1959 yılında Atatürk Üniversitesi'nde düzenlenen Halk Konferansları'nda, Cumhuriyet'in düşünsel mirasının en güçlü temsilcilerinden biri olan Ord. Prof. Cahit Arf, bugün dahi yankısını sürdüren bir soruyu sormuştu: "Makine düşünebilir mi ve nasıl düşünebilir?" O dönem matematiksel bir merakın ürünü gibi görünen bu soru, aradan geçen onlarca yılın ardından yalnızca teknoloji dünyasının değil; hukukun, kamu politikalarının ve şirket stratejilerinin merkezine yerleşmiş durumda. 2024 ve 2025 yılları yapay zekanın ("YZ") kurumsal dünyada icat aşamasından altyapı aşamasına geçtiği dönem olmuştur. 2026 yılına dair projeksiyonlar, bu teknolojinin artık izole bir araç değil, tüm operasyonları yöneten merkezi bir sinir sistemi haline geleceğini göstermektedir.

McKinsey'nin küresel araştırmasına göre; Dünya'da 2023 yılında kurumların %55'i, 2024 yılında %72'si ve 2025 yılında %88'i en az bir iş fonksiyonunda YZ'yi düzenli olarak kullanmakta; fakat bu kullanımın büyük bir kısmı hala deneme ve pilot aşamada yer almaktadır. Pazar büyüklüğüne bakıldığında ise IDC'nin verilerine göre, 2024 yılında dünya genelinde YZ sistemlerine yapılan harcamanın 235 milyar dolara ulaştığı tahmin edilmektedir. Bu rakamın 2028 yılına kadar 632 milyar doları aşması ve beş yıllık bir süreçte yıllık ortalama %29 oranında büyümesi beklenmektedir.

Yapay Zeka Kullanarak Hangi Riskleri Göze Alıyoruz?

Bu konuda değerlendirme yapabilmek için YZ'yi iki farklı kategoride ele alabiliriz. Bu kategorilerden birincisi; günümüzde çok göz önünde olmadan giderek yaygınlaşan algoritmik karar alma sistemleri ikincisi ise aksine göz önünde olan ve yaygın olarak kullanılan büyük dil modelleridir. Bu iki farklı YZ sınıfı ortak riskler barındırmakla birlikte farklı riskler de ortaya çıkarabilmektedir.

Algoritmik karar alma sistemlerini de kendi içerisinde çalışma ve eğitim prensiplerine göre yine ikiye ayırabiliriz. Bazı algoritmik karar alma sistemleri uzun yıllardır bilgisayar programlarında kullanılan koşullandırma yöntemleriyle (if-else) yazılımcılar tarafından programlanmaktadır. Bu sistemler her veri girişi için aynı sonucu çıkarır; diğer YZ tabanlı algoritmik karar alma sistemleri ise güncel makine öğrenmesi teknikleri ile veri setleri kullanılarak eğitilir ve aynı verinin iki kere aynı sistemden geçirilmesi durumunda aynı sonucun alınacağına garanti verilmez. Örneğin; iki adet tam otonom araç hayal edelim; bu araçların sürüş sırasında alması gereken her karar için kullanılan algoritmik karar alma sistemi şu şekilde çalışsın: birinci araç bir lidar sistemi kullanarak sensörüne yansıyan ışık hüzmeleri ile mesafe tespiti yaparak herhangi bir engele minimum belli bir mesafe bırakarak çarpışmayı önlemek üzerine tasarlanmış olsun; ikinci araç ise yalnızca kameralar kullanılarak kaydedilen binlerce saatlik sürüş görüntülerinden eğitilen bir sistem ile gitmek istediği noktaya ulaşsın. Bu örnekte lidar kullanan araç basit bir koşullandırma yöntemi ile çalışır yani örneğin eğer herhangi bir cisme aracın mesafesi on metreden aşağı ise fren yapar. İkincisi ise aksine makine öğrenmesi kullanılarak faaliyet gösterir. Ancak her ikisine de algoritmik karar alma sistemi diyebiliriz.

