Olay
20-21 Mart 2023'te ChatGPT Plus hizmetinde, açık kaynaklı bir önbellek bileşenindeki hata nedeniyle bazı kullanıcıların adı, e-posta adresi, ödeme adresi, kredi kartı numarasının son dört hanesi ve son kullanma tarihi başka kullanıcılara görünür hâle geldi. Kore IP adresleri esas alındığında 687 Koreli kullanıcı etkilenmişti. OpenAI OpCo, LLC, sızıntıyı öğrendikten sonra 24 saat içinde Kişisel Bilgileri Koruma Komisyonu'na (PIPC) bildirimde bulunmadı. Komisyon olayla ilgili inceleme başlattı ve şirketin güvenlik önlemlerini de değerlendirdi. İnceleme, yabancı bir üretken yapay zekâ sağlayıcısının Kore'deki kullanıcılarına karşı yükümlülüklerini de kapsadı.
Hukuki soru
Kore'de hizmet sunan yabancı bir üretken yapay zekâ şirketinin, Kişisel Bilgilerin Korunması Kanunu'ndaki (PIPA) sızıntı bildirimi yükümlülüğüne tabi olup olmadığı ve bu yükümlülüğü ihlal edip etmediği incelendi. Komisyon ayrıca sızıntının, şirketin kişisel verileri korumak için alması gereken teknik ve idari güvenlik önlemlerini almamasından kaynaklanıp kaynaklanmadığını, yani güvenlik önlemi yükümlülüğünün de ihlal edilip edilmediğini değerlendirdi. Bu iki soruya verilecek yanıt, yaptırımın türünü ve ağırlığını doğrudan belirleyecekti.
Karar
Komisyon 26 Temmuz 2023 tarihli genel kurul toplantısında, sızıntıyı öğrendikten sonra 24 saat içinde bildirimde bulunmayan OpenAI'ın bildirim yükümlülüğünü ihlal ettiğine karar verdi ve 3,6 milyon won idari para cezası verdi. Güvenlik önlemi yükümlülüğü yönünden ise yaptırım uygulamadı. Şirkete ayrıca iyileştirme tavsiyesinde bulunarak tekrarın önlenmesi için tedbir almasını, Kore'deki veri koruma mevzuatına uymasını ve Komisyonun yürüteceği ön incelemede etkin biçimde işbirliği yapmasını istedi. Komisyon, ChatGPT dahil yurt içi ve yurt dışındaki başlıca yapay zekâ hizmetlerine yönelik ön inceleme yapılacağını da duyurdu.
Neden önemli
Ceza tutarı düşük olsa da karar, Kore'deki kullanıcılara hizmet veren yabancı üretken yapay zekâ sağlayıcılarının da yerel sızıntı bildirimi kurallarına tabi olduğunu açıkça ortaya koydu. Komisyon yaptırımın yanında iyileştirme tavsiyesi ve ön inceleme gibi daha yumuşak araçlara da başvurdu. Bu araçlar, Komisyonun sonraki dönemde üretken yapay zekâ hizmetlerini denetlerken sıkça kullandığı yöntemler hâline geldi.