Avrupa Birliği Yapay Zekâ Yasası: Genel Bakış

İster elektronik posta (e-posta) gelen kutunuzu düzenlemek için ChatGPT kullanın, ister bir tür en son ‘aracı’ (agentic) yapay zekâ modellerini[1] geliştirin; yapay zekâ düzenlemesi Avrupa Birliği’ne (AB) gelmiş ve Avrupa Birliği Yapay Zekâ Yasası[2] [EU Artificial Intelligence Act] şeklini almıştır.

Yapay Zekâ Yasası, mevcut AB yasalarının birçoğuna dayanmakta ve ayrıca, hem yapay zekâ teknolojilerinin ‘dağıtıcıları’ hem de ‘sağlayıcıları’ için geçerli olan tamamen yeni kavramlar getirmektedir. Aşağıda bu konuda daha fazla bilgi bulabilirsiniz.

Bu yasa hem kamu hem de özel kuruluşlar tarafından Avrupa Birliği içinde yapay zekâ kullanımına ilişkin yönergeler koymaya yönelik çok yıla uzanan bir çabanın sonucudur; belirli uygulamaları tamamen yasaklamak ve diğer yapay zekâ biçimleri etrafında katı yönergeler belirlemek. Genel Veri Koruma Yönetmeliği (General Data Protection Regulation) ve kişisel verilerin kullanımı üzerindeki etkileri gibi, Yapay Zekâ Yasası da muhtemelen yapay zekânın dünya çapında kullanımı için yol gösterici mevzuat kilometre taşı haline gelecektir. Birleşik Krallık’taki ve diğer yerlerdeki bireyler ve kuruluşlar hem etkilerinden etkilenecek hem de hükümlerine uymak zorunda kalacaklardır.

Yapay Zekâ Yasası 01 Ağustos 2024 tarihinde yürürlüğe girmiştir. Yapay zekânın en yüksek riskli formlarını kapsayan en kısıtlayıcı hükümleri bu aydan (02 Şubat 2025) itibaren geçerli olacaktır. Ancak mevzuatın büyük kısmı 02 Ağustos 2026 veya 02 Ağustos 2027 tarihine kadar geçerli olmayacaktır.

Bu yazıda, Yapay Zekâ Yasası’na genel bir bakış sunulmakta; kapsamı tartışılmakta ve kapsama giren belirli bireyler ve kuruluşlar için koşullar ortaya koyulmaktadır.

1. Önemli Tanımlar

Yapay Zekâ Yasası, kapsamına giren yapay zekânın iki temel tanımına odaklanmaktadır:

• ‘Yapay zekâ sistemi’, ‘değişen özerklik düzeylerinde çalışmak üzere tasarlanmış, konuşlandırıldıktan sonra uyarlanabilirlik gösterebilen ve açık veya örtük hedefler için aldığı girdilerden, fiziksel veya sanal ortamları etkileyebilecek tahminler, içerik, öneriler veya kararlar gibi çıktılar üretmeyi nasıl başaracağını çıkarabilen makine tabanlı bir sistem’ anlamına gelir.

Bu tanım, esasen bir yapay zekâ aracının ne olduğuna dair genel anlayışı kapsar: yapay zekâ destekli sohbet robotları, görüntü, metin ve video oluşturucuları, yapay zekâ temsilcileri, risk yönetimi araçları vb. En sevdiğiniz yapay zekâ sanat oluşturucusu bir yapay zekâ sistemidir. Avrupa Birliği Komisyonu, bu tanımı parçalara ayırarak daha fazla rehberlik yayınlamıştır[3].

• ‘Genel amaçlı yapay zekâ modeli’ (general-purpose artificial intelligence model), ‘büyük miktarda veriyle büyük ölçekte kendi kendini denetleme kullanılarak eğitilen, önemli ölçüde genellik gösteren ve modelin piyasaya sunulma biçiminden bağımsız olarak çok çeşitli farklı görevleri yetkin bir şekilde yerine getirme yeteneğine sahip olan ve çeşitli alt sistemlere veya başvuru sahiplerine entegre edilebilen, ancak piyasaya sunulmadan önce araştırma, geliştirme veya prototipleme faaliyetleri için kullanılan yapay zekâ modelleri hariç, bir yapay zekâ modeli’dir.

Bunlar, çok çeşitli amaçlar için yapay zekâ sistemlerine güç sağlayabilen (ama sağlamak zorunda olmayan) temel modellerinizdir; GPT-4o, o3-mini, Llama 3, Gemini 2.0 vb.

Yapay Zekâ Yasası ayrıca, genel amaçlı bir yapay zekâ modeline dayanan bir yapay zekâ sistemi olan ‘genel amaçlı yapay zekâ sistemi’nin ilgili bir tanımını da içerir. Başka bir deyişle, Yapay Zekâ Yasası’nda bir yapay zekâ sistemine atıfta bulunulduğu yerde, genel amaçlı yapay zekâ modellerine dayanan yapay zekâ sistemleri de dâhildir; örneğin ChatGPT.

Bu iki tanım arasında bir etkileşim vardır (örneğin, çok çeşitli yapay zekâ sistemleri işlev görmek için GPT-4o kullanır, ancak birçoğunun genel amaçlı bir uygulaması yoktur), ancak kısacası, dünyadaki bireyler ve kuruluşlar tarafından yaygın olarak kullanılan yapay zekâ, Yapay Zekâ Yasası’nın kapsamına girer.

Ancak aşağıda tartışılacağı üzere, yapay zekâ sistemleri ve genel amaçlı yapay zekâ modelleri için farklı düzeylerde yükümlülükler geçerlidir.

