AB'nin Yapay Zeka Düzenlemesi ve Japon Şirketler İçin Gerekli Tepkiler

12 Temmuz 2024 (Reiwa 6) tarihinde, Avrupa Birliği’nde “AI Düzenleme Yasası (EU AI Act)” ilan edilmiş ve aynı yılın 1 Ağustos’undan itibaren yürürlüğe girmiştir.
Japonya’daki şirketler için, bu yasa 2025 yılından itibaren, Avrupa Birliği içinde AI sistemlerinin kullanımını ve sağlanmasını düzenleyen bir yasa olup, belirli yanıtların verilmesini gerektirecektir.

Özellikle, Japonya içindeki e-ticaret sitelerinin işletmecilerinin Avrupa Birliği’nin “Genel Veri Koruma Tüzüğü (GDPR)” ile uyumlu olması gerektiği durumlar gibi, Japonya’daki şirketler de, Avrupa Birliği içindeki müşterilere AI ile ilgili ürün veya hizmetler sunuyorlarsa, EU AI Düzenleme Yasası’nın uygulanabilirliğini kabul etme olasılığı bulunmaktadır.

Burada, söz konusu yasanın yürürlüğe girmesiyle birlikte, ilgili işletmelere yönelik olarak talep edilen AI sistemlerinin risk sınıflandırması ve uygunluk değerlendirmesi gibi düzenlemelere uyum konusunda bilgi verilecektir.

Ön Bilgi: AB’de ‘Tüzük’ ile ‘Direktif’ Arasındaki Fark Nedir?

AI Düzenleme Yasası’nın kendisini açıklamadan önce, AB hukukunda ‘tüzük’ ile ‘direktif’ arasındaki farkı anlamak önemlidir.

Öncelikle, ‘tüzük’, AB üye ülkeleri, şirketler ve diğer kuruluşlar üzerinde doğrudan uygulanan yasalardır. Bu sayede, AB üye ülkelerinin ulusal hukukundan daha öncelikli olarak uygulanır ve AB içinde tüm ülkeler için birleşik kuralların uygulanmasını sağlar. Dolayısıyla, bir tüzük yürürlüğe girdiğinde, AB üye ülkelerinde aynı düzenleme içeriği uygulanmış olur.

Diğer yandan, ‘direktif’, AB üye ülkeleri arasında düzenleme içeriğinin uyumlaştırılması ve birleştirilmesi amacıyla oluşturulan yasalardır. Ancak, direktifler genellikle üye ülkelere doğrudan uygulanmaz; her ülkenin direktifte belirlenen içeriği kendi ulusal hukukuna dönüştürmesi gerekmektedir. Genellikle, bir direktif AB Resmi Gazetesi’nde yayımlandıktan sonra 3 yıl içinde ulusal yasaların oluşturulması veya değiştirilmesi gerekmektedir.

‘Direktif’lerin özelliği olarak, ulusal hukuka dönüştürme sürecinde her üye ülkeye belirli bir takdir yetkisi tanınmıştır, bu nedenle ülkelerin yasal içeriklerinde farklılıklar oluşabilir. Yani, ‘direktif’ temelinde oluşturulan yasalar, AB içinde tamamen birleşik değildir ve ülkelere göre bazı farklılıkların oluşabileceği noktasında dikkatli olunmalıdır.

Bu ayrım çerçevesinde, AI Düzenleme Yasası bir ‘tüzük’ olarak kabul edilmiştir. Yani, AI Düzenleme Yasası, AB içinde bulunan işletmelere doğrudan uygulanacak bir yasadır.

İlgili makale: Avrupa’da İş Geliştiren Şirketler İçin Gerekli AB Hukuku ve Hukuk Sistemleri Üzerine Önemli Noktaları Açıklıyoruz[ja]

Japonya’da AI Düzenleme Yasası ve Sınırlar Ötesi Uygulama

Sınırlar Ötesi Uygulama Nedir?

