Avrupa Birliği’nin AI Act düzenlemesindeki 50. madde yürürlüğe girdi ve blok genelinde faaliyet gösteren yapay zekâ sağlayıcıları ile bu sistemleri kullanan kurumlara yeni şeffaflık yükümlülükleri getirdi. Düzenlemenin odağında, insanların bir makineyle etkileşimde olduklarını anlayabilmesi, yapay zekâ tarafından üretilmiş ya da değiştirilmiş içeriklerin işaretlenmesi ve belirli hassas kullanım senaryolarında bilgilendirmenin ilk anda yapılması yer alıyor.
Madde 50 özellikle üretken yapay zekâ sistemlerinin yaygınlaşmasıyla görünür hâle gelen bir soruna yanıt veriyor. Güncel sistemler, metin tabanlı konuşmalarda insan benzeri çıktı üretme konusunda daha ikna edici hâle gelirken, görsel, ses ve video tarafında da yapay olarak üretilmiş içerikleri gerçeklerinden ayırmak giderek zorlaşıyor. Buna ek olarak, insanların farkında olmadan duygu tanıma veya biyometrik kategorizasyon araçlarına maruz kalabilmesi de düzenlemenin hedef aldığı alanlar arasında bulunuyor.
Kurala göre sağlayıcılar, doğrudan bir yapay zekâ sistemiyle etkileşime giren kişilerin bunun farkında olmasını sağlayacak şekilde sistem tasarlamak zorunda. Buradaki temel istisna, bağlama bakıldığında makineyle etkileşimde olunduğunun makul ölçüde bilgili, dikkatli ve özenli bir kişi için zaten açık olması. Bir başka istisna da suçların tespiti, önlenmesi, soruşturulması veya kovuşturulması amacıyla kullanılan kolluk kuvveti sistemleri için geçerli. Ancak bu muafiyetin uygulanabilmesi için üçüncü tarafların haklarını koruyan güvencelerin bulunması gerekiyor; ayrıca sistem halka açık biçimde suç bildirimi için sunuluyorsa durum değişebiliyor.
Sentetik ses, görüntü, video veya metin üreten sistemlerin sağlayıcılarına ek bir yükümlülük daha getiriliyor. Bu tip çıktılar, yapay olarak üretildiğini veya manipüle edildiğini tespit etmeye yarayan, makine tarafından okunabilir bir işaret taşımak zorunda. Düzenleme, bu işaretleme yönteminin teknik olarak mümkün olduğu ölçüde etkili ve birlikte çalışabilir olmasını istiyor. Uygulama maliyeti ile mevcut teknik seviyenin birlikte değerlendirilmesi gerektiği de özellikle belirtiliyor.
Bununla birlikte her düzenleme veya düzenleme benzeri işlem bu kapsama girmiyor. Kullanıcının sağladığı girdiyi esasen değiştirmeyen yardımcı düzenleme araçları zorunluluğun dışında tutuluyor. Yani sıradan bir fotoğraf rötuşu bu maddeyi tetiklemeyebiliyor. Buna karşılık içeriğin büyük ölçüde yapay zekâ tarafından yeniden üretilmesi veya baştan oluşturulması durumunda işaretleme gerekliliği doğuyor. Pratikte bu ayrım, standart düzenleme ile sentetik içerik üretimi arasındaki çizginin nasıl çekileceği açısından önem taşıyor.
Madde 50 yalnızca sağlayıcılara değil, sistemi fiilen kullanan kurum ve şirketlere de yükümlülük yüklüyor. Duygu tanıma veya biyometrik kategorizasyon sistemi işletenlerin, bu sistemlere maruz kalan kişileri açık biçimde bilgilendirmesi gerekiyor. Bu süreçte toplanan kişisel veriler içinse mevcut veri koruma rejimi geçerliliğini koruyor. Genel durumda GDPR uygulanırken, sistemi bir AB kurumu işletiyorsa ilgili AB veri koruma düzenlemesi devreye giriyor; kolluk bağlamında ise Law Enforcement Directive uygulanıyor.
Deepfake içerikler için ayrıca özel bir açıklama zorunluluğu bulunuyor. Yapay olarak üretilmiş veya manipüle edilmiş görüntü, ses ya da video içeriğinde bunun açıkça belirtilmesi gerekiyor. Sanatsal, satirik veya kurmaca eserlerde ise daha hafif bir yaklaşım benimseniyor. Bu tür çalışmalarda açıklamanın, içerikte yapay üretim veya manipülasyon bulunduğunu gösterecek şekilde yapılması yeterli görülüyor; fakat bunun eserin deneyimini gereksiz biçimde bozmayacak bir dille sunulması bekleniyor.
