AVRUPA BİRLİĞİ YAPAY ZEKÂ KANUNU VE YAPAY ZEKÂ YÖNETİŞİMİ
Yapay Zekâ Çağı ve Regülasyon
“Yapay zekâ yeni elektriktir.” Andrew Ng’nin bu isabetli tespiti, yapay zekanın salt bir teknolojik trend değil, tıpkı elektriğin icadı gibi hayatın her hücresine nüfuz eden devrimsel bir güç olduğunu özetliyor. Bugün üretimden finansa, sağlıktan insan kaynaklarına kadar hiçbir sektör bu dönüşümün dışında kalamıyor. Yapay zeka sistemleri; devasa verileri saniyeler içinde analiz ederek, karar süreçlerini otomatikleştirerek ve geleceği öngörme kapasitemizi artırarak şirketlerin sadece iş yapış biçimlerini değil, adeta kurumsal DNA’sını kökünden değiştiriyor.
Bu değişim, önemli fırsatları beraberinde getirmekle birlikte; temel hak ve özgürlükler bakımından, ayrımcılık, şeffaflık ve hesap verebilirlik eksikliği gibi konularda ciddi riskleri de gündeme getirmektedir. Özellikle otomatik karar alma sistemlerinin bireylerin hakları üzerindeki etkisi, veri setlerindeki ön yargıların (bias) sistematik olarak yapay zekâ kullanıcısı aleyhine sonuçlar doğurabilmesi ve yapay zekâ sistemlerinin “kara kutu” niteliği, regülatif müdahaleyi kaçınılmaz hale getirmiştir.
Bu kapsamda, Avrupa Birliği (“Birlik”), dijital teknolojiler alanında uzun süredir benimsediği risk temelli ve önleyici düzenleme yaklaşımını yapay zekâ alanına da taşımış ve bu doğrultuda Artificial Intelligence Act (“AI Act”) kabul edilmiştir. AI Act, yapay zekâ sistemlerinin geliştirilmesi ve piyasaya arz edilmesine ilişkin kuralları belirlerken; güvenli, insan odaklı ve temel haklara saygılı bir yapay zekâ ekosistemi oluşturmayı amaçlamaktadır.
AI Act ile birlikte:
- Yapay zekâ sistemleri risk seviyelerine göre sınıflandırılmış,
- Belirli yapay zekâ uygulamaları tamamen yasaklanmış,
- “Yüksek riskli” sistemler için kapsamlı teknik, organizasyonel ve yönetişimsel yükümlülükler getirilmiş,
- Yapay zekâ ile etkileşim halinde olan kişilere yönelik şeffaflık yükümlülükleri düzenlenmiştir.
Bu yönüyle AI Act, yalnızca teknik bir düzenleme olmayıp; şirketlerin ürün geliştirme süreçlerinden insan kaynakları uygulamalarına, müşteri etkileşimlerinden veri yönetişimi yapılarına kadar geniş bir alanda kurumsal uyum ve yönetişimi zorunlu kılmaktadır. Bu çalışmada, AI Act ile getirilen yükümlülükler; özellikle yüksek riskli yapay zekâ sistemleri bakımından, GRC LEGAL perspektifinden ele alınacak; şirketlerin bu sistemlere ilişkin riskleri nasıl sınıflandırması, rollerini nasıl konumlandırması ve hangi kontrol mekanizmalarını tesis etmesi gerektiği incelenecektir.
Kavramlar ve Aktörler
AI Act kapsamında çok sayıda tanıma yer verilmekle birlikte, rol ve yükümlülüklerin doğru şekilde anlaşılabilmesi için özellikle bazı temel kavramların açıklanması önem arz etmektedir. Nitekim söz konusu tanımlar, AI Act’in 3. maddesinde düzenlenmiş olup düzenlemenin sistematiğini ve uygulama alanını belirleyen temel unsurları kapsamaktadır. Bu kapsamda aşağıda, uygulamada en kritik olan tanımlar sadeleştirilerek ele alınmıştır.
Yapay Zekâ Sistemi (“AI System”)
AI Act’e göre yapay zekâ sistemi; farklı seviyelerde otonomi ile çalışabilen, konuşlandırıldıktan sonra belirli ölçüde uyum sağlayabilen ve belirli hedefler doğrultusunda, aldığı girdilerden hareketle çıktı üretme biçimini “çıkarım” yoluyla belirleyen makine tabanlı sistemlerdir. Bu tanım çerçevesinde yapay zekâ sistemleri; tahmin (prediction), içerik üretimi (content generation) veya öneri (recommendation) gibi çıktılar üretmektedir.
