(Ü) A.Ş., üretim hattındaki kalite kontrolünde bir yapay zekâ sistemi kullanmaktadır. Sistem bir sağlayıcıdan temin edilmiş, şirketin süreçlerine bir entegratör tarafından uyarlanmıştır. Eğitim verisinin bir bölümü şirketin geçmiş kayıtlarından, bir bölümü ise grup içindeki başka bir şirketten gelmektedir. Sistemin kusurlu bir partiyi hatalı sınıflandırması üzerine ürün alıcıya sevk edilmiş ve (Ü) A.Ş. sözleşmeden doğan sorumlulukla karşılaşmıştır. Zarar sonrasında sağlayıcı sonuç garantisi vermediğini, entegratör yalnızca kurulum yaptığını, grup şirketi ise veriyi mevcut hâliyle paylaştığını ileri sürmektedir.
Bu görünümde ilk soru, zarardan kimin sorumlu olduğundan önce, kalite kararının hangi aşamada ve kimin kontrolünde oluştuğudur. Kontrol ve sorumluluk matrisi; teknik etkiyi, hukuki karar yetkisini ve zararın sonuçlarına katlanmayı birbirinden ayırarak bu soruyu proje kurulurken cevaplamayı amaçlar. İnceleme, matrisin Türk ortaklıklar hukuku bakımından nasıl kurulacağına ve hangi sınırlar içinde sonuç doğuracağına ilişkindir. Cezai sorumluluk, ürün sorumluluğu ve sektöre özgü doldurulmuş bir matris kapsam dışında bırakılmıştır.
Kontrol ve sorumluluk matrisi, bu soruyu zarar doğduktan sonra değil, proje kurulurken cevaplamayı amaçlayan bir tespit aracıdır. Bu yazıda matrisin hangi soruları birbirinden ayırdığını, Türk hukuku bakımından hangi sınırlar içinde çalıştığını ve neyi yapamadığını ele alıyorum. Belirli bir sektör için doldurulmuş örnek bir matris ile meselenin cezai ve ürün sorumluluğuna ilişkin boyutu bu yazının kapsamı dışındadır.
Rol Sıfatı ile Fiilî Kontrolün Ayrılması
Sağlayıcı, entegratör, kullanıma sunan veya veri sahibi gibi sıfatlar, bazı yükümlülüklerin belirlenmesinde hareket noktasıdır; ancak kararın nerede oluştuğunu tek başına göstermez. Nitekim KVKK m.3 uyarınca veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişidir. Kişisel Verileri Koruma Kurulunun 30.01.2020 tarihli ve 2020/71 sayılı kararı da işleme faaliyetinin “neden” ve “nasıl” yürütüleceğine ilişkin temel kararları esas alır. Dolayısıyla tarafların sözleşmede kullandıkları unvan, faaliyetin gerçek yapısıyla bağdaşmıyorsa hukuki sıfatı belirlemez.
Aynı ayrım ortaklıklar hukukundaki kontrol incelemesi için de geçerlidir. Bir tarafın pay sahipliği bulunmadığı hâlde eğitim verisini seçmesi, karar eşiğini belirlemesi veya modeli tek taraflı güncellemesi, şirket kararının teknik öncülleri üzerinde belirleyici etki kurabilir. Bununla birlikte teknik etki, kendiliğinden hukuki karar yetkisi anlamına gelmez. Sistem yalnızca bir çıktı üretir; kullanım amacını belirleyen, çıktıyı onaya bağlayan, öneriden ayrılma yetkisini düzenleyen ve sistemi durdurabilecek kişi veya organ ayrıca tespit edilmelidir. Bu nedenle sıfat listesi matrisin başlangıcıdır, kendisi değildir.
Matrisin satırları taraflara göre değil, karar noktalarına göre kurulmalıdır. Kullanım amacı, eğitim ve doğrulama verisi, eşik ve karar kuralları, model sürümü, insan onayı, sistem önerisinden ayrılma, olay bildirimi ve durdurma yetkisi ayrı satırlar oluşturur. Her satırda kararın öncülünü kimin hazırladığı, hukuki kararı kimin verdiği, unsuru kimin tek taraflı değiştirebildiği, değişikliği kimin görüp kaydettiği ve sonuca kimin katlandığı sorulur. Aynı ismin bütün sütunlarda yer alması gerekmez; aksine matris, bu işlevlerin ayrıştığı noktaları görünür kıldığı ölçüde değerlidir.
