AB Yasası yükümlülükleri: sağlamlık, şeffaflık, olay bildirimi
- Yasanın sağlamlık, şeffaflık, kayıt ve olay bildirimi maddeleri birer mühendislik kontrolüne ve denetçiye gösterilecek bir kayda bağlanır.
- Madde 15, 50, 12, 19 ve 73'ü oku. Her maddenin uygulamada ne gerektirdiğini bir test, ekran veya süreç adımıyla göster.
- Sonunda bir olay türü için doğru bildirim süresini hesaplayacaksın.
Puan bütün etkinlikleri cevaplayınca hesaba yazılır. Bu dersi tamamlayınca +58 XP alacaksın. Giriş yapmadan ilerlersen puan yalnız bu tarayıcıda durur.
Altay Finans Hollanda'da tüketici kredisi veriyor. Ekip, başvuruları ön değerlendirmeden geçiren bir dil modeli asistanı geliştirdi. Asistan başvuruya bir skor veriyor ve dosyayı onay, ret ya da insan incelemesi kuyruğuna öneriyor. Aynı şirketin müşteri sohbet botu ve kampanya görselleri üreten bir aracı da var.
Kredi değerlendirmesi Ek III'ün temel hizmetlere erişim alanına girer, yani asistan yüksek riskli bir sistemdir. Altay Finans sistemi kendisi geliştirdiği ve kendisi kullandığı için hem sağlayıcı hem de kullanıcı kuruluş rolündedir. Bu derste dört yükümlülük grubunu sırayla açacaksın: sağlamlık, şeffaflık, kayıt tutma ve ciddi olay bildirimi. Her maddeyi bir mühendislik kontrolüne ve denetçiye gösterilebilecek bir kayda bağlayacaksın.
Sağlamlık ve siber güvenlik: Madde 15 ve 55
Madde 15, yüksek riskli sistemin kullanım ömrü boyunca uygun düzeyde doğru, sağlam ve güvenli çalışmasını ister. Doğruluk düzeyi ve ölçütleri kullanım talimatında yazılır. Sağlamlık, hata, arıza ve tutarsızlık karşısında dayanıklılık demektir. Yedek sistemler ve güvenli durma planları bu amaca hizmet eder.
Kullanım sırasında öğrenmeye devam eden sistemlerde bir risk daha vardır. Önyargılı çıktı bir sonraki eğitimin girdisi olabilir. Yasa bu geri besleme döngüsünün azaltılmasını ister.
Beşinci fıkra siber güvenliği yapay zekâya özgü saldırılara bağlar. Sayılan saldırılar şunlardır: eğitim verisini zehirleme, önceden eğitilmiş bileşenleri zehirleme, modeli yanıltan girdiler, gizlilik saldırıları ve model kusurları. Madde 9'daki risk yönetimi sistemi de yüksek riskli sistemin test edilmesini şart koşar.
Sistemik riskli GPAI sağlayıcısı için Madde 55(1) dört ek yük koyar. Sağlayıcı, saldırgan test dahil model değerlendirmesi yapar ve belgeler. AB düzeyindeki sistemik riskleri değerlendirir ve azaltır. Ciddi olayları izler, belgeler ve gecikmeden Yapay Zeka Ofisi'ne bildirir.
Modelin ve fiziksel altyapısının siber güvenliğini korur. Bu iki madde OWASP LLM Top 10 2025 listesiyle doğal biçimde eşleşir. Modeli yanıltan girdiler prompt injection (LLM01) ile, zehirleme LLM04 ile örtüşür. Gizlilik saldırıları hassas bilgi ifşası (LLM02) ve sistem promptu sızıntısı (LLM07) ile eşleşir.
