İsviçre'de kurumsal yapay zeka riskleri

İşletmelerde yapay zekadan kaynaklanan riskler tek tip değildir. Her birinin kendine özgü nedenleri, sonuçları ve kontrol araçları olan dört ayrı kategoriye ayrılırlar. Bu haritayı anlamak, herhangi bir dağıtım öncesinde atılacak ilk adımdır.

İsviçre'nin henüz yapay zekaya özgü bir yasası bulunmamaktadır. Benimsenen yaklaşım teknolojik tarafsızlık ilkesidir: mevcut yasalar uygulanır. Bu, üç hukuki mevzuatın işletmelerde yapay zeka kullanımını doğrudan düzenlediği anlamına gelir.

Yeni Federal Veri Koruma Kanunu (nLPD, Eylül 2023'te yürürlüğe girmiştir) yapay zeka tarafından gerçekleştirilen işlemler için doğrudan geçerlidir. Bu kanun; veri amacı ve kaynakları hakkında şeffaflık, yüksek risk durumlarında etki analizi ve otomatik kararlar üzerinde insan denetimi hakkı (nLPD madde 21) zorunluluklarını getirmektedir. Yaptırımlar 250'000 CHF'ye kadar ulaşabilir ve yöneticilerin kişisel sorumluluğunu doğurur.

Borçlar Kanunu (madde 41 CO), kullandığı bir yapay zeka sisteminin yol açtığı zararları telafi etme yükümlülüğünü işletme üzerine yükler. Sorumluluk sisteme değil, işletmeye aittir. Yapay zeka kusurlu bir bileşen olarak nitelendirilirse Federal Ürün Sorumluluğu Kanunu (LRFP) da uygulanabilir.

Mart 2024'te kabul edilen ve 2026'ya kadar aşamalı olarak yürürlüğe girecek olan Avrupa AI Yasası, Avrupa pazarında faaliyet gösteren veya yapay zeka sistemleri AB'de kullanılan İsviçreli işletmeleri doğrudan ilgilendirmektedir. Yapay zekaları dört risk düzeyine (kabul edilemez, yüksek, sınırlı, minimum) ayırır ve yüksek riskli sistemler için belgeleme, denetim ve CE işaretlemesi yükümlülükleri getirir.

Üretici yapay zeka istatistiksel olarak olası sonuçlar üretir; bunlar mutlaka doğru değildir. Modelin güvenle yanlış bilgi ürettiği halüsinasyon olgusu, mevcut tüm büyük modellerde belgelenmiştir. Profesyonel bağlamda bu durum; hatalı düzenlenmiş sözleşmeler, yanlış finansal analizler, hatalı müşteri yanıtları veya başarısız tıbbi kararlar olarak karşımıza çıkabilir.

Operasyonel bağımlılık çoğu zaman göz ardı edilen bir risktir. Kritik bir süreç tamamen harici bir tedarikçinin yapay zeka sistemine dayandığında, bir arıza, kullanım koşullarının değiştirilmesi veya fiyat artışı faaliyeti sekteye uğratabilir. Süreklilik planı olmaksızın bu kırılganlık yapısaldır.

Tarihsel veriler üzerinde eğitilmiş bir model bu verilerin önyargılarını devralır. İşe alım, kredi verme, sigorta fiyatlandırması veya performans değerlendirmesi bağlamında, önyargılı bir algoritma; zarar verme niyeti olmaksızın dahi İsviçre ve Avrupa hukuku anlamında ayrımcı kararlara yol açabilir.

Bu kararlar üzerindeki insan denetiminin yokluğu riski artırır: ayrımcılık süreçte görünmez, yalnızca sonuçlarda ortaya çıkar. İsviçre'de nLPD, bir kişi üzerinde önemli hukuki etkileri olan otomatik kararların insan denetimine tabi tutulması gerektiğini öngörmektedir.

Tüketici yapay zeka araçlarının büyük çoğunluğu (ChatGPT, Copilot, Gemini) verileri Amerika Birleşik Devletleri'ndeki sunucularda işler. Bir çalışan bu araçlara gizli bilgiler, müşteri verileri, ticari sırlar veya kişisel veriler girdiğinde bu veriler işletmenin sınırlarını ve potansiyel olarak İsviçre ile Avrupa yargı yetkisini terk eder.