“Sınırlar ötesi uygulama”, bir ülkede yürürlüğe giren yasaların, o ülkenin egemenlik alanının dışında gerçekleştirilen eylemlere de uygulanabilmesini ifade eder. Sınırlar ötesi uygulamanın kabul edilmesinin arkasında, ekonominin küreselleşmesi ve şirket faaliyetlerinin uluslararasılaşması gibi nedenler yatar ve dünya ekonomik faaliyetlerinin adil ve uygun bir şekilde yürütülmesini amaçlar.

Bu kavramın geniş çapta tanınmasına öncülük eden bir örnek, GDPR (AB Genel Veri Koruma Tüzüğü)’dür. GDPR’da, AB içinde bir merkezi olmayan işletmeler bile, aşağıdaki şartlara uyan durumlarda yasaya tabi olabilir (sınırlar ötesi uygulama):

• AB içindeki bireylere hizmet veya ürün sunulduğunda
• AB içindeki bireylerin davranışlarını izlemek amacıyla kişisel verilerin işlenmesi durumunda

Örneğin, AB dışındaki bir şirket çalışanlarını AB’ye iş gezisine gönderdiğinde ve bu süre zarfında ilgili kişisel verileri işlediğinde, 2020 yılındaki rehberlikte bu durum “uygulanmaz” olarak belirtilmiş olmasına rağmen, başlangıçta sınırlar ötesi uygulama tartışılan bir vakadır.

AI Düzenleme Yasası’nın Sınırlar Ötesi Uygulaması

AB AI Düzenleme Yasası kapsamında da, AB dışında yerleşik işletmelere sınırlar ötesi uygulama tanınmaktadır. Aşağıda belirtilen işletmeler veya faaliyetler bu kapsama girer:

• Sağlayıcılar (Providers): AI sistemlerini veya GPAI modellerini geliştirenler, AI sistemlerini veya GPAI modellerini geliştirip piyasaya sürenler veya AI sistemlerini kendi adları veya ticari markaları altında işletmeye başlayanlar
• Kullanıcılar (Users): Kendi yetkileri altında AI sistemlerini kullananlar (Ancak, kişisel ve mesleki olmayan faaliyetler için AI sistemlerini kullananlar hariçtir.)
• İthalatçılar (Importers): AB dışında kurulmuş gerçek veya tüzel kişiler adına veya ticari markalarıyla AI sistemlerini AB pazarına sunan, AB içinde yerleşik veya kurulmuş ithalatçılar
• Dağıtıcılar (Distributers): Sağlayıcılar veya ithalatçılar dışında kalan ve AI sistemlerini AB iç pazarına sunan tedarik zincirine dahil olan gerçek veya tüzel kişiler

Yukarıda belirtildiği gibi, AB dışında yerleşik işletmeler olsa bile, AB içinde AI sistemleri veya GPAI modellerinin sağlanması, işletilmesi, ithalatı, kullanımı gibi faaliyetlerde bulunulduğunda, AB AI Düzenleme Yasası doğrudan uygulanır.

AB Yapay Zeka Düzenleme Yasasının Özellikleri: Risk Tabanlı Yaklaşım

Risk Tabanlı Yaklaşım Nedir?

AB Yapay Zeka Düzenlemesi’nin en belirgin özelliği, ‘riskin içeriği ve derecesine göre düzenleme’ (risk tabanlı yaklaşım) yapılmasıdır.

‘Risk tabanlı yaklaşım’, riskin içeriği ve derecesine dayanarak düzenlemelerin şiddetini ayarlamayı ifade eder. Bu yaklaşımda, bir yapay zeka sisteminin potansiyel olarak neden olabileceği risklerin ciddiyetine göre, o sisteme uygulanacak düzenlemelerin sertliği belirlenir.

Özellikle, yüksek riskli yapay zeka sistemleri için daha katı düzenlemeler uygulanırken, düşük riskli sistemlere göre nispeten daha esnek düzenlemeler uygulanır. Bu sayede, düşük riskli sistemlere aşırı düzenlemelerden kaçınılır ve yüksek riskli sistemlere ise uygun gözetim ve yönetim sağlanır.