2. Yapay Zekâ Yasası’nın Kapsadığı Kişiler

Yapay Zekâ Yasası şunlara uygulanır:

2.1. Uygulayıcı/Konuşlandırıcı/Yayıcı veya sağlayıcı (deployer or provider)

• Uygulayıcı: ‘Kendi yetkisi altındaki (…) bir Yapay Zekâ sistemini kullanan gerçek veya tüzel kişi (bir birey veya kuruluş), kamu otoritesi, kurum veya diğer bir organdır’.
• Sağlayıcı: ‘Bir yapay zekâ sistemini veya genel amaçlı bir yapay zekâ modelini geliştiren veya bir yapay zekâ sistemi veya genel amaçlı bir yapay zekâ modeli geliştiren ve bunları kendi adı veya ticari markası altında, ister ücretli ister ücretsiz olarak piyasaya süren veya yapay zekâ sistemini hizmete sunan gerçek veya tüzel kişi, kamu otoritesi, kurum veya diğer bir kuruluştur.’

2.2. İthalatçı veya dağıtıcı (importer or distributor)

• İthalatçı: ‘Üçüncü bir ülkede yerleşik bir gerçek veya tüzel kişinin adını veya ticari markasını taşıyan bir yapay zekâ sistemini piyasaya süren, (Avrupa Birliği’nde) kurulmuş veya yerleşik gerçek veya tüzel kişidir.’
• Dağıtıcı: ‘Tedarik zincirinde yer alan, sağlayıcı veya ithalatçı dışında, bir yapay zekâ sistemini (Avrupa Birliği) pazarında kullanıma sunan gerçek veya tüzel kişidir.’

Yapay Zekâ Yasası, bir yapay zekâ sistemini başka bir kuruluş veya bireyin adı altında piyasaya sunan ithalatçılar veya dağıtıcılar için de geçerlidir (bu senaryoda muhtemelen uygulayıcı/konuşlandırıcı/yayıcı bu kişi olacaktır).

2.3. Bir ürün üreticisi (product manufacturer)

• Ürün üreticisi: Yapay Zekâ Yasası’nda açıkça tanımlanmamıştır; ancak bu, kendi adları veya ticari markaları altında Avrupa Birliği güvenlik mevzuatına tabi belirli türdeki ürünleri geliştiren kuruluşları ve bireyleri kapsayacaktır.

Sağlayıcılar ve uygulayıcı/konuşlandırıcı/yayıcı arasında etkileşim vardır. Yapay Zekâ Yasası, sağlayıcıların dağıtıcı ve uygulayıcıların/konuşlandırıcıların/yayıcıların sağlayıcı olabileceği senaryolar öngörür. Önemli nokta, iki kavram arasında kesin bir engel olmamasıdır. İthalatçılar, dağıtıcılar ve sağlayıcılar arasında, yapay zekâ sisteminin ithalatçı tarafından (bu senaryoda sağlayıcı olabilir) Avrupa Birliği’nde başka bir ad altında pazarlandığı durumlarda beyaz etiketleme ve uyum sorumluluğuyla ilgili düşünülebilir sorunlar da olabilir. Bu, yaklaşan AB rehberliğinin son derece önemli olacağı bir alandır.

3. Yapay Zekâ Yasası’nın Uygulama Bölgesi

Yapay Zekâ Yasası, aşağıdaki durumlarda yukarıda adı geçen kişi veya kuruluşlar için geçerlidir:

1. i) Yerleşik bir işyeri bulunan veya AB sınırları içerisinde bulunan uygulayıcılar/konuşlandırıcılar/yayıcılar.
2. ii) Dünyanın neresinde olursa olsun, AB pazarına bir yapay zekâ sistemi veya genel amaçlı yapay zekâ modeli sunan sağlayıcılar.

iii) Dünyanın neresinde bulunurlarsa bulunsunlar, söz konusu yapay zekâ sisteminin çıktısının AB içerisinde kullanıldığı yapay zekâ sisteminin sağlayıcıları veya uygulayıcıları/konuşlandırıcıları/yayıcıları.

Bu üçüncü ölçüt en geniş kategoridir ve Avrupa Birliği’nden daha fazla rehberliğe tabi olması muhtemeldir. Örneğin, Amerika Birleşik Devletleri’nde (ABD) bulunan ve ABD’li müşterilerle çalışan ve daha sonra sağlayıcının yapay zekâ sisteminin çıktısını (istemeden bile olsa) AB içinde kullanan sağlayıcılar yakalanabilir.

1. iv) Yapay zekâ sistemini AB pazarına arz eden veya kullanıma sunan ithalatçılar ve dağıtıcılar.
2. v) Yapay zekâ sistemini ilgili bir ürünle birlikte AB pazarına sunan ürün üreticileri (imalatçıları).

Bölgesel uygulanabilirlik amaçları bakımından Yapay Zekâ Yasası, Avrupa Ekonomik Alanı (AEA) çerçevesi kapsamında Norveç, İzlanda ve Lihtenştayn’a da uygulanacaktır.

Aslında, bir yapay zekâ sisteminin veya genel amaçlı yapay zekâ modelinin herhangi bir kullanıcısı veya geliştiricisi, AB’de bulunup bulunmamasına bakılmaksızın, yapay zekâ (veya çıktısı) herhangi bir şekilde Avrupa Birliği’ne bağlanırsa veya AB içinde kullanılırsa Yapay Zekâ Yasası’na uymak zorunda kalabilir.