Bu tanımın pratikteki karşılığı, klasik yazılımlardan farklı olarak, sistemin yalnızca önceden belirlenmiş kuralları uygulamakla kalmayıp veri üzerinden çıkarım yapabilmesi ve belirli ölçüde “öğrenme” kapasitesine sahip olmasıdır.
Sağlayıcı (Provider)
AI Act kapsamında sağlayıcı; bir yapay zekâ sistemini geliştiren veya geliştirtip kendi adı ya da markası altında piyasaya arz eden veya kullanıma sunan gerçek ya da tüzel kişiyi ifade etmektedir. Bu tanım, teknik geliştirme faaliyetinin yanı sıra, bir sistemin kendi markası altında piyasaya sunulmasını da kapsamakta olup doğrudan geliştirme yapılmamış olsa dahi belirli durumlarda ilgili aktörün “sağlayıcı” olarak değerlendirilmesine yol açmaktadır.
Kullanan (Deployer)
Kullanan; bir yapay zekâ sistemini kendi otoritesi altında kullanan gerçek veya tüzel kişiyi ifade etmektedir. Ancak bu kullanımın, kişisel (profesyonel olmayan) faaliyetler kapsamında olmaması gerekmektedir. Bu çerçevede, bir yapay zekâ sistemini iş süreçlerine entegre eden ve karar alma mekanizmalarında kullanan şirketler, kural olarak “kullanan” konumunda yer almaktadır. Kişisel olarak günlük hayatında kullanan end-user’lar ise bu kapsama girmemektedir.
İthalatçı (Importer)
İthalatçı; Birlik dışında yerleşik bir kişi veya kuruluş tarafından geliştirilen ve piyasaya sunulan bir yapay zekâ sistemini, Birlik pazarı içinde piyasaya arz eden, Birlik içinde yerleşik gerçek veya tüzel kişidir.
Dağıtıcı (Distributor)
Dağıtıcı; sağlayıcı veya ithalatçı dışında, tedarik zincirinde yer alarak bir yapay zekâ sistemini Birlik pazarında erişilebilir kılan gerçek veya tüzel kişiyi ifade etmektedir
Risk Temelli Yaklaşım ve Sınıflandırma
AI Act’in temelini, yapay zekâ sistemlerinin doğurabileceği risklerin seviyesine göre farklı yükümlülüklere tabi tutulmasını öngören risk temelli yaklaşım oluşturmaktadır. Bu yaklaşım kapsamında, tüm yapay zekâ sistemleri aynı düzeyde regülasyona tabi tutulmamakta; aksine, söz konusu sistemlerin bireylerin temel hak ve özgürlükleri ile güvenlik üzerindeki potansiyel etkileri dikkate alınarak farklı kategorilere ayrılmaktadır.
Bu çerçevede AI Act, yapay zekâ sistemlerini dört ana risk kategorisi altında sınıflandırmaktadır:
- Kabul edilemez risk (Unacceptable risk)
- Yüksek risk (High-risk)
- Sınırlı risk (Limited risk)
- Asgari risk (Minimal risk)
Risk temelli sınıflandırma, AI Act kapsamında yükümlülüklerin belirlenmesinde ilk ve en kritik adımdır. Zira bir yapay zekâ sisteminin hangi kategoriye girdiği:
Bu nedenle şirketler bakımından ilk atılması gereken adımlardan biri, kullanılan veya geliştirilmekte olan yapay zekâ sistemlerinin risk sınıfının doğru şekilde tespit edilmesidir. |
3.1. Asgari Risk (Minimal Risk)
Asgari risk kategorisinde yer alan yapay zekâ sistemleri bakımından ise AI Act kapsamında bağlayıcı bir yükümlülük öngörülmemekte olup bu sistemlerin kullanımı büyük ölçüde serbest bırakılmıştır. Bu kategoride yer alan sistemler, günlük kullanımda yaygın olarak karşılaşılan ve bireyler üzerinde önemli bir risk oluşturmayan yapay zekâ uygulamalarını kapsamaktadır.
3.2. Sınırlı Risk (Limited Risk)
Sınırlı risk kategorisinde yer alan yapay zekâ sistemleri bakımından, AI Act daha hafif bir düzenleme yaklaşımı benimsemekte ve esas olarak şeffaflık yükümlülükleri getirmektedir. Bu kapsamda, kullanıcıların bir yapay zekâ sistemi ile etkileşimde bulunduğunun açıkça belirtilmesi gerekmektedir. Güncel durumda, Avrupa Birliği nezdinde yapay zeka sistemlerinin çok büyük çoğunluğunun sınırlı veya asgari risk düzeyinde olduğu belirtilmektedir.[1]
3.3. Yüksek Risk (High-Risk AI Systems)
Yüksek riskli yapay zekâ sistemleri, bireylerin güvenliği veya temel hakları üzerinde önemli etkiler doğurma potansiyeline sahip sistemlerdir. Bu sistemler bakımından AI Act, kapsamlı bir uyum rejimi öngörmekte olup; özellikle sağlayıcılar ve kullananlar açısından teknik, organizasyonel ve yönetsel nitelikte çok sayıda yükümlülük getirmektedir.
