AB’nin 88c Maddesi, Yapay Zekâ Eğitim Verilerinde Ne Değiştirebilir?

AB’deki Dijital Omnibus tartışması bazen, şirketlerin kişisel verileri rıza almadan yapay zekâ eğitmek için serbestçe kullanacağı bir plan gibi sunuluyor. Ancak önerilen GDPR 88c maddesinin kapsamı bundan çok daha dar.

Madde, kişisel veri işlemenin bir yapay zekâ sistemi ya da modelinin hukuka uygun biçimde tasarlanması, geliştirilmesi veya kullanılması için işlevsel olarak gerekli olduğu durumlarda, GDPR’nin 6(1)(f) maddesindeki meşru menfaatin olası bir hukuki dayanak olabileceğini açıkça belirtmeyi amaçlıyor. Bu, GDPR’yi devre dışı bırakmaz; her türlü web kazıma faaliyetini otomatik olarak hukuka uygun kılmaz ve başka bir kural rıza gerektiriyorsa rızayı gereksiz hâle getirmez.13

Kritik ayrım şu: 88c, yürürlüğe girmiş yapay zekâ odaklı Dijital Omnibus düzenlemesinin değil, Dijital Omnibus veri teklifinin parçası. Dosya AB yasama sürecinde olmaya devam ediyor; dolayısıyla nihai metin ve sonuç henüz kesinleşmiş değil.

88c maddesi neyi değiştirebilir?

Önerilen ifadeye göre bir veri sorumlusu veya üçüncü taraf, bir yapay zekâ sisteminin ya da modelinin yaşam döngüsündeki kişisel veri işlemesine, hukuka uygun tasarım, geliştirme veya kullanım için işlevsel olarak gerekli olması koşuluyla meşru menfaat temelinde dayanabilir.3

Bu yaklaşım, GDPR kapsamında zaten bazı durumlarda mümkün olabilen bir yolu yapay zekâ bağlamında daha açık hâle getirebilir. Avrupa Veri Koruma Kurulu (EDPB), daha önce meşru menfaatin bazı koşullarda yapay zekâ modellerinin ve sistemlerinin geliştirilmesi ya da devreye alınması için uygun bir hukuki temel olabileceği sonucuna varmıştı.45

Ancak buradaki “olabilir” ifadesi belirleyici. Bir şirket yalnızca yapay zekâ modeli geliştirme çıkarını öne sürerek işlemi meşrulaştıramaz. Normal meşru menfaat değerlendirmesini yine yapmak zorunda olur:

• gerçek ve hukuka uygun bir menfaat ortaya koymak,
• veri işlemenin bu menfaat için gerekli olduğunu göstermek,
• bu menfaati, verisi işlenen kişilerin hak ve özgürlükleriyle dengelemek.15

Rıza gerektiren diğer AB veya ulusal hukuk kuralları da uygulanmaya devam eder. Bu nedenle 88c, kamuya açık veya özel nitelikteki her kişisel verinin model eğitimi için toplanmasına yönelik genel bir izin anlamına gelmez.1

Tartışılan güvenceler neden önemli?

88c tartışmasının odağında, meşru menfaatin hiçbir zaman kullanılıp kullanılamayacağından çok, bu dayanağa hangi korumaların eşlik edeceği bulunuyor.

Gündeme gelen güvenceler arasında kaynak seçimi ve eğitim sürecinde veri minimizasyonu, teknik ve organizasyonel korumalar, anlamlı şeffaflık, makine tarafından okunabilir itiraz veya çıkış taleplerini tanıyan mekanizmalar yer alıyor. Önerilen yaklaşım ayrıca ilgili yapay zekâ işlemesine karşı koşulsuz itiraz hakkı öngörüyor.13

Bu korumalar uygulamada belirleyici olur. Veri minimizasyonu, bir geliştiricinin “ileride işe yarayabilir” gerekçesiyle mümkün olan tüm veriyi toplamasını engellemeyi amaçlar. Şeffaflık, kişilerin verilerinin nasıl kullanıldığını anlayabilmesini sağlar. Etkili bir itiraz hakkı ise erişilmesi zor bir ayar sayfasından fazlasını gerektirir.

Hassas veriler için sınırsız bir alan açılmıyor

Konsey belgelerindeki ilgili tartışma, özel nitelikli kişisel veriler bakımından daha dar bir senaryoya işaret ediyor: tesadüfi ve artakalan işleme. Yani veri sorumlusu başlangıçta hassas verileri işlemeyi amaçlamaz; ancak ana işleme faaliyeti içinde bu veriler kaçınılmaz biçimde sınırlı ölçüde bulunur. Bu, hassas kişisel verileri eğitim malzemesi olarak kasıtlı biçimde toplamaktan farklıdır.2

EDPB ve EDPS neden kaygılı?

