AB Yapay Zeka Yasası (AI Act, Tüzük 2024/1689), yapay zeka sistemlerini risk düzeyine göre sınıflandırıp her sınıfa farklı yükümlülük getiren Avrupa Birliği düzenlemesidir. Türk şirketleri de AB pazarına yapay zeka içeren ürün ya da hizmet sunduğunda veya sistemin çıktısı AB'de kullanıldığında kapsama girer. İlk iş, şirketteki yapay zeka kullanımlarının envanterini çıkarıp her birinin risk sınıfını belirlemektir.
Türk şirketi olarak bu yasa sizi neden ilgilendiriyor?
Türkiye'de yapay zekaya özgü bir kanun bu yazının hazırlandığı tarihte yürürlükte değil. Temel referans, AB'nin eski veri koruma kuralları örnek alınarak hazırlanan 6698 sayılı KVKK. Bu yüzden birçok yönetici AB Yapay Zeka Yasası'nı "Avrupa'nın meselesi" diye okuyor. Oysa yasa, GDPR'da olduğu gibi şirketin nerede kurulduğuna değil, sistemin nerede piyasaya sunulduğuna ve çıktısının nerede kullanıldığına bakıyor.
Somut olarak üç durum sizi kapsama sokar. Birincisi, yapay zeka bileşeni olan bir yazılımı, makineyi ya da hizmeti AB'deki müşterilere satıyorsanız "sağlayıcı" olursunuz. İkincisi, AB'de şubeniz ya da iştirakiniz varsa ve orada bir yapay zeka sistemi kullanıyorsanız "uygulayıcı" (deployer) sayılırsınız. Üçüncüsü, Türkiye'de çalıştırdığınız bir sistemin ürettiği skor, sınıflandırma ya da içerik AB'deki kişiler hakkında kullanılıyorsa yine kapsamdasınız.
Dolaylı etki de en az doğrudan etki kadar önemli. AB'li alıcılar tedarik zincirlerindeki riski sözleşmeye yansıtıyor; bunu NIS2 tedarikçi gereksinimlerinde ve SKDM karbon raporlamasında gördük. Yapay zeka için de AB'li müşterilerden benzer soru formlarının gelmesi şaşırtıcı olmaz.
AB Yapay Zeka Yasası nedir, risk sınıfları nasıl işler?
AB Yapay Zeka Yasası teknolojiyi değil kullanım amacını düzenler. Aynı dil modeli, müşteri e-postalarını özetlerken düşük riskli, iş başvurularını elerken yüksek riskli olabilir. Bu nedenle sınıflandırma sistem bazında değil, kullanım senaryosu bazında yapılır.
| Risk sınıfı | Örnek kullanım | Temel yükümlülük |
|---|---|---|
| Kabul edilemez risk (yasak) | İşyerinde duygu tanıma, sosyal puanlama, kişilerin zaafını istismar eden manipülasyon | Kullanılamaz |
| Yüksek risk | İşe alımda aday eleme, çalışan performans değerlendirmesi, kredi değerlendirmesi, kritik altyapı güvenlik bileşeni, makine ve asansör gibi ürünlerde güvenlik işlevi | Risk yönetimi, veri yönetişimi, teknik dokümantasyon, kayıt tutma, insan gözetimi, uygunluk değerlendirmesi |
| Sınırlı risk (şeffaflık) | Müşteri hizmetleri chatbot'u, yapay zeka ile üretilmiş görsel, ses veya metin | Kişiye yapay zeka ile etkileşimde olduğunu söylemek; üretken sistemin çıktısını makinece okunabilir biçimde işaretlemek; deepfake ve kamuoyunu bilgilendirme amaçlı üretilmiş metni açıklamak |
| Minimal risk | Spam filtresi, stok tahmini, e-posta sınıflandırma, kalite kontrolde görüntü işleme (güvenlik işlevi yoksa) | Okuryazarlık dışında ek yükümlülük yok; gönüllü davranış kuralları |
Bir de genel amaçlı yapay zeka (GPAI) modelleri için ayrı bir katman var. Bu kurallar büyük dil modellerini geliştiren sağlayıcılara yöneliktir; o modelleri kendi sürecinde kullanan bir Türk şirketi genellikle bu katmanın değil, kendi kullanım senaryosunun risk sınıfının yükümlülüklerini taşır.
Takvim: hangi kural ne zaman devreye giriyor?
Yasa tek seferde yürürlüğe girmedi; kademeli bir takvimi var. Avrupa Komisyonu'nun AI Act düzenleyici çerçeve sayfasına göre yasa 1 Ağustos 2024'te yürürlüğe girdi. Yasaklı uygulamalar ve yapay zeka okuryazarlığı yükümlülüğü 2 Şubat 2025'ten, GPAI modellerine ilişkin kurallar 2 Ağustos 2025'ten beri uygulanıyor ve yasa 2 Ağustos 2026'da genel olarak uygulanabilir hale geldi.
