AB Yapay Zekâ Yasası: Risk seviyesini belirledikten sonra ne yapmalısınız?

💡 Özet: Ana Çıkarımlar

• Risk piramidi iyi bir başlangıç haritasıdır, karar sistemi değildir. Bir sistemin düşük, şeffaflık gerektiren, yüksek riskli veya yasaklı olup olmadığını görmek gerekir; fakat şirketin uyum sorusu burada bitmez.
• Aynı model farklı işlerde farklı sonuç doğurur. Otel bilgi chatbotu, aday sıralama aracı ve sağlık triyaj sistemi aynı yapay zekâ sağlayıcısını kullansa bile aynı hukuki ve operasyonel yükü taşımaz.
• Asıl soru risk etiketi değil, işletme haritasıdır. Sistem ne yapıyor, kimi etkiliyor, şirket zincirde hangi rolde, hangi veri gidiyor, insan gözetimi gerçekten çalışıyor mu ve başka hangi mevzuat devreye giriyor?

Bir şirket işe alım sürecinde adayları önceliklendiren bir yapay zekâ aracı satın alıyor. Tedarikçi ürünün AB Yapay Zekâ Yasası'na uygun olduğunu söylüyor. Şirket de ilk kontrolünü yapıyor ve sistemi yüksek riskli kabul ediyor.

Bu kötü bir başlangıç değil.

Fakat tek başına yeterli değil. Çünkü "yüksek riskli" etiketi yalnızca sistemin ciddiyetini gösterir. Şirketin hangi rolde olduğunu, hangi kayıtları tutacağını, adaylara ne açıklayacağını, insan kaynakları ekibinin öneriyi nasıl sorgulayacağını, tedarikçiden hangi kanıtı isteyeceğini ve GDPR gibi başka kuralların ne istediğini tek başına cevaplamaz.

AB Yapay Zekâ Yasası'nı dört risk seviyesine indirgemek pratik. İlk yazıda bu çerçeveyi özellikle bu yüzden kullandık. Bir sistemin yasaklı, yüksek riskli, şeffaflık gerektiren veya düşük riskli olabileceğini bilmeden düzenlemeyi anlamak zor.

Ama şirket kararları piramit üzerinde alınmaz. Şirket kararları ürün, veri, tedarikçi, süreç, insan gözetimi ve sorumluluk zinciri üzerinde alınır.

Bu yazının konusu, risk etiketinden sonra başlayan işletme işi.

Risk seviyesi neyi söyler?

AB Yapay Zekâ Yasası'nın güncel konsolide metni, yapay zekâ sistemlerini kullanım bağlamına göre değerlendirir. Avrupa Komisyonu da düzenlemeyi kamuya anlatırken genellikle dört risk seviyesini kullanır: kabul edilemez risk, yüksek risk, sınırlı risk ve asgari risk.

Bu sınıflandırma iki şeyi iyi yapar.

İlk olarak, yöneticinin tehlike büyüklüğünü hızlı görmesini sağlar. Bir otel chatbotu ile işe alım sıralaması aynı iş değil. Bir sağlık triyaj önerisiyle restoran önerisi de aynı iş değil. Yanlış çıktının etkisi büyüdükçe kuralın ağırlaşması makul bir ilkedir.

İkinci olarak, şirketin ilk eleme sorusunu netleştirir. Kullanım yasaklı mı? Yüksek riskli mi? Kullanıcıya yapay zekâ ile etkileştiği söylenecek mi? Sistem asgari risk alanında mı kalıyor?

Buraya kadar piramit işe yarar.

Fakat piramit çoğu zaman üçüncü soruda eksik kalır: Bu sınıflandırma bizim günlük işimizi nasıl değiştirecek?

Yüksek riskli sistemler için risk yönetimi, veri yönetişimi, teknik dokümantasyon, kayıt tutma, kullanım talimatları, insan gözetimi, doğruluk, dayanıklılık ve siber güvenlik gibi şartlar var. Bunlar hukuk departmanının birkaç doküman hazırlamasıyla bitmez. Ürün tasarımını, tedarikçi sözleşmesini, log yapısını, kullanıcı ekranlarını, eğitimleri ve olay yönetimini etkiler.

