapay Zeka Yasası), resmi metin EUR-Lex eur-lex.europa.eu/eli/reg/2024/1689/oj