Sorumluluğun Hukuki Katmanları
İlk katman, yönetim kurulunun devredilemez görev ve yetkileridir. Şirketin üst düzeyde yönetimi ve buna ilişkin talimatların verilmesi, yönetim teşkilatının belirlenmesi ve yönetimle görevli kişilerin üst gözetimi TTK m.375/1-a, b ve e kapsamında yönetim kuruluna aittir. TTK m.367 uyarınca yönetim yetkisi iç yönergeyle devredilebilse de m.375’teki çekirdek alan devredilemez. Bu sebeple sağlayıcıya gözetim görevi yükleyen bir tedarik hükmü, yönetim kurulunun kanuni yükümlülüğünü ortadan kaldırmaz. Matriste bu alan, sözleşmeyle yeniden dağıtılabilecek bir risk kalemi olarak gösterilmemelidir.
İkinci katman, devredilebilen yönetim yetkisidir. Usulüne uygun bir devirde devreden organın sorumluluğu, devralanın seçiminde makul özen gösterilip gösterilmediğine göre sınırlandırılabilir (TTK m.553/2). Ancak yapay zekâ sistemi, kendisine hukuken talimat verilebilen ve sorumluluk yüklenebilen bir kişi değildir. Kanaatimizce sistemin fiilen belirleyici olması, tek başına yetki devri oluşturmaz ve m.553/2’deki sorumluluk sınırlamasını doğurmaz. Buna karşılık yetkinin sistemi kullanan birime devredildiği, sistemin de bu birimin karar destek aracı olarak kaldığı savunulabilir. Sonuç, iç yönergenin kapsamına ve insan onayının gerçek işlevine göre belirlenmelidir.
Üçüncü katman, taraflar arasındaki sözleşmesel risk dağılımıdır. Tazminat, rücu, bildirim ve sorumluluk sınırı hükümleri iç ilişkide sonuç doğurabilir; fakat kanundan kaynaklanan dış sorumluluğu kendiliğinden başka bir tarafa taşımaz. Ayrıca borçlunun ağır kusurundan sorumlu olmayacağını önceden kabul eden anlaşma TBK m.115/1 uyarınca kesin hükümsüzdür. Yardımcı kişinin fiilinden doğan sorumluluğun kaldırılması da TBK m.116’daki sınırlara tabidir. Kişisel veriler bir veri işleyen tarafından işlendiğinde veri sorumlusunun KVKK m.12/2 kapsamındaki veri güvenliği sorumluluğu da sözleşmeyle bertaraf edilemez.
Dördüncü katman, sözleşmede düzenlenmediği hâlde fiilen kullanılan etkidir. Örneğin sağlayıcının modeli şirketin bilgisi dışında güncelleyebilmesi durumunda hukuki yetki devredilmiş değildir; buna rağmen gözetimin konusu değişmiştir. Bu ihtimal yalnızca sözleşmeler okunarak tespit edilemez. Sürüm kayıtları, erişim yetkileri, bildirim akışı ve durdurma imkânı birlikte incelenmelidir. Böylece matris, kâğıt üzerindeki görev dağılımı ile sistemin gerçek işleyişi arasındaki boşluğu gösterir. Risk çoğu kez kararı teknik olarak şekillendiren taraf ile kararın hukuki ve ekonomik sonuçlarına katlanan tarafın farklı olduğu satırda birikir.
Kontrol Ölçütü ve Somut Uygulama
TTK m.553/3, hiç kimsenin kontrolü dışında kalan kanuna veya esas sözleşmeye aykırılıklar ya da yolsuzluklar nedeniyle sorumlu tutulamayacağını; bu sonucun gözetim ve özen yükümü ileri sürülerek etkisizleştirilemeyeceğini düzenler. Hükmün bağımsız bir sorumluluk sınırı getirip getirmediği öğretide tartışmalıdır: Bir görüş, hükmü kusur ve uygun illiyet bağının hatırlatılması olarak değerlendirirken diğer görüş üst gözetimin kapsamını sınırladığını kabul eder. Bununla birlikte her iki yaklaşım bakımından da kontrolün somut karar noktaları üzerinden tespiti gerekir. Kontrol edilemeyen durum ile kurulabilecek bir bilgi akışının hiç kurulmaması aynı değildir.
