Avrupa Birliği Yapay Zekâ Tüzüğü, 1 Ağustos 2024 tarihi itibarıyla yürürlüğe girdi.
Tüzük, yapay zekâ sistemlerini çeşitli risk seviyelerine göre sınıflandırarak, bu sistemlerin düzenlenmesi ve denetlenmesi için kapsamlı yükümlülükler getirmektedir.
Bu yükümlülükler, yapay zekâ sistemlerinin güvenli, adil ve şeffaf bir şekilde kullanılmasını sağlamayı hedeflerken, bu sistemlerin insan haklarına ve temel özgürlüklere zarar vermemesi için denetim mekanizmaları oluşturulmuştur. Risk seviyeleri aşağıda daha detaylı ele alınan minimum risk, sınırlı riski, yüksek risk ve kabul edilemez risk kategorilere ayrılmıştır.[1]
Avrupa Birliği Yapay Zekâ Tüzüğü ayrıca, GPAI (“General Purpose on Artificial Intelligence”) modelini de dikkate alarak uluslararası işbirliği ve küresel standartlarla uyumu da teşvik etmektedir. GPAI, genel amaçlı bir yapay zekâ modeline dayalı hem doğrudan kullanım hem de diğer yapay zekâ sistemlerine entegrasyon için çeşitli amaçlara hizmet etme kapasitesine sahip bir yapay zekâ sistemidir. Tüzük, yüksek riskli yapay zekâ sağlayıcılarına olduğu gibi GPAI sağlayıcılarına da bazı yükümlülükler getirilmektedir. (Madde 53)
Tüzüğün uygulanması, kuruluşlara tüzüğün hükümlerine uymaları için yeterli süre sağlamak amacıyla aşamalı olarak gerçekleştirilecektir. Bu kapsamda:
- 2 Şubat 2025 tarihinden itibaren, Üye Devletler, kabul edilemez risk taşıyan yapay zekâ sistemlerini aşamalı olarak kaldıracaklardır.
- 2 Ağustos 2025 tarihinden itibaren, GPAI için öngörülen tüm yükümlülükler uygulanacaktır.
- 2 Ağustos 2026 tarihinden itibaren, Ek-3’te yer alan yüksek riskli yapay zekâ sistemleri için öngörülen tüm yükümlülükler uygulanacaktır.
- 2 Ağustos 2027 tarihinden itibaren Ek-1’de yer alan yüksek riskli yapay zekâ sistemleri için öngörülen tüm yükümlülükler uygulanacaktır.
- Kabul Edilemez Risk Taşıyan Yapay Zekâ Sistemleri
Tüzük ile birlikte kabul edilemez risk (“Unacceptable Risk”) taşıyan yapay zekâ sistemleri yasaklanmıştır. Bu sistemler aşağıdaki gibi özellikler içermektedir:
- Bilinçaltı, manipülatif veya yanıltıcı teknikler kullanarak davranışı bozan ve bilinçli karar vermeyi engelleyen, önemli zarara neden olan sistemler,
- Yaş, engellilik veya sosyoekonomik durumla ilgili zafiyetleri istismar ederek davranışı bozan ve önemli zarara neden olan sistemler,
- Kişileri veya grupları sosyal davranış veya kişisel özelliklere göre değerlendiren veya sınıflandıran, bu kişilere karşı zararlı veya olumsuz muameleye yol açan sosyal puanlama sistemleri,
- Sadece kişilik özellikleri temel alınarak bir kişinin suç işleme riskini değerlendiren sistemler,
- İnternetten veya güvenlik kamerası görüntülerinden yüz görüntülerini hedefsiz olarak tarayarak yüz tanıyan veri tabanları oluşturan sistemler,
- İşyerlerinde veya eğitim kurumlarında duyguları çıkarılmayan sistemler,
- Hassas özellikleri (ırk, siyasi görüş, sendika üyeliği, dini veya felsefi inançlar, cinsel hayat veya cinsel yönelim) çıkaran biyometrik kategorizasyon sistemleri,
- Kolluk kuvvetleri için halka açık alanlarda gerçek zamanlı uzaktan biyometrik tanımlama (Remote Biometric Identification) sistemleri (belirli istisnalar dışında) Bu istisnalar arasında kayıp kişiler, kaçırılan çocuklar ve insan ticareti veya cinsel istismara uğramış kişilerin aranması; yaşam veya fiziksel güvenliğe yönelik belirli, önemli ve yakın tehditlerin önlenmesi; ve ciddi suçlarda şüphelilerin belirlenmesi yer almaktadır.
