AB Yapay Zeka Yasası 2 Ağustos 2026 Tarihinde Devreye Giriyor: Türkiye İçin Ne Anlama Geliyor?

Avrupa Birliği Yapay Zeka Yasası kapsamındaki şeffaflık ve genel amaçlı model kurallarının önemli bir bölümü 2 Ağustos 2026 tarihinde uygulanmaya başlıyor ve düzenleme, merkezi Türkiye olan şirketleri de kapsayabiliyor. Belirleyici ölçüt şirketin adresi değil, yapay zeka sisteminin çıktısının nerede kullanıldığı. Avrupa pazarına hizmet veren bir yazılım evi, ihracat yapan bir sanayi firması veya AB müşterisine destek botu sunan bir ajans bu kapsama girebilir.

AI Act nedir ve neden bu kadar konuşuluyor?

Resmî adı Regulation (EU) 2024/1689 olan düzenleme, dünyadaki ilk kapsamlı yapay zeka mevzuatıdır. 1 Ağustos 2024 tarihinde yürürlüğe girdi, ancak yükümlülükler tek seferde değil aşamalı bir takvimle devreye giriyor.

Yasanın temel mantığı risk esaslıdır. Yani bir yapay zeka sisteminin ne yaptığına değil, hata yaptığında kime ne kadar zarar verebileceğine bakar. Aynı teknoloji, bir oyun içinde kullanıldığında neredeyse hiç yükümlülük doğurmazken işe alım elemesinde kullanıldığında ağır sorumluluklar getirir.

Risk seviyeleri neye göre belirleniyor?

• Kabul edilemez risk: Sosyal puanlama, davranış manipülasyonu ve belirli biyometrik uzaktan tanımlama uygulamaları. Bu kategori 2 Şubat 2025 tarihinden bu yana yasak.
• Yüksek risk: İstihdam ve insan kaynakları eleme sistemleri, kredi değerlendirme, eğitim, kritik altyapı ve hukuk uygulamaları gibi alanlar. En ağır teknik ve belgesel yükümlülükler burada.
• Sınırlı risk: Sohbet robotları ve içerik üreten sistemler. Buradaki temel yükümlülük şeffaflıktır.
• Asgari risk: Spam filtresi veya oyun içi yapay zeka gibi kullanımlar. Özel bir yükümlülük tanımlanmamış, gönüllü davranış kuralları teşvik ediliyor.

2 Ağustos 2026 tarihinde tam olarak ne başlıyor?

Bu tarih, yasanın genel uygulama tarihi olarak öne çıkıyor. Öne çıkan başlıklar şunlar:

• Sohbet robotları ve benzeri etkileşimli sistemler için kullanıcıyı bilgilendirme yükümlülüğü. Yani karşısındakinin bir yapay zeka olduğunu kullanıcının anlaması gerekiyor.
• Genel amaçlı yapay zeka modelleri konusunda Avrupa Komisyonu denetim ve yaptırım yetkilerinin devreye girmesi.
• Piyasaya yeni sürülecek yüksek riskli sistemler için ilgili yükümlülüklerin uygulanmaya başlaması.
• Üye devletlerin ulusal denetim otoritelerini işler hâle getirmesi ve ceza rejiminin fiilen yürümesi.

Yürürlük takvimi neden bu kadar karışık?

Çünkü takvim yol boyunca revize edildi. Digital Omnibus adı verilen paket kapsamında bazı teknik yükümlülüklerin tarihleri ileriye alındı. Güncel tabloyu şöyle özetleyebiliriz:

1. 2 Şubat 2025: Yasaklı uygulamalar ve yapay zeka okuryazarlığı yükümlülüğü.
2. 2 Ağustos 2025: Genel amaçlı yapay zeka modellerine ilişkin kurallar.
3. 2 Ağustos 2026: Genel uygulama, etkileşim şeffaflığı ve denetim yetkileri.
4. 2 Aralık 2026: Yapay zeka ile üretilen içeriğin işaretlenmesine ilişkin yükümlülükler.
5. 2 Aralık 2027: Ek III kapsamındaki bağımsız yüksek riskli sistemler.
6. 2 Ağustos 2028: AB ürün güvenliği mevzuatına tabi ürünlerin içindeki yapay zeka bileşenleri.

Uzmanların ortak vurgusu şu: bu erteleme bir geri adım değil, uyum altyapısının olgunlaşması için verilen ek süre. Yasanın kendisi kaldırılmadı.

Yapay zeka ile üretilen içerik işaretlenecek mi?

Evet, ama işaretleme yükümlülüğünün tarihi Aralık 2026 olarak belirlendi. Bu, üretilen görsel, ses ve metin içeriklerinin makine tarafından okunabilir biçimde işaretlenmesini kapsıyor. Kullanıcı açısından anlamı şu: önümüzdeki dönemde sosyal medyada ve arama sonuçlarında yapay zeka üretimi içeriklerin daha görünür biçimde etiketlenmesi bekleniyor.

Cezalar ne kadar?

Ceza rejimi ihlalin ağırlığına göre kademeli. Kaynaklarda öne çıkan tablo şöyle: teknik nitelikli ve daha hafif ihlallerde ceza 7,5 milyon euro veya küresel yıllık cironun yüzde 1,5 seviyesinden başlayabiliyor. Yasaklı uygulamalar gibi ağır ihlallerde ise üst sınır 35 milyon euroya ya da küresel cironun yüzde 7 oranına kadar çıkabiliyor. Hangi tutarın uygulanacağı, yüksek olan lehine belirleniyor.

