AI Act Nedir? AB Yapay Zekâ Yasası ve Türk Şirketlerine Etkisi

Yapay zekâ tarafındaki düzenleme tartışması iki yıldır sürüyordu; bu ay somut bir eşik geçildi. 2 Ağustos 2026 itibarıyla AB Yapay Zekâ Yasası'nda yüksek riskli sistemlere ilişkin yükümlülüklerin büyük kısmı uygulanmaya başladı.

Bu, "Avrupa'da olan bir şey" gibi görünebilir. Ama kapsamın mantığı, geçen hafta yazdığımız dijital ürün pasaportu konusuyla aynı: ürünün nerede üretildiğine değil, nerede kullanıldığına bakılıyor.

Bu yazı bilgilendirme amaçlıdır, hukuki danışmanlık değildir. Kapsam, istisnalar ve tarihler için Avrupa Birliği'nin resmî metinlerini esas alın ve kendi durumunuz için hukuk danışmanınıza başvurun.

AI Act nedir?

AI Act, yapay zekâ sistemlerini risk seviyesine göre düzenleyen bir yasa. Tek bir kural setini herkese uygulamak yerine, sistemin ne yaptığına bakıp yükümlülüğü ona göre ağırlaştırıyor.

Dört kademe var:

• Kabul edilemez risk: Yasak uygulamalar. Bunlar için uyum değil, kullanmama söz konusu.
• Yüksek risk: İnsanların hakları, güvenliği ve fırsatları üzerinde doğrudan etkisi olan kullanımlar. Yükümlülüğün ağırlığı burada.
• Sınırlı risk: Temel olarak şeffaflık gerektiren kullanımlar; kullanıcının bir yapay zekâyla konuştuğunu ya da içeriğin yapay zekâyla üretildiğini bilmesi gibi.
• Asgari risk: Gündelik araçların çoğu. Ek bir yükümlülük getirmiyor.

Bu kademelendirme pratikte çok işe yarıyor: ekibinizin bir metni özetletmesi ile bir sistemin işe alım kararı üretmesi aynı kategoride değil.

Türkiye'deki bir şirketi neden ilgilendirir?

AI Act Türk mevzuatı değil. Ama kapsamı sınır ötesi: yapay zekâ sisteminiz AB pazarına sunuluyorsa ya da çıktısı AB'de kullanılıyorsa yükümlülük doğabilir.

Tipik örnekler:

• Türkiye'de geliştirilip AB'deki müşterilere satılan bir SaaS ürünü.
• AB'li bir şirketin tedarik zincirinde yer alan, onun sistemine veri veya model çıktısı sağlayan bir tedarikçi.
• AB'deki adaylar için aday eleme yapan bir işe alım aracı.

Ve mevzuattan önce gelen şey genelde sözleşmedir: AB'deki müşteriniz kendi uyumunu sağlayabilmek için sizden dokümantasyon ister. Belge veremeyen tedarikçi listeden düşer. Bu yüzden asıl risk çoğu KOBİ için ceza değil, iş kaybıdır.

Takvim nasıl işledi?

Yasa tek seferde değil, kademeli olarak devreye girdi:

• 1 Ağustos 2024: Yasa yürürlüğe girdi.
• 2 Şubat 2025: Yasak uygulamalar ve personel için yapay zekâ okuryazarlığı yükümlülüğü.
• 2 Ağustos 2025: Genel amaçlı yapay zekâ (GPAI) yükümlülükleri ve yönetişim hükümleri.
• 2 Ağustos 2026: Ek III'te sayılan yüksek riskli kullanımlara ilişkin yükümlülüklerin büyük kısmı.

İkinci maddeye dikkat: yapay zekâ okuryazarlığı bir yükümlülük olarak yazılmış durumda. Yani ekibin bu araçları bilinçli kullanması artık yalnız iyi bir uygulama değil. Bunu nasıl kuracağınızı yapay zekâ okuryazarlığı rehberimizde anlatmıştık.

Hangi kullanımlar yüksek riskli?

Ek III listesinde işletmeleri en çok ilgilendirenler şunlar:

• İstihdam ve insan kaynakları: özgeçmiş eleme, aday sıralama, terfi ve performans değerlendirmesi.
• Kredi değerlendirmesi ve bazı finansal hizmetler.
• Eğitim: sınav değerlendirme, yerleştirme.
• Kritik altyapı yönetimi.
• Kolluk ve göç uygulamaları.

