AB Yapay Zekâ Yasası'nın ülke dışı etkisi: kapsamdaki Türk şirketleri için uyum çerçevesi

AB Yapay Zekâ Tüzüğü (AI Act), 14 Mart 2024 tarihinde Avrupa Parlamentosu tarafından onaylanmış ve hükümleri kademeli olarak yürürlüğe girmiştir. Türkiye’de kurulu şirketlerin önemli bir bölümü, düzenlemenin kendilerini ilgilendirmediği varsayımıyla hareket etmektedir.

Bu varsayım hatalıdır. Yanlışlığının kaynağı, düzenlemenin bağlama noktasının yanlış okunmasıdır.

Ülke dışı etkinin hukuki temeli

AI Act, sistemin nerede geliştirildiğine değil, çıktısının nerede kullanıldığına bakar. AB pazarına ürün veya hizmet sunan ya da yapay zekâ sisteminin çıktısı AB’de kullanılan bir sağlayıcı, Türkiye’de kurulu olsa dahi kapsam içindedir.

Düzenleme bu yönüyle yalnızca AB üyesi ülkelerdeki aktörleri değil, AB pazarına erişmek isteyen veya dolaylı olarak AB ile etkileşim hâlinde olan tüm aktörleri etkilemektedir.

Uygulamada bu, geniş bir kesimi ilgilendirir: ihracat yapan üretici firmalardan, AB’deki müşterilere yazılım hizmeti sunan teknoloji şirketlerine; AB’de yerleşik bir müşterinin verisini işleyen hizmet sağlayıcılardan, ürününe gömülü bir model üzerinden AB’de çıktı üreten imalatçılara kadar.

Bu etkinin hukuk literatüründeki adı Brüksel etkisidir: AB düzenlemelerinin, pazar büyüklüğü nedeniyle birlik sınırları dışındaki aktörlerin davranışını fiilen belirlemesi.

Risk sınıflandırması: önce hangi kategorideyiz?

AI Act, sistemleri risk düzeyine göre dört kategoriye ayırır ve her kategori için farklı uyum, şeffaflık, hesap verebilirlik ve güvenlik şartları getirir.

Kabul edilemez risk. AI Act m. 5/1 (a)–(f) bentlerinde düzenlenmiştir. Bilinçaltına yönelik manipülatif veya aldatıcı yöntemlerle bireylerin karar verme süreçlerine müdahale eden ve bu yolla kişiye ya da başkalarına zarar veren uygulamalar bu kapsamda yasaklanmıştır.

Yüksek risk. Yükümlülüklerin yoğunlaştığı kategoridir. Uygunluk değerlendirme prosedürleri burada devreye girer: teknik belgelendirme, uygunluk testleri, kontrol listeleri ve CE işaretlemesi.

Sınırlı risk ve minimal risk kategorilerinde ise esas olarak şeffaflık yükümlülükleri aranır.

Uyum çalışmasının ilk adımı bu sınıflandırmadır. Sınıflandırma yapılmadan yükümlülüklerin kapsamı belirlenemez; sınıflandırma yanlış yapıldığında ise yapılan tüm uyum çalışması yanlış hedefe yönelmiş olur.

Yükümlülük teknik değil, kurumsaldır

Düzenlemenin sık gözden kaçan yanı, yükümlülüklerin yazılım katmanında bitmemesidir.

Yüksek riskli sistemler bakımından aranan başlıklar şunlardır:

• risk yönetim sistemi kurulması ve sürdürülmesi
• veri yönetişimi — eğitim, doğrulama ve test verisinin niteliğine ilişkin gereklilikler
• teknik dokümantasyon ve kayıt tutma
• şeffaflık ve kullanıcıya bilgi sağlama
• insan gözetimi
• doğruluk, sağlamlık ve siber güvenlik

Bunların hiçbiri tek başına bir yazılım özelliği değildir. Her biri, bir sürecin tanımlanmasını, sorumlusunun belirlenmesini ve belgelenmesini gerektirir. Yani uyum, bir geliştirme işi değil kurumsal bir süreç tasarımı işidir.

Piyasaya arz sonrası devam eden yükümlülükler

Uyumun bir defalık bir sertifikasyon işlemi olduğu varsayımı da yaygın bir hatadır.

