Hollanda'da kullanılan bir chatbot, üç hukuk dalının kesişim noktasında yer almaktadır: telif hakkı (Auteurswet ve AB telif hakkı direktifleri), veri koruma (GDPR) ve AB Yapay Zeka Yasası, 2024/1689 sayılı Yönetmelik. Bu rejimlerin her biri, chatbot'u kullanıcıların önüne koyan kuruluşa, yalnızca onu geliştiren geliştiriciye değil, yükümlülükler getirmektedir. Bu nedenle chatbot'lar, telif hakkı ve uyumluluk üç ayrı konu değil, tek bir konudur ve çalışma, chatbot'unuzun ne yaptığının, hangi verilerle eğitildiğinin ve kendi başına neye karar verebileceğine dair yazılı bir sınıflandırma ile başlar.
Her sohbet robotu için geçerli olan üç yasal düzenleme
Hollanda'da tek bir yapay zekâ yasası yok. Bunun yerine, çoğunlukla üretken yapay zekâ bir meta haline gelmeden önce yazılmış bir dizi kural ve özellikle onun için yazılmış bir düzenleme mevcut. Hollanda'daki bir işletme için bunun pratik sonucu, sohbet robotunuzun yasal olup olmadığını tek bir metne bakarak yanıtlayamamanızdır. Aynı sistemi üç ayrı testten geçirmeniz gerekir ve birinden geçmek diğerleri hakkında hiçbir şey söylemez.
Telif hakkı, modele giren ve modelden çıkan materyali yönetir. DSM Direktifi'ni uygulamak için değiştirilen Hollanda Telif Hakkı Yasası (Auteurswet), metin ve veri madenciliği için özel bir istisna içerir ve bu istisna, eğitim verisi tartışmalarının çoğunun dayandığı temel noktadır. Veri koruma, sohbet robotunun kendisine yazan kişi hakkında öğrendiği her şeyi yönetir ve burada GDPR, bir konuşmanın tanımlanabilir bir bireye kadar izlenebildiği anda tam olarak uygulanır. Yapay Zeka Yasası, sistemin kendisini yönetir: ne için kullanılabileceği, nelerin açıklanması gerektiği, hangi belgelerin mevcut olması gerektiği ve kimin onu kapatabileceği.
Bu üç rejimin farklı denetleyicileri, farklı yaptırımları ve farklı zaman çizelgeleri var. Bu, göründüğünden daha önemli. Gizlilik konusunda kusursuz olan bir sohbet robotu, geçerli bir vazgeçme seçeneğine tabi olan kazınmış materyaller üzerinde eğitildiği için yine de yasa dışı olabilir ve temiz bir veri geçmişine sahip bir sohbet robotu, kullanıcıya makine olduğunu asla söylemezse Yapay Zeka Yasasını ihlal edebilir.
Her rejimin sizden aslında ne istediği
Özünde, bu üç yasanın her biri farklı bir soru soruyor. Telif hakkı yasası, her çoğaltma eylemi için izin alıp almadığınızı veya yasal bir istisnaya sahip olup olmadığınızı soruyor. Veri koruma yasası, GDPR Madde 6 uyarınca yasal bir dayanağınız olup olmadığını, veri sahibine ne yaptığınızı söyleyip söylemediğinizi ve ihtiyaç duyduğunuzdan fazlasını toplamadığınızı soruyor. Yapay Zeka Yasası ise sistemin risk ölçeğinde nerede yer aldığını ve bu seviyeye bağlı yükümlülüklerin yerine getirilip getirilmediğini ve belgelenip belgelenmediğini soruyor.
Bu üç soruyu, uygulamaya geçmeden önce yazılı olarak yanıtlamak, bir yapay zeka projesini ucu açık bir riskten yönetilebilir bir hale getirir. Ayrıca, pratikte, bir düzenleyici kurumun görmek isteyeceği ilk belge de budur.
Hollanda'da yapay zekâ destekli sohbet robotları için başlıca hukuki zorluklar
| Yasal alan | Temel sorun | Yönetim kuralları |
|---|---|---|
| Veri koruma | Yasal bir dayanak olmaksızın konuşma verilerini işlemek veya gerekenden daha uzun süre saklamak. | Autoriteit Persoonsgegevens tarafından denetlenen GDPR |
| telif hakkı | Eğitim sırasında koruma altındaki eserlerin çoğaltılması ve koruma altındaki bir eseri tanınabilir biçimde yeniden üreten çıktılar. | Özellikle 15n ve 15o maddelerindeki metin ve veri madenciliği istisnaları bakımından telif hakkı yasası. |
| Şeffaflık | Kullanıcılara bir makineyle karşı karşıya olduklarının söylenmemesi veya sentetik çıktının bu şekilde işaretlenmemesi. | Yapay Zeka Yasası'nın halihazırda yürürlükte olan 50. maddesi |
| Çıktılara ilişkin sorumluluk | Sohbet robotunun ürettiği tavsiyelere, açıklamalara veya kararlara kim yanıt veriyor? | Genel Hollanda medeni hukuku: sözleşme, 6:162 BW maddesi uyarınca haksız fiil ve ürün sorumluluğu |
Dördüncü satır, en sık yanlış tanımlandığı için bir uyarıyı hak ediyor. Avrupa Komisyonu, önerilen Yapay Zeka Sorumluluk Direktifi'ni geri çekti, bu nedenle ufukta yapay zeka kaynaklı hasarlar için uyumlu bir Avrupa sorumluluk rejimi yok. Hatalı bir chatbot yanıtıyla ilgili iddialar, olağan Hollanda medeni hukuku kapsamında karara bağlanacaktır: müşterinizle olan sözleşme, 6:162 BW maddesindeki genel özen yükümlülüğü ve revize edilmiş ürün sorumluluğu kuralları. Bunun pratikte nasıl işlediğini, yapay zeka tarafından oluşturulan içerikteki hatalardan kaynaklanan sorumluluk hakkındaki makalemizde ayrıntılı olarak ele aldık.