- Yüksek Risk Taşıyan Yapay Zekâ Sistemleri
Yüksek risk taşıyan yapay zekâ sistemleri tüzüğün ana odak noktasıdır.
Tüzük ile birlikte yasalaşan çoğu yükümlülük, yüksek riskli yapay zekâ sistemlerinin sağlayıcıları-geliştiricileri üzerine yüklenmiştir. Sağlayıcılar-geliştiriciler(“providers-developers”) genellikle sistemin yazılım ve donanımını geliştiren, sistemin performansını ve güvenliğini izleyen, kullanıcı eğitimlerini düzenleyen ve yasal uyumluluğu sağlayan kuruluşlar veya bireylerdir. Sağlayıcılar, genellikle yapay zekâ sisteminin ticari üreticisi veya sunucusu olarak tanımlanabilirken, geliştiriciler sistemin teknik yönlerinden sorumlu olan mühendisler, programcılar ve araştırmacılardır.
AB’de veya üçüncü bir ülkede bulunmalarına bakılmaksızın AB’de yüksek riskli yapay zekâ sistemlerini pazara sürmeyi veya kullanıma sokmayı hedefleyen sağlayıcılar-geliştiriciler tüzük kapsamında sorumludur. Ayrıca, yüksek riskli yapay zekâ sistemlerinin çıktısını AB’de kullanan üçüncü ülke sağlayıcıları da sorumludur.
Yüksek riskli yapay zekâ sağlayıcılarına-geliştiricilerine getirilen yükümlülükler şunlardır: (Madde 8-17)
- Yüksek riskli yapay zekâ sisteminin yaşam döngüsü boyunca bir risk yönetim sistemi (“risk management system”) oluşturmak,
- Eğitim, doğrulama ve test veri kümelerinin ilgili, yeterince temsili ve mümkün olan en iyi şekilde hatalardan arınmış ve amaçlanan amaca uygun olduğunu garanti eden veri yönetimi (“data governance”) uygulamak,
- Uyumluluğu göstermek ve yetkililere uyumluluğu değerlendirmek için bilgi sağlamak üzere teknik dokümantasyon (“technical documentation”) hazırlamak,
- Ulusal düzeydeki riskleri ve sistemin yaşam döngüsü boyunca yapılan önemli değişiklikleri belirlemek için ilgili olayları otomatik olarak kaydetmesini sağlamak üzere yüksek riskli yapay zekâ sistemini kayıt tutma (“record-keeping”) amacıyla tasarlamak,
- Alt düzey dağıtıcılara uyum sağlamaları için kullanım talimatları (“instructions for use”) sağlamak,
- Yüksek riskli yapay zekâ sistemini, dağıtıcıların insan gözetimi (“human oversight”) uygulamasına izin verecek şekilde tasarlamak,
- Yüksek riskli yapay zekâ sistemini uygun seviyelerde doğruluk, sağlamlık ve siber güvenlik (“accuracy, robustness, cybersecurity”) elde etmek üzere tasarlamak,
- Uyumluluğu sağlamak için bir kalite yönetim sistemi (“quality management system”) oluşturmak.
- Sınırlı Risk Taşıyan Yapay Zekâ Sistemleri
Sınırlı risk (“limited risk”) taşıyan yapay zekâ sistemleri, kullanımında bazı düzenlemeler gerektiren, ancak yüksek risk kategorisine girmeyen sistemlerdir. Bu tür sistemler, kullanıcıların dikkatini çekme ve uygun uyarıları sağlama gibi belirli şeffaflık (“transparency”) ve izleme gereksinimlerine tabi olabilirler. Tüzük içerisinde sınırlı risk içeren yapay zekâ sistemleri hakkında şeffaflık sağlamak amacıyla, son kullanıcıların yapay zekâ ile etkileşimde olduklarında bilgilendirilmeleri gerektiği vurgulanmaktadır.
- Minimum Risk Taşıyan Yapay Zekâ Sistemleri
Yapay zekâ destekli video oyunları ve spam filtreleri gibi minimum risk taşıyan yapay zekâ sistemleri, kullanımı genellikle serbest bırakılan ve düzenlemelerin en az olduğu kategorideki sistemlerdir. Bu sistemler, belirli kısıtlamalar olmadan kullanılabilir, ancak yasal uyumluluk, şeffaflık ve güvelik standartlarına uygunluk gibi temel yükümlülükler geçerlidir.