Ayrım şurada netleşiyor: bir sohbet asistanına teklif metni yazdırmak kapsam dışıdır; bir kişi hakkında karar üreten ya da o kararı doğrudan besleyen bir sistem kapsam içindedir.

Yüksek riskli sayılan bir sistem için beklenen yükümlülükler yedi başlıkta toplanıyor: risk yönetimi, veri yönetişimi, kayıt tutma, şeffaflık, insan denetimi, doğruluk ve siber güvenlik.

Bu liste tanıdık gelmeli. Ajanların yetkisini daraltmak, işlem kaydı tutmak ve dışa dönük adımlarda insan onayı bırakmak — yapay zekâ kullanırken kişisel veriyi korumak yazısında anlattığımız düzenin aynısı. KVKK tarafındaki envanter mantığı da (KOBİ'ler için KVKK uyum rehberi) burada yeniden işe yarıyor.

Sağlayıcı mısınız, kullanıcı mı?

Yasanın en çok karıştırılan tarafı bu. Yükümlülük herkese aynı ağırlıkta düşmüyor; rolünüze göre değişiyor.

Sağlayıcı, sistemi geliştirip piyasaya süren taraf. Yükümlülüğün ağır kısmı burada: teknik dokümantasyon, uygunluk değerlendirmesi, kayıt tutma, sistemin izlenmesi.

Kullanıcı ise sistemi kendi işinde çalıştıran taraf. Buradaki beklentiler daha sade ama yok değil: sistemi kullanım talimatına uygun çalıştırmak, girdi verisinin uygun olmasını sağlamak, insan denetimini gerçekten uygulamak ve işleyişi izleyip sorun görüldüğünde bildirmek.

Çoğu KOBİ ikinci grupta. Ama dikkat: hazır bir sistemi alıp kendi markanızla sunarsanız ya da amacını esaslı biçimde değiştirirseniz, rol değişebilir. Yazılım geliştiren bir firmaysanız ve müşterinize karar üreten bir modül veriyorsanız, ilk gruptasınız demektir — bu ayrımı özel yazılım mı, hazır paket mi tartışmasının yeni bir boyutu olarak düşünebilirsiniz.

Bugün yapılabilecek dört şey

Uyum projesi başlatmadan önce atılabilecek adımlar var:

1. Yapay zekâ envanteri çıkarın. Şirkette hangi araç, hangi süreçte, hangi veriyle kullanılıyor? Satın alınan yazılımların içindeki yapay zekâ özelliklerini de yazın — çoğu zaman en çok unutulan yer burasıdır.

2. Her kalemi "karar üretiyor mu?" diye işaretleyin. Metin taslağı üretenler bir kenara, kişi hakkında sonuç doğuranlar bir kenara. Yüksek risk tartışması bu ikinci grupta başlar.

3. AB bağlantınızı netleştirin. AB'ye satıyor musunuz, AB'li bir müşterinin zincirinde misiniz, çıktınız AB'de mi kullanılıyor? Cevap hayırsa bugün için doğrudan yükümlülüğünüz olmayabilir; evetse hazırlığa erken başlamak gerekir.

4. İnsan onayı ve kayıt adımlarını şimdiden koyun. Bunlar hem mevzuatın istediği hem de zaten olması gereken şeyler; sonradan eklemek her zaman daha pahalıdır.

Panik değil, düzen meselesi

Bu düzenlemeyi okuyunca çıkan ilk tepki genelde "biz de mi kapsamdayız" endişesi oluyor. Çoğu küçük işletme için pratik cevap şu: gündelik yapay zekâ kullanımınızın büyük kısmı asgari riskli kategoride kalıyor.

Fark yaratan nokta, kişi hakkında karar üreten sistemler ve AB pazarına dokunan ürünler. Orada da istenen şey sihirli bir teknoloji değil; kayıt, gözetim ve şeffaflık.

Yapay zekâ envanterinizi çıkarmamızı, hangi kullanımların karar üreten sınıfa girdiğini birlikte ayıklamamızı ya da kayıt ve insan onayı adımlarını sistemlerinize eklememizi isterseniz bizimle iletişime geçin; nasıl çalıştığımızı görmek için hizmetlerimize göz atabilirsiniz.