“Açık kaynak model kullanıyoruz, AI Act bize uygulanmaz.” Yapay zeka due diligence görüşmelerimizin yarısında bu cümlenin bir türevini duyuyoruz ve cümle iki açıdan yanlış: istisna, kurucuların sandığından daha dar ve koruduğu kişi, model üzerine ürün geliştirip satan şirket değil, modeli yayımlayan.
Açık kaynak istisnası gerçekte ne diyor?
AI Act, özgür ve açık kaynak lisanslarla yayımlanan yapay zekayı düzenlemenin bazı bölümlerinden muaf tutar; ancak bu muafiyetin sınırları kesindir. Sistem bir yasaklı uygulama ise, yüksek riskli sayılıyorsa ya da Madde 50 kapsamındaki şeffaflık yükümlülüklerine tabiyse istisna uygulanmaz. GPAI modellerinde açık ağırlıklı model yayımlayanlar, bazı dokümantasyon yükümlülüklerinden ancak model gerçekten açıksa (parametreler, mimari ve kullanım bilgileri kamuya açıksa) ve modelden gelir elde edilmiyorsa kurtulur; sistemik risk taşıyan modeller için ise hiçbir istisna yoktur. Kısacası istisna, modeli kullananları değil, çoğunlukla modeli yayımlayanları rahatlatır.
Aslında açık olmayan “açık” lisanslar
Popüler “açık” modellerin çoğu, kabul edilebilir kullanım kısıtlamaları ve ticari koşullar içeren kendine özgü lisanslarla sunulur; düzenleyicilerin ve hukukçuların bunları kanuni anlamda özgür ve açık kaynak saymamasının nedeni de tam olarak budur. Etikete güvenmeden önce üç hükmü okuyun: kabul edilebilir kullanım politikası (kullanım senaryonuz bunun içinde kalıyor mu?), yeniden dağıtım ve türev eser koşulları (ince ayar yapılmış bir versiyonu dağıtabilir misiniz?) ve tazminat boşluğu. Topluluk lisanslarında model hata yaptığında başvurabileceğiniz kimse yoktur; riskin tamamı kendi ürün sorumluluk sigortanıza ve sözleşmelerinize kalır.
Yükümlülükleriniz azalmaz, kontrolünüz artar
Açık ağırlıklı bir modeli kendi altyapınızda çalıştırmak, veri koruma açısından gerçekten avantaj sağlar: prompt’lar sistemlerinizin dışına çıkmaz, yurt dışına aktarım mekanizmasına gerek kalmaz, tedarikçiye telemetri gitmez. Ancak ürün düzeyindeki her yükümlülük (şeffaflık bildirimleri, risk sınıflandırması, olay müdahalesi, KVKK kapsamındaki hukuki sebepler) kapalı bir API kullanıyor olsaydınız nasıl olacaksa aynen size düşer. Bir Türk startup’ı için doğru değerlendirme şu: açık ağırlıklar, tedarikçi riskinin yerine operasyonel sorumluluk getirir ve AI Act, ürün piyasaya çıkarken her iki durumda da aynı yükümlülükleri yükler.
Lisans türleri ve neye güvenebileceğiniz
| Lisans türü | Örnek | AI Act açısından açık kaynak sayılır mı? | Ticari açıdan durum |
|---|---|---|---|
| Gerçek FOSS lisansları | Apache-2.0, MIT lisanslı ağırlıklar | İstisna model katmanında uygulanabilir (sistemik risk yoksa / gelir elde edilmiyorsa) | Tazminat yok, destek yok; risk sizde |
| Topluluk lisansları | Kabul edilebilir kullanım kısıtlaması içeren “açık ağırlıklı” modeller | Kanuni anlamda çoğunlukla özgür ve açık kaynak DEĞİL | Sözleşmedeki kısıtlamalar ürün yol haritanızı sınırlar |
| API koşulları | Barındırılan kapalı modeller | İstisna söz konusu değil | Kurumsal koşullar müzakere edilebilir, tazminat alınabilir |
Sağlayıcı konumuna geçip geçmediğinizi anlamak için dört soru
Kullanıcı (deployer) konumundan sağlayıcı konumuna geçip geçmediğinizi, dürüstçe cevaplanan dört soruyla anlayabilirsiniz. Modelin, yayımlayan tarafından belgelenmiş kullanım amacını değiştirdiniz mi? Modele, yeteneklerini veya risk profilini esaslı biçimde değiştirecek şekilde ince ayar yaptınız mı (yeni bir alan, yeni bir modalite, kaldırılmış güvenlik davranışları)? Sistemi kendi adınız veya markanızla, kendi ürününüz olarak mı pazarlıyorsunuz? Makul bir alıcı bu yapay zekanın size ait olduğunu düşünür mü? İki veya daha fazla “evet” cevabı, planlama açısından sizi sağlayıcı konumuna yerleştirir; bu da dokümantasyon, şeffaflık ve Aralık 2027’den itibaren Ek III kapsamındaki alanlarda yüksek riskli sistemlere ilişkin yükümlülüklerin tamamı demektir. Cevapları tarihleriyle birlikte yazıya dökün; bu memo bir saatinizi alır ve alıcılar, sigortacılar ve otoritelerle yapacağınız sonraki tüm görüşmelerde dayanak noktanız olur.
Açık bir modeli kendimiz barındırırsak “sağlayıcı” olur muyuz?
Değiştirilmemiş ağırlıkları kendi ürününüz için çalıştırmak, sizi genellikle sistem düzeyinde kullanıcı (deployer) ve piyasaya sürdüğünüz sistemin sağlayıcısı yapar; esaslı değişiklik yapmanız ya da modeli kendi markanızla sunmanız, sizi model katmanında da sağlayıcı konumuna getirebilir. Sınıflandırmayı lansmandan sonra değil, önce yapın.
Lisansı sektörümüzü yasaklayan bir modelin üzerine ürün geliştirebilir miyiz?
Hayır. Kabul edilebilir kullanım hükümleri sözleşme hükmüdür; bunların ihlali, düzenleyici riskinizin üzerine bir de sözleşmesel sorumluluk ekler ve due diligence sırasında fikri mülkiyet zincirinizi sorunlu hale getirebilir.
Bu hafta yapılması gerekenler
Kullanımdaki her model için üç belgeyi dosyalayın: lisansın tam metni (sürümüyle birlikte), tek paragraflık bir sınıflandırma memosu (yasaklı/yüksek riskli/şeffaflık/asgari risk) ve “bir sorun çıktığında kimi arayacağız?” sorusunun cevabı. Üçüncü sorunun cevabı “hiç kimse” ise, sigortanızın bu boşluğu karşılayıp karşılamadığını kontrol edin.
İlgili: AI Office · Yapay Zeka Uyum Merkezi.
Kaynak. (AB) 2024/1689 sayılı Yapay Zekâ Tüzüğü (AI Act).