Önceden eğitilmiş bileşenler tedarik zinciri (LLM03) başlığına düşer. Yasa neyin test edileceğini söyler. Kırmızı takım koşusu ise testin nasıl yapılacağını gösterir. Denetçi ikisini birlikte görmek ister.
kanit: K15-2027-11 sistem: kredi-on-degerlendirme v3.2 madde: 15(5) saldiri_turu owasp deneme basarili esik sonuc veri_zehirleme LLM04 120 0 0 geçti yaniltan_girdi LLM01 400 9 <=%5 geçti (%2,25) gizlilik_saldirisi LLM02/07 250 3 0 kaldı model_kusuru LLM09 300 12 <=%5 geçti (%4,0) karar: KAPALI, gizlilik bulgusu düzeltilene kadar sahip: model risk ekibi sonraki_kosu: düzeltme sürümünden sonra, tüm satırlar
Kaydı satır satır oku. İlk üç satır kanıtın kimliğini, sistemin sürümünü ve dayandığı fıkrayı verir. Sürüm yazılmazsa kaydın hangi modele ait olduğunu gösteremezsin. Tablo, fıkradaki saldırı türlerini birer satıra çevirir ve her birine bir OWASP başlığı bağlar.
Veri zehirlemede hiç başarılı deneme yok ve eşik sıfır. Yanıltan girdide 400 denemenin 9'u tuttu. Oran yüzde 2,25 ve yüzde 5 eşiğinin altında kalıyor. Gizlilik satırında eşik sıfır, ama 3 deneme sistem promptunun parçalarını dışarı çıkardı.
Karar satırı bu yüzden KAPALI der. Son iki satır işin sahibini ve tekrar koşusunu sabitler. Düzeltmeden sonra yalnız kalan satırı değil, bütün tabloyu yeniden koşarsın, çünkü düzeltme başka bir satırı bozabilir.
Etkinlik 1 / 6
Maddeyi konusuyla eşleştir.
Şeffaflık: Madde 50
Madde 50, kişiyi yanıltma riski taşıyan sistemlere dört yük koyar ve 2 Ağustos 2026'dan beri uygulanır. Birinci fıkra sağlayıcıya bakar. İnsanla doğrudan etkileşen sistem, kişiye bir yapay zekâ ile konuştuğunu bildirir.
Durum makul bir kişi için bariz değilse bu bildirim şarttır. İkinci fıkra da sağlayıcıya bakar. Sentetik ses, görüntü, video ya da metin üreten sistemin çıktısı makine okunur biçimde işaretlenir ve yapay olduğu tespit edilebilir olur. Çözüm etkili, birlikte çalışabilir, sağlam ve güvenilir olmalıdır.
Üçüncü fıkra, duygu tanıma ya da biyometrik sınıflandırma kullanan kuruluşa kişileri bilgilendirme yükü verir. Dördüncü fıkra derin sahte içerik yayımlayan kuruluşa bakar. Bu kuruluş içeriğin yapay olarak üretildiğini ya da değiştirildiğini açıkça belirtir.
Dördüncü fıkranın bir ikinci ayağı daha vardır. Kamuyu ilgilendiren konularda bilgi vermek için yayımlanan yapay zekâ üretimi metin de açıklanır. Metin insan incelemesinden geçmiş ve editoryal sorumluluğu biri üstlenmişse bu yük düşer.
Beşinci fıkra biçimi belirler. Bilgi açık ve ayırt edilebilir olur ve en geç ilk etkileşim ya da ilk karşılaşma anında verilir. Erişilebilirlik kurallarına da uyar. Haziran 2026'da yapay zekâ üretimi içeriği işaretleme ve etiketleme için gönüllü bir uygulama kodu, Temmuz 2026'da da Madde 50 için bir Komisyon rehberi yayımlandı.
Ağustos 2026'dan önce piyasaya çıkmış üretken sistemlere işaretleme için 2 Aralık 2026'ya kadar geçiş süresi tanındı. Teknik çözüm tek katmanlı olmaz. Görünmez filigran, imzalı içerik kimliği ve görünür etiket birlikte kullanılır.