Telif hakkı ve modelinizin eğitildiği veriler
Büyük ölçekli bir dil modelinin eğitilmesi, koruma altındaki eserlerin endüstriyel ölçekte kopyalanmasını içerir. Hollanda yasalarına göre bu kopyalama, telif hakkı yasası (Auteurswet) anlamında bir çoğaltmadır ve hak sahibinin izni olmadığı veya yasal bir istisna uygulanmadığı sürece yasa dışıdır. Amerikan adil kullanım doktrininin Hollanda veya Avrupa'da bir karşılığı yoktur ve Amerika Birleşik Devletleri'ndeki davalardan alınan argümanlar Hollanda mahkemelerine uygulanamaz.
Burada önemli olan istisna metin ve veri madenciliğidir. Telif Hakkı Yasası'nın 15n maddesi, araştırma kuruluşlarının ve kültürel miras kurumlarının, bilimsel araştırma amacıyla yasal olarak erişebildikleri eserlerde metin ve veri madenciliği yapmalarına izin vermektedir. 15o maddesi ise daha geniş kapsamlıdır: Herkesin yasal olarak erişilebilen eserlerde metin ve veri madenciliği yapmasına izin verir, ancak yalnızca hak sahibi bu kullanımı açıkça saklı tutmadığı durumlarda. Genellikle TDM'den vazgeçme olarak adlandırılan bu saklı tutma, uygun bir şekilde yapılmalı ve çevrimiçi olarak yayınlanan materyaller için makine tarafından okunabilir olmalıdır.
Pratik etkisi iki aşamalı bir testtir. Eğitmen materyale yasal olarak erişebildi mi ve telif hakkı sahibi kullanımını saklı tuttu mu? İkinci sorunun cevabı evet ise ve materyal yine de elde edildiyse, istisna ortadan kalkar ve çoğaltma bir ihlal olur.
Risk, uygulamayı gerçekleştiren kişi tarafından üstlenilir.
İşletmeler genellikle eğitim verisi sorunlarının geliştiricinin sorunu olduğunu varsayarlar. Bu sadece kısmen doğrudur. Bir chatbot'u devreye alan ve ürettiği içeriği yayınlayan kuruluş, kendi çoğaltma ve iletişim eylemlerini kendi adına gerçekleştirir. Üç hata noktası tekrar tekrar ortaya çıkar.
- Geçerli bir dayanağı olmayan eğitim. Model, TDM rezervasyonu kapsamındaki materyaller üzerine veya geliştiricinin en başından beri yasal olarak erişim sağlayamadığı materyaller üzerine inşa edilmiştir. Risk geliştiriciye aittir, ancak bir hak talebi, çıktının daha sonraki aşamalarında da takip edilebilir.
- Koruma altına alınmış bir eseri yeniden üreten çıktı. Eğer chatbot, koruma altındaki bir eserin açıkça kopyası olan bir metin, kod veya resim döndürürse, bunu yayınlamak, yayınlayan kişi için yeni bir ihlal teşkil eder. Üslup korunmaz; somut bir eserin önemli bir kısmı korunur.
- Riski geriye taşımayan sözleşmeler. Birçok yapay zeka lisansı, sorumluluğu yıllık ücretle sınırlandırır ve üçüncü taraf fikri mülkiyet haklarını tamamen kapsam dışı bırakır. Pazarlama materyallerini okumadan önce tazminat maddesini okuyun.
Sohbet robotunun ürettiği içeriğin sahipliği ise ayrı bir konu. Hollanda telif hakkı, özgün karakteri olan, yaratıcısının kişisel damgasını taşıyan ve insan yaratıcı seçimlerini gerektiren eserleri korur. Tamamen makine tarafından üretilen, insan müdahalesi olmadan bir komut üzerine oluşturulan çıktıların telif hakkı kapsamına girmesi olası değildir; bu da ne sizin ne de başka birinin bir rakibin onu yeniden kullanmasını engelleyemeyeceği anlamına gelir. Telif hakkı yasası kapsamında içeriğin ne zaman kamu malı olarak kabul edildiğine dair kılavuzumuz , temel prensipleri ele almaktadır.