Dünya genelindeki hesaplama gücü büyük ölçüde ABD'de yoğunlaşmaya devam etmekte ve Avrupa'yı Amerikalı hiper ölçekleyicilere yapısal biçimde bağımlı kılmaktadır. Bu gerçeklik özellikle finans, sağlık, sigorta ve kamu yönetimi gibi düzenlenmiş sektörlerdeki İsviçreli işletmelerin artık görmezden gelemeyeceği bir egemenlik riski yaratmaktadır.

Veri barındırma yalnızca bir konfor değil, güvenlik kriteridir. Hassas verileri AB dışına aktarmadan işlemeye olanak tanıyan Avrupa altyapısında barındırılan açık kaynaklı modeller dahil alternatifler mevcuttur.

Pek çok İsviçreli işletme yapay zekayı benimsemiştir; ancak strateji çoğu zaman geride kalmaktadır. Yönetişimsiz benimseme başlı başına bir risktir: kullanımlar koordinesiz biçimde çoğalır, sorumluluklar belirsiz kalır ve hangi verilerin hangi araçlarla paylaşılabileceğini tanımlayan bir çerçeve bulunmaz.

Tedarikçi bağımlılığı stratejik bir bağımlılık biçimidir. Bir işletmenin süreçleri özel bir yapay zeka aracına dayandığında, alternatife geçiş maliyetli, riskli ve teknik açıdan karmaşık hale gelir. Zamanla tedarikçi, işletmenin pazarlık gücünü aşındıran bir piyasa gücü elde eder.

Dahili yetkinlik eksikliği, yapılandırılmış bir benimsemenin önündeki başlıca engellerden biridir. KOBİ'ler genellikle kendi başlarına bir yapay zeka yönetişim ekibi oluşturamaz. Danışmanlık, eğitim veya teknik hizmet sağlayıcı biçimindeki dış destek, bir lüks değil risk azaltma faktörüdür.

İsviçre teknolojik tarafsızlık yaklaşımını benimsemektedir: tek bir yapay zeka yasası yoktur, mevcut sektörel yasalar uygulanır. Somut olarak 2025-2026'da aşağıdaki metinler işletmelerde yapay zeka kullanımı için doğrudan geçerlidir:

Federal Veri Koruma Kurumu (PFPDT), nLPD'nin herhangi bir belirsizlik olmaksızın yapay zeka tarafından gerçekleştirilen işlemler için doğrudan geçerli olduğunu teyit etmiştir. Kurum özellikle yüz tanıma, davranışsal gözetim ve otomatik sistemler tarafından hassas veri işleme vakalarını izlemektedir.

AB'ye maruz kalan işletmeler için AI Yasası ek bir düzenleyici katman oluşturmaktadır. Kabul edilemez risk düzeyine ilişkin ilk yasaklar Şubat 2025'te yürürlüğe girmiştir. Yüksek riskli sistemlere yönelik yükümlülükler Ağustos 2026'ya kadar aşamalı olarak uygulanacaktır.

Yapay zeka risk yönetimi her şeyi durdurmayı ya da tamamen yeniden yapmayı gerektirmez. Organizasyonun büyüklüğüne ve sektörüne orantılı, yapılandırılmış bir yaklaşım gerektirir. İşte İsviçreli uygulayıcılar tarafından belirlenen öncelikli adımlar.

Verilerini Amerikalı hiper ölçekleyicilere aktarmadan iş araçları, müşteri portalları, dahili yazılımlar veya yapay zeka ajanları dağıtmak isteyen İsviçreli işletmeler için Kleap, üç ilkeye dayanan bir yaklaşım sunar.

Birinci ilke: Avrupa altyapısı. Dağıtımlar, Hetzner (Almanya, ISO 27001 sertifikalı) ve verileri AB dışına çıkmayan ve üçüncü taraf modelleri eğitmek için yeniden kullanılmayan açık kaynaklı modeller üzerine kuruludur.

İkinci ilke: destek. Kleap bir araç satmaz; bir ekip tarafından teslim edilen bir sonuç önerir. Üç yol mevcuttur: ortak ajans Lionscreative aracılığıyla anahtar teslim yapım, uzman bir hizmet sağlayıcıyla eşleştirme veya rehberli modda Kleap Kurumsal dağıtımı.

Üçüncü ilke: izlenebilirlik. Dağıtılan yapay zeka sistemlerinin eylemleri denetlenebilirdir. Yöneticiler nLPD gerekliliklerine yanıt vermek ve AI Yasası uyumluluğu için hazırlanmak amacıyla kararları belgeleyebilir.