Yapay Zeka ve Hukuk: Avrupa Birliği Yapay Zeka Yasası (AI Act) Ne Getiriyor?

Yapay zeka kullanımının ve günlük hayata entegrasyonunun çok ciddi boyutlara geldiği son yıllarda herkes apokaliptik senaryolar üzerinden tedirginlik yaşıyor, hükümetlerin ve yasa yapanların müdahalesini resmen çağırıyordu. 2022’de Midjourney’in bağımsız sanatçıların eserlerini izinsiz bir şekilde, kendi üretken yapay zeka sistemini eğitmekte kullanması ile alevlenen tartışmalar günümüzde daha çok siber güvenlik ve kişilik haklarının korunması penceresinden sürdürülüyor. Geçtiğimiz yıllarda seçici reklamlar ve tanıtımlar ile kitlelerin sosyal medyada yankı balonlarına hapsedilmesi, apolitikleştirme veya belirli bir politik ajandanın empoze edilmesi hususlarında büyük skandallar yaşanmış ve insanların dikkatini yapay zeka öğrenmesine çekmişti. Kişileri hedefleyerek dijital izlerini takip eden, tercihlerini kayıt altına alarak öğrenen, verilerini işleyerek kendini eğiten yapay zekalar insanların karar alma mekanizmalarına manipülatif ve subliminal müdahalelerin yapılmasını kolaylaştırmıştır. Durum bu iken yasa yapıcıların ve hükümetlerin sessiz kalması beklenemezdi. Önce yapay zeka teknolojisinin lokomotifi Amerika Birleşik Devletleri’nde eyalet düzeyinde kapsamlı yasalar geliştirildi. Örneğin California, büyük yapay zeka modelleri için şeffaflık ve güvenlik çerçeveleri getiren Transparency in Frontier AI Act (SB 53) ile birlikte eğitim verilerinin kaynaklarını açıklamayı zorunlu kılan yasaları yürürlüğe koydu. Colorado ve Utah gibi eyaletler ise tüketici haklarını korumak, algoritmik ayrımcılığı önlemek ve yapay zeka kullanımını (özellikle kritik karar mekanizmalarında) şeffaflaştırmak adına çeşitli yasal düzenlemeleri hayata geçirdi. Yapay zeka teknolojilerinde ABD ve Çin gibi devlerin epey gerisinde kalan, bu sebeple yeni dünya paradigmasında teknolojik olarak zayıf bir pozisyona mahkûm olacağı öngörülen Avrupa; kapsamlı ve fazlasıyla detaylı regülasyon yapmaktaki alışkanlığını terk etmediğini gösterdi. Avrupa Birliği Yapay Zeka Yasası (AI Act), 21 Mayıs 2024 tarihinde Avrupa Konseyi tarafından resmi olarak kabul edildi. Ardından 12 Temmuz 2024 tarihinde AB Resmi Gazetesi’nde yayımlandı ve 1 Ağustos 2024 itibarıyla yürürlüğe girdi. Kademeli olarak uygulanan bu yasanın hükümleri, süreç içerisindeki takvime göre parça parça hayata geçecektir.

Yasa Kapsamı

Yasanın kapsamı oldukça geniştir. Yapay zekayı olabildiğince geniş tanımlamış ve makine öğrenimi yapan basit sistemleri bile yasanın içerisine dahil etmiştir. Ayrıca yasanın coğrafi sınırı yalnızca Avrupa Birliği ile sınırlı değildir. Avrupa Birliği pazarında piyasaya arz eden sağlayıcılar ve veri çıktıları Avrupa Birliği’nde kullanılan sağlayıcı ve kullanıcıları da dahil eder. Bu geniş kapsam nedeniyle, sağlayıcılar ve kullanıcılar Avrupa Birliği’nde yerleşik olmasalar dahi Yapay Zeka Yasası’na tabi olabilirler. Yasa; yalnızca bilimsel araştırma ve geliştirme amacıyla kullanılan yapay zeka sistemleri için veya askeri kullanımlar için geçerli değildir;

Yasa ile yapay zeka sistemleri geniş bir ölçekte kapsam altına alınmış ve tasnif edilerek farklı regülasyonlara tabi tutulmuştur. Üç kategori oluşturulmuştur: Yasaklı sistemler, yüksek riskli sistemler, sınırlı riskli sistemler.

Yasaklanan Sistemler

Bireylere kayda değer tehdit oluşturabileceği, veri gizliliğini ihlal edebileceği, bireysel özgürlükleri kısıtlayabileceği ya da kişisel özgürlüğü tahdit edebileceği düşünülen yapay zeka sistemleri yasanın doğrudan yasağı kapsamına alınmıştır.

