Küresel yapay zekâ güvenliği nasıl denetlenebilir hale gelir?

Bir yapay zekâ şirketinin “sistemimiz güvenli” demesi yeterli değil. Asıl soru, bu iddianın şirket dışındaki uzmanlarca sınanıp sınanamayacağı ve kanıt yetersiz kaldığında bir kurumun devreye girip giremeyeceği. Singapur Dijital Kalkınma ve Enformasyon Bakanı Josephine Teo’nun havacılıkla kurduğu benzetmenin özü de bu: Uçuşlara duyulan güven, tek bir onaydan değil, birbirini tamamlayan güvenlik katmanlarından doğdu. Yapay zekânın yaygın kullanımı için de benzer biçimde güven inşa edilmesi gerekiyor. 36

Havacılıktan alınacak ders: Adım adım ilerlemek

Uluslararası havacılık kuralları bir gecede ortaya çıkmadı. Önce ulusal yasalar ve ikili anlaşmalar vardı; 1919 Paris Sözleşmesi ilk uluslararası kurallardan bazılarını getirdi. 1944 Chicago Sözleşmesi yeni bir çerçeve kurdu, Uluslararası Sivil Havacılık Örgütü (ICAO) ise 1947’de faaliyete geçti. 313935 Yapay zekâ için ders, uçaklara uygulanan kuralları aynen almak değil; uygulanabilir anlaşmalarla başlayıp ortak uygulamalar oluştukça sistemi güçlendirmek.

Böyle bir düzende uluslararası eşgüdümü sağlayan bir yapı asgari standartlar geliştirebilir, bağımsız test kuruluşlarını akredite edebilir ve ülkelerden gelen olay verilerini karşılaştırabilir. Ulusal düzenleyiciler ise inceleme yapma, değişiklik isteme, kullanımı sınırlama ve yaptırım uygulama yetkisini elinde tutmalı. Uluslararası bir sertifika, ülke içindeki denetimin yerine geçmemeli.

Güvenlik, sistem piyasaya çıktıktan sonra da sürmeli. Kullanıma sunulmadan önceki testleri çalışma sırasındaki izleme, önemli güncellemelerden sonra yeniden değerlendirme ve gerektiğinde önceki sürüme dönme ya da sistemi kullanımdan kaldırma planları izlemeli. Bir onay, yalnızca değerlendirilen sürüm ve kullanım koşulları için geçerli olmalı.

Güvenlik iddiasını denetlenebilir kanıta dönüştürmek

Bağımsız doğrulama, bir başarı rozeti ya da yayımlanmış test puanından fazlasını gerektirir. Akredite değerlendiriciler ilgili modele, kullanım yapılandırmasına, belgelere ve önemli arızaların kayıtlarına güvenli koşullarda erişebilmeli. Yöntemler ve bulgular, başka bir yetkin ekibin bunları sorgulayabileceği kadar açık olmalı; erişim kuralları da kişisel verileri, ticari sırları ve güvenlik açısından hassas bilgileri korumalı.

Yüksek riskli sistemler için geliştiricilerden bir güvenlik gerekçesi sunmaları istenebilir: Sistem hangi işleri yapacak, nasıl test edildi, hangi önlemlerin işe yaradığı gösterildi, geriye hangi riskler kaldı ve olay yaşanırsa ne yapılacak? Kanıt yetersizse düzenleyici kurum düzeltme isteyebilmeli veya kullanımı sınırlayabilmeli. Hedef, hiçbir zararın yaşanmayacağına dair imkânsız bir garanti değil; tanımlı şartlara uyumun doğrulanması.

Testin parasını kimin ödediği de bağımsızlığı etkiler. Büyük geliştiricilerin, kendilerini değerlendirecek kuruluşu doğrudan seçip yönetmesi yerine ortak bir fona veya düzenleyicinin yönettiği bir finansman mekanizmasına katkı yapması düşünülebilir. Ciddi arızalar ve kıl payı atlatılan olaylar bağımsız biçimde incelenmeli. Bildirim yapanları korumak öğrenmeyi kolaylaştırır; ancak olay gizlemeye veya kasıtlı suistimale dokunulmazlık sağlamamalı.

Singapur bir buluşma noktası olabilir mi?