Düşük riskli görünen bir chatbotta ise AB Yapay Zekâ Yasası ağır bir yük getirmeyebilir. Buna rağmen kişisel veri üçüncü taraf modele gidiyorsa GDPR veya KVKK sorusu devam eder.

Risk seviyesi bu yüzden ilk cevap. Son cevap değil.

Aynı model, üç ayrı işletme sonucu

Bir otel, web sitesindeki chatbotta büyük bir dil modeli kullanıyor. Kullanıcı kahvaltı saatini, oda özelliklerini veya transfer bilgisini soruyor. Sistem yanlış cevap verirse müşteri deneyimi bozulabilir. Gelir kaybı veya şikâyet doğabilir. Fakat çoğu durumda sistem temel haklara veya sağlık ve güvenliğe ağır bir etki yapmaz.

Aynı model bir şirketin işe alım başvurularını sıralıyorsa tablo değişir. Sistem artık bir insanın iş fırsatına erişimini etkileyebilir. Yasa Ek III altında istihdam ve işçi yönetimi alanındaki bazı kullanımları yüksek riskli sayar. Burada "model aynı" demek anlamlı değildir. Amaç değişmiştir.

Aynı model bir sağlık turizmi şirketinin ilk görüşmesinde hastanın semptomlarını değerlendiriyor ve aciliyet önerisi veriyorsa konu daha da hassaslaşır. Bu sistem yalnızca bilgi veriyor olabilir. Fakat triyaj, teşhis, tedavi yönlendirmesi veya tıbbi cihaz niteliği taşıyan bir işlev devreye girerse hem AB Yapay Zekâ Yasası hem ürün güvenliği ve veri koruma tarafı ayrı sorular üretir. Sağlıkta chatbot, triyaj ve tıbbi cihaz arasındaki ayrımı serinin ayrı yazısında daha ayrıntılı inceliyorum.

Üç örnekte de ekranda bir sohbet penceresi görülebilir. Hukuki ve operasyonel farkı ekran değil, sistemin ne yaptığı belirler.

Benim bu seride özellikle ayırmak istediğim yer burası. Şirketler çoğu zaman "hangi modeli kullandık?" sorusuna çok fazla ağırlık veriyor. Oysa mevzuat ve işletme riski çoğu zaman "bu çıktı hangi kararı değiştirdi?" sorusunda ortaya çıkıyor.

Şirketin rolü risk etiketinden bağımsızdır

AB Yapay Zekâ Yasası, yalnız modeli geliştiren tarafı konuşmaz. Sağlayıcı, sistemi kullanan işletme, ithalatçı, dağıtıcı, ürün üreticisi ve yetkili temsilci gibi farklı roller tanımlar.

Bir şirket hazır bir sistemi kendi operasyonunda kullanıyorsa çoğu zaman sistemi kullanan işletme konumundadır. Aynı şirket başka bir ürünü kendi markasıyla müşterilerine sunuyorsa sağlayıcı rolüne yaklaşabilir.

Daha kritik olan nokta şu: Yasa, bazı durumlarda rolü değiştirebilir. Bir dağıtıcı, ithalatçı, sistemi kullanan işletme veya başka bir üçüncü taraf sistemi kendi adıyla piyasaya sunarsa, sistemde önemli değişiklik yaparsa ya da amacını yüksek riskli bir kullanıma çevirirse sağlayıcı yükümlülükleriyle karşılaşabilir.

Bu teknik bir dipnot gibi görünüyor. İşletme açısından ise doğrudan yap-satın al kararına girer.

Bir sistemi yalnız kullanmak başka şeydir. Üzerine kendi verinizi, kendi karar akışınızı, kendi kullanıcı arayüzünüzü ve kendi markanızı koyup pazara sunmak başka şeydir. Tedarikçinin uyum beyanı, sizin kurduğunuz son sistemin tamamını otomatik olarak temizlemez.

Bu yüzden ilk envanter satırı "hangi yapay zekâ sistemi var?" olmamalı. Daha iyi satır şudur: Bu sistemi hangi amaçla, hangi kullanıcıya, hangi kararın içinde, hangi rolde kullanıyoruz?