Yasaklanan yapay zeka uygulamaları şunlardır:

Bir kişinin veya bir grup insanın bilinçli karar verme yeteneğini etkileyerek onları normalde vermeyecekleri veya kendilerine ya da başkalarına önemli zararlar verebilecek bir karara yönlendirmek amacıyla subliminal ya da kasıtlı manipülatif/aldatıcı teknikler kullanan yapay zeka sistemleri.
Bir kişinin ya da kişilerin zaaflarını (örneğin yaş veya engellilik durumlarını) istismar ederek, o bireyin davranışlarını kendisine veya başkasına önemli zararlar verebilecek şekilde manipüle eden yapay zeka sistemleri.
Bireylerin sosyal davranışlarına veya kişilik özelliklerine dayanarak onlara sosyal skor (puan) veren ve bu skorun kişilerin olumsuz ya da dezavantajlı muamele görmesine yol açtığı yapay zeka sistemleri.
Bir kişinin suç işleme riskini tahmin etmek amacıyla profilleme kullanan yapay zeka sistemleri.
Yüz tanıma veritabanı oluşturmak amacıyla interneti veya CCTV (kapalı devre kamera sistemleri) görüntülerini tarayan yapay zeka sistemleri.
İş yerlerinde veya eğitim kurumlarında kişilerin duygularını tespit etmeyi amaçlayan yapay zeka sistemleri.
Kişileri ırk, siyasi görüş, sendika üyeliği, dini/felsefi inanç veya cinsel yaşam/cinsel yönelim gibi hassas biyometrik bilgilerine göre etiketleyen biyometrik kategorizasyon sistemleri.
Kolluk kuvvetleri tarafından kamusal alanda gerçek zamanlı biyometrik tanımlama kullanan yapay zeka sistemleri (kaçırılan kişilerin kurtarılması veya yakın bir yaşam tehdidinin önlenmesi gibi belirli istisnalar hariç).
Rıza dışı cinsel ve mahrem içerikler ya da çocukların cinsel istismarı materyallerini üreten yapay zeka sistemleri.

Yüksek Riskli Sistemler

Doğrudan yasak kapsamına girmeyen ancak yasayla korunmaya değer menfaatlere karşı belirli ölçüde tehdit oluşturabilecek yapay zeka sistemleri ise “Yüksek Riskli” olarak tasniflenmiştir. Bu kapsamdaki sistemler şunlardır:

İnsanların veya mülklerin sağlık ve güvenlik risklerini önlemek/azaltmak amaçlı güvenlik bileşeni olan yapay zeka sistemleri
Biyometri alanındaki sistemler
Su tedariki gibi kritik altyapı alanlarındaki sistemler
Kabul, kopya tespiti gibi eğitim ve mesleki eğitim alanındaki sistemler
İstihdam ve çalışan yönetimi sistemleri
Acil durum hizmetleri gibi temel kamu hizmetleri ve yardımları
Kolluk kuvvetleri uygulamaları
Göç ve sınır yönetiminde kullanılmak üzere oluşturulan sistemler
Yargısal ve demokratik süreçlerde kullanılmak üzere oluşturulan sistemler

Sınırlı Riskli Sistemler

Bu kapsamdaki sistemler için daha düşük önlemler alınmıştır. Kullanıcılara yapay zeka kullanıldığının bilgisinin verilmesi, verilerin nasıl işleneceği ve nasıl depolanacağı ile ilgili düzenlemelerden ibarettir.

Genel Amaçlı Yapay Zeka Sistemleri

Genel amaçlı yapay zeka sistemleri (general-purpose AI), belirli bir tek görevi yerine getirmek üzere tasarlanmış sistemlerin aksine; metin, görüntü, ses ve kod üretimi gibi çok çeşitli ve farklı görevleri başarıyla yerine getirebilen sistemlerdir. Yasa, özellikle son yıllarda patlama yaratan üretken yapay zeka modellerinin yaygınlaşmasıyla birlikte bu sistemleri ayrı bir kategori olarak ele almıştır. Bu sistemler için sistemin eğitiminde kullanılan verilerin özet rapor olarak paylaşılması, şeffaflık raporlarının çıkarılması gibi tedbirler öngörülmüştür.

Tedbir Düzenlemeleri

Kalite Yönetim Sistemi: Yüksek riskli yapay zeka sağlayıcıları; uyumluluk değerlendirmelerini, sistem değişikliklerini, tasarım ve test süreçlerini, veri yönetimini, risk ve olay yönetimi süreçlerini kapsayan yazılı politika ve prosedürlerden oluşan bir kalite yönetim sistemine sahip olmalıdır.

