Görsel kaynağı ve yapay zekâ şeffaflığı

Yapay zekâ içerik etiketi, yapay zekâ ile üretilmiş ya da değiştirilmiş bir görselin, videonun, sesin veya metnin bunu açıkça söylemesidir — hem ona bakan kişiye hem de dosyayı okuyan yazılıma. Yapay zekâ ile üretilmiş ve düzenlenmiş görselleri AB Yapay Zekâ Yasası’nın (AI Act) 50. maddesindeki şeffaflık kurallarına üç katmanla hazırlıyorum: görünür bir etiket, dosyanın meta verisinde IPTC dijital kaynak türü ve bir C2PA manifestosu. Ardından bu üç katmandan hangisinin sizin yayın zincirinizden sağ çıktığını test ediyor; video, ses, metin ve sohbet botları için açıklama metinlerini Türkçe, İngilizce ve Almanca yazıyorum. Aşağıda indirip kendiniz kontrol edebileceğiniz, ölçülmüş bir örnek var.

Aşağıdakilerden biri sizin durumunuzsa doğru yerdesiniz:

• Reklam ajansı ya da prodüksiyon stüdyosusunuz; AB’deki müşteriler için üretken araçlarla kampanya görseli, ürün görseli ya da sosyal medya içeriği hazırlıyorsunuz ve müşteri yapay zekâ kullanımının nasıl beyan edileceğini soruyor.
• E-ticaret markasısınız; ürün fotoğraflarınızda yapay zekâ ile üretilmiş arka planlar ya da yapay zekâ rötuşu var ve AB’deki müşterilere satıyorsunuz (Amazon.de, Etsy, kendi sitenizin Avrupa sürümü…).
• Yayıncı ya da haber sitesisiniz; yapay zekâ ile üretilmiş illüstrasyon, yapay zekâ destekli metin ya da sentetik ses kullanıyorsunuz ve etiketleme için tek bir kurum içi kural istiyorsunuz.
• Zaten “AI” etiketi ve meta veri ekliyorsunuz ama CMS’iniz, sıkıştırma eklentiniz ya da CDN görseli işledikten sonra geriye ne kaldığına kimse bakmadı.
• Sitenizde bir sohbet botu ya da sesli asistan var ve birkaç dilde sade açıklama satırlarına ihtiyacınız var.

Canlı sitenizden yapay zekâ ile düzenlenmiş bir görsel alın — sizin dışa aktardığınız dosyayı değil, ziyaretçiye ulaşan dosyayı — ve üç şeye bakın:

• Görünür etiket: sayfada, gösterildiği boyutta duruyor mu? Küçük önizlemede ve sosyal medya kırpmasında da? Örnekte ortadan kırpılmış küçük önizleme ve yeniden çerçevelenmiş kırpma etiketi kaybetti.
• Meta veri: exiftool -XMP-iptcExt:DigitalSourceType gorsel.jpg komutunu çalıştırın. Çıktı yoksa o dosyada makinece okunabilir kaynak türü yok demektir.
• C2PA: dosyayı contentcredentials.org/verify sayfasına bırakın. İmzaladığınız bir dosyada “No Content Credentials” çıkıyorsa aradaki bir adım kaydı silmiştir.

Teknik ayrıntı için okumaya devam edin. Aşağıda: üç katmanın her birinin ne işe yaradığı, iki temsili görsel ve 13 adımlı bir dayanıklılık testiyle ölçülmüş bir örnek, araçların neyi denetlemediği ve 50. maddenin tarihleri. Doğrudan başlamak isterseniz bir görsel ya da bir sayfa bağlantısı gönderin; içinde ne olduğunu ve nerede kaybolduğunu söyleyeyim.

Eksiksiz bir etiketin insanlar için bir parçası, makineler için iki parçası vardır. Görünür etiket izleyiciye söyler; IPTC meta verisi ve C2PA manifestosu yazılıma. Her biri farklı biçimde kaybolur; bu yüzden üçünü birlikte kullanıyor ve ayrı ayrı test ediyorum.

Görselin piksellerine ya da yanına konan “Yapay zekâ ile oluşturuldu” gibi kısa bir metin. Resmin parçası olduğu için meta veri silindiğinde de kalır — ama kırpılabilir, okunamayacak kadar küçülebilir ya da rötuşla kaldırılabilir. Görsele karşı kontrastı tahminle değil ölçümle belirlenmelidir: parlak bir gökyüzü üzerindeki yarı saydam bir kutu, WCAG 2.2’nin normal metin için istediği 4,5:1 oranının çok altına düşebilir.

IPTC Photo Metadata standardında, kontrollü bir sözlüğe bağlı DigitalSourceType (dijital kaynak türü) alanı vardır. IPTC listesi başka değerlerin yanında trainedAlgorithmicMedia (eğitilmiş üretken modelle yapılmış), compositeWithTrainedAlgorithmicMedia (fotoğrafla üretilmiş içeriğin birleşimi) ve algorithmicMedia (eğitilmiş model olmadan algoritmayla yapılmış) ayrımını yapar. Değer XMP meta verisinde durur; bunu pek çok araç okur, pek çok araç da siler.

Dosyanın içinde, yapılan işlemleri — açma, boyutlandırma, düzenleme — yapay zekâ adımının kaynak türüyle ve gerekiyorsa kaynak fotoğrafı “bileşen” (ingredient) olarak kaydeden imzalı bir veri paketi. İmza onu piksellere bağlar: her değişiklik imzayı bozar, C2PA desteği olmadan dosyayı yeniden kodlayan her araç da paketi düşürür. İmzalama ve güven konusunu C2PA sayfasında ayrıntılı anlattım.

Bunlarda açıklama çoğunlukla sözle yapılır: bir alt yazı, ilk saniyelerde ekranda bir not, “[Yapay zekâ ile üretilmiş video]” gibi ilk altyazı satırı, sentetik sesten önce bir cümle, sohbetin başında bir bilgi notu. Madde 50(5) bu bilginin açık, ayırt edilebilir ve erişilebilir olmasını istediği için sette alt metin, altyazı ve ekran okuyucu notları için HTML de var.

Bu ölçülmüş bir örnek çalışmadır, müşteri işi değildir. İki temsili görseli kodla ürettim, üç katmanı ekledim, bağımsız araçlarla geri okudum; sonra etiketli her dosyayı yaygın 13 işlem adımından tek tek geçirdim. Bütün dosyalar ve çıktılar aşağıdan indirilebilir.

• Kaynak fotoğraf: scikit-image 0.26 kütüphanesindeki astronaut.png (512 × 512 piksel); astronot Eileen Collins’in NASA fotoğrafı. Kütüphanenin belgelerinde “No known copyright restrictions, released into the public domain” (bilinen telif kısıtlaması yok, kamu malı) yazıyor.
• Temsili görsel 1, “yapay zekâ ile düzenlenmiş”: fotoğraf 1024 × 1024’e büyütüldü; sol üst köşeye kodla çizilmiş halkalı bir gezegen yerleştirildi (piksellerin %2,79’u). Etiket: compositeWithTrainedAlgorithmicMedia.
• Temsili görsel 2, “tamamen üretilmiş”: prosedürel olarak üretilmiş 1200 × 800’lük bir manzara (renk geçişli gökyüzü, dağ sırtları, yansıma). Etiket: trainedAlgorithmicMedia.

İki görsel de kodla yapıldı; hiçbir yapay zekâ modeli kullanılmadı. Gerçek bir üretken düzenlemenin ve gerçek bir metinden görsel çıktısının taşıması gereken etiketleri taşıyorlar. Görsel 2 için bu dosyanın doğru IPTC kodu aslında algorithmicMedia olurdu; bu, dosyanın içinde, XMP açıklamasında ve C2PA işlem açıklamasında yazıyor. İmza, C2PA güven listesinde olmayan kendi test sertifika zincirimle (ES256, “TEST … demo only”) atıldı.

Etiketlemeden önce hiçbir araç bir şey bulmuyor. Sonra iki bağımsız meta veri okuyucusu kaynak türünü gösteriyor; iki C2PA doğrulayıcısı da geçerli bir manifesto buluyor, tek hata imzalayanın test sertifikası olması.

İki C2PA aracı aynı sonucu farklı sözcüklerle veriyor: biri hata kodunu listeleyip “Valid”, öbürü aynı kodla “Invalid” diyor. Önemli olan koddur. C2PA güven listesindeki bir kuruluşun sertifikasıyla “untrusted” kodu çıkmaz.

Kontrastı işlenmiş pikseller üzerinde, her harfin arkasındaki en kötü durumu alarak ölçtüm. 24 opak varyantın tamamı (TR, EN, DE × oluşturuldu / düzenlendi × açık / koyu zemin) 17,74:1’e ulaşıyor. Karşılaştırma için bilerek zayıf yapılmış, güneşin üzerindeki yarı saydam siyah kutu üç dilde de 2,48 ile 2,50:1 arasında kalarak başarısız oluyor.

Hiçbir katman her adımdan sağ çıkmadı, her adım da en az birini bıraktı. Meta veri boyutlandırmadan ve kırpmadan çıktı ama temizlemeden çıkamadı; görünür etiket temizlemeden çıktı ama kırpmadan çıkamadı; C2PA manifestosu 13 adımın hiçbirinden çıkamadı.

En önemli satır çözüm satırı. Boyutlandırılmış dosyaya, etiketli dosyayı ana bileşen olarak gösteren yeni bir C2PA manifestosu eklendiğinde üç katman da geri geliyor ve özgün kaynak türü manifesto geçmişinde duruyor. Gerçek bir zincirde bu, CMS’inizde ya da görsel servisinizde C2PA’yı tanıyan bir adım demektir — sizin zincirinizde aradığım şey de bu.

Test her adımı tek başına, yerelde, yukarıda adı geçen araçlarla çalıştırdı ve sonucu geri okudu: IPTC’yi exiv2 ile, C2PA’yı c2pa-python ve test çapasıyla, etiketi kadrajdaki konumuyla ve 4 kat büyütme sonrası OCR (tesseract 5.3.4) ile. ImageMagick boyutları WordPress görsel boyutlarını taklit ediyor; WordPress’in kendisi değiller.

• Test edilmedi: WordPress’in kendisi, Instagram, Facebook/Meta, LinkedIn, X, TikTok, YouTube, WhatsApp, CDN’ler ve görsel servisleri, platformların kendi “AI bilgisi” etiketleri.
• Test edilmedi: video ve ses dosyaları — sette yalnızca bunlar için metin var.
• Test edilmedi: küçük bir etiketin insan gözüyle okunup okunamadığı. OCR’ın “Edited with Al” okuması (I yerine küçük L; bunu “AI” olarak kabul ettim) insanın okuyabilmesi demek değil; renk körlüğü ve ekran okuyucular da test edilmedi.

Müşteri işinde dayanıklılık testi sizin gerçek zincirinizde yapılır: aynı yükleme, aynı eklentiler, ziyaretçilerinize ve sosyal medya hesaplarınıza gerçekten ulaşan dosya.

Etiketli ve imzalı görseller yalnızca ZIP’in içinde. Bu sitenin önündeki içerik dağıtım ağı (CDN) görselleri yeniden sıkıştırıyor ve bu manifestoyu siliyor — testin ölçtüğü sessiz silinmenin aynısı; C2PA sayfasında anlattım. ZIP’te herkese açık test kök sertifikası da var; “Trusted” sonucunu kendiniz üretebilirsiniz.

HTML, JSON, SVG ve TXT dosyaları yalnızca ZIP’in içinde. Test sertifikalarının özel anahtarları yayımlanmadı.

Etiketlenmiş dosyalar, ne taşıdıklarının kanıtı, zincirinizin onlara ne yaptığının haritası ve görsel olmayan her şey için metinler.

• Görünür etiketli, IPTC dijital kaynak türü ve meta verisi yazılmış, C2PA manifestolu görselleriniz — sizin sertifikanızla imzalı ya da test sertifikalı, işaretli önizlemeler olarak.
• Sizin ifadenizle ve dillerinizde bir etiket seti (SVG ve piksellere işlenmiş hâliyle), açık ve koyu zeminler için ölçülmüş kontrastla.
• Zinciriniz için dayanıklılık raporu: her adım, hangi katmanı koruduğu ve değişmesi gereken ayar ya da adım.
• Görsel, video, ses, kamuoyunu bilgilendiren metin, sohbet botu ve sanatsal ya da hiciv içerikli işler için TR, EN ve DE açıklama metinleri seti; alt metin, altyazı ve ekran okuyucu notları için HTML parçalarıyla, sizin üslubunuza uyarlanmış.
• Her dosya için araç çıktısını ve araçların neyi denetlemediğini listeleyen bir bulgu raporu.

Önce gerçek bir dosya ya da bir sayfa bağlantısı gönderirsiniz; fiyat iş başlamadan sabitlenir.

1. Bir görsel ya da bir sayfa bağlantısı gönderin, mümkünse görselin nasıl üretildiğine dair kısa bir notla. Şu an ne taşıdığını ve nerede kaybolduğunu söylerim.
2. Kapsamı ve sabit fiyatı alırsınız: etiketleme, zincir testi ve metinler için, iş başlamadan önce.
3. İşi yaparım. Filigranlı, test sertifikasıyla imzalı önizleme dosyalarını, okuma ve dayanıklılık raporlarını, onayınız için taslak metinleri alırsınız.
4. Onayınızla son dosyalar teslim edilir: etiket seti, metin seti ve bulgu raporu.

Her işi malzemeyi gördükten sonra fiyatlarım. Tek bir mağazadaki, tek CMS’li elli ürün görseli ile birkaç yayın kanalı olan bir haber sitesi farklı işlerdir; zincirdeki adım sayısı görsel sayısından daha belirleyicidir. Tanımlanan iş için, iş başlamadan sabit bir fiyat alırsınız — saat ücreti işlemez. Gerçek imza için sertifika maliyeti sizinle sertifika kuruluşu arasındadır.

AB Yapay Zekâ Yasası’nın 50. maddesindeki şeffaflık kuralları 2 Ağustos 2026’dan beri uygulanıyor. Bu tarihten önce piyasaya sürülmüş üretken sistemlerin sağlayıcıları için Madde 50(2)’deki makinece okunabilir işaretleme yükümlülüğüne 2 Aralık 2026’ya kadar geçiş süresi tanındı. Bunun işletmeniz için ne anlama geldiği hukuki bir sorudur; bu sayfa işin teknik tarafını anlatır.

• Madde 50, (AB) 2024/1689 sayılı Tüzük (metni AI Act Explorer’da okudum): 50(1) — sağlayıcılar, insanların bir yapay zekâ sistemiyle, örneğin bir sohbet botuyla etkileşimde olduklarını bilmelerini sağlar. 50(2) — sentetik ses, görsel, video ya da metin üreten sistemlerin sağlayıcıları çıktıları makinece okunabilir biçimde, yapay olarak üretildiği ya da değiştirildiği tespit edilebilecek şekilde işaretler. 50(3) — duygu tanıma ya da biyometrik sınıflandırma sistemi uygulayıcıları, maruz kalan kişileri bilgilendirir. 50(4) — uygulayıcılar derin sahteleri (deepfake) açıklar; açıkça sanatsal, yaratıcı, hiciv ya da kurgu niteliğindeki işlerde bu daha sınırlı bir biçimde yapılır. Kamuoyunu kamu yararını ilgilendiren konularda bilgilendirmek için yayımlanan yapay zekâ üretimi metinler de, insan incelemesinden geçmediyse ve editoryal sorumluluğu üstlenen biri yoksa açıklanır. 50(5) — bilgi en geç ilk etkileşimde ya da ilk karşılaşmada açık ve ayırt edilebilir biçimde verilmeli ve erişilebilirlik gereklerine uymalıdır.
• Sağlayıcı mı, uygulayıcı mı: Yasa ikisini Madde 3(3) ve 3(4)’te tanımlar. Bir ajans, marka ya da yayıncı, rolüne göre biri, öbürü ya da ikisi birden olabilir. Bu karar hukuk danışmanınızındır; setin 1. sayfasındaki kontrol listesi ona götüreceğiniz soruları sıralıyor.
• Geçiş süresi: Yapay zekâ için Dijital Omnibus, yani (AB) 2026/1744 sayılı Tüzük, 8 Temmuz 2026’da kabul edildi, 24 Temmuz’da AB Resmî Gazetesi’nde yayımlandı ve 27 Temmuz 2026’dan beri yürürlükte. Madde 111(4)’ü değiştiriyor: 2 Ağustos 2026’dan önce piyasaya sürülmüş sistemlerin sağlayıcıları, Madde 50(2)’ye uymak için gerekli adımları 2 Aralık 2026’ya kadar atmalı. Bunu AI Act Explorer’ın Dijital Omnibus sayfasında ve Cuatrecasas’ın özetinde doğruladım. İki kaynak da geçiş süresini yalnızca Madde 50(2) için anlatıyor.
• Türkiye’deki şirketler: Yasanın kapsamı (Madde 2), çıktısı AB’de kullanılan, AB dışındaki sağlayıcı ve uygulayıcılara da uzanır. Avrupa’daki müşteriler için içerik üreten bir ajansın ya da AB’ye satış yapan bir markanın bu kapsamda olup olmadığı, yine hukuki bir sorudur.
• Yöntemler: Yasa IPTC’yi ya da C2PA’yı şart koşmaz. İkisi yaygın kullanılan makinece okunabilir yöntemlerdir; filigran bir başkasıdır. Bu tür içeriklerin tespiti ve etiketlenmesine ilişkin uygulama kurallarını düzenleyen Madde 50(7), AI Act Explorer’da “değiştirildi” olarak işaretli.

Hukuki not: Bu sayfa işin teknik tarafını anlatır. 50. maddenin sizin için geçerli olup olmadığını ve sağlayıcı mı uygulayıcı mı olduğunuzu hukuk danışmanınızla netleştirin.

İkisi farklı iş görür: etiket insanlara, meta veri ve C2PA manifestosu yazılıma söyler. Örnekte etiket temizlemeden sağ çıktı ama kırpmadan çıkamadı; meta veri kırpmadan çıktı ama temizlemeden çıkamadı. Bu yüzden ikisini birlikte kullanıyor ve zincirinizde test ediyorum. Yasanın sizden hangisini istediği hukuk danışmanınızın konusudur.

Madde 50 bazı yükümlülükleri yapay zekâ sistemini piyasaya sunan sağlayıcılara, bazılarını da onu kullanan uygulayıcılara yükler. Şirketinizin belirli bir görsel ya da metin için hangi rolde olduğu hukuki bir karardır. Ben teknik olguları belgelerim — hangi araç, hangi adım, hangi kaynak türü — kararı hukuk danışmanınız verir.

Yapay Zekâ Yasası’nın kapsamı, çıktısı AB’de kullanılan, AB dışındaki sağlayıcı ve uygulayıcıları da içerir. Bunun sizin içeriğinize uygulanıp uygulanmadığına hukuk danışmanınız karar verir. Teknik iş, nerede olursanız olun aynıdır.

Görselin nasıl yapıldığına bağlı: tamamen üretilmiş görsel için trainedAlgorithmicMedia, üretilmiş öğeler bir fotoğrafla birleştirildiyse compositeWithTrainedAlgorithmicMedia, eğitilmiş model olmadan algoritmayla yapılmış görseller için algorithmicMedia. Her görselin nasıl yapıldığını sorar, yanıtı kayda geçiririm; araçlar değerin doğru olup olmadığını denetlemez.

Çünkü zincirdeki bir adım dosyayı meta veri olmadan yeniden yazıyor. Örnekte görsel başına yaygın 13 adımın 6’sı IPTC verisini sildi; C2PA manifestosu 13 adımın tamamında silindi ya da bozuldu. Dayanıklılık testi o adımı ve değişmesi gereken ayarı bulur.

Hayır. Sizin ya da ajansınızın ürettiği dosyaları etiketler, imzalar ve test ederim. Örnekteki iki görsel, yapay zekâ modeli kullanılmadan kodla yapılmış temsili görsellerdir; böylece sayfa, hiçbir şeyi gerçek yapay zekâ çıktısı gibi sunmadan yöntemi gösteriyor.

Sette her biri için TR, EN ve DE kısa ve uzun açıklama satırları, altyazı, ekran notu ve sohbet mesajı için HTML var. Video ya da ses dosyalarının içine makinece okunabilir işaret koymak örnek çalışmanın parçası değil; önce sizin örnek bir dosyanızı test ederim.

• C2PA içerik kimlik bilgileri
• Alt metin ve görsel betimleme
• Erişilebilir renk paleti
• Erişilebilir PDF (PDF/UA)
• Erişilebilir Word ve PowerPoint
• Erişilebilir EPUB
• Erişilebilir e-posta bülteni
• Erişilebilir grafik ve infografik

Tek bir görsel ya da tek bir sayfa bağlantısı — mümkünse aynı resmin dışa aktarılmış ve yayımlanmış hâli. Ne taşıdığını, nerede kaybolduğunu ve düzeltmek için ne gerektiğini açıkça yazarım.

Ali Karabüyük · Tekirdağ, Türkiye · dünyanın her yerindeki müşterilerle uzaktan çalışıyor · 2004’ten beri belge ve görsel üretimi, 2008’den beri profesyonel olarak.