Otomasyon Çağında Sorumluluk: Yapay Zekâ Zarara Yol Açtığında Riski Kim Üstlenir?
Otonom sistemler ve yapay zekâ destekli ürünler, deneysel araçlar olmaktan çıkarak operasyonel karar alma süreçlerine dâhil olmaktadır. Bu sistemler kredi değerlendirmelerini, lojistiği, işyeri süreçlerini, tıbbi destek hizmetlerini, güvenlik sistemlerini, yatırım faaliyetlerini ve tüketici hizmetlerini etkileyebilir. Bu sistemler mali kayba veya bedensel yaralanmaya yol açtığında, temel hukuki soru nadiren teknolojinin bağımsız hareket edip etmediğidir. Asıl soru, hukuken sorumlu bir tarafın bu teknolojinin tasarımında, üretiminde, devreye alınmasında, gözetiminde veya kullanımında kusurlu olup olmadığıdır.
Sınır ötesi faaliyet gösteren işletmeler ve yatırımcılar açısından sorumluluk, sonradan ele alınacak bir konu olarak görülmemelidir. Riskin dağılımı, otomatik bir sistem müşterilere, çalışanlara, karşı taraflara veya kamuya ulaşmadan önce değerlendirilmelidir.
Otonomi, İnsan veya Kurumsal Sorumluluğu Ortadan Kaldırmaz
Yapay zekâ sistemleri, bir kişinin her bir kararı tek tek onaylaması olmaksızın çıktı üretebilir. Bu operasyonel otonomi, zorunlu olarak hukuki bir boşluk yaratmaz. Çoğu sorumluluk değerlendirmesinde odak, sistemin çevresindeki kişiler ve kuruluşlar üzerinde kalır: geliştirici, üretici, distribütör, devreye alan taraf, malik, işletmeci ve kullanıcı.
İlgili soru çoğu zaman somut olayın özelliklerine bağlı olacaktır: risk üzerinde kim anlamlı bir kontrole sahipti, makul olarak hangi güvenceler mevcuttu ve her bir taraf zararlı sonucun ortaya çıkmasında nasıl bir rol oynadı? Yanıt; kusurlu bir endüstriyel robot, otomatik sürüş işlevlerine sahip bir araç, meşru bir işlemi reddeden bir algoritma ve güvenilir olmayan tavsiyeler üreten üretken yapay zekâ aracı bakımından önemli ölçüde farklılık gösterebilir.
Teknoloji Zinciri Boyunca Olası Sorumluluk
Sorumluluk, otomatik bir ürünün yaşam döngüsünün çeşitli aşamalarında ortaya çıkabilir. Zararın ürün tasarımı, yetersiz talimatlar, güvensiz entegrasyon ve uygunsuz kullanımın birleşiminden kaynaklanması hâlinde birden fazla taraf sorumlulukla karşı karşıya kalabilir.
Geliştiriciler ve Yazılım Sağlayıcıları
Yazılım geliştiricileri, iddia edilen zararın sistem mimarisi, eğitim ve test uygulamaları, bilinen sınırlılıklar, siber güvenlik zafiyetleri, güvenilir olmayan çıktılar veya yetersiz uyarılarla bağlantılı olduğu durumlarda incelemeye tabi tutulabilir. Hukuki değerlendirme ayrıca, sağlayıcının ürünün gerçek kapasitesiyle desteklenmeyen performans veya güvenlik iddialarında bulunup bulunmadığını da dikkate alabilir.
Uyarlanabilir veya sürekli güncellenen sistemlerin sağlayıcıları bakımından yönetişim özellikle önem kazanır. Bir modelde, veri kaynağında, arayüzde veya karar eşiğinde yapılan değişiklikler, ilk devreye alma sonrasında risk profilini değiştirebilir. Bu nedenle açık sürüm kontrolü, test kayıtları, olay prosedürleri ve müşteri iletişimi, ilk geliştirme süreci kadar önemli olabilir.
Üreticiler, Entegratörler ve Distribütörler
Yazılımın fiziksel bir ürüne entegre edildiği durumlarda, üreticilerin ve entegratörlerin ayrı sorumlulukları olabilir. Güvenli bir yazılım bileşeni, uygun olmayan bir ortamda kurulduğunda, güvenilir olmayan sensörlere bağlandığında, yanlış yapılandırıldığında veya yeterli çalışma koşulları belirtilmeden pazarlandığında yine de risk yaratabilir.
Distribütörler ve ticari aracılar da piyasaya sundukları ürünü anlamalıdır. Riskin sözleşmesel olarak dağıtılması, ticari taraflar arasında rücu imkânı sağlayabilir; ancak zarar gören bir kişinin veya düzenleyici kurumun taleplerini her zaman engellemeyebilir. Pratikteki soru, ilgili tarafın üstlendiği rol için yeterli teknik, hukuki ve ticari incelemeyi yapıp yapmadığıdır.
Devreye Alanlar, Malikler ve Son Kullanıcılar
Yapay zekâ sistemlerini satın alan veya devreye alan işletmeler, yalnızca bir tedarikçinin teknolojisinin pasif alıcıları değildir. Uygun bir kullanım alanının seçilmesi, insan gözetiminin sürdürülmesi, personelin eğitilmesi, verilerin korunması, sonuçların izlenmesi ve uyarı işaretlerine müdahale edilmesi bakımından sorumluluk taşıyabilirler.