4. Yapay Zekâ Yasası’nın Uygulanmayacağı Durumlar

Yapay Zekâ Yasası’nın uygulanabilirliğine ilişkin çeşitli istisnalar vardır. En önemlileri şunlardır:

• Yapay zekâ sistemlerini kişisel amaçlı olarak kullanan kişilerin Yapay Zekâ Yasası’na uymaları gerekmemektedir.
• Bilimsel ve/veya geliştirme amaçlarıyla kullanılan yapay zekâ sistemleri veya genel amaçlı yapay zekâ modelleri (bu tür yapay zekâ sistemlerinin veya modellerinin çıktıları dâhil) Yapay Zekâ Yasası kapsamına girmez.
• Yapay zekâ sistemlerini veya genel amaçlı yapay zekâ modellerini, bu sistemler veya modeller piyasaya sürülmeden veya hizmete sunulmadan önce test eden uygulayıcılar/konuşlandırıcılar/yayıcılar veya sağlayıcılar, bu testler ‘gerçek dünya’ testleri olmadığı sürece Yapay Zekâ Yasası kapsamında değildir.
• Yalnızca askeri ve ulusal savunma amacıyla kullanılan yapay zekâ sistemleri.

5. Yapay Zekâ Yasası’nın Risk Temelli Yaklaşımı

5.1. Risk seviyeleri: yapay zekâ sistemleri (artificial intelligence systems)

Yapay Zekâ Yasası, yapay zekâ sistemleri için 4 risk seviyesi arasında ayrım yapar. Risk seviyesi, uygulanan kısıtlamaları ve/veya yükümlülükleri belirler:

5.1.1. Kabul edilemez risk (unacceptable risk)

Faaliyetleri Avrupa Birliği içerisinde kullanılması çok fazla risk taşıyan ve bu nedenle yasaklanmış olan yapay zekâ sistemleridir. Yasaklı yapay zekâ sistemleri kategorileri şu şekildedir:

• Başka bir kişiye önemli zarar veren veya verme olasılığı bulunan ‘bilinçaltı, kasıtlı olarak manipülatif veya aldatıcı teknikler’ kullanan yapay zekâ sistemleri.
• Yapay zekâ sisteminin savunmasız kişileri önemli ölçüde çarpıtması veya savunmasız kişiye veya başka bir kişiye önemli zarar verme olasılığının makul olması durumunda, savunmasız kişileri istismar eden yapay zekâ sistemleri.
• Sosyal puanlamaya ilişkin yapay zekâ sistemleri.
• Öngörülü güvenlik için yapay zekâ sistemleri.
• Yüz tanıma veritabanlarının parçası olan veya oluşturmak için kullanılan yapay zekâ sistemleri.
• Tıbbi veya güvenlik amaçlı kullanılmadığı sürece, işyerinde veya eğitim ortamında duyguları çıkarabilmek için kullanılabilen yapay zekâ sistemleri.
• Özel nitelikli kişisel verileri biyometrik kategorizasyon amacıyla kullanan yapay zekâ sistemleri.
• Kolluk kuvvetleri tarafından bireyleri gerçek zamanlı olarak tespit etmek için biyometrik verileri kullanabilen yapay zekâ sistemleri (istisnalar olsa da).

Avrupa Birliği Komisyonu yakın zamanda kabul edilemez risk kategorisine girebilecek yapay zekâ sistemlerinin türlerini araştıran bir rehber yayınlamıştır[4].

5.1.2. Yüksek risk (high risk)

Avrupa Birliği içindeki bireylerin hakları ve özgürlükleri için yüksek risk oluşturan ve dikkatle izlenmesi gereken yapay zekâ sistemleridir. Yapay Zekâ Yasası’nın yükümlülüklerinin çoğu yüksek riskli yapay zekâ sistemlerine aittir. Bu yapay zekâ sistemleri şu durumlarda yüksek riskli olarak değerlendirilmelidir:

Ek I sistemleri: Belirli AB güvenlik ve ürün mevzuatına tabi bir güvenlik bileşeninin parçası olan bir yapay zekâ sistemidir. Uygulanabilir mevzuat Ek I’de belirtilmiş olup; bu, esas olarak ürün üreticilerine uygulanabilir olan kategoridir.

Ek III sistemleri: Diğer belirtilen yüksek riskli yapay zekâ sistemleri, belirli muafiyetlere tabi olarak Ek III’te listelenmiştir:

1. a) Biyometrik.
2. b) Kritik altyapı.
3. c) Eğitim ve mesleki eğitim.
4. d) İstihdam, çalışanların yönetimi ve kendi işini kurma imkânı.
5. e) Temel özel sistemlere ve temel kamu hizmetlerine ve faydalarına erişim ve bunlardan yararlanma (sigorta, fayda sağlamalar, kredi veya risk değerlendirmesi veya fiyatlandırma gibi konular).
6. f) Kolluk kuvvetleri.
7. g) Göç, iltica ve sınır kontrol yönetimi.
8. h) Adaletin ve demokratik süreçlerin yönetimi.

Önemli olarak, Ek III yüksek riskli yapay zekâ sistemleri, karar almanın sonucunu önemli ölçüde etkilememek de dâhil olmak üzere, gerçek kişinin sağlığına, güvenliğine veya temel haklarına önemli bir zarar verme riski oluşturmuyorsa yüksek riskli olarak kabul edilmez. Aşağıdaki ölçütlerden bir veya daha fazlası karşılanırsa ikincisi söz konusu olabilir:

• Bir yapay zekâ sistemi dar bir prosedürel görevi yerine getirmek üzere tasarlanmıştır.
• Yapay zekâ sistemi, daha önce tamamlanmış bir insan faaliyetinin sonucunu iyileştirmek için tasarlanmıştır.
• Bir yapay zekâ sistemi, karar alma kalıplarını veya önceki karar alma kalıplarından sapmaları tespit etmek için tasarlanmıştır ve uygun bir insan incelemesi olmadan daha önce tamamlanmış insan değerlendirmesinin yerini almak veya onu etkilemek için tasarlanmamıştır.
• Bir yapay zekâ sistemi, Ek III’te belirtilen yüksek risk kategorileri açısından ilgili bir değerlendirmeye hazırlık görevi gerçekleştirmek üzere tasarlanmıştır.

