Yazılım Etiği, Yasal Konular ve Regülasyonlar

Yazılım Etiği, Yasal Konular ve Regülasyonlar: Uyumlu ve Sorumlu Yazılım Geliştirme

Teknolojinin hayatımızın her alanına nüfuz etmesiyle birlikte, yazılım geliştirme artık sadece teknik bir disiplin olmaktan çıkmış; derin etik, hukuki ve toplumsal sorumlulukları beraberinde getiren bir alan haline gelmiştir. Bir yazılım geliştiricisi veya şirketi olarak, yalnızca çalışan ve ölçeklenebilir ürünler çıkarmak yeterli değildir; aynı zamanda bu ürünlerin etik ilkelere uygun, yasalara saygılı ve bireylerin haklarını koruyan bir şekilde tasarlanması ve işletilmesi gerekmektedir. Bu yazıda, yazılım dünyasında etik ve yasal uyumun temel direklerini, güncel regülasyonları ve uygulama stratejilerini ele alacağız.

1. Yazılım Etiği: Kodun Ötesinde Sorumluluk

Yazılım etiği, bir ürünün veya hizmetin teknik olarak "yapabilir" olmasının, onu "yapılması gerektiği" anlamına gelmediği prensibine dayanır. Etik bir yazılım geliştirme anlayışı, aşağıdaki temel ilkeleri içerir:

Şeffaflık (Transparency): Algoritmaların, veri işleme süreçlerinin ve karar mekanizmalarının anlaşılabilir ve denetlenebilir olması. Özellikle yapay zeka sistemlerinde, bir kararın nasıl alındığının izah edilebilir olması (explainability) kritiktir.
Hesap Verebilirlik (Accountability): Yazılımın yarattığı sonuçlardan sorumlu olunması. Bir sistem hatalı bir karar verdiğinde veya zarara yol açtığında, bu hatanın sorumlusunun net olarak belirlenebilmesi gerekir.
Adalet ve Ayrımcılık Yasağı (Fairness & Non-discrimination): Algoritmaların kasıtlı veya kasıtsız olarak belirli gruplara karşı ayrımcılık yapmaması sağlanmalıdır. Eğitim verilerindeki önyargılar (bias), yazılımın kararlarını etkileyebilir ve bu durum, özellikle işe alım, kredi değerlendirmesi gibi hassas alanlarda ciddi etik sorunlara yol açar.
Mahremiyet ve Veri Güvenliği (Privacy & Data Security): Kullanıcı verilerinin korunması, yalnızca yasal bir zorunluluk değil, aynı zamanda temel bir etik sorumluluktur. Veri toplama ve işleme faaliyetlerinde "asgari veri" ilkesi benimsenmeli ve kullanıcıların rızası açıkça alınmalıdır.

2. Küresel Regülasyonlar: Yeni Dönemin Kuralları

2024 ve 2025 yılları, yazılım ve yapay zeka dünyası için regülasyonların altın çağının başlangıcı oldu. Artık şirketler için mesele sadece "AI veya yazılım kullanmak" değil, bu araçları yasal ve etik bir zeminde yönetebilmektir.

A. AB Yapay Zeka Yasası (EU AI Act)
Dünyanın ilk kapsamlı yapay zeka yasal çerçevesi olan EU AI Act, 1 Ağustos 2024'te yürürlüğe girmiş ve aşamalı olarak uygulanmaya başlamıştır. Yasa, yapay zeka sistemlerini risk seviyelerine göre sınıflandırır:

Kabul Edilemez Risk (Unacceptable Risk): Bu kategorideki uygulamalar yasaklanmıştır. 2 Şubat 2025 itibarıyla sosyal puanlama sistemleri, iş yerlerinde ve eğitim kurumlarında duygu tanıma, kullanıcıları manipüle eden sistemler gibi 9 farklı uygulama yasaklanmıştır.
Yüksek Riskli AI (High-Risk AI): İşe alım, çalışan izleme, performans değerlendirme, kritik altyapı, eğitim ve adalet gibi alanlarda kullanılan sistemler bu kategoriye girer. Bu sistemlerin şeffaflık, insan gözetimi, veri yönetişimi ve teknik dokümantasyon gibi sıkı gereklilikleri karşılaması zorunludur. Bu gerekliliklere uyum için son tarih 2 Ağustos 2026'dır.
Sınırlı Risk (Limited Risk): Şeffaflık yükümlülükleri getirir (ör. chatbot olduğunu belirtme, deepfake içeriklerini etiketleme).
Minimum Risk (Minimal Risk): Mevcut yasaların kapsamındaki uygulamalar.