Gerçekçi çözüm, teknik olmaktan ziyade sözleşmeye dayalı ve kanıta dayalıdır. Satıcıdan, hangi veri setlerinin kullanıldığını, TDM rezervasyonlarının yerine getirilip getirilmediğini ve üçüncü taraf talepleri için ne tür bir tazminat sunulduğunu yazılı olarak isteyin. Cevapları saklayın. Veri kaynaklarını sözleşmeye koymayan bir satıcı, size kendi özgüveni hakkında bir şeyler anlatıyordur.
Yapay Zeka Yasası bir sohbet robotunu nasıl sınıflandırıyor?
Yapay Zeka Yasası teknolojiyi değil, amacı düzenler. Aynı temel dil modeli bir uygulamada minimum riskli, diğerinde ise yüksek riskli olabilir ve sınıflandırma tamamen ne için kullanıldığına bağlıdır. Bu nedenle ilk uyumluluk adımı yazılı bir sınıflandırmadır ve bir satıcı veri sayfasından sınıflandırma kopyalamak yeterli değildir.
Yönetmelik, sistemleri dört kademeye ayırıyor. Kabul edilemez kademedeki uygulamalar tamamen yasaklanmıştır: Madde 5, diğer şeylerin yanı sıra, davranışı önemli ölçüde bozan ve ciddi zarara neden olan manipülatif teknikleri, yaş veya engellilikle bağlantılı zaafların istismarını, sosyal puanlamayı ve iş yerinde ve eğitimde duygu tanımayı yasaklamaktadır. Bu yasaklar 2 Şubat 2025'ten beri yürürlüktedir ve bunları yasaklanmış yapay zeka uygulamaları hakkındaki makalemizde ayrıntılı olarak ele alıyoruz.
Yüksek riskli kategori, sıkı düzenlemelere tabi olan ve izin verilen kategoridir. Bir chatbot, Ek III'te listelenen alanlardan birinde kullanıldığında (işe alım ve seçme, kredi veya sosyal yardımlar gibi temel özel ve kamu hizmetlerine erişim kararları, eğitim ve kolluk kuvvetleri) veya Ek I'deki uyumlaştırma mevzuatı kapsamındaki bir ürünün güvenlik bileşeni olarak işlev gördüğünde bu kategoriye girer. Bu kategoriye giren yükümlülükler, Yapay Zeka Yasası kapsamındaki yüksek riskli yapay zeka sistemlerine ilişkin kılavuzumuzda belirtilmiştir.
Sınırlı risk seviyesi, müşteriyle doğrudan etkileşim kuran sohbet robotlarının çoğunun bulunduğu seviyedir. Uygunluk değerlendirmesi, kayıt ve onaylanmış kuruluş zorunluluğu yoktur, ancak şeffaflık yükümlülüğü vardır ve bu isteğe bağlı değildir. Minimum risk seviyesi ise diğer her şeyi kapsar ve gönüllü kurallar dışında belirli bir yükümlülük içermez.
Hali hazırda geçerli olan ve ertelenen hususlar
Yapay Zeka Yasası 1 Ağustos 2024'te yürürlüğe girdi ve birkaç yıl içinde kademeli olarak uygulanıyor; bu kademelenme Avrupa Komisyonu'nun dijital kapsamlı paketiyle değiştirildi. Bugün doğru olan ve sıklıkla yanlış bildirilen üç şey var.
Birincisi, 5. maddedeki yasaklar ve 4. maddedeki yapay zeka okuryazarlığı yükümlülüğü 2 Şubat 2025'ten beri uygulanmaktadır. İkincisi, çoğu ticari sohbet robotunun üzerine kurulu olduğu genel amaçlı yapay zeka modellerine ilişkin yükümlülükler 2 Ağustos 2025'ten beri uygulanmaktadır. Üçüncüsü, 50. maddedeki şeffaflık yükümlülükleri de geçerlidir. Genel yasa tasarısının ertelediği şey sadece yüksek risk rejimiydi: Ek III sistemlerine ilişkin kurallar artık 2 Aralık 2027'de, Ek I sistemlerine ilişkin kurallar ise 2 Ağustos 2028'de yürürlüğe girecek.
Erteleme yalnızca yüksek riskli rejimi kapsamaktadır. Sohbet robotunuz yasaklıysa, genel amaçlı model kurallarına giriyorsa veya sadece bir makine olduğunu açıklaması gerekiyorsa, son tarih zaten geçmiştir.
Yaptırım, küresel yıllık cironun bir payı olarak ifade edilen para cezası tavanlarıyla desteklenmektedir: en yüksek kademe, yasakların ihlali için ayrılmıştır ve daha düşük genel kademe, diğer çoğu ihlal için geçerlidir. Ulusal denetleyiciler, bu tavanlar dahilinde gerçek miktarı belirler.
