“Temel Haklar Etki Değerlendirmesi” (FRIA) nedir?
Temel Haklar Etki Değerlendirmesi (FRIA), AB AI Act (Madde 27) tarafından tanıtılan ve belirli yüksek riskli AI sistemlerinin dağıtıcılarının sistemi kullanıma sokmadan önce temel haklara potansiyel etkiyi değerlendirmesini gerektiren yeni değerlendirmedir. FRIA, AI Act‘in GDPR DPIA’sına paraleldir: AI sisteminin gerçek kişilere oluşturduğu risklerin yapılandırılmış, belgelenmiş analizidir; azaltma önlemleriyle.
FRIA ne zaman gerekir?
- Kamu hukukuna tabi kuruluşlar Annex III’te listelenen yüksek riskli AI sistemlerini dağıtır.
- Kamu hizmeti sağlayan özel kuruluşlar bu yüksek riskli sistemleri dağıtır.
- Bankalar ve sigorta şirketleri kredi puanlaması veya risk değerlendirmesi için yüksek riskli AI kullanır.
FRIA gerekli içerik
- AI sisteminin kullanıldığı dağıtıcı süreçlerinin tanımı.
- Sistem kullanım süresi ve sıklığı.
- Etkilenme olasılığı olan gerçek kişi ve grup kategorileri.
- Bu kategorilere yönelik spesifik zarar riskleri.
- İnsan denetim önlemlerinin tanımı.
- Bu risklerin gerçekleşmesi durumunda alınacak önlemler, yönetişim dahil.
FRIA vs. DPIA
- DPIA (GDPR Madde 35): veri koruma odaklı; işleme veri sahibi haklarına yüksek risk yarattığında gereklidir.
- FRIA (AI Act Madde 27): daha geniş temel haklar odağı; belirli dağıtıcılar tarafından kullanılan AI Act yüksek riskli sistemlere spesifiktir.
- İkisi bir arada olabilir; birçok kuruluş birleşik temel haklar + veri koruma değerlendirmesi yapacaktır.
Türk şirketleri için
Çıktısı AB’de kullanılan yüksek riskli yapay zekâ sistemlerini dağıtan Türk bankaları, sigorta şirketleri ve kamu hizmeti sağlayan özel kuruluşlar, AI Act Madde 27 kapsamına girdikleri ölçüde FRIA yapmak zorundadır. Türk hukukunda doğrudan bir eşdeğeri yoktur; KVKK genel bir veri koruma etki değerlendirmesi (DPIA) yükümlülüğü öngörmez, Madde 12 ise veri güvenliğine ilişkin teknik ve idari tedbirleri düzenler.
Yapın: FRIA’yı mevcut risk-değerlendirme iş akışlarına entegre edin; baştan belgeleyin ve önemli değişikliklerde güncelleyin.
Yapmayın: FRIA’yı tek seferlik uyum onay kutusu olarak görmeyin: sürekli operasyonel araçtır ve sistemle birlikte evrilmelidir.
FRIA: AI Yasası’nın haklar denetimi, DPIA’dan farklı
Temel Haklar Etki Değerlendirmesi (FRIA), AB Yapay Zekâ Yasası’nın yüksek riskli yapay zekâ sistemlerinin belirli kullanıcıları (deployer) için getirdiği bir yükümlülüktür. Böyle bir sistemi kullanıma almadan önce kullanıcı, sistemin insanların temel haklarını nasıl etkileyebileceğini değerlendirmelidir: kimin etkilendiği, risk kategorileri (ayrımcılık, hizmetlere erişim, adil yargılanma), mevcut insan-gözetimi tedbirleri ve bir şeyler ters gittiğinde ne olacağı dâhil. DPIA ile örtüşür ama aynı değildir: DPIA, veri koruma hukuku kapsamında kişisel-veri risklerine odaklanırken FRIA, AI Yasası kapsamında temel haklara daha geniş bakar. Yüksek riskli yapay zekâ kullanan kuruluşlar: sistemleri AB’de kullanılan AB-dışı şirketler dâhil: iki değerlendirmeyi birlikte yürütmeyi planlamalıdır; çünkü temeldeki analiz ve kanıtlar büyük ölçüde örtüşür.
Kaynak. (AB) 2024/1689 sayılı Yapay Zekâ Tüzüğü (AI Act); (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü (GDPR).