Singapur’un 2026 yapay zekâ kuralları şirketler ve kullanıcılar için ne anlama geliyor?

Chatbot rehberi ise farklı nitelikte. Gönüllü olan bu rehber, müşterilerle, tüketicilerle veya kamuoyuyla doğrudan etkileşime giren dışa dönük üretken yapay zekâ chatbot’larını kapsıyor. Rehber, kullanıcıların chatbot’ın ne yaptığını, hangi durumlarda hata yapabileceğini, nasıl güvenli tutulduğunu, verilerin nasıl işlendiğini ve sorun yaşandığında nereye başvurulacağını tek ve kolay bulunabilir bir yerde görebilmesini öneriyor.

PDPC rehberi hangi konuları kapsıyor?

PDPC’nin rehberi, üretken yapay zekâ yaşam döngüsü boyunca kişisel verilerin kullanımını ele alıyor. Buna internetten taranarak elde edilen bilgiler, normal bir hizmetten yararlanmak için kullanıcıların sağladığı ve sonradan model geliştirme veya iyileştirme amacıyla yeniden kullanılan veriler, modelin devreye alınması, güvenlik, saklama süreleri ve erişim ya da düzeltme taleplerine yanıt verilmesi dahil.

Temel gizlilik sorunu, verinin kullanım amacının değişmesi. Bir işlem, hesap, müşteri desteği görüşmesi veya başka bir hizmet için sağlanan bilgiler daha sonra model eğitimi ya da ince ayar süreçlerinde büyük ölçekte kullanılabilir. Bu yeniden kullanım, kişilerin verilerinin başına ne geldiğini anlamasını, verileri üzerindeki kontrolünü sürdürmesini veya bilgiler büyük bir eğitim sürecine girdikten sonra haklarını kullanmasını zorlaştırabilir.

Rehber, yapay zekâ tedarik zincirindeki sorumlulukları da ayırıyor. Model sağlayıcıları, modellerin geliştirilmesi ve devreye alınmasıyla bağlantılı PDPA yükümlülüklerinden sorumlu olmaya devam ediyor. Sistem sağlayıcılarının güvenliği değerlendirmesi ve ilgili önlemleri açıklaması beklenirken, sistemi çalıştıran kuruluşların veri işleme amaçlarını belirlemesi, veri akışlarını anlaması ve uygulamaya aldıkları sistemlerdeki kontrolleri gözden geçirmesi gerekiyor.

Yapay zekâya özel bildirim ne zaman gerekli?

Bir kuruluş, “Kullanıcı Verileri”ni bir üretken yapay zekâ modeli geliştirmek için kullanmak istiyor ve PDPA kapsamında geçerli bir rıza istisnası bulunmuyorsa, yapay zekâya özel bir bildirim aracılığıyla rıza almalı. Bildirim, “hizmetlerin geliştirilmesi”, “kişiselleştirme” veya “ürün iyileştirme” gibi geniş ifadelerle yetinmemeli; üretken yapay zekâ kullanımını açıkça ortaya koymalı.

Bu konu özellikle, mevcut bir ürün veya hizmet üzerinden belirli bir yapay zekâ dışı amaçla sağlanan bilgilerin daha sonra model geliştirme için yeniden kullanılması halinde önem kazanıyor. Kuruluşun, verinin ilk toplandığı bağlamı, yeni kullanım amacını ve bir istisnanın uygulanıp uygulanmadığını değerlendirmesi gerekiyor.

Kamuya açık veriler ayrı değerlendiriliyor

PDPA kapsamında kamuya açık veriler için getirilen istisna, kuruluşların kamuya açık kişisel verileri rıza almadan model geliştirme amacıyla toplamasına izin verebilir. Ancak internette erişilebilen her veri otomatik olarak bu kapsama girmiyor. Ücret duvarının, giriş yapma zorunluluğunun, kayıt gerekliliğinin veya benzer bir dijital engelin arkasındaki bilgiler için verinin hâlâ bu amaçla “kamuya açık” sayılıp sayılamayacağı dikkatle değerlendirilmelidir.