Son dönemde özellikle YZ gelişimi ile birlikte sağlık sektöründe; diyabetik retinopati taraması, kardiyovasküler hastalıkların erken saptanması, finans sektöründe; kredi değerlemeleri, dolandırıcılık tespitinde, kamu sektöründe; sosyal yardım başvurularının otomatik değerlendirilmesi; suç tahmin ve risk analizi sistemleri (ör. işkence risk skoru, adli risk değerlendirmesi), perakende sektöründe; ürün öneri sistemleri ve stok ve talep tahmini, ulaşım ve lojistik sektöründe; trafik yönetimi, araç yönlendirme ve taksi/araç paylaşımı uygulamalarında; üretim sektöründe ise, akıllı fabrika sistemleri, arıza öncesi tespit ve sensör verileri analizinde kullanılmaktadır. Bu alanlarda kullanılan karar alma sistemlerinde çalışma mantıklarına göre risk değerlendirmesi yapılması gerekir. Örneğin, programlanan karar alma sistemlerinde insan hatasından kaynaklanan yanlış kararlar, yazılımcıların öngöremediği senaryolar ile karşılaşması durumunda alınacak yanlış kararlar, bu sistemler için büyük risk barındırır. Öte yandan YZ temelli algoritmalar, eğitildikleri verilerdeki mevcut önyargıları öğrenebilir ve hatta güçlendirebilir. Örneğin geçmişte belirli bir cinsiyete ya da gruba haksızlık yapan bir veri seti ile eğitildiyse; algoritma kararlarında bunu tekrar yansıtabilir. Bu durum azınlık gruplarının dezavantajlı duruma düşmesine yol açar. Eğitim verilerindeki tarihsel hatalar, YZ'nin işe alım veya kredi değerlendirme gibi süreçlerde belirli gruplara karşı ayrımcılık yapmasına neden olmuştur. Bir öğrenci kredi kuruluşunun YZ modelinin, belirli okullardan gelen başvuruları sistematik olarak düşük puanlaması, işe alımlarda erkek adayların ön plana çıkarılması gibi vakalar, hem etik tartışmaları tetiklemekte hem de ağır tazminat davalarına kapı aralamaktadır.

Birçok karmaşık model "kara kutu" olarak nitelendirilir; sistemin neden belirli bir karara vardığı anlaşılmayabilir. Algoritmanın karara nasıl vardığının açıklanamaması şeffaflık eksikliği sebebiyle güven sorunu yaratır. Bu sistemler büyük miktarda kişisel veriye ihtiyaç duyar. Kişisel verilerin toplanması, depolanması ve işlenmesi hukuka aykırı işleme riski sebebiyle mahremiyet endişesi doğurur. Verilerin kötü amaçlı kullanımı ya da sızdırılması halinde bireylerin özel yaşamı ihlal edilebilir ve şirketlerin ticari sırları ortaya çıkabilir.

Yanlış veya haksız bir karar verildiğinde kimin sorumlu olduğu belirsizleşebilir. Bir hata çıktığında "Buna yazılım mı sebep oldu, sistemi kuran kimdir, kontrolleri yapan kimdir?" gibi sorulara cevap bulmak karmaşık olabilir. YZ sistemlerinin yanlış veya uydurma bilgiler üretmesi (halüsinasyon), itibar risklerinin başında gelmektedir. Araştırmalar, kurumların yaklaşık üçte birinin YZ'nin hatalı çıktılarından dolayı olumsuz sonuçlar deneyimlediğini göstermektedir. Örneğin, bir hava yolu şirketinin chatbot'unun bir yolcuya yanlış bilgi vermesi sonucu şirketin tazminat ödemeye mahkum edilmesi somut örneklerdendir.

Siber güvenlik ve deepfake dolandırıcılığı hem vatandaşların hem de şirketlerin farkında olduğu fakat önlem alma noktasında yetersiz adımlar attığı risklerden bir tanesidir. YZ, siber saldırıların karmaşıklığını artırmaktadır. Bir finans çalışanının, deepfake teknolojisiyle oluşturulan sahte bir görüntülü görüşme sonucunda 25,6 milyon dolarlık transfer gerçekleştirmesi, deepfake dolandırıcılığının ne kadar büyük finansal kayıplara yol açacağını ortaya koymaktadır.

