AI Deepfake Artık Sadece İtibar Riski Değil: AI Act Sonrası Şirketler Neyi Belgelendirmeli?
AI Act Article 50, deepfake niteliğindeki yapay zekâ tarafından üretilmiş veya manipüle edilmiş görsel, ses ve videolar için şeffaflık ve açıklama yükümlülükleri getirir. İçeriğin üretim biçimi, kullanılan araç, insan kontrolü ve yayın onayının kayıt altına alınması ise Article 50’de ayrıca düzenlenmiş bağımsız bir kayıt tutma yükümlülüğü değil; şirketin uyum, yönetişim ve gerektiğinde ispat kapasitesini güçlendiren bir uygulamadır.
Kısa Cevap
AI Act Article 50, deepfake niteliğindeki yapay zekâ tarafından üretilmiş veya manipüle edilmiş görsel, ses ve videolar için şeffaflık ve açıklama yükümlülükleri getirir. İçeriğin üretim biçimi, kullanılan araç, insan kontrolü ve yayın onayının kayıt altına alınması ise Article 50’de ayrıca düzenlenmiş bağımsız bir kayıt tutma yükümlülüğü değil; şirketin uyum, yönetişim ve gerektiğinde ispat kapasitesini güçlendiren bir uygulamadır.
Neden Önemli?
Deepfake riski yalnız sahte haber veya itibar saldırısı bağlamında ele alınmamalıdır. Marka kendi reklamında gerçek bir kişinin görüntüsünü, sesini veya davranışını yapay zekâ ile oluşturduğunda hem AI Act Article 50 şeffaflık kuralları hem de reklamın tüketicide yarattığı izlenim gündeme gelebilir.
Article 50 kapsamındaki hukuki disclosure ile şirketin kendi iç kanıt kayıtlarını birbirinden ayırmak önemlidir. Model, üretim zamanı, insan denetimi ve onay kaydı tutulması şirket açısından güçlü bir governance pratiğidir; ancak bu kayıtların tamamını doğrudan Article 50’nin açıkça emrettiği ayrı bir “Evidence Pack zorunluluğu” gibi sunmak doğru değildir.
Şirketler Ne Yapmalı?
Deepfake Yayınından Önce 7 Kontrol
- İçeriğin gerçek kişiyi veya gerçek olayı yapay biçimde temsil edip etmediğini belirleyin.
- Provider ve deployer sorumluluğunu kullanım senaryosuna göre ayırın.
- Gerekli makinece okunabilir işaretleme kapasitesini kontrol edin.
- Deployer disclosure gerekip gerekmediğini ve görünür uygulamasını belgeleyin.
- Gerçek kişinin görüntü, ses ve kişilik hakkı izinlerini ayrıca doğrulayın.
- Reklamda kişinin ürünü gerçekten deneyimlediği veya tavsiye ettiği yönünde yanıltıcı izlenim yaratmayın.
- Final dosyayı, disclosure kararını ve insan onayını versiyon kaydında saklayın.
B10 İçin Önerilen Ölçüm Modeli
| Kontrol | KPI |
|---|---|
| Deepfake classification | Classification coverage |
| Provider marking | Machine-readable mark test success |
| Deployer disclosure | Disclosure completeness |
| Kişilik hakkı | Consent / licence evidence coverage |
| İnsan kontrolü | Human review coverage |
| Versiyon | Published-file traceability |
Ölçümde deepfake sayısını tek başına KPI yapmak yerine, ilgili deepfake’lerin kaçında disclosure, hak kontrolü ve final versiyon kanıtının birlikte bulunduğu izlenmelidir.
Uzman Değerlendirmesi
Deepfake governance açısından en kritik ayrım “içerik AI ile üretildi mi?” değil, hangi gerçekliği taklit ettiği ve kullanıcıyı hangi konuda yanıltabileceğidir. Tamamen kurgusal bir sanal karakter ile gerçek yöneticinin veya müşterinin dijital kopyası aynı risk seviyesinde değildir.
Deepfake Risk Seviyesi Nasıl Ayrıştırılabilir?
