AB Yapay Zekâ Yasası Madde 4 ve Profesyonel Hizmet Firmaları

2 Şubat 2025’te, AB Yapay Zekâ Yasası (AI Act) olarak bilinen (AB) 2024/1689 sayılı Tüzük’ün ilk esasa ilişkin hükümleri uygulanmaya başladı. İlgi, beklenebileceği gibi, büyük ölçüde Madde 5’te düzenlenen yasaklı uygulamalara yöneldi. Aynı tarihte uygulanmaya başlayan ve pratikte Madde 5’teki yasaklardan çok daha geniş bir firma kitlesini ilgilendiren Madde 4 ise daha az ilgi gördü. Madde 4, yapay zekâ sistemlerinin sağlayıcılarına ve uygulayıcılarına bir yapay zekâ okuryazarlığı yükümlülüğü getirir. Firmanın yüksek riskli bir sistem, sınırlı riskli bir sistem ya da olağan amaçlarla kullanılan genel amaçlı bir yapay zekâ sistemi kullanıp kullanmadığından bağımsız olarak uygulanır. Bir hukuk bürosunun, denetim firmasının ya da danışmanlık ortaklığının risk sınıflandırmasına atıfla bertaraf edemeyeceği, Yasa kapsamındaki ilk yükümlülüktür.

Enstitü’nün görüşüne göre sektör, Madde 4’e büyük ölçüde yeterince hazırlanmamıştır; hazırlanmış olan az sayıdaki firmada ise hazırlık çoğunlukla gereğinden fazla karmaşık kurgulanmıştır. Yetersiz hazırlanan firmalar, okuryazarlığın veri korumaya ilişkin yıllık bir e-öğrenme modülüyle ya da firmanın belirli bir yapay zekâ aracına ilişkin politikasını duyuran bir iç yazıyla sağlandığını varsayar. Aşırı hazırlanan firmalar ise kendilerine özel müfredatlar, sertifikalı iç eğitmenler ve yükümlülüğün kaleme alınış biçimiyle orantısız bir dokümantasyon düzeneği edinmiştir. Her iki grup da, ilkelere dayalı, bağlama duyarlı ve yeterliliğin hangi ölçütlere göre değerlendirileceği konusunda açık olan maddenin yapısını gözden kaçırır.

§ I Madde 4 Neyi Öngörür

Madde 4, yapay zekâ sistemlerinin sağlayıcılarının ve uygulayıcılarının, “personelinin ve kendi adlarına yapay zekâ sistemlerinin işletilmesi ve kullanımıyla ilgilenen diğer kişilerin, teknik bilgileri, deneyimleri, eğitim ve öğrenimleri ile yapay zekâ sistemlerinin kullanılacağı bağlam dikkate alınarak ve yapay zekâ sistemlerinin üzerinde kullanılacağı kişiler veya kişi grupları göz önünde bulundurularak, yeterli düzeyde yapay zekâ okuryazarlığına sahip olmasını mümkün olan en iyi ölçüde sağlamak için tedbirler almasını” şart koşar (AB Yapay Zekâ Yasası, Madde 4). Tanımlanmış terim Madde 3(56)’da yer alır; burada yapay zekâ okuryazarlığı, sağlayıcıların, uygulayıcıların ve etkilenen kişilerin yapay zekâ sistemlerini bilinçli biçimde kullanmalarına ve yapay zekânın fırsatları ile riskleri ve yol açabileceği olası zararlar konusunda farkındalık kazanmalarına imkân veren beceri, bilgi ve anlayış olarak tanımlanır.

Metnin üç özelliğinin altını çizmek gerekir.

Birincisi, yükümlülük yalnızca sağlayıcılara değil, uygulayıcılara da yöneliktir. Profesyonel hizmet firmalarının çoğu, Madde 3(4) anlamında uygulayıcıdır: kişisel ve mesleki olmayan faaliyetler hariç olmak üzere, yapay zekâ sistemlerini kendi yetkileri altında kullanan gerçek veya tüzel kişiler. Dosya yönetimini bir temel model üzerinden yürüten bir hukuk bürosu, model destekli bir yevmiye kaydı aracı kullanan bir denetim firması, genel amaçlı bir yapay zekâ sistemiyle metin hazırlayan bir danışmanlık ortaklığı: her biri Yasa’nın anlamında birer uygulayıcıdır ve her biri yalnızca bu kullanım nedeniyle Madde 4 kapsamına girer.

