Singapur’un yapay zekâ veri kuralları: Şirketler kullanıcılara ne söylemeli?

Yapay zekâya özgü bildirim neleri açıklamalı?

Etkili bir bildirim, kişiye yalnızca verisinin “işleneceğini” söylemekle yetinmemeli; ürünün ve veri akışının nasıl çalıştığını anlaşılır biçimde ortaya koymalı. PDPC’nin yaklaşımına göre bildirimde şu unsurlar yer almalı:

• Modelin ne yaptığı ve neden geliştirildiği
• Hangi kişisel veri kategorilerinin kullanıldığı: iletişim bilgileri, işlem veya konum verileri, video ya da ses kayıtları gibi
• Verilerin modele nasıl katkı sağladığı: yalnızca “işleniyor” denilmemeli
• Kullanıcının nasıl itiraz edebileceği veya onayını geri çekebileceği: talimatlar pratik ve makul ölçüde erişilebilir olmalı

Buradaki amaç, bilgiyi uzun bir gizlilik politikasının içine gömmek değil, kişinin karar verdiği anda gerçekten fark edebilmesini sağlamak. Önerilen formatlar arasında ürün içinde öne çıkan bir bildirim veya bu amaca ayrılmış bir internet sayfası bulunuyor.

Örnek: Metinden sese teknolojisinde ses kayıtları

Metinden sese özelliği geliştiren bir şirket, müşterilerinin ses kayıtlarını modeli eğitmek için kullandığını ve bu kayıtların sistemin konuşma kalıplarını tanımasına yardımcı olduğunu açıklayabilir. Bu ifade, kullanım amacını yalnızca “ürünü iyileştirme” olarak tanımlamaktan çok daha açık.

Bildirim, onayla aynı şey değil

Uyum açısından en önemli ayrım şu: Kullanıcıya ne olacağını anlatmak, veriyi kullanmak için gerekli hukuki dayanağı otomatik olarak oluşturmaz. PDPA’nın genel çerçevesinde kuruluşların, bir istisna geçerli olmadığı sürece, kişisel verileri toplamadan, kullanmadan veya açıklamadan önce amacı bildirmesi ve onay alması gerekiyor.

Nihai rehber, onayın gerekli olduğu durumlarda bildirimin içeriğini netleştiriyor: Kuruluş, kişisel verilerin yapay zekâ modelinin geliştirilmesi için kullanılacağını açıkça belirtmeli. Ancak bu, yapay zekâ eğitimi amacıyla yapılan her kişisel veri kullanımında mutlaka olumlu ve açık bir onay alınacağı anlamına gelmiyor. Sonuç, kamuya açık bilgilerle ilgili kurallar da dâhil olmak üzere, uygulanabilecek PDPA istisnasına göre değişebilir.

Şirketler açısından pratik sonuç, her eğitim veri kümesi için hukuki dayanağın ayrı ayrı belgelenmesi. Açık bir bildirim, onayın zorunlu olduğu yerde onun yerini tutamaz. Aynı şekilde, gerçek yapay zekâ kullanımını tarif etmeyecek kadar genel bir ifadeden onay çıkarılamaz.

Taslak öneri hangi soruları gündeme getirdi?

Kamuoyu istişaresine sunulan taslak, bildirim zorunluluğunun ötesinde bazı operasyonel soruları da beraberinde getirdi.

Her durumda açık onay mı gerekiyor?

Taslak, üretken yapay zekâ eğitiminin her senaryosunda olumlu ve açık onay gerekip gerekmediğini net biçimde ortaya koymamıştı. Bunun yerine, hangi durumlarda itiraz temelli bir yaklaşımın kabul edilebileceği ve mevcut PDPA istisnalarının ne zaman uygulanabileceği konusunda soru işaretleri doğurdu.

Nihai rehberde onay ve istisnalara yapılan vurgu, hukuki dayanağın önemini daha da artırıyor. Kuruluşlar, yapay zekâya özgü bildirimi her durumda onayın yerine geçen evrensel bir çözüm gibi sunmamalı.

Verilerin anonimleştirilmesi bildirim sorununu ortadan kaldırır mı?

Taslakta, kişisel veriler eğitimden önce anonimleştirildiğinde özel yapay zekâ bildirimi beklentisinin uygulanıp uygulanmayacağı da belirsizdi. Bu konu önemli; çünkü bilgilerin hâlâ belirli bir kişiyle ilişkilendirilip ilişkilendirilemeyeceği ve anonimleştirmenin nasıl yapılıp belgelendiği, gizlilik değerlendirmesini değiştirebilir.

Mevcut kaynaklar, anonimleştirmenin her veri kümesi için otomatik bir çözüm olduğunu göstermiyor. Şirketlerin yalnızca bir veri kümesine “anonimleştirilmiş” etiketi koymak yerine, veriyi ve işleme yöntemini ayrı ayrı değerlendirmesi gerekiyor.

