Elon Musk’a ait sosyal medya platformu X, Avrupa Birliği’ndeki (AB) kullanıcılarının verilerini izinsiz olarak yapay zeka modellerini eğitmek için kullanması nedeniyle bir dizi gizlilik şikayeti ile karşı karşıya kaldı. Geçen ayın sonlarında, dikkatli bir sosyal medya kullanıcısı, X’in AB bölgesindeki kullanıcılarının paylaşımlarını izinsiz olarak Grok adlı yapay zeka sohbet botunu eğitmek için işlemeye başladığını fark etti. Bu durum, X’in Genel Veri Koruma Yönetmeliği’ne (GDPR) uyumunu denetleyen İrlanda Veri Koruma Komisyonu’nun (DPC) “şaşkınlık” ifadesiyle karşılandı.
GDPR, kişisel verilerin kullanılabilmesi için geçerli bir yasal dayanak olmasını şart koşuyor ve doğrulanan ihlaller durumunda, küresel yıllık cironun %4’üne kadar para cezası uygulanabileceğini belirtiyor. X aleyhinde Avusturya, Belçika, Fransa, Yunanistan, İrlanda, İtalya, Hollanda, Polonya ve İspanya’daki veri koruma otoritelerine yapılan dokuz şikayet, AB vatandaşlarının paylaşımlarını izinsiz olarak AI eğitimi için işlemesi nedeniyle şirketi bu şartı yerine getirmemekle suçluyor.
Gizlilik hakları savunucusu noyb’un başkanı Max Schrems, yaptığı açıklamada, “Geçtiğimiz yıllarda DPC’nin yetersiz ve kısmi uygulama örneklerine defalarca şahit olduk. Twitter’ın AB yasalarına tam olarak uymasını sağlamak istiyoruz ve bu durum en azından kullanıcıların rızasını almalarını gerektiriyor,” dedi.
DPC, X’in AI modeli eğitimi için veri işlemesi konusunda bazı adımlar attı ve İrlanda Yüksek Mahkemesi’nde şirketin bu verileri kullanmayı durdurması için ihtiyati tedbir talep etti. Ancak noyb, DPC’nin bugüne kadar attığı adımların yetersiz olduğunu savunarak, kullanıcıların “halihazırda işlenmiş verileri” sildirebilmeleri için bir yol olmadığını vurguluyor. Bu duruma yanıt olarak noyb, İrlanda ve diğer yedi ülkede GDPR şikayetleri yaptı.
Şikayetler, X’in 60 milyon AB vatandaşının verilerini rızalarını almadan AI eğitimi için kullanması için geçerli bir yasal dayanağı olmadığını savunuyor. Platformun bu veri işleme faaliyeti için “meşru menfaat” adı verilen bir yasal dayanağa güvendiği anlaşılıyor. Ancak, gizlilik uzmanları, bu tür veri işlemleri için kullanıcıların rızasının alınması gerektiğini belirtiyor.
Schrems, “Kullanıcılarla doğrudan etkileşimde bulunan şirketlerin, verilerini kullanmadan önce onlara bir evet/hayır seçeneği sunmaları gerekiyor. Bunu diğer birçok şey için düzenli olarak yapıyorlar, bu yüzden AI eğitimi için de kesinlikle mümkün olurdu,” dedi. Haziran ayında, Meta, benzer bir planı gerçekleştirmek üzereyken noyb’un desteklediği GDPR şikayetleri üzerine bu planı durdurmuştu.
Ancak X’in, kullanıcı verilerini AI eğitimi için kullanma konusunda sessizce hareket etmesi ve insanları bilgilendirmemesi, birkaç hafta boyunca dikkatlerden kaçmasını sağladı. DPC’ye göre, X, 7 Mayıs ile 1 Ağustos arasında Avrupalı kullanıcıların verilerini AI modeli eğitimi için işliyordu.
X kullanıcıları, platformun web versiyonuna Temmuz ayı sonunda eklenen bir ayar aracılığıyla bu veri işlemeden vazgeçme seçeneğine sahip oldular. Ancak, bu işlemden önce veri işlemenin engellenmesi mümkün değildi. Üstelik, AI eğitimi için verilerinizin kullanıldığını bilmiyorsanız, bu işlemden vazgeçmek oldukça zor.
Bu durum önemlidir çünkü GDPR, Avrupalıları, hak ve özgürlükleri üzerinde etkileri olabilecek beklenmedik veri kullanımlarından korumayı amaçlamaktadır.
Noyb, X’in yasal dayanağının geçerliliğini sorgularken, geçen yaz Avrupa’nın en yüksek mahkemesinin, Meta’nın kişisel verileri reklam hedeflemesi için kullanımıyla ilgili bir rekabet şikayetine dair verdiği karara dikkat çekiyor. Mahkeme, bu kullanım durumunda meşru menfaat yasal dayanağının geçerli olmadığını ve kullanıcı rızasının alınması gerektiğini belirtti.
Noyb ayrıca, üretken AI sistemlerinin sağlayıcılarının, GDPR’nin unutulma hakkı veya kişisel verilerinizin bir kopyasını elde etme hakkı gibi diğer temel gereksinimlerine uyamadıklarını iddia ettiğini belirtiyor. Bu tür endişeler, OpenAI’nin ChatGPT’sine yönelik diğer mevcut GDPR şikayetlerinde de yer alıyor.