← Hizmetler
Hizmet · Tüzük (AB) 2024/1689

EU AI Act risk sınıflandırması, denetim kaydı ve dokümantasyon

AI sisteminizin risk seviyesini kim sınıflandırır, denetim kaydını ve teknik dosyayı kim teslim eder? LMXAI Leiden'den yalnızca bir hukuki not değil, operasyonel kanıt paketini teslim eder.

LMXAI · Leiden, NL · Güncelleme

Ayrıca bakın: uyum teslimatı içgörüsü · pratik AI Act rehberi

Özet

LMXAI, EU AI Act gereksinimlerini bir mühendislik iş akışına dönüştürür: sistem envanteri, gerekçeli bir risk sınıflandırması, denetim kaydı, insan gözetimi ve bunların arkasındaki teknik dokümantasyon. Bu sayfa neyin teslim edildiğini ve bunun, Tüzük'ün risk kategorilerini somut durumlarda riski değerlendirmek için net bir yöntem olmadan tanımladığını belirten akademik çalışmalarla nasıl ilişkilendiğini açıklar.

Anahtar kelimeler EU AI Act · risk sınıflandırması · denetim kaydı · teknik dokümantasyon · insan gözetimi

İçindekiler

  1. Giriş
  2. Arka plan ve ilgili çalışmalar
  3. Genel bir kontrol listesinden değil, sistemden başlayın
  4. LMXAI neler teslim edebilir
  5. Ajanik ve RAG sistemleri için mühendislik kontrolleri
  6. EU AI Act'in güncel bağlamı
  7. Çalışma nasıl ilerler
  8. Neler alırsınız
  9. İlgili okumalar
  10. Sınıflandırmaya ve arkasındaki mühendislik işine mi ihtiyacınız var?
01

Giriş

LMXAI, kurumların EU AI Act gereksinimlerini bir mühendislik iş akışına dönüştürmesine yardım eder: sistem envanteri, rol ve risk sınıflandırması, teknik kanıt, denetim kaydı (audit logging), insan gözetimi kontrolleri ve üretim dokümantasyonu. Amaç, mevzuat gereksinimlerini AI sisteminin gerçekte nasıl tasarlandığı, dağıtıldığı ve işletildiğiyle birleştirmektir.

Leiden, Hollanda merkezli LMXAI; üretim AI mimarisi, egemen LLM altyapısı, ajanik sistemler, RAG, değerlendirme ve gözlemlenebilirlik üzerine çalışır. Bu sayede uyum çalışması, çalışan sistemden kopuk bir politika belgesi olmak yerine varsayılan olarak tekniktir.

02

Arka plan ve ilgili çalışmalar

Birincil kaynak Tüzük'ün kendisidir. Tüzük yükümlülükleri risk sınıfına göre belirler ve yüksek riskli sistemler için risk yönetimi, veri yönetişimi, teknik dokümantasyon, otomatik kayıt tutma, şeffaflık, insan gözetimi ile doğruluk, sağlamlık ve siber güvenlik ister (Madde 9–15)[1].

Tüzük üzerine akademik çalışmalar, sınıflandırmanın neden bir tablodan bakmak değil mühendislik işi olduğunu açıklar. Tüzük dört risk kategorisi tanımlar ancak bir analizin belirttiği gibi somut durumlarda riski değerlendirmek için net bir metodolojiden yoksundur; yazarlar orantılılık testi içeren senaryo tabanlı bir değerlendirme önerir[2]. Taslak üzerine erken bir yorum, kademeli risk yapısını makul bulmuş ancak bazı hükümlerin büyük ölçüde etkisiz kalabileceği uyarısında bulunmuştur[3]. Öneri metnindeki iki uygulama mekanizması, uygunluk değerlendirmesi ve piyasaya arz sonrası izleme, Avrupa çapında bir AI denetim ekosistemi kurduğu şeklinde okunmuştur[4]. Her iki analiz de öneri metnine ilişkindir; ayrıntılar kabul edilen metinle karşılaştırılmalıdır.

