HakkımızdaHizmetlerProjelerMakaleler

AB Yapay Zeka Yasası (AI Act) Uyum Mühendisliği: Teknik Dokümantasyon, Kayıt Tutma, İnsan Gözetimi ve Veri Yönetişimi

AB Yapay Zeka Yasası (AI Act) hakkında yazılanların çoğu kapsamla ilgili: hangi risk düzeyine girdiğiniz, sağlayıcı mı yoksa uygulayıcı (deployer) mı olduğunuz, sisteminizin Ek III kapsamına girip girmediği. Bu soruları hukuk danışmanlarınız yanıtlar.

Neredeyse kimsenin değinmediği konu ise yanıttan sonra ne olduğu. Sisteminiz yüksek riskliyse, düzenleme sizden tüm yaşam döngüsü boyunca işleyen bir risk yönetim sistemi, kanıtlayabileceğiniz bir veri yönetişimi, saklama süresi tanımlanmış otomatik kayıt tutma, öngörülen yapıda teknik dokümantasyon, iddia edilmek yerine tasarlanmış bir insan gözetimi ve gerçekten veri toplayan bir piyasa sonrası izleme ister. Bunlar mühendislik çıktılarıdır. Bizim geliştirdiğimiz kısım da burası.

Son tarihler şu anda nerede

AI Act ((AB) 2024/1689 sayılı Tüzük) Ağustos 2024'te yürürlüğe girdi ve aşamalı olarak uygulanıyor. Aşamalar 2026'da değişti ve burada kesin olmakta fayda var, çünkü bu değişiklik bütçeleri ve dikkati başka yere kaydırdı.

  • 2 Şubat 2025: yasaklı uygulamalar ve yapay zeka okuryazarlığı yükümlülükleri uygulanmaya başladı.
  • 2 Ağustos 2025: genel amaçlı yapay zeka modellerine ilişkin yükümlülükler uygulanmaya başladı.
  • 2 Ağustos 2026: Madde 50 kapsamındaki şeffaflık yükümlülükleri uygulanmaya başladı: kullanıcının bir yapay zeka sistemiyle etkileşimde olduğunun bildirilmesi, sentetik içeriğin işaretlenmesi, duygu tanıma ve biyometrik kategorizasyonun bildirilmesi ve deepfake içeriklerin etiketlenmesi.
  • 2 Aralık 2027: Dijital Omnibus (Digital Omnibus) sonrasında bağımsız sistemler için yüksek risk yükümlülükleri. Konsey ve Parlamento bu ertelemede Mayıs 2026'da uzlaştı ve erteleme Haziran 2026'da nihai onayını aldı.
  • 2 Ağustos 2028: düzenlemeye tabi ürünlere gömülü yapay zeka sistemleri için yüksek risk yükümlülükleri.

Yüksek riskli bir sistemin sağlayıcısıysanız, erteleme size yaklaşık on altı ay kazandırdı. Yapılacak işi azaltmadı ve hâlihazırda yürürlükte olan iki yükümlülüğü de değiştirmedi: Madde 50 kapsamındaki şeffaflık ve bu sistemleri çalıştıran personel için yapay zeka okuryazarlığı.

Neler geliştiriyoruz

Otomatik üretilen bir çıktı olarak teknik dokümantasyon

Ek IV, teknik dokümantasyonun neleri içermesi gerektiğini belirler: sistem tanımı, tasarım tercihleri, mimari, veri gereksinimleri, varsa eğitim metodolojisi, doğrulama ve test prosedürleri, metrikler, risk yönetimi önlemleri ve yaşam döngüsü boyunca yapılan değişiklikler.

Elle yazıldığında bu belge, imzalandıktan bir hafta sonra güncelliğini yitirir. Biz onu iş hattınızın ürettiği bir şey olarak kurarız: eğitim ve değerlendirme çalıştırmalarından üretilen model kartları ve veri sayfaları, kodla birlikte güncel tutulan mimari ve veri akışı açıklamaları, tanımladıkları sürüme bağlanmış değerlendirme sonuçları ve birinin hafızasından değil, sürüm kontrol sisteminizden gelen bir değişiklik geçmişi. Belge bir derleme çıktısına dönüşür.