İkincisi, yükümlülük bir sonuca ulaşmak değil, tedbir almaktır. Metindeki “mümkün olan en iyi ölçüde” ve “yeterli” ifadeleri, yetkinlik güvencesi değil, çaba ve bağlama uygunluk standartlarıdır. Ayarlanmış bir program oluşturmuş, bunu belgelemiş ve gözden geçirmiş bir firmanın, tek bir kullanıcı yine de hata yaptı diye Madde 4’ü ihlal ettiği söylenemez. Ölçüt, tek tek kullanıcıların performansı değil, firmanın aldığı tedbirlerdir.

Ölçüt, tek tek kullanıcıların performansı değil, firmanın aldığı tedbirlerdir.

Üçüncüsü, yükümlülük, maddenin kendisinde belirtilen üç eksende bağlama bağlıdır: ilgili kişilerin mevcut teknik bilgisi, deneyimi, eğitimi ve öğrenimi; yapay zekâ sistemlerinin kullanılacağı bağlam; ve yapay zekâ sistemlerinin üzerinde kullanılacağı kişiler ya da gruplar. Bu, maddenin profesyonel hizmetler açısından en önemli özelliğidir. Bir dava dosyasında yapay zekâ aracının kullanımını gözeten yönetici ortak için uygun eğitim, aracı kullanan hukuk asistanı için uygun eğitim değildir; bu da firmanın uyumunu onaylayan baş hukuk müşaviri için uygun eğitim değildir; o da aracı yapılandıran teknoloji ekibi için uygun eğitim değildir. Dördüne de aynı modülü sunan bir firma Madde 4’ü uygulamış olmaz; göstermelik bir kontrol listesi programı uygulamış olur ve bunu da iyi yapmamış olabilir.

§ II Üç Referans Firma

Enstitü’ye düzenli olarak, farklı ölçeklerdeki uygulamalarda Madde 4’e makul uyumun neye benzediği sorulmaktadır. Aşağıda üç referans firmanın taslağını çiziyoruz. Bu taslaklar güvenli liman değildir; madde güvenli liman öngörmez ve Enstitü, Madde 4’e uyumu başlı başına belgelendirmez. Aşağıda yer alanlar bir reçete değil, bir kalibrasyon önerisidir.

50 meslek mensubu çalıştıran bir firma (uyuşmazlık alanında uzmanlaşmış bir butik büro, uzman bir vergi danışmanlığı ya da küçük bir denetim firması), işinde bir ya da iki yapay zekâ aracı kullanıyorsa, Madde 4’ü mütevazı kapsamlı bir programla karşılayabilir. Tüm personele firmanın araçlarının neyi yapıp neyi yapmadığını anlatan temel bir oturum, yıllık bir tazeleme, meslek mensupları ve gözetim sorumluları için role göre farklılaştırılmış rehberlik, yazılı kullanım talimatları ve dosya yürütümü sırasında ortaya çıkan sorular için belgelenmiş bir irtibat noktası, çoğu bağlamda yeterli olacaktır. Bunu destekleyen dokümantasyonun tek bir kısa politika, açıklamalı bir müfredat, bir katılım kaydı ve programın firmanın kullanımına neden uygun biçimde ayarlandığına ilişkin gerekçenin kaydından fazlası olması gerekmez.

Uygulama alanları çeşitlenmiş, 250 meslek mensubu çalıştıran bir firma — orta ölçekli, tam hizmet veren bir hukuk bürosu ya da orta ölçekli bir muhasebe firması gibi — daha fazlasına ihtiyaç duyacaktır. Firmanın kullanımları büyük olasılıkla farklı risk profillerine, farklı gözetim yapılarına ve farklı müşteri beklentilerine sahip uygulama gruplarına yayılır. Tek bir program yeterli olmaz. Enstitü genellikle işleve (meslek mensupları, gözetim sorumluları, destek personeli, teknoloji, uyum) göre düzenlenmiş, role göre farklılaştırılmış müfredatlar ve belirli bir aracın kullanımının yoğunlaştığı yerlerde bunları tamamlayan uygulama alanına özgü modüller görmeyi bekler. Sıklık daha önemli hâle gelir: araçlar yıl ortasında eklendiğinde ya da esaslı biçimde güncellendiğinde yıllık bir temel eğitim yeterli değildir. Bir aracın devreye alınması ya da önemli ölçüde değiştirilmesiyle tetiklenen kısa, sürüm notu niteliğinde bir eğitim düzeni daha savunulabilir bir modeldir.