Avrupa Birliği’nden gelecek daha fazla rehberliğin (ki, 2026 yılında bekleniyor) dâhil etme ve hariç tutma konularını netleştirip netleştirmeyeceği henüz belli değildir, zira birçok durumda iki kişi iki farklı sonuca varabilir.

5.1.3. Sınırlı risk (limited risk)

Bunlar, asgari kısıtlamalarla özgürce kullanılabilen ancak belirli şeffaflık yükümlülükleri olan yapay zekâ sistemleridir. Yapay zekâ sistemlerinin büyük çoğunluğu bu kategoriye girecektir:

• Bireylerle doğrudan etkileşime giren yapay zekâ sistemleri (chatbot’lar).
• Metin, görüntü, ses veya video içeriği üreten veya işleyen yapay zekâ sistemleri (genel amaçlı yapay zekâ sistemlerini de içerir).
• Kamuoyunu ilgilendiren konularda bilgilendirmek amacıyla yayınlanan metinleri üreten veya işleyen yapay zekâ sistemleri.
• Derin sahtecilik oluşturan görüntü, ses veya videoyu üreten veya işleyen yapay zekâ sistemleri (Derin sahtecilik, ‘var olan kişilere, nesnelere, varlıklara veya olaylara benzeyen ve bir kişiye gerçek veya doğru gibi görünen içeriktir’).
• Duygu tanıma sistemleri.
• Biyometrik kategorizasyon sistemleri.

5.2. Risk seviyeleri: genel amaçlı yapay zekâ modelleri

Genel amaçlı yapay zekâ modellerinin tüm sağlayıcılarına uygulanan bir dizi temel yükümlülük vardır (aşağıya bakın). AB içindeki bireyler için sistemik bir risk oluşturan genel amaçlı yapay zekâ modelleriyle ilgili olarak sağlayıcılara uygulanan ek yükümlülükler vardır.

Genel amaçlı yapay zekâ modelleri, Yapay Zekâ Yasası kapsamında aşağıdaki durumlarda sistemik risk taşıdığı kabul edilecektir:

Yüksek etkili yetenekler (hesaplama gücü 10^25 FLOP’tan [floating point operations (değişen nokta işlemleri)] büyük olan bir model veya AB tarafından yüksek etkili yeteneklere sahip olarak belirlenen bir model).

Aşağıdaki ölçütleri göz önünde bulundurarak, 10^25 FLOP’tan büyük hesaplama gücüne sahip bir modelin eşdeğer etkisine veya yeteneklerine sahiptir:

1. a) Model içindeki parametre sayısı.
2. b) Veri kümesinin kalitesi veya boyutu.
3. c) Hesaplama gücünün miktarı.
4. d) Modelin kullandığı girdi veya çıktı türü.
5. e) Uygulanabilir kıstaslar.
6. f) Modelin geniş bir erişime sahip olup olmadığı (genel amaçlı yapay zekâ modelinin Avrupa Birliği’nde en az 10 bin ‘tescilli/kayıtlı işletme kullanıcısı’ olduğu durumlarda AB tarafından varsayılacaktır).
7. g) AB içindeki nihai kullanıcı sayısı.
8. Yapay Zekâ Sistemlerine İlişkin Yükümlülükler

6.1. Bütün yapay zekâ sistemleri

Yapay zekâ sistemleri sağlayıcıları ve uygulayıcıları/konuşlandırıcıları/yayıcıları, yapay zekâ sistemlerini kullanan veya geliştiren personellerinin ve diğer personelin yapay zekâ okuryazarı olmasını sağlamak için ‘önlemler’ almak zorundadır. Risk seviyesi önemli değildir.

6.2. Yüksek riskli yapay zekâ sistemleri

Yükümlülüklerin büyük çoğunluğu yüksek riskli yapay zekâ sistemlerinin sağlayıcılarına ve uygulayıcılarına/konuşlandırıcılarına/yayıcılarına düşmektedir.

Aşağıda kısa bir özet yer almaktadır (bir bireyin veya kuruluşun bir yapay zekâ sistemi geliştirirken veya kullanırken sahip olabileceği ilgili role göre ayrılmıştır).

6.2.1. Sağlayıcılar

Yüksek riskli yapay zekâ sistemlerinin sağlayıcıları şunları yapmakla yükümlü olacaktır:

1. Bir risk yönetim sistemi kurmak, uygulamak, belgelemek ve sürdürmek. Bunun, ‘yüksek riskli bir yapay zekâ sisteminin tüm yaşam döngüsü boyunca planlanan ve yürütülen, düzenli sistematik inceleme ve güncelleme gerektiren sürekli yinelemeli bir süreç’ olması ve aşağıdaki adımlardan oluşması öngörülmektedir:

• Yüksek riskli yapay zekâ sisteminin hedeflenen amacına uygun olarak kullanıldığında sağlık, güvenlik veya temel haklar açısından bilinen ve makul ölçüde öngörülebilir risklerin belirlenmesi ve analizi;
• Yüksek riskli yapay zekâ sisteminin hedeflenen amacına uygun olarak kullanılması ve makul ölçüde öngörülebilir kötüye kullanım koşulları altında ortaya çıkabilecek risklerin tahmin edilmesi ve değerlendirilmesi;
• Muhtemelen ortaya çıkabilecek diğer risklerin değerlendirilmesi [piyasa sonrası izleme sistemi ve ondan toplanan verileri içerecektir (aşağıda daha fazla bilgi bulunabilir)],
• Belirlenen riskleri ele almak üzere tasarlanmış uygun ve hedefli risk yönetimi önlemlerinin benimsenmesi.

