EDPS perspektifinden otonom ajan yönetişimi: dört ilke

Yapay zeka sistemleri artık sadece metin üretmiyor; kurumlar adına karar alıyor, süreçleri tetikliyor ve dış sistemlerle otonom biçimde etkileşime giriyor. Bu sistemleri canlıya alırken sorulması gereken kritik soru şu: insan denetimi olmadan çalışan bu ajanlar veri koruma regülasyonlarına nasıl uyum sağlayacak? Avrupa Veri Koruma Denetçisi’nin (EDPS) üretken yapay zeka rehberi, AB kurumları ve bu standartlara uymak isteyen global şirketler için net bir çerçeve çiziyor — ve ilkeleri, KVKK’nın Etken YZ Rehberiyle şaşırtıcı ölçüde örtüşüyor.

1. Otonom karar alma ve insan müdahalesi şartı

EDPS, insan müdahalesi ya da rehberliği olmadan görev yürüten otonom ajanlar söz konusu olduğunda, insan müdahalesi hakkının düzgün uygulanmasının hayati (paramount) olduğunu vurguluyor. Ajanınız otomatik yollarla — profilleme veya bireysel değerlendirmeler dahil — bir karar süreci yürütüyorsa, otomatik karar alma kurallarının kapsamına girebilir. Bu durumda kurum, bireylere karara itiraz etme, kendi görüşünü ifade etme ve bir insan müdahalesi (human intervention) talep etme hakkını kesinlikle sunmalıdır.

2. Güvenlik açıkları ve RAG riskleri

Geleneksel yazılımın aksine ajanlar dış dünyaya açıktır ve yeni nesil saldırı vektörlerine karşı savunmasız olabilir. EDPS, veri sorumlularının klasik BT güvenlik kontrollerine ek olarak bu sistemlere özel kontroller entegre etmesini bekliyor: yönetişim süreçleri prompt injection (istem enjeksiyonu), jailbreak ve model inversion saldırılarına karşı sistemi sürekli izlemeli ve korumalı.

3. Sorumluluk kimde? Suçu sadece sağlayıcıya atamazsınız

Şirketler çoğu zaman sorumluluğun LLM sağlayıcısında (OpenAI, Anthropic vb.) olduğu yanılgısına düşer. EDPS bu rolleri net ayırır: bir kurum yapay zeka sistemini belirli bir amaç doğrultusunda kendi verisiyle — örneğin İK’da özgeçmiş incelemek için — kullanmaya karar veriyorsa, verinin nasıl ve neden işleneceğine o karar verdiği için veri sorumlusu (controller) olur. Arka plandaki LLM’i geliştiren üçüncü taraf, yalnızca aracı sağladığı ölçüde veri işleyen (processor) ya da ayrı bir sorumlu konumunda kalır. Tüm hesap verebilirlik ve uyum yükü, sistemi kullanan kurumdadır.

4. Tasarım gereği veri koruma ve DPIA zorunluluğu

Otonom ajanların riskleri göz önüne alındığında yönetişim “olay olduktan sonra” değil, sistem henüz tasarım aşamasındayken (by design) başlamalı. EDPS, bireylerin temel hak ve özgürlükleri üzerinde yüksek risk oluşturma ihtimali olan her işlemden önce bir Veri Koruma Etki Değerlendirmesi (DPIA / VKED) yapılmasını şart koşuyor. Özellikle daha önce hiç değerlendirilmemiş “yeni bir teknoloji” söz konusu olduğunda bu zorunluluk pekişir — ve riskler hızla değiştiği için değerlendirmeler düzenli olarak güncellenmelidir.

Nereden başlamalı? EDPS’in dört ilkesi, KVKK diline birebir çevrilebilir: insan müdahalesi hakkı (m.11 + otomatik karar), güvenlik tedbirleri (m.12), veri sorumlusu netliği ve VKED. Rehberi bir öz denetim tablosuna çevirin ve her ilke için sorun: “bizde var mı, kanıtı nerede?”