Yüksek riskli sistemlerde tarih kaydı. Aynı Komisyon sayfasına göre 27 Temmuz 2026'da yürürlüğe giren Dijital Omnibus düzenlemesiyle biyometri, kritik altyapı, eğitim ve istihdam gibi alanlardaki yüksek riskli sistemlerin kuralları 2 Aralık 2027'ye, asansör ve oyuncak gibi ürünlere gömülü sistemlerinki 2 Ağustos 2028'e ertelendi. Şeffaflık kuralları ise Ağustos 2026 itibarıyla devrede. Aynı düzenleme, rıza dışı cinsel içerik üreten "çıplaklaştırma" uygulamaları gibi sistemleri Aralık 2026'dan itibaren yasaklı listeye ekledi ve KOBİ'lere tanınan sadeleştirilmiş teknik dokümantasyon gibi kolaylıkları küçük orta ölçekli şirketlere (small mid-cap) de genişletti.
Bu erteleme bir rahatlama değil, hazırlık süresidir. Yüksek riskli bir sistem için teknik dokümantasyon, veri yönetişimi ve kayıt altyapısı birkaç haftada kurulmaz. Yapay zeka okuryazarlığı ve yasaklar ise zaten uygulanıyor.
Beklemenin maliyeti: cezalar ve kaybedilen fırsat
Cezalar ciroya bağlı olduğu için küçük bir ihracat kalemi bile şirketin tamamını ilgilendirir. AI Act'in 99. maddesine göre para cezaları şöyle kademelendiriliyor:
Yasaklı uygulamalar için 35 milyon avroya ya da dünya çapındaki yıllık cironun %7'sine, diğer yükümlülüklerin ihlali için 15 milyon avroya ya da cironun %3'üne, yetkililere yanlış veya eksik bilgi verilmesi için 7,5 milyon avroya ya da cironun %1'ine kadar; hangisi yüksekse. KOBİ'lerde ise tutar ve oran sınırlarından düşük olanı uygulanıyor.
Ceza kadar önemli olan, belirsizliğin kendisinin yatırımı durdurması. TÜİK Yapay Zeka İstatistikleri 2025 bültenine göre yapay zeka kullanmayı düşünüp kullanmayan girişimlerin %62,4'ü hukuki sonuçların net olmamasını neden olarak gösterdi. Ticaret Bakanlığı'nın Türkiye'de E-Ticaretin Görünümü Raporu 2025 anketinde de e-ticaret işletmelerinin yapay zeka kullanımının önündeki en büyük engel %70,3 ile hukuki belirsizlik oldu.
Yani sorun çoğu zaman yasanın kendisi değil, şirketin hangi sınıfa düştüğünü bilmemesi. Envanteri çıkarıp sınıflandırmayı yapan şirket, minimal riskli projelerinin önünde hiçbir engel olmadığını görür ve yalnızca gerçekten riskli olanlara kaynak ayırır.
AB Yapay Zeka Yasası uyumu için 7 adım
Aşağıdaki sıra, AB ile iş yapan orta ölçekli bir Türk şirketinin gerçekçi yol haritasıdır. Her adımın çıktısı bir sonrakinin girdisidir.
- Yapay zeka envanteri çıkarın. Satın alınan yazılımlardaki yapay zeka özellikleri, çalışanların kullandığı üretken yapay zeka araçları ve kendi geliştirdiğiniz modeller dahil her kullanımı listeleyin. Kişisel veri envanteri hazırlamış bir şirket bu işin yarısını biliyor.
- Rolünüzü belirleyin. Her senaryo için sağlayıcı mı, uygulayıcı mı, ithalatçı ya da dağıtıcı mı olduğunuzu yazın. Yükümlülüklerin çoğu role göre değişir. AB dışında kurulu bir sağlayıcı olarak yüksek riskli bir sistemi AB pazarına sunacaksanız AB'de yetkili temsilci atamanız da gerekir.
- Risk sınıfını atayın. Yukarıdaki tabloyu kullanın; İK ve işe alım senaryolarına özellikle dikkat edin. İK yazılımı seçerken aday eleme ya da performans puanlama özelliği varsa bu senaryo yüksek riskli sınıfa girebilir.
- Yasakları hemen kapatın. Kabul edilemez risk sınıfındaki bir kullanım varsa takvim beklemeden durdurun; bu kurallar Şubat 2025'ten beri geçerli.
- Okuryazarlık ve politika. Yapay zekayı kullanan çalışanların okuryazarlığını geliştirmeye yönelik önlem alın ve kuralları şirket yapay zeka kullanım politikasında yazılı hale getirin.
- Şeffaflık katmanını ekleyin. Chatbot'larda kullanıcıya yapay zeka ile konuştuğunu bildirin; deepfake niteliğindeki görsel, ses ve videoları ve kamuoyunu bilgilendirmek için yayımlanan yapay zeka üretimi metinleri açıkça belirtin. İçerik üreten bir sistem sağlıyorsanız çıktının makinece tespit edilebilir biçimde işaretlenmesi de gerekir. Bu kurallar Ağustos 2026'dan beri uygulanıyor.
