AB Yapay Zekâ Yasası’nda yüksek riskli yapay zekâ için şirketleri ne bekliyor?

AB Yapay Zekâ Yasası’ndaki (EU AI Act) yüksek riskli yapay zekâ yükümlülükleri henüz çoğu sistem için yürürlükte değil. Takvim ertelendi: Ek III’te yer alan bağımsız yüksek riskli sistemler için kurallar 2 Aralık 2027 itibarıyla uygulanacak. Belirli düzenlemelere tabi ürünlerin parçası olan yüksek riskli yapay zekâ sistemlerinde tarih 2 Ağustos 2028. 18

Bu erteleme, şirketlere bir muafiyet değil hazırlık süresi tanıyor. AB pazarına yüksek riskli bir sistem sunmayı planlayan sağlayıcıların, ürün piyasaya çıkmadan önce güvenliği, izlenebilirliği ve hesap verebilirliği gösterebilen kalıcı bir uyum altyapısı kurması gerekecek.

Hangi yapay zekâ sistemleri “yüksek riskli” sayılıyor?

Yüksek risk kategorisi genel olarak iki ana gruptan oluşuyor:

• Ek I’deki belirli AB ürün mevzuatlarına tabi ürünlerde kullanılan güvenlik bileşenleri veya ürünler; ancak ilgili ürünün üçüncü taraf uygunluk değerlendirmesinden geçmesi şartıyla.
• Yasada yer alan koşul ve istisnalara bağlı olarak, Ek III’te sıralanan kullanım alanlarındaki yapay zekâ sistemleri. 15

Bu sınıflandırma kritik; çünkü “yüksek risk” statüsü, sıradan yapay zekâ araçlarına kıyasla sistemin tüm yaşam döngüsünü kapsayan çok daha ağır yükümlülükleri devreye sokuyor.

Sağlayıcıların hazırlaması gereken uyum süreçleri

Yüksek riskli bir sistem AB pazarına sunulmadan önce kontrollerin sonradan eklenmesi yeterli olmayacak. Uyum, geliştirme ve ürün yönetimi sürecinin başından itibaren tasarlanmalı.

Risk yönetimi ve veri yönetişimi

Sağlayıcıların sistematik risk değerlendirme ve risk azaltma mekanizmaları kurması gerekiyor. Eğitim, doğrulama ve test verilerinin; amaçlanan kullanım bakımından ilgili, yeterince temsil edici ve uygun biçimde yönetilmiş olması bekleniyor. Hedef, ayrımcı veya haksız sonuç riskini azaltmak. 115

Dokümantasyon ve izlenebilirlik

Yüksek riskli sistemlerde sonuçların nasıl oluştuğunu geriye dönük incelemeye imkân veren faaliyet kayıtları tutulmalı. Ayrıca sistemin amacı, işleyişi ve özelliklerini açıklayan ayrıntılı teknik dokümantasyon hazırlanmalı. Bu belgeler, yetkili makamların uygunluk değerlendirmesi yapabilmesini sağlıyor. 1

İnsan gözetimi, doğruluk ve siber güvenlik

Yasa; etkili insan gözetimi önlemleri ile yüksek doğruluk, dayanıklılık ve siber güvenlik seviyesi öngörüyor. Sistemi kullanan kuruluşlara da aracın amaçlandığı şekilde kullanılabilmesi ve sınırlarının anlaşılabilmesi için açık ve yeterli bilgi verilmesi gerekiyor. 1

Uygunluk değerlendirmesi, kayıt ve piyasa sonrası izleme

Sağlayıcıların, sistemi piyasaya sunmadan önce uygulanabilir uygunluk değerlendirmesini tamamlaması gerekiyor. Gerekli hallerde sistem kayda alınmalı; piyasaya çıktıktan sonra performansı izlenmeli ve ciddi olaylar bildirilmelidir. Bu nedenle uyum, tek seferlik bir onay işlemi değil, süreklilik taşıyan bir işletme faaliyeti niteliğinde. 115

2027 ve 2028 öncesi pratik hazırlık listesi

Kuruluşların şimdiden şu sorulara net yanıt verebilmesi faydalı olur:

1. Sistem gerçekten yüksek riskli mi? Kullanım amacını Ek I ve Ek III kategorileriyle eşleştirin.
2. Sorumluluk kimde? Ürün güvenliği, hukuk, dokümantasyon, veri yönetişimi ve olay müdahalesi için sahiplik atayın.
3. Riskler kanıtlanabilir biçimde yönetiliyor mu? Testleri, alınan kararları ve azaltma önlemlerini düzenli biçimde kayda alın.
4. Veri kontrolleri savunulabilir mi? Veri setlerinin ilgililiğini, temsil gücünü, kalite kontrollerini ve bilinen sınırlamalarını belgeleyin.
5. Sistem denetlenebilir mi? Kayıtları, teknik dosyaları ve kullanıcı talimatlarını saklayın.
6. İnsan gözetimi kâğıt üzerinde mi, uygulamada mı çalışıyor? İnsanların hangi durumda müdahale edebileceğini, çıktıyı geçersiz kılabileceğini veya sistemi durdurabileceğini tanımlayın.
7. Piyasa sonrası takip hazır mı? Performans izleme, düzeltici eylem ve ciddi olay bildirimi için işleyen süreçler oluşturun.

AB Yapay Zekâ Yasası’nda para cezaları

Ceza sistemi hem sabit avro tutarlarına hem de şirketin dünya çapındaki yıllık cirosuna bağlanıyor. En ağır kademe, yasaklı yapay zekâ uygulamaları için 35 milyon avroya veya dünya çapındaki yıllık cironun %7’sine kadar çıkabiliyor. Diğer uyumsuzluklar için üst sınır 15 milyon avro veya dünya çapındaki yıllık cironun %3’ü. 3

Bu ölçekteki yaptırım riski, yüksek riskli yapay zekâ uyumunun yalnızca hukuk ekibine bırakılamayacağı anlamına geliyor. Ürün, bilgi güvenliği, veri bilimi, satın alma, uyum ve operasyon ekiplerinin; önlemlerin gerçekten çalıştığını gösteren kanıtlar üretmesi gerekiyor.

Erteleme neden bugün hâlâ önemli?

Yeni tarihler daha fazla hazırlık zamanı sağlıyor, fakat yükümlülüklerin kapsamını daraltmıyor. 2027’nin sonuna kadar bekleyen bir sağlayıcı; dokümantasyon altyapısını kurmak, model geliştirme uygulamalarını değiştirmek, kayıt mekanizmaları eklemek, insan gözetimini test etmek ve olay bildirimi iş akışlarını oluşturmak için yeterli zamanı bulamayabilir.

En sağlıklı yaklaşım, AB Yapay Zekâ Yasası’nı bir ürün yönetişimi standardı olarak ele almak: yüksek riskli kullanım alanlarını erken saptamak, kanıtları sistem geliştirilirken toplamak ve güvenlik, izlenebilirlik ile insan kontrolünü sürüm sürecinin doğal parçası haline getirmek. 115