Japonya’da Kabul Edilemez Riskler Taşıyan AI Sistemleri

Öncelikle, kabul edilemez riskler taşıyan AI sistemleri, insanlar için tehdit olarak görülür ve esasen yasaklanmıştır.

Örneğin, çocukların tehlikeli davranışlarını teşvik eden sesle aktive olan oyuncaklar gibi, belirli savunmasız grupların kullanıcılarının algılarını veya davranışlarını manipüle eden AI sistemleri bu kapsama girer. Ayrıca, insanları davranışlarına veya sosyoekonomik statülerine, kişisel özelliklerine dayanarak sınıflandıran sosyal skorlama sistemleri de yasaklanmıştır. Bunun yanı sıra, yüz tanıma teknolojisi gibi araçları kullanarak insanların biyometrik verilerini referans veritabanları ile karşılaştırıp kişileri uzaktan tanımlayan ‘gerçek zamanlı ve uzaktan biyometrik tanıma sistemleri’ de esasen yasaktır.

Fakat, bu sistemlerin kullanımının kabul edildiği istisnai durumlar da belirlenmiştir. Özellikle, gerçek zamanlı uzaktan biyometrik tanıma sistemleri yalnızca sınırlı sayıda ciddi olaylarda kullanım için izin verilir. Diğer yandan, olay sonrası uzaktan biyometrik tanıma sistemleri, ciddi suçların kovuşturulması amacıyla ve mahkeme onayı alındığında kullanılabilir.

Ek olarak, istisnai olarak uygulanabilecek durumlar arasında, kayıp çocuklar gibi suç mağduru olabilecek kişilerin aranması, insan hayatı veya beden güvenliğine karşı somut ve acil tehditleri veya terör saldırılarını önleme, ayrıca ciddi suçların faillerinin veya şüphelilerinin tespiti ve yerlerinin belirlenmesi gibi durumlar sayılabilir. Bu istisnalar için, mahkeme onayının önceden alınması esasına dayanan sıkı sınırlamalar getirilmiş ve AI sistemlerinin kullanımında dikkatli bir işletim gerektirilmektedir.

Yüksek Riskli AI Sistemleri

Yüksek riskli AI sistemleri, güvenlik veya temel insan hakları üzerinde olumsuz etkileri olabilecek AI sistemleridir. Bu sistemler, belirli gereklilikleri ve yükümlülükleri (uygunluk değerlendirmesi) karşıladıklarında kullanımları onaylanmaktadır.

Yüksek riskli AI sistemleri, esas olarak iki kategoriye ayrılmaktadır. Birincisi, AB’nin ürün güvenliği yasalarına tabi olan ürünlerde kullanılan AI sistemleridir ve bu kapsamda oyuncaklar, havacılık, otomotiv, tıbbi cihazlar, asansörler gibi örnekler bulunmaktadır. İkincisi, AB veritabanına kayıt zorunluluğu bulunan belirli alanlarda sınıflandırılan AI sistemleridir. Bu alanlar arasında kritik altyapının yönetimi ve işletimi, eğitim ve mesleki eğitim, istihdam ve çalışan yönetimi, temel kamu hizmetleri ve faydalara erişim, yasal uygulama, göç ve iltica, sınır yönetimi, yasal yorum ve uygulama desteği yer almaktadır.

Yüksek riskli AI sistemleri, piyasaya sürülmeden önce ve yaşam döngüsü boyunca değerlendirilmeleri gerekmektedir. Ayrıca, belirlenen ulusal otoritelere AI sistemleriyle ilgili şikayetlerde bulunma hakkı tanınmıştır.