Yüksek riskli bir yapay zekâ sistemini geliştiren ve kendi adı altında piyasaya arz eden “sağlayıcılar”, söz konusu düzenleme kapsamında en ağır yükümlülüklere tabi aktörlerdir. Bu yükümlülükler, sistemin henüz tasarım aşamasında başlamakta; geliştirme, test, piyasaya arz ve kullanım sonrası izleme süreçlerini de kapsayacak şekilde tüm yaşam döngüsü boyunca devam etmektedir.[2]
Bu kapsamda sağlayıcıların, yalnızca sistemin teknik olarak çalışmasını sağlamakla yetinmeyip; aynı zamanda risklerin önceden tespit edilmesi, azaltılması ve izlenmesine yönelik bütüncül bir uyum mekanizması kurmaları gerekmektedir. Bu kapsamda yüksek riskli yapay zeka sistemleri için mevcut yükümlülüklerin ise 2 Ağustos 2026’da yürürlüğe girmesi planlanmaktadır.[3]
AI Act kapsamında hangi yapay zekâ sistemlerinin “yüksek riskli” olarak değerlendirileceği, Kanun’un 6. maddesi ile birlikte Ek-III’te (Annex III) düzenlenmiştir. Bu kapsamda yüksek riskli sistemler, belirli sektör ve kullanım alanları esas alınarak kategorize edilmiştir. Bu kapsamda başlıca yüksek risk alanları aşağıdaki şekilde özetlenebilir:
Alan | Yüksek Riskli Uygulama Örnekleri |
Biyometrik Tanımlama | Uzaktan biyometrik tanımlama ve biyometrik kategorizasyon sistemleri. |
Kritik Altyapı | Yol trafiği, su, gaz, elektrik ve ısınma gibi kritik altyapıların yönetimi ve işletilmesi. |
Eğitim ve Mesleki Eğitim | Öğrencilerin eğitim kurumlarına kabulü, sınav sonuçlarının değerlendirilmesi ve öğrenme çıktılarının analizi. |
İstihdam ve İK | İşe alım süreçlerinde CV tarama, performans değerlendirme ve iş ilişkisinin sonlandırılmasına dair kararlar. |
Temel Kamu ve Özel Hizmetler | Kredi notu değerlendirme (fraud tespiti hariç), kamu yardımlarına uygunluk denetimi, acil durum çağrı önceliklendirme. |
Kolluk Kuvvetleri | Delillerin güvenilirliğinin değerlendirilmesi, suç mahalli analizi, yalan makinesi kullanımı. |
Göç ve Sınır Kontrolü | Vize başvurularının değerlendirilmesi, düzensiz göç risk analizi, seyahat belgelerinin doğrulanması. |
Adalet ve Demokrasi | Karar süreçlerinde yargı makamlarına yardımcı olan sistemler, seçim sonuçlarını etkileyebilecek algoritmalar. |
3.3.1. Yüksek Riskli Yapay Zekâ Sistemlerine İlişkin Yükümlülükler
Yüksek riskli yapay zekâ sistemleri bakımından AI Act, özellikle sağlayıcılar açısından kapsamlı bir uyum rejimi öngörmektedir. Bu kapsamda yükümlülükler, sistemin tasarım aşamasından başlayarak kullanım sonrası izleme sürecine kadar tüm yaşam döngüsünü kapsamaktadır. Bu çerçevede, yüksek riskli yapay zekâ sistemleri bakımından başlıca yükümlülükler aşağıdaki şekilde özetlenebilir:[4]
- Risk yönetimi ve kalite sistemi kurulması: Sistem boyunca risklerin tespiti, değerlendirilmesi ve azaltılmasına yönelik sürekli bir yapı oluşturulmalıdır.
- Veri yönetişimi ve veri kalitesi: Kullanılan veri setlerinin kalitesi, temsiliyet gücü ve önyargı (bias) içermemesi sağlanmalıdır.
- Test ve doğrulama süreçleri: Sistem, piyasaya arz edilmeden önce belirlenen kriterler çerçevesinde test edilmelidir.
- Kayıt tutma ve izlenebilirlik: Sistem faaliyetlerine ilişkin kayıtlar tutularak denetlenebilirlik sağlanmalıdır.