[oturum 7F3A, ilk mesaj]
Asistan: Merhaba, ben Altay Finans'ın yapay zekâ asistanıyım.
İnsan temsilciye geçmek için 'temsilci' yazabilirsin.
[görsel: kampanya_ekim.png, üreten: görsel üretim hizmeti]
gorunmez_filigran: var, hizmetin doğrulama aracıyla okunuyor
icerik_kimligi: C2PA manifesti, hizmet sağlayıcının sertifikasıyla imzalı
kaynak_turu: trainedAlgorithmicMedia
[yayın öncesi kontrol, Altay Finans]
gercek_kisiye_benzerlik: evet, gerçekçi bir müşteri yüzü
gorunur_etiket: 'Yapay zekâ ile üretildi', sol altta, okunur boyuttaKaydı satır satır oku. Sohbetin ilk mesajı birinci fıkrayı karşılar. Bildirim ilk etkileşimde gelir ve insana geçiş yolunu da gösterir. Görsel bölümünün ilk üç satırı ikinci fıkranın işidir ve yükü görüntüyü üreten hizmet taşır.
Görünmez filigran pikselin içine gömülür ve ekran görüntüsü alınsa da kısmen yaşar. C2PA manifesti dosyaya bağlı, imzalı bir köken kaydıdır, ama dosya yeniden kodlanınca kaybolabilir. Kaynak türü satırı içeriğin eğitilmiş bir modelle üretildiğini söyler. Son bölüm Altay Finans'ın kendi yüküdür.
Görsel gerçek bir kişiye benziyor ve gerçekmiş gibi algılanabilir. Bu yüzden derin sahte sayılır ve dördüncü fıkradaki görünür etiket gerekir. Etiket köşede silik bir iz değil, okunur bir yazıdır.
Etkinlik 2 / 6
Madde 50'ye göre bir sohbet botunun kullanıcıyı bilgilendirme yükümlülüğü ne zaman yerine gelir?
Etkinlik 3 / 6
Doğru mu, yanlış mı?
Görsel üretim hizmetinin eklediği görünmez filigran, derin sahte görseli yayımlayan kuruluşun görünür etiket yükünü de karşılar.
Derinleş:C2PA içerik kimlik bilgisi nasıl çalışır
C2PA, içerik kökenini ve özgünlüğünü doğrulamak için kurulan bir endüstri birliğinin açık teknik standardıdır. Standart, bir dosyaya bağlı bir manifest tanımlar. Manifestin içinde iddialar yer alır: içeriği hangi aracın ürettiği, hangi düzenlemelerin yapıldığı ve içeriğin kaynak türü.
Manifest, üreten kuruluşun sertifikasıyla kriptografik olarak imzalanır. Bir doğrulayıcı imzayı kontrol eder ve dosyanın manifestten sonra değişip değişmediğini görür. Kullanıcı tarafında bu bilgi içerik kimlik bilgisi adıyla gösterilir.
Yöntemin güçlü yanı kurcalamayı fark etmesidir. Zayıf yanı ise manifestin dosyadan ayrılabilmesidir. Pek çok platform yüklenen görseli yeniden kodlar ve üstveriyi siler. Bu yüzden manifest, piksele gömülen görünmez filigranla birlikte kullanılır.
Filigran manifest kaybolsa da içeriğin yapay olduğunu gösterebilir. Hiçbir yöntem tek başına kusursuz değildir. Madde 50(2) de teknik olarak mümkün olduğu ölçüde etkili bir çözüm ister.
Kayıt tutma: Madde 12, 19 ve 26
Madde 12, yüksek riskli sistemin kullanım ömrü boyunca olayları otomatik kaydedebilmesini ister. Kayıt üç işe yaramalıdır. Sistemin risk doğurabileceği durumları ve önemli değişikliği tespit etmek, piyasaya çıktıktan sonra izlemek ve kullanıcı kuruluşun sistemi gözetmesini desteklemek. Uzaktan biyometrik tanımlamada yasa asgari alanları da sayar: her kullanımın başlangıç ve bitiş zamanı, karşılaştırılan veri tabanı, eşleşen girdi ve sonucu doğrulayan kişiler.
