Anlaşma satın alma aşamasında. Güvenlik incelemesi tamamlandı, fiyatta uzlaşıldı. Derken alıcının hukuk ekibi 40 soruluk bir “yapay zeka tedarikçi değerlendirmesi” gönderiyor. Satış temsilciniz tek bir satırla iletiyor: “Hepsine evet diyebilir miyiz?” Diyemezsiniz. Üstelik bu soruları nasıl cevapladığınız, anlaşmanın iki haftada mı kapanacağını yoksa bir çeyrek boyunca mı askıda kalacağını belirliyor. Ağustos 2026’dan bu yana AB ile bağlantısı olan her kurumsal alıcı bu anketin bir benzerini kullanıyor. Bunu sıradan bir evrak işi olarak değil, ürününüzün bir parçası olarak ele alın.
Her anketin arkasındaki on iki soru
Şirketten şirkete değişen ambalajı bir kenara bırakırsanız, kurumsal yapay zeka değerlendirmeleri on iki temel talebe indirgenir. (1) Sattığınız özelliğin AI Act kapsamındaki rolü ve risk sınıfı. (2) Altyapıda hangi temel modellerin, hangi lisans ya da API şartlarıyla kullanıldığı. (3) Müşteri verisinin sizin veya tedarikçinizin herhangi bir modelini eğitmek için kullanılıp kullanılmadığı. (4) Çıkarımın nerede yapıldığı ve KVKK/GDPR kapsamında aktarımların nasıl gerçekleştiği. (5) Prompt ve çıktıların saklama süreleri. (6) Madde 50 bildirimleri ve içerik işaretleme. (7) Sonuç doğuran kararlarda insan gözetiminin devreye girdiği noktalar. (8) Halüsinasyon ve doğruluk kontrolleri ile bunların metrikleri. (9) Yapay zeka hataları için veri ihlali sürecinize bağlanmış olay müdahalesi. (10) Yapay zeka zincirindeki alt işleyicilerin listesi. (11) Fikri mülkiyet konusundaki tutumunuz: çıktı kime ait, ihlal iddialarında tazminatı kim üstleniyor. (12) Bütün bunların kanıtı; politikalar, kayıtlar, test raporları.
Cevabı bir kez hazırlayın: AI factsheet
Ölçeklenebilir çözüm, bu on iki başlığı birebir izleyen, SOC 2 raporu gibi düzenli güncellenen ve her anket cevabına eklenen iki sayfalık, sürüm numaralı bir AI factsheet’tir. Uymanız gereken bazı temel kurallar var: Hiçbir zaman “AI Act’e tam uyumluyuz” demeyin (bu hem anlamsız hem de çürütülebilir bir cümledir; bunun yerine sınıflandırmanızı ve kontrollerinizi yazın). Mimari şemanızdan anlaşılan bir model kullanımını inkâr etmeyin. Factsheet’i kamuya yönelik pazarlama içeriklerinizle tutarlı tutun, çünkü ikisi arasındaki her çelişki bir AI-washing delili olur. Dürüst cevap “henüz değil” ise “4. çeyrek yol haritasında” diye yazın. Alıcılar, tarihi belli eksiklere, sonradan ortaya çıkan eksiklerden çok daha anlayışla yaklaşır.
Sıradaki adım: yapay zeka maddelerinin pazarlığı
Alıcının sözleşme taslağında şu talepleri görmeyi bekleyin: müşteri verisiyle model eğitme yasağı (kabul edin; aynı taahhüdü model tedarikçinizden de alın), çıktı garantileri (mutlak doğruluk garantisi vermeyin; hizmet seviyesi ve düzeltme yükümlülüğü önerin), yapay zekaya özgü tazminatlar (üst sınır koyun; alıcının sağladığı veriyi kapsam dışında bırakın) ve denetim hakları (doğrudan sisteme erişim yerine raporlara ve sertifikalara yönlendirin). Kabul ettiğiniz her maddeyi kendi tedarikçilerinize karşı da ileri sürebilmeniz gerekir. Yapay zeka sözleşmeleri çoğunlukla, fark edilmeden, bu yükümlülüklerin tedarikçiye aktarılmadığı noktada çöker.