Yapay Zeka Yasası'nın sohbet robotu uygulamaları için risk seviyeleri
| Risk seviyesi | Chatbot örneği | Temel yükümlülük |
|---|---|---|
| asgari | Açılış saatleri veya makale kategorileri hakkında soruları yanıtlayan bir bot. | Belirli bir yükümlülük yok; gönüllülük esasına dayalı davranış kuralları. |
| Sınırlı | İade ve sipariş sorgularını yöneten bir müşteri hizmetleri botu. | Kullanıcının bir yapay zeka sistemiyle etkileşimde bulunduğunu belirtin ve sentetik çıktı olarak işaretleyin. |
| Yüksek | İş başvurusu yapan adayları önceden değerlendiren veya kredi uygunluğunu değerlendiren bir bot. | Risk yönetimi, veri yönetişimi, teknik dokümantasyon, kayıt tutma, insan gözetimi ve uygunluk değerlendirmesi. |
| Kabul edilemez | Belirli bir grubun güvenlik açıklarından yararlanan veya çalışanların iş yerindeki duygularını tahmin eden bir bot. | Yasaklanmıştır; AB'de piyasaya sürülemez veya kullanılamaz. |
Madde 50'deki şeffaflık yükümlülüğü
Yapay Zeka Yasası'nın 50. maddesi, bir yapay zeka sistemiyle etkileşimde bulunan kişinin bu durumdan haberdar edilmesini gerektirir; ancak bu durum, koşullar göz önüne alındığında makul ölçüde bilgili bir kullanıcı için açıkça belli ise bu zorunluluk geçerli değildir. Bilgilendirme, ilk etkileşim anında, açık ve ayırt edilebilir bir biçimde yapılmalıdır. Üç tıklama uzaklıktaki bir gizlilik bildiriminde yer alan bir satır bu şartı karşılamaz.
Aynı madde, sentetik metin, ses, görüntü veya video üreten sistem sağlayıcılarının bu çıktıyı makine tarafından okunabilir bir şekilde işaretlemesini ve kamu yararına ilişkin konularda yapay zeka tarafından üretilen metinleri yayınlayanların, metin editör sorumluluğuyla insan incelemesinden geçmediği sürece, bunun yapay olarak üretildiğini açıklamalarını gerektirmektedir. Kendi web sitesinde bir chatbot çalıştıran bir işletme için pratik kontrol listesi kısadır: konuşmanın başında görünür bir açıklama, bir insana net bir yol ve kullanıcının belirli bir çalışanla konuştuğunu ima eden hiçbir arayüz tasarımı olmaması.
Şeffaflık, Hollanda tüketici hukuku açısından da bir boyuta sahiptir. Bir makineyi insan olarak sunmak veya bir sohbet robotunun bir satış elemanının yasal olarak yapamayacağı iddialarda bulunmasına izin vermek, Yapay Zeka Yasası'ndan bağımsız olarak, Tüketici Hakları Yasası'nın 6. Kitabındaki kurallar uyarınca yanıltıcı ticari uygulama teşkil edebilir.
Konuşmada kişisel veriler: GDPR katmanı
GDPR, bir sohbet robotu tanımlanabilir bir kişiyle ilgili verileri işlediği anda geçerlidir ve konuşma kayıtları neredeyse her zaman bu kapsamdadır. İlk olarak yasal dayanağı belirlemek gerekir: Madde 6(1)(a) uyarınca rıza, Madde 6(1)(b) uyarınca sözleşmenin ifası veya Madde 6(1)(f) uyarınca meşru menfaatler; bunların her birinin, daha sonra kayıtlarla ne yapabileceğiniz konusunda farklı sonuçları vardır.
Pratikte sorunların çoğuna üç nokta neden olur. Bunlardan biri saklama süresidir: Kayıtlar genellikle süresiz olarak saklanır çünkü kimse bir süre belirlemez; bu da 5(1)(e) maddesindeki saklama sınırlama ilkesini ihlal eder. İkincil kullanım ise, canlı konuşmaları bir modeli ince ayar yapmak için kullanmak, kendi değerlendirmesine ve genellikle kendi bilgilendirme bildirimine ihtiyaç duyan yeni bir amaçtır. Üçüncüsü ise özel kategori verileridir. Sağlık, sigorta veya insan kaynakları ortamındaki bir sohbet robotu, siz tasarlamış olsanız da olmasanız da sağlık veya diğer hassas verileri toplayacaktır ve 9. madde, belirli bir istisna uygulanmadığı sürece bu işlemeyi yasaklar.
Sohbet robotunun üçüncü taraf bir platformda çalıştığı durumlarda, bu platform genellikle veri işleyici konumundadır ve 28. madde uyarınca bir veri işleme sözleşmesi zorunludur. Rollerin doğru belirlenmesi bir formalite değildir; veri sahibinin talebine kimin cevap vermesi gerektiğini ve ihlalden kimin sorumlu olduğunu belirler. GDPR kapsamındaki denetleyici ve veri işleyici rolleri arasındaki ayrım ve Hollanda'daki bir işletmede yapay zekanın kullanımı hakkındaki makalelerimiz bu analizi ortaya koymaktadır.
