AB Yapay Zekâ Tüzüğü, GDPR, KVKK ve Kore'nin yeni yapay zekâ ve veri mevzuatında en sık sorulan sorular ve her birine karşılık gelen, doldurmaya hazır bir belge.
Her rehber bir hukuki soruyu ele alıyor ve sonunda bu soruya ilişkin boş bir şablon sunuyor. Rehberler önerilen sırayla dizildi; diğerlerinden hangilerine ihtiyacınız olduğunu kapsam testi gösterir.
Şeffaflık yükümlülükleri kimleri bağlıyor? Tüzüğün 2. maddesine dayanan dört soruluk kapsam testi ve ardından altı belgeden oluşan uyum dosyası: uygunluk tespiti, üç dilde ifşa metinleri, sentetik içerik politikası, tedarikçi ek protokolü, çalışan politikası ve uyum kayıt defteri.
02Çalışan ChatGPT'ye şirket verisi girdiğinde sorumluluk kimde? Gölge YZ, sınıflandırılmış araç listesi, yasak girdi kategorileri ve veri sızıntısı müdahale protokolü.
03Yazılımınız m. 6 ve Ek III'e göre yüksek riskli mi? Kapsam, rol ve sınıflandırma formu; m. 6(3) istisnası ve m. 99 ceza eşikleriyle birlikte.
04Ajanın yaptığı işlem şirketi bağlar mı? Yetki matrisi, insan onay eşikleri, karşı tarafa ifşa metni ve hata hâlinde geri alma protokolü.
05Ürettiğiniz görsel, metin ve kod satılabilir mi? Eser sahipliği, sağlayıcı koşulları, insan katkısı kaydı ve görsel/metin/kod için ihlal taraması.
06CV eleyen sistem kimi eliyor? Profilleme tespiti, dolaylı ayrımcılık göstergeleri, geçiş oranı ölçümü, insan gözetimi ve aday bilgilendirme metni.
07Kore YZ Temel Yasası 22 Ocak 2026'da yürürlüğe girdi ve ülke dışındaki şirketleri de kapsıyor. Yüksek etkili sınıflandırma testi, üretken YZ etiketleme, yerel temsilci ve yükümlülük defteri.
08Mart 2024'ten bu yana tam otomatik kararlara itiraz etme ve açıklama isteme hakkı tanınıyor. Bilgilendirme metni, otomatik karar defteri ve talep yönetimi akışı.
09Madde 9, 1 Haziran 2024'te değişti. Yeterlilik, standart sözleşme, bağlayıcı şirket kuralları ve sınırlı arızi hâller için kademeli karar haritası ve 5 günlük bildirim.
10Kişisel veri işleyen yapay zekâ sistemlerine KVKK bugünden uygulanıyor. Hukuki sebep, özel nitelikli veri, profilleme ve aydınlatma; ileride çıkması muhtemel YZ kanunuyla da uyumlu biçimde.
Bu rehberlerin konularına ilişkin mahkeme ve kurum kararları: Yapay zekâ kararları (90)
Bir denetimde ya da AB'deki kurumsal bir alıcının tedarikçi formunda önce ihlal olup olmadığı sorulmaz; şirketin önceden aldığı tedbirlerin yazılı kaydının bulunup bulunmadığı sorulur. Bu rehberlerdeki şablonlar bu kaydı oluşturmak için hazırlandı.
Şablonların tamamı boş çerçevedir; köşeli parantezli alanlar ve sınıflandırma bölümleri şirketinize göre doldurulmadıkça işe yaramaz. Doldururken en sık yapılan hatalar her rehberin § 04 bölümünde ayrıca ele alınıyor.
Hayır. Rehberlerin tamamı ve ekindeki şablonlar kayıt olmadan, e-posta vermeden indirilebilir. Belgeler sayfada kopyalanabilir metin olarak da yer alıyor; ayrıca markdown, Word ve Excel biçiminde indirilebiliyor.
En doğrusu kapsam testiyle başlamaktır. Tüzüğün sizi bağlayıp bağlamadığı belirlenmeden diğer belgelerden hangilerine ihtiyaç olduğu tespit edilemez. Kapsama girdiğiniz anlaşılırsa ardından rolünüzü belirlemeniz gerekir: sağlayıcı mısınız, uygulayıcı mısınız, yoksa m. 25 uyarınca sağlayıcı mı sayılıyorsunuz?
Çerçeve olarak kullanılabilir, ancak nihai belge yerine geçmez. Köşeli parantezli alanlar ve sınıflandırma bölümleri doldurulmadıkça belgeler işe yaramaz. Ayrıca müşteri ve tedarikçilerinizle yaptığınız sözleşmelerle çelişip çelişmediklerini kontrol etmek gerekir.
Evet. Tüzük, sağlayıcı veya uygulayıcı üçüncü bir ülkede yerleşik olsa dahi sistemin çıktısı Birlik içinde kullanılıyorsa uygulanır (m. 2(1)(c)). Rehberlerdeki KVKK ve iş hukuku yükümlülükleri ise AB ile bağlantınız olmasa da zaten yürürlükte.
Yüksek riskli sistemlere ilişkin yükümlülüklerin uygulanma tarihi (AB) 2026/1744 sayılı Tüzük ile ertelendi: Ek III sistemleri için 2 Aralık 2027'ye, Ek I kapsamındaki ürünler için 2 Ağustos 2028'e. Madde 50 şeffaflık yükümlülükleri ise bu ertelemenin dışında kaldı ve 2 Ağustos 2026'dan beri uygulanıyor; yalnızca bu tarihten önce piyasaya sürülmüş üretken sistemlerdeki m. 50(2) işaretleme yükümlülüğü için 2 Aralık 2026'ya kadar süre tanındı. KVKK ve GDPR yükümlülükleri ise hâlihazırda uygulanıyor ve büyük ölçüde aynı kayıtları gerektiriyor.