Yapay zekâ modellerinde kişisel verilerin işlenmesi, modelin anonim sayılıp sayılamayacağı, geliştirme ve dağıtımda meşru menfaatin uygunluğu ve geliştirme aşamasındaki hukuka aykırılığın sonraki işlemlere etkisi üzerinden değerlendirilir. Avrupa Veri Koruma Kurulu bu konuları 28/2024 sayılı Görüşünde ele almıştır. Görüş, İrlanda Veri Koruma Otoritesinin Avrupa Birliği Genel Veri Koruma Tüzüğü madde 64(2) uyarınca yönelttiği talebe yanıt olarak hazırlanmıştır.
İncelemenin dört başlığı
İlk başlık, bir yapay zekâ modelinin hangi koşullarda anonim kabul edilebileceğidir. İkinci başlık, geliştirme aşamasındaki veri işleme için meşru menfaatin dayanak olarak uygunluğunu; üçüncü başlık aynı sorunun dağıtım aşamasındaki karşılığını inceler. Dördüncü başlık, geliştirme sırasında kişisel verilerin hukuka aykırı işlenmesinin modelin daha sonraki işlemlerini nasıl etkileyebileceğine ilişkindir.
Modelin anonim sayılması
Kişisel verilerle eğitilmiş bir yapay zekâ modeli, bu eğitim nedeniyle bütün modeller için geçerli olacak şekilde anonim kabul edilmez. Modelin anonim olup olmadığı, modelden doğrudan ya da dolaylı biçimde kişisel veri çıkarımı yapılıp yapılamadığına göre değişir. Anonimleştirmeden beklenen düzey, modele doğrudan erişimle veya modele yöneltilen sorular aracılığıyla dolaylı erişimle kişisel verilere ulaşmanın makul koşullarda göz ardı edilebilecek kadar sınırlı kalmasıdır.
Denetim makamları modelin anonim olup olmadığını her olay özelinde ayrıca değerlendirir. Anonimlik iddiasını desteklemek için ileri sürülebilecek yöntemlere örnek olarak, eğitim sırasında veri işlemeyi sınırlayan model tasarımları ve saldırılara karşı dirençli sistemler gösterilebilir.
Eğitimde meşru menfaat
Genel Veri Koruma Tüzüğü madde 6(1)(f) kapsamındaki meşru menfaat, yapay zekâ modellerinin eğitimi için yürütülen kişisel veri işlemede tek başına hukuki dayanak oluşturmaz. Tüzükte sayılan işleme dayanakları arasında bir hiyerarşi de bulunmaz. Bu belirleme eğitim aşamasındaki işlemeye yöneliktir; dağıtım aşamasına aynı kesinlikle genişletilmez.
Meşru menfaate dayanan veri sorumlusu üç aşamalı hukuka uygunluk testini geçtiğini göstermelidir. Önce veri sorumlusunun veya üçüncü kişilerin elde ettiği menfaat tanımlanır. Bu menfaatin hukuka uygun olması, açık ve belirli şekilde ifade edilmesi, gerçek ve mevcut bulunması gerekir. Sonra işlemenin anılan menfaat için gerekli olup olmadığı değerlendirilir. Ardından menfaatin ilgili kişilerin temel hak ve özgürlüklerinin önüne geçmediğini belirlemek üzere denge testi uygulanır.
Yapay zekâ modellerinin karmaşıklığı dikkate alındığında, ilgili kişilerin veri işlemeye ilişkin makul beklentileri denge testinde rol oynar.
Hafifletici önlemler
Geliştirme ve dağıtım aşamalarında şeffaflığı sağlamak ve mümkün olan en az verinin işlenmesini kolaylaştırmak için hafifletici önlemler alınabilir. Savunmasız kişilerin verilerinin toplanmaması ile veri kazımaya onay vermeyen internet sitelerinden veri toplanmaması bu önlemlere örnek gösterilebilir. Örnekler alınabilecek bütün önlemleri tüketmez ve her olayda zorunlu şart oldukları sonucunu doğurmaz.
