Kimi kapsıyor?
Düzenlemenin kapsamı şirketin nerede kurulu olduğuna değil, sistemin çıktısının nerede kullanıldığına bakar. Avrupa Birliği pazarına yapay zeka içeren bir ürün veya hizmet sunuyorsanız, ya da sisteminizin çıktısı AB'de kullanılıyorsa kapsamdasınız.
İkinci ve pratikte daha yaygın olan yol sözleşmedir. AB'li kurumsal müşteriler, kendi yükümlülüklerini karşılayabilmek için tedarikçilerinden aynı belgeleri talep eder. Bu durumda düzenleme size doğrudan değil, müşteri sözleşmesi üzerinden ulaşır — ve genellikle daha kısa bir süre tanınır.
Risk sınıfları
Düzenleme sistemleri dört sınıfa ayırır ve yükümlülükler sınıfa göre değişir.
- Kabul edilemez risk: Yasaklı uygulamalar. Sosyal puanlama, bilinçaltı manipülasyon gibi dar bir liste; tipik kurumsal kullanımda karşılaşılmaz.
- Yüksek risk: İşe alım, kredi değerlendirme, kritik altyapı, eğitim ve benzeri alanlarda karar destek. Risk yönetim sistemi, veri yönetişimi, teknik dokümantasyon, kayıt tutma, insan gözetimi ve doğruluk şartları gelir.
- Sınırlı risk: Sohbet asistanları ve içerik üreten sistemler. Ana yükümlülük şeffaflıktır: kullanıcı bir yapay zekayla konuştuğunu ve içeriğin yapay zeka ürünü olduğunu bilmelidir.
- Asgari risk: Kalan her şey. Ek yükümlülük yoktur; gönüllü uygulama kuralları önerilir.
Uygulamada yapılan en yaygın hata, bütün yapay zeka kullanımını yüksek risk varsayıp gereksiz bir yük çıkarmaktır. Çoğu kurumsal kullanım — iç destek asistanı, belge okuma, içerik taslağı — sınırlı veya asgari risk sınıfındadır.
İlk adım: sistem envanteri
Uyum çalışmasına metinden değil envanterden başlanır. Kurumda hangi yapay zeka sistemlerinin kullanıldığı çoğu şirkette tam olarak bilinmez: satın alınan SaaS ürünlerinin içindeki yapay zeka özellikleri, departmanların kendi aldığı araçlar ve geliştirilen iç çözümler ayrı ayrı yerlerde durur.
Envanter çıkarıldıktan sonra her sistem için dört soru yanıtlanır: ne amaçla kullanılıyor, hangi veriyle çalışıyor, kararı kim onaylıyor, çıktısı nerede kullanılıyor. Bu dört yanıt risk sınıfını büyük ölçüde belirler ve genellikle listenin çok küçük bir bölümünün ciddi yükümlülük taşıdığını gösterir.
Hangi belgeler isteniyor?
Yüksek risk sınıfına giren sistemlerde beklenen belgeler şunlardır: model kartı veya teknik dokümantasyon, risk değerlendirme kaydı, veri yönetişim tanımı, insan gözetim tasarımı ve denetim izi. Sınırlı risk sınıfında ise şeffaflık bildirimi ve kullanım kaydı yeterlidir.
Bu belgelerin çoğu, iyi yürütülen bir yapay zeka projesinde zaten üretilir. Uyum çalışmasının maliyetini artıran şey genellikle belgelerin yokluğu değil, projeden sonra geriye dönük olarak üretilmeye çalışılmasıdır.
ISO/IEC 42001 ile ilişkisi
ISO/IEC 42001 bir yapay zeka yönetim sistemi standardıdır ve düzenlemenin yerine geçmez. Ancak istenen yapıların büyük bölümünü — politika, rol tanımı, risk süreci, sürekli iyileştirme — zaten kurar. İki çalışmayı ayrı ayrı yürütmek yerine tek bir çerçevede eşlemek, tekrar eden işi belirgin biçimde azaltır.
