Yapay zekâ araçları; metin hazırlama, müşteri hizmetleri, insan kaynakları, satış tahmini, dolandırıcılık tespiti ve karar destek gibi pek çok süreçte işletmelere hız kazandırabilir. Bununla birlikte bir hizmetin kolayca erişilebilir olması, kurumsal kullanımının kendiliğinden hukuka uygun olduğu anlamına gelmez.

Hukuki risk yalnızca yapay zekânın hatalı sonuç vermesinden doğmaz. Sisteme girilen veriler, hizmet sağlayıcının kullanım koşulları, çıktının nasıl kullanıldığı ve son kararı kimin verdiği de sorumluluğun belirlenmesinde önem taşır.

Öncelikle kullanım envanteri çıkarılmalıdır

İşletmelerde yapay zekâ kullanımı çoğu zaman merkezi bir satın alma kararıyla değil, çalışanların günlük işlerinde genel amaçlı araçları denemesiyle başlar. Bu nedenle hangi birimin hangi aracı, hangi amaçla ve hangi verilerle kullandığı belirlenmelidir.

Ücretsiz hesaplar, tarayıcı eklentileri, toplantı kaydı ve özetleme araçları ile mevcut yazılımlara sonradan eklenen yapay zekâ özellikleri de envantere dâhil edilmelidir.

Her kullanım bakımından sistemin yalnızca taslak mı ürettiği, bir kişiye ilişkin değerlendirme mi yaptığı, otomatik karar verip vermediği ve sonucun müşteri veya çalışan üzerinde ne ölçüde etkili olduğu incelenmelidir. Bir ürün açıklaması hazırlamakla işe alım, fiyatlandırma, kredi veya sağlık değerlendirmesi yapmak aynı risk düzeyinde değildir.

Kişisel veriler yapay zekâ aracına kontrolsüz girilmemelidir

Bir çalışanın müşteri dosyasını, özgeçmişi, sağlık bilgisini veya iletişim kayıtlarını bir yapay zekâ hizmetine yüklemesi kişisel veri işleme ve koşullara göre veri aktarımı faaliyeti doğurabilir.

Verinin daha önce hukuka uygun olarak elde edilmiş olması, yeni bir amaçla yapay zekâ sisteminde kullanılmasını kendiliğinden hukuka uygun hâle getirmez. İşleme amacı, hukuki sebep, ölçülülük, saklama süresi ve ilgili kişiye yapılan aydınlatma yeniden değerlendirilmelidir.

Mümkünse kişisel veriler sisteme girilmeden önce ayıklanmalı veya gerçekten anonim hâle getirilmelidir. İsimlerin kodlarla değiştirilmesi her zaman anonimleştirme değildir. Veri başka bilgilerle yeniden belirli bir kişiyle ilişkilendirilebiliyorsa kişisel veri niteliğini korur.

Yurt dışına veri aktarımı değerlendirilmelidir

Yapay zekâ hizmetinin sunucuları veya hizmet sağlayıcısı yurt dışında bulunabilir. Verinin yurt dışındaki bir sisteme gönderilmesi hâlinde 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun yurt dışına aktarım hükümlerine uygun bir aktarım mekanizması bulunmalıdır.

Hizmet sağlayıcının verileri hangi ülkelerde tuttuğu, alt hizmet sağlayıcı kullanıp kullanmadığı, girdileri model eğitimi amacıyla kullanıp kullanmadığı ve hesap kapatıldığında verileri nasıl sildiği incelenmelidir. Uygulamadaki tek bir gizlilik ayarı, gerekli hukuki incelemenin ve aktarım mekanizmasının yerini tutmaz.

Gizli bilgiler ve ticari sırlar korunmalıdır

Kişisel veri içermese bile fiyat listeleri, kaynak kodları, strateji belgeleri, açıklanmamış finansal sonuçlar, müşteri sözleşmeleri ve hukuki görüşler işletme açısından gizli bilgi veya ticari sır niteliği taşıyabilir.

