AB Yapay Zekâ Tüzüğü'nün temel mantığı basit: Risk ne kadar yüksekse kurallar o kadar sıkı. Bu yüzden Tüzük'e uyumun ilk adımı, her yapay zekâ sisteminizin hangi risk sınıfında olduğunu belirlemektir. Sınıflandırma kurum düzeyinde değil, sistem ve kullanım amacı düzeyinde yapılır; aynı model bir kullanımda minimal riskli, başka bir kullanımda yüksek riskli olabilir.
Dört risk sınıfı
1. Yasaklı uygulamalar
Temel haklar için kabul edilemez risk taşıyan uygulamalar Şubat 2025'ten beri yasak. Örnekler:
- Kişileri bilinçaltı veya manipülatif tekniklerle zarar verecek şekilde etkilemek
- Yaş, engellilik veya sosyoekonomik durum gibi kırılganlıkları istismar etmek
- Sosyal puanlama
- İş yerinde ve eğitim kurumlarında duygu tanıma (tıbbi ve güvenlik amaçlı istisnalar hariç)
- İnternetten veya kameralardan hedefsiz yüz görüntüsü toplayarak yüz tanıma veritabanı oluşturmak
2. Yüksek riskli sistemler
Kişilerin hayatını ve haklarını önemli ölçüde etkileyebilecek alanlardaki sistemler. İki grup var:
- Ek III: İşe alım ve çalışan yönetimi, kredi değerlendirmesi, hayat ve sağlık sigortasında fiyatlama, eğitim, temel hizmetlere erişim, biyometri, kritik altyapı, kolluk, göç ve adalet. Yükümlülükler 2 Aralık 2027'den itibaren uygulanacak.
- Ek I: AB ürün güvenliği mevzuatına tabi ürünlerin (tıbbi cihaz, makine, oyuncak, araç vb.) güvenlik bileşenleri. Yükümlülükler 2 Ağustos 2028'den itibaren uygulanacak.
3. Şeffaflık yükümlülüğü olan sistemler
İnsanlarla etkileşen veya içerik üreten sistemler. Kullanıcıya bir yapay zekâyla etkileştiğinin bildirilmesi, üretilen içeriğin işaretlenmesi ve deepfake'lerin açıklanması gerekir. Bu yükümlülükler Ağustos 2026'dan itibaren uygulanıyor.
4. Minimal riskli sistemler
Spam filtreleri, stok tahmini, çoğu verimlilik aracı gibi sistemler. Ek yükümlülük yok; gönüllü davranış kuralları teşvik ediliyor.
Tüm sınıflarda geçerli ortak bir yükümlülük de var: Kapsamdaki kurumların çalışanlarının yapay zekâ okuryazarlığını desteklemesi (Madde 4).
Sektörlerden örneklerle sınıflandırma
| Sistem | Muhtemel sınıf | Not |
|---|---|---|
| Bireysel kredi başvurusu skorlama modeli | Yüksek risk | Ek III, gerçek kişilerin kredi değerlendirmesi |
| Kart dolandırıcılığı tespit modeli | Yüksek risk değil | Finansal dolandırıcılık tespiti açıkça hariç tutulmuş |
| Bankanın müşteri hizmetleri sohbet asistanı | Şeffaflık | Yapay zekâ ile konuşulduğu bildirilmeli |
| Özgeçmiş tarayıp adayları sıralayan sistem | Yüksek risk | Ek III, işe alım |
| Çalışan performansını değerlendiren sistem | Yüksek risk | Ek III, çalışan yönetimi |
| Çağrı merkezinde çalışanın duygusunu analiz eden sistem | Yasaklı | İş yerinde duygu tanıma |
| Pazarlama görseli ve metni üreten araç | Şeffaflık | Üretilen içerik işaretlenmeli; deepfake açıklanmalı |
| Hayat sigortası primi fiyatlama modeli | Yüksek risk | Ek III |
| İç doküman arama ve özetleme asistanı | Genellikle minimal veya şeffaflık | Kullanım amacına göre değerlendirilmeli |
| Talep ve stok tahmin modeli | Minimal | Kişiler hakkında karar vermiyor |
Yüksek risk istisnası
Tüzük, Ek III'te sayılan bir alanda çalışsa bile bazı sistemleri yüksek riskli saymayabilir. Sistem kişilerin sağlığı, güvenliği veya temel hakları için önemli bir risk oluşturmuyorsa ve örneğin:
- yalnızca dar bir usul görevini yerine getiriyorsa,
- daha önce tamamlanmış bir insan faaliyetinin sonucunu iyileştiriyorsa,
- karar örüntülerini tespit edip insan değerlendirmesinin yerini almıyorsa,
- ya da yalnızca hazırlık niteliğinde bir görev yapıyorsa,
istisna söz konusu olabilir. Ancak gerçek kişilerin profillenmesi yapılıyorsa sistem her durumda yüksek riskli sayılır. İstisnadan yararlanan sağlayıcıların bu değerlendirmeyi belgelemesi gerekir.
Rolünüz de önemli
Aynı sınıftaki bir sistem için yükümlülükler, rolünüze göre değişir:
- Sağlayıcı (sistemi geliştiren veya kendi adıyla sunan): risk yönetimi, veri yönetişimi, teknik dokümantasyon, uygunluk değerlendirmesi, kayıt ve piyasa sonrası izleme
- Uygulayıcı (sistemi kullanan): talimatlara uygun kullanım, insan denetimi, kayıtların saklanması, bilgilendirme ve bazı alanlarda (ör. kredi skorlama) temel haklar etki değerlendirmesi
Satın aldığınız bir sistemi önemli ölçüde değiştirir veya kendi adınızla sunarsanız, uygulayıcıdan sağlayıcıya dönüşebilirsiniz.
Sisteminizin sınıfını öğrenin
MLTeam'in ücretsiz AB Yapay Zekâ Tüzüğü Kapsam Analizi, birkaç soruyla sisteminizin Tüzük kapsamında olup olmadığını, muhtemel risk sınıfını, rolünüzü ve güncel takvime göre yükümlülüklerinizi gösterir. Analizi her yapay zekâ sisteminiz için ayrı ayrı yapmanızı öneririz.
Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş yerine geçmez.
Kaynaklar