Uzman: AI ajanları e-devleti çökertmesin

Estonya Ekonomi ve İletişim Bakanlığı, yapay zeka ajanlarının devlet veri tabanına kaydedilmesini sağlamak için Kamu Bilgisi Yasası'nda değişiklik yapmayı planlıyor. Teknoloji uzmanları, planın mevcut haliyle riskli olabileceği ve ciddi şekilde yeniden tasarlanması gerektiği uyarısında bulunuyor. Ayrıca bazı teknik çözümler için böyle bir kaydın hiç gerekli olmayabileceği belirtiliyor.

Yapay zeka ajanları, kullanıcının verdiği görevleri kendi yöntemlerini ve çözümlerini bularak yerine getiren bağımsız programlar olarak tanımlanıyor. Bakanlığın hazırladığı sistem, ajanların kaydedilmesini zorunlu değil, isteğe bağlı bir seçenek olarak sunacak. Şu anda ortada yalnızca yasa değişikliği planı ve hukuki analiz var; teknolojik altyapı henüz mevcut değil.

Estonya'nın e-devlet temellerini atan ve dijital kimlik sistemini geliştiren Cybernetica adlı teknoloji şirketinin geliştirme müdürü Arne Ansper, en büyük sorunun ne olduğunu bilmediğimiz bir şey için yasa yazılması olduğunu belirtiyor. Ansper'e göre bu nedenle kayıt sisteminin gerçekten gerekli olup olmadığı da net değil.

Kimlik ve yetkilendirme belirsizliği

Ansper, geçen yaz yapay zeka ajanlarına kişi kodu verilmesi önerisinin ortaya atıldığını hatırlatıyor. Ona göre bu, ajanların yeni bir kişi kategorisi olarak tanımlanması anlamına geliyor ve oldukça sorunlu bir fikir. Yasa tasarısında bu yaklaşımdan vazgeçilmiş görünse de kullanılan dil ve söylem yer yer korunmuş durumda; bu da BT çevrelerinde kafa karışıklığına yol açıyor.

Muhtemelen kastedilenin teknik kimlik olduğunu belirten Ansper, bunun ne için gerekli olduğu ve nasıl kullanılacağı sorularının yanıtlanması gerektiğini vurguluyor. Ona göre kimlik, iletişimde kullanılabilir olmalı; bu da bizi doğrudan kimlik doğrulama ve dijital imza konusuna getiriyor. Yapay zeka ajanlarının bu işlemler için hangi teknik araçları kullanacağı ise hâlâ belirsiz.

İnsanların şimdiden yapay zeka ajanlarını bankacılık işlemleri için kullandığını aktaran Ansper, örneğin bir kişinin yalnızca Claude sohbet penceresinden bankaya giriş yapıp fatura ödeyebildiğini, vergi dairesi işlemlerini yürütebildiğini söylüyor. Bu durumda, ajanın kimin adına çalıştığının kesin olarak bilinmesi için bir sisteme ihtiyaç olup olmadığı sorusu gündeme geliyor.

Ansper'e göre kişi bugün bile ID kartını yapay zeka ajanına verebilir, kart okuyucuyu ajanın çalıştığı bilgisayara bağlayabilir ve PIN kodlarını paylaşabilir. Böylece ajan, hizmet sunan tüm kurumlarla kişi adına iletişim kurabilir. Ancak asıl sorun, yapay zeka ajanlarının davranışlarının öngörülemez olması. Ajan, verilen emri yorumlayıp bir plan yapıyor ve uyguluyor; bir aksaklık çıktığında planını değiştirip hedefine ulaşmak için alternatif yollar bulabiliyor. Ansper, ajanların zekâsının büyük dil modellerinden geldiğini ve bu modellerin başkalarının, özellikle Çin ve ABD şirketlerinin kontrolünde olduğunu hatırlatıyor.

Kontrolsüz kalan yapay zeka ajanı örneklerinin şimdiden yeterince olduğunu belirten Ansper, bu olayların teknolojilerini güvenli kullanma konusunda en iyi bilgiye sahip olması gereken yapay zeka şirketlerinde bile yaşandığını söylüyor. Ona göre benzer bir durumun Estonya'da da yaşanması göz ardı edilemez.

Kayıt tek başına yeterli değil

İnsanların ajanlara verdikleri yetkileri sınırlayabileceği sistemli bir çözümün elbette değerli olacağını belirten Ansper, bunun Estonya'da dijital kimliğin ve e-devletin nasıl yönetildiğine dair temel sorunları gündeme getireceğini vurguluyor. Küçük görünen bu adımın çok kapsamlı ve ilkeli kararlar gerektirdiğini söylüyor.

Ansper'e göre herkes için geçerli bir çözüm yok. Estonya'da insanlar için hem kamu hem de özel sektörde kullanılabilen evrensel bir dijital kimlik bulunduğunu hatırlatıyor. Bir fikir olarak, sistemlerde kullanıcı hesapları oluşturulabileceğini ve her hesabın bağımsız bir kimlik doğrulama aracına sahip olması gerektiğini belirtiyor. Temelde herkesin ajanları için bir ID kart sipariş edebilmesi gerektiğini, ancak bunun teknik olarak ne anlama geleceğinin tartışılmadığını söylüyor.

Kayıt işleminin tek başına bir şey ifade etmediğini vurgulayan Ansper, ajan için güçlü bir kimlik doğrulama veya imzalama aracı yoksa kaydın bir yarar sağlamayacağını belirtiyor. İnsanlar için ID kart, Mobil-ID veya Smart-ID ile sağlanan güvenlik seviyesine eşdeğer bir koruma gerektiğini, aksi halde genel güvenlik seviyesinin düşeceğini söylüyor.

Ansper, mevcut planın yalnızca bir alt sektörü ele aldığını ve bütüncül bir yaklaşım sunmadığını ifade ediyor. Ona göre bazı teknik çözümlerde ajan kaydı hiç gerekli olmayabilir. Avrupa'nın dijital kimlik cüzdanı gibi girişimlerde ortaya çıkan teknolojilerden çok şey uyarlanabilir. Kayıt yerine daha merkeziyetsiz bir yapı kurulabilir; güvenlik ve izlenebilirlik korunabilir.

Ansper, hukuki analizin teknolojik yeteneklerden bağımsız olarak yapıldığını, oysa hukukçular ile teknoloji uzmanları arasında diyalog olması gerektiğini söylüyor. Bu diyalogla hem teknik olarak yetkin hem de hukuk sistemine uygun, anayasa değişikliği gerektirmeyen bir çözüm bulunabileceğini belirtiyor.

Son olarak, bir sistemde farklı yetkilere sahip birden fazla kullanıcı hesabı varsa her hesabın bağımsız bir kimlik doğrulama aracına sahip olması gerektiğini vurguluyor. Aksi halde ajanın "ID kartla giriş yaptım ama şimdi daha az yetkili başka bir şeyim" deme fırsatını kötüye kullanacağını söylüyor. Bunu önlemenin tek yolunun bağımsız bir kimlik doğrulama aracı ve ona bağlı benzersiz, daha küçük bir yetki seti olduğunu belirtiyor. Yine de Ansper'e göre ajanların küresel olarak tanımlanması gerekmeyebilir; sorun yerel olarak da çözülebilir. Her kuruluş bugün bile alt hesaplar oluşturup yetkileri sınırlayabilir, ancak insanların elektronik kimliğindeki ölçek avantajı burada elde edilemez. Bir kez toplum için güvenli şekilde yapıldığında herkesin kazanacağını, ancak kaydın kaçınılmaz olmadığını sözlerine ekliyor.