Bir son kullanıcı; talimatlardan açıkça sapılması, yetkisiz bir değişiklik yapılması, bir çıktıya pervasızca güvenilmesi veya sistemin amaçlanan koşulların dışında çalıştığı durumlarda müdahale edilmemesi sonucunda zarar doğarsa sorumlulukla karşı karşıya kalabilir. Buna karşılık, bir kullanıcının gizlenen, yetersiz belgelendirilen veya olağan kullanım yoluyla tespit edilmesi imkânsız olan kusur veya riskleri telafi etmesi beklenmemelidir.
Sorumluluk Nasıl Değerlendirilebilir?
Otomasyona ilişkin taleplerin, yerleşik hukuki kavramlardan yararlanması ve bunların yeni teknik ortamlardaki uygulamasını sınaması muhtemeldir. Uyuşmazlık, somut olaya bağlı olarak ürünle bağlantılı sorumluluğu, sözleşmesel yükümlülükleri, mesleki ödevleri, ihmal temelli talepleri, yanlış beyanı, veri koruma endişelerini veya düzenleyici kurallara aykırılığı içerebilir.
Deliller belirleyici olacaktır. Tarafların sistemin nasıl tasarlandığını, hangi veri veya girdileri aldığını, hangi sürümün çalıştığını, amaçlandığı şekilde kullanılıp kullanılmadığını, hangi uyarıların verildiğini ve zararlı sonucun makul olarak öngörülebilir olup olmadığını ortaya koymaları gerekebilir. Sistemlerin karmaşık, tescilli veya zaman içinde değişebilir nitelikte olduğu durumlarda bu zor olabilir.
En savunulabilir yapay zekâ stratejisi, kusursuz otonomi vaat etmek değil, bir arıza meydana gelmeden önce açık bir hesap verebilirlik düzeni oluşturmaktır.
Sözleşmeler Riski Gizlememeli, Dağıtmalıdır
İyi hazırlanmış sözleşmeler, ticari taraflar arasındaki teknoloji riskinin yönetilmesinde merkezi öneme sahiptir. Bir sözleşme; izin verilen kullanımın kapsamını, performans beklentilerini, teknik sorumlulukların dağılımını, test ve kabul süreçlerini, destek düzenlemelerini, veri işleme usullerini, siber güvenliği, denetim haklarını, olay bildirimini ve incelemeler sırasında iş birliğini ele almalıdır.
Tazmin yükümlülükleri, sorumluluk üst sınırları, istisnalar ve sigorta gereklilikleri, standart bir yazılım sözleşmesinden kopyalanmak yerine sistemin gerçek risk profili ışığında değerlendirilmelidir. Yapay zekâyı düşük riskli bir idari işlevde kullanan bir müşteri, güvenlik açısından hassas veya mali açıdan önemli ortamlarda otomatik sistemler kullanan bir işletmeciden farklı bir risk dağılımına ihtiyaç duyabilir.
Sözleşmesel korumalar, sözleşme hukukunun sınırları dikkate alınarak da tasarlanmalıdır. Sözleşmeler taraflar arasındaki ticari riski dağıtabilir; ancak üçüncü kişilere karşı borçları veya uygulanabilir emredici kurallardan doğan yükümlülükleri tamamen ortadan kaldırmayabilir.
Yapay Zekâ Kullanan Şirketler İçin Pratik Yönetişim
Şirketler, kullandıkları teknolojinin ölçeği ve hassasiyetiyle uyumlu bir yönetişim oluşturarak belirsizliği azaltabilir. Bu yalnızca bir uyum çalışması değildir; aynı zamanda delillerin korunması, sorumluluğun belirlenmesi ve bir olay meydana geldiğinde karar alma süreçlerinin iyileştirilmesi için pratik bir yöntemdir.
- Her yapay zekâ sistemini, sahibini, amacını ve etkileyebileceği kararları haritalandırın.
- Kullanım alanlarını potansiyel mali, güvenlik, operasyonel ve itibari etkiye göre sınıflandırın.
- Tedarikçi incelemesini, teknik testleri, sınırlılıkları ve onay kararlarını belgelendirin.
- İnsan gözetimini, eskalasyon yollarını ve otomatik çıktılara uyulmaması gereken durumları tanımlayın.
- Güncellemeler, yeniden eğitim, entegrasyonlar ve yapılandırma değişiklikleri için değişiklik yönetimi kayıtlarını tutun.
- İlgili kayıtları koruyan, etkilenen paydaşlarla iletişim kuran ve hızlı hukuki değerlendirmeye imkân veren bir olay müdahale süreci hazırlayın.
Yapay Zekâ Riskine İleriye Dönük Bir Yaklaşım
Yapay zekânın yol açtığı zararlara ilişkin hukuki sorumluluk, nadiren yalnızca “geliştirici” veya “kullanıcı” gibi tek bir sıfata dayanacaktır. Sorumluluk, ilgili riski yaratan, uygulamaya sokan, kontrol eden veya görmezden gelen kararlar zincirini takip etme ihtimalindedir. Türkiye'de veya birden fazla yargı alanında faaliyet gösteren kuruluşlar bakımından bu zincir, uygulanabilir sözleşmesel çerçeve, ürün ortamı, sektöre özgü beklentiler ve sınır ötesi sorumluluk riskiyle birlikte incelenmelidir.
Otonom bir sistemi piyasaya sürmeden, edinmeden veya ölçeklendirmeden önce karar vericiler, amaçlanan kullanım, risk dağılımı ve yönetişim modeli hakkında ihtiyaca özel hukuki ve teknik tavsiye almalıdır. Erken değerlendirme, işletmelerin yeniliği daha yüksek bir güvenle uygulamaya koymasına yardımcı olurken, teknolojinin amaçlandığı şekilde çalışmaması hâlinde hesap verebilirliğe giden açık bir yolun korunmasını da sağlayabilir.