Kime uygulanıyor, ne istiyor?

Tasarı, kapsamı iki varsayılan eşikle belirliyor. Teknoloji tarafında, eğitim hesaplama maliyetinin geçerli ABD bulut fiyatlarıyla 100 milyon doları aşması gerekiyor; işletme tarafında ise sistemin üçüncü taraflara sunulması ve kuruluşun bağlı şirketleriyle birlikte bu teknolojiden yılda en az 500 milyon dolar brüt gelir elde etmesi şartı var. Kişisel, akademik ve yalnızca ticari olmayan kullanımlar kapsam dışında kalıyor; yıllık kural güncellemelerinde küçük işletmeler üzerindeki yükün de dikkate alınması gerekiyor.[1]

Kapatma düğmesinin maliyeti, basılmasından önce başlıyor. Kapsama giren işletme çıkarımı durdurma, kullanıcı erişimini kesme, riskli hesabı veya kullanım biçimini askıya alma ve sistemi kapatma kapasitesini sürekli hazır tutacak; olayı öğrendikten sonra 15 gün içinde bildirecek, acil emirde model ağırlıkları ile telemetriyi saklayacak. Denetim ve yerinde inceleme de bu hazırlığı günlük işin parçası yapıyor. Tasarı güvenliğin işini ve masrafını şirket içine yerleştiriyor; bu işi hangi ekiplerin, kaç kişiyle ve hangi bütçeyle yürüteceği kaynaklarda açık kalıyor.[1]

Yetki kimde, bedel kimin üzerinde?

Genel ihlal için günlük 2 milyon dolara, acil emre uymamak için günlük 20 milyon dolara kadar sivil ceza öngörülüyor. Tasarı, keşiften sonraki 30 gün içinde düzeltilen küçük teknik kusur veya önemsiz ihlali ihlal tanımının dışında bırakıyor. İşletme 48 saat içinde yeniden değerlendirme isteyebiliyor; emir başvuru süresince yürürlükte kalıyor ve yargısal inceleme yolu da açık. Bu hükümler, kapsama giren işletmeler için doğrudan operasyonel ve mali uyum yükü yaratıyor.[1]

Yetkinin ne zaman devreye gireceğini “kapsanan olay” tanımı belirliyor ve olayın kırmızı takım ya da başka yapılandırılmış testlerin dışında yaşanmasını şart koşuyor. Tasarıya gerekçe gösterilen OpenAI-Hugging Face olayı iç testte kaldığı için siyasi alarmı açıklıyor, hukuki tetiği otomatik çekmiyor. Tanımın doğruluğu kadar gücün dağılımı da belirleyici: olayı kim sınıflandıracak, yanlış kapatmanın kritik altyapıdaki bedelini kim üstlenecek, hızlı emir sırasında kullanıcılar ile çalışanlar hangi itiraz kanalına sahip olacak? Komite metni bu sorulara ölçülebilir cevap vermeden “güvenlik”, yükün kime indiğini gizleyen bir üst başlık olarak kalır.[1], [2], [3]