AI Act cezaları: 500 milyon avro eşiği ne anlama geliyor?
AI Act’teki para cezalarında sabit tutar mı, ciro yüzdesi mi uygulanıyor? Eşik hesaplarını, KOBİ istisnasını ve yüksek riskli sistemleri açıklıyoruz.
👁 116 okunma
2024/1689 sayılı Yapay Zekâ Tüzüğü, yaygın adıyla AI Act, 2 Ağustos 2025’ten itibaren para cezalarına ilişkin hükümleriyle uygulanıyor. Haberlerde sıkça “35 milyon avroya veya küresel cironun yüzde 7’sine kadar” deniyor. Bu ifade, hangi tutarın geçerli olacağını tek başına açıklamıyor. Bu yazıda ceza eşiklerini ve sabit tutarla ciro yüzdesinin hangi noktada birbirini aştığını hesaplıyorum.
En yüksek ceza eşiği, 5. maddede yasaklanan uygulamalar için geçerli. Sosyal puanlama, kamusal alanlarda gerçek zamanlı uzaktan biyometrik tanımlama ve iş yerleriyle okullarda duygu tanıma bunlar arasında. 99. maddenin 3. fıkrası, 35 milyon avro veya toplam yıllık küresel cironun yüzde 7’sinden hangisi daha yüksekse o tutarı öngörüyor. 35 milyon avro, yaklaşık 39,8 milyon ABD dolarıdır. İkinci eşik, 4. fıkrada yer alıyor ve yüksek riskli sistemlerin sağlayıcılarıyla bu sistemleri kullananların yükümlülüklerini ihlal etmesini kapsıyor: 15 milyon avro veya cironun yüzde 3’ü. 15 milyon avro yaklaşık 17,1 milyon ABD dolarıdır. Üçüncü eşik, yetkili makamlara yanlış bilgi verilmesiyle ilgili: 7,5 milyon avro veya cironun yüzde 1’i. 7,5 milyon avro yaklaşık 8,5 milyon ABD dolarıdır.
Yüzdeye dayalı ceza hangi ciroda sabit tutarı aşar?
Hesaplamanın sonucu basit: Yetkili makam iki tutardan yüksek olanı esas aldığı için, yüzdeye dayalı cezanın sabit tutarı aşması ancak cironun yüzde 7’si 35 milyon avroyu geçtiğinde mümkün. 35’i 0,07’ye böldüğümüzde 500 milyon avro yıllık küresel ciro eşiğine ulaşırız. Bu, yaklaşık 568,8 milyon ABD dolarıdır. İkinci eşikte de hesap aynı: 15’i 0,03’e bölünce yine 500 milyon avro çıkar. Üçüncü eşikteyse 7,5’i 0,01’e bölmek 750 milyon avro sonucunu verir. Bu eşik yaklaşık 853,2 milyon ABD dolarıdır.
Bunun anlamı şu: Yıllık küresel cirosu 500 milyon avronun altındaki bir şirket için ilk iki ihlalde sabit ceza tutarı, ciro yüzdesinden yüksek olur. Üçüncü ihlal türünde sabit tutarın aşılması içinse cironun 750 milyon avroyu geçmesi gerekir.
Ancak aynı maddenin özetlerde çoğu zaman atlanan 6. fıkrası, KOBİ’ler ve girişimler için farklı bir kural getiriyor. Üç ihlal kategorisinin her birinde ceza, yüzde veya sabit tutardan düşük olanla sınırlı. Örneğin yıllık cirosu 40 milyon zloti, yani yaklaşık 10,6 milyon ABD doları olan bir işe alım şirketi yüksek riskli sistemlere ilişkin yükümlülükleri ihlal ederse, standart hesapta 15 milyon avroluk ceza gündeme gelebilir. KOBİ kuralında ise cironun yüzde 3’ü esas alınır: 1,2 milyon zloti, yaklaşık 317 bin ABD doları. İki hesap arasındaki fark yaklaşık 53 kattır. Yasaklanmış bir uygulamada aynı şirket için cironun yüzde 7’si 2,8 milyon zlotiye, yani yaklaşık 741 bin ABD dolarına karşılık gelir; bu tutar 35 milyon avroluk sabit cezadan düşüktür.
AI Act’e göre hangi sistemler yüksek riskli sayılıyor?
III. ekin kapsamı sınırlı ve bazı başlıkların düşündürdüğünden daha dar. İstihdam alanında işe alım için kullanılan sistemler - özellikle hedefli ilan yayımlama, başvuruları analiz etme ve filtreleme, adayları değerlendirme - bu kapsama giriyor. Terfi ve iş sözleşmesini sona erdirme kararları, davranışa veya kişisel özelliklere göre görev dağıtımı, çalışanların performansını izleme ve değerlendirme sistemleri de listede. Finans alanında ise finansal dolandırıcılığı tespit eden sistemler hariç olmak üzere gerçek kişilerin kredi değerliliğini değerlendiren sistemler ile hayat ve sağlık sigortasında risk değerlendirme ve fiyatlandırma sistemleri yer alıyor.