Genel olarak, insan hayatı ve beden güvenliğinin korunmasını ön koşul olarak alan makineler ve taşıtlar yüksek riskli AI kapsamında değerlendirilebilir. Örneğin, otonom sürüş AI sistemleri de bu kapsama girebilir; bu nedenle, Japon şirketleri otonom sürüş AI sistemlerini geliştirip yurtdışına açıldıklarında, yüksek riskli AI olarak gereklilikleri karşılayıp karşılamadıklarını dikkatlice değerlendirmeli ve uygun şekilde hareket etmelidirler.

Japonya’da Sınırlı Riskli AI Sistemleri

Sınırlı risk içeren AI sistemleri söz konusu olduğunda, şeffaflık riskleri ile taklit, manipülasyon ve dolandırıcılık riskleri öngörülmektedir. Özellikle, chatbotlar, deepfake’ler ve generatif AI, bu kategoriye dahil edilmekte ve Avrupa Parlamentosu’nun görüşüne göre, mevcut AI sistemlerinin büyük bir kısmı bu kategori altında sınıflandırılmaktadır. Örneğin, otomatik çeviri sistemleri, oyun konsolları, tekrarlanan üretim süreçlerini yürüten robotlar ve “Eureka Machine” gibi AI sistemleri de bu gruba dahildir.

Generatif AI, yüksek riskli olarak sınıflandırılmamakla birlikte, şeffaflık gereklilikleri ve Avrupa Birliği telif hakkı yasalarına uygunluk gerektirir. Bu bağlamda aşağıdaki önlemler gereklidir:

• İçeriğin AI tarafından oluşturulduğunun açıkça ifşa edilmesi
• Yasa dışı içerik üretmeyecek şekilde modelin tasarlanması
• AI eğitiminde kullanılan telif hakkı korumalı verilerin özetinin yayınlanması

Ek olarak, “GPT-4” gibi gelişmiş ve etkili genel amaçlı AI modelleri (GPAI modelleri) hakkında, sistemik riskler oluşturma potansiyeli taşıdıkları için, kapsamlı bir değerlendirme yapılması gerekmektedir. Ayrıca, ciddi bir olay meydana geldiğinde, Avrupa Komisyonu’na raporlama yükümlülüğü getirilmiştir. Bunun yanı sıra, AI tarafından oluşturulan veya değiştirilen içerikler (görüntüler, ses dosyaları, video dosyaları, deepfake’ler vb.) için, içeriğin AI tarafından üretildiğinin açıkça belirtilmesi ve kullanıcıların bu içeriği tanıyabilmesi sağlanmalıdır.

Japonya’da Minimum Riskli AI Sistemleri

Son olarak, minimum risk içeren AI sistemleri söz konusu olduğunda, Japonya’da özel bir düzenleme bulunmamaktadır. Örnek olarak, spam filtreleri veya öneri sistemleri gibi uygulamalar gösterilebilir. Bu kategori için, düzenlemeler yerine, davranış kurallarının oluşturulması ve bunlara uyulmasının teşvik edildiği bir yaklaşım benimsenmiştir.

Yüksek Riskli AI Sistemlerine İlişkin Japonya’daki Gereklilikler ve Yükümlülükler

Sağlayıcıların, Kullanıcıların, İthalatçıların ve Satıcıların Yükümlülükleri

Yukarıda belirtilen ayrımlar çerçevesinde, özellikle yüksek riskli AI sistemleri, risklerinin ciddiyeti nedeniyle özellikle katı düzenlemelere tabidir ve sağlayıcılar ile kullanıcılar için belirli yükümlülükler öngörülmüştür.

Öncelikle, sağlayıcılar, kullanıcılar, ithalatçılar ve satıcılar için risk yönetim sistemi oluşturma zorunluluğu bulunmaktadır (Madde 9). Bu, yüksek riskli AI sistemlerinin içinde barındırdığı riskleri belirlemek, uygun şekilde yönetmek ve bu sistemleri kurmak, uygulamak ve ayrıca belgelendirerek sürdürmek için gereklidir. Ayrıca, veri yönetişimi konusunda (Madde 10), kalite standartlarını karşılayan eğitim, doğrulama ve test veri setlerinin kullanımı talep edilmektedir. AI sistemlerinin geliştirme aşamasında da verinin kalitesi ve güvenilirliği katı bir şekilde yönetilmelidir.