EDPB ile Avrupa Veri Koruma Denetçisi (EDPS), meşru menfaatin yapay zekâyla ilgili işlemleri hiçbir zaman destekleyemeyeceğini söylemedi. Temel itirazları, mevcut GDPR analizi zaten uygun vakalarda bu sonucu mümkün kıldığı için yapay zekâya özel bir 88c maddesinin gerekli olmadığı yönünde.45

Kaygıları hem hukuki hem pratik: Yapay zekâya özgü yeni bir hüküm, yalnızca açıklama getirmekten öteye gidiyormuş gibi yorumlanabilir ve yerleşik GDPR korumaları bakımından belirsizlik doğurabilir. Düzenleyicilerin görüşü bağlayıcı değil, istişari nitelikte; yine de yasama tartışmasında önemli bir ağırlığa sahip.5

88c geri mi getirildi? Statü hâlâ belirsiz

Mevcut yasama belgeleri, Konsey çalışmalarının ihtilaflı ilerlediğini gösteriyor. Konseyin müzakere yetkisine ilişkin COREPER oylaması, açık başlıklarda uzlaşma sağlanamadığı için iptal edildi; çalışma daha sonra İrlanda’nın dönem başkanlığında sürdü.

İrlanda dönem başkanlığı programı, Dijital Omnibus paketi için Avrupa Parlamentosu ile 2026 sonuna kadar anlaşma hedefini içeriyor. Bununla birlikte sunulan resmî belgeler, 88c maddesinin nihai bir Konsey tutumuna kesin olarak geri eklendiğini bağımsız biçimde doğrulamıyor.

Bu nedenle en isabetli tanım şu: 88c maddesi siyasi olarak tartışmalı ve müzakereye açık olmaya devam ediyor. Şirketlerin, GDPR’nin mevcut koşullarının yerine geçecek bağlayıcı bir hukuki temel olarak bugün bu maddeye dayanması mümkün değil.

İki ayrı Dijital Omnibus dosyasını karıştırmamak gerekiyor

Karışıklığın bir nedeni, farklı bir düzenlemenin — Yapay Zekâya İlişkin Dijital Omnibus’un — çoktan kabul edilmiş olması. Bu düzenleme, 2026/1744 sayılı AB Tüzüğü olarak yürürlükte.

Bu yapay zekâ düzenlemesi, AI Act’in bazı bölümlerinin uygulama takvimini değiştiriyor. Ek III’te yer alan bağımsız yüksek riskli sistemlere yönelik yükümlülükler 2 Aralık 2027 tarihinden itibaren uygulanacak. Düzenlemeye tabi ürünlere gömülü yüksek riskli sistemler için ise daha geç bir takvim bulunuyor.1920

Ek III yükümlülükleri yürürlüğe girdiğinde; risk değerlendirmesi ve azaltımı, ayrımcı sonuç riskini düşürmek üzere tasarlanmış yüksek kaliteli veri kümeleri, kayıt tutma ve izlenebilirlik, dokümantasyon, sistemi kullananlara bilgi sağlanması, insan gözetimi, dayanıklılık ve siber güvenlik önlemlerini kapsayacak.20

Bu AI Act yükümlülükleri, kişisel verilerin yapay zekâ eğitimi için hangi hukuki temelde işlenebileceği sorusundan ayrıdır. Yüksek riskli yapay zekâ kurallarının ertelenmesi, 88c maddesinin yürürlüğe girdiği anlamına gelmez.

Geliştiriciler ve veri sahipleri açısından anlamı

Geliştiriciler açısından 88c, daha fazla metinsel açıklık sağlayabilir; fakat bir uyum kestirmesi sunmaz. Savunulabilir bir yaklaşım için yine belgelendirilmiş gereklilik ve dengeleme değerlendirmesi, veri minimizasyonu, şeffaf bilgilendirme uygulamaları ve itirazları işleyebilecek operasyonel süreçler gerekir.

Verisi kullanılabilecek kişiler açısından asıl soru, nihai yasanın anlamlı sınırları koruyup korumayacağıdır: Kullanım gerçekten gerekli mi? Hassas veriler dar biçimde mi ele alınacak? İtiraz mekanizması teknik olarak etkili mi, yoksa yalnızca sembolik mi kalacak?

Genel yönelim, Avrupa’nın önleyici yapay zekâ düzenlemesinden vazgeçtiği anlamına gelmiyor. Kabul edilen yapay zekâ Omnibus’u bazı yüksek riskli yükümlülükleri ertelerken, ayrı veri teklifi bazı yapay zekâ bağlantılı veri işlemleri için daha açık bir yol araştırıyor. Nihai denge, Konsey ile Avrupa Parlamentosu arasındaki müzakerelere ve kabul edilecek metnin nasıl yorumlanıp uygulanacağına bağlı olacak.19