Yapay Zekâ Sözleşme Maddeleri: Güvenlik Kontrol Listesi

Yapay zekâ sözleşme maddeleri neden klasik yazılım sözleşmesinden farklıdır?

Yapay zekâ hizmetinde ürün sabit bir yazılım değil, zamanla değişen bir modeldir. Üç fark sözleşmeyi doğrudan etkiler.

Birincisi verinin akışıdır. Müşteri bilgisi, kaynak kod ya da iç belge bir istem içinde sağlayıcıya gider. Sağlayıcı bu veriyi kayıt altında tutabilir, kötüye kullanım izleme için inceleyebilir ya da plana bağlı olarak eğitimde kullanabilir.

İkincisi davranışın değişkenliğidir. Sağlayıcı modeli güncellediğinde aynı istem farklı sonuç verir. Bugün geçen güvenlik testi yarın geçmeyebilir.

Üçüncüsü çıktının sorumluluğudur. Kanada'da Moffatt v. Air Canada (2024 BCCRT 149) kararında havayolu, sitesindeki sohbet robotunun yolcuya verdiği yanlış bilgiden sorumlu tutulmuştur. Müşteriye verilen yanıt sizin yanıtınız sayılabilir. Ayrıntılar için Air Canada chatbot vakası yazısına bakın. Sözleşme, bu riskin hangi kısmının sağlayıcıda kalacağını belirlemelidir.

Hangi altı madde pazarlıkta vazgeçilmezdir?

Aşağıdaki tablo, teknik ve güvenlik ekibinin pazarlık masasına götüreceği asgari listedir. Her satırı bir evet ya da hayır sorusuna çevirin.

Hayır cevabı aldığınızda iki seçenek vardır: riski yazılı olarak kabul etmek ya da telafi edici kontrol eklemek. Telafi edici kontrol örnekleri, kişisel veriyi istemden önce maskelemek ve hassas iş akışlarını o sağlayıcıdan uzak tutmaktır. Sağlayıcıyı sözleşmeden önce değerlendirmek için AI tedarikçi risk değerlendirmesi (TPRM) yazısındaki 40 soruluk anket kullanılabilir.

Veri kullanımı ve saklama maddesi nasıl yazılır?

Veri maddesi, sağlayıcının verinizle neyi yapabileceğini ve neyi yapamayacağını tek tek sayar. Girdiler, çıktılar, geri bildirimler, yüklenen dosyalar ve kayıtlar kapsama alınır, çünkü sızıntı çoğu zaman bu yan ürünlerden çıkar. Örnek bir madde dili şöyle olabilir:

Sağlayıcı, Müşteri Verilerini (girdiler, çıktılar, yüklenen dosyalar,
geri bildirimler ve bunlara ilişkin kayıtlar dahil) yalnızca hizmetin
sunulması amacıyla işler. Müşteri Verileri, Sağlayıcının veya üçüncü
kişilerin modellerinin eğitimi, ince ayarı ya da değerlendirilmesi için
kullanılmaz. Kötüye kullanım izleme amacıyla tutulan kayıtlar en çok
[X] gün saklanır ve bu sürenin sonunda yedekler dahil silinir. Sağlayıcı,
silme işlemini Müşterinin talebi üzerine yazılı olarak teyit eder.

Kişisel veri işleniyorsa rolleri yazın. Sağlayıcı sizin adınıza işleyen bir veri işleyen midir, yoksa kendi amaçları için işleyen bir veri sorumlusu mu? 6698 sayılı Kanun'un 12. maddesinin ikinci fıkrasına göre veri sorumlusu, verinin kendi adına başka bir kişi tarafından işlenmesi halinde güvenlik tedbirlerinden onunla birlikte müştereken sorumludur. Bu yüzden işleyenin teknik ve idari tedbirleri sözleşmede somutlaşmalıdır.

Yurt dışı aktarım ayrı bir konudur. Kanun'un 2024'te değişen 9. maddesine göre yeterlilik kararı yoksa standart sözleşme gibi uygun güvencelerden biri gerekir ve standart sözleşme imzalanmasından itibaren beş iş günü içinde Kurul'a bildirilir. Verinin hangi ülkelerde işlendiği, yedeklerin nerede durduğu ve destek ekibinin nereden erişebildiği yazılmalıdır. Büyük sağlayıcıların güncel saklama ve eğitim politikalarını karşılaştırmak için LLM sağlayıcısı veri saklama politikası yazısına bakabilirsiniz.

Olay bildirimi ve denetim hakkı maddesi neyi kapsamalı?