(Ü) A.Ş. örneğinde yönetim kurulu kullanım amacını belirlemiş, entegratör karar eşiğini yapılandırmış, sağlayıcı modeli güncellemiş ve kalite birimi sistem çıktısını ayrıca incelemeden sevk onayı vermiş olabilir. Bu durumda “kararı yapay zekâ verdi” açıklaması yeterli değildir. Model değişikliği bildirilmiyorsa sağlayıcının teknik kontrolü; eşiğin kabulü ve insan denetiminin yoğunluğu bakımından şirketin karar yetkisi; alıcıya karşı sorumlulukta ise dış ilişkinin kuralları ayrı değerlendirilir. Yönetim kurulunun sürüm bildirimi ve durdurma mekanizması talep etmemesi de TTK m.369’daki özen ile m.375’teki üst gözetim bakımından ayrıca incelenir. Matris, bu isnat zincirini tek bir rol adı altında kaybolmaktan korur.
Karşılaştırma amacıyla AB Yapay Zekâ Yasası’nın yaklaşımı da dikkate alınabilir. Tüzüğün 25. maddesi uyarınca yüksek riskli bir sisteme kendi adını veren, sistemde esaslı değişiklik yapan veya kullanım amacını sistemi yüksek riskli hâle getirecek biçimde değiştiren dağıtıcı, ithalatçı, kullanıma sunan ya da üçüncü kişi sağlayıcı sayılabilir. Bu düzenleme Türkiye’de doğrudan uygulanmaz ve TTK ile TBK’daki sorumluluk ölçütlerinin yerini tutmaz. Ancak rolün tarafların seçtiği etikete değil, üstlendikleri işleve göre değişebileceğini göstermesi bakımından matrisin işlevsel yaklaşımını destekler.
Matrisin Sınırı ve Sonuç
Kontrol ve sorumluluk matrisi tek başına bir uyum belgesi veya sorumluluktan kurtulma aracı değildir. Hukuki değeri; iç yönerge, tedarik ve veri sözleşmeleri, onay süreçleri, erişim kayıtları ve olay bildirim düzeniyle örtüştüğü ölçüde ortaya çıkar. Model, veri seti, entegratör veya kullanım amacı değiştiğinde matris de güncellenmelidir. Aksi hâlde belge yalnızca önceki bir tarihteki varsayımları gösterir; daha sakıncalısı, güncel kontrol yapısını yansıttığı izlenimini yaratabilir. Matris ayrıca müzakerenin konusunu belirginleştirir, fakat bir tarafın kabul etmediği risk dağılımını kendiliğinden kurmaz.
Sonuç olarak yapay zekâ kullanılan bir ortaklıkta sorumluluk, yalnızca sözleşmedeki rol adlarından hareketle belirlenemez. Önce veri, model, erişim, talimat, nihai onay ve durdurma yetkilerinin hangi karar noktasında kimde bulunduğu tespit edilmelidir. Ardından devredilemez organ görevleri, usulüne uygun yetki devri, sözleşmesel rücu düzeni ve fiilî teknik etki birbirinden ayrılmalıdır. (Ü) A.Ş. bakımından eksik olan, yeni bir taraf sıfatı değil; üç ayrı sözleşmenin hiçbirinde açıkça cevaplanmayan tek bir satırdır: Kalite kararının hangi aşamada ve kimin kontrolünde oluştuğu.
Alan haritasındaki yeri. Bu yazı, alan haritasında şu sorulara cevap veriyor:
- Yetki devri hükümleri, devralanın insan olmadığı hâlde uygulanabilir mi?
- Sisteme duyulan güven sorumluluğu (TTK m.553) kaldırır mı; kaldırmıyorsa hangi gözetim yükümlülüğü doğar?
- Sağlayıcı, kullanıma sunan, entegratör ve dağıtıcı sıfatları grup içi ve beyaz etiket yapılarda nasıl belirlenir?
Kaynaklar: 6102 sayılı Türk Ticaret Kanunu m.367, m.369, m.375, m.553 · 6098 sayılı Türk Borçlar Kanunu m.115, m.116 · 6698 sayılı Kişisel Verilerin Korunması Kanunu m.3, m.12 · Kişisel Verileri Koruma Kurulu, 30.01.2020 tarihli ve 2020/71 sayılı karar · (AB) 2024/1689 sayılı Tüzük m.3, m.25 · (AB) 2026/1744 sayılı Tüzük