Yapay zekâ ve SaaS girişimlerinde fikrî haklar, yurt dışına veri aktarımı ve sözleşme düzeni

Bilgisayar programı, veri tabanı ve yapay zekâ çıktılarının hukuki niteliği ile hakların devri

Türk hukukunda bilgisayar programları ve bir sonraki aşamada program sonucu doğurması koşuluyla hazırlık tasarımları, sahibinin hususiyetini taşıdığı ölçüde ilim ve edebiyat eseri sayılır (5846 sayılı FSEK m. 1/B-a, g; m. 2 bent 1). Buna karşılık arayüzüne temel oluşturan düşünce ve ilkeler dâhil olmak üzere bir bilgisayar programının herhangi bir ögesine temel oluşturan düşünce ve ilkeler eser korumasından yararlanmaz (FSEK m. 2/son); dolayısıyla soyut algoritmik kurgu, model iş akışı ve istem (prompt) yöntemi tek başına eser sayılmaz. Somut bir istem metninin özgün dilsel ifadesi ise eser şartlarını taşıyıp taşımadığı yönünden ayrıca değerlendirilir; korunması için mutlaka kaynak koda dönüşmesi gerekmez. İnsanın yaratıcı katkısı olmaksızın yapay zekâ sistemince üretilen çıktılar ile girişimin geliştirdiği arayüz, uygulama katmanı ve entegrasyon kodu da farklı hükümlere tabidir.

Veri setlerinde ise seçme ve derlemede hususiyet taşıyan işlenme eser niteliğindeki veri tabanları (FSEK m. 6 bent 11; koruma ham veriye genişletilemez) ile içeriğin oluşturulmasına, doğrulanmasına veya sunumuna esaslı yatırım yapılan veri tabanlarında yapımcının on beş yıllık sui generis hakkı (FSEK Ek m. 8) ayrı koşullara tabidir ve aynı veri tabanında birlikte bulunabilir; on beş yıllık süre aleniyet tarihinden başlar, esaslı yeni yatırım yeni koruma koşulları doğurabilir.

İşçilerin işlerini görürken meydana getirdikleri yazılımlar üzerindeki mali hakları kullanma yetkisi, özel sözleşmeden veya işin mahiyetinden aksi anlaşılmadıkça işverene aittir; tüzel kişilerin organlarını oluşturan kişilerin bu görevleri kapsamında meydana getirdikleri yazılımlarda da mali hakları kullanma yetkisi tüzel kişiye aittir (FSEK m. 18/2). Ancak kurucuların şirket kuruluşundan önce yazdıkları kodlar ile kuruluş sonrasında işçi veya organ sıfatı taşımayan pay sahiplerinin geliştirmeleri şirkete kendiliğinden geçmez. Bağımsız danışmanlarla proje başında imzalanan sözleşmeler de henüz meydana getirilmemiş yazılımlar bakımından yalnızca taahhüt işlemi doğurur; bu taahhütte de yazılılık ve hakların ayrı ayrı belirtilmesi gözetilir (FSEK m. 50/1); mali hakları geçiren tasarruf işleminin, eserin tamamlanması üzerine devredilen haklar tek tek sayılarak yazılı şekilde ayrıca yapılması gerekir (FSEK m. 48, m. 52).