- Şeffaflık ve kullanıcı bilgilendirmesi: Sistemin işleyişi, kapasitesi ve sınırlılıkları hakkında kullanıcılara açık bilgi sunulmalıdır.
- Teknik dokümantasyon ve saklama: Sistemle ilgili teknik belgeler hazırlanmalı ve belirli sürelerle muhafaza edilmelidir.
- Uygunluk değerlendirmesi ve CE işareti: Sistem piyasaya arz edilmeden önce uygunluk değerlendirmesinden geçirilmeli ve sistemin görünür bir noktasında CE işaretlemesi yapılmalıdır.
- İnsan gözetimi: Sistem kullanımında insan müdahalesi ve kontrolü sağlanmalıdır.
- Siber güvenlik ve doğruluk: Sistemlerin güvenli, dayanıklı ve doğru sonuçlar üretmesi temin edilmelidir.
3.3.2. Kullananlar (Deployers) Bakımından Yükümlülükler
AI Act kapsamında “kullanan” konumunda bulunan aktörlerin yükümlülükleri, sistemlerin kullanım aşamasında ortaya çıkan risklerin yönetilmesine ve bireylerin temel haklarının korunmasına odaklanmaktadır. Bu kapsamda, kullananlar bakımından öne çıkan başlıca yükümlülükler aşağıda özetlenmektedir:
YZ Okuryazarlığı (AI Literacy):
Kullananlar, yapay zekâ sistemlerinin kullanımında görev alan personelin, sistemin işleyişi, riskleri ve sınırlılıkları hakkında yeterli bilgi ve farkındalığa sahip olmasını sağlamakla yükümlüdür.
Şeffaflık Yükümlülükleri (Transparency):
Kullananlar, belirli yapay zekâ kullanım senaryolarında ilgili kişilere gerekli bilgilendirmeyi yapmakla yükümlüdür. Bu kapsamda:
- Yapay zekâ ile etkileşimde bulunulduğu açıkça belirtilmeli,
- Yapay zekâ tarafından üretilen veya manipüle edilen içerikler (örneğin deepfake) uygun şekilde işaretlenmeli,
- Duygu tanıma veya biyometrik kategorizasyon sistemlerinin kullanımı halinde ilgili kişiler bilgilendirilmelidir.
Kullanım Talimatlarına Uyum ve Gözetim:
Yüksek riskli sistemlerin kullanımı halinde, kullananlar sistemin sağlayıcı tarafından belirlenen kullanım talimatlarına uygun şekilde işletilmesini sağlamakla yükümlüdür. Ayrıca sistem çıktılarının izlenmesi ve gerekli durumlarda insan müdahalesinin sağlanması gerekmektedir.
Veri ve Sistem Performansının İzlenmesi:
Kullananlar, sistemin doğru ve amacına uygun çalışmasını sağlamak amacıyla kullanılan veri setlerinin uygunluğunu kontrol etmeli ve sistem performansını düzenli olarak izlemelidir.
Olay Bildirimi ve Müdahale:
Sistemin temel haklar bakımından risk doğurduğunun veya ciddi bir hataya yol açtığının tespiti halinde, kullananlar sistemin kullanımını durdurmalı ve durumu sağlayıcıya ve ilgili otoritelere bildirmelidir.
Kayıt Tutma:
Yüksek riskli sistemlerin kullanımı kapsamında, sistem faaliyetlerine ilişkin kayıtların tutulması ve belirli sürelerle saklanması gerekmektedir.
Temel Haklar Etki Değerlendirmesi:
Belirli durumlarda (özellikle kamu veya kamu hizmeti sunan kuruluşlar bakımından), yapay zekâ sisteminin kullanımından önce temel haklar üzerindeki etkilerin değerlendirilmesi gerekmektedir.
