Hazır model kullanmak sorumluluğu sağlayıcıya devretmez

Tez#

Kurumsal uyum tartışmalarında sık duyulan bir cümle var: "Modeli biz üretmiyoruz, sağlayıcının modelini kullanıyoruz." Bu cümle teknik olarak doğru ve hukuki olarak yanıltıcı. Doğru çünkü modelin eğitimi, mimarisi ve davranışı sizin kontrolünüzde değil. Yanıltıcı çünkü kullanıcının karşılaştığı sistem sizin sisteminiz.

Kullanıcıya görünen her şeyi siz belirliyorsunuz: sistemin ne iş için kullanıldığını, hangi bağlamın modele verildiğini, çıktının nasıl sunulduğunu, hangi uyarıların gösterildiğini, insan denetiminin nerede durduğunu. Bu kararların her biri sizin. Bir yanlış çıktı bir kullanıcıya zarar verdiğinde, zararın kaynağı modelin bir cümlesi olabilir ama o cümleyi o kullanıcıya o bağlamda sunma kararı sizin. Hukukta sorumluluk genellikle bu karar zincirini izliyor, modelin ağırlıklarını değil.

Bağlam: hangi karar kimde#

Sorumluluğun nerede durduğunu görmek için kararları ayırmak gerekiyor. Tablo, tipik bir kurumsal kullanımda hangi kararın kimde olduğunu gösteriyor.

Dördüncü satır sorumluluk açısından en belirleyici ve en az düşünülen. Aynı model çıktısı, "bu bir öneridir, doğrulayın" çerçevesiyle sunulduğunda ve bir kesinlik iddiasıyla sunulduğunda farklı sonuçlar doğuruyor. Arayüz metni bir tasarım tercihi gibi görünüyor ama hukuki olarak bir beyan. Bu yüzden çıktının nasıl çerçevelendiği, model seçiminden daha çok sorumluluk üretebiliyor.

Kanıt: sağlayıcı sözleşmesinin kapsamadıkları#

Standart sağlayıcı sözleşmelerinin ne yapıp ne yapmadığını bilmek, hangi riski kendinizin taşıdığını da söylüyor.

• Üçüncü kişi zararı: kullanıcının uğradığı zarardan sağlayıcı size karşı değil, siz kullanıcıya karşı sorumlusunuz.
• Kişisel veri: verdiğiniz bağlamdaki kişisel veri için veri sorumlusu sizsiniz; sağlayıcı genellikle veri işleyen.
• Amaç uygunluğu: modelin belirli bir amaç için uygun olmadığını model kartı yazıyorsa, o amaçta kullanmak sizin kararınız.
• Doğruluk: hiçbir sağlayıcı çıktının doğruluğunu garanti etmiyor; sözleşmeler bunu açıkça dışlıyor.
• Telif: çıktının başkasının hakkını ihlal etmesi hâlinde tazminat kapsamı sınırlı ve koşullu.
• Sürüm değişimi: sağlayıcı davranışı değiştirdiğinde sizin sisteminizde doğan regresyon sizin riskiniz.
• Hizmet kesintisi: erişilemezlik hâlinde kullanıcınıza karşı yükümlülüğünüz devam ediyor.

Üçüncü madde uyum denetimlerinde en sık atlanan. Model kartları ve kullanım politikaları belirli alanlarda kullanımın uygun olmadığını açıkça yazıyor — tıbbi teşhis, hukuki görüş, kredi kararı gibi. Bu beyanlar okunmadığında ya da okunup göz ardı edildiğinde, sorumluluk yalnızca sizde kalmıyor, ağırlaşıyor: uyarının varlığı, riskin bilinerek alındığını gösteriyor.

Mekanizma: dağıtıcı ile sağlayıcı ayrımı#

Yeni düzenlemeler bu ayrımı açıkça kuruyor. Bir modeli geliştiren taraf ile o modeli bir sisteme koyup piyasaya süren taraf farklı yükümlülükler taşıyor ve ikinci taraf genellikle kullanıcıya en yakın olan.

Pratik sonuç şu: bir hazır modeli kendi ürününüze koyduğunuzda, o ürünün yapay zekâ sistemi olarak yükümlülükleri size doğuyor. Risk sınıflandırması sizin kullanım amacınıza göre yapılıyor — aynı model, bir metin özetleyicide düşük riskli, bir işe alım süzgecinde yüksek riskli olabiliyor. Belgelendirme, insan denetimi, kayıt tutma ve kullanıcı bilgilendirme yükümlülükleri bu sınıflandırmadan çıkıyor ve hiçbiri sağlayıcıya devredilemiyor. Bu ayrımın en önemli sonucu şu: sağlayıcı değiştirmek uyum yükümlülüklerinizi değiştirmiyor, çünkü yükümlülük modelden değil kullanım amacından doğuyor.