- Yüksek riskli sistemler için dokümantasyon kurun. Veri kaynakları, model sürümleri, test sonuçları, insan gözetimi adımları ve olay kayıtları izlenebilir olmalı. Model yaşam döngüsünü MLOps süreçleriyle yönetmek bu kanıtın önemli bir kısmını otomatik üretir.
AI Act, KVKK'nın yerine geçmez. Yapay zeka sistemi kişisel veri işliyorsa yapay zeka ve KVKK yükümlülükleri paralel olarak geçerlidir; AB'deki kişilerin verisi söz konusuysa GDPR de devreye girer. İyi haber şu: veri envanteri, erişim yetkisi ve kayıt tutma gibi temel kontroller üç düzenlemede de ortaktır.
Uyum kontrol listesi: sağlayıcı ve uygulayıcı farkı
Yükümlülükler, sistemi geliştiren ile kullanan arasında bölünür. Aşağıdaki kontrol listesi yüksek riskli bir senaryo için kimin neyi göstermesi gerektiğini özetler.
| Kontrol | Sağlayıcı (geliştiren/satan) | Uygulayıcı (kullanan) |
|---|---|---|
| Risk yönetim sistemi | Kurar ve sürdürür | Kullanım talimatına uyar |
| Eğitim verisi kalitesi ve yönetişimi | Belgeler | Kendi girdi verisinin uygunluğunu sağlar |
| Teknik dokümantasyon ve uygunluk değerlendirmesi | Hazırlar | Talep eder, saklar |
| Otomatik kayıt (log) | Sistemde sağlar | Kayıtları saklar |
| İnsan gözetimi | Tasarıma koyar | Yetkin kişiye atar |
| Olay bildirimi | Yetkililere bildirir | Sağlayıcıya ve yetkililere iletir |
Tedarikçiden yapay zekalı bir yazılım alıyorsanız bu tablo satın alma şartnamesine dönüşür. Yapay zeka projesi tekliflerini değerlendirirken tedarikçinin dokümantasyon, kayıt ve insan gözetimi konusundaki cevabı, fiyat kadar belirleyici olmalıdır.
Digital Bridge'de bu işi nasıl yapıyoruz?
Hukuki yorum avukatınızın işidir; biz işin teknik ve süreç tarafını kuruyoruz. Çalışma bir keşif görüşmesiyle başlar: hangi birimlerin hangi yapay zeka araçlarını kullandığını, hangi sistemlerin AB'deki müşteri ya da çalışanlarla temas ettiğini birlikte çıkarırız. Bu envanter, KVKK uyum danışmanlığı kapsamında hazırlanan veri envanteriyle aynı çatı altında tutulur, böylece iki uyum işi birbirini tekrarlamaz.
İkinci aşamada her kullanım senaryosu için rol ve risk sınıfı önerisi, eksik kontroller ve öncelik sırası içeren bir boşluk raporu hazırlarız. Yüksek riskli çıkan senaryolarda veri yönetişimi ve kalite çalışmasıyla eğitim ve girdi verisinin kaynağını, sahibini ve kalite kurallarını belgeleriz.
Uygulama tarafında yeni ya da mevcut sistemlere kayıt tutma, insan onayı adımı ve şeffaflık bildirimlerini yapay zeka entegrasyonu projesinin parçası olarak ekleriz. Çalışanların kontrolsüz genel araçlara şirket verisi taşımasını önlemek için verinin kurum içinde kaldığı bir kurumsal LLM asistanı ile başlayan bir pilot da çoğu zaman hem okuryazarlık hem veri güvenliği sorununu birlikte çözer. Erişim, kayıt ve olay müdahalesi kontrollerini siber güvenlik danışmanlığı ile aynı çerçeveye bağlarız.
Aynı ilkeleri kendi Smart360 ürün ailemizde de uyguluyoruz. Web sitesi için yapay zeka müşteri temsilcimiz SmartOperator, her cevabın hangi bilgiye dayandığını panelde adım adım gösterir, emin olmadığı konuşmayı ekibe devreder ve sipariş ya da form gönderme gibi önemli adımlarda ziyaretçinin onayını bekler. SmartMail ve SmartFiles'ta ise yapay zeka kişi kişi verilen ayrı bir izindir; böylece kimin hangi veride yapay zeka kullanabileceği sistemde tanımlıdır.
Yapay zekaya yeni başlıyorsanız sıralama farklıdır: önce şirketlerde yapay zeka nereden başlamalı sorusunu cevaplar, ilk projeyi baştan düşük riskli ve belgelenmiş olarak tasarlarız. Böylece sonradan uyum için yeniden yazılması gereken kısım azalır. Konuyla ilgili diğer yazılarımızı yapay zeka konu sayfamızda bulabilirsiniz.
Sonraki adım
AB'ye ürün, yazılım ya da hizmet satıyorsanız ilk adım bir yapay zeka envanteri ve risk sınıflandırmasıdır; bu çalışma, önünüzdeki takvimin ne kadar sıkışık olduğunu netleştirir. İletişim sayfamızdan bize ulaşın; mevcut kullanımlarınızı birlikte gözden geçirip hangi senaryonun hangi sınıfa düştüğünü ve nereden başlamanız gerektiğini somut olarak çıkaralım.