Veri ve Veri Yönetişimi: Veri kalitesinin (doğruluk, eksiksizlik, tutarlılık vb.) sağlanması ve potansiyel önyargıların tespit edilip azaltılması zorunludur. Bu gereklilikler eğitim, doğrulama ve test verilerini kapsar; ayrıca veri toplama ve hazırlama süreçleri iyi dokümante edilmelidir.

Doğruluk, Dayanıklılık ve Siber Güvenlik: Sistemler dayanıklılık için yedekleme ve kurtarma planları içermeli; veri veya model zehirlenmesi, yapay saldırılar ve yetkisiz müdahalelere karşı güçlü siber güvenlik önlemleriyle korunmalıdır. Sonradan öğrenmeye devam eden sistemlerde geri besleme döngülerindeki önyargı riskleri azaltılmalıdır.

Teknik Dokümantasyon ve Kayıt Tutma: Piyasaya sürülmeden önce sistemin amacını, gelişim süreçlerini, veri kümesi özelliklerini ve risk yönetimini içeren detaylı teknik dokümantasyon hazırlanmalı, ayrıca kullanım süreleri boyunca otomatik günlük (log) kayıtları tutulmalıdır.

Piyasa Sonrası İzleme (Postmarket Monitoring): Sağlayıcılar, sistemin performansını izlemek, düzeltici önlemler almak ve ciddi olayları yetkililere bildirmek için piyasa sonrası izleme sistemi kurmalıdır.

Uygunluk Değerlendirmesi ve CE İşareti: Yüksek riskli sistemlerin kurallara uygunluğu uygunluk değerlendirmeleriyle test edilir ve başarılı olanlara CE işareti verilerek pazara sunulur.

İnsan Gözetimi: Sağlık, güvenlik ve temel haklara gelebilecek zararları en aza indirmek amacıyla yüksek riskli sistemlerde insan gözetimi sağlanması zorunludur.

Yaptırımlar

Yasaya uyulmaması durumunda uygulanan yaptırımlar ihlalin niteliğine göre değişiklik göstermektedir:

Yasaklanan yapay zeka uygulamalarına uyulmaması durumunda 35.000.000 Avro’ya kadar veya şirketin toplam küresel yıllık cirosunun %7’sine kadar (hangisi daha yüksekse) para cezası uygulanır.
Yasanın diğer hükümlerine uyulmaması durumunda ise 15.000.000 Avro’ya kadar veya toplam küresel yıllık cironun %3’üne kadar (hangisi daha yüksekse) para cezası verilir.
Küçük ve orta ölçekli işletmeler (KOBİ) için bu cezalar daha hafif olup, yukarıda belirtilen oranlar veya tutarlardan hangisi daha düşükse o uygulanır.
İşletmeler, ilgili makamlara gerektiği gibi doğru ve güncel bilgi sağlamak zorundadır; yanlış, eksik veya yanıltıcı bilgi verilmesi durumunda 7.500.000 Avro’ya kadar veya küresel yıllık cironun %1’ine kadar (hangisi daha yüksekse) para cezası kesilir.
Gerçek veya tüzel kişiler, Yasa’ya uyulmadığına dair şikayetlerini yetkili piyasa gözetim makamına iletebilirler.

Sonuç

Yapay zeka sistemlerinin sunduğu olağanüstü faydalar bir yana bu sistemlerin barındırdığı potansiyel riskler gözardı edilemez. AB Yapay Zeka Yasası’nın getirdiği kapsamlı ve tehditleri ciddiye alan yaklaşım, uzun süredir beklenen regülasyonların bence dikkate alınabilecek ilk adımıdır. Kullanıcılardan “rıza” alınmasını şart koşan göstermelik ve basit tedbirlerle dizginlenmesi mümkün olmadığı öngörülmüş ve ciddi adımlar atılmıştır. Yapay zeka sistemlerinin gelişme ve evrilme hızına nazaran oldukça yavaş davranılmışsa da bir adım atmak öylece izlemekten yeğdir.

Tabii ki yapay zekanın hukuk alanında yarattığı problemler ve belirsizlikler bu yasayla son bulacak değildir. Hatta düzenlenmesi gereken alanların -öncelik gözetilerek- küçük bir kısmı için işe yarayacak tedbirler öngörülmüş denilebilir. Yapay zekanın hukuki kişiliği gibi, cezai sorumluluğun gerçek kişilere nasul yükletilebileceği gibi konular hala belirsizliğini sürdürmektedir. Bu nedenle, uyumlu ve güvenilir yapay zeka sistemleri inşa etmek tek bir yasal düzenleme ile değil, yasa koyucuların, politikacıların, akademisyenlerin sürekli bir uğraşı ve gayretiyle zaman içerisinde mümkün olabilecektir.