Bir diğer risk ise; insan müdahalesi olmaksızın algoritma tarafından verilen tamamen otomatik kararların uygulanması empati, esneklik veya sağduyu içermemesi sebebiyle kişi, kurum ve kuruluşlar için maddi ve itibar kayıplarına sebep olabilmektedir. Kaldı ki Avrupa Birliği Genel Veri Koruma Tüzüğü ("ABGVKT") kapsamında; bireyin yalnızca otomatik işlemeye dayanan ve kendisi üzerinde hukuki veya benzer şekilde önemli etkiler doğuran kararlara tabii tutulması sınırlandırılmakta; bireyin açık rızası olmaksızın ya da yasal bir zorunluluk bulunmadıkça bu tür kararların uygulanmaması gerekmektedir. Bireylerin bu tür kararlara itiraz etme, insan müdahalesi talep etme ve kararın gerekçesi hakkında bilgi alma hakkı bulunmaktadır; Türk Hukuku'nda da Kişisel Verileri Koruma Kanunu ("KVKK") ise; ilgili kişilere kendileriyle ilgili verilerin yalnızca otomatik sistemler vasıtasıyla analiz edilerek aleyhlerine sonuç doğurması halinde bu karara itiraz etme hakkı tanımaktadır. KVK Kurumu'nun yayımlamış olduğu Yapay Zeka Alanında Kişisel Verilerin Korunması Hakkında Tavsiyelerde; ilgili kişinin verileri üzerinde kontrolünün mümkün olması gerektiği, kişisel verilerin işlendiği YZ çalışmalarında; yüksek risk öngörülmesi durumunda; mahremiyet etki değerlendirmesi uygulanması; veri işlemenin hukuka uygun olup olmadığına bu şekilde karar verilmesi, eğer YZ sistemlerinin geliştirilmesi ve uygulanması sırasında özel nitelikli kişisel veriler işleniyorsa buna uygun teknik ve idari tedbirler alınması gerektiği, YZ sistemlerinin gelişimi için aynı sonuca ulaşılabilecekse önce kişisel verilerin anonimleştirilerek işlenmesi yönteminin tercih edilmesi, YZ sistemleri tasarlanırken kullanıcılara veri işleme faaliyetlerini durdurabilme hakkı tanınması gerektiği, sistemlerin; verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi taleplerine uygun şekilde tasarlanması gerektiği, kullanıcılara; görüşlerini, kişisel gelişimlerini etkileyen teknolojilere dayalı işlemlere ilişkin itiraz hakkının tanınması gerektiği belirtilmiştir. AB YZ Yasası'nda veri koruma etki değerlendirmesi yapılması gerekliliği düzenlenmiş; 9. maddesi uyarınca; yüksek riskli YZ sistemlerinin sağlayıcılarına, sistemin bütün yaşam döngüsünü kapsayan; güvenlik, sağlık gibi temel haklara yönelik olası riskleri yöneten sürekliliği olan bir risk yönetimi sürecini gerçekleştirmeleri zorunlu tutulmuştur. Bu süreçte; sağlayıcılar tarafından olası önyargılar, veri kalitesi, sistemlerin kullanım bağlamı, yanlılık ihtimalleri gibi unsurların dikkate alınması gerektiği belirtilmiştir.

Özellikle şirketler için bütün bu risklerin en yeni ve son dönemde en gözde olanı Gölge YZ (Shadow AI) riskleridir. Birçok şirket çalışanlarının iş süreçlerini yürütürken YZ araçlarından faydalanıp faydalanmadığını ya da hangi YZ araçlarını kullandığını ve bu YZ araçlarına şirketlerin ticari sır niteliğine haiz hangi bilgileri aktardığını dahi bilmemektedir. Bu durum, hassas şirket verilerinin kontrolsüz bir şekilde dış sunuculara yüklenmesine ve veri sızıntısı riskinin artmasına neden olmaktadır.

YZ teknolojisinin gidişatına göre; kanaatimizce, henüz çok konuşulmayan bir risk daha bulunmaktadır; ChatGPT ATLAS'ın duyurulması ile birlikte ilk defa sizin yerinize aksiyon alabilen bir YZ ortaya çıkmıştır. Bu dönüm noktası büyük dil modellerini yalnızca resim, video ve metin üretme kabiliyetinin üstünde; sizin adınıza işlem yapma kabiliyeti de kazandırmıştır. Yukarıda bahsedilen diğer tüm risklerle birlikte almamız gereken kararları YZ asistanlarına bırakmamız durumunda direkt onayımız olmadan hatalı bir işlem yapılma ihtimali ile karşı karşıya kaldığımız durumlar ortaya çıkabilecektir.