Merkezi nokta, yapay zekâ sisteminin titiz bir şekilde test edilmesidir. Bu tür testler, tanımlanan risklere karşı koruma sağlamak ve risk azaltma önlemlerinin pratikte işe yaramasını sağlamak için, yüksek riskli yapay zekâ sisteminin hedeflenen amacına uygun önceden tanımlanmış ölçütlere/metriklere ve olasılık eşiklerine karşı yürütülecektir.

2. Yüksek riskli yapay zekâ sistemi üzerinde veri yönetimi ve yönetişim sistemleri kurmak. Bu, eğitim verileri, girdi ve çıktı verileri de dâhil olmak üzere tüm ilgili veri kümelerini sürekli olarak kapsar.

Önemlisi, bu bağlamda Genel Veri Koruma Yönetmeliği ile açık bir etkileşim vardır. Özel kategori kişisel verilerinin yalnızca önyargı tespiti ve düzeltmesi için kesinlikle gerekli olduğu durumlarda yüksek riskli yapay zekâ sistemlerinin eğitimi, doğrulanması ve test edilmesi için kullanılmasına izin verilir. Bu kısıtlama, Genel Veri Koruma Yönetmeliği kapsamında şu anda yasal olarak mümkün olandan daha azdır.

3. Yüksek riskli yapay zekâ sisteminin nasıl işlediğini gösteren teknik dokümantasyon üretmek. Buna şunlar dâhildir:

• Yüksek riskli yapay zekâ sisteminin genel tanımı.
• Öğelerinin ve geliştirme sürecinin ayrıntılı açıklaması. Yapay zekâ sisteminin nasıl kontrol edildiğine dair ayrıntılı bilgi. Performans ölçütlerinin uygunluğuna dair bir açıklama. Risk yönetim sisteminin ayrıntılı açıklaması (yukarıya bakın). Yüksek riskli yapay zekâ sisteminin geliştirilmesi sırasında sağlayıcı tarafından yapılan ilgili değişikliğin açıklaması. Yapay zekâ sistemine uygulanabilir tüm standartların listesi.
• Yüksek riskli yapay zekâ sisteminin nasıl çalıştığını ve devreye alındığında nasıl kullanıldığını ölçmek için uygulanan piyasa sonrası önlemlerin ve sistemlerin ayrıntılı açıklaması.

4. Yüksek riskli yapay zekâ sisteminin, kullanım ömrü boyunca olayları ve kullanım kayıtlarını kaydedebildiğinden emin olmak.
5. Yüksek riskli yapay zekâ sisteminin işletiminin, dağıtıcının çıktısını yorumlayıp kullanabileceği ölçüde şeffaf olduğundan emin olmak. Bu, her dağıtıcı için kullanım ve talimat dokümantasyonu sağlamayı içerir – (özetle) şunları içermelidir:

• Sağlayıcının kimliği ve varsa yetkili temsilcisi (aşağıya bakınız).
• Yüksek riskli yapay zekâ sisteminin performansının özellikleri, yetenekleri ve sınırlamaları.
• Sağlayıcı tarafından önceden belirlenen yüksek riskli yapay zekâ sisteminde ve performansında yapılan değişiklikler.
• İnsan gözetim önlemleri (aşağıya bakınız).
• Gerekli hesaplama ve donanım kaynakları, yüksek riskli yapay zekâ sisteminin beklenen ömrü ve gerekli bakım ve özen tedbirleri.
• Dağıtıcıların olay ve kullanım günlüklerini düzgün bir şekilde toplamasına, depolamasına ve yorumlamasına olanak tanıyan yüksek riskli yapay zekâ sisteminde yer alan mekanizmaların açıklaması.

6. Yüksek riskli yapay zekâ sistemini insan denetimini sağlayacak şekilde tasarlamak, geliştirmek ve sürdürmek.
7. Yüksek riskli yapay zekâ sistemini, sistemin doğruluğunu, sağlamlığını ve siber güvenliğini sağlayacak şekilde tasarlamak, geliştirmek ve sürdürmek.
8. Nihai kullanıcılara sağlayıcının adı, ticari unvanı ve iletişim adresi dâhil olmak üzere ilgili bilgileri sağlamak.
9. Yüksek riskli yapay zekâ sisteminin tüm geçerli erişilebilirlik koşullarına uyduğundan emin olmak.
10. Sağlayıcının sürekli olarak Yapay Zekâ Yasası’na uymasını sağlamak için bir kalite yönetimi uygulamak.
11. Yüksek riskli yapay zekâ sisteminin devreye alındığı tarihten itibaren 10 (on) yıl süreyle teknik dokümanlarını, kalite yönetim sistemi dokümanlarını ve diğer ilgili belgeleri saklamak.
12. Sağlayıcının, yüksek riskli yapay zekâ sisteminin Yapay Zekâ Yasası’na uygun olmadığını düşünmesi veya değerlendirmesi için bir nedeni olması durumunda düzeltici eylemlerde bulunmak (geri çağırma, erişimi devre dışı bırakma veya yüksek riskli yapay zekâ sistemini satıştan çekme gibi adımlar dâhil).
13. İlgili tüm mercilerle işbirliği yapmak.
14. AB dışında kurulmuş veya yerleşik sağlayıcılar için yetkili bir temsilci atamak (Genel Veri Koruma Yönetmeliği kapsamındaki mevcut gerekliliğe benzer şekilde).
15. Yapay Zekâ Yasası’nın tüm yönlerine uyulduğundan emin olmak için dağıtımdan önce ayrıntılı bir uygunluk değerlendirmesi yapmak. Sağlayıcının, dağıtmayı planladığı yüksek riskli yapay zekâ sisteminin kategorisine bağlı olarak uyması gereken belirli protokoller vardır.
16. Yüksek riskli yapay zekâ sisteminin tüm geçerli yasalara uyduğunu ve sağlayıcı hakkında özel bilgiler içerdiğini belirten bir ‘uygunluk beyanı’ geliştirmek. Bunun saklanması ve talep üzerine yetkili bir makama sunulması gerekir.
17. Yüksek riskli yapay zekâ sistemine CE işareti iliştirmek. Bu CE işareti, AB pazarında sunulan fiziksel ürünler için yaygın bir uygulamadır.
18. Yüksek riskli yapay zekâ sistemlerinin yer aldığı AB veri tabanına tescil olmak.
19. Yüksek riskli yapay zekâ sistemlerinin ömrü boyunca performansına ilişkin olarak uygulayıcılar/konuşlandırıcılar/yayıcılar tarafından sağlanabilecek veya diğer kaynaklardan toplanabilecek ilgili verileri aktif ve sistematik bir şekilde toplayacak, belgeleyecek ve analiz edecek ve sağlayıcının yapay zekâ sistemlerinin Yapay Zekâ Yasası’na sürekli uyumunu değerlendirmesine olanak tanıyacak olan piyasa sonrası izlemeyi gerçekleştirmek.
20. Yüksek riskli yapay zekâ sistemine ilişkin tüm ciddi olayları bildirmek. Ciddi bir olay, şunlara yol açan bir olaydır:

