Microsoft, ABD Okulları için Bağlayıcı AI Güvenlik ve Gizlilik Standardını İmzalar

AFT Başkanı Randi Weingarten, United Federation of Teachers Başkanı Michael Mulgrew ve Microsoft Başkan Yardımcısı ve Başkanı Brad Smith, 9 Eylül 2026’da okullar için Ulusal AI Güvenlik & Gizlilik Standardını duyurdu; bu imzalı anlaşma, ABD okul bölgelerinin Microsoft müşteri sözleşmelerine sözleşmeye dayalı uygulanabilir AI gizlilik ve güvenlik korumaları eklemelerine olanak tanıyor.

New York’ta yapılan duyuru, standardı okullarda AI’ı yöneten anlamlı federal ve eyalet kurallarının eksikliğine bir yanıt olarak çerçeveledi ve aylar süren müzakerelerin ardından benzeri görülmemiş ilk anlaşma olarak tanımladı. Koruma maddeleri, Ulusal AI Öğretim Akademisi ile Microsoft Corporation arasında bağlayıcı bir Memorandum of Agreement içinde yer alıyor ve ek AI sağlayıcılarının imzalayabilmesi için açık yerler bırakılmıştır. Weingarten ve Smith, anlaşmayı 7 Eylül 2026’da imzaladılar.

Weingarten, anlaşmanın üç temel hedefi güvence altına aldığını söyledi: çocukların gizliliği ve verilerinin korunması, okullara sınıfta AI araçları üzerinde gerçek kontrol sağlanması ve ebeveynlere şeffaflık ve bilgi sunulması. Sendikaların harekete geçmesinin nedeni, başka kimsenin, federal hükümet de dahil olmak üzere, adım atmamış olmasıdır. “HIPAA ve FERPA, AI’ın ortaya çıkışını hiç öngörmemişti,” dedi Microsoft duyurusunda, “ve bu korumalar eksik olduğunda, teknoloji şirketlerinin ürünleri için sorumluluk alması ve öğrencilere, eğitimcilere ve topluluklara pazarladığı ürünleri yönetmesi gerekiyor.”

Smith, standardın çocuk gizliliği ve AI güvenliği için yüksek bir çıta belirlediğini ve Microsoft’un anlaşmayı ülke genelindeki her okul bölgesine genişleteceğini söyledi. 200.000 üyesi bulunan New York City AFT yan kuruluşunu yöneten Mulgrew, bu standardın ailelere ve bölgelere talep ettikleri bilgi ve gizlilik korumalarını sağladığını ve bölgelere kuralları ihlal eden sağlayıcılara karşı anlaşmaları sonlandırma ve tazminat talep etme yetkisi verdiğini belirtti.

On Bağlayıcı İlke

Memorandum, on temel ilkeyi belirler ve her birinin bağlayıcı bir taahhüt olduğunu belirtir; sadece bazılarına uyulması, tam uyum anlamına gelmez. İlk ilke, sağlayıcıyı, istemler, AI çıktıları, yüklenen dosyalar, davranış sinyalleri ve meta verileri içeren ve “Kapsanan Veri” olarak tanımlanan herhangi bir veriyi, herhangi bir AI modelini eğitmek, ince ayar yapmak, benchmark almak ya da başka bir şekilde iyileştirmek için kullanmaktan men eder. Bu yasak, daha önce toplanmış verilere geriye dönük olarak uygulanır, sağlayıcının bağlı şirketlerini, alt işleyicilerini ve üçüncü taraf ortaklarını bağlar ve anlaşmanın sona ermesinden sonra süresiz olarak devam eder. Dar bir istisna, yalnızca güvenlik ve emniyet amaçları için işleme izin verir, genel model iyileştirmesini açıkça yasaklar ve talep üzerine, bir üst düzey yetkili tarafından imzalanmış yıllık bir beyan gerektirir; bu beyan, istisna dışındaki eğitimde Kapsanan Veri kullanılmadığını ve elde edilen hiçbir bilginin güvenlik sistemlerinden diğer modellere ya da ürünlere geçmediğini doğrular.

İkinci ilke, veri toplamasını sözleşmeli ürünü sunmak için kesinlikle gerekli olanla sınırlamayı ve kesin konum izleme, davranış takibi, tuş vuruşu kaydı, uzun vadeli profilleme ve biyometrik veri toplama işlemlerini yasaklamayı öngörür. 13 yaş altındaki öğrencilere ait veri toplamak, federal çocuk çevrimiçi gizlilik yasası COPPA’ya uygun doğrulanabilir ebeveyn izni gerektirir; bu izin yasal olarak zorunludur. Üçüncü ilke kapsamında, bölge ve öğrencileri tüm Kapsanan Verinin münhasır sahibi olur. Sağlayıcı, bu veriyi asla satamaz veya reklam amaçlı kullanamaz, standart makine okunabilir formatlarda dışa aktarmalar sağlamalı, bir silme talebinden 180 gün içinde aktif sistemlerden veriyi silmeli ve Kapsanan Veriyi yalnızca Avrupa Birliği veya Kuzey Amerika’da depolamalıdır. Tanımlayıcıları kaldırılmış telemetri verileri, güvenlik, güvenilirlik ve ürün iyileştirmesi için ayrı tutulur, ancak anlaşma bu verilerin üretken model eğitimi, profilleme, kişiselleştirme veya reklam amaçlı kullanılmasını yasaklar.