Madde 12'yi karşılayan otomatik kayıt tutma

Yüksek riskli sistemler, işleyişin izlenebilirliğine ve piyasa sonrası izlemeye imkân tanıyan bir standartta, amaca uygun bir saklama süresiyle ve bazı durumlarda en az altı ay boyunca, ömürleri boyunca otomatik olarak kayıt tutmak zorundadır.

Pratikte bu; sisteminiz için bir “olayın” ne olduğuna karar vermek, girdileri, çıktıları, model sürümünü, karar yolunu ve sürece dahil olan kişinin kimliğini kaydetmek, bunları yıllar sonra sorgulanabilecek bir biçimde saklamak ve tüm bunları saklamak için hukuki dayanağınız olmayan kişisel verileri biriktirmeden yapmak anlamına gelir. Bu gerilim (AI Act için yeterince kayıt tutmak, GDPR için yeterince az veri saklamak) asıl tasarım problemidir ve bunu veri koruma ekibinizle birlikte açıkça ele alırız.

Madde 10 kapsamında veri yönetişimi

Eğitim, doğrulama ve test veri setlerinin ilgili, yeterince temsili ve mümkün olduğunca hatasız ve eksiksiz olması, yanlılık açısından da incelenmesi gerekir. Bunu karşılamak; gösterebileceğiniz bir veri soy ağacı (data lineage), belgelenmiş bir kaynak bilgisi, sonuçlarıyla birlikte bir yanlılık değerlendirme metodolojisi ve hangi verinin hangi model sürümünü ürettiğini yeniden üretebilme yeteneği demektir.

Bu ifadeleri birer niyet beyanı olmaktan çıkarıp doğrulanabilir hale getiren iş hattını kurarız: sürümlenmiş veri setleri, yeniden üretilebilir veri bölmeleri, otomatik veri kalitesi kontrolleri ve kullanım senaryonuzla ilgili korunan özellikler üzerinde yanlılık değerlendirmesi.

İlan edilen değil, inşa edilen insan gözetimi

Madde 14, yüksek riskli sistemlerin bir insanın çıktıyı anlayabileceği, otomasyon yanlılığının farkında kalabileceği, sonucu doğru yorumlayabileceği, sonucu kullanmamaya karar verebileceği ve sisteme müdahale edebileceği ya da onu durdurabileceği şekilde tasarlanmasını şart koşar.

Bu bir kullanıcı arayüzü şartnamesidir. Gözetimi ürünün içine inşa ederiz: güven düzeyinin ve belirsizliğin dürüstçe gösterilmesi, bir çıktının arkasındaki etkenlerin görünür kılınması, kabul etmek kadar kolay kullanılan bir geçersiz kılma seçeneği, gerçekten çalışan bir durdurma kontrolü ve piyasa sonrası izlemenin öğrenebileceği bir şey olsun diye her geçersiz kılmanın kayda alınması.

Piyasa sonrası izleme ve olay bildirimi

Bir izleme planı zorunludur; ciddi olayların ilgili makama bildirilmesi de öyle. Bunu besleyen telemetriyi kurarız: dokümantasyonunuzdaki metriklere göre izlenen performans, girdi ve çıktılarda sapma tespiti, kullanıcıların bildirdiği sorunların mühendislik ekibine ulaştığı bir kanal ve bildirim sürelerine ilişkin yükümlülüklerin bir olay sırasında fark edilmek yerine baştan içine yerleştirildiği bir olay iş akışı.

Madde 50 kapsamında şeffaflık yükümlülükleri

Zaten yürürlükte. Kullanıcının bir yapay zeka sistemiyle muhatap olduğunun bildirilmesi; sentetik ses, görsel, video ve metnin makine tarafından okunabilir şekilde işaretlenmesi; deepfake etiketlemesi ve duygu tanımanın bildirilmesi. Bildirim arayüzlerini ve içerik kaynağı işaretlemesini (doğru mekanizma buysa C2PA içerik kimlik bilgileri) uygular ve bunların, genellikle onları silen dışa aktarma ve yeniden kodlama süreçlerinden sağ çıkmasını sağlarız.