Soru ve kanıt eşleştirmesi
| Anketteki konu | Cevap olarak sunulacak kanıt | Eksikse ortaya çıkan risk |
|---|---|---|
| Rol ve risk sınıfı (1) | Her özellik için tek paragraflık sınıflandırma notu | Hiçbir analize dayanmayan “AI Act bizi kapsamıyor” cevabı |
| Modeller, lisanslar, eğitimde kullanım (2–3) | Model envanteri ve tedarikçi şartlarından alıntılar | Tedarikçi belgeleriyle çelişen, hafızadan verilmiş cevaplar |
| Veri konumu ve aktarımlar (4–5) | Veri akış şeması, standart sözleşme seti ve bildirim alındısı | İmzalanmış ama Kurum’a bildirilmemiş standart sözleşme |
| Şeffaflık ve gözetim (6–7) | Bildirimlerin arayüz ekran görüntüleri; süreçteki gözetim noktaları | Yalnızca kullanım şartlarında yer alan açıklamalar |
| Kalite ve olaylar (8–9) | Değerlendirme metrikleri, red-team özeti, olay müdahale el kitabı | Neyin yapay zeka olayı sayılacağına dair bir tanımın olmaması |
| Zincir, fikri mülkiyet ve ispat (10–12) | Alt işleyici listesi, fikri mülkiyet/tazminat tutumu, politika seti | Müşteriye verilip tedarikçiden karşılığı alınmamış tazminatlar |
Bir pazarlık örneği
Son dönemdeki anlaşmalarda sık görülen bir durum: Alıcının şablonu, “yapay zeka çıktısından doğan her türlü talep” için üst sınırı olmayan bir tazminat istiyor. Tedarikçi bunu düpedüz reddetmek yerine yapılandırılmış bir karşı teklif sunuyor: ödenen bedelle sınırlı ve tedarikçinin kendi modelleri ile eğitim süreci hakkındaki üçüncü kişi fikri mülkiyet taleplerini kapsayan bir tazminat; alıcının sağladığı veri ve alıcının kurguladığı prompt’lar için açık bir istisna; sistematik çıktı hatalarını belirli bir süre içinde düzeltme taahhüdü. Alıcının hukuk ekibi teklifi ilk turda kabul ediyor, çünkü asıl ihtiyaçları sınırsız sorumluluk değil, kendi risk komitelerine sunabilecekleri makul bir gerekçeydi. Yapay zeka maddelerindeki tıkanıklıkların çoğu bu şekilde çözülür. Mutlak talebi, fiilen yerine getirebileceğiniz operasyonel bir taahhüde dönüştürün; geri kalan riski de sözleşme bedeline yansıtın.
Yapay zekayı yalnızca şirket içinde kullanıyorsak bunlara gerek var mı?
Daha hafif bir versiyonuna evet. Alıcılar tedarikçi risk incelemelerinde şirket içi yapay zeka kullanımını da giderek daha çok soruyor, çünkü kullandığınız copilot’un onların verisine erişebilmesi onları da ilgilendiriyor.
Factsheet’ten kim sorumlu olmalı?
Her yeni sürümde hukuki incelemeden geçiren, adı belli tek bir sorumlu. Bu kişi genellikle bugün güvenlik anketlerini yöneten kişidir. Belge her model değişikliğinde güncellenir, bu yüzden onu da kod gibi sürümleyin.
Bu hafta yapılacaklar
On iki başlıklı factsheet’in ilk taslağını, kaba da olsa, bu hafta hazırlayın. Ardından (3) numaralı soruyu, yani müşteri verisinin herhangi bir modeli eğitip eğitmediğini, hafızanıza göre değil, tedarikçilerinizle yaptığınız sözleşmelerin gerçek şartlarına bakarak yazılı olarak cevaplayın. Doğrulanmış bu tek cevap, kurumsal anlaşmaların önünü herhangi bir sertifikadan daha fazla açar.
İlgili: yapay zeka tedarikçi sözleşmesi rehberi · Yapay Zeka Uyum Merkezi.
Kaynak. (AB) 2024/1689 sayılı Yapay Zekâ Tüzüğü (AI Act); 6698 sayılı Kişisel Verilerin Korunması Kanunu; (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü (GDPR). Kanun bağlantıları mevzuat.gov.tr üzerindeki güncel resmî metinlere gider.