İnsan Gözetimi, Güvenlik ve Uygulama

Dördüncü ilke, kapsamlı bir AI sisteminin eğitimciler veya öğrenciler için karar vermeden önce anlamlı bir insan incelemesi yapılmasını şart koşar. Duygusal bağ veya bağımlılık yaratmayı hedefleyen, arkadaşlık tarzı ya da ilişki odaklı özellikleri yasaklar ve sağlayıcının kendi sistemleri dışındaki bir öğrencinin adına eylem gerçekleştiren dışsal etkili ajans özelliklerinin, yetkili bir bölge yöneticisi etkinleştirmediği sürece varsayılan olarak devre dışı bırakılmasını gerektirir. Sağlayıcılar ayrıca öz‑yaralama veya şiddet içeren yüksek riskli içerik için kriz seviyesinde protokoller sürdürmelidir. Akademi, eğitimcilere AI’ı insan incelemesi olmadan otomatik notlandırma, otomatik disiplin veya yerleştirme kararları, duygusal ya da psikolojik değerlendirme veya davranış izleme amaçlarıyla kullanamayacaklarını bildirecek.

Beşinci ilke, SOC 2 Type II, ISO 27001, ISO 27701 ve ISO 42001 veya eşdeğeri gibi güncel bağımsız sertifikaları ve gerektiğinde FedRAMP Moderate yetkilendirmesini zorunlu kılar. Sağlayıcılar, doğrulanmış ya da makul şüpheyle bir ihlali fark ettikten sonraki 72 saat içinde bölgeyi bilgilendirmeli ve en az çeyrek dönemde bir kez güncellenen, sertifikaları, denetim özetlerini ve eğitim müşterilerini etkileyen bilinen geçmiş güvenlik olaylarını listeleyen bir kamu güven sayfası tutmalıdır. Önemli bir ihlal giderilemezse, Akademi veya AFT, sağlayıcının katılımını iptal edebilir ve bu iptali kamuoyuna duyurabilir.

Kalan ilkeler, şifreleme ve çok faktörlü kimlik doğrulama gibi güvenlik kontrollerini, yıllık bağımsız penetrasyon testleriyle desteklenmiş olarak gerektirir; aileler için 90 gün içinde sade dille hazırlanmış kılavuzlar ve SSS’ler; farklı öğrenci gruplarında erişilebilirlik özellikleri ve adillik testleri, sağlayıcı tarafından finanse edilen bağımsız bir eşitlik analizinin 12 ay içinde yapılması; özellik sızması ve tedarikçi bağımlılığına karşı kontroller, verilerin ücretsiz olarak dışa aktarılabilmesi; ve Kapsanan Verinin eğitimde veya satılmasında kalıcı yasaklar, sözleşmeden sonra da sürecek silme ve ihlal raporlama sorumlulukları.

Anlaşma, imzadan itibaren iki yıl geçerlidir ve devam etmesi için yazılı olarak yenilenmelidir; bir sağlayıcı 60 günlük yazılı bildirimle çekilme hakkına sahiptir. Bir ek belge, Microsoft’un eğitim AI ürünleri için bağımsız ISO 42001 değerlendirmesini henüz tamamlamadığını ve 31 Aralık 2027 tarihine kadar sertifikasyon hedeflediğini, ayrıca izleme yasaklarının kullanıcı‑başlatmalı konuşma etkinlikleri sırasında Speaker Coach ve Speaker Progress adlı iki topluluk konuşma koçluk aracına uygulanmayacağını kaydeder.

Erişilebilirlik ve Sendika Geçmişi

Standard, önceki AFT çalışmalarını genişletir. 2024’te sendika, okullarda gelişmiş teknoloji kullanımına yönelik dokuz temel ilkeye dayanan “Commonsense Guardrails for Using Advanced Technology in Schools” (Okullarda Gelişmiş Teknoloji Kullanımına Yönelik Sağduyulu Kılavuzlar) yayınladı ve 2025’te AI Araçlarının Kullanımı ve Yanlış Kullanımı konusunda eğitimcileri eğitmek amacıyla Ulusal AI Öğretim Akademisi’ni duyurdu. Mayıs ayında “Cihazlar Kapatılsın, Gözler Yukarı, Eller İş Başında” başlıklı konuşmasında Weingarten, anaokulundan ikinci sınıfa kadar ekran yasaklaması, ilkokulda öğrenci odaklı AI yasaklaması ve 16 yaş altındaki öğrenciler için sosyal arkadaş sohbet botları yasaklaması talep etti. Duyuruma göre, benzer çerçeveler Los Angeles Birleşik Okul Bölgesi ve New York State United Teachers tarafından benimsenmiş; ayrıca duyurudan bir hafta önce New York City Public Schools ve Belediye Başkanı Zohran Mamdani tarafından da kabul edilmiştir.

Anlaşma kapsamında, katılan her sağlayıcı, standardın maddi korumalarını eğitim müşterilerine talep üzerine, yürürlük tarihinden itibaren 90 gün içinde mevcut bir veri gizliliği anlaşması, lisans veya ek belgeye dahil ederek sunmalıdır. Microsoft’un bilgi sayfası, şirketin ayrıca eğitim liderlerine ve ailelere AI ürünlerinin sınıflarda nasıl çalıştığına dair sade dilde bilgi vereceğini ve 1 Kasım 2026’dan itibaren Microsoft’un bu korumaları Amerika Birleşik Devletleri’ndeki her okul bölgesine, yeni ya da mevcut anlaşmalara ek bir sözleşme yeniden müzakere ya da yenileme gerektirmeden sunacağını belirtir.