Üretici, kullanım sonrası performans izlemesi yapmak ve oluşabilecek riskleri değerlendirmekle yükümlüdür. Sistem ciddi bir risk doğuruyorsa geri çağırma işlemini başlatmak, Komisyonu ve yetkili otoriteyi bilgilendirmek zorundadır.

Bu yükümlülük, sürekli öğrenen sistemlerde özel bir ağırlık kazanır. Piyasaya arz edildiğinde uygun olan bir sistem, öğrenme süreci içinde uygunluğunu yitirebilir. Dolayısıyla izleme, uygunluğun korunduğunun değil, korunup korunmadığının denetimidir.

Aktörler arasında yükümlülük dağılımı

AI Act, hukuki süje statüsü tanımak yerine insan merkezli bir sorumluluk zinciri kurmuştur. Bu zincirde sağlayıcılar, kullanıcılar, ithalatçılar ve dağıtıcılar kendi rollerine göre yükümlülük altına girer.

Rol dağılımı pratikte şöyle işler:

• Üretici, tasarım, geliştirme ve piyasaya ilk arzdan; teknik hazırlıklardan ve risk sınıfına uygunluk değerlendirmesinden sorumludur.
• Yazılım geliştirici, algoritma mimarisinden, eğitim verisinin hazırlanmasından ve modelin eğitiminden sorumludur. Veri setinin kalitesi ve önyargı barındırmaması, sistemin şeffaf, izlenebilir ve açıklanabilir olması bu aktörün yükümlülüğündedir.
• Kullanıcı, sistemi tanımlanmış amacı doğrultusunda kullanmak ve insan gözetimini sağlamakla yükümlüdür.

Bu dağılım kanundan doğar; ancak taraflar arasındaki iç ilişkide nasıl yansıyacağı sözleşmeye bağlıdır. Tedarik sözleşmesinde kimin hangi yükümlülüğü üstlendiği yazılı değilse, kamusal yükümlülük yerine getirilmediğinde iç ilişkideki rücu da belirsiz kalır.

Diğer düzenlemelerle etkileşim

AI Act tek başına değerlendirilemez. GDPR, yapay zekâ sistemlerinin temel kaynağı olan veri setlerinin toplanması ve işlenmesinde idari ve teknik zorunlulukları düzenler. 2022’de yürürlüğe giren Dijital Hizmetler Yasası (DSA) ve Dijital Pazarlar Yasası (DMA), çevrimiçi platformlarda faaliyet gösteren sistemler için algoritmik denetim mekanizmaları öngörür.

Kurumsal tarafta Avrupa Yapay Zekâ Kurulu uygulamayı koordine etmekte; CEN/CENELEC JTC 21 ise teknik standartları geliştirmektedir. Standartlar henüz olgunlaşma aşamasında olduğundan, uyum çalışmasının bu süreci izlemeyi de kapsaması gerekir.

Nereden başlanmalı

Kapsamda olup olmadığından emin olmayan bir şirket için sıralama şudur:

1. Envanter. Şirkette hangi yapay zekâ sistemleri kullanılıyor, hangileri geliştiriliyor, hangilerinin çıktısı AB’de kullanılıyor?
2. Rol tespiti. Her sistem bakımından şirket sağlayıcı mı, kullanıcı mı, ithalatçı mı, dağıtıcı mı?
3. Risk sınıflandırması. Her sistem hangi kategoriye giriyor?
4. Boşluk analizi. Kategorinin gerektirdiği yükümlülüklerden hangileri hâlihazırda karşılanıyor?
5. Sözleşmesel yansıtma. Tedarikçi ve müşteri sözleşmelerinde yükümlülük dağılımı yazılı hâle getiriliyor mu?

İlk üç adım hukuki nitelendirme işidir ve teknik ekibin tek başına yapabileceği bir çalışma değildir. Son adım ise uyumun maliyetinin hangi tarafta kalacağını belirler; çoğu zaman en pahalı maddenin sözleşmede hiç yazılmamış olan madde olduğu burada görülür.

---

Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş niteliği taşımaz. Somut bir sistemin kapsam ve risk sınıfı değerlendirmesi için ayrıca inceleme gerekir.