Olay
Replika, ABD merkezli Luka Inc. tarafından geliştirilen, yazılı ve sesli arayüzü bulunan, büyük dil modeli kullanan üretken yapay zekâ tabanlı bir sohbet botudur. Kullanıcı, oluşturduğu “sanal arkadaşı” dost, terapist, romantik partner veya mentor olarak kurgulayabilir. İtalya Kişisel Verileri Koruma Kurumu (Garante), basın haberleri üzerine re'sen inceleme başlattı ve 2 Şubat 2023'te küçükler ile duygusal açıdan kırılgan kişiler bakımından taşıdığı riskler nedeniyle uygulamanın İtalya'daki kullanıcı verilerini işlemesini geçici olarak sınırladı. İnceleme, hizmetin gizlilik politikası, işleme faaliyetlerinin hukuki dayanakları ve yaş doğrulama sistemi üzerinde yoğunlaştı.
Hukuki soru
Kurum, Luka'nın Replika üzerinden yürüttüğü her işleme faaliyeti için Genel Veri Koruma Tüzüğü (GDPR) m.6'daki hukuki dayanakları belirleyip belirlemediğini inceledi. Gizlilik politikasının m.12 ve 13'teki aydınlatma yükümlülüğünü karşılayıp karşılamadığını da değerlendirdi. Şirket küçüklerin hizmetten dışlandığını ileri sürdüğü için, bunu sağlayacak etkili bir yaş doğrulama mekanizması kurulup kurulmadığı ayrıca ele alındı. Hesap verebilirlik (m.24) ve tasarımda veri koruma (m.25) yükümlülüklerine uyulup uyulmadığı da incelendi.
Karar
Garante, işlemenin GDPR m.5/1-a, 5/1-c, 6, 12, 13, 24 ve 25/1'e aykırı olduğunu tespit etti. Şirket, 2 Şubat 2023 itibarıyla işleme faaliyetlerinin hukuki dayanaklarını belirlememişti ve gizlilik politikası birçok yönden yetersizdi. Kayıt sırasında ya da kullanım sürecinde yaş doğrulama mekanizması yoktu; sonradan kurulan sistem de çeşitli açılardan eksik bulundu. Kurum 5 milyon avro idari para cezası verdi. Şirketten gizlilik politikasını ve yaş doğrulama sistemini otuz gün içinde mevzuata uygun hâle getirmesini ve attığı adımları altmış gün içinde bildirmesini istedi. Üretken yapay zekâ sisteminin tüm yaşam döngüsündeki hukuki dayanaklar için ayrı bir inceleme başlatıldı.
Neden önemli
Karar, kullanıcıyla duygusal bağ kurmaya yönelik bir “sanal arkadaş” uygulamasına ilişkindir. Garante, şirketin her işleme faaliyeti için hukuki dayanak belirlemediğini ve yaş doğrulamasında somut eksiklikler bulunduğunu tespit etti. Kullanıcı doğum tarihini sonradan değiştirebiliyor, 24 saatlik bekleme süresi aşılabiliyordu ve kullanıcının dili üzerinden yapılan bir yaş kontrolü yoktu. Model eğitimi dâhil üretken yapay zekâ sisteminin tüm yaşam döngüsündeki hukuki dayanaklar ayrı bir incelemenin konusudur.
İlgili aşamalar
Kararın yayımlanan metnine göre karara karşı itiraz davası sürdüğünden, ceza kararının yayımlanması şeklindeki ek yaptırım uygulanmamaktadır. Ceza tutarı karar metninde gizlenmiştir ([OMISSIS]); 5 milyon avroluk tutar Garante'nin 19 Mayıs 2025 tarihli basın duyurusundan alınmıştır.