Deepfake dosyasının yaşam döngüsü yalnız üretim aşamasından ibaret değildir. İçerikte kullanılan gerçek kişinin kim olduğu, hangi bağlamın taklit edildiği, ses veya görüntünün ne ölçüde manipüle edildiği ve reklam mesajının kullanıcıda nasıl bir gerçeklik algısı yarattığı ayrı risk sinyalleridir. Örneğin bir yöneticinin sentetik sesle kurumsal duyuru yapması ile tamamen kurgusal bir avatarın ürün özelliklerini anlatması farklı kontrol seviyeleri gerektirir.
Özellikle testimonial veya endorsement algısı yaratan kullanımlarda içerik üretim tekniği kadar mesajın anlamı önemlidir. Gerçek kişinin hiç söylemediği bir tavsiyeyi söylediği izlenimi vermek, yalnız “AI ile üretildi” açıklaması eklenerek çözülen bir risk olarak görülmemelidir. Disclosure, hak sahipliği ve reklamın yanıltıcılık değerlendirmesi birbirinden bağımsız kontrol edilmelidir.
Final Dosya İzlenebilirliği
Üretim ekibi çok sayıda varyasyon oluşturduğunda yalnız proje klasörünü saklamak yeterli değildir. Hangi dosyanın hangi tarihte, hangi platformda, hangi disclosure ile yayımlandığı gösterilebilmelidir. Final dosya hash’i, kreatif ID, yayın URL’si ve onay kaydı aynı case altında tutulduğunda sonradan değiştirilen veya yanlışlıkla yeniden kullanılan bir deepfake varyasyonu daha hızlı tespit edilebilir.
Yayın Sonrası Deepfake Incident Planı
Deepfake içerik yanlış veya izinsiz biçimde yeniden kullanıldığında yalnız kreatifi kaldırmak yeterli olmayabilir. Aynı dosyanın başka sosyal medya hesaplarında, reklam kütüphanelerinde veya üçüncü taraf kanallarda yayılıp yayılmadığı kontrol edilmelidir. Marka, orijinal onaylı dosyanın hash’i ve yayın kayıtları sayesinde kendi içeriği ile sonradan değiştirilmiş kopyaları birbirinden daha hızlı ayırabilir.
Bu nedenle sentetik medya yönetişimi üretim öncesi approval ile bitmez. Yayından kaldırma, yanlış kullanım tespiti, hak sahibine bildirim ve tekrar kullanımın önlenmesi için ayrı incident prosedürü oluşturulabilir. Özellikle üst düzey yönetici veya tanınmış kişi görüntüsü kullanılan içeriklerde bu prosedür itibar ve dolandırıcılık riskini de azaltır.
Dijital Risk ve Uyum Analizi
B10, deepfake ve sentetik medya kullanımını classification, disclosure, hak sahipliği ve published-version evidence başlıklarında ayrı risk skorlarıyla inceleyebilir.
İlgili İçerikler
Resmî ve Birincil Kaynaklar
- European Commission – AI Act Article 50 Transparency Guidelines
- EU AI Act – Regulation (EU) 2024/1689
Kaynaklar 3 Eylül 2026 itibarıyla kontrol edilmiştir. Somut hukuki olaylarda güncel metin ve uzman görüşü ayrıca değerlendirilmelidir.
Sık Sorulan Sorular
Bu konu neden şimdi önemli?
AI Act Article 50, deepfake niteliğindeki yapay zekâ tarafından üretilmiş veya manipüle edilmiş görsel, ses ve videolar için şeffaflık ve açıklama yükümlülükleri getirir. İçeriğin üretim biçimi, kullanılan araç, insan kontrolü ve yayın onayının kayıt altına alınması ise Article 50’de ayrıca düzenlenmiş bağımsız bir kayıt tutma yükümlülüğü değil; şirketin uyum, yönetişim ve gerektiğinde ispat kapasitesini güçlendiren bir uygulamadır.
Şirketler ilk olarak neyi kontrol etmeli?
Mevcut uygulamayı ve veri/iş akışını envanterleyin.
Tek seferlik kontrol yeterli mi?
Hayır. İç üretim ve onay kayıtları güçlü bir yönetişim ve ispat pratiğidir; bunların tamamını Article 50 kapsamında bu adla düzenlenmiş bağımsız bir kayıt tutma yükümlülüğü olarak değerlendirmemek gerekir.
B10 bu konuda ne sağlayabilir?
B10; sentetik medya envanteri, deepfake sınıflandırması, disclosure kontrolü ve kreatif versiyon takibini tek evidence akışında kurgulayabilir.
