AI Act ve CRA: ürüne bakan düzenlemeler

AB Yapay Zekâ Yasası (kısa adıyla AI Act) ve Siber Dayanıklılık Yasası (kısa adıyla CRA), önceki derslerden farklı bir şeye bakar. İkisi de kuruluşu değil, ürünü ve sistemi hedef alır. AI Act, bir yapay zekâ sistemini kimin geliştirdiğine değil, sistemin Avrupa Birliği pazarına sürülüp sürülmediğine bakar. Sistemin çıktısının Birlik içinde kullanılıp kullanılmadığına da bakar. Bu yüzden Birlik dışında geliştirilen bir sistem bile kapsama girebilir. CRA ise dijital unsurlu ürün satan her üreticiyi hedef alır; yazılım içeren donanım ya da bağımsız yazılım bu tanıma girer. Üretici nerede olursa olsun, Birlik pazarına ürün soktuğu an kapsanır. İki düzenleme de CE işaretlemesine benzer bir mantıkla çalışır: pazara girmeden önce belirli güvenlik şartları karşılanır. Bu ortak yaklaşım, Birlik dışındaki üreticinin de pazara girmeden önce hazırlanmasını gerektirir.

AI Act, yapay zekâ sistemlerini riske göre dört kademeye ayırır. Kabul edilemez risk taşıyan uygulamalar tamamen yasaktır; toplu biyometrik izleme bunlardan biridir. Yüksek riskli sistemler, işe alım ya da kredi kararı gibi insan hakkını doğrudan etkileyen alanlarda çalışır. Bu sistemler sıkı belgeleme, test ve insan denetimi şartına bağlanır. Sınırlı riskli sistemler, kullanıcıyı bir yapay zekâyla konuştuğu konusunda bilgilendirme gibi şeffaflık yükümlülüğü taşır. Minimal riskli sistemler ek yükümlülük taşımaz. Kademeler yürürlüğe de farklı zamanlarda girer: yasaklar en erken, yüksek riskli sistem şartları en geç uygulanmaya başlar. Kademeler arasındaki geçiş, şirketlere hazırlanma süresi tanımak için kasıtlı olarak yavaş işler.