BT yöneticisi olarak yıllarca tedarikçi sözleşmesi imzaladım; şimdi CX Teknoloji’de sözleşmenin öbür tarafındayım. İki taraftan baktığımda gördüğüm şu: yapay zekâ hizmetleri için kullanılan sözleşmelerin çoğu, klasik yazılım lisansı ya da SaaS şablonundan kopyalanmış. Bu şablonlar yapay zekânın üç farkını karşılamıyor: hizmet müşterinin verisiyle öğrenebiliyor, sonuç yüzde olarak doğru çalışıyor ve sağlayıcı modeli değiştirdiğinde sonuç da değişebiliyor.
Bu yazı hukuki görüş değil; bir CIO’nun hukuk ekibine götürmesi gereken soruların listesi. Her sözleşmede avukatınızla birlikte çalışın.
1. Veri sahipliği ve veri kullanımı
İlk ve en önemli madde. Şunların açıkça yazılması gerekiyor:
- Müşterinin sağladığı verinin müşteriye ait olduğu.
- Bu veriyle üretilen çıktıların (rapor, tahmin, metin, olay kaydı) müşteriye ait olduğu.
- Sağlayıcının veriyi yalnızca hizmeti sunmak için kullanabileceği.
- Verinin sağlayıcının modellerini eğitmek için kullanılıp kullanılmayacağı. Bu ayrı bir madde olmalı ve varsayılan cevap hayır olmalı. Müşteri isterse belirli koşullarla izin verebilir, ama bu bilinçli bir karar olmalı.
- Verinin nerede işlendiği ve saklandığı; kişisel veri söz konusuysa KVKK açısından veri sorumlusu ve veri işleyen rolleri ile yurt dışına aktarım olup olmadığı.
2. Ölçülebilir performans
“Sistem doğru çalışacaktır” bir taahhüt değil. Yapay zekâda performans bir oran ve bu oran ölçüm yöntemine bağlı. Sözleşmede şunlar olmalı:
| Unsur | Örnek soru |
|---|---|
| Metrik | Doğruluk mu, yakalama oranı mı, yanlış alarm sayısı mı? |
| Ölçüm yöntemi | Neyle karşılaştırılacak; insan kontrolüyle mi, referans veriyle mi? |
| Test verisi ya da saha koşulu | Hangi veri, hangi lokasyon, hangi dönem? |
| Eşik değer | Kabul için gereken asgari değer |
| Ölçüm sıklığı | Yalnızca kabulde mi, yoksa düzenli olarak mı? |
| Eşik altı durumu | Düzeltme süresi, ücret indirimi, fesih hakkı |
Kendi tekliflerimizde doğruluk oranını ve ölçüm yöntemini sözleşmeye yazıyoruz. Başta zor gelmişti; sonra bunun “yüzde yüz” diyen bir rakipten daha çok güven verdiğini gördük. Bu deneyimi kurumsal BT’den yapay zekâ girişimciliğine geçiş yazımda anlattım.
3. Model değişikliği
Sağlayıcı modeli güncellediğinde dünkü sonuçla bugünkü sonuç farklı olabilir. Bu özellikle genel amaçlı dil modeli kullanan hizmetlerde önemli; sağlayıcının altındaki model haber vermeden değişebiliyor. Sözleşmede:
- Önemli model değişikliklerinin önceden bildirilmesi.
- Müşterinin yeni sürümü kendi verisiyle test edebileceği bir süre ve ortam.
- Sonuçlar kötüleşirse önceki sürümde belirli bir süre kalma ya da geri dönme hakkı.
4. Güvenlik ve erişim
- Sağlayıcının hangi sistemlere, hangi yetkiyle eriştiği; uzaktan erişimin nasıl kayıt altına alındığı.
- Alt yüklenicilerin, özellikle altta kullanılan model sağlayıcısının listesi.
- Güvenlik olayı bildirim süresi.
- Sızma testi ya da güvenlik değerlendirmesi hakkı.
Yapay zekâya özgü güvenlik riskleri için LLM güvenliği yazımdaki kontrol listesini tedarikçiye soru olarak yöneltebilirsiniz.