Yurt dışı bulut ve yapay zekâ API kullanımında KVKK m. 9 rejimi

Kullanıcı girdilerinin, belgelerin veya müşteri kayıtlarının yurt dışında yerleşik bulut sunucularına ya da büyük dil modeli sağlayıcılarına iletilmesi, kişisel veri içerdiği ölçüde yurt dışına veri aktarımı niteliği taşır. 2024 yılında yürürlüğe giren değişiklik sonrasında, hakkında yeterlilik kararı bulunmayan ülkelere sürekli ve sistematik veri aktarımında salt açık rızaya dayanılması mümkün değildir. Kanunun arızi (tek seferlik veya süreklilik taşımayan) aktarım istisnalarına yalnızca yeterlilik kararının bulunmaması ve uygun güvencelerden hiçbirinin sağlanamaması hâlinde başvurulabilir; üstelik burada açık rıza ilgili kişinin muhtemel riskler hakkında bilgilendirilmesi koşuluna, sözleşmenin ifası istisnası ise aktarımın ifa için zorunlu olması şartına bağlanmıştır (6698 sayılı KVKK m. 9/6-a, b). Hakkında yeterlilik kararı (KVKK m. 9/1) bulunmayan ülkelere yönelik süreklilik arz eden bulut ve API aktarımlarında ise üç koşul birlikte aranır: Kanunun 5 inci veya 6 ncı maddesindeki işleme şartlarından birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması ve Kurulca ilan edilen standart sözleşmenin değişiklik yapılmaksızın imzalanması gibi uygun güvencelerden birinin sağlanması (KVKK m. 9/4, m. 9/4-c). Standart sözleşmenin imzadan itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilmesi zorunludur (KVKK m. 9/5; idari yaptırım bakımından m. 18/1-d, m. 18/2); ayrıca bulut veya API sağlayıcısının alt işlemcilere yaptığı sonraki aktarımlarda da Kanundaki güvencelerin korunması gerekir (KVKK m. 9/8).

Üçüncü taraf model koşulları ile kurumsal müşteri taahhütlerinin uyumu

Girişimin kullandığı altyapı veya model sağlayıcısının müşteri verilerini model eğitiminde kullanıp kullanmadığı, veri saklama süreleri (sıfır veri saklama / zero-data-retention seçenekleri) ve çıktıların ticari kullanımına getirdiği kısıtlamalar incelenmeden kurumsal müşterilere mutlak gizlilik veya münhasırlık taahhüdü verilmemelidir. Üründe açık kaynak bileşen kullanılıyorsa, kütüphane lisanslarının (MIT ve Apache 2.0 gibi esnek lisanslar ile GPL ve AGPLv3 gibi türev veya ağ üzerinden sunulan kodu açma yükümlülüğü doğurabilen lisansların) ticari dağıtım modeliyle uyumu yatırım incelemesi öncesinde kayıt altına alınmalıdır.

SaaS sözleşmelerinde hizmet seviyesi, genel işlem koşulları ve sorumluluk sınırları

Bulut tabanlı yazılım sözleşmelerinde erişilebilirlik oranı, planlı bakım kesintileri, destek yanıt süreleri ile yapay zekâ çıktılarının doğruluk oranı ve hatalı çıktı üretme ihtimaline ilişkin kayıtlar teknik mimariye uygun biçimde tanımlanmalıdır. Standart abonelik metinleriyle sunulan SaaS modellerinde tek taraflı sorumsuzluk ve sorumluluk tavanı (liability cap) hükümleri öncelikle genel işlem koşulları denetimine (6098 sayılı TBK m. 20–25) ve tacirler arası haksız işlem şartlarına ilişkin dürüstlük kuralı sınırına (6102 sayılı TTK m. 55/1-f) tabidir. Yabancı sözleşme şablonlarından aynen aktarılan mutlak sorumsuzluk kayıtları ile hukuken kısmi sorumsuzluk anlaşması niteliği taşıyan sorumluluk tavanları, borçlunun bizzat ağır kusuru hâlinde kesin olarak hükümsüzdür (TBK m. 115/1). Yardımcı kişilerin fiillerinden doğan sorumluluk ise kanun veya yetkili makam izniyle yürütülebilen uzmanlık gerektiren hizmet, meslek veya sanat istisnası (TBK m. 116/3) saklı kalmak üzere önceden yapılan anlaşmayla tamamen veya kısmen kaldırılabilir (TBK m. 116/2); bu nedenle borçlunun bizzat kusuru ile yardımcı kişinin fiiline ilişkin dolaylı zarar ve tavan hükümleri birbirinden ayrılarak kurulmalıdır.