Şeffaflık yüksek riskin alternatifi değildir

Chatbotlarda en görünür yükümlülük genellikle şeffaflıktır. İnsanla doğrudan etkileşmek üzere tasarlanmış bir sistemde, durum zaten makul biçimde açık değilse kullanıcıya yapay zekâ ile konuştuğu bildirilmelidir. Deepfake, sentetik içerik, duygu tanıma ve biyometrik kategorilendirme gibi alanlarda da ayrı açıklama yükümlülükleri bulunur.

Bu bazı şirketlerde yanlış bir rahatlık yaratabilir. "Kullanıcıya yapay zekâ olduğunu söyledik, yeter" denebilir.

Yeterli olmayabilir.

Şeffaflık kuralı, kullanıcının neyle karşı karşıya olduğunu anlamasına yardım eder. Fakat sistem yüksek riskli bir kararın parçasıysa veri yönetişimi, insan gözetimi, kayıt tutma, doğruluk, olay bildirimi ve uygunluk değerlendirmesi gibi başka yükümlülükler ayrıca gündeme gelir. Sistem kişisel veri işliyorsa veri koruma kuralları ayrıca çalışır.

Bir otel chatbotu için "Bu görüşmede yapay zekâ destekli asistan kullanılmaktadır" demek çoğu zaman doğru bir başlangıçtır. Ama kullanıcı pasaport bilgisi, sağlık durumu, çocuk bilgisi veya özel bir talep yazıyorsa konu yalnız şeffaflık değildir.

Açıklama, veri akışını meşrulaştırmaz. Sadece ilişkideki perdeyi kaldırır.

İnsan gözetimi bir onay düğmesi değildir

Yüksek riskli sistemlerde insan gözetimi önemli bir şarttır. Fakat insan gözetimi çoğu şirkette kolayca yalnızca şekilsel bir şarta dönüşebilir.

Bir çalışanın ekranda çıkan öneriyi onaylaması, gerçek gözetim anlamına gelmeyebilir. O çalışanın sistemin sınırlarını bilmesi gerekir. Öneriyi hangi durumda reddedeceğini anlaması gerekir. Reddettiğinde sürecin ne olacağını bilmesi gerekir. Zamanı, kanıtı ve yetkisi yoksa insan yalnızca otomasyonun sonundaki imza olur.

Bu nokta iş tasarımına girer. İnsan gözetimi gerçekten çalışacaksa rol tanımı, eğitim, arayüz, kayıt yapısı ve istisna akışı birlikte düşünülmelidir.

Bir işe alım sisteminde insan kaynakları uzmanı aday sıralamasını neden değiştirdiğini yazabiliyor mu? Sistem hangi veriye dayanarak öneri verdiğini yeterince açıklıyor mu? Otomasyon yanlılığına karşı eğitim var mı? Aday itiraz ettiğinde hangi kayıt açılıyor?

Bu sorular hukukî görünüyor. Aslında operasyon soruları.

Genel amaçlı model sağlayıcısının sorumluluğu ayrıdır

OpenAI, Anthropic, Google veya başka bir genel amaçlı model sağlayıcısı kullanmak, şirketi otomatik olarak genel amaçlı model sağlayıcısı yapmaz. Yasa genel amaçlı modeller için sağlayıcı tarafında ayrı kurallar koyar: teknik dokümantasyon, telif politikası, eğitim içeriği özeti ve sistemik risk taşıyan modellerde daha ağır güvenlik değerlendirmeleri gibi.

Fakat model sağlayıcısının kendi yükümlülüklerini yerine getirmesi, sizin kurduğunuz sistemle ilgili sorumluluklarınızı ortadan kaldırmaz.

Bir şirket hazır modeli müşteri hizmetleri chatbotuna bağladığında kendi veri akışından, kullanıcı açıklamasından, tedarikçi seçiminden ve kurduğu işlevden sorumludur. Aynı modeli kredi, işe alım veya sağlık gibi hassas bir karara bağladığında başka bir değerlendirme gerekir.

Burada iyi soru "model sağlayıcısı uyumlu mu?" değildir. O soru sorulmalı, ama yetmez.

Daha iyi soru şudur: Biz bu modeli hangi sisteme dönüştürdük ve o sistem hangi gerçek dünya sonucunu etkiliyor?