Madde 19, sağlayıcının kendi kontrolündeki kayıtları amaca uygun bir süre ve en az altı ay saklamasını ister. Madde 26(6) aynı asgari süreyi kullanıcı kuruluşa da koyar. Başka bir AB ya da ulusal kural farklı bir süre öngörüyorsa o kural uygulanır. Altay Finans iki rolü birden taşıdığı için iki yükü de karşılar.
zaman: 2028-02-11T09:42:17Z oturum: 7F3A basvuru: B-55120 model: kredi-on-degerlendirme v3.2 girdi_ozeti: sha256:9c1e04b7 skor: 0.41 esik: 0.50 oneri: insan_incelemesi inceleyen: analist-12 karar: onay saklama_politikasi: olay_kaydi: 400 gün (yasal asgari 6 ay) kisisel_alanlar: maskeli, eşleme anahtarı ayrı kasada silme_isi: her gece, en eski kayıt 400 günden yeni olmalı
Kaydı satır satır oku. Zaman satırı UTC'dir. Saat dilimi karışırsa olay zaman çizelgesi kurulamaz.
Model satırı sürümü taşır, böylece hangi modelin hangi kararı verdiğini kanıtlarsın. Girdi özeti başvurunun ham metnini değil özetini tutar. Ham veri ayrı bir yerde, erişimi kısıtlı durur.
Skor ve eşik yan yana yazılır, çünkü eşik değişince aynı skor başka bir öneriye döner. İnceleyen ve karar satırları insan gözetimini kanıtlar. Saklama politikası iki kuralı birlikte karşılar.
Olay kaydı yasal asgarinin üstünde tutulur. Kişisel alanlar ise maskelenir, çünkü KVKK ve GDPR veri en aza indirmeyi ister. Silme işinin satırı da önemlidir. Yanlış ayarlanan bir temizlik betiği asgari süreyi kimse fark etmeden ihlal edebilir.
Etkinlik 4 / 6
Madde 12'ye göre yüksek riskli bir sistemin otomatik kayıtları hangi işlere yaramalıdır?
Ciddi olay bildirimi: Madde 73
Ciddi olay, sistemin bir olayı ya da arızasının doğrudan veya dolaylı olarak dört sonuçtan birine yol açmasıdır. Birincisi bir kişinin ölümü ya da sağlığına ciddi zarardır. İkincisi kritik altyapının yönetiminde ya da işletiminde ciddi ve geri döndürülemez bir aksamadır.
Üçüncüsü temel hakları koruyan AB kurallarının ihlalidir. Dördüncüsü mülke ya da çevreye ciddi zarardır. Yüksek riskli sistemin sağlayıcısı ciddi olayı, olayın yaşandığı üye ülkenin piyasa gözetim otoritesine bildirir.
Bildirim, sistemle olay arasında nedensel bağ kurulur kurulmaz ya da bu bağ makul ölçüde olası görüldüğü anda yapılır. Üst süre ise olayın farkına varıldığı andan işler. Sistemik riskli GPAI sağlayıcısı da ciddi olayları gecikmeden Yapay Zeka Ofisi'ne bildirir.
2028-03-02 10:05 İlk şikâyet: aynı ilçeden 40 başvuru otomatik ret önerisi aldı 2028-03-02 10:05 farkina_varma: bu an seçildi (temkinli seçim) 2028-03-02 16:30 Nöbetçi olay kaydını açtı, v3.2 kayıtları donduruldu 2028-03-03 11:00 Analiz: posta kodu özelliği aşırı ağırlık almış 2028-03-03 11:20 Nedensel bağ makul ölçüde olası, bildirim hazırlığı başladı 2028-03-03 15:00 Olay türü: temel hak ihlali, tek üye ülke, genel süre 2028-03-04 09:00 Eksik ilk rapor piyasa gözetim otoritesine gönderildi 2028-03-17 10:05 15 günlük üst süre doluyor
Çizelgeyi satır satır oku. İlk iki satır farkına varma anını yazılı olarak sabitler. Ekip ilk şikâyetin saatini seçti, çünkü daha geç bir an seçmek süreyi şişirir ve denetimde savunulamaz.