Uygun şekilde anonimleştirilmiş veriler

Uygun biçimde anonimleştirilmiş veriler, bir kişiyi tanımlayamadıkları için PDPA bakımından kişisel veri sayılmıyor. PDPC, mümkün olduğu durumlarda analiz ve araştırma için anonimleştirilmiş veri kullanılmasını teşvik ediyor.

Ancak bir kişinin adını silmek tek başına veriyi anonim hâle getirmeyebilir. Kişi, veri setinde kalan bilgiler veya makul ölçüde erişilebilen başka bilgiler kullanılarak hâlâ belirlenebiliyorsa, kuruluşun anonimleştirme sürecinin gerçekten kimlik tespitini ortadan kaldırıp kaldırmadığını değerlendirmesi gerekir.

Çağrı merkezi kayıtları için özel bir istisna var mı?

Sunulan kaynaklar, çağrı merkezi kayıtları için ayrı ve kategorik bir istisna ortaya koymuyor. Arayan kişinin kimliğini belirleyen veya makul biçimde belirlenmesini sağlayan bir kayıt, üretken yapay zekâ için yeniden kullanım değerlendirmesinde kişisel veri olarak ele alınmalı. Kuruluşun bu kaydı model geliştirme amacıyla kullanmadan önce geçerli bir rıza, bildirim veya başka bir yasal istisna gibi uygun bir PDPA dayanağına sahip olması gerekir.

Mevcut kaynaklar, çağrı kayıtlarına özgü ek bir kuralı kesin biçimde ortaya koymak için yeterli ayrıntı sunmuyor. Bu nedenle uygulama; kaydın içeriğine, nasıl toplandığına, önerilen yapay zekâ kullanımına ve geçerli PDPA istisnasına göre değişir.

Yapay zekâya özel bildirimde neler bulunmalı?

Bildirim, kişilere planlanan kullanımla ilgili anlamlı ve somut bilgi vermeli. Sunulan rehberde en azından şu unsurlar öne çıkıyor:

• Yapay zekâ amacı: Kişisel verilerin bir üretken yapay zekâ modelini geliştirmek veya iyileştirmek için kullanılacağını açıkça belirtmek.
• Kullanım gerekçesi: Model geliştirme ya da iyileştirme faaliyetinin amacını açıklamak.
• Kullanılan veriler: İşlenecek kişisel veri kategorilerini belirtmek.
• Kullanım yöntemi: Verilerin, uygun olduğu durumlarda eğitim veya ince ayar gibi yöntemlerle nasıl kullanılacağını anlatmak.
• Kullanıcının seçeneği: Kişinin rıza vermeyi reddetme, rızasını geri çekme veya geçerli olduğu durumlarda kapsam dışında kalma yollarını açıklamak.

Genel bir gizlilik politikası arka plan bilgisi sunmaya devam edebilir. Ancak üretken yapay zekâ modeli eğitimi amacı açıkça anlaşılmıyorsa, bu politika tek başına yeterli bir açıklama olmamalı. Temel ölçüt, makul bir kişinin kişisel verilerinin üretken yapay zekâ modelini geliştirmek veya iyileştirmek için kullanılabileceğini anlayabilmesi.

Bildirim nerede gösterilebilir?

Sunulan materyaller her kuruluş için tek bir zorunlu format veya konum öngörmüyor. Uygulamada bilgiler, ilgili verinin toplandığı veya hizmetin kullanıldığı noktada gösterilebilir. Örneğin kayıt sırasında, ürün içinde anlık bir bildirimle, hesap gizlilik ayarlarında ya da açıkça bağlantı verilen bir gizlilik bildiriminde sunulabilir.