Görüldüğü üzere, AI Act kapsamındaki yükümlülükler, sistemin “yüksek riskli” olup olmamasının yanı sıra, ilgili kuruluşun sistem karşısındaki deployer/provider rolüne göre farklılaşmaktadır. Bu nedenle aşağıdaki sırayla bir rol ve kapsam tespiti yapılması kritik önem taşımaktadır: 1. Sistem envanteri ve kullanım senaryosu tespiti: Kurum bünyesinde kullanılan/geliştirilen tüm YZ çözümlerinin envanterlenmeli; her bir sistem için amaç, kullanım alanı ve etkilenen kişi grupları netleştirilmelidir. 2. Risk sınıflandırması: İlgili sistemin kabul edilemez risk / yüksek risk / sınırlı risk / asgari risk kategorilerinden hangisine girdiği belirlenmelidir. Yüksek risk açısından özellikle AI Act m. 6 ve Ek-III kontrol edilmelidir. 3. Rol tespiti (Provider mı, Deployer mı?): Aynı sistemde bir kuruluş, farklı senaryolarda farklı rollere sahip olabilir. Bu nedenle her senaryo ayrı ayrı kurgulanmalıdır. 4. Yükümlülük setinin çıkarılması ve aksiyon planı: Rol ve risk sınıfı netleştikten sonra, ilgili sistem için uygulanacak teknik/organizasyonel/yönetişimsel tedbirler (ör. risk yönetimi, veri yönetişimi, logging, şeffaflık, insan gözetimi, olay bildirimi, uygunluk değerlendirmesi vb.) sistem bazında bir “uyum kontrol listesi”ne dönüştürülmeli; sorumlu birimler ve takvim belirlenmelidir. |
3.4. Kabul Edilemez Risk (Unacceptable Risk)
Kabul edilemez risk kategorisinde yer alan yapay zekâ sistemleri, bireylerin temel hak ve özgürlükleri üzerinde açık ve ciddi tehdit oluşturduğu gerekçesiyle AI Act kapsamında tamamen yasaklanmıştır. Bu kapsamda aşağıda yer alan yapay zekâ sistemlerinin geliştirilmesi, piyasaya arz edilmesi veya kullanılması mümkün değildir:[5]
Bilinçaltı manipülasyon (subliminal manipulation):
Bireylerin farkında olmaksızın davranışlarını etkileyerek zarara yol açabilecek sistemlerdir. Örneğin, kişilerin bilgisi ve rızası dışında belirli bir siyasi tercihe yönlendirilmesi bu kapsamda değerlendirilebilir.
Kırılgan grupların sömürülmesi (exploitation of vulnerabilities):
Kişilerin yaşı, ekonomik durumu veya fiziksel/psikolojik özelliklerinden kaynaklanan kırılganlıklarının istismar edilmesi suretiyle zararlı davranışlara yönlendirilmesini içeren sistemlerdir. Örneğin, çocukları tehlikeli davranışlara teşvik eden yapay zekâ destekli oyuncaklar bu kapsamdadır.
Hassas özelliklere dayalı biyometrik sınıflandırma (biometric categorisation):
Kişilerin cinsiyet, etnik köken, siyasi görüş, dini inanç veya cinsel yönelim gibi hassas niteliklerine göre sınıflandırılmasını amaçlayan sistemlerdir.
Genel amaçlı sosyal puanlama (social scoring):
Bireylerin sosyal davranışları, kişisel özellikleri veya faaliyetleri (örneğin alışveriş alışkanlıkları veya sosyal medya etkileşimleri) üzerinden puanlanmasını içeren sistemlerdir. Bu tür sistemler, bireylerin iş, kredi veya diğer fırsatlara erişiminin keyfi şekilde kısıtlanmasına yol açabilmektedir.
Gerçek zamanlı uzaktan biyometrik tanıma (real-time remote biometric identification):
Kamusal alanlarda kullanılan biyometrik tanıma sistemleri kural olarak yasaklanmıştır. Ancak, kayıp kişilerin bulunması, terör saldırılarının önlenmesi veya ciddi suç şüphelilerinin tespiti gibi sınırlı durumlarda, yargı makamı onayı ile istisnai olarak kullanılabilmektedir.
Duygu tanıma sistemleri (emotion recognition):
Özellikle iş yerleri ve eğitim kurumlarında bireylerin duygusal durumlarını tespit etmeye yönelik sistemler yasaklanmıştır. Bununla birlikte, güvenlik amacıyla (örneğin sürücünün uyku durumunun tespiti) sınırlı kullanım halleri yüksek risk kapsamında değerlendirilebilmektedir.
Öngörücü kolluk uygulamaları (predictive policing):
Kişilerin gelecekte suç işleme riskinin, kişisel özelliklerine dayanılarak değerlendirilmesini içeren sistemlerdir.
Yüz görüntülerinin taranması (scraping of facial images):
İnternet veya video gözetim sistemlerinden elde edilen yüz görüntülerinin ayrım gözetmeksizin toplanması suretiyle biyometrik veri tabanlarının oluşturulması veya genişletilmesini amaçlayan sistemlerdir.
GRC LEGAL Perspektifinden Yapay Zekâ Yönetişimi
AI Act ile getirilen yükümlülükler, yalnızca teknik ve hukuki gereklilikler olarak değerlendirilmemeli; aynı zamanda şirketler bakımından bütüncül bir yönetişim yapısının kurulmasını zorunlu kılmaktadır. Bu kapsamda yapay zekâ yönetişimi, yapay zekâ sistemlerinin geliştirilmesi ve kullanımı sürecinde rol ve sorumlulukların belirlenmesini, insan faktörünün güçlendirilmesini ve risklerin etkin şekilde yönetilmesini amaçlamaktadır.