Türkiye tarafında durum ne?

Türkiye'de yapay zekaya özgü kapsamlı bir kanun henüz yürürlükte değil. Ancak bu, hiçbir kuralın olmadığı anlamına gelmiyor. Otomatik karar süreçleri, kişisel veri işleme ve veri güvenliği konularında 6698 sayılı KVKK yürürlükte ve Kurul rehberleri bu alana giderek daha fazla odaklanıyor.

Dolayısıyla AB pazarına dokunan Türk şirketleri için çift katmanlı bir uyum tablosu ortaya çıkıyor: AB tarafında AI Act, Türkiye tarafında KVKK.

Bilgilendirme notu: Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş niteliği taşımaz. Şirketinizin durumu için bilişim ve veri koruma hukuku alanında çalışan bir uzmana danışın.

Saha Notu

Avrupa'ya ihracat yapan bir gıda üreticisinin bilgi işlem tarafında çalışıyorum ve bu düzenlemenin sahaya nasıl indiğini yakından görüyorum. İlk fark ettiğim şey şu oldu: şirketlerin çoğu, kaç tane yapay zeka sistemi kullandığını bilmiyor.

Kendi envanterimizi çıkarırken tabloyu görmek şaşırtıcıydı. Bir kalite raporlama aracının içinde görsel anomali tespiti vardı, satın alma tarafında kullanılan bir SaaS aracının içinde talep tahmin modeli çalışıyordu, web sitemizdeki destek formu ise bir dil modeline bağlanıyordu. Hiçbiri uyum dosyasında yapay zeka olarak geçmiyor, hepsi düz yazılım olarak kayıtlıydı.

Bu yüzden ilk somut tavsiyem envanter çıkarmak. Karmaşık bir sistem gerekmiyor. Şu dört sütunlu basit bir tablo işi görüyor: sistemin adı, hangi süreçte kullanıldığı, kişisel veri işleyip işlemediği, çıktısının AB içinde kullanılıp kullanılmadığı. Bu tabloyu doldurduğunuzda hangi maddelerin sizi ilgilendirdiği çoğu zaman kendiliğinden ortaya çıkıyor.

İkinci tavsiyem müşteriye bakan yüzeyle ilgili. Sitenizde bir destek botu varsa, üzerine bunun bir yapay zeka olduğunu ve insan temsilciye nasıl geçileceğini yazan bir bilgilendirme koymak birkaç saatlik bir iş. Şeffaflık yükümlülüğünün ruhu tam olarak bu ve maliyeti neredeyse sıfır.

Üçüncüsü ise bir uyarı: tabloyu Excel dosyasında tutmayın. Yeni bir SaaS aracı satın alındığında veya bir modül güncellendiğinde o dosya güncellenmiyor. Envanteri, satın alma sürecine bağlı bir kontrol adımı hâline getirin ki kendiliğinden yaşasın.

Sık Sorulan Sorular

Türkiye merkezli bir şirket bu yasadan gerçekten etkilenir mi?

Etkilenebilir. Yasanın sınır ötesi etkisi var. Sistemin çıktısı Avrupa Birliği içinde kullanılıyorsa, şirket başka bir ülkede yerleşik olsa bile kapsama girebilir.

ChatGPT veya benzeri araçları kullanmak beni yükümlü kılar mı?

Bireysel kullanım ile bir ürünün parçası olarak sunmak farklı şeylerdir. Bu tür bir aracı kendi hizmetinizin içine gömüp müşteriye sunuyorsanız, en azından şeffaflık yükümlülükleri gündeme gelir.

Küçük işletmeler de kapsamda mı?

Kapsam belirlemede ölçüt şirket büyüklüğü değil, sistemin risk sınıfı ve kullanım alanıdır. Düzenlemede küçük ölçekli sağlayıcılar için bazı kolaylaştırıcı hükümler bulunsa da muafiyet otomatik değildir.

Yüksek riskli sistem kullanmıyorsam hiçbir şey yapmam gerekmiyor mu?

Sınırlı risk kategorisinde bile şeffaflık yükümlülükleri var. Kullanıcının bir yapay zeka ile etkileşimde olduğunu bilmesi gerekiyor.

Bu düzenleme yapay zeka araçlarının Avrupa dışında kalmasına yol açar mı?

Bazı sağlayıcılar yeni özellikleri Avrupa pazarına gecikmeli sunuyor. Tabloyu izlemek gerekiyor, ancak yasanın amacı erişimi engellemek değil sorumluluk çerçevesi kurmak.

Özet

AB Yapay Zeka Yasası, aşamalı takvimindeki en görünür adımlarından birini 2 Ağustos 2026 tarihinde atıyor. Bu tarihte etkileşim şeffaflığı yükümlülükleri ve genel amaçlı modeller üzerindeki denetim yetkileri devreye giriyor; içerik işaretleme yükümlülüğü Aralık 2026, bağımsız yüksek riskli sistemler ise Aralık 2027 tarihine bırakıldı. Yasanın sınır ötesi etkisi nedeniyle Avrupa pazarına hizmet veren Türk şirketleri de kapsama girebiliyor. Atılacak ilk adım basit: kullandığınız yapay zeka sistemlerinin envanterini çıkarın ve müşteriye bakan yüzeye şeffaflık bildirimi ekleyin.