12 Temmuz 2024'te yayımlanan 2024/1689 sayılı Yapay Zekâ Tüzüğü (AI Act), Avrupa Birliği'nin, teknolojik üretimde ABD ve Çin gibi devlerle doğrudan rekabet etmek yerine, "normatif kural koyma üstünlüğünü" kullanarak küresel standartları belirleme stratejisidir.
Yapay zekâ sistemlerinin insan hayatını çok büyük ölçüde kolaylaştırmalarının yanında risk doğuran yapılarının bulunması, bu alanda yasal düzenleme yapılmasını ve kontrollü kullanımını zorunlu kılmıştır. Zira yapay zekânın sosyoteknik doğası, olası riskleri sadece teknik açıdan değil, evrensel kurallar ve etik boyutta da kontrol altına almayı gerekli kılmıştır.
AB, bu düzenlemeyle yapay zekâ sistemlerinin sadece teknik verimliliğini değil; insan merkezli, güvenli ve şeffaf olmasını merkeze alan "güvenilir yapay zekâ" paradigmasını hukuki bir zorunluluk haline getirmiş ve risk temelli bir yaklaşımı benimsemiştir.
Kritiklik Piramidi: Risk Arttıkça Yükümlülük Ağırlaşır
Bu yaklaşım, yapay zekâ sistemlerini toplumsal ve bireysel haklar üzerindeki olası zararların şiddetine göre sınıflandırır. "Kritiklik Piramidi" olarak tanımlanan bu modelde, sistemin riski arttıkça, piyasaya giriş öncesi ve sonrası yükümlülükler de o oranda ağırlaşmaktadır.
| Risk Kategorisi | Örnek Uygulama | Temel Hukuki Yükümlülük |
|---|---|---|
| Kabul Edilemez Risk | Sosyal puanlama, bilinçaltı manipülasyonu, gerçek zamanlı biyometrik kimlik tespiti. | Kesin Yasak: AB pazarında sunulması ve kullanılması yasaktır (Madde 5). |
| Yüksek Risk | Eğitim, istihdam, kritik altyapı yönetimi, kolluk kuvvetleri uygulamaları. | Sıkı Uyum: Piyasa giriş öncesi uygunluk değerlendirmesi ve CE işareti zorunluluğu (Madde 6). |
| Sınırlı Risk | Sohbet robotları (chatbot), deepfake içerikler. | Şeffaflık: Kullanıcının bir YZ ile etkileşimde olduğunun açıklanması zorunluluğu (Madde 50). |
| Minimum Risk | Spam filtreleri, YZ destekli oyunlar, basit otomasyonlar. | Asgari Denetim: Mevcut tüketici yasalarına uyum ve gönüllü etik kodlar. |
Yüksek riskli sistemler için belirlenen süreç çok kritik olup, yükümlülük ve sorumlulukların tam olarak yerine getirilmediğinin tespit edilmesi şirketlerin piyasaya girmesinin önünde engeldir. Bu kategorideki sistemlerin teknik dokümantasyon, risk yönetim sistemi kurulumu ve üçüncü taraf denetimi gibi süreçleri tamamlamadan CE işareti alması mümkün değildir. Bu durum, yapay zekâ aktörlerini tüm yaşam döngüsü boyunca hukuki uyum ve yönetişim sistemi içerisinde hareket etmelerini zorunlu kılmaktadır.
İthalatçı Şirketlerin Yükümlülükleri
1. Piyasa Öncesi (Pre-Market) Sorumluluklar
- Uygunluk değerlendirme prosedürünün gerçekleştirilmesi
- Teknik dokümantasyonun hazırlanması
- Sistem üzerinde CE işaretinin bulunmasının sağlanması
- AB uygunluk beyanının hazırlanması ve ürüne eşlik etmesi
- Kullanım kılavuzunun ürüne eşlik etmesi
- Yetkili bir temsilcinin atanmış olması
2. Piyasa Sonrası (Post-Market) Sorumluluklar
- Uyumsuzluk veya risk durumunda yetkili makamlara bildirim yapılması
- İthalatçının kimlik ve iletişim bilgilerinin ürün üzerinde yer alması
- Depolama ve taşıma koşullarının mevzuata uygunluğunun sağlanması
- Uygulamaya ilişkin belgelerin 10 yıl süreyle saklanması
- Yetkili makamlara gerekli bilgi ve belgelerin sağlanması
- Yetkili makamlarla iş birliği yapılması
Şirketlerin yalnızca teknik uygunluğu sağlaması, piyasa öncesi ve sonrası yükümlülüklerinin tamamını yerine getirmeleri açısından yeterli değildir; bu yükümlülükler aynı zamanda yaşam döngüsü boyunca işleyen bütüncül bir yapay zekâ yönetişim ve uyum mekanizmasının kurulmasını gerektirir.
Türk Şirketleri İçin Üç Sütunlu Yol Haritası
1. Yapay Zekâ Envanter Analizi ve Risk Haritalama
Şirketin yapay zekâ envanterini çıkarmak, atılması gereken ilk adımdır. Bu kapsamda hangi yapay zekâ sistemlerinin bulunduğu, ne amaçla kullanıldığı, kimleri etkilediği, hangi verilerle çalıştığı, karar mı veriyor yoksa destek mi sağlıyor sorularına verilecek cevap, risk piramidine göre konumu belirler. Bu süreçte sistemlerin hukuki, teknik ve operasyonel risklerinin analiz edilmesi son derece önemlidir. Bu aşamanın, uluslararası risk yönetimi çerçeveleriyle (ISO 23894, NIST AI RMF) uyumlu şekilde yapılandırılması kritik önemdedir.
2. AB Teknik Standartlarına Entegre Uyum Mimarisi
Yazılım geliştirme ve ürün yaşam döngüsü süreçleri, CEN ve CENELEC tarafından yayımlanacak teknik standartlarla uyumlu hale getirilmelidir.
3. Kurumsal Yapay Zekâ Yönetişim Modeli
Uyum süreci, projenin sonunda yapılan bir kontrol faaliyeti değil; ilk tasarım aşamasından itibaren sistemlere entegre edilen bir yönetişim modelidir. Bu kapsamda, ISO 42001 standardı ile uyumlu bir yapay zekâ yönetim sistemi kurulması; risk yönetimi, insan gözetimi, şeffaflık ve hesap verebilirlik mekanizmalarının kurumsallaşması açısından önemlidir.
Bu üç sütun birlikte değerlendirildiğinde, AI Act uyumunun yalnızca teknik bir gereklilik değil, doğrudan kurumsal bir dönüşüm süreci olduğu açıktır.
Şirketlerin; uluslararası standartlarla uyumlu, denetlenebilir ve sürdürülebilir bir yapay zekâ yönetişim modeli kurmaları artık bir tercih değil, rekabetçi varlıklarını sürdürebilmeleri için zorunluluktur.