Karar alma süreçlerinin otomasyonu ve yasalarla uyumluluğu

Yapay zekâ destekli yüz tanıma teknolojisi geliştiren Clearview AI, geçtiğimiz gün Birleşik Krallık'ın Bilgi Teknolojileri ve İletişim Kurumu'na (BTK) karşılık gelen düzenleyicisi tarafından 7,55 milyon sterlin para cezasına çarptırıldı. Kurum aynı zamanda şirketin yeni veri toplamasını yasaklayarak elindekileri de silmesi gerektiğine hükmetti. Cezaya konu olan durumsa Clearview AI'ın elindeki veriyi sosyal medya üzerindeki herkese açık profillerde yapılan paylaşımlardan toplamasıydı.

Peki internette hâlihazırda kolayca erişilebilen ve zaten herkesin erişimine açık olan paylaşımları derleyerek işlemek neden yasal değil?

Veri işleme otomasyonları

Makine öğrenimi ve yapay zekâ destekli karar alma süreçleri kurumsal hayatın bir parçası haline geldi. O denli ki, Signal AI’ın pandeminin başlarında yürüttüğü bir araştırmanın sonuçlarına göre kurumsal şirketlerin %79’u karar vermede olağan bir şekilde yapay zekâdan faydalanıyor. 

Signal AI’ın 500 ve daha çok çalışana sahip şirketlerin üst düzey yönetim kadroları arasında gerçekleştirdiği araştırma, karar vermede şirketleri en çok zorlayan şeylerin başında %44 ile başa çıkılamayacak büyüklükte bir veri seti geliyor. Bunu %21 ile zamanın kısıtlı olması takip ediyor. Yapay zekâyı karar alma süreçlerine dahil etmeyen ABD merkezli şirketlerin yılda 4.26 trilyon dolar gelirden olduğunu savunan araştırma, Fortune 500 şirketlerinin gelirlerinin 2.84 trilyon dolarının aldıkları doğru kararlarla ilişkili olduğunu ortaya koyuyor.

Peki işe alımlardan performans yönetimine, kredi skoru hesaplamadan müşteri profillemeye otomasyon ile yürütülen birçok süreç, yasal mevzuata ne sıklıkla uyumluluk taşıyor?

Görünen o ki, pek sık değil.

Her işin başı rıza

Veri gizliliğine odaklanan ABD merkezli Future of Privacy Forum isimli düşünce kuruluşunun yayımladığı rapora göre karar alma mekanizmalarının otomasyonu büyük çoğunlukla sallantılı bir yasal zeminde hareket ediyor.

Avrupa Birliği’nin Genel Veri Koruma Yönetmeliği (GDPR) veri toplama yöntemlerinden, kullanım amaçlarına ve veriyi işleme şekline kadar bir dizi düzenlemeyi içerisinde barındırıyor. Buna göre otomasyonla işlenecek veriyi toplarken kullanıcılardan bu yönde açıkça rıza almak gerekiyor.

Ancak bu da yeterli değil.

Şeffaflık şart

Rıza alınırken paylaşılan bilgilendirme metninde otomasyon süreçlerinin veriyi nasıl işlediğini şeffaf biçimde açıklaması da gerekiyor. Zaten birçok karar verme otomasyon yazılımı da burada çuvallıyor. Zira yapay zekâ destekli yazılımlar genelde birer ticari sır olarak sakladıkları süreçleri şeffaf biçimde paylaşmıyor.

Üstüne üstlük bu gereksinimler kuralın ruhuna uymaktan ibaret değil. GDPR’ın 22. maddesinde bu durum açıkça belirtiliyor: 

“Veri sahibinin kendisi ile ilgili hukuki sonuçlar doğuran veya benzer biçimde kendisini kayda değer şekilde etkileyen profil çıkarma da dahil olmak üzere yalnızca otomatik işleme faaliyetine dayalı bir karara tâbi olmama hakkı bulunur.”

Kısacası herhangi bir karar verme otomasyonu kurgularken kişisel verileri işlemeden önce açık rıza almak, verinin ne amaçla toplandığını belirtmek ve süreci şeffaf bir biçimde aktardığımızdan emin olmak gerekiyor.