Teo, yapay zekâ kullanımı artarken güvenlik önlemlerinin de geliştirilmesi gerektiğini savunuyor. Haberlerde Singapur’un AI Verify test araçları ve Yapay Zekâ Güvenliği Enstitüsü, ülkenin test ve güvence çalışmalarının dayanakları arasında gösteriliyor. 13 Singapur, daha geniş bir akredite laboratuvar ağı içinde ortak değerlendirmelere veya gizli teknik görüşmelere ev sahipliği yapabilir.

Fakat bir merkeze ev sahipliği yapmak, ABD ile Çin’in o merkeze kendiliğinden güveneceği anlamına gelmez. Bunun için şeffaf yönetim, güvenli erişim kuralları, bağımsız itiraz yolları ve iki ülkenin de katılmaya istekli olması gerekir. Dağıtık bir laboratuvar ağı, güvenin tek bir merkeze bağımlı kalmasını da önler.

Önce ortak tehlikelerde anlaşmak

Yapay zekânın geliştirilme hızı konusunda görüş ayrılıkları sürüyor. Reuters’a göre Dario Amodei, Sam Altman ve Elon Musk eşgüdümlü bir yavaşlama çağrısı yaparken Mark Zuckerberg piyasanın yön verdiği güvenlik önlemlerinden yana; Jensen Huang ise yeni düzenleme ihtiyacını reddediyor. 4748 Çin yavaşlama çağrılarını geri çevirdi. ABD Başkanı Donald Trump da 24 Eylül’de Xi Jinping ile yaptığı zirvede yapay zekâya yönelik koruyucu kurallarda ilerleme beklemediğini söyledi; zirveye ilişkin haberlerde büyük bir atılım beklentisinin düşük olduğu belirtildi. 585049

Yine de ülkelerin her konuda anlaşması gerekmiyor. ABD’li ve Çinli güvenlik uzmanlarının önerilerine ilişkin haberlerde, nükleer sistemlere yönelik kırmızı çizgiler, ciddi sonuçlar doğurabilecek siber saldırılarda insan denetimi ve otonom yapay zekâ olayları için doğrudan iletişim hattı öne çıkıyor. 20 Acil temas noktaları, ciddi olayların bildirilmesi ve karşılıklı teknik görüşmeler, daha dar kapsamlı ilk anlaşmalar olabilir. ABD ile Çin’in katılımı önemli; ancak diğer ülkelerin de standartların belirlenmesinde söz hakkına ve test kapasitesine erişime ihtiyacı var.

Kapsamı riske göre belirlemek

Silah kontrolünden alınabilecek ilke, karşılıklı taahhütleri doğrulanabilecek kadar açık ve sınırlı tutmak. Gelecekteki bir yapay zekâ anlaşması, eşgüdüm ve uyum incelemesi için kalıcı bir yapı kurabilir; teknik test yöntemlerinin ise zamanla güncellenmesine izin verebilir. Ne nükleer anlaşmalar ne de ICAO, yapay zekâ için hazır bir şablon sunuyor.

Finansal denetimden alınabilecek ilke ise en ağır yükümlülükleri, başarısızlığın en büyük zararı doğurabileceği yerlere yöneltmek. Yüksek riskli sistemleri geliştiren veya kullanan kuruluşlar bağımsız değerlendirmeye, yönetim sorumluluğuna, aksaklık sonrası toparlanma planlarına ve ciddi güvenlik sorunları, önemli veri sızıntıları, siber saldırılar ya da model hırsızlığı için hızlı bildirim kurallarına tabi tutulabilir. Düşük riskli hizmetler sunan küçük firmalar ortak test altyapısından ve daha sade belgelendirmeden yararlanabilir. Ancak şirketin küçük olması, tehlikeli bir sistemi denetim dışında bırakmamalı.

2030’a kadar bir anlaşma ve kalıcı uluslararası kurum kurmak iddialı bir politika hedefi olabilir; güvenilir bir tahmin değil. Daha yakın ve somut başarı ölçütü şu: Ülkeler olayların nasıl tanımlanacağında, değerlendiricilerin nasıl bağımsız kalacağında ve karşılıklı güvencelerde anlaşabiliyor mu? Kanıt yetersiz kaldığında düzenleyiciler gerçekten harekete geçebiliyor mu?