Bu bilgilerin genel kullanıma açık bir yapay zekâ aracına girilmesi, işletmenin kendi güvenlik politikalarının yanında müşterilere ve iş ortaklarına karşı üstlenilen gizlilik yükümlülüklerini de ihlal edebilir.

Kurumsal politika; hangi bilgilerin dış hizmetlere kesinlikle girilemeyeceğini, hangi araçların onaylı olduğunu ve istisna taleplerinin nasıl değerlendirileceğini açıkça göstermelidir.

Yapay zekâ çıktıları doğrulanmalıdır

Üretken yapay zekâ sistemleri ikna edici fakat yanlış, güncelliğini yitirmiş veya tamamen uydurma bilgiler üretebilir. Kararın bir çalışan tarafından ekranda onaylanması tek başına etkili insan denetimi anlamına gelmez.

Denetimi yapan kişinin sonucu sorgulayabilecek bilgiye, yeterli zamana ve kararı değiştirme yetkisine sahip olması gerekir. Çıktının kullanımından doğabilecek zarar arttıkça uygulanacak doğrulama düzeyi de artırılmalıdır.

Müşteriye gönderilecek hukuki, mali veya sağlıkla ilgili bir metin; işe alım ya da disiplin kararı; güvenlik riski taşıyan bir yazılım kodu veya teknik talimat mutlaka yetkin kişiler tarafından bağımsız kaynaklarla kontrol edilmelidir.

Ayrımcılık riski göz önünde bulundurulmalıdır

Geçmiş verilerle eğitilen bir sistem, geçmişteki eşitsizlikleri tekrar edebilir veya belirli gruplar bakımından daha hatalı sonuçlar verebilir. Bu risk özellikle işe alım, performans değerlendirmesi, kredi, sigorta, fiyatlandırma ve müşteri risk puanlamasında önem kazanır.

Sistemde kullanılan değişkenlerin doğrudan veya dolaylı ayrımcılık üretip üretmediği test edilmelidir. Veri setinin temsil kabiliyeti, hata oranlarının gruplara göre değişimi, kararın açıklanabilirliği ve kişinin sonuca itiraz edebilme imkânı değerlendirilmelidir.

Tedarikçinin sistemi “tarafsız” olarak tanımlaması, işletmenin kendi kullanım biçiminden doğan sonuçları inceleme sorumluluğunu ortadan kaldırmaz.

Fikrî mülkiyet hakları incelenmelidir

Yapay zekâ tarafından oluşturulan her çıktının telif hakkıyla korunacağı veya işletmeye münhasır biçimde ait olacağı varsayılmamalıdır. Çıktının oluşumundaki insan katkısı, kullanılan hizmetin sözleşme koşulları ve somut içeriğin niteliği hukuki sonucu etkileyebilir.

Üçüncü kişilere ait metin, görsel, marka, tasarım veya yazılım koduna benzeyen çıktılar hak ihlali iddialarına konu olabilir. Ticari kullanımdan önce benzerlik ve hak sahipliği incelemesi yapılmalıdır.

Çalışan, yazılım geliştirici veya ajans sözleşmelerinde yapay zekâ kullanımına, girdilerin kaynağına, çıktı üzerindeki haklara ve üçüncü kişi taleplerinde sorumluluğa ilişkin hükümler bulunması yararlı olur.

Tedarikçi sözleşmesi dikkatle incelenmelidir

Yapay zekâ hizmetlerinin standart kullanım koşulları; verilerin kullanım hakkı, hizmet seviyesi, model değişiklikleri, güvenlik olayı bildirimi ve sorumluluk sınırı bakımından işletmenin ihtiyaçlarını karşılamayabilir.

Özellikle kritik kullanımlarda aşağıdaki konular açıklığa kavuşturulmalıdır:

Hizmetin amacı, performans sınırları ve yasaklanan kullanımlar,
Girdi ve çıktıların kim tarafından kullanılabileceği,
Girdilerin model eğitimi amacıyla kullanılıp kullanılmayacağı,
Verilerin saklanması, silinmesi ve yurt dışına aktarılması,
Alt hizmet sağlayıcıların kullanımı,
Güvenlik standartları ve ihlal bildirim süresi,
Modelde yapılacak önemli değişikliklerin bildirilmesi,
Hatalı çıktı ve üçüncü kişi iddialarında sorumluluk paylaşımı.