Örneğin bir işe alım şirketindeki otomatik özgeçmiş sıralama aracı yüksek riskli olabilir. Bireysel müşterilere kredi veren bir şirketteki puanlama modeli de bu kapsama girebilir. Destek taleplerini yanıtlarken çalışma süresini ölçüp prim dağıtan bir sistem, çalışan performansını değerlendiriyorsa yine bu kategoride olabilir. Buna karşılık iş ilanı yazmak için kullanılan ChatGPT, sosyal medya görseli oluşturan bir araç veya e-postaları özetleyen asistan bu nedenle kendiliğinden yüksek riskli sayılmaz. Belirleyici olan kullanılan teknoloji değil, sistemin işlevidir.
“KOBİ’ler ve girişimler için bu maddede belirtilen para cezaları, 3., 4. ve 5. fıkralarda belirtilen yüzde veya tutarları aşamaz; bu iki değerden düşük olan uygulanır.” - 2024/1689 sayılı Tüzük, 99. madde 6. fıkra; Lehçe metnin Türkçe çevirisi
AI Act’in hangi hükümleri ne zaman uygulanıyor?
Para cezalarına ilişkin hükümler Ağustos 2025’ten beri uygulanıyor. III. ekteki yüksek riskli sistemlere ilişkin yükümlülüklerin başlangıç tarihi ise 2 Ağustos 2026. 5. maddedeki yasaklanmış uygulamalar ve personelin yapay zekâ okuryazarlığını sağlama yükümlülüğü 2 Şubat 2025’ten beri yürürlükte. Tüzüğün 4. maddesindeki bu yükümlülük, çalışanlarına işte yapay zekâ araçları sağlayan her kuruluşu ilgilendiriyor: Çalışanların bu araçları ve olası risklerini anlayarak kullanabilmesi için gerekli adımlar atılmalı.
GDPR ve SCHUFA kararı otomatik kararlar için neden önemli?
Özgeçmişleri bir algoritmayla eleyen şirketler, bugün de GDPR’nin 22. maddesini dikkate almalı. Bu madde, hukuki sonuç doğuran veya kişiyi benzer ölçüde önemli biçimde etkileyen kararların yalnızca otomatik veri işlemeye dayanarak alınmasını sınırlar. Kişi, insan müdahalesi talep etme, kendi görüşünü bildirme ve karara itiraz etme hakkına sahip olabilir. GDPR kapsamındaki azami cezalar 20 milyon avro veya cironun yüzde 4’üdür; 20 milyon avro yaklaşık 22,8 milyon ABD dolarıdır.
Avrupa Birliği Adalet Divanı, Aralık 2023 tarihli C-634/21 (SCHUFA) kararında, bir kredi bilgi kuruluşunun puan üretmesinin, puanı alan taraf uygulamada bu puana dayanarak hareket ediyorsa, GDPR’nin 22. maddesi anlamında otomatik karar sayılabileceğine hükmetti.
Google · KaynaklarınızParıldak'ı Google'ınızda üst sıralara taşıyın - tek tıklaTercih ettiğiniz kaynaklara ekleyin →Şirketinizde AI Act için bu hafta neler yapabilirsiniz?
İşe bir envanter çıkararak başlayın. Bir algoritmanın insanlar hakkında kararları etkilediği alanları listeleyin: işe alım, terfi, prim, işten çıkarma, kredi verme veya sigorta primi belirleme. Yapay zekâ yalnızca metin yazmak ve görsel hazırlamak için kullanılıyorsa, bu kullanım tek başına yüksek riskli sistem rejimine girmez. Bir karar sürecini etkiliyorsa, araç sağlayıcısıyla yaptığınız sözleşmeyi inceleyip tüzük açısından sistemin sağlayıcısının kim olduğunu belirleyin. 26. maddedeki kullanıcı yükümlülükleri, 16. maddedeki sağlayıcı yükümlülüklerinden daha sınırlıdır. Kullanıcı yükümlülükleri arasında insan gözetimi, kayıtların en az altı ay saklanması ve sistem devreye alınmadan önce çalışanların ve temsilcilerinin bilgilendirilmesi bulunur.
İkinci olarak, yapay zekâ okuryazarlığı eğitiminizi belgeleyin. 4. madde sertifika veya dışarıdan hizmet alınmasını zorunlu kılmıyor; gerekli adımların atılmasını istiyor. Şirket içi eğitim notu, katılım listesi ve kullanılan materyaller, yükümlülüğü yerine getirdiğinizi gösterebilir.
Üçüncü olarak, müşteri görüşmeleri sırasında çalışanların duygularını ölçen bir araç kullanıyorsanız bunu kapatın. İş yerinde duygu tanıma, yüksek riskli kullanım değil, 5. madde kapsamında yasaklanmış bir uygulamadır. Cirosu 40 milyon zloti, yani yaklaşık 10,6 milyon ABD doları olan bir KOBİ için cironun yüzde 7’si yaklaşık 2,8 milyon zlotiye, başka bir deyişle 741 bin ABD dolarına denk gelir. Bu hesap, yasaklanmış uygulamanın KOBİ’lere ilişkin düşük tutar kuralıyla birlikte değerlendirilmesi gerektiğini değiştirmez.
Bilgiler 25 Ekim 2026’da kontrol edildi. Zloti tutarları, yazıda verilen 3,78 zloti/ABD doları kuru kullanılarak ABD dolarına çevrildi. Ceza eşikleri ve farklı bölümlerin yürürlük tarihleri 2024/1689 sayılı Tüzüğün Lehçe metninden kontrol edildi.
Kaynaklar:
Parıldak'taki benzer konular
