Yapay Zekâ Politikası.

1. Amaç ve kapsam

NextOps B.V. bu politikayı, yapay zekâ sistemlerinin güvenli, şeffaf, adil, açıklanabilir ve insan odaklı şekilde kullanılmasını sağlamak için uygular. Politika; NextOps B.V. şirketinin tüm çalışanları, sözleşmeli personeli ve müşterileri için geçerlidir ve hem yapay zekâ araçlarının kurum içi kullanımını hem de müşteriler için tasarladığımız, uyguladığımız veya yönettiğimiz çözümlerdeki yapay zekâ işlevlerini kapsar.

2. Temel ilkeler

AI Act'in 4. maddesi ve Ek IV'ü ile Avrupa Komisyonu'nun Güvenilir Yapay Zekâ için Etik Yönergeleri doğrultusunda aşağıdaki ilkeleri uygularız:

• insan özerkliği ve insan gözetimi;
• teknik sağlamlık ve güvenlik;
• gizlilik ve veri yönetişimi;
• şeffaflık ve açıklanabilirlik;
• çeşitlilik, ayrımcılık yapmama ve adalet;
• toplumsal ve çevresel refah;
• hesap verebilirlik ve izlenebilirlik.

3. Risk sınıflandırması (AI Act)

Kurum içinde kullandığımız veya müşteriler için geliştirdiğimiz her yapay zekâ sistemi için AI Act'e uygun bir risk sınıflandırması yaparız:

• Kabul edilemez risk (madde 5): NextOps B.V. tarafından geliştirilmez, sağlanmaz veya kullanılmaz;
• Yüksek risk (madde 6 ve Ek III): yalnızca DPIA, uygunluk değerlendirmesi, risk yönetim sistemi ve insan gözetimiyle kullanılır;
• Sınırlı risk: kullanıcılar bir yapay zekâ sistemiyle etkileşimde olduklarına dair bilgilendirilir (şeffaflık yükümlülüğü, madde 50);
• Asgari risk: genel özen yükümlülüğü ve bu politikaya uygun olarak kullanılır.

4. İzin verilen ve yasak kullanım

NextOps B.V. çalışanları, onaylı yapay zekâ araçlarını diğerlerinin yanı sıra kod desteği, dokümantasyon, çeviri ve analiz için kullanabilir; yeter ki bu kullanım bu politikaya ve bilgi güvenliği politikasına uygun olsun. Aşağıdakiler her durumda yasaktır:

• gizli müşteri verilerini, kişisel verileri veya erişim bilgilerini uygun güvenceler ya da veri işleme sözleşmesi olmadan herkese açık yapay zekâ hizmetlerine girmek;
• hukuki veya benzer şekilde önemli sonuçları olan kararları anlamlı bir insan müdahalesi olmadan tamamen otomatikleştirmek (GDPR madde 22);
• yapay zekâyı manipülasyon, özel nitelikli kişisel verilere dayalı profilleme veya sosyal puanlama için kullanmak;
• yapay zekâ tarafından üretilen içeriği inceleme ve yeterli kontrol olmadan yayımlamak.

5. Veri koruma ve gizlilik

Yapay zekâ sistemleri, tasarımdan itibaren ve varsayılan olarak gizlilik ilkelerine (GDPR madde 25) göre tasarlanır. Potansiyel olarak yüksek risk taşıyan işleme faaliyetleri için (birçok yapay zekâ uygulaması bunlara dahildir) GDPR madde 35 uyarınca Veri Koruma Etki Değerlendirmesi (DPIA) yaparız. Kişisel veriler yalnızca geçerli bir hukuki dayanağa göre, veri en aza indirme, amaçla sınırlılık ve uygun güvenlik önlemleriyle işlenir.

Harici yapay zekâ sağlayıcıları kullanıldığında bir veri işleme sözleşmesi (GDPR madde 28) yapar ve verilerin nerede işlendiğini değerlendiririz. AEA dışına aktarımlarda Standart Sözleşme Maddeleri gibi ek güvenceler uygulanır.