5. Sorumluluk ve insan gözetimi
Yapay zekâ bir öneri üretiyorsa, son kararı kimin verdiği sözleşmede ve süreçte açık olmalı. Sağlayıcının sorumluluk sınırı, hatalı çıktının yol açabileceği zararlar ve müşterinin hangi durumlarda insan onayı aradığı birlikte düşünülmeli. Avrupa’da faaliyet gösteren şirketler için AB Yapay Zekâ Yasası, yüksek riskli sistemlerde sağlayıcı ve kullanıcıya ayrı yükümlülükler getiriyor; sözleşme bu rolleri yansıtmalı.
6. Çıkış planı
Çıkış planı imza anında yazılmalı, ilişki bittiğinde değil. Şunlar netleşmeli:
- İade edilecek varlıklar: müşteri verisi, yapılandırma, kurallar, etiketlenmiş eğitim verisi ve varsa şirkete özel eğitilmiş model ağırlıkları.
- Format: başka bir sisteme taşınabilecek, belgelenmiş bir format.
- Süre: hizmet bittikten sonra ne kadar sürede iade edileceği.
- Silme: sağlayıcının verileri ve yedekleri ne zaman sileceği ve bunu nasıl belgeleyeceği.
- Geçiş desteği: yeni sağlayıcıya geçişte belirli bir süre ücretli ya da ücretsiz destek.
Bizim tekliflerimizde lisans yenilenmediğinde sahadaki donanımın ve o güne kadarki olay kayıtlarının müşteride kaldığını yazıyoruz. Bu tür bir madde, müşterinin bağımlılık kaygısını baştan gideriyor.
Kısa kontrol listesi
- Veri ve çıktılar kimin? Veri model eğitiminde kullanılıyor mu?
- Performans hangi metrikle, nasıl ve ne sıklıkla ölçülüyor? Eşik altında ne oluyor?
- Model değişirse bildirim, test ve geri dönüş hakkı var mı?
- Alt yükleniciler ve altta kullanılan model sağlayıcısı kim?
- Kararın sorumluluğu ve insan onayı nerede?
- Hizmet biterse ne, hangi formatta, ne sürede iade ediliyor ve nasıl siliniyor?
Bu altı soru, yapay zekâ sözleşmesini klasik bir yazılım sözleşmesinden ayıran farkların neredeyse tamamını kapsıyor.
Sık sorulan sorular
Yapay zekâ sözleşmesinde veri sahipliği nasıl yazılmalı?
Müşterinin sağladığı verinin ve bu veriyle üretilen çıktıların müşteriye ait olduğu, sağlayıcının veriyi yalnızca hizmeti sunmak için kullanabileceği açıkça yazılmalıdır. Verinin sağlayıcının modellerini eğitmek için kullanılıp kullanılmayacağı ayrı bir madde olarak, varsayılan olarak hayır şeklinde düzenlenmelidir.
Yapay zekâ hizmetinde performans nasıl taahhüt edilir?
Ölçülecek metrik, ölçüm yöntemi, kullanılacak test verisi ya da saha koşulu, eşik değer ve ölçümün ne sıklıkla yapılacağı yazılır. Eşik altında kalındığında ne olacağı, örneğin düzeltme süresi ya da ücret indirimi, de sözleşmede yer almalıdır.
Sağlayıcı modeli değiştirirse ne olur?
Model değişikliği sonuçları değiştirebilir. Sözleşmede önemli model değişikliklerinin önceden bildirilmesi, müşterinin yeni sürümü kendi verisiyle test edebilmesi ve sonuçlar kötüleşirse belirli bir süre önceki sürümde kalma ya da geri dönme hakkı düzenlenmelidir.
Yapay zekâ sözleşmesinde çıkış planı neden önemlidir?
Hizmet bittiğinde verinin, yapılandırmanın ve varsa şirkete özel eğitilmiş modelin ne olacağı belirsizse şirket sağlayıcıya bağımlı kalır. Çıkış maddesi; iade edilecek varlıkları, formatı, süreyi ve sağlayıcının verileri sildiğini nasıl belgeleyeceğini tanımlamalıdır.