Kanıtın kendisi için makine öğrenmesi topluluğunun teknik dosyaya karşılık gelen dokümantasyon formatları zaten vardır: model kartları amaçlanan kullanımı ve ilgili koşullardaki değerlendirmeyi belirtir[5], veri sayfaları (datasheets) bir veri setinin neden oluşturulduğunu, nasıl derlendiğini ve toplandığını kaydeder[6] ve iç algoritmik denetim için uçtan uca bir çerçeve mevcuttur[7].

03

Genel bir kontrol listesinden değil, sistemden başlayın

AI Act yükümlülükleri sistemin ne yaptığına, nasıl kullanıldığına, onu kimin piyasaya sürdüğüne veya hizmete aldığına ve kurumun AI değer zincirinde hangi role sahip olduğuna bağlıdır.

Bu yüzden pratik bir değerlendirme şu tür sorularla başlar:

  • AI sisteminin amaçlanan kullanımı nedir?
  • İlgili olduğu durumlarda sağlayıcı, uygulayıcı (deployer), ithalatçı veya dağıtıcı kimdir?
  • Sistem yasaklı mı, potansiyel olarak yüksek riskli mi, şeffaflık yükümlülüklerine tabi mi, yoksa başka şekilde daha düşük riskli mi?
  • Çözüm genel amaçlı bir AI modelini entegre ediyor mu?
  • Hangi kararlar veya iş akışları insanları önemli ölçüde etkileyebilir?
  • Sisteme hangi veri giriyor ve nereye akıyor?
  • Model neyi üretiyor, öneriyor veya tetikliyor?
  • İnsan gözetimi nerede gerekli?
  • Kodda, kayıtlarda, değerlendirme sonuçlarında ve operasyonel süreçlerde hangi kanıtlar zaten var?

Çıktı, herkese uyan bir uyum etiketi değil, sisteme özgü bir sınıflandırma kaydıdır.

04

LMXAI neler teslim edebilir

1. AI sistem envanteri ve rol eşlemesi

Gerçek AI bileşenlerini, modelleri, veri akışlarını, entegrasyonları, amaçlanan kullanımı ve kurumsal sahipliği belgeleriz. Bu, hangi AI Act gereksinimlerinin uygulanacağına karar vermenin temel katmanını oluşturur.

2. Risk sınıflandırması değerlendirmesi

Sistem, ilgili AI Act kategorileri ve Avrupa Komisyonu'nun güncel kılavuzlarıyla eşleştirilir. Yüksek risk sınıflandırmasının söz konusu olabileceği yerlerde değerlendirme; kullanım senaryosunu, gerekçeyi, varsayımları ve incelenip güncel tutulması gereken kanıtı kaydeder.

3. Teknik dokümantasyon paketi

LMXAI teknik dosyayı üretimde var olan sistem etrafında yapılandırabilir; buna şunlar dahildir:

  • mimari ve bileşen envanteri;
  • model ve sağlayıcı bilgileri;
  • amaçlanan kullanım ve sistem sınırları;
  • veri kaynakları ve retrieval tasarımı;
  • değerlendirme metodolojisi ve sonuçları;
  • bilinen sınırlamalar ve hata modları;
  • insan gözetimi mekanizmaları;
  • güvenlik ve erişim kontrolleri;
  • izleme ve olay yönetimi süreçleri;
  • değişiklik geçmişi ve yayın kanıtı.

Amaç, bir sonraki yayından sonra eskiyen statik bir PDF değil, sistem değiştikçe güncel tutulabilen dokümantasyondur.