1.000 ya da daha fazla meslek mensubu çalıştıran bir firmanın Madde 4 yükümlülükleri, gözetim ve yönetişim dokusunun içine uzanır. Müfredatlar zorunlu olarak uygulama grubuna ve kıdeme göre farklılaşır. Firma büyük olasılıkla operasyonel özellikleri esaslı biçimde farklı birden çok yapay zekâ sistemi kullanır ve birindeki okuryazarlık diğerine aktarılamaz. Program, genel yapay zekâ okuryazarlığını (yapay zekâ sistemlerinin ne olduğuna, tipik olarak nerelerde hata yaptıklarına ve hangi gözetimi gerektirdiklerine ilişkin yeterli anlayış) sisteme özgü okuryazarlıktan (kullanıcının önündeki aracı firma rehberliği ve uygulanabilir meslek kuralları çerçevesinde kullanabilmesi için o araca ilişkin yeterli anlayış) ayırmalıdır. Bu ölçekte dokümantasyon düzeneği — eğitim matrisleri, tamamlama kayıtları, role göre ayarlamanın kanıtı, tazeleme sıklığının kanıtı ve eksiklik tespit edildiğinde yapılan iyileştirmenin kanıtı — tek seferlik bir proje olarak değil, firmanın kalite, risk ve uyum işlevleriyle birlikte sürdürülen esaslı bir mevzuat altyapısı unsuru hâline gelir.

Üç firmayı birbirinden ayıran, en ilgili kullanıcıya verilen eğitimin derinliği değildir. Yapay zekâ aracını her gün kullanan küçük firmadaki bir meslek mensubu, programın değil pratiğin sayesinde, büyük firmadaki meslektaşından daha okuryazar olabilir. Onları ayıran, firmanın, tüm kadrosu genelinde Madde 4’ün gerektirdiği tedbirleri aldığını gösterebilme kapasitesidir.

§ III Okuryazarlık ve Komşu Eğitimler

Sektörde yaygın bir hata, yapay zekâ okuryazarlığını mevcut veri koruma ya da siber güvenlik eğitimlerinin içine katmaktır. Hata anlaşılabilir bir hatadır. Bunlar profesyonel hizmet firmalarının zaten aşina olduğu eğitimlerdir ve mevcut bir programı genişletme eğilimi idari açıdan akılcıdır. Yine de bir hatadır.

Veri koruma eğitimi, özü itibarıyla, firmanın Genel Veri Koruma Tüzüğü (GDPR) ve eşdeğer rejimler kapsamındaki yükümlülüklerini ele alır: hukuki dayanak, veri minimizasyonu, ilgili kişi hakları, ihlal bildirimi. Kazandırdığı yetkinlik, kişisel veriyi tanıma, onu uygun biçimde işleme ve işlenişi sorgulandığında durumu üst kademeye iletme yetkinliğidir. Bu, kişisel veri işleyen her yapay zekâ aracının kullanımı için gereklidir, ancak Madde 4 için yeterli değildir. Müvekkile ait kişisel verileri genel amaçlı bir yapay zekâ sistemine yapıştırmaması gerektiğini bilen bir kullanıcı, yalnızca bu bilgisi sayesinde, sistemin atıf uydurma eğilimini, eğitim verisinin sınırlarını, uygulandığı durumlarda Madde 14 kapsamındaki insan gözetiminin uygun kapsamını ya da firmanın sistemin kullanımına ilişkin özel rehberliğini kavramış olmaz.

Siber güvenlik eğitimi tehditleri ele alır: oltalama, kimlik bilgisi hijyeni, sosyal mühendislik, şüpheli dosyaların ele alınması. İhtiyat alışkanlıkları kazandırır. Kendi başına, bir yapay zekâ sisteminin ne olduğuna ya da çıktılarının nasıl karşılanması gerektiğine dair herhangi bir anlayış kazandırmaz.

Madde 4 okuryazarlığı kendine ait bir esas alanı kaplar. Kullanıcının, işleyen bir yapay zekâ sistemini tanıma, çıktılarına neler için güvenilip neler için güvenilemeyeceğine dair ölçülü bir beklenti oluşturma, firmanın kullanıma ilişkin rehberliğini uygulama ve mesleki muhakemenin devreye girmesi gereken noktaları bilme kapasitesiyle ilgilidir. Veri koruma eğitimi veriye ilişkin bir özen yükümlülüğü, siber güvenlik eğitimi tehditlere karşı bir ihtiyat yükümlülüğü kazandırırken, Madde 4 okuryazarlığı, çıktıları kullanıcının öngörmeyi öğrenmesi gereken biçimlerde değişkenlik gösteren bir araca ölçülü güven yükümlülüğü kazandırır.