Olay bildirimi maddesi, sağlayıcının güvenlik olayını ne zaman, nasıl ve hangi içerikle ileteceğini belirler. Süre sizin yükümlülüğünüzle uyumlu olmalıdır. 6698 sayılı Kanun'un 12. maddesinin beşinci fıkrası ihlalin "en kısa sürede" Kurul'a bildirilmesini ister. Kurul, 2019/10 sayılı kararıyla bu süreyi ihlalin öğrenilmesinden itibaren en geç 72 saat olarak yorumlamıştır. Sağlayıcının bildirimi bu süreyi tüketecek kadar geç gelmemelidir.

"Makul sürede bildirim" gibi muğlak ifadeler olay anında tartışma çıkarır. Pazarlıkta somut bir saat sayısı isteyin ve bildirimin içeriğini yazın: etkilenen veri türü, olayın zaman aralığı, etkilenen müşteri hesapları, alınan önlemler ve iletişim kişisi. Sağlayıcıyı kendi olay tatbikatlarınıza davet etme hakkı da eklenebilir.

Denetim hakkı üç düzeyde istenebilir:

1. Yazılı beyan ve güvenlik belgeleri.
2. Bağımsız denetim raporunun ve sızma testi özetinin paylaşılması.
3. Gerekirse yerinde ya da uzaktan inceleme hakkı.

Büyük sağlayıcılar üçüncü düzeyi seyrek kabul eder. Bu durumda ikinci düzeyi güçlendirin ve raporun kapsamının sizin kullandığınız hizmeti içerdiğini kontrol edin. Sağlayıcı ISO/IEC 42001 belgesine sahipse kapsamını ve geçerlilik tarihini isteyin, ama belgeyi tek başına yeterli saymayın.

Model değişikliği ve hizmet sürekliliği nasıl güvenceye alınır?

Model değişikliği maddesi, sağlayıcının modeli güncellemeden ya da kullanımdan kaldırmadan önce sizi bilgilendirmesini şart koşar. Madde şu unsurları içermelidir: önemli değişikliğin tanımı, bildirim süresi, eski sürüme erişim süresi, değişiklik notları ve geri dönüş seçeneği. Güncelleme sonrası güvenlik regresyon testinizi bu takvime bağlayın. Yöntem için model yükseltmelerinde güvenlik regresyonu yazısına bakın.

Hizmet sürekliliği için erişilebilirlik taahhüdünü, kesinti bildirimini ve tazmin yöntemini yazın. Çıkış stratejisi de sözleşmede yer almalıdır. Sözleşme bittiğinde verinin hangi biçimde geri verileceği, ince ayar verilerinin ve istem şablonlarının taşınabilirliği ve geçiş desteği tanımlanmazsa başka bir sağlayıcıya geçiş pahalı ve riskli olur. Bu kalem pazarlıkta çoğu zaman atlanır, oysa bağımlılık riskinin merkezindedir.

Sorumluluk sınırı ve AB Yapay Zekâ Yasası sözleşmeyi nasıl etkiler?

Sorumluluk sınırı maddesi, olay olduğunda zararın kimde kalacağını belirler. Şablon sözleşmeler sorumluluğu çoğu zaman belirli bir dönemde ödenen ücretle sınırlar. Veri ihlali, gizlilik yükümlülüğünün ihlali ve fikri mülkiyet ihlali için bu sınırın dışında tutulan kalemler ya da ayrı ve daha yüksek bir üst sınır isteyin. Sağlayıcının siber sigortasının yapay zekâ kaynaklı kayıpları kapsayıp kapsamadığını da sorun.

AB pazarına dokunan kurumlar için AB Yapay Zekâ Yasası, yani (AB) 2024/1689 sayılı Tüzük, sözleşme tarafını da düzenler. Tüzüğün 25. maddesinin dördüncü fıkrasına göre yüksek riskli bir yapay zekâ sisteminin sağlayıcısı ile o sistemde kullanılan araç, hizmet, bileşen ya da süreçleri tedarik eden üçüncü kişi, sağlayıcının yükümlülüklerini yerine getirebilmesi için gereken bilgi, yetenek, teknik erişim ve desteği yazılı bir anlaşmayla belirler. Aynı fıkra, Yapay Zekâ Ofisi'nin bu tür sözleşmeler için gönüllü örnek hükümler önerebileceğini öngörür. Yükümlülüklerin geneli için EU AI Act uyum rehberi yazısına bakabilirsiniz.

Somut bir başlangıç metni de vardır. Avrupa Komisyonu'nun kamu alıcıları platformunda, yapay zekâ tedariki için güncellenmiş örnek sözleşme maddeleri (MCC-AI) yayımlanmıştır. Maddeler bir uygulama topluluğu tarafından hazırlanmıştır ve Komisyon'un resmî onayını taşımaz. Yüksek riskli sistemler için tam sürüm, diğerleri için hafif sürüm ve bir uygulama açıklaması bulunur. Maddeler bağlayıcı değildir, ana sözleşmeye ek olarak kullanılmak üzere tasarlanmıştır ve fikri mülkiyet, ödeme ve sorumluluk gibi konuları düzenlemez. Bu konuları ana sözleşmede ayrıca yazmanız gerekir.