Bir bireyin ölümü veya sağlığının ciddi şekilde zarar görmesi;

Kritik altyapının ciddi ve geri döndürülemez şekilde bozulması;

Temel hak ve özgürlükleri koruyan Avrupa Birliği hukukunun ihlali,

Bir mülke veya çevreye ciddi zarar verilmesi.

İlgili makam, sağlayıcının olaydan haberdar olmasından itibaren en geç 15 (on beş) gün içinde bilgilendirilmelidir. Kritik altyapının ciddi ve geri döndürülemez şekilde bozulması veya bir kişinin ölümü durumunda daha kısa zaman dilimleri vardır.

6.2.2. Uygulayıcılar/Konuşlandırıcılar/Yayıcılar

Uygulayıcıların/Konuşlandırıcıların/Yayıcıların yüksek riskli yapay zekâ sistemleri dağıttıkları yerlerde daha az yoğun yükümlülükleri vardır. Yükümlülükleri şunları içerir:

1. Sağlayıcının talimatlarına uymak ve bu tür teknik ve organizasyonel önlemlerin, uyabilmelerini sağlamak için uygulayıcı organizasyonunda mevcut olduğundan emin olmak. Bu talimatlar, sağlayıcının uygulayıcıya/konuşlandırıcıya/yayıcıya üretmesi ve sağlaması gereken talimatlardır, diğer konularla ilgili günlük talimatlar değildir.
2. Yüksek riskli yapay zekâ sisteminin insan gözetiminde olmasını sağlamak.
3. Uygulayıcının/Konuşlandırıcının/Yayıcının giriş verileri üzerinde kontrolü olmasını ve giriş verilerinin yüksek riskli yapay zekâ sistemine uygun ve uygulanabilir olmasını sağlamak.
4. Yüksek riskli yapay zekâ sisteminin sürekli izlenmesini gerçekleştirmek.
5. Yüksek riskli yapay zekâ sisteminin oluşturduğu günlükleri tutmak.
6. Yüksek riskli bir yapay zekâ sisteminin konuşlandırılmasından etkilenen herhangi bir personel varsa, bunu çalışanlara karşı şeffaf bir şekilde belirtmek.
7. Yüksek riskli yapay zekâ sistemiyle bağlantılı olarak kişisel verileri işleyeceklerse, veri koruma etki değerlendirmesi gerçekleştirmek.
8. Yüksek riskli yapay zekâ sistemi bireylere uygulanabilir kararlar alıyorsa, ilgili bireylere yapay zekâ kullanımına tabi oldukları bilgisinin verilmesini sağlamak ve kararına tabi olan bir kişiden gelen her türlü talebe, bu karara nasıl varıldığını açıklamaları yönünde yanıt vermek.
9. İlgili makamlarla işbirliği yapmak.
10. Yüksek riskli yapay zekâ sistemi bireylerin kredibilitesini değerlendiriyorsa veya onları hayat veya sağlık sigortası bağlamında değerlendiriyorsa, yüksek riskli yapay zekâ sistemi için bir ‘Temel Haklar Etki Değerlendirmesi’ gerçekleştirmek. Uygulayıcılar/Konuşlandırıcılar/Yayıcılar, sistemi pratikte kullanmışsa sağlayıcı tarafından gerçekleştirilen herhangi bir önceki Temel Haklar Etki Değerlendirmesine güvenebilirler. İlgili makama bir değerlendirme yapıldığını bildirme zorunluluğu vardır.

6.2.3. Ürün üreticileri

Ürün üreticileri esasen tedarikçilere eşdeğerdir. Tedarikçilere uygulanan yükümlülükler ürün üreticilerine de uygulanacaktır, ancak gerekli analiz ve ilgili dokümantasyon, ürünlerinin güvenli olduğunu onaylamaktan sorumlu geçerli AB veya üye devlet kuruluşuna sunmaları ve bulundurmaları gereken mevcut dokümanlarla entegre edilebilir.

6.2.4. İthalatçılar

Diğer koşulların yanı sıra, ithalatçı, yüksek riskli yapay zekâ sistemini piyasaya sürmeden önce, yüksek riskli yapay zekâ sisteminin Yapay Zekâ Yasası’na uygunluğunu aşağıdakileri kontrol ederek sağlamalıdır:

• Uygunluk değerlendirmesinin sağlayıcı tarafından gerçekleştirilmiş olması.
• Sağlayıcının, yüksek riskli yapay zekâ sistemine ilişkin ilgili teknik belgeleri hazırlamış olması.
• Yüksek riskli yapay zekâ sisteminin CE işaretini taşıması.
• Sağlayıcının, varsa, yetkili bir temsilci atamış olması.

