Automated Decision-Making (Otomatik Karar Alma)

Otomatik karar alma, bir insan karar vericinin doğrudan müdahalesi olmaksızın yazılım sistemleri veya makine öğrenimi modellerinin birey ya da grupları etkileyen kararlar ürettiği süreçtir. Bu kararlar kredi skoru hesaplama, iş başvurusu eleme, tıbbi teşhis önerisi veya suç risk değerlendirmesi gibi hayati sonuçlar doğurabilir. ADM iki biçimde karşımıza çıkar: önceden tanımlı kurallara dayanan kural tabanlı sistemler ve veriden örüntü öğrenen makine öğrenimi modelleri. İkinci türde kararın gerekçesi çoğu zaman kolayca anlaşılamaz; bu 'kara kutu' sorununu doğurur ve bireyin kararı anlamlandırıp itiraz etmesini zorlaştırır.

Avrupa Birliği GDPR'ın 22. Maddesi, bireyleri 'yalnızca otomatik işleme' dayanan ve hukuki ya da benzer derecede önemli etkiler doğuran kararlardan korur. 'Benzer derecede önemli etki' kapsamına kredi reddi, işe alım elenmesi, sigorta prim artışı ve sosyal yardım uygunluk kararları girer. Madde üç istisnaya izin verir: (1) Sözleşme ifası için zorunluluk, (2) AB veya üye devlet hukukuyla yetkilendirme, (3) Veri sahibinin açık rızası. İstisna geçerli olsa da organizasyon; insan müdahalesi talep etme, görüşünü bildirme ve karara itiraz etme haklarını veri sahibine tanımak zorundadır. LLM tabanlı iş akışlarında 'insan müdahalesi' iddiası dikkatle değerlendirilmeli: model çıktısını fiilen incelemeyen salt onaylayan personel, hukuki anlamda zinciri kırmaz.

ADM'nin başlıca etik riskleri üç başlıkta toplanır. Birinci risk önyargı ve ayrımcılıktır: eğitim verisindeki tarihsel eşitsizlikler kararda sistematik ayrımcılığa yol açar. COMPAS suç risk skoru, siyahi sanıklara beyaz sanıklara kıyasla daha yüksek yeniden suç riski atfettiğiyle eleştirildi. İkinci risk şeffaflık eksikliğidir: karar gerekçesi bireye açıklanmadığında itiraz etmek güçleşir. Üçüncü risk hesap verebilirlik boşluğudur: şirket algoritmaya, algoritma veriye, veri sahibi kaynak önyargıya işaret ettiğinde kimse sorumlu tutulamamaktadır — bu döngüsel sorumluluk kaçışı 'algoritma kalkanı' olarak adlandırılır.

2026 itibarıyla yürürlükteki EU AI Act, yüksek riskli YZ sistemleri için GDPR'dan bağımsız ek yükümlülükler getirir. Kritik altyapı, eğitim, işe alım, kredi değerlendirmesi ve hukuk uygulaması alanlarındaki ADM sistemleri 'yüksek riskli' kategorisine girer ve Temel Haklar Etki Değerlendirmesi (FRIA), DPIA ve AB Yapay Zeka Veritabanı'na kayıt yükümlülüklerini yerine getirmek zorundadır. İki mevzuatın örtüşmesi organizasyonları çifte uyum süreciyle — veri koruma hukuku artı yapay zeka düzenlemesi — karşı karşıya bırakmaktadır.