Bu yerleştirme önerisi, PDPC bilgi notunda eksiksiz biçimde sıralanmış zorunlu seçenekler değil; uygulamaya yönelik bir çıkarımdır. Hangi format seçilirse seçilsin, açıklama genel ve zor bulunabilir hükümlerin arasına gömülmek yerine görünür ve spesifik olmalı.

Rıza, rızayı geri çekme ve erişim hakları

Kişiler, verileri üretken yapay zekâ geliştirme sürecinde kullanıldıktan sonra da kişisel verilerine erişim ve verilerinde düzeltme talep edebilir. Kuruluşların, verileri sürecin başından itibaren makul biçimde yönetmesi, talepleri olay bazında değerlendirmesi ve uygun teknik önlemleri uygulaması bekleniyor. Bununla birlikte, büyük eğitim veri setlerinde belirli bir bilginin izini sürmek pratik açıdan zor olabilir.

Hukuki dayanak rıza ise kişilere rızayı reddetme veya geri çekme yöntemleri anlatılmalı. Ancak bu durum, kişinin rızadan vazgeçtikten sonra hizmetin her bölümünü aynı koşullarda kullanmaya devam edebileceği anlamına gelmiyor. Temel hizmete erişimin sürüp sürmeyeceği; üretken yapay zekâ eğitiminin hizmet açısından ne kadar gerekli olduğuna ve kuruluşun rıza tasarımına bağlı. Sunulan kaynaklar, her türlü rıza geri çekme işleminden sonra tüm hizmetlere değişmeden erişim sağlayan genel bir hak ortaya koymuyor.

IMDA’nın gönüllü “Chatbot Info Card” uygulaması

IMDA’nın Üretken Yapay Zekâ Chatbot’ları için Şeffaflık Rehberi, tüketici odaklı bir yaklaşım benimsiyor. Rehber, dışa dönük üretken yapay zekâ chatbot’larını kullandıran kuruluşlara yönelik ve kullanıcıların daha bilinçli karar vermesine, açıklamaların standartlaşmasına ve sağlayıcıların beyan ettikleri güvenlik ve güvenilirlik uygulamalarına karşı daha hesap verebilir olmasına yardımcı olmayı amaçlıyor.

Çerçevenin merkezinde, besin değerleri veya ilaç etiketine benzetilen “Chatbot Info Card” bulunuyor. Bu kart, özel bir bilgi sayfası veya açıklama dokümanı biçiminde hazırlanabilir. Önemli bilgilerin tek bir yerde toplandığı, erişilebilir bir kaynak sunması bekleniyor.

Kart üç ilkeye dayanmalı:

• İlgili: Kullanıcıların chatbot’a güvenip güvenmeyeceğine ve hangi ölçüde güveneceğine karar vermesi için gerekli bilgileri içermeli.
• Erişilebilir: Sade bir dil kullanılmalı; bilgiler kolay bulunmalı ve içinde rahatça gezinilebilmeli.
• Zamanında: Chatbot kullanıma açıldığında yayımlanmalı; yetenekleri, riskleri veya güvenlik politikalarını etkileyen önemli değişikliklerde güncellenmeli.

Kartta hangi bilgiler açıklanmalı?

Yararlı bir bilgi kartı şu başlıkları kapsamalı:

• Chatbot’ın kullanım amacı, işlevleri ve yetenekleri;
• Çıktıların kontrol edilmesi gereken veya kullanımın uygun olmayabileceği durumlar dahil önemli sınırlamalar;
• Güvenilirlik ve güvenlik önlemleri;
• Kullanıcı girdilerinin, konuşmaların ve diğer verilerin nasıl işlendiği;
• Şikâyet, geri bildirim ve olay bildirme kanalları.

Bu kart, chatbot’ın doğru veya güvenli olduğuna dair bir garanti değil. Değeri, kullanıcıya araca ne zaman güveneceğini, hangi bilgileri paylaşacağını ve bir sorun çıktığında nereye başvuracağını değerlendirmek için daha açık bir zemin sunmasında yatıyor.