İthalatçı, Yapay Zekâ Yasası’na uygunluğunu sağlamadan yüksek riskli yapay zekâ sistemini AB’de piyasaya süremez. Uygunsuzluğa düşerse, ithalatçının ilgili taraflara (ilgili otorite dâhil) bildirimde bulunması gerekecektir.

İthalatçı, Yapay Zekâ Yasası uyarınca bir doğrulama sistemi olarak hareket etmekle yükümlüdür ve yüksek riskli yapay zekâ sisteminin AB içindeki bireylerin hakları ve özgürlükleri açısından önemli bir risk oluşturması halinde Yapay Zekâ Yasası uyarınca sorumluluğunu sürdüreceği açıktır.

6.2.5. Dağıtıcılar

Dağıtıcıların ithalatçılara benzer yükümlülükleri vardır, ancak ithalatçının Yapay Zekâ Yasası’na uygunluğunu doğrulamaları da gerekir. Nihai satış noktasının tedarik zinciri boyunca sorumluluğu taşıdığı açıktır.

Önemlisi, dağıtıcının ithalatçıya karşı yüksek riskli yapay zekâ sistemini Yapay Zekâ Yasası’na uygun hale getirme ve uyumunu sağlamak için ‘düzeltici eylemler’ yapma konusunda ek bir yükümlülüğü bulunmaktadır.

6.3. Sınırlı riskli yapay zekâ sistemleri

Sağlayıcılar ve uygulayıcılar/konuşlandırıcılar/yayıcılar belirli türde sınırlı riskli yapay zekâ sistemleri geliştirdiğinde (yukarıya bakın), yapay zekâ sisteminin belirli yönleri hakkında şeffaf olmaları ve söz konusu sınırlı riskli yapay zekâ sistemi türüne uygulanabilir ek koşullara uymaları gerekecektir.

Yapay zekâ sistemine ilişkin bilgi gereksinimleri, ‘açık ve ayırt edilebilir bir biçimde’ ve ilgili yapay zekâ sistemiyle (veya çıktısıyla) ilk etkileşim anında veya daha önce sağlanmalıdır.

6.3.1. Sağlayıcılar

• Bireylerle doğrudan etkileşime girmesi amaçlanan bir yapay zekâ sisteminin sağlayıcıları, ilgili birey için açıkça belli olmadığı sürece, bir yapay zekâ ile etkileşimde bulunduklarını açıkça belirtmelidir.
• Genel amaçlı yapay zekâ sistemleri de dâhil olmak üzere ses, görüntü, video veya metin içeriği üreten veya işleyen yapay zekâ sistemlerinin sağlayıcıları, bu tür içeriğin yapay zekâ tarafından üretildiği şekilde ‘tespit edilebilir’ olmasını sağlamalıdır.

Bu, Yapay Zekâ Yasası’ndaki temel yükümlülüklerden biridir (üretici yapay zekâ en yaygın yapay zekâ türü olduğundan) ve muhtemelen en kapsamlı ve önemli olanıdır. Sağlayıcıların ilgili çözümlerin ‘teknik olarak mümkün olduğu sürece etkili, birlikte çalışabilir, sağlam ve güvenilir’ olmasını sağlamaları için ek bir koşul vardır.

Bu koşulun nasıl işleyeceği ise hâlâ tartışılmaktadır.

6.3.2. Uygulayıcılar/Konuşlandırıcılar/Yayıcılar

• ‘Duygu tanıma ve biyometrik kategorizasyon sistemleri’ uygulayıcıları, bunlara maruz kalan kişilere bu sistemlerin çalıştığını bildirmeli ve ilgili tüm kişisel veri işlemelerinin Birleşik Krallık Genel Veri Koruma Yönetmeliği’ne uygun olarak yapılmasını sağlamalıdır.

Örneğin, yapay zekâ kapasitesine sahip CCTV kameralarının uygulayıcılarının, yapay zekâ sisteminin kullanımı hakkında bilgi (standart CCTV bildirimleriyle birlikte) yayınlamaları gerekecektir.

• Derin sahtecilik oluşturan görüntü, ses veya video içeriği üreten veya işleyen yapay zekâ sistemlerini kullananlar: ‘İçeriğin yapay olarak üretildiğini veya işlendiğini ifşa etmelidir’.

Derin sahteciliğin ‘açıkça’ sanatsal, yaratıcı, hicivsel veya kurgusal olması durumunda, yükümlülük, ‘eserin sergilenmesini veya keyfinin çıkarılmasını engellemeyecek’ şekilde bir açıklama yapılmasına indirgenir.

• Kamuoyunu kamu yararına olan konularda bilgilendirmek amacıyla metin üreten veya işleyen bir yapay zekâ sisteminin uygulayıcıları, metnin yapay olarak üretildiğini veya işlendiğini ifşa etmek zorunda kalacaktır. Bu, insan incelemesinden ‘geçmiş’ metinler için geçerli değildir. Bu koşulun geçerli olması için ne kadar insan incelemesinin gerekli olduğu henüz belli değildir.

7. Genel Amaçlı Yapay Zekâ Modelleri İçin Geçerli Yükümlülükler

Genel amaçlı yapay zekâ modelleri sağlayıcılarının Yapay Zekâ Yasası’na uyması gerekir. Uyum düzeyi, genel amaçlı yapay zekâ modelinin sistemsel bir risk oluşturup oluşturmadığına bağlıdır (yukarıya bakın).