4.1. Rol ve Sorumluluk Tespiti
AI Act kapsamında getirilen yükümlülüklerin doğru şekilde uygulanabilmesi için, öncelikle ilgili aktörün sistem karşısındaki konumunun doğru tespit edilmesi gerekmektedir. Bu noktada, “sağlayıcı” (provider) ve “kullanan” (deployer) ayrımı belirleyici niteliktedir.
Sağlayıcılar, yapay zekâ sistemini geliştiren veya kendi adları altında piyasaya arz eden aktörler olarak, sistemin tasarımından başlayarak tüm yaşam döngüsünden sorumludur. Buna karşılık kullananlar, söz konusu sistemi kendi iş süreçleri kapsamında kullanan aktörler olup; yükümlülükleri daha çok sistemin kullanım aşamasındaki risklerin yönetimine yöneliktir.
Bununla birlikte, AI Act kapsamındaki bu rol ayrımı, veri koruma mevzuatı bakımından doğrudan “veri sorumlusu” veya “veri işleyen” statüsünü belirlememektedir. Nitekim Genel Veri Koruma Tüzüğü (“GDPR”) kapsamında veri sorumlusu; kişisel verilerin işlenme amaç ve vasıtalarını belirleyen gerçek veya tüzel kişi olarak tanımlanmakta olup (GDPR, Art. 4(7)), veri işleyen ise veri sorumlusunun talimatları doğrultusunda veri işleyen kişi olarak kabul edilmektedir (GDPR, Art. 4(8)).
Bu çerçevede, bir yapay zekâ sisteminde sağlayıcı konumunda bulunan bir aktör, somut olaya göre hem veri sorumlusu hem de veri işleyen olarak değerlendirilebilir. Örneğin, sağlayıcının kişisel verileri kendi modelini geliştirme veya iyileştirme amaçlarıyla işlemesi halinde veri sorumlusu sıfatı gündeme gelebilecek; buna karşılık yalnızca müşteri talimatları doğrultusunda veri işlediği durumlarda veri işleyen olarak kabul edilmesi söz konusu olabilecektir. Benzer şekilde, yapay zekâ sistemini kendi iş süreçlerine entegre eden kullananlar, çoğu durumda veri işleme faaliyetinin amaç ve vasıtalarını belirledikleri için veri sorumlusu konumunda değerlendirilmektedir.[6]
Bu nedenle, şirketler bakımından her bir yapay zekâ kullanım senaryosu özelinde ayrı bir rol analizi yapılması; hem AI Act kapsamındaki yükümlülüklerin hem de GDPR kapsamındaki yükümlülüklerinin doğru şekilde belirlenmesi açısından kritik önem taşımaktadır. |
4.2. Yapay Zeka Okuryazarlığı (AI Literacy)
AI Act, yapay zekâ sistemlerinin güvenli ve etkin şekilde kullanılabilmesi için, bu sistemlerle etkileşimde bulunan kişilerin yeterli bilgi ve farkındalığa sahip olmasını zorunlu kılmaktadır. Bu kapsamda, şirketler tarafından yapay zekâ sistemlerini kullanan çalışanlara yönelik düzenli eğitim ve farkındalık faaliyetlerinin yürütülmesi; sistemin çalışma mantığı, kapasitesi, sınırlılıkları ve potansiyel riskleri hakkında bilinç oluşturulması gerekmektedir.
Bu doğrultuda, yalnızca teknik ekiplerin değil; yapay zekâ sistemleriyle temas eden tüm birimlerin (örneğin insan kaynakları, pazarlama, operasyon ekipleri) bu sistemlerin doğurabileceği riskler ve sorumluluklar konusunda bilgilendirilmesi önem arz etmektedir.
Yapay zekâ okuryazarlığı, yalnızca bir eğitim yükümlülüğü olarak değil; aynı zamanda yukarda bahsedilen yükümlülüklerden biri olan insan gözetimi mekanizmasının etkin şekilde işletilebilmesi ve organizasyon genelinde yapay zekâ kültürünün oluşturulması bakımından kritik bir yönetişim aracı olarak değerlendirilmektedir.