Ek olarak, teknik dokümantasyon oluşturma yükümlülüğü de bulunmaktadır (Madde 11). Bu teknik dokümantasyon, yüksek riskli AI sistemlerinin düzenleyici gerekliliklere uygun olduğunu kanıtlamak için gerekli bilgileri içermeli ve üye ülkelerin yetkili kurumlarına veya üçüncü taraf sertifikasyon kuruluşlarına sunulabilecek şekilde hazırlanmalıdır. Ayrıca, AI sistemlerinin çalışırken olayları otomatik olarak kaydeden bir log işlevinin tasarımı ve geliştirilmesi de gereklidir (Madde 12). Yüksek riskli AI sistemleri, piyasaya sürülmeden önce AB’nin kontrolündeki bir veritabanına kaydedilmelidir ve sağlayıcılar, kalite yönetim sistemini düzenlemek, belgelendirmek ve sürdürmekle yükümlüdürler.

Sağlayıcıların Yükümlülükleri

Sağlayıcılar, piyasaya sürülmesinden veya işletmeye alınmasından sonra 10 yıl boyunca teknik dokümantasyon, kalite yönetim sistemi dokümanları, üçüncü taraf sertifikasyon kuruluşlarının onayları veya kararları gibi ilgili dokümanları saklamak ve yerel yetkili otoritelerin talebi üzerine sunmakla yükümlüdürler. Böylece, sağlayıcılar AI sistemlerinin kalitesini ve güvenliğini uzun vadede korumak ve şeffaflığı sağlamakla sorumludurlar.

Kullanıcıların Yükümlülükleri

Öte yandan, kullanıcılar için de yüksek riskli AI sistemlerinin kullanımıyla ilgili belirli yükümlülükler getirilmiştir. Kullanıcılar, yüksek riskli AI sistemleri tarafından otomatik olarak oluşturulan logları, AB hukuku veya üye ülke hukukunda özel bir düzenleme olmadığı sürece, bu AI sistemlerinin amaçlanan kullanımına uygun olarak uygun bir süre boyunca saklamalıdırlar. Özellikle, en az altı ay süreyle saklama zorunluluğu getirilmiştir.

Ayrıca, iş yerinde yüksek riskli AI sistemlerini işletmeye almak veya kullanmak isteyen kullanıcılar, bu sistemlerin kullanılacağı konusunda önceden çalışan temsilcilerine ve etkilenen çalışanlara bildirimde bulunmakla yükümlüdürler. Bu, çalışanların haklarının korunması ve şeffaflığın sağlanması açısından önemlidir.

Bu şekilde, yüksek riskli AI sistemleri, sağlayıcılar ve kullanıcılar için katı gereklilikler ve yükümlülükler getirmektedir. Özellikle, medikal cihazlar veya otonom sürüş sistemleri gibi ileri AI teknolojileri söz konusu olduğunda, mevcut düzenleyici çerçevelerle uyum ve uygunluk değerlendirmesi yapılması veya üçüncü taraf sertifikasyon kuruluşlarının incelemesi gibi durumlar da gerekebilir, bu nedenle işletmelerin dikkatli ve planlı bir şekilde hareket etmeleri gerekmektedir.

Japonya’da AI Düzenleme Yasasının Aşamalı Yürürlük Takvimi

AB AI Düzenleme Yasası, ilan edilmesinden uygulamaya geçirilmesine kadar aşamalı bir yürürlük takvimi belirlenmiştir. Bu sayede, işletmeler her aşamaya uygun hazırlık ve yanıt vermeleri beklenmektedir.