7.1. Bütün modeller

Bütün modellerin sağlayıcılarının şunları yapması gerekmektedir:

• Modele ilişkin teknik dokümantasyonu hazırlamak (eğitim ve test süreci ile değerlendirme sonuçları dâhil) [sağlayıcılara ilişkin ilgili yükümlülüklere ilişkin yukarıdaki tartışmaya bakın].
• Yapay zekâ sistemlerine genel amaçlı yapay zekâ modelini entegre edecek yapay zekâ sistemleri sağlayıcılarına gerekli tüm bilgileri ve belgeleri sunmak. Belgelerin muhtemelen sağlayıcıların daha genel olarak tutması gereken tüm belgeleri kapsaması (yukarıya bakın) ve ayrıca, alt akış yapay zekâ sistemleri sağlayıcılarının genel amaçlı yapay zekâ modelini anlamalarını ve Yapay Zekâ Yasası kapsamındaki yükümlülüklerine uymalarını sağlamak için yeterli olması gerekecektir.
• Telif hakkı ve ilgili fikri mülkiyet hakları yasalarına uymak için bir politika geliştirmek ve bu politikaya uymak.
• ‘Genel amaçlı yapay zekâ modelinin eğitimi için kullanılan içerik hakkında yeterince ayrıntılı bir özet’ üretmek ve kamuoyuna açık hale getirmek.

Yukarıdaki yükümlülükler, genel amaçlı yapay zekâ modellerini açık kaynaklı olarak kullanıma sunan sağlayıcılar için geçerli değildir. Yurt dışında bulunan sağlayıcıların da Avrupa Birliği’nde yetkili bir temsilci ataması gerekecektir.

7.2. Sistemik risk içeren genel amaçlı yapay zekâ modelleri

Genel amaçlı yapay zekâ modelleri sağlayıcılarının tümüne yönelik yükümlülüklere ek olarak (sistemik olarak riskli model açık kaynak temelinde kullanıma sunulsa bile), sistemik risk içeren genel amaçlı yapay zekâ modelleri sağlayıcılarının şunları yapması gerekmektedir:

• Sistemsel riskleri belirlemek ve azaltmak için düşmanca testlerin de dâhil olduğu bir ‘model değerlendirmesi’ gerçekleştirmek.
• Olası sistemsel riskleri ve modelin kullanımından kaynaklanacak riskleri değerlendirmek ve azaltmak.
• Modelle ilgili ciddi olayları takip etmek ve bunlara müdahale etmek.
• Yeterli düzeyde siber güvenlik koruması veya genel amaçlı yapay zekâ modelini korumak.
• Keşfedilmesinden itibaren 2 (iki) hafta içinde, Avrupa Birliği içindeki ilgili makama, modellerinin sistemik risk taşıdığına dair ölçütleri karşıladığını bildirmek.

8. Cezalar

Yapay Zekâ Yasası önemli cezalarla uygulanacaktır:

• Yasaklı bir yapay zekâyı geliştiren veya kullanan herhangi bir kişi veya kuruluşa 35 milyon avro veya kuruluşun dünya çapındaki yıllık cirosunun yüzde 7’si tutarında idari para cezası verilecektir.
• Geriye kalan yükümlülüklere uyulmaması durumunda 15 milyon avro veya kuruluşun dünya çapındaki yıllık cirosunun yüzde 3’ü oranında idari para cezasına yol açabilir.
• Yapay Zekâ Yasası kapsamında bir yetkili makamın talebi üzerine yanlış veya yanıltıcı bilgi verilmesi, 35 milyon avro veya bir kuruluşun dünya çapındaki yıllık cirosunun yüzde 7’si tutarında idari para cezasına yol açabilir.

Küçük ve orta büyüklükte işletmeler daha düşük tutara, daha büyük kuruluşlar ise daha yüksek tutara tabi olacaktır.

9. Yürürlükte Olanlar ve Yürürlükte Olmayanlar

Yasaklanmış yapay zekâ sistemlerine ilişkin hükümler artık yürürlüktedir (02 Şubat 2025 tarihinden itibaren). Yapay zekâ okuryazarlığına ilişkin yükümlülükler de öyledir.

Genel amaçlı yapay zekâ modelleri sağlayıcılarına ilişkin yükümlülükler 02 Ağustos 2025 tarihinden itibaren yürürlüğe girecektir.

Bazı yüksek riskli yapay zekâ sistemlerinin sağlayıcılarına ilişkin koşullar ve sınırlı riskli yapay zekâ sistemi şeffaflık koşulları da dâhil olmak üzere diğer hükümlerin çoğu 02 Ağustos 2026 tarihinde yürürlüğe girecektir.

Düzenlenmiş ürünlerle entegre edilmiş yapay zekâ sistemlerine ilişkin yükümlülükler 02 Ağustos 2027 tarihinden itibaren yürürlüğe girecektir.

10. Yapay Zekâ Yasası ve Diğer Yasalara Uyum

Eğer Birleşik Krallık’ta faaliyet gösteren ve Avrupa Birliği’nde bir yapay zekâ sistemi kurmayı veya dağıtmayı hedefleyen bir işletme söz konuysa, o zaman Yapay Zekâ Yasası’na hazırlıklı olunması gerekir. Ayrıca, yukarıda değinildiği üzere, Genel Veri Koruma Yönetmeliği ve diğer mevcut kurallar, yapay zekâ sisteminin Yapay Zekâ Yasası kapsamına girip girmediğine bakılmaksızın, yapay zekânın geliştirilmesi ve kullanımı için zaten geçerli olacaktır.

[1]<https://hbr.org/2024/12/what-is-agentic-ai-and-how-will-it-change-work>.

[2]<https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ:L_202401689>.

[3]<https://digital-strategy.ec.europa.eu/en/library/commission-publishes-guidelines-ai-system-definition-facilitate-first-ai-acts-rules-application>.

[4]<https://digital-strategy.ec.europa.eu/en/library/commission-publishes-guidelines-prohibited-artificial-intelligence-ai-practices-defined-ai-act>.