6. Şeffaflık ve açıklanabilirlik

Son kullanıcılar bir yapay zekâ sistemiyle (örneğin bir sohbet robotu veya üretken bir asistanla) etkileşime girdiğinde bunu açıkça belirtiriz. Yapay zekâ tarafından üretilen içerik (metin, görsel, ses, video), makul ölçüde mümkün olduğunda AI Act'in 50. maddesi uyarınca bu şekilde etiketlenir veya teknik işaretlerle donatılır. Kısmen yapay zekâya dayanan kararların izlenebilir ve açıklanabilir olmasını sağlarız.

7. İnsan gözetimi

İlgili her yapay zekâ sistemi için, yetkin bir kişinin sistemin işleyişini izleyebileceği, yorumlayabileceği, geçersiz kılabileceği veya durdurabileceği bir insan gözetimi kurulur. Yüksek riskli yapay zekâ sistemleri için bu, AI Act'in 14. maddesi uyarınca kesin bir gerekliliktir.

8. Güvenlik ve güvenilirlik

Yapay zekâ sistemleri, ISO 27001 ve NIS2'den türetilen BGYS (bilgi güvenliği yönetim sistemi) ilkelerimize uygun olarak geliştirilir ve yönetilir. Buna model güvenliği, istem enjeksiyonuna (prompt injection) ve veri zehirlemeye karşı koruma, kayıt tutma, sapma izleme ve modellerin periyodik olarak yeniden değerlendirilmesi dahildir. Bir yapay zekâ sistemini içeren olaylar, olağan olay ve zafiyet prosedürümüz üzerinden ele alınır.

9. Önyargı, adalet ve ayrımcılık yapmama

Yapay zekâ modellerini, özel nitelikli kişisel verilere (GDPR madde 9) ilişkin olanlar da dahil olmak üzere önyargı ve ayrımcı sonuçlar açısından aktif olarak test ederiz. Önemli riskler söz konusu olduğunda eğitim verilerinin yeniden dengelenmesi, ek incelemeler veya kullanım alanının sınırlandırılması gibi azaltıcı önlemler alınır.

10. Fikri mülkiyet ve girdiler

Üretken yapay zekâ kullanırken üçüncü tarafların haklarına saygı gösteririz. NextOps B.V. veya müşterileri tarafından bir yapay zekâ sistemine girilen içerik, hak sahibinin mülkiyetinde kalır. Yazılı olarak açıkça kararlaştırılmadıkça müşteri verilerini model eğitimi için kullanmayız.

11. Tedarikçiler ve araçlar

Bir yapay zekâ tedarikçisiyle çalışmaya başlamadan önce güvenlik, gizlilik, yapay zekâ yönetişimi ve AI Act'e uyum konularını kapsayan bir tedarikçi değerlendirmesi yaparız. Onaylı yapay zekâ araçlarının güncel bir listesi kurum içinde tutulur.

12. Sorumluluklar

Bu politikaya uyumun nihai sorumluluğu NextOps B.V. yönetimine aittir. Veri Koruma Görevlisi (varsa) ve güvenlik sorumlusu gizlilik ve güvenlik konularında danışmanlık yapar. Her çalışan, günlük çalışmalarında bu politikaya uymaktan sorumludur.

13. Değişiklikler

NextOps B.V. bu yapay zekâ politikasını en az yılda bir kez ve mevzuatta (AI Act kapsamındaki ek uygulama düzenlemeleri gibi) veya hizmetlerimizde önemli değişiklikler olduğunda gözden geçirir.

14. İletişim

NextOps B.V. bünyesinde yapay zekâ kullanımına ilişkin sorular, bildirimler veya şikâyetler şu adrese iletilebilir: NextOps B.V., Nobelstraat 15 BU6, 2693 BC ’s-Gravenzande, Hollanda, e-posta legal@nextops.nl.