4. Denetim kaydı ve izlenebilirlik

Daha güçlü izlenebilirlik gerektiren AI sistemleri için LMXAI uygulama ve model iş akışı boyunca kayıt tutmayı tasarlayabilir. Mimariye göre bu şunları içerebilir:

  • model ve prompt sürümü;
  • istek ve yanıt meta verisi;
  • retrieval kaynakları;
  • araç çağrıları ve araç çıktıları;
  • kullanıcı veya servis kimliği;
  • onaylar ve insan müdahalesi;
  • politika kararları;
  • gecikme, hatalar ve yeniden denemeler;
  • değerlendirme veya güven sinyalleri;
  • dağıtım ve yayın sürümü.

Hassas içeriğin ayrım gözetmeksizin kaydedilmesi gerekmez. Saklama süresi, maskeleme ve kayıtlara erişim, kurumun gizlilik ve güvenlik modelini izlemelidir.

5. İnsan gözetimi ve onay kontrolleri

Sonuç doğuran eylemleri öneren veya yürüten sistemler için LMXAI insan gözetimi gereksinimlerini somut iş akışı kontrollerine dönüştürebilir: onay düğümleri, yükseltme yolları, role dayalı izinler, inceleme kuyrukları ve açık durdurma koşulları.

6. Değerlendirme ve üretim kanıtı

Kurum sistemin nasıl test edildiğini gösterebildiğinde bir uyum iddiası daha güçlüdür. LMXAI model kalitesi, retrieval dayanaklılığı, araç kullanımı, güvenlik davranışı, gecikme ve regresyonlar için tekrarlanabilir değerlendirme setleri ve yayın kapıları oluşturabilir.

05

Ajanik ve RAG sistemleri için mühendislik kontrolleri

Modern kurumsal AI çoğu zaman tek bir model çağrısından fazlasıdır. Bir kullanıcı isteği retrieval'ı, birden fazla aracı, bir ajan iş akışını ve birkaç model kararını tetikleyebilir.

Bu sistemlerde izlenebilirlik yalnızca son yanıtı değil, tüm yürütme yolunu kapsamalıdır.

LMXAI iş akışı durumunu, araç yürütmesini, retrieval'ı ve model çağrılarını gözlemlenebilir kılmak için LangGraph, FastAPI, OpenTelemetry ve Phoenix gibi teknolojilerle çalışır. Egemen dağıtımlarda aynı kontrol katmanı vLLM ve Kubernetes ile kendi barındırılan çıkarımla birleştirilebilir.

06

EU AI Act'in güncel bağlamı

AI Act risk tabanlı bir çerçeve kullanır. Avrupa Komisyonu'nun güncel kılavuzları yasaklı uygulamaları, yüksek riskli sistemleri, şeffaflıkla ilgili yükümlülükleri ve asgari düzeyde veya hiç risk taşımayan sistemleri ayırır. Yüksek risk sınıflandırması sistemin amaçlanan kullanımına ve Madde 6 ile ilgili eklerdeki kategorilere bağlıdır; genel amaçlı AI modelleri ve bazı şeffaflık senaryoları için ayrı kurallar uygulanır.

Komisyon kılavuzları ilgili yüksek riskli sistemler için dokümantasyonu, kayıt tutma ve izlenebilirliği, insan gözetimini, sağlamlığı, siber güvenliği ve risk yönetimini de vurgular. Madde 50 kapsamındaki şeffaflık yükümlülükleri 2 Ağustos 2026'da uygulanmaya başlamıştır.

Kılavuzlar ve uygulama takvimleri gelişmeye devam ettiği için LMXAI mühendislik kanıtını modüler tutar: sınıflandırma varsayımları, kontroller ve dokümantasyon AI ürününü yeniden kurmadan güncellenebilir.