Onay vermeyen kişiye hizmet sunulmayabilir mi?

Bir başka açık soru da bankaların, sigorta şirketlerinin, platformların veya diğer hizmet sağlayıcıların verilerinin yapay zekâ eğitimi için kullanılmasını reddeden kişilere hizmeti kısıtlayıp kısıtlayamayacağıydı.

Bu noktada kâğıt üzerindeki tercih ile gerçek hayattaki baskı arasındaki fark ortaya çıkıyor. Kullanıcı için bir itiraz seçeneği bulunabilir; ancak bu seçeneği kullanmak hizmete erişimin kaybedilmesi gibi ciddi bir maliyet yaratıyorsa, tercih ne ölçüde anlamlı sayılabilir? Bildirim zorunluluğu görünürlüğü artırıyor, fakat adalet, hizmete erişim ve kullanıcıyla sağlayıcı arasındaki pazarlık gücü sorularını tek başına çözmüyor.

Akıllı cihazlar neden tartışmanın parçası?

PDPC’nin üretken yapay zekâya odaklanması, insanların fark etmeyebileceği biçimlerde veri toplayan ürünlere ilişkin daha geniş bir mahremiyet tartışmasının içinde yer alıyor. Komiser Denise Wong’un öncelikleriyle ilgili haberlerde akıllı gözlükler, akıllı saatler ve avuç içi taramalı ödeme sistemleri gibi cihazlar öne çıkarıldı.

Bu ürünler yüz özellikleri, parmak izleri, ses verileri ve avuç içi damar desenleri gibi hassas bilgileri işleyebilir. Bildirilen riskler arasında gizli kayıt, biyometrik bilgilerin açığa çıkması veya kötüye kullanılması ve akıllı gözlüklerle sınav materyallerinin ya da kopya çekmeye yardımcı olabilecek diğer bilgilerin fark ettirmeden kaydedilmesi bulunuyor.

Singapur Dijital Kalkınma ve Enformasyon Bakanlığı da akıllı gözlüklerdeki görsel göstergeler ile cihazı kullanmayan ve yakın çevrede bulunan kişilere ait biyometrik veya çevresel verilerin toplanmasına ilişkin soruları ele aldı.

Temel mesele, kişinin gerçekten haberdar olması. Küçük bir kayıt ışığı veya cihaz politikasının belgelerin derinliklerine saklanması, çevredeki kişilere ne olduğunu anlama ya da tercih yapma konusunda gerçekçi bir fırsat sunmayabilir.

Kuruluşlar şimdi ne yapmalı?

Singapur’da üretken yapay zekâ sistemi geliştiren veya kullanan ekipler, rehberi bir veri yönetişimi kontrol listesi olarak değerlendirebilir:

1. Her veri kümesini belirli bir yapay zekâ kullanım senaryosuyla eşleştirin. Verinin eğitim, ince ayar, test, izleme veya başka bir amaçla kullanılıp kullanılmadığını belirleyin.
2. PDPA kapsamındaki hukuki dayanağı seçin ve belgeleyin. Onayın gerekip gerekmediğini veya yasal bir istisnaya dayanılıp dayanılmadığını kayda geçirin.
3. Genel bildirimleri yeniden yazın. Amaç buysa kişisel verilerin üretken yapay zekâ modelini geliştirmek ya da iyileştirmek için kullanılacağını açıkça söyleyin.
4. Veri kategorilerini ve modelin işlevini açıklayın. İnsanlar hangi bilgilerin kullanıldığını ve bu bilgilerin modele ne yaptırdığını anlayabilmeli.
5. Tercih mekanizmasını kullanılabilir hâle getirin. İtiraz veya onay geri çekme yöntemini açıklayın ve taleplerin nasıl ele alındığını kaydedin.
6. Bağlantılı cihazları ayrıca inceleyin. Akıllı gözlükler, giyilebilir cihazlar, kameralar ve biyometrik sistemler, doğrudan kullanıcı olmayan kişilerin verileri açısından da bildirim ve onay sorunları yaratabilir.

Singapur’un yaklaşımı, üretken yapay zekâda kişisel veri kullanımını yasaklamaktan çok, bu kullanımın görünür, açık ve belirli bir hukuki dayanağa bağlı olmasını sağlamaya odaklanıyor. Nihai rehber, geleneksel gizlilik bildirimleriyle modern yapay zekâ geliştirme süreçleri arasındaki boşluğu kısmen kapatıyor. Ancak anlamlı tercih hakkı ile hassas veya dolaylı biçimde toplanan verilerin nasıl ele alınacağı gibi en zor yönetişim soruları hâlâ gündemde.