EU AI Act için Uyum İpuçları:

Hangi AI sistemlerinizin "yüksek riskli" kategorisine girdiğini belirleyin.
Her bir sistem için bir uyumluluk değerlendirmesi yapın ve gerekli dokümantasyonu hazırlayın.
Çalışanlarınızı AI etiği, şeffaflık ve yasal sorumluluklar konusunda eğitin. Eğitim, artık yasal bir zorunluluk haline gelmiştir.

B. Kişisel Verileri Koruma Kanunu (KVKK) ve Güncel Değişiklikler
Türkiye'deki veri koruma mevzuatı, 2025 yılında önemli revizyonlardan geçmiştir. 2025 KVKK revizyonu, veri güvenliği süreçlerinde "şeffaflık, denetlenebilirlik ve teknik yetkinlik" kavramlarını ön plana çıkarmıştır.

Açık Rıza ve Meşru Menfaat Dengesi: Yeni düzenleme, "açık rızayı" veri işleme için tek yasal dayanak olmaktan çıkarmıştır. Artık "meşru menfaat" kapsamında da veri işlenebilecek, ancak bu durumda veri sorumlusunun şeffaflık yükümlülüğünü yerine getirmesi (denge testi yapması) zorunludur.
VERBİS Kayıt Yükümlülüğü: VERBİS'e kayıt zorunluluğunda yeni istisnalar getirilmiştir:
- Yeni Eşikler: Genel kural olarak, yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan veri sorumluları, ana faaliyet konusu özel nitelikli veri işleme değilse kayıt yükümlülüğünden muaftır.
- Özel Durum: Ana faaliyet konusu özel nitelikli veri işleme olsa bile, yıllık çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı 10 milyon TL'den az olan veri sorumluları da kayıttan muaftır.
- Kritik İstisna: "Otomatik karar verme" süreçleri yürüten şirketler, ölçeklerinden bağımsız olarak VERBİS'e kayıt olmak zorundadır.
Çerez Politikaları: Kişisel Verileri Koruma Kurumu, Temmuz 2025'te Çerez Uygulamaları Hakkında Rehber'i güncellemiştir. Web siteleri ve mobil uygulamalarda kullanılan çerezler için açık rıza mekanizmalarının, kullanıcı tercihine eşit erişim sağlayacak şekilde tasarlanması ve önceden seçilmiş onay kutularının kaldırılması gerekmektedir.

C. GDPR (Genel Veri Koruma Tüzüğü)
Avrupa Birliği'nin veri koruma tüzüğü olan GDPR, yalnızca AB vatandaşlarının verilerini işleyen tüm şirketleri bağlar. GDPR, 2025 yılında da güncellenmeye ve daha sıkı uygulanmaya devam etmektedir. Uyum için temel gereklilikler şunlardır:

Açık ve anlaşılır bir aydınlatma metni sunmak.
Veri işleme için geçerli bir hukuki dayanak (rıza, sözleşme, meşru menfaat vb.) bulundurmak.
Veri sahiplerinin haklarını (veriye erişim, düzeltme, silme, taşıma) etkin bir şekilde kullanılabilir kılmak.
Veri ihlallerini (data breach) 72 saat içinde yetkili kuruma bildirmek.

3. Fikri Mülkiyet ve Telif Hakları

Yazılım geliştirme sürecinde, hem kendi ürünlerinizi korumak hem de başkalarının haklarına saygı göstermek esastır.