Resmî kaynaklar

07

Çalışma nasıl ilerler

Tipik bir çalışma şöyle yapılandırılabilir:

  1. Keşif — sistemlerin, kullanım senaryolarının, rollerin, verinin ve dağıtım bağlamının envanteri.
  2. Sınıflandırma — her sistemi ilgili AI Act kategorileriyle eşleştirmek ve gerekçeyi kaydetmek.
  3. Boşluk analizi — gereken kanıt ve kontrolleri mevcut olanlarla karşılaştırmak.
  4. Uygulama — gerektiğinde kayıt tutma, değerlendirme, onaylar, izleme veya mimari değişiklikler eklemek.
  5. Dokümantasyon — teknik kaydı ve operasyonel sahiplik modelini çıkarmak.
  6. Yayın süreci — gelecekteki model, prompt, retrieval ve araç değişikliklerinin nasıl inceleneceğini ve kanıtlanacağını tanımlamak.
08

Neler alırsınız

Paketin tam içeriği sisteme bağlıdır, ancak şunları içerebilir:

  • AI sistem envanteri;
  • rol ve risk sınıflandırma matrisi;
  • mimari ve veri akışı haritası;
  • boşluk analizi;
  • kayıt tutma ve izlenebilirlik spesifikasyonu;
  • değerlendirme planı ve test kanıtı;
  • insan gözetimi tasarımı;
  • teknik dokümantasyon yapısı;
  • operasyonel izleme ve olay iş akışı;
  • riske göre önceliklendirilmiş uygulama iş listesi.
09

İlgili okumalar

10

Sınıflandırmaya ve arkasındaki mühendislik işine mi ihtiyacınız var?

LMXAI, AI mimarisini ve uygulamasını AI Act'e uygun teknik kanıtla birleştirir. Yani aynı ortak sistemi değerlendirebilir, eksik kontrolleri belirleyebilir ve kayıt tutma, değerlendirme, yönetişim ve üretim değişikliklerini uygulayabilir.

AI Act mühendislik gereksinimlerinizi LMXAI ile konuşun

Need more detail? Chat with Savion’s AI legal assistants for EU AI Act questions: obligations, risk tiers and documentation checklists. Open Savion →

Kaynakça

  1. European Parliament and Council of the European Union (2024). Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act). Official Journal of the European Union, L series, 12 July 2024. eur-lex.europa.eu/eli/reg/2024/1689/oj/eng
  2. Novelli, C., Casolari, F., Rotolo, A., Taddeo, M., & Floridi, L. (2024). AI risk assessment: A scenario-based, proportional methodology for the AI Act. Digital Society, 3(1). doi:10.1007/s44206-024-00095-1
  3. Veale, M., & Zuiderveen Borgesius, F. (2021). Demystifying the draft EU Artificial Intelligence Act: Analysing the good, the bad, and the unclear elements of the proposed approach. Computer Law Review International, 22(4), 97–112. doi:10.9785/cri-2021-220402 arxiv.org/abs/2107.03721
  4. Mökander, J., Axente, M., Casolari, F., & Floridi, L. (2022). Conformity assessments and post-market monitoring: A guide to the role of auditing in the proposed European AI regulation. Minds and Machines, 32(2), 241–268. doi:10.1007/s11023-021-09577-4
  5. Mitchell, M., Wu, S., Zaldivar, A., Barnes, P., Vasserman, L., et al. (2019). Model cards for model reporting. Proceedings of the Conference on Fairness, Accountability, and Transparency (FAT* '19), 220–229. doi:10.1145/3287560.3287596 arxiv.org/abs/1810.03993
  6. Gebru, T., Morgenstern, J., Vecchione, B., Vaughan, J. W., Wallach, H., Daumé III, H., & Crawford, K. (2021). Datasheets for datasets. Communications of the ACM, 64(12), 86–92. doi:10.1145/3458723 arxiv.org/abs/1803.09010
  7. Raji, I. D., Smart, A., White, R. N., Mitchell, M., Gebru, T., et al. (2020). Closing the AI accountability gap: Defining an end-to-end framework for internal algorithmic auditing. Proceedings of the 2020 Conference on Fairness, Accountability, and Transparency (FAT* '20), 33–44. doi:10.1145/3351095.3372873

Her kaynak yayıncı, arXiv veya resmî kayıt üzerinden doğrulanmıştır.