Veri koruma ayrı bir kapıdan girer

AB Yapay Zekâ Yasası, GDPR'ın yerine geçmez. Türkiye tarafında da KVKK'nın yerine geçmez.

Bir sistem AB Yapay Zekâ Yasası bakımından düşük riskli olabilir. Yine de kullanıcının adını, e-postasını, seyahat planını, sağlık bilgisini veya serbest metin içinde yazdığı kişisel veriyi işliyorsa veri koruma değerlendirmesi gerekir.

Bu özellikle chatbotlarda sertleşir. Çünkü kullanıcı metni yapılandırılmış değildir. Form alanında "ad" ve "telefon" bekliyorsanız ne geldiğini az çok bilirsiniz. Chatbotta kullanıcı ilk mesajda hastalığını, çocuğunun yaşını, pasaport bilgisini veya başka bir kişiye ait veriyi yazabilir.

Bu veriyi üçüncü taraf model sağlayıcısına gönderiyorsanız işleyen, alt işleyen, yurt dışı aktarım, saklama, eğitimde kullanım, maskeleme, güvenlik ve aydınlatma soruları doğar.

Serinin üçüncü yazısını bu yüzden AB Yapay Zekâ Yasası'nın dışına çıkarıyorum. Chatbot yazışmasının üçüncü taraf yapay zekâ sağlayıcısına gitmesi başlı başına bir veri koruma meselesi.

Şirketlerin kullanabileceği daha iyi kontrol listesi

Risk piramidini çöpe atmaya gerek yok. Sadece tek araç hâline getirmemek gerekiyor.

Ben bir şirketin yapay zekâ sistemlerini ilk kez değerlendirirken şu sırayı daha kullanışlı buluyorum:

1. Sistem tam olarak hangi işi yapıyor?
2. Çıktı kimin hangi kararını, hakkını, erişimini veya güvenliğini etkiliyor?
3. Yanlış çıktının makul sonucu ne?
4. Şirket bu zincirde sağlayıcı mı, kullanan işletme mi, dağıtıcı mı, ithalatçı mı, yoksa birden fazla rolde mi?
5. Sistem yüksek riskli, yasaklı veya şeffaflık gerektiren bir kullanıma giriyor mu?
6. Kullanılan genel amaçlı modelin sağlayıcısından hangi teknik ve sözleşmesel kanıt alınmalı?
7. Kişisel veri veya özel nitelikli veri hangi noktada işleniyor ve nereye aktarılıyor?
8. İnsan gözetimi gerçekten karar yetkisi taşıyor mu?
9. Bu işi yapay zekâ ile çözmek gerçekten gerekli mi?

Son soru özellikle önemli. Bazı durumlarda klasik iş kuralı, daha sade bir form, iyi tasarlanmış bir onay akışı veya mevcut SaaS içinde kalan bir çözüm daha ucuz ve daha az riskli olabilir.

Uyum çalışması yalnız "nasıl uygun hâle getiririz?" sorusundan ibaret olmamalı. Bazen daha doğru soru "bu sistemi böyle kurmaya değer mi?" olur.

Piramitten işletme haritasına geçmek

AB Yapay Zekâ Yasası'nı ilk kez anlamak için risk seviyeleri iyi bir araç. Ama şirketinizde bir yapay zekâ envanteri çıkarıyorsanız, ürün satın alıyorsanız veya kendi müşterinize yapay zekâ içeren bir sistem sunuyorsanız, piramidin üzerine ikinci bir harita koymanız gerekir.

Bu haritada roller, veri akışları, karar noktaları, insan gözetimi, tedarikçi kanıtları ve diğer mevzuat birlikte görünür.

İşletme açısından maliyet de burada çıkar. Kimi zaman maliyet model ücreti değildir. Log tutmak, veri setini temizlemek, itiraz sürecini kurmak, personeli eğitmek, tedarikçiyi denetlemek ve yanlış çıktının etkisini izlemek daha büyük maliyet olur.

Bu nedenle iyi yapay zekâ yönetişimi, yasaya uyum listesi hazırlamaktan ibaret değildir. Şirketin hangi kararı yapay zekâya yaklaştırdığını ve bu kararın bedelini taşıyıp taşıyamayacağını anlamasıdır.

Risk seviyesi sorulacak. Ama ondan sonra asıl iş başlıyor.