Madde 35 uyarınca, işlemenin yüksek risk oluşturması muhtemel olduğu durumlarda veri koruma etki değerlendirmesi gereklidir ve Autoriteit Persoonsgegevens tarafından yayınlanan liste, bireylerin büyük ölçekli otomatik değerlendirmesinin bu kategoriye girdiğini açıkça ortaya koymaktadır. Sohbet robotunuz kullanıcı profilleri oluşturuyorsa, bir değerlendirmeye ihtiyacınız olduğunu varsayın. GDPR'ye uyulmaması, Madde 83(5) uyarınca dünya çapındaki yıllık cironun yüzde dördüne kadar para cezasıyla cezalandırılır ve bu üst sınır değişmemiştir.
İnsan gözetimi ve şeffaf olmayan modellerle ilgili sorun
Yapay Zeka Yasası'nın 14. maddesi, yüksek riskli sistemlerin, kullanımdayken gerçek kişilerin etkin bir şekilde denetleyebileceği şekilde tasarlanmasını gerektirir. Buradaki kilit kelime "etkin bir şekilde"dir. Denetim, kişinin sistemin kapasitesini ve sınırlarını anlayabilmesi, otomasyon yanlılığına karşı tetikte kalabilmesi, çıktıyı doğru yorumlayabilmesi, kullanmamaya karar verebilmesi ve müdahale edebilmesi veya durdurabilmesi anlamına gelir.
Değerlendiremediği bir tavsiyeyi onaylamak için tıklayan bir insan, 14. madde anlamında bir denetim sayılmaz ve kuruluşu korumaz. Denetçinin, karar verme yetkisine, yargılama yeteneğine ve her ikisini de yapabilmek için gerekli bilgilere sahip olması gerekir. Pratikte bu, rolü adlandırmak, kişileri bu konuda eğitmek, çıktının ardındaki gerekçelere erişimlerini sağlamak ve müdahale ettikleri zamanı kaydetmek anlamına gelir.
GDPR'da, yapay zeka yasasının hangi seviyesinde olursa olsun geçerli olan paralel bir yükümlülük bulunmaktadır. Madde 22, veri sahibine, yalnızca otomatik işlemeye dayalı ve yasal sonuçlar doğuran veya benzer şekilde kendisini önemli ölçüde etkileyen bir karara tabi tutulmama hakkı vermektedir. Bir chatbot bir başvuruyu reddederse, bir hizmeti reddederse veya tamamen otomatik olarak bir fiyat belirlerse, Madde 22 devreye girer ve kuruluş insan müdahalesi, açıklama ve itiraz yolu sunmak zorundadır.
Otomatik karar alma ve anlamlı insan gözetimi, ayrı araçlar altında ayrı testlerdir. Yapay Zeka Yasası'nı geçmek sizi GDPR'nin 22. maddesinden muaf tutmaz ve bunun tersi de geçerlidir.
Önyargı, bir denetim açığını bir yükümlülüğe dönüştüren başarısızlık biçimidir. Geçmiş veriler üzerinde eğitilmiş bir model, geçmiş kalıpları yeniden üretir ve bu kalıplar korunan bir özelliği izlediğinde, ortaya çıkan kararlar Genel Eşitlik Yasası (Algemene wet gelijke behandeling) uyarınca dolaylı ayrımcılığa yol açabilir. Dağıtımdan önce bunun test edilmesi ve testin belgelenmesi, sonradan işe yarayan tek savunmadır. Algoritmik önyargıdan kaynaklanan sorumluluk hakkındaki makalemizde bunun sonuçlarını ele alıyoruz.
Hollandalı denetçilerin yaptıkları
Hollanda'da Yapay Zeka Yasası'nın denetimi hâlâ oluşturulma aşamasındadır. Hükümet, mevcut sektörel düzenleyicilerin kendi alanlarında yapay zekayı denetlemesini, Autoriteit Persoonsgegevens'in (Kişisel Veri Otoritesi) açık bir denetleyicinin bulunmadığı alanları ele alıp özel bir yapay zeka birimi işletmesini ve Rijksinspectie Digitale Infrastructuur'un (Dijital Altyapı Denetleme Kurumu) bununla birlikte koordinasyon rolü üstlenmesini öngören bir model önermiştir. Uygulama yasası olan Uitvoeringswet AI-verordening (Yapılandırma Yasası), Nisan 2026'da kamuoyu görüşüne sunulmuş ancak henüz kabul edilmemiştir; bu nedenle yetkilerin ve cezaların resmi olarak belirlenmesi henüz kesinleşmemiştir.
Bu, yaptırım uygulanmayacağı anlamına gelmez. GDPR tamamen uygulanabilir ve Hollanda Kişisel Veri Koruma Kurumu (Autoriteit Persoonsgegevens) yıllardır yapay zeka uygulamalarına karşı bunu kullanmaktadır. Yapay Zeka Yasası'nın 5. maddesindeki yasaklar, Hollanda uygulama yasası ne zaman yürürlüğe girerse girsin, doğrudan uygulanabilir yasalardır.