IMDA ilk aşamada kamuya açık chatbot’lara odaklandı. Bunun nedeni, bu araçların geniş bir tüketici kitlesine ulaşması ve gizlilik, çocuk güvenliği ile ruhsal açıdan kırılgan kullanıcıları etkileyebilecek riskler doğurması. Çerçeve, gelecekte diğer üretken yapay zekâ uygulamaları ve sektöre özgü rehberler için de referans noktası hâline gelebilir.

Şirketler ve kamu kurumları nasıl uygulayacak?

Google, Meta, DBS, OCBC, Singapore Airlines ve Synapxe, gönüllü chatbot rehberini halka açık chatbot’larındaki şeffaflık uygulamalarını geliştirirken referans alacaklarını belirtti. Bu açıklama planlanan uyum ve sürekli iyileştirmeye işaret ediyor; her kuruluşun aynı bilgi kartını şimdiden yayımladığı anlamına gelmiyor.

Bankalar açısından öncelik, müşteriye dönük işlevleri, sınırlamaları ve güvenlik önlemlerini açıklamak; bunları mevcut yapay zekâ yönetişimi ve risk yönetimi süreçleriyle birlikte ele almak olacak. DBS, müşterilere dönük yapay zekâ girişimlerine dikkat çekerken OCBC, rehberi mevcut yapay zekâ yönetişimi ve risk yönetimiyle ilişkilendirdi.

Singapore Airlines, yapay zekâ destekli müşteri deneyimlerini genişletirken yapay zekâ yönetişimini ve güvenlik önlemlerini gözden geçirip güçlendirmeyi sürdüreceğini söyledi. Google ve Meta da yapay zekâ ürünlerinin nasıl çalıştığı ve kullanıcıların bu ürünlerle nasıl etkileşime girdiği konusunda daha açık ve erişilebilir bilgi sunulmasını destekledi.

Kamu kurumlarının da çerçeveyi referans alması bekleniyor. National Library Board ile Health Promotion Board, halka açık chatbot’ları için bu rehberi dikkate almayı planlıyor.

Bu önlemler pratikte ne anlama geliyor?

Singapur’un yaklaşımı, belirli üretken yapay zekâ veri kullanımları için daha somut bir gizlilik açıklamasıyla chatbot’lar için gönüllü bir kamuya açık şeffaflık standardını bir araya getiriyor. Bu nedenle iki önlem tamamlayıcı olsa da birbirinin yerine geçmiyor:

1. Verileri haritalayın: Hangi kişisel verilerin model geliştirme veya chatbot sürecine girdiğini ve neden kullanıldığını belirleyin.
2. Hukuki dayanağı kontrol edin: Rızanın gerekli olup olmadığını veya PDPA kapsamında bir istisnanın uygulanıp uygulanamayacağını değerlendirin.
3. Yapay zekâ ile yeniden kullanımı açıkça belirtin: Gereken durumlarda genel “ürün iyileştirme” ifadelerine güvenmek yerine yapay zekâya özel bildirim kullanın.
4. Hak taleplerine hazırlanın: Erişim, düzeltme ve rızayı geri çekme taleplerini değerlendirebilmek için sürecin başında yeterli kayıt ve veri yönetimi uygulayın.
5. Chatbot bilgilerini yayımlayın: Halka açık üretken yapay zekâ chatbot’ları için yetenekleri, sınırlamaları, güvenilirliği, güvenliği, veri uygulamalarını ve bildirim kanallarını anlatan ilgili, erişilebilir ve güncel bir bilgi kartı sunun.

Sonuç, kullanıcıların yapay zekâyla bağlantılı her türlü veri kullanımını durdurabileceğine dair evrensel bir güvence değil. Daha görünür veri kullanımı, daha bilinçli veri yönetişimi ve kamuya açık yapay zekâ hizmetlerinde daha güçlü hesap verebilirlik yönünde bir adım söz konusu.