Şirketler için Teknik ve Hukuki Risk Yönetimi Önerileri

YZ sistemlerinin geliştirilmesi, tedariki ve kullanımına ilişkin değer zinciri; Avrupa Birliği Yapay Zekâ Yasası'nda, bu süreçte yer alan tüm aktörlerin rolleri ve hukuki yükümlülükleri açıkça tanımlanarak düzenlenmiştir. Tanımlanan bu yükümlülükler sınırları aşan (extraterritorial) bir kapsamda uygulanır: tanım gereği yükümlülükleri yerine getiren aktörlerin AB'de bulunmasına bakmaksızın; sistem AB piyasasına sunulduğunda veya AB içinde kullanıldığında tüm taraflara (sağlayıcı, dağıtıcı, uygulayıcı, geliştirici vb.) uygulanır. Bu anlamda Türkiye'de yerleşik şirketlerin de uyumlu şekilde süreçlerini tasarlamaları gerekmektedir.

Türkiye'de henüz bir YZ Yasası olmasa da KVK Kurumu; tavsiye ve rehberleri ile YZ kullanan, geliştiren, sağlayan şirketlere yol göstermekte; şirketlerin mahremiyet arttırıcı teknolojileri (PETs) sistemlerine entegre etmesini, YZ sistemlerine özgü zaafiyetlere (istem enjeksiyonu vb.) karşı teknik kontrolleri yapmasını, kişisel veri işleme faaliyetlerine ilişkin kayıtları ve sistem günlüklerini güvenli biçimde saklamasını; şeffaflık, hesap verilebilirlik ilkelerinin her aşamada gözetilmesini; YZ sistemlerinin kullanımına bağlı güvenlik risklerinin tanımlanmasını önermektedir.

Yukarıda bahsedilen risklerin bertaraf edilmesi için şirketlerin uygulaması gereken hukuki uyum adımlarını şu şekilde sıralayabiliriz:

  • Şirkette kullanılan YZ'lerin tanınması, hangi YZ'lerin kurum içinde geliştirileceği; sistemin sağlayıcısı, geliştiricisi ya da dağıtıcısı olarak sistem içindeki rollerin saptanması, YZ sistemlerinin AB YZ Yasası bağlamında risk sınıflarına ayrılması; YZ sistemlerinin tedarikçilerden temin edileceği ya da açık kaynaklardan kullanılacağının analiz edilmesi; rollerin belirlenmesi, tanımlanması ve rollere atanan kişilere rollerine yönelik eğitimler verilmesi örneğin; Yapay Zeka Kurulu kurulması ve bu Kurul'un görevlerinin açıkça belirlenmesi bir ihlal anında hızlı aksiyon alınmasını sağlayacaktır.
  • Coğrafi ve konu sınırlamalarına bağlı olarak şirketinizin hangi yasalara tabii olduğunun belirlenmesi, bu yasalardaki gerekliliklerin ve önlemlerin sağlanması ve hukuki değerlendirmelerin belgelendirilmesi, gelecekte büyük maddi ve itibari kayıpların yaşanmasının önüne geçecektir.
  • Sistemler ve verilerin güvenliği ve gizliliği için güvenlik protokolü oluşturulması ve bu protokoller aracılığı ile çalışanların YZ'nin nerede kullanılıp kullanılamayacağı hakkında bilgilendirilmesi; yeni YZ ürün veya süreçlerini devreye almadan önce etki değerlendirmesi yapılması, dışarıdan alınan YZ araçları yerine kurum içi kapalı devre sistemlerin tercih edilmesi; çalışanlara YZ riskleri, veri gizliliği, etik kullanım konusunda düzenli eğitimler verilmesi, kritik kararların sadece YZ'ye bırakılmaksızın insan müdahalesinin de sürece dahil edilmesi; otomatik karar verilmesi durumunda; olumsuz karar ortaya çıkması senaryosunda ilgili kişilerin taleplerinin yerine getirilmesi gerekmektedir.

Yapay zeka çağında başarıyı belirleyen unsur, risklerin erken görülmesi ve hukuki önlem alınmasıdır.