Veri koruma eğitimi veriye ilişkin bir özen yükümlülüğü, siber güvenlik eğitimi tehditlere karşı bir ihtiyat yükümlülüğü kazandırırken, Madde 4 okuryazarlığı ölçülü güven yükümlülüğü kazandırır.

Pratik sonuç, bu eğitimlerin komşu ama ayrı programlar olarak sunulması gerektiğidir. Aynı eğitim platformunu paylaşabilirler; tek bir yıllık eğitim döneminde art arda sıralanabilirler; ancak her birine yalnızca üstünkörü değinen tek bir modülde birleştirilmemelidirler.

§ IV Meslek Kuralları ve Uygulama Standartları

Profesyonel hizmet firmaları için Madde 4 tek başına durmaz. Yetkinlik ve gözetimi zaten düzenleyen meslek kurallarıyla, kimi zaman örtüşerek kimi zaman tamamlayarak, etkileşim içindedir.

Hukuk mesleğinde, İngiltere ve Galler’deki SRA İlkeleri ve SRA Davranış Kuralları yetkinlik ve etkin gözetim yükümlülükleri getirir; Türkiye Barolar Birliği kuralları eşdeğer yükümlülükler içerir; ABA Model Kural 1.1’in 8 No.lu Yorumu’nda 2012’de yapılan değişiklik, bunu benimsemiş yargı çevrelerinde, ilgili teknolojinin yarar ve risklerinden haberdar olma yükümlülüğünü açıkça ele alır¹. Firmanın bu kurallara göre ayarlanmış mevcut gözetim altyapısı, Madde 4’ün gerektirdiklerinin bir kısmını zaten karşılayacaktır. Tamamını karşılamayacaktır: meslek kuralları avukatın yetkinliği etrafında kurgulanmışken, Madde 4 uygulayıcının tüm personel ve yapay zekâ sisteminin işletilmesiyle ilgilenen diğer kişiler bakımından aldığı tedbirler etrafında kurgulanmıştır. Bir hukuk asistanı, bir bilgi yönetimi uzmanı ya da bir teknoloji sorumlusu, meslek kurallarının kapsamına girmeyebileceği hâlde Madde 4’ün kapsamına girer.

Denetim uygulamasında, çalışma düzeyinde kalite yönetimine ilişkin ISA 220 (Revize), sorumlu denetçiye denetim ekibinin yetkinlik ve kabiliyetlerine ilişkin sorumluluklar yükler; ISA 540 (Revize) ve ISA 500, modellerin kullanımı ve bunların ürettiği denetim kanıtıyla ilgilidir. Firmanın ISQM 1 kapsamındaki firma düzeyindeki kalite yönetim sistemi, yetkinliği ele alan bir insan kaynakları sürecini zaten zorunlu kılar. Hukuki kurallarda olduğu gibi, bu altyapı da Madde 4’ün alanının bir kısmını kapsar ama tamamını kapsamaz.

Kurumsal tutum açıktır: meslek kurallarının ve uygulama standartlarının zaten yetkinlik şart koştuğu yerlerde Madde 4’ün tamamen yeni bir yükümlülük eklemesi olası değildir; ancak Madde 4, firmanın tedbirlerinin, bir düzenleyicinin (ya da bir değerlendiricinin) inceleyebileceği biçimde, tedbir olarak görünür ve değerlendirilebilir olmasını şart koşar. Meslek yükümlülüklerini dokümantasyon olmaksızın örtük mesleki alışkanlıklarla yerine getiren bir firma baronun beklentisini karşılayabilir; Madde 4’ü karşılamaz.