Sözleşme imzalandıktan sonra maddeler nasıl izlenir?

İmzalı metin rafa kalkarsa korunma yalnızca kâğıtta kalır. Bir sorumlu atayın ve çeyrekte bir şu kontrolü yapın:

• Alt işleyici listesi güncel mi, değişiklik bildirimi geldi mi?
• Denetim raporunun kapsamı kullandığımız hizmeti içeriyor mu, tarihi geçmiş mi?
• Model değişikliği bildirimleri test planımıza yansıdı mı?
• Olay iletişim noktaları güncel ve ulaşılabilir mi?
• Hizmet ayarları sözleşmeyle uyumlu mu, örneğin eğitimde kullanım kapalı mı?
• Silme talebi gerektiğinde hızla işletilebiliyor mu?

Son olarak teknik kontrolleri sözleşmeye bırakmayın. Sözleşme riski paylaştırır, ortadan kaldırmaz. Kişisel verinin istemden önce maskelenmesi, çıktı denetimi, yetki sınırlaması ve kayıt tutma sizin tarafınızda kalır.

Sık Sorulan Sorular

Sağlayıcı verilerimizi model eğitiminde kullanabilir mi?

Sağlayıcının hizmet şartları ve seçtiğiniz plan bunu belirler ve şartlar zaman içinde değişebilir. Bu yüzden eğitimde kullanım yasağını sözleşmeye yazın. Maddeye girdileri, çıktıları, geri bildirimleri ve kayıtları dahil edin. Kötüye kullanım izleme amacıyla tutulan kayıtları ve insan incelemesini ayrıca sorun. Şartlar değiştiğinde önceden bildirim yükümlülüğü de ekleyin.

Alt işleyici listesi neden sözleşmeye girmeli?

Sağlayıcı, verinizi barındırma, izleme ya da destek için başka şirketlerin altyapısında işleyebilir. 6698 sayılı Kanun'un 12. maddesine göre veri sorumlusu, verinin kendi adına işlenmesi halinde güvenlik tedbirlerinden işleyenle birlikte müştereken sorumludur. Güncel liste, her şirketin işlediği veri türü ve konumu, değişiklikten önce bildirim ve itiraz hakkı sözleşmede yer almalıdır.

Model değişikliği bildirimi sözleşmeye neden girer?

Sağlayıcı modeli güncellediğinde güvenlik davranışı, yanıt biçimi ve maliyet değişebilir. Önceden bildirim almazsanız güvenlik testleriniz sessizce geçersiz kalır. Sözleşme, önemli değişikliğin tanımını, makul bir bildirim süresini, eski sürüme belirli bir süre erişimi ve değişiklik notlarını içermelidir. Güncelleme sonrası kendi test süreniz de takvime dahil edilmelidir.

Sorumluluk sınırı maddesinde neye dikkat edilmeli?

Şablon sözleşmeler sorumluluğu çoğu zaman belirli bir dönemde ödenen ücretle sınırlar. Veri ihlali, gizlilik yükümlülüğünün ihlali ve fikri mülkiyet ihlali için bu sınırın dışında tutulan kalemler ya da daha yüksek ayrı bir üst sınır isteyin. AB kamu alıcıları platformundaki örnek yapay zekâ maddeleri (MCC-AI) sorumluluğu düzenlemediği için bu konuyu ana sözleşmede ayrıca yazmanız gerekir.

Sözleşme maddeleri için hukuki destek gerekir mi?

Gerekir. Maddeler sektöre, veri türüne ve tarafların bulunduğu ülkelere göre değişir. Teknik ve güvenlik ekipleri neyin korunması gerektiğini ve hangi kanıtın isteneceğini belirler, nihai metni hukuk birimi ya da dış avukat yazar. Kişisel veri yurt dışına aktarılıyorsa KVKK'nın standart sözleşme ve bildirim şartları ayrıca değerlendirilmelidir.

Kaynaklar

• EUR-Lex: (AB) 2024/1689 sayılı Yapay Zekâ Tüzüğü
• Public Buyers Community (Avrupa Komisyonu platformu): Updated EU AI model contractual clauses
• Mevzuat Bilgi Sistemi: 6698 sayılı Kişisel Verilerin Korunması Kanunu
• KVKK: Veri İhlali Bildirimi ve 2019/10 sayılı Kurul Kararı

İlgili Yazılar

• AI Tedarikçi Risk Değerlendirmesi (TPRM) 40 soruluk vendor güvenlik anketi ve doğrulama rehberi
• LLM Sağlayıcı Veri Saklama Politikaları Karşılaştırması
• EU AI Act Uyum Rehberi Türk Şirketleri için Pratik Çerçeve
• KVKK ve LLM Güvenliği: Yapay Zekâ Projelerinde Kişisel Veri Uyumluluğu