Telif Hakkı: Türkiye'de bilgisayar programları, 5846 sayılı Fikir ve Sanat Eserleri Kanunu kapsamında "eser" olarak korunur. Yazılımınızın kaynak kodundan, kullanıcı arayüzüne kadar birçok unsuru otomatik olarak telif hakkına tabidir. İzinsiz kopyalama, dağıtma veya ticari olarak kullanma, telif hakkı ihlali oluşturur.
Açık Kaynak Lisansları: Açık kaynak kodlu yazılımların kullanımı, lisans türüne (GPL, MIT, Apache vb.) göre belirli yükümlülükler getirir. Bu lisansların şartlarına uyulmaması, telif hakkı ihlali sayılabilir. Örneğin, GPL lisanslı bir kodu ticari bir üründe kullanmak, kendi kodunuzu da açık kaynak yapmanızı gerektirebilir.
Patent: Yazılımın kendisi patentlenemezken, yazılım ile ilgili belirli buluşlar (örneğin, yeni bir algoritma veya iş yöntemi) patent kapsamında değerlendirilebilir.

4. Sorumluluk (Liability) ve Yaptırımlar

Yasal ve etik ihlaller ciddi yaptırımlara yol açabilir.

Cezalar:
- EU AI Act: Yüksek riskli AI uygulamalarında uyumsuzluk, milyonlarca Euro'luk cezalarla sonuçlanabilir.
- KVKK: Kişisel verilerin korunmasına aykırı hareket edenler, idari para cezalarıyla karşı karşıya kalabilir.
- Telif Hakkı İhlali: Maddi ve manevi tazminat davalarının yanı sıra, Türk Ceza Kanunu uyarınca hapis cezasına kadar varan yaptırımlar söz konusu olabilir.
İtibar Kaybı: Yasal bir cezadan bağımsız olarak, etik dışı bir uygulama veya bir veri ihlali, şirketinizin itibarına kalıcı zararlar verebilir ve müşteri güvenini sarsabilir.

5. Uyum Stratejileri ve En İyi Pratikler

"Privacy by Design" (Gizlilik Tasarımı): Veri koruma prensiplerini, yazılım geliştirme yaşam döngüsünün en başından itibaren tasarımın bir parçası haline getirin. Ürüne sonradan ekleme olarak değil, temel bir gereklilik olarak bakın.
Etki Değerlendirmeleri Yapın:
- Veri Koruma Etki Değerlendirmesi (DPIA): Özellikle yüksek riskli veri işleme faaliyetleri için DPIA gerçekleştirin.
- AI Etki Değerlendirmesi: AI sistemlerinizin etik ve yasal risklerini değerlendirin.
Dokümantasyon ve Şeffaflık: Veri işleme faaliyetlerinizi, algoritmik karar mekanizmalarınızı ve uyum çalışmalarınızı titizlikle belgeleyin. Bu, olası bir denetimde en büyük savunmanızdır.
Sürekli Eğitim: Çalışanlarınızı etik ve yasal konularda düzenli olarak eğitin. Unutmayın, uyum bir ekip işidir ve en zayıf halka kadar güçlüdür.
Hukuki Danışmanlık Alın: Özellikle uluslararası pazarlara açılan veya hassas verilerle çalışan şirketler için profesyonel hukuki destek şarttır.
Veri Envanteri ve Yönetişim: Hangi verileri, nereden, hangi amaçla ve ne kadar süreyle sakladığınızı bilin. Veri yönetişim politikalarınızı güncel tutun.

Sonuç:

Yazılım etiği ve yasal uyum, modern yazılım geliştirmenin ayrılmaz bir parçasıdır. EU AI Act, güncel KVKK düzenlemeleri ve GDPR gibi regülasyonlar, yalnızca birer engel değil, aynı zamanda güvenilir ve sürdürülebilir bir iş modelinin temel taşlarıdır. Bu kurallara uyum sağlamak, yasal yaptırımlardan kaçınmanın ötesinde, müşteri güveni kazanmak, marka itibarını korumak ve sorumlu bir teknoloji ekosistemine katkıda bulunmak için kritik öneme sahiptir.

Unutmayın:

Etik, yasalardan önce gelir. Bir şey yasal olsa bile etik olmayabilir.
Uyum bir proje değil, bir süreçtir. Sürekli izleme, güncelleme ve iyileştirme gerektirir.
"Bilmiyordum" mazeret değildir. Sorumluluklarınızı bilmek ve gereğini yapmak zorunluluğunuz vardır.