Örnek bir uygulama: oy verme tavsiyesi veren sohbet botları
Hollanda'da işlerin nasıl ters gittiğine dair en net örnek, bizzat Autoriteit Persoonsgegevens'ten (AP) geldi. Şubat 2025 tarihli yapay zeka ve algoritmik riskler raporunda, denetleyici kurum, oy verme tavsiyesi vermek için kullanılan üretken yapay zeka sohbet robotlarını test etti ve sonuçların güvenilmez ve çarpık olduğunu buldu: sistemler, verilen cevaplardan bağımsız olarak, kullanıcıları az sayıda partiye yönlendirdi ve geri kalanını büyük ölçüde görmezden geldi. AP, halka bu tür sohbet robotlarını seçim kararları için kullanmamalarını tavsiye etti ve seçimleri etkilemek için kullanılan yapay zekanın Yapay Zeka Yasası'nın yüksek risk kategorisine girdiğini belirtti. Bulgular, AP'nin yapay zeka ve algoritmik riskler raporunda yer almaktadır.
Bu ders, siyasetin ötesine de genelleştirilebilir. Kullanıcı dostu bir arayüzle sunulan genel amaçlı bir model, operatörünün öyle olmasını amaçlaması nedeniyle tarafsız hale gelmez. Çıktı, önemli bir kararı etkiliyorsa, tarafsızlık test edilmeli ve test belgelenmelidir; çünkü sistemin iddia edildiği gibi çalıştığını gösterme yükümlülüğü, devreye alındıktan sonra onu devreye alan kuruluşa aittir.
Sürekli geçerliliğe sahip bir yapay zeka yönetişim çerçevesi oluşturmak
Bir yönetim çerçevesi, ancak kanıt üretiyorsa değerlidir. Düzenleyiciler, karşı taraflar ve mahkemeler, bir sorun ortaya çıktıktan sonra aynı soruyu sorarlar: Ne biliyordunuz, ne zaman değerlendirdiniz ve ne yazdınız? Dört unsur işin büyük kısmını halleder.
- Sınıflandırma gözden geçirildi. Her bir yapay zeka sisteminin Yapay Zeka Yasası kapsamında hangi seviyede yer aldığını ve nedenini kaydedin. Kullanım senaryosu her değiştiğinde değerlendirmeyi tekrarlayın; örneğin, başvuru sahiplerini taramaya başlayan bir müşteri hizmetleri botu bir gecede farklı bir seviyeye yükselmiş olabilir.
- Veri yönetimi. Eğitim ve erişim verilerinin kaynağını, arkasındaki lisansları ve TDM rezervasyonlarının nasıl kontrol edildiğini belgeleyin. Kişisel veriler tarafında ise yasal dayanağı, saklama süresini ve işleme sözleşmelerini kaydedin.
- Belgeleme ve kayıt tutma. Model sürümünü, sistem uyarısını, test sonuçlarını ve görüşme kayıtlarını, GDPR'ye uygun saklama süreleriyle muhafaza edin. Kayıtlar olmadan, sistemin o gün ne söylediğini yeniden oluşturamazsınız.
- Gözetim protokolleri. Sorumlu kişilerin isimlerini belirtin, ne zaman müdahale etmeleri gerektiğini tanımlayın ve sisteme son verme yetkisini verin. Müdahaleleri kaydedin.
Geri kalanını sözleşmeler halleder. Yapay zeka tedarikçinizle yapacağınız anlaşma, veri kaynağı, fikri mülkiyet tazminatları, sağlayıcı ve dağıtıcı arasında Yapay Zeka Yasası kapsamındaki rollerin dağılımı, güvenlik, denetim hakları ve çıkış konularını ele almalıdır. Bunlar olağan ticari müzakere noktalarıdır ve bir olaydan sonra kazanmaktan çok daha kolaydır. BT hukuku kılavuzlarımız , ilgili sözleşme ortamını kapsamaktadır.
Sohbet robotları, telif hakkı ve uyumluluk tek seferlik bir mesele değil. Yüksek risk rejimi 2028'e kadar aşamalar halinde uygulanacak, Uygulama Yasası ulusal prosedürler ve cezalar ekleyecek ve yapay zeka çıktıları hakkındaki içtihatlar henüz başlangıç aşamasında. Yıllık olarak gözden geçirilen ve yasa değiştiğinde güncellenen bir çerçeve, savunulabilir bir pozisyon ile doğaçlama bir pozisyon arasındaki farkı yaratır.
Siz sağlayıcı mısınız yoksa uygulayıcı mı?
Yapay Zeka Yasası, yükümlülüklerinin neredeyse tamamını rollere göre dağıtır ve bir işletmenin chatbot satın alması için önemli olan iki rol sağlayıcı ve dağıtıcıdır. Sağlayıcı, bir yapay zeka sistemi geliştirir ve kendi adıyla piyasaya sürer veya hizmete sunar; dağıtıcı ise kendi yetkisi altında kullanır. Hazır bir chatbot satın almak sizi dağıtıcı yapar ki bu da çok daha hafif bir görev setidir.