Karşı görüş#

Üç itiraz var. Birincisi: sağlayıcılar telif tazminatı sunuyor ve bu gerçek bir koruma. İkincisi: kurumun model davranışı üzerinde hiçbir kontrolü yokken sorumluluk taşıması adil değil. Üçüncüsü: bu yükümlülükler küçük ekipler için karşılanamaz ağırlıkta.

Sözleşmeye güveniyorduk. Denetimde sorulan ilk soru sözleşme değildi: bu amaçla kullanımın uygun olduğuna dair kendi değerlendirmeniz nerede? Böyle bir belge yoktu.

Birinci itiraz doğru ama kapsamı dar: telif tazminatı genellikle belirli kullanım koşullarına bağlı ve koruma katmanlarının açık bırakılması gibi durumlarda düşüyor; ayrıca telif dışındaki zarar türlerini kapsamıyor. İkinci itiraz adalet açısından tartışılabilir ama hukuki durumu değiştirmiyor — ve kısmen de haksız: kullanım amacını, bağlamı ve sunumu belirleyen taraf kontrolsüz değil. Üçüncü itiraz gerçek bir yük ama ölçeklenebilir bir cevabı var: yükümlülüklerin ağırlığı risk sınıfına göre değişiyor ve düşük riskli kullanımlarda asgari belgeleme birkaç sayfayla karşılanabiliyor. Alıntının gösterdiği şey de bu: eksik olan karmaşık bir sistem değil, bir değerlendirme belgesi.

Sınırlar ve belirsizlik#

Bu analiz hukuki görüş değil; somut bir durumda avukat değerlendirmesi gerekiyor.

• Sözleşme koşulları sağlayıcıya ve plana göre değişiyor: buradaki genellemeler kendi sözleşmenizle doğrulanmalı.
• Yargı kararları oluşuyor: sorumluluk dağılımının uygulamadaki hâli önümüzdeki dönemde netleşecek.
• Türkiye mevzuatı ayrı bir çerçeve: Avrupa düzenlemesinin kavramları doğrudan aktarılamıyor.
• Risk sınıflandırmasının sınırları tartışmalı: aynı kullanımın hangi sınıfa girdiği her zaman açık değil.

Sonuç#

Hazır model kullanmak teknik bir bağımlılık kuruyor, hukuki bir muafiyet kurmuyor. Kullanıcının karşılaştığı sistem sizin sisteminiz ve o sistemin amacı, bağlamı, sunumu ve denetimi sizin kararlarınız. Sağlayıcı sözleşmesi bu kararların sonuçlarını üstlenmiyor; yalnızca sağlayıcıyla aranızdaki ilişkiyi düzenliyor.

Pratik sonuç iki belgede toplanıyor: kullanım amacının uygunluğuna dair kendi değerlendirmeniz ve model kartındaki kısıtların okunduğunu gösteren bir kayıt. İkisi de birkaç sayfa ve ikisi de denetimde ilk sorulan şeyler. Sağlayıcı değiştirmek bu yükümlülükleri değiştirmiyor — çünkü yükümlülük modelden değil, sizin seçtiğiniz kullanım amacından doğuyor.

Ne yapmalı?#

1. 1Kullanım amacını yazılı tanımlayın

   Risk sınıflandırması amaçtan çıkıyor. Tanımsız amaç, sınıflandırılamayan risk demek.

2. 2Model kartı kısıtlarını kayda geçirin

   Sağlayıcının uygun olmadığını söylediği alanlar okunmuş ve değerlendirilmiş olmalı.

3. 3Çıktının çerçevesini gözden geçirin

   Arayüz metni bir tasarım tercihi değil bir beyan. Kesinlik iddiası sorumluluk üretiyor.

4. 4İnsan denetimini gerçek kılın

   Biçimsel onay denetim sayılmıyor; onaylayanın gerçekten değerlendirebildiği gösterilmeli.

5. 5Kullanıcıyı bilgilendirin

   Yapay zekâ kullanıldığının bildirimi sizde; sağlayıcıya devredilemiyor.

6. 6Kendi uygunluk değerlendirmenizi yazın

   Denetimde ilk sorulan belge bu. Düşük riskli kullanımda birkaç sayfa yetiyor.