Üçüncü satır sınırlamayı ve delili birlikte korur. Kayıtlar dondurulur ama model henüz değiştirilmez.
Dördüncü ve beşinci satırlar nedensel bağın makul olasılığa ulaştığı anı gösterir. Bildirim bu andan sonra beklemez. Altıncı satır süreyi seçen satırdır. Olay, ayrımcılık yasağını koruyan kuralların ihlalidir ve tek üye ülkede kalır.
Yaygın ihlal olsaydı süre 2 güne inerdi. Yedinci satır eksik ilk raporu süre dolmadan gönderir. Son satır üst sınırı hesaplar ve olay müdahale planına bir alarm olarak girer.
Ceza tablosu öncelik sırasını hatırlatır. Yasaklı uygulama ihlalinde para cezası 35 milyon avroya ya da dünya cirosunun yüzde yedisine kadar çıkar. Yüksek riskli sistemlere ve şeffaflığa ilişkin yükümlülüklerin ihlalinde tavan 15 milyon avro ya da yüzde üçtür.
Otoriteye yanlış, eksik ya da yanıltıcı bilgi vermenin tavanı 7,5 milyon avro ya da yüzde birdir. Büyük şirkette iki tutardan yüksek olan, KOBİ'de düşük olan uygulanır. Bu maddeleri kendi ürününde sırayla uygula.
Önce Madde 15'in testini koş ve kanıtını sakla. Sonra Madde 50'nin bildirimini ekrana ve içeriğe koy. Kayıtların altı ayı karşıladığını doğrula. En son Madde 73'ün sürelerini olay müdahale planına yaz ve bir tatbikatla sına.
Etkinlik 5 / 6
Kritik altyapının işletiminde ciddi ve geri döndürülemez bir aksamaya yol açan olay, sağlayıcı olayın farkına vardıktan sonra en geç kaç gün içinde bildirilir?
Tahminini kaydır, sonra gönder.
Etkinlik 6 / 6
Doğru mu, yanlış mı?
Ciddi bir olayda süreyi karşılamak için eksik bir ilk rapor gönderilebilir, sonradan tamamlanabilir.
Derinleş:Yaygın ihlal ne demek
İki günlük kısa süreyi tetikleyen iki durumdan biri yaygın ihlaldir. Yasa bu kavramı iki biçimde tanımlar. Birinci biçimde ihlal, kişileri koruyan AB kurallarına aykırıdır ve en az iki başka üye ülkede yaşayan kişilerin ortak çıkarına zarar verir ya da verme olasılığı taşır. Buradaki başka üye ülke, ihlalin başladığı, sağlayıcının kurulu olduğu ya da kullanıcı kuruluşun bulunduğu ülkeden farklı bir ülkedir.
İkinci biçimde aynı işletmeci, aynı hukuka aykırı uygulamayı en az üç üye ülkede eş zamanlı sürdürür ve kişilerin ortak çıkarına zarar verir. Altay Finans örneğinde başvurular tek bir ülkeden geldiği için olay yaygın ihlal sayılmadı. Aynı model üç ülkede çalışsaydı ve aynı ayrımcı örüntü üçünde de görülseydi, süre 15 günden 2 güne inerdi. Bu yüzden olay müdahale planında ilk sorulardan biri etkilenen kişilerin hangi ülkelerde olduğudur.
Okumayı istediğin sırayla sürdürebilirsin. Ders, bütün etkinlikleri cevapladığında tamamlanır.