Hizmet sözleşmesi, işletmenin kendi kullanım amacını ve uygulamadaki kontrol yükümlülüklerini tedarikçiye tamamen devretmez.

Tüketicilere karşı şeffaflık sağlanmalıdır

Müşteri hizmetlerinde sohbet robotu kullanılması, otomatik öneriler oluşturulması veya kişiye özel fiyatlandırma yapılması hâlinde tüketicinin yanıltılmaması gerekir. Kullanıcının bir insanla mı yoksa otomatik bir sistemle mi iletişim kurduğu gerektiğinde açıkça belirtilmelidir.

Yapay zekâ tarafından üretilen reklam ve tanıtımlar gerçeğe aykırı, doğrulanmamış veya tüketiciyi yanıltabilecek iddialar içermemelidir. Nihai içeriğin yayımlanması ve ticari iletişimde kullanılması konusundaki sorumluluk yalnızca kullanılan araca bırakılamaz.

Türkiye ve Avrupa Birliği kuralları birlikte gündeme gelebilir

Türkiye’de yapay zekâ kullanımında kişisel verilerin korunması, tüketici, iş, rekabet, fikrî mülkiyet, sözleşme ve haksız fiil hükümleri kullanım alanına göre birlikte uygulanabilir. Sağlık, finans ve elektronik haberleşme gibi düzenlenmiş sektörlerde özel kurallar da devreye girebilir.

Avrupa Birliği Yapay Zekâ Tüzüğü ise risk temelli bir sistem kurmakta; yasaklanmış uygulamalar, yüksek riskli sistemler ve belirli şeffaflık yükümlülükleri için farklı kurallar öngörmektedir.

İşletmenin Türkiye’de kurulmuş olması, Avrupa Birliği pazarına sistem sunması veya sistem çıktılarının Avrupa Birliği’nde kullanılması gibi durumlarda Tüzüğün uygulama alanına girme ihtimalini ortadan kaldırmaz. Uygulanacak yükümlülükler, işletmenin rolüne ve sistemin risk sınıfına göre ayrıca belirlenmelidir.

Kurumsal yapay zekâ politikası nasıl oluşturulabilir?

Kullanılan sistemler ve kullanım amaçları belirlenir.
Kullanımlar taşıdıkları riske göre sınıflandırılır.
Onaylı araçlar ve sisteme girilmesi yasaklanan bilgiler açıklanır.
İnsan denetimi ve çıktı doğrulama kuralları belirlenir.
Kişisel veri ve gerekirse temel haklara etki değerlendirmesi yapılır.
Tedarikçi incelemesi ve sözleşme kontrolü tamamlanır.
Çalışanlara görevlerine uygun eğitim verilir.
Hata, ayrımcılık ve güvenlik olayları için bildirim kanalı kurulur.
Model ve mevzuat değişiklikleri düzenli olarak takip edilir.

Sonuç

Yapay zekâ kullanımında temel soru yalnızca “Bu araç ne yapabiliyor?” değildir. Hangi verinin hangi amaçla işlendiği, çıktının kimi etkilediği, son kararı kimin verdiği ve hata hâlinde sorumluluğun nasıl yönetileceği birlikte ele alınmalıdır.

Kullanım envanteri, risk sınıflandırması, insan denetimi ve açık kurumsal kurallar; işletmelerin teknolojik yeniliklerden yararlanırken hukuki risklerini kontrol altında tutmasına yardımcı olur.

Yapay zekâ sisteminin kullanım alanı, işlenen veriler, tarafların rolleri ve ilgili pazarlar somut olay özelinde ayrıca değerlendirilmelidir.

İşletmelerde Yapay Zekâ Kullanımı: Hukuki Risklere İlk Bakış