Kamuoyunu ilgilendiren konularda bilgilendirme amacıyla yayımlanan metinler için de ayrı bir kural var. Bir kurum ya da platform, kamu yararı taşıyan bir konuda yapay zekâ tarafından üretilmiş veya değiştirilmiş metin yayımlıyorsa, bunu açıklamak zorunda. Ancak burada önemli bir istisna bulunuyor: Eğer bir insan metni gözden geçirmişse ve yayın üzerinde editoryal sorumluluk taşıyan biri varsa, ek açıklama gerekmeyebiliyor. Başka bir ifadeyle standart haber odası denetimi eşiği karşılıyor; buna karşılık düzenlenmemiş yapay zekâ çıktısının doğrudan yayımlanması açıklama yükümlülüğünü ortadan kaldırmıyor.
Tüm bu bildirimlerin zamanlaması da net biçimde tanımlanmış durumda. Bilgilendirmenin, ilk etkileşim veya ilk maruz kalma anından daha geç olmaması gerekiyor. Üstelik bildirimlerin açık, ayırt edilebilir ve erişilebilirlik kurallarıyla uyumlu olması şart. Sonradan yapılan bilgilendirme için bir geçiş süresi ya da tolerans tanınmıyor. Bu da şirketlerin yalnızca içerik işaretleme altyapısını değil, kullanıcı arayüzü ve bildirim akışlarını da gözden geçirmesini gerektirecek.
Uygulama ve denetim tarafında görev paylaşımı üç kurum arasında yapılıyor. Çoğu vakada ulusal piyasa gözetim otoriteleri devrede olacak. Kendi yetki alanına giren sistemlerde AI Office denetim rolü üstlenecek. Bir AB kurumunun doğrudan sağlayıcı veya kullanıcı olduğu durumlarda ise European Data Protection Supervisor sürece dahil olacak. Böylece hem merkezi hem de ulusal seviyede çok katmanlı bir uygulama yapısı kurulmuş oluyor.
Komisyonun yayımladığı rehber, özellikle işaretleme yükümlülüğünün nasıl karşılanabileceğine dair bir çerçeve sunuyor. Sağlayıcılar ve kullanıcılar, AI-generated Content için hazırlanan Transparency Code of Practice’e katılarak uyum yoluna gidebiliyor. Bu kodu tercih etmeyen kuruluşların ise Komisyon tarafından yeterli görülecek alternatif yöntemlerle yükümlülüklerini yerine getirdiklerini göstermesi gerekiyor. Ancak bu alternatiflerin pratikte nasıl şekilleneceği ayrıntılı biçimde tanımlanmış değil; değerlendirme büyük ölçüde denetimi yapan piyasa gözetim otoritelerine bırakılıyor.
Diğer şeffaflık yükümlülükleri için benzer bir kod mekanizması bulunmuyor. İnsanlara bir yapay zekâ sistemiyle konuştuklarını bildirmek, deepfake açıklamaları yapmak ve kamu yararına metinlerde yapay zekâ kullanımını işaretlemek gibi başlıklarda kuruluşların kendi yeterli önlemlerini tasarlaması bekleniyor. Rehber burada bir kontrol listesi olmaktan çok referans noktası işlevi görüyor.
Belgenin önemli kısmı tanımlara ayrılmış durumda. Hangi sistemin doğrudan etkileşimli yapay zekâ sayıldığı, neyin sentetik içerik olarak değerlendirileceği ve deepfake ile sıradan düzenlenmiş medya arasındaki sınırın nerede çizildiği açıklanıyor. Standart düzenleme işlemleri ve kullanıcının sağladığı girdiyi koruyan yardımcı işlevler açık şekilde kapsam dışında bırakılıyor. Ayrıca değer zinciri içinde kimin sağlayıcı, kimin kullanıcı sayılacağı ve iki rolün aynı kurumda birleşmesi halinde hangi yükümlülüklerin doğacağı da bu çerçevede ele alınıyor.
Sonuç olarak Madde 50, Avrupa Birliği’nde yapay zekâ kullanımını yasaklamaktan çok görünür ve izlenebilir hâle getirmeyi hedefliyor. Özellikle üretken yapay zekâ kullanan şirketler için mesele artık yalnızca model performansı değil; içerik işaretleme, kullanıcı bilgilendirmesi ve düzenleyici beklentilere uygun süreç tasarımı da ürün geliştirme zincirinin kalıcı bir parçası hâline geliyor. AB pazarında faaliyet gösteren kuruluşlar için bundan sonraki kritik başlık, bu kuralların günlük operasyonlara nasıl ve ne kadar hızlı entegre edileceği olacak.