Tuzak şu ki, bir dağıtımcı istemeden de olsa bir sağlayıcı haline gelebilir. Yönetmeliğin 25. maddesi, bir dağıtımcının, sisteme kendi adını veya ticari markasını koyması, sistemde önemli bir değişiklik yapması veya sistemin amacını değiştirerek sistemi yüksek riskli bir sisteme dönüştürmesi durumunda, yüksek riskli bir sistem için sağlayıcının yükümlülüklerini üstlendiğini belirtmektedir. Üçüncü taraf bir chatbot'u kendi markanız altında etiketlemek veya genel bir müşteri hizmetleri botunu iş başvurularını elemek için yeniden kullanmak, bu geçişi yapmak için yeterlidir.
Bu yeniden tahsisin gerçek sonuçları vardır. Sağlayıcı, uygunluk değerlendirmesini, teknik dokümantasyonu, kalite yönetim sistemini, AB veri tabanına kaydı ve piyasa sonrası izlemeyi üstlenir. Bunların hiçbiri bir sözleşme maddesiyle göz ardı edilemez, çünkü yükümlülükler karşı tarafa karşı özel yükümlülükler değil, denetleyiciye karşı yerine getirilmesi gereken kamu hukuku yükümlülükleridir. Bir sözleşme, ihlalin maliyetini devredebilir; ancak yükümlülüğü devredemez.
Yüksek riskli sistemlerin kurulumunu gerçekleştirenlerin kendi listeleri vardır: sistemi talimatlara uygun olarak kullanmak, yetkin insan gözetimi sağlamak, giriş verilerinin ilgili olduğundan emin olmak, çalışmayı izlemek, kayıtları tutmak ve yüksek riskli bir sistem işyerinde kullanılmadan önce işçileri ve temsilcilerini bilgilendirmek. Bu son nokta kolayca gözden kaçırılabilir ve tam da bir işçi temsilciler kurulunun gündeme getireceği türden bir eksikliktir.
Gizlilik, ticari sırlar ve mesleki yükümlülükler
Üç düzenleyici rejimin de dışında kalan ve bunlardan daha somut zararlara yol açan bir risk, personelin gizli bilgileri halka açık bir sohbet robotuna aktarmasıdır. Müşteri verileri, sözleşme taslakları, kaynak kod ve yayınlanmamış finansal rakamlar bir tüketici yapay zeka hizmetine girildiğinde kuruluşun kontrolünden çıkar ve hizmet şartlarına bağlı olarak saklanabilir veya daha fazla eğitim için kullanılabilir.
Hollanda yasalarına göre, bu durum ticari bir sözleşmedeki gizlilik maddesini ihlal edebilir, Wet bescherming bedrijfsgeheimen (İşletme Sırlarını Koruma Yasası) uyarınca bilgilerin ticari sır olarak korunmasını sağlayan makul adımlar gerekliliğini ortadan kaldırabilir ve düzenlemeye tabi mesleklerde yasal gizlilik yükümlülüğünü ihlal edebilir. Ayrıca, GDPR'nin 33. maddesi uyarınca, farkına varılmasından itibaren yetmiş iki saat içinde Autoriteit Persoonsgegevens'e (Kişisel Veri Koruma Kurumu) bildirimde bulunmayı gerektiren bir kişisel veri ihlali de olabilir.
Çözüm basit ve etkili: Hangi araçların onaylandığını belirten, onaylanmamış bir araca asla ne girilemeyeceğini açıkça ifade eden ve ihlal edilmesi durumunda sonuçları olacak şekilde iş ilişkisine yerleştirilmiş yazılı bir yapay zeka kullanım politikası. Buna, girdileriniz üzerinde eğitim verilmesini sözleşmeyle dışlayan bir kurumsal düzenlemeyi de eklerseniz, risk büyük ölçüde ortadan kalkar.
Lansmandan önce neler yapılmalı?
Bir chatbot üzerindeki uyumluluk çalışmaları sıralı bir süreçtir ve doğru sırayla yapılması maliyetin büyük bir kısmından tasarruf sağlar. Sistemi Yapay Zeka Yasası kapsamında sınıflandırın ve gerekçesiyle birlikte sınıflandırmayı yazın. İşleyeceği kişisel verileri haritalandırın, yasal dayanağı ve saklama süresini belirleyin ve işlem gerektiriyorsa veri koruma etki değerlendirmesi yapın. Platformla 28. madde kapsamındaki işleme sözleşmesini yürürlüğe koyun.
Ardından modelin arkasındaki verilere bakın: tedarikçiye modelin ne üzerine eğitildiğini, TDM (İletim Talep Yönetimi) rezervasyonlarına uyulup uyulmadığını ve hangi tazminatın sunulduğunu sorun ve yanıtları kaydedin. Şeffaflık açıklamasını altbilgi yerine arayüzün içine entegre edin. Denetimden sorumlu kişiyi belirleyin ve ne zaman müdahale edeceğini tanımlayın. Son olarak, sistemi en çok korktuğunuz durumlara karşı test edin, sonuçları saklayın ve tüm dosyayı gözden geçirmek için bir tarih belirleyin.