4.3. DPIA ve FRIA Süreçlerinin Entegrasyonu
Yapay zekâ sistemlerinin kullanımı, yalnızca teknik bir mesele olmayıp; kişisel verilerin işlenmesi ve bireylerin temel hakları üzerinde doğrudan etkiler doğuran çok katmanlı bir risk alanı yaratmaktadır. Bu nedenle, AI Act kapsamında düzenlenen Temel Haklar Etki Değerlendirmesi (“FRIA”) ile GDPR kapsamında öngörülen Veri Koruma Etki Değerlendirmesi (“DPIA”) süreçleri arasında doğrudan bir ilişki bulunmaktadır.
AI Act uyarınca FRIA, özellikle yüksek riskli yapay zekâ sistemlerinin kullanımında, belirli kullananlar bakımından zorunlu tutulmuştur (AI Act, Art. 27). Bununla birlikte bu yükümlülük tüm kullananlar için geçerli olmayıp; kamu kurumları, kamu hizmeti sunan özel kuruluşlar ve belirli yüksek etkili kullanım senaryoları ile sınırlıdır.
DPIA ise kişisel veri işleme faaliyetlerinden kaynaklanan risklere odaklanırken (GDPR, Art. 35), FRIA daha geniş bir perspektifle temel haklar üzerindeki etkileri değerlendirmektedir. Bu yönüyle her iki mekanizma birbirini tamamlayıcı niteliktedir.
Bu çerçevede, FRIA yükümlülüğü her durumda ayrı ve bağımsız bir değerlendirme yapılmasını gerektirmemektedir. Nitekim, GDPR kapsamında gerçekleştirilen DPIA süreçlerinin, yapay zekâ sistemlerinin doğurabileceği risklerin önemli bir kısmını halihazırda kapsaması durumunda, FRIA değerlendirmesi bu mevcut yapı üzerine inşa edilebilecektir. Dolayısıyla şirketler bakımından esas olan, mükerrer süreçler oluşturmak değil; mevcut DPIA mekanizmalarını genişleterek temel haklar boyutunu da içerecek şekilde bütüncül bir değerlendirme yaklaşımı benimsemektir. |
Dijital Omnibus Paketiyle AI Act’de Yapılması Beklenen Değişiklikler
AI Act’in uygulanabilirliğini artırmak ve idari yükleri azaltmak amacıyla Avrupa Birliği nezdinde gündeme gelen “AI Digital Omnibus” teklifi, mevcut yükümlülüklerin belirli ölçüde sadeleştirilmesini hedeflemektedir. Bununla birlikte, Avrupa Veri Koruma Kurulu (“EDPB”) ve Avrupa Veri Koruma Denetçisi (“EDPS”) tarafından yayımlanan 1/2026 sayılı Ortak Görüş, söz konusu sadeleştirme yaklaşımının bazı yönleri itibarıyla temel hakların korunması ve hukuki belirlilik açısından riskler barındırabileceğine işaret etmektedir.[7]
Özellikle teklif kapsamında, ön yargı tespiti ve ön yargının giderilmesi amacıyla özel nitelikli kişisel verilerin işlenmesine ilişkin hukuki dayanağın genişletilmesi; yalnızca yüksek riskli sistemlerle sınırlı olmaksızın, daha geniş bir yapay zekâ ekosistemine yayılmaktadır. Her ne kadar bu yaklaşım teknik olarak sistemlerin adil çalışmasını destekleyebilecek olsa da, EDPB ve EDPS bu istisnanın sınırlarının net çizilmemesi halinde kötüye kullanıma açık hale gelebileceğini vurgulamaktadır.
Bunun yanı sıra, yüksek riskli sistemlere ilişkin kayıt ve dokümantasyon yükümlülüklerinin hafifletilmesine yönelik öneriler, sağlayıcılar bakımından hesap verebilirlik düzeyinin zayıflaması riskini doğurmakta; özellikle “yüksek riskli değil” değerlendirmesinin kötüye kullanılması ihtimalini gündeme getirmektedir. Benzer şekilde, KOBİ’lere tanınan bazı ayrıcalıkların daha geniş şirket gruplarına yayılması, risk ile orantılı düzenleme yaklaşımını zedeleyebilecek bir unsur olarak değerlendirilmektedir.
Teklif kapsamında ayrıca, yapay zekâ okuryazarlığı yükümlülüğünün doğrudan şirketlerin sorumluluğundan çıkarılarak teşvik edici bir yapıya dönüştürülmesi önerilmektedir. Ancak bu yaklaşım da organizasyon içi farkındalık ve insan gözetimi mekanizmalarının zayıflaması riskini beraberinde getirebileceği gerekçesiyle eleştirilmektedir.
