AB Dijital AI Yasası Girişimcileri Eğitim Veri Hakkında Neyi Söylemiyor

AB Dijital AI Yasası’nın 50. maddesi, bir AI sisteminin bir kişiyle makine arasındaki konuşmayı açıklamasını gerektirir. Ancak bu açıklamanın yapıldığından sonra neler olduğu hakkında hiçbir şey söylemez.

Girişimciler, temel model üzerine ürünler inşa ettiklerinde, doğruluk ve fiyat üzerinde odaklanırlar. Kullanıcı verilerinin, ürünlerinden ayrıldıktan ve üçüncü taraf model tarafından işlendiğinde ne olacağı sorusu, genellikle satıcı seçimi sırasında ortaya çıkmaz.

Bu kural, 2 Ağustos 2026’da yürürlüğe girdi ve uyumsuzluk cezaları 15 milyon avro veya küresel yıllık ciroya göre %3 oranında olabilir. Saklama ve eğitim tamamen bu kapsamın dışında kalır. Uygulamanız, kullanıcı konuşmalarını eğitimli bir üçüncü taraf modele yönlendiriyorsa, bu sağlayıcının veri uygulamaları, sizin ürününüzün bir parçası haline gelir, siz isteyip istemediğinizden bağımsız olarak.

Endüstri Geneli Varsayılan Eğitim, Sormak Değil

Stanford Üniversitesi’ndeki İnsan Merkezli AI Enstitüsü araştırmacıları, altı büyük ABD AI geliştiricisinin gizlilik politikalarını incelediler: Amazon, Anthropic, Google, Meta, Microsoft ve OpenAI. Bunların hepsi, müşteri sohbet verilerini varsayılan olarak model eğitiminde kullandılar ve bazıları bu verileri sınırsız olarak sakladılar. Baş araştırmacı Jennifer King, AI sohbet sistemleri kullanıcılarının gizlilik konusunda endişe duymaları gerekip gerekmediği sorulduğunda, “kesinlikle evet” yanıtını verdi. Eğitim, bu nedenle, bir sağlayıcının belgelerinin aksi yönde bir beyanda bulunmadıkça varsayılan olarak kabul edilmelidir. Ancak ayrıntılar, bir sağlayıcıdan diğerine farklılık gösterir ve platforma bağlılık önce dikkatlice incelenmelidir.

Önce gizlilik odaklı bir yaklaşım için övgü alan Anthropic, tüketici koşullarını değiştirdi ve artık Claude ile yapılan sohbetler, eğitim için varsayılan olarak kullanılır ve kullanıcılar çıkabilir. Bu, bir satıcının eğitim politikasının nasıl hızlı bir şekilde değişebileceğini gösterir, özellikle de gizlilik, ilk satış argümanlarının bir parçası olduğunda.

Diğer modellerde, çıkma seçeneği tam olarak çalışmaz. Google, insan annotatörler tarafından üç yıla kadar incelemeye tabi tutulan Gemini konuşmalarını saklar ve Gemini Uygulaması Etkinliğini devre dışı bırakmak, bunu geri alamaz. Bir sohbet, insan incelemesi için işaretlendiğinde, kullanıcı daha sonra ne yaparsa yapsın, Google’ın sistemlerinde ayrı bir saklama izlemesine geçer.

Character.AI, kullanıcı sohbetlerine varsayılan olarak eğitim verilerini ekledi ve yalnızca EEA ve UK’deki kullanıcılar için çıkma seçeneği sundu, bu da buradaki veri uygulamalarının en müsamahakar ucunda yer almasını sağlar. Ayrıca, şirket, yasal ve itibar sorunlarıyla karşı karşıya kaldı. Ocak 2026’da, Character.AI ve Google, bir dizi davanın asılsız olduğunu açıkladı ve bu davalarda, platformun sohbet bot etkileşimlerinin, özellikle de gençlerle ilgili olmadığı iddia ediliyordu. Google, Character.AI’nin kurucularıyla bağlantılı olarak davalı olarak gösterildi ve herhangi bir sorumluluk kabul edilmedi, şartlar açıklanmadı, ancak bu durum, bir AI satıcısına bağlı yasal sorumluluğun, onu destekleyen şirketlere ulaşabileceğini gösteriyor.

Saklama pencereleri, insan incelemesi tetikleyicileri ve alt yüklenici erişimi genellikle bir gizlilik politikasının küçük yazılarında görünmez. Bu API’leri entegre eden şirketler, genellikle kullanıcı verilerinin ne kadar süreyle incelemeye tabi tutulduğunu veya kimin görebileceğini öğrenmek için kapsamlı bir şekilde araştırma yapmak zorundadır. Bu ayrıntıların hiçbiri, genellikle son kullanıcıya ulaşmaz, bu da bir şirketin, kullanıcılarının haber vermeden bir satıcının veri uygulamalarını miras alabileceği ve aynı şekilde maruz kalabileceği anlamına gelir.