Kayıt ve uygunluk desteği

Ek III alanlarındaki yüksek riskli sistemlerin piyasaya sunulmadan önce AB veri tabanına kaydedilmesi gerekir ve sağlayıcıların bir uygunluk değerlendirmesi yürütmesi zorunludur. Teknik girdileri (dokümantasyon, kanıt paketi, mühendislik tarafındaki kalite yönetim sistemi çıktıları) hazırlar, onaylanmış kuruluşunuzla ya da şirket içi değerlendirme sürecinizle birlikte çalışırız.

Ne yapmıyoruz

Hukuki tavsiye vermiyoruz ve sisteminizin hangi risk düzeyinde olduğunu size söylemiyoruz. Bu belirleme gerçek sonuçları olan hukuki bir karardır ve hukuk danışmanının ya da yetkin bir uyum danışmanının işidir.

Bir yapay zeka yönetişim platformu da satmıyoruz. Bu alanda çok sayıda platform var ve ihtiyacınız bir yapay zeka sistemleri envanteri ve bir politika iş akışıysa, bunlardan biri size bizden daha iyi hizmet eder. Bizim yaptığımız, sistemlerin kendi içindeki mühendislik işidir.

Kimler için

Artık Aralık 2027'ye kadar süresi olan ve geliştirecek çok şeyi bulunan, Ek III kapsamındaki (işe alım ve çalışan yönetimi, kredi puanlama, sigorta fiyatlandırması, eğitimde değerlendirme, temel hizmetlere uygunluk, biyometrik sistemler) yüksek riskli yapay zeka sistemlerinin sağlayıcıları.

AI Act'in mevcut bir uygunluk rejiminin üzerine eklendiği ve iki dokümantasyon setinin birbiriyle tutarlı olması gereken düzenlemeye tabi ürünlere yapay zeka yerleştiren üreticiler (tıbbi cihazlar, makineler, araçlar).

Kendi yükümlülüklerini taşıyan başkasından satın aldıkları yüksek riskli sistemleri kullanan şirketler: insan gözetimi, girdi verilerinin amaca uygunluğu, izleme ve kayıtların saklanması.

Risk düzeyinden bağımsız olarak Madde 50 şeffaflık kurallarının bugün zaten uygulandığı AB'deki kullanıcılara üretken yapay zeka özellikleri sunan herkes.

İş birlikleri nasıl ilerler

Teknik eksik değerlendirmesi, iki ila dört hafta. Hukuk ekibinizin vardığı sınıflandırmayı esas alır ve sistemlerinizi bundan doğan mühendislik yükümlülüklerine göre değerlendiririz. Çıktı, uyum ve mühendislik yöneticilerinizin birlikte üzerinde çalışabileceği bir eksik kaydıdır (yükümlülük, mevcut durum, geliştirilmesi gereken şey, efor).

Geliştirme, aşamalı olarak; genellikle kayıt tutma ve dokümantasyon üretimiyle başlar, çünkü diğer her şey bir yere ulaşması gereken kanıt üretir.

Uygunluk değerlendirmesi öncesinde hazırlık incelemesi: kanıt paketi bir araya getirilir ve kalan eksikler dürüstçe adlandırılır.

Standartlar ve çerçeveler

(AB) 2024/1689 sayılı Tüzük ve Ek III ile Ek IV; CEN/CENELEC JTC 21'den çıkan uyumlaştırılmış standartlar; yapay zeka yönetim sistemleri için ISO/IEC 42001 ve yapay zeka risk yönetimi için ISO/IEC 23894; ABD'deki bir ana şirketin uyum beklediği durumlarda NIST AI Risk Management Framework; ve ortadan kalkmayan, kayıt tutmaya ilişkin kararların çoğunu sınırlayan GDPR.

Sıkça sorulan sorular

AI Act ertelendi mi?