Zaman çizelgesine ilişkin erteleme önerileri de benzer şekilde dikkat çekmektedir. Yüksek riskli sistemlere ilişkin yükümlülüklerin yürürlük tarihinin ötelenmesi, kısa vadede şirketler açısından uyum kolaylığı sağlasa da düzenleme kapsamı dışında kalabilecek “legacy sistemler” nedeniyle temel haklar bakımından koruma seviyesinin geçici olarak düşmesine yol açabilecektir.
Bu çerçevede, AI Digital Omnibus teklifi, regülasyonun sadeleştirilmesi ile temel hakların korunması arasında hassas bir denge kurulması gerektiğini ortaya koymaktadır. Şirketler bakımından ise bu süreç, yükümlülüklerin hafifletileceği beklentisiyle hareket edilmesi gereken bir alan olmaktan ziyade; mevcut yönetişim ve uyum mekanizmalarının güçlendirilmesi ve esnek şekilde güncellenebilir hale getirilmesi gereken dinamik bir regülasyon ortamına işaret etmektedir. |
SONUÇ
Avrupa Birliği Yapay Zekâ Kanunu, yapay zekâya ilişkin yükümlülükleri yalnızca teknik bir uyum meselesi olmaktan çıkararak, doğrudan kurumsal yönetişimin merkezine yerleştirmektedir. Bu çerçevede, yapay zekâ sistemlerine ilişkin risklerin yönetimi; artık yalnızca IT veya hukuk birimlerinin sorumluluğunda değil, organizasyon genelinde sahiplenilmesi gereken bütüncül bir yönetişim meselesi haline gelmiştir.
AI Act ile getirilen risk temelli yaklaşım, şirketleri pasif bir uyum anlayışından çıkararak, kullandıkları ve geliştirdikleri teknolojileri proaktif şekilde sınıflandırmaya, rol ve sorumluluklarını netleştirmeye ve buna uygun kontrol mekanizmaları kurmaya zorlamaktadır. Bu dönüşüm, yalnızca regülasyon kaynaklı bir zorunluluk değil; aynı zamanda şirketlerin güvenilir, şeffaf ve sürdürülebilir yapay zekâ sistemleri geliştirmesi bakımından stratejik bir fırsat sunmaktadır.
Bu noktada asıl mesele, “AI Act’e uyum sağlamak” değil; yapay zekâyı kurumsal risk yönetimi, veri yönetişimi ve karar alma süreçlerinin doğal bir parçası haline getirebilmektir. Nitekim bu dönüşüm, veri koruma mevzuatı (özellikle GDPR/KVKK) kapsamında yürütülen uyum süreçleriyle birlikte ele alınmalı; DPIA gibi mevcut mekanizmalar, yapay zekâ risklerini kapsayacak şekilde genişletilerek entegre bir uyum ve yönetişim yapısı kurulmalıdır. Zira yakın gelecekte rekabet avantajı, yalnızca yapay zekâ kullanan şirketler arasında değil; yapay zekâyı sorumlu, denetlenebilir ve yönetişim çerçevesine oturtabilen şirketler arasında şekillenecektir.
Öte yandan, AI Digital Omnibus teklifi ile birlikte yükümlülüklerin belirli ölçüde sadeleştirilmesi ve uygulama süreçlerinin yeniden şekillendirilmesi gündeme gelmiş; ancak bu sürecin, özellikle temel hakların korunması ve hukuki belirlilik bakımından dikkatle yönetilmesi gerektiği ortaya konulmuştur. Bu durum, yapay zekâ regülasyonunun statik değil, dinamik bir alan olduğunu göstermekte; şirketler bakımından uyumun tek seferlik bir proje değil, sürekli güncellenen bir yönetişim kapasitesi olarak ele alınmasını zorunlu kılmaktadır.
Dolayısıyla şirketler bakımından atılması gereken adım, mevzuatı takip etmekten öte; yapay zekâyı bir “uyum yükü” olarak değil, kurumsal yönetişimi güçlendiren bir araç olarak konumlandırmaktır. Bu yaklaşım, yalnızca regülasyon risklerini azaltmakla kalmayacak; aynı zamanda organizasyonların dijital dönüşüm süreçlerinde daha güvenilir, hesap verebilir ve sürdürülebilir bir yapı kurmalarına da imkân sağlayacaktır.
[1] European Commision, AI Act
[2] https://artificialintelligenceact.eu/high-level-summary/
[3] Guide to the EU AI ACT for businesses outside the EU
[4] Eu AI Act: 10 Things High – Risk Companies Need to Know
[5] EU AI Act: How Risk is Classified
[6] Cranium, AI Act and GDPR: How These Regulations Work Together to Safeguard AI and Privacy
[7] Matheson, EDPB-EDPS publishes opinion on AI Digital Omnibus proposal