§ V Makul Uyumun Biçimi

Madde bir biçim öngörmez. Komisyon’un Yapay Zekâ Ofisi, okuryazarlık uygulamalarına ilişkin bağlayıcı olmayan bir derleme hazırlamıştır ve açıklayıcı rehberler yayımlamayı sürdürmektedir; maddenin kendisi ise ilkelere dayalı niteliğini korumaktadır². Enstitü’nün görüşüne göre makul bir Madde 4 programı, aşağıdaki öncelik sırasıyla şu unsurlardan oluşur:

1. Firmadaki her rolü ayarlanmış bir öğrenme çıktıları kümesiyle eşleştiren, tüm roller için genel yapay zekâ okuryazarlığı çıktılarını ve belirli yapay zekâ araçlarını kullananlar için sisteme özgü çıktıları içeren, role dayalı bir müfredat.
2. İşe alımda ya da programın başlangıcında bir temel eğitimi, yıllık bir tazelemeyi ve bir yapay zekâ sisteminin devreye alınması ya da esaslı biçimde değiştirilmesiyle tetiklenen sürüm notu eğitimini kapsayan bir sıklık düzeni.
3. Her yapay zekâ sisteminin firma içinde izin verilen ve verilmeyen kullanımlarına ilişkin, yalnızca bir politika belgesinde değil, kullanım noktasında erişilebilir yazılı rehberlik.
4. Kullanıcının rehberlikte karşılığı bulunmayan bir kullanımla karşılaştığında işletilecek, adı belirlenmiş bir birimin (baş hukuk müşaviri, risk yöneticisi ya da eşdeğeri) sorumluluğundaki belgelenmiş bir üst kademeye iletme mekanizması.
5. İnceleme hâlinde, programın uygulandığını, kimlerin tamamladığını ve firmanın eksikliklere nasıl yanıt verdiğini göstermeye yeterli kayıtlar.

Beş unsur sıradandır; mesele de tam olarak budur. Madde 4, firmanın diğer mevzuat eğitimlerinden daha ayrıntılı bir program istemez; yapay zekâya esaslı biçimde özgü ve yapay zekâ sistemlerinin kullanıldığı rollere göre ayarlanmış bir program ister. Aşırı kurgulama, yeni bir düzenleme karşısındaki ilk refleksi bir tedarikçiye özel bir ürün geliştirme talimatı vermek olan firmalar için özel bir risktir. Madde harcama değil, orantılılık ister.

§ VI Gerekli Ama Yeterli Değil

Enstitü, AB Yapay Zekâ Yasası Hazırlık Tasdiki’ni, Yapay Zekâ Olgunluk Standardı’na paralel ama ondan ayrı, müstakil bir araç olarak düzenler. Bunun nedeni, Yasa’ya uyumun bir mevzuat eşiği, olgunluğun ise yapısal bir değerlendirme olmasıdır. Bir firma Madde 4’ü karşılayıp Standart’ta düşük bir kademede belgelendirilebilir. Bir firma Standart’ta yüksek bir kademede belgelendirilmiş olup, tedbirleri özü itibarıyla mevcut ancak tedbir olarak belgelenmemişse, Madde 4 bakımından risk altında kalabilir.

Standart’ın kendi içinde Madde 4 okuryazarlığı, beşinci boyut olan Yetenek ve İşletim Modeli’ne karşılık gelir ve diğer iki boyuttaki — Yönetişim, Risk ve Uyum ile Ölçüm ve Hesap Verebilirlik — kanıtlara katkıda bulunur. Tek başına bir firmanın belgelendirme tabanını yükseltmez. Mükemmel bir okuryazarlık çalışması yapmış ancak iş akışlarını yeniden tasarlamamış, kullanımlarını yönetişime tabi kılmamış ya da çıktılarını ölçmemiş bir firma, güçlü bir beşinci boyuta ve diğer alanlarda daha zayıf sonuçlara sahip bir firmadır. Standart en zayıf boyutun tabanından belgelendirme yaptığından, böyle bir firma, personeli ne kadar kapsamlı biçimde okuryazar olursa olsun, en zayıf boyutunun bulunduğu kademede belgelendirilir.

Kurumsal tutum, Madde 4 okuryazarlığının gerekli ama yeterli olmadığıdır. Gereklidir, çünkü Birlik’in düzenleyici erişim alanında yapay zekâ sistemleri kullanan hiçbir firma ona kayıtsız kalamaz; madde Şubat 2025’ten bu yana uygulanmaktadır ve yaptırıma bağlanabilir niteliktedir. Yeterli değildir, çünkü okuryazarlık firmanın insanlarına ait bir niteliktir ve bir firma insanlarından ibaret değildir: aynı zamanda iş akışları, yönetişimi, ölçümü ve yönetiminin kendini tabi tuttuğu standartlardır. Madde 4, yedi boyuttan yalnızca birine karşılık gelir. Onu karşılayan firma bir eşiği aşmıştır; ardından daha zor sorularla karşılaşır.