2024 yılı 12 Temmuz’da AI Düzenleme Yasası resmi gazetede yayımlanmış ve aynı yılın 1 Ağustos’unda yürürlüğe girmiştir. Bu aşamada, işletmelerin öncelikle düzenlemenin içeriğini kontrol etmeleri ve değerlendirmeleri gerekmektedir.

2025 yılı 2 Şubat’ta ise ‘Genel Hükümler’ ve ‘Kabul Edilemez Risk Taşıyan AI Sistemleri’ ile ilgili maddeler uygulanmaya başlanacaktır. Eğer işletmeler kabul edilemez risk taşıyan AI sistemleri kullanıyorlarsa, bu sistemlerin kullanımını derhal durdurmaları gerekecektir.

Ardından, 2025 yılı 2 Mayıs’ta Genel Amaçlı AI (GPAI) model sağlayıcıları için Pratik Kurallar (Codes of Practice) yayımlanacaktır. İşletmeler, bu pratik kurallara uygun hareket etmek zorundadırlar.

Daha sonra, 2025 yılı 2 Ağustos’ta ‘GPAI Modelleri’ ve ‘Ceza Hükümleri’ ile ilgili maddeler uygulanacak ve üye ülkelerde yetkili otoriteler atanacaktır. Bu aşamada, GPAI modelleri sağlayan işletmelerin ilgili düzenlemelere uymaları gerekmektedir.

2026 yılı 2 Şubat’ta, AI Düzenleme Yasası’na dayanarak AI sistemlerinin uygulanma yöntemleri hakkında rehberler yayımlanacaktır. Aynı zamanda, yüksek riskli AI sistemleri için piyasadan sonra yapılacak izleme zorunlu hale gelecek ve buna uygun bir sistem kurulması talep edilecektir.

Ek olarak, 2026 yılı 2 Ağustos’ta Ek III’te belirtilen ‘Yüksek Riskli AI Sistemleri’ ile ilgili maddeler uygulanmaya başlanacaktır. Bu noktada, üye ülkeler AI düzenleme kum havuzlarını (sandbox) kuracak ve hedeflenen yüksek riskli AI sistemlerinin düzenlemelere uyumu zorunlu olacaktır.

Son olarak, 2027 yılı 2 Ağustos’ta Ek I’de belirtilen ‘Yüksek Riskli AI Sistemleri’ ile ilgili maddeler uygulanacaktır. Böylece, Ek I’de belirlenen hedef AI sistemleri için de düzenlemelere uyulması zorunlu hale gelecektir.

Bu şekilde, AI Düzenleme Yasası birkaç yıl boyunca aşamalı olarak yürürlüğe girecek ve riskin büyüklüğüne göre düzenlemeler sırayla uygulanacaktır. İşletmeler, her uygulama dönemini doğru bir şekilde anlamalı ve hedeflenen AI sistemlerine uygun yanıtlar geliştirmelidirler.

İlgili makale: AB’deki AI Düzenleme Yasasının Mevcut Durumu ve Geleceği Nedir? Japon Şirketlere Etkisi de Açıklanmıştır[ja]

Monolit Hukuk Bürosu’nun Sunduğu Çözümler

Monolit Hukuk Bürosu, IT ve özellikle internet ile hukukun her iki alanında da zengin deneyime sahip bir hukuk firmasıdır.

AI işletmeleri birçok hukuki riski beraberinde getirir ve AI ile ilgili hukuki sorunlarda uzmanlaşmış avukatların desteği hayati önem taşır. Firmamız, AI konusunda bilgili avukatlar ve mühendislerden oluşan bir ekip ile ChatGPT dahil olmak üzere AI işletmelerine yönelik sözleşme hazırlama, iş modelinin yasallığının değerlendirilmesi, fikri mülkiyet haklarının korunması, gizlilik konularında uyum gibi ileri düzey hukuki destek sağlamaktadır. Aşağıdaki makalede detayları bulabilirsiniz.

Monolit Hukuk Bürosu’nun Uzmanlık Alanları: AI (ChatGPT vb.) Hukuki İşlemler[ja]