Bunu yapan kuruluşlar, sürecin sınırlı olduğunu görüyorlar. Yapay zeka hukukundaki belirsizlik gerçek, ancak çoğunlukla eğitim verileri ve çıktıdan doğacak sorumlulukla ilgili birkaç soruda yoğunlaşmış durumda; geri kalanı ise tamamlanıp dosyalanabilecek sıradan uyumluluk çalışmalarıdır.
Sık Sorulan Sorular
Aşağıdaki sorular, bir chatbot'un devreye alınmasıyla ilgili hemen her ilk görüşmede ortaya çıkar. Bu sorular burada prensip düzeyinde yanıtlanmaktadır; belirli bir sistemin analizi her zaman ne yaptığına ve kime hizmet ettiğine bağlıdır.
Bir chatbot telif hakkını ihlal ederse kim sorumludur?
Bir sohbet robotunun telif hakkı ihlalinden doğan sorumluluk konusu hassas bir konudur ve cevabı genellikle ortak bir sorumluluk olmasıdır. Genellikle, sorumluluk hem aracı geliştiren yapay zeka geliştiricisine hem de onu kullanan kuruluşa aittir. AB ve Hollanda yasalarına göre, geliştiriciler, gerekli izinleri almadan modellerini eğitmek için telif hakkıyla korunan materyal kullandıkları için zor durumda kalabilirler.
Aynı zamanda, sohbet robotunu kullanan işletme, yapay zekanın ürettiği ve dağıttığı herhangi bir ihlal edici içerikten sorumlu tutulabilir. Bu riski önlemek için, işletmelerin yapay zeka tedarikçilerinden eğitim veri kaynakları konusunda şeffaflık talep etmeleri hayati önem taşır. Bir diğer önemli koruyucu katman ise, tedarikçi sözleşmelerinde sağlam tazminat maddelerinin güvence altına alınmasıdır.
Genel Veri Koruma Yönetmeliği (GDPR), sohbet botları tarafından işlenen veriler için de geçerli midir?
Evet, hiç şüphesiz. Sohbet robotunuz AB'deki bireylerden herhangi bir kişisel veri (isimler, e-posta adresleri veya hatta birini tanımlayabilecek konuşma verileri gibi) işliyorsa, GDPR'nin tüm hükümleri geçerlidir.
Bu durum, birkaç temel görevi hemen devreye sokar:
- Verilerin işlenmesine ilişkin açık ve meşru bir nedeniniz olmalıdır.
- Kullanıcıları verilerinin nasıl kullanıldığı konusunda tam olarak bilgilendirmelisiniz.
- Yalnızca kesinlikle gerekli olan verileri toplamalısınız (veri en aza indirme).
- Kullanıcıların verilerini görme veya silme hakkı da dahil olmak üzere kullanıcı haklarına saygı göstermeniz gerekmektedir.
Bu sorumluluklara göz yummak bir seçenek değil. Uyumsuzluk, şirketinizin yıllık küresel cirosunun %4'üne kadar varan devasa para cezalarına ve itibarınıza ciddi zararlara yol açabilir.
Sohbet robotumuzun uyumlu olduğundan emin olmak için ilk adım nedir?
En kritik ilk adım, AB Yapay Zeka Yasası'nın çerçevesine dayanarak kapsamlı bir risk değerlendirmesi yapmaktır. Chatbot'unuzun ne yaptığına ve neden olabileceği potansiyel zarara göre nereye uyduğunu belirlemeniz gerekir. Bu süreç, onu minimum, sınırlı veya yüksek riskli gibi bir kategoriye yerleştirecektir.
Örneğin, yalnızca temel soruları yanıtlayan basit bir SSS botu, çok az yükümlülüğü olan düşük riskli bir araç olarak görülecektir. Ancak, iş başvurularını değerlendirmek, tıbbi bilgi vermek veya finansal tavsiye vermek için kullanılan bir sohbet robotu neredeyse kesinlikle yüksek riskli olarak sınıflandırılacaktır. Bu sınıflandırma, şeffaflık, veri yönetimi ve insan gözetimi konusundaki özel yasal görevlerinizi belirler ve temelde tüm uyumluluk stratejiniz için size net bir yol haritası sunar.
Law & More Hollanda'daki işletmelere yapay zeka uygulamalarının yasal yönleri konusunda danışmanlık hizmeti veriyoruz: Yapay Zeka Yasası kapsamında sınıflandırma, telif hakkı ve veri kaynaklama, GDPR uyumluluğu ve veri işleme sözleşmeleri, yönetim dokümantasyonu ve yapay zeka tedarikçileriyle sözleşme müzakereleri. Bir chatbot başlatmayı planlıyorsanız veya mevcut bir chatbot'unuzun geçerli kurallara göre değerlendirilmesini istiyorsanız, size yardımcı olmaktan memnuniyet duyarız. Durumunuzu bize anlatın. Size bir iş günü içinde seçeneklerinizi bildireceğiz.
Ne kadar Law & More Bu konuda size nasıl yardımcı olabileceğimiz, sayfamızda açıklanmıştır. Bilişim avukatı sayfamızı ziyaret edin.