Kısmen. Dijital Omnibus, yüksek risk yükümlülüklerini bağımsız sistemler için 2 Aralık 2027'ye, düzenlemeye tabi ürünlere gömülü yapay zeka için 2 Ağustos 2028'e erteledi. Yasaklı uygulamalar, yapay zeka okuryazarlığı, genel amaçlı yapay zeka modellerine ilişkin yükümlülükler ve Madde 50 şeffaflık kuralları ertelenmedi ve şu anda yürürlükte.

Yalnızca başkalarının geliştirdiği yapay zeka sistemlerini kullanıyoruz. Yükümlülüklerimiz var mı?

Evet, uygulayıcı olarak. Bunlar arasında sistemi talimatlarına uygun şekilde çalıştırmak, insan gözetimini bu gözetimi yapacak yetkinliğe ve yetkiye sahip kişilere vermek, girdi verilerinin amaçlanan kullanıma uygun olmasını sağlamak, işleyişi izlemek ve kayıtları saklamak yer alır. Bir sağlayıcının yükümlülüklerinden daha hafiftir ama gerçektir; ayrıca bir sistemi önemli ölçüde değiştirmenin ya da üzerine kendi adınızı koymanın sizi sağlayıcı konumuna getirebileceğini unutmayın.

Sistemimiz yüksek riskli değil. Yapmamız gereken bir şey var mı?

Muhtemelen iki şey. Madde 50 şeffaflık kuralları, risk düzeyinden bağımsız olarak sohbet botları ve sentetik içerik üretimi dahil belirli sistemlere uygulanır. Madde 4 kapsamındaki yapay zeka okuryazarlığı da genel olarak sağlayıcılara ve uygulayıcılara uygulanır. Bunun ötesinde, bir düzenleyici bir gün sorarsa sınıflandırma kararınızı kanıtlayabilmek de değerlidir.

Teknik dokümantasyon gerçekten otomatik üretilebilir mi?

Büyük bölümü, evet. Mimari, veri seti açıklamaları, değerlendirme sonuçları, metrikler, model sürümleri ve değişiklik geçmişi sistemlerinizde zaten mevcut; yapılacak iş, bunları derleme sırasında sabit bir yapıda yakalamaktır. Gerçekten anlatı gerektiren bölümler (amaçlanan kullanım, risk analizi, tasarım gerekçesi) insanlar tarafından yazılır ve ardından diğer her şeyle birlikte sürümlensin diye aynı depoda tutulur.

AI Act ile GDPR nasıl etkileşir?

İkisi örtüşür ve bazen, özellikle kayıt tutma konusunda, zıt yönlere çeker. AI Act izlenebilirlik ister; GDPR ise veri minimizasyonu ve silme. Çözüm genellikle takma adlandırma (pseudonymisation), neyin kaydedileceğinin dikkatle sınırlandırılması ve belgelenmiş bir amaca bağlı tanımlı bir saklama süresidir. Bu, bir kez ve bilinçli olarak verilen bir tasarım kararıdır.

Üçüncü taraf bir model kullanmak bizi o modelin sağlayıcısı yapar mı?

Hayır, ama böyle bir modelin üzerine bir yapay zeka sistemi kurmak sizi o sistemin sağlayıcısı yapabilir ve sisteme bağlı yükümlülükler de size geçer. Sınırın nereden geçtiği ne geliştirdiğinize ve onu nasıl sunduğunuza bağlıdır ve bu hukuki bir sorudur; ancak mühendislik açısından sonuç şudur: her durumda kendi sisteminiz için dokümantasyona ihtiyaç duyacağınızı varsaymalısınız.

Hemen başlayın

Sistemlerinizin ne yaptığını ve hukuk danışmanlarınızın sınıflandırma konusunda nereye vardığını bize anlatın. Yükümlülüklerin kodda ne anlama geldiğini değerlendirir, her satırın karşısında efor tahmini olan bir eksik kaydı sunarız.

AI Act teknik eksik değerlendirmesi için randevu almak üzere bizimle iletişime geçin.

İlgili hizmetler

Bu hizmetle başlamaya hazır mısınız?

İletişime Geçin
← Tüm Hizmetlere Dön