Bu, Yalnızca Bir Politika Tartışması Değil, Bir Girişimci Sorunudur

Eğer ürününüz, varsayılan eğitimli bir temel model aracılığıyla kullanıcı sohbetlerini yönlendiriyorsa, kullanıcılarınızın adına, onlara haber vermeden bir veri politikası kabul etmiş olursunuz, hatta bunu hiç istemezseniz bile. 50. madde, yalnızca AI ile konuştuğunu açıklamanızı gerektirir, bu kararı açıklamak zorunda değildir.

Üçüncü taraf erişimi, bu maruz kalma durumunu daha da genişletir. Model sağlayıcıları, genellikle veri annotasyonunu ve güvenlik incelemesini alt yüklenicilere devrederler. Mayıs 2026’da, Teksas Başsavcısı Ken Paxton, Meta’nın AI gözlükleri hakkında bir soruşturma başlattı, çünkü Kenya merkezli bir alt yüklenici olan Sama’daki veri annotatörleri, kullanıcıların özel anlarını, özellikle de banyo ziyaretlerini kaydedebildiklerini iddia ettiler. Meta, bunun uygulamalarının tam resmini yansıtmadığını iddia etti ve soruşturma devam ediyor. Bu örnek, giyilebilir kameraları içerse de, aynı sorun, sohbet AI’si için de geçerli olabilir. Verilerinizi satmadığını vaat etmek, bu verilere kimin erişebileceği hakkında hiçbir şey söylemez.

Bir Satıcı Seçmeden Önce Kontrol Edilmesi Gerekenler

Gerçek kullanıcı verilerine bir temel model bağlamadan önce, her girişimcinin cevaplaması gereken birkaç soru vardır.

Veri işleme anlaşması, başlamak için iyi bir yerdir. Bu anlaşma, kullanıcılarınızın verilerinin nasıl işlendiğini düzenleyen belgedir ve tamamını okumaya değer.

Sözleşme itself, aynı derecede dikkat gerektirir. Satıcılar, genellikle tüketici sohbet ürünlerine kıyasla, kurumsal veya API sözleşmelerinde daha katı eğitimli olmayan şartlar sunar, bu nedenle hangi şartların sizin özel entegrasyonunuz için geçerli olduğunu yazılı olarak onaylayın. Çoğu şirket, yanlış bir şekilde, kurumsal düzeyde gizlilik dilinin onları varsayılan olarak kapsadığını varsayar.

Çıkma hükümleri de incelemeye değer. Google’ın Gemini ayarları, nedenini gösterir, çünkü bu modelde, etkinlik izlemeyi devre dışı bırakmak, insan incelemesinin gerçekleşmesini durdurmaz. Bir satıcı, çıkmanın eğitim, insan incelemesi veya her ikisini durdurup durdurmadığını açıkça söyleyebilmelidir.

Son olarak, verilerin satıcıdan sonraki akışını haritalayın. Annotasyon ve güvenlik incelemesi sık sık dış kaynaklı olarak gerçekleştirilir ve bir satıcının kendi gizlilik vaatleri, bu zincirdeki her alt yükleniciye otomatik olarak uzanmaz.

Bu sorular, hiçbir zaman tek seferlik bir egzersiz olarak ele alınmamalıdır. Satıcı şartları değişebilir, bazen hızlı bir şekilde, ve bir yıl önce imzaladığınız satıcı, bugün aynı kurallarla çalışmayabilir.

Pazar, Düzenlemenin Henüz Ulaşamadığı Standardı Belirleyebilir

50. madde, AB’den AI veri yönetimi konusunda son söz olmayacaktır ve girişimciler, bu boşluğu doldurmak için bir sonraki düzenleme turunu beklememelidir. Şirketler, kullanıcı verilerinin eğitimine açık ve görünür bir onay ekleyerek, bu boşluğu şimdi doldurabilirler. Modeli geliştirmek ile kullanıcı güvenini sessizce kullanmak arasında gerçek bir çizgi vardır. Pek çok AI hizmeti, kullanıcıların sohbetlerine eğitim için izin vermeden önce, açık ve bilgilendirilmiş onay talep etmeden, bu çizgiyi hala geçmektedir. Bu çizgiyi şimdi çizen girişimciler, daha sonra uyumlu olmayı yeniden yapılandırmak zorunda kalmayacaklar.

Önceden benzer bir hareket vardı. Şifreli mesajlaşma uygulamaları ve parola yöneticileri, güçlü varsayılan ayarların standart hale gelmesini beklemeksizin, bu seçimleri kendileri yaptılar ve bunları bir pazar pozisyonuna dönüştürdüler. AI ürünleri de aynı fırsata sahiptir. Zorunlu olana kadar bu çizgiyi çizen girişimciler, kullanıcılarının sonraki hassas konuşmalarına güvenecek olanlar olacaktır.