Yapay zeka ajanlarının yetki sınırları hukuki açıdan mercek altında

Siber güvenlik, veri analizi ve yazılım geliştirme gibi alanlarda giderek yaygınlaşan yapay zeka ajanlarının bağımsız işlem yapabilmesi, geliştiriciler, hizmet sağlayıcılar ve kullanıcı kuruluşlar arasındaki sorumluluk sınırlarının belirlenmesini önemli hale getiriyor.

Son olarak, dünya genelinde milyonlarca internet sitesinin altyapısında kullanılan PHP programlama dilindeki iki kritik güvenlik açığının yapay zeka yardımıyla keşfedilmesi bu sistemlerin siber güvenlik araştırmalarındaki rolüne dikkati çekti.

Avrupa Birliği Siber Güvenlik Ajansı (ENISA), Avrupa Komisyonu, Europol ve Avrupa Birliği Siber Acil Durum Müdahale Ekibinin (CERT-EU) yayımladığı ortak açıklamayla gündeme gelen güvenlik açıkları, yapay zeka destekli araştırmaların hangi koşullarda hukuka uygun kabul edileceği ve yetkisiz erişim durumunda sorumluluğun kime ait olacağı tartışmalarına da zemin hazırladı.

Yapay zeka ajanlarının bağımsız işlemlerinden kim sorumlu?

Ankara Yıldırım Beyazıt Üniversitesi Hukuk Fakültesi Öğretim Üyesi Dr. Samet Tatar, AA muhabirine yaptığı değerlendirmede, PHP krizinin yapay zeka ajanlarının güvenlik açıklarını keşfetmesiyle bu açıkların kötüye kullanılması arasındaki hukuki ayrımı daha önemli hale getirdiğini söyledi.

Güvenlik açıklarının yapay zeka kullanılarak tespit edilmesinin tek başına hukuka aykırılık teşkil etmeyebileceğini vurgulayan Tatar, araştırma faaliyetlerinin yetkisiz erişim boyutuna ulaşması halinde farklı hukuki sonuçlar doğabileceğini belirtti.

Tatar, yapay zeka ajanlarının geleneksel yazılımlardan farklı olarak kendilerine verilen görevler kapsamında bağımsız işlemler gerçekleştirebildiğine dikkati çekerek, şöyle konuştu:

"Bir şirket, bir şirketin yetkilisi ya da bir kamu kurumunda çalışan sorumlu IT'deki bir personel, diyelim ki bir yapay zeka ajanına kendi şirketinin güvenlik açıklarını bulması için bir görev veriyor. Ama bu ajan bu görevi yerine getirirken yetkisini aşarak başka kurumlara ve sistemlere erişebiliyor. Bu durumda kim sorumlu? Aslında yapay zeka ajanlarının tek başına bağımsız bir hukuki kişiliği yok. Bu sebeple sorumluluğun geliştiricinin, sistemi sağlayan şirketin, kullanıcı kuruluşun ya da ajana yetki veren kişi arasında bölüşülmesi gerekiyor."

Tatar, yapay zeka ajanlarının hukuka aykırı işlemlerinden geliştirici veya kullanıcıların otomatik olarak sorumlu tutulamayacağını belirterek, ceza hukuku açısından kast veya taksir, özel hukuk bakımından ise yükümlülük ihlali ile zarar arasındaki nedensellik bağının değerlendirilmesi gerektiğini vurguladı.

"Kontrolden çıkan yapay zeka ajanları yeni hukuki sorunlar ortaya çıkarıyor"

Yapay zeka ajanlarının insan müdahalesi olmadan karar alabilmesinin onlara hukuki kişilik kazandırmadığını dile getiren Tatar, mevcut hukuk sistemlerinin büyük ölçüde insan komutlarıyla çalışan geleneksel yazılımlar esas alınarak oluşturulduğunu söyledi.

Yapay zeka ajanlarının kendilerine tanımlanan görev ve yetki sınırlarını aşmasının uluslararası literatürde "rogue agents" (kontrolden çıkan yapay zeka ajanları) olarak adlandırıldığını ifade eden Tatar, bu sistemlerin geliştirici veya kullanıcıların kontrolü dışında işlem gerçekleştirebilmesinin hukuki sorumluluğun kimlere ve hangi koşullarda yüklenebileceği konusunda yeni tartışmaları gündeme getirdiğini kaydetti.

Tatar, "Yapay zeka sistemleri güvenlik açıklarını PHP krizinde keşfetme sürecini hızlandırdı ama bir taraftan da bu açıkların bildirilmesi ve giderilmesiyle ilişkili hukuki mekanizmalar aynı hızla cevap veremediği için şu anda uluslararası anlamda büyük bir krizle karşı karşıyayız." dedi.

Tatar, Türkiye'deki hukuki düzenlemelere de değinerek, 7545 sayılı Siber Güvenlik Kanunu, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Türk Ceza Kanunu'nun bilişim suçlarına ilişkin hükümlerinin siber güvenlik alanında önemli bir hukuki altyapı oluşturduğunu vurguladı.

Mevcut düzenlemelerin yine de yapay zeka ajanlarının bağımsız gerçekleştirdiği işlemlerin hukuki sonuçlarını belirlemede yeterli olmadığına işaret eden Tatar, "Bu noktada temel mesele, söz konusu risklerin önceden tespit edilmesi, güvenlik açıklarının Türk hukuku çerçevesinde zamanında bildirilmesi ve ilgili kuruluşların gerekli önlemleri almasını sağlayacak etkin bir yönetişim mekanizmasının oluşturulmasıdır." dedi.

"Türkiye'nin dijital dönüşüm tecrübesi diğer bölgelere aktarılmalı"

Türkiye'nin siber güvenlik ve dijital kamu hizmetleri alanındaki birikiminin yeni düzenlemelerin geliştirilmesinde önemli bir avantaj sağlayabileceğini belirten Tatar, bu alanda atılması gereken adımlara ilişkin şu önerilerde bulundu:

"Birincisi etken yapay zeka sistemlerinin siber güvenlik açısından yetki sınırlarının açığa kavuşturulması gerekiyor. Çünkü yapay zeka ajanlarının Türkiye'de hangi işleri bağımsız gerçekleştirebileceği, hangi durumlarda insan onayının zorunlu olacağı ve yetki aşımı bakımından sorumluluğunun nasıl belirleneceği düzenlenmesi oldukça önemli. İkincisi, güvenlik açıklıklarının bildirilmesiyle ilgili tek bir yapıdan oluşan bir mekanizma kurulması. Burada özellikle yapay zeka sistemlerinin bu güvenlik açıklarını daha hızlı keşfetmesi durumunda, açıkların ilgili kuruluşlara tek bir mekanizma, tek bir organizasyon tarafından güvenli ve zamanında bildirilmesi oldukça önemli."

Tatar, yapay zeka ajanlarının işlemlerinin her zaman denetlenebilir olmasının da oldukça önemli olduğunu vurgulayarak, "Türkiye'nin uluslararası yapay zeka yönetiminde üzerine düşecek bölgesel liderlik anlamındaki rolleri oynayabilmesi için kamu yönetimindeki dijital dönüşümün, e-devlet uygulamalarının, kişisel verileri korunmasıyla ilgili mevzuatının ve siber güvenlik alanındaki uzun dönem tecrübesinin gerek Avrupa'ya gerek Orta Asya'ya, Türk Devletleri Teşkilatı'na ve Orta Doğu'ya aktarılması lazım." diye konuştu.