Anlaşma satın almada. Güvenlik incelemesi geçti, fiyat anlaşıldı. Sonra alıcının hukuk ekibi 40 soruluk bir “AI tedarikçi değerlendirmesi” gönderiyor. Satış temsilciniz tek satırla iletiyor: “hepsine evet diyebilir miyiz?” Hayır. Nasıl cevapladığınız, iki haftada mı kapanacağınızı yoksa bir çeyrek mi bekleyeceğinizi belirliyor. Ağustos 2026’dan beri AB teması olan her kurumsal alıcı bu anketin bir versiyonunu çalıştırıyor. Bunu evrak işi değil, ürün yüzeyi sayın.
Her anketin arkasındaki on iki soru
Markayı soyunca kurumsal AI değerlendirmeleri on iki talepte birleşir. (1) Sattığınız özelliğin AI Act rolü ve risk sınıfı. (2) Altta hangi temel modeller, hangi lisans veya API şartlarıyla. (3) Müşteri verisi sizin ya da tedarikçinizin herhangi bir modelini eğitiyor mu. (4) Çıkarım nerede ve KVKK/GDPR aktarım mekaniği. (5) Prompt ve çıktı saklama süreleri. (6) Madde 50 bildirimleri ve içerik işaretleme. (7) Sonuç doğuran kararlarda insan gözetimi noktaları. (8) Halüsinasyon ve doğruluk kontrolleri, metrikleriyle. (9) AI hataları için breach sürecinize bağlı olay müdahalesi. (10) AI zincirinin alt işleyici listesi. (11) Fikri mülkiyet duruşu: çıktı kimin, ihlal iddialarında tazminat kim de. (12) Hepsinin kanıtı; politikalar, loglar, test raporları.
Cevabı bir kez kurun: AI factsheet
Ölçekleyen hamle, bu on iki başlığı aynalayan, SOC 2 raporu gibi bakımı yapılan ve her anket cevabına eklenen iki sayfalık sürümlü bir AI factsheet’tir. Yol kuralları: asla “AI Act’e tam uyumluyuz” demeyin (anlamsız ve yanlışlanabilir bir cümle, onun yerine sınıflandırmanızı ve kontrollerinizi yazın). Mimari şemanızın ele verdiği model kullanımını inkâr etmeyin. Factsheet’i kamuya açık pazarlamanızla hizalayın, çünkü uyumsuzluk bir AI-washing delilidir. Dürüst cevap “henüz değil” ise “4. çeyrek yol haritasında” yazın. Alıcılar tarihi olan eksikleri, keşfedilen eksiklerden çok daha iyi karşılar.
Sırada gelecek AI maddelerinin pazarlığı
Alıcının metni şunları isteyecek: müşteri verisiyle eğitim yasağı (kabul edin; aynısını yukarıya, model tedarikçinize aynalayın), çıktı garantileri (mutlak doğruluk garantisine direnin; hizmet seviyesi ve düzeltme yükümlülüğü önerin), AI’a özgü tazminatlar (tavan koyun; alıcının verdiği veriyi kapsam dışına alın) ve denetim hakları (ham sistem erişimi yerine rapor ve sertifikaya yönlendirin). Kabul ettiğiniz her madde kendi tedarikçilerinize karşı icra edilebilir olmalı. AI sözleşmelerinin fark ettirmeden kırıldığı yer bu aşağı-akış kontrolüdür.
Soru–kanıt haritası
| Anket teması | Cevaplayan kanıt | Yoksa kırmızı bayrak |
|---|---|---|
| Rol ve risk sınıfı (1) | Özellik başına tek paragraflık sınıflandırma memosu | Analizsiz “AI Act bizi kapsamıyor” |
| Modeller, lisanslar, eğitimde kullanım (2–3) | Model envanteri + tedarikçi şartlarından alıntılar | Tedarikçi belgeleriyle çelişen ezber cevaplar |
| Veri konumu ve aktarımlar (4–5) | Veri akış şeması, standart sözleşme seti + bildirim makbuzu | İmzalanmış ama bildirilmemiş standart sözleşme |
| Şeffaflık ve gözetim (6–7) | Bildirimlerin arayüz görüntüleri; akıştaki gözetim noktaları | Yalnızca kullanım şartlarında yaşayan açıklamalar |
| Kalite ve olaylar (8–9) | Değerlendirme metrikleri, red-team özeti, olay runbook’u | Neyin AI olayı sayıldığının tanımsızlığı |
| Zincir, IP ve ispat (10–12) | Alt işleyici listesi, IP/tazminat pozisyonları, politika seti | Yukarı aynalanmadan aşağıda kabul edilmiş tazminatlar |
Bir pazarlık vinyeti
Yakın dönem anlaşmalardan gerçek bir kalıp: alıcının şablonu “AI çıktısından doğan her iddia” için tavansız tazminat istiyor. Tedarikçi düz ret yerine yapıyla karşılık veriyor; bedelle sınırlı, tedarikçinin kendi modelleri ve eğitimi üzerindeki üçüncü kişi IP iddialarını kapsayan tazminat; alıcının verdiği veri ve alıcının kurguladığı prompt’lar için açık istisna; sistematik çıktı hatalarını tanımlı sürede düzeltme taahhüdü. Alıcının hukuk ekibi tek turda kabul ediyor: gerçekte ihtiyaçları sınırsız sorumluluk değil, kendi risk komitelerine anlatacakları bir hikâyeydi. Çoğu AI maddesi restleşmesi aynı şekilde çözülür. Mutlak talebi fiilen yerine getirebileceğiniz operasyonel taahhüde çevirin, kalanı sözleşmeye fiyatlayın.
Yapay zekayı yalnızca içeride kullanıyorsak bunlara gerek var mı?
Hafif bir versiyonuna evet. Alıcılar tedarikçi risk incelemelerinde iç AI kullanımını da soruyor, çünkü copilot’unuzun onların verisine erişimi onların da problemi.
Factsheet’in sahibi kim olmalı?
Her sürümde hukuk incelemesi alan tek isimli bir sahip. Genellikle bugün güvenlik anketlerinin sahibi kimse o. Her model değişiminde güncellenir, kod gibi sürümleyin.
Bu haftanın ödevi
On iki başlıklı factsheet’i bu hafta kabaca da olsa yazın. Sonra (3) numaralı soruyu, yani müşteri verisi bir şey eğitiyor mu sorusunu, hafızadan değil, gerçek tedarikçi şartlarınızdan yazılı cevaplayın. O tek doğrulanmış cevap, her sertifikadan çok kurumsal anlaşma açar.
İlgili: AI tedarikçi sözleşmesi rehberi · Yapay Zeka Uyum Merkezi.
Yazar
Bu konu masanızdaysa
Kurucu Akademisi'nde şablonlar ve kontrol listeleri ücretsiz; spesifik bir durum için 30 dakikalık ön görüşme planlayabilirsiniz.
Kurucu AkademisiGörüşme planlayın