Hukuka aykırı geliştirmenin sonraki etkisi
Model anonim hale getirilmediği sürece, geliştirme sırasında gerçekleşen hukuka aykırı kişisel veri işleme, dağıtım aşamasındaki işlemenin hukuka uygunluğunu etkileyebilir.
Kişisel veriler modelde tutuluyor ve dağıtım sırasında aynı veri sorumlusu tarafından kullanılıyorsa, önceki hukuka aykırılığın dağıtım aşamasına etkisi sonraki işlemenin amacına bağlıdır.
Kişisel veriler modelde tutuluyor ve modeli dağıtım yoluyla başka bir veri sorumlusu kullanıyorsa, bu veri sorumlusu geliştirmede kullanılan verilerin hukuka uygun işlendiğini doğrulamalıdır. Doğrulama, işlemenin Genel Veri Koruma Tüzüğü madde 5(1)(a) ve madde 6 ile uyumlu olup olmadığını kapsar. Verilerin kaynağı ile ilk işlemenin açık bir Tüzük ihlali oluşturduğunu gösteren emarelere dikkat edilmesi önerilir. Bu emareler arasında denetim makamı kararı ve mahkeme kararı yer alır.
Modeli geliştirmek için kişisel veriler hukuka aykırı işlendikten sonra dağıtımdan önce anonimleştirilmişse, modele kişisel veriler yeniden sunulmadığı sürece sonraki işlemler Tüzük kapsamı dışında kalabilir. Bu ihtimal, anonimleştirmenin gerçekleşmiş olmasına bağlıdır ve kesin bir istisna oluşturmaz. Anonimleştirmeden sonra dağıtım aşamasında ek kişisel veri işlenirse Tüzük uygulanır.
Sistemi kendi yetki alanında kullanan kişi
Avrupa Birliği Yapay Zekâ Yasası madde 3, deployer olarak anılan kişiyi, kişisel ve profesyonel olmayan bir faaliyet kapsamında kullanılmadığı durumlarda bir yapay zekâ sistemini kendi yetki alanı içinde kullanan gerçek veya tüzel kişi, kamu otoritesi, ajans veya diğer bir kuruluş olarak tanımlar. Dağıtım, sistemin bu kişi eliyle kendi yetki alanında kullanıma sunulması anlamına gelir.
Kişisel veriyle eğitilen model anonim sayılır mı?
Hayır, kişisel verilerle eğitilen model bu nedenle evrensel olarak anonim sayılmaz. Sonuç, modelden doğrudan veya dolaylı kişisel veri çıkarımı yapılıp yapılamadığına ve denetim makamının olaya özgü incelemesine bağlıdır.
Eğitimde meşru menfaat tek başına dayanak olur mu?
Hayır. Madde 6(1)(f) kapsamındaki meşru menfaat, model eğitimindeki kişisel veri işlemenin tek başına hukuki dayanağı değildir. Veri sorumlusu menfaatin niteliklerini, işlemenin gerekliliğini ve denge testini göstermeli; dayanaklar arasında hiyerarşi de aranmamalıdır.
Modeli başka veri sorumlusu kullanırsa ne yapmalıdır?
Kişisel veriler modelde tutuluyorsa, modeli kullanan diğer veri sorumlusu geliştirmedeki verilerin madde 5(1)(a) ve madde 6’ya uygun işlendiğini doğrulamalıdır. Verilerin kaynağına ve açık ihlal emarelerine, denetim makamı veya mahkeme kararları dahil, dikkat edilmesi önerilir.
Anonimleştirme Tüzüğün uygulanmasını sona erdirir mi?
Dağıtımdan önce anonimleştirilen ve kendisine kişisel veri yeniden sunulmayan model yönünden sonraki işlemler Tüzük dışında kalabilir. Dağıtımda ek kişisel veri işlenirse Tüzük uygulanır. Model anonimleştirilmemişse önceki hukuka aykırılık dağıtımdaki hukuka uygunluğu etkileyebilir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy