Avrupa Komisyonu, teknoloji devi Google'a yönelik Dijital Pazarlar Yasası (DMA) çerçevesinde iki büyük bağlayıcı karar kabul etti. Alınan en kritik kararla Google; rakip yapay zeka asistanlarına, Android ekosisteminde şu an sadece Gemini'ın sahip olduğu kamera, mikrofon, ekran içeriği, ekran kapalıyken çalışan uyandırma sözcüğü ve arka planda diğer uygulamaları yönetebilme gibi derin işletim sistemi izinlerini sağlama zorunluluğu getirdi. Google, bu altyapıyı en geç 1 Ağustos 2027 tarihine kadar Android 18 sürümüyle birlikte pazara sunmak zorunda.
Avrupa mobil kullanıcılarının yaklaşık yüzde 60'ını etkileyen bu karar, 11 işletim sistemi özelliğini kapsıyor. Bunlardan 6 özellik (arka plan yürütmesi, ekran kapalıyken ses algılama vb.) kullanıcı izni dışında herhangi bir sertifikasyon şartı aranmaksızın tüm üçüncü taraf uygulamalara tamamen açık olacak. Geriye kalan; epostalar, takvim, haritalar ve ekran otomasyonu gibi hassas operasyonları içeren 5 kısıtlı özellik için ise Google, tarafsız ve makul kurallarla işleyen bağımsız bir "Nitelikli Yapay Zeka Asistanı Programı" (Qualified AI Assistant Programme) kurmakla yükümlü kılındı.
Komisyonun aldığı ikinci büyük karar ise Google'ın anonimleştirilmiş arama sorgularını, tıklama ve sıralama verilerini rakip arama motorları ile yapay zeka sohbet botlarına maliyet odaklı bir ücret karşılığında açmasını şart koşuyor. Kararda, kullanıcı verilerinin güvenliğini korumak adına üç aşamalı sıkı bir anonimleştirme filtresi ve alıcı şirketler için en az 50 bin aylık aktif AB kullanıcısı sınırı gibi katı tedbirler öngörülüyor.
Google'ın siber güvenlik itirazı ve esnetilen taslak metin
Google'ın Küresel İşlerden Sorumlu Başkanı Kent Walker, kararın harici uygulamalara hassas izinler vererek cihaz güvenliğini tehlikeye attığını ve telefon üreticilerinin uyguladığı güvenlik filtrelerini devre dışı bıraktığını savundu. Walker, veri anonimleştirme yöntemlerinin de ticari sırlar ve ulusal güvenlik açısından yetersiz kalabileceğini öne sürdü. Bu itirazlar siber güvenlik cephesinde haksız bulunmadı; nitekim SafeBreach araştırmacılarının, bildirimler ve ekran görüntüleri üzerinden Gemini'ın kendi Android Utility ajanını dolaylı girdi enjeksiyonuyla (indirect prompt injection) manipüle edebildiği geçmişte kanıtlanmıştı.
Nisan ayında yayınlanan ilk taslak metinle karşılaştırıldığında, nihai kararın Google'ın itirazları doğrultusunda siber güvenlik adına esnetildiği görülüyor. İlk taslakta kısıtlı özellik listesi veya sertifikasyon programı yer almazken, nihai metinde Google'a modellerin agentic (otonom ajan) risklerine ve siber saldırılara karşı direnç testleri uygulama hakkı tanındı. Ancak Komisyon, Google'ın üçüncü taraf yapay zekalara uygulayacağı hiçbir güvenlik standardının, Gemini'a uyguladığı standartlardan daha katı olamayacağını net bir şekilde hükme bağladı.
arka plan: tekelleşme karşıtı regülasyonlar ve siber güvenlik açmazı
Avrupa Komisyonu'nun bu hamlesi, Avrupa Birliği'nin küresel teknoloji pazarında standart belirleyici gücünü ve dijital egemenlik vizyonunu bir kez daha tescilliyor. ABD menşeli teknoloji devlerinin kendi işletim sistemlerinde yarattığı kapalı devre yapay zeka ekosistemlerini parçalamayı hedefleyen AB, küresel teknoloji diplomasisinde antitröst (rekabet) yasalarını jeopolitik bir araç olarak konumlandırıyor. Ancak Google'ın arama verilerini diğer ülkelere ait AI motorlarına açmak zorunda kalması, uluslararası siber istihbarat ve veri casusluğu cephesinde yeni bir korumacılık krizini tetikleyebilir.
Android 18 ile birlikte hayatımıza girecek olan "ekranı okuma ve arka planda tıklamaları taklit etme" yeteneği, yapay zeka ajanlarının otonom yeteneklerini zirveye taşısa da siber güvenlik mimarisinde devasa bir saldırı yüzeyi oluşturuyor. Üçüncü taraf bir yapay zeka asistanının epostalara, SMS'lere ve anlık ekran görüntülerine tam erişim sağlaması, dolaylı girdi enjeksiyonu saldırılarını akıllı telefonlar için en birincil tehdit haline getirecektir. Google'ın bu riskleri yönetmek adına getireceği sertifikasyon şartlarının, rakip yapay zekaları pazardan dışlamak amacıyla bir "gizli engelleme" aracına dönüştürülüp dönüştürülmeyeceği ise 2027'deki teknik uygulama sürecinde siber dünyanın en çok tartışacağı konu olacaktır.