AB Yapay Zekâ Tüzüğü (AI Act):
Türk Şirketlerini Nasıl Etkiler?

Türkiye'de Yürürlükte Değil, Ama Sizi Bağlayabilir

Avrupa Birliği'nin 2024/1689 sayılı Yapay Zekâ Tüzüğü (kısaca "AI Act") 01.08.2024 tarihinde yürürlüğe girdi. Tüzük, üye devletlerde ayrıca kanun çıkarılmasına gerek kalmadan doğrudan uygulanıyor. Türkiye AB üyesi olmadığı için Tüzük bizim iç hukukumuzun parçası değil. Yine de AB pazarına yapay zekâ sistemi satan ya da sisteminin ürettiği sonuç AB'de kullanılan bir Türk şirketi, Tüzük'e uymak zorunda kalabilir. Hangi durumda kapsama girdiğinizi, hangi yükümlülüğün ne zaman başladığını ve şimdiden neler yapabileceğinizi aşağıda bulabilirsiniz.

Tüzük Kimleri Kapsıyor?

Uygulama alanını belirleyen m.2/1, şirketin nerede kurulu olduğuyla ilgilenmez. Belirleyici olan, sistemin ve çıktısının nerede kullanıldığıdır. Türk şirketleri iki yoldan kapsama girer:

• Bir yapay zekâ sistemini AB'de piyasaya süren ya da hizmete sokan sağlayıcı, AB'de mi yoksa üçüncü bir ülkede mi kurulu olduğuna bakılmaksızın kapsamdadır (m.2/1-a).
• Üçüncü bir ülkede kurulu sağlayıcı ve uygulayıcı, sistemin ürettiği çıktı AB'de kullanılıyorsa yine kapsamdadır (m.2/1-c).

Tüzük iki temel rol tanımlıyor. Sağlayıcı, sistemi geliştiren ya da geliştirten ve kendi adı veya markasıyla, ücretli ya da ücretsiz piyasaya süren kişidir (m.3/3). Uygulayıcı (İngilizce metinde "deployer") ise sistemi kendi yetkisi altında kullanan kişi ya da kurumdur. Kişisel ve mesleki olmayan kullanım bu tanıma girmez (m.3/4).

Birkaç örnek:

• Konya'daki bir yazılım şirketi, aday özgeçmişlerini puanlayan insan kaynakları yazılımını Almanya'daki müşterilerine satıyor. Şirket sağlayıcıdır, Tüzük'e tabidir.
• Bir ihracatçı, AB'deki alıcılarla yazışan bir sohbet robotunu sitesine koyuyor. Çıktı AB'de kullanıldığı için şeffaflık yükümlülükleri devreye girer.
• Bir şirket yapay zekâ aracını yalnızca Türkiye'deki iç işlerinde kullanıyor ve çıktısı AB'ye gitmiyor. Tüzük uygulanmaz; KVKK ve diğer Türk mevzuatı ise uygulanmaya devam eder.

Risk Katmanları

Tüzük her sistemi aynı kurala bağlamıyor; yükümlülük, sistemin doğurabileceği riske göre artıyor.

• En üstte yasak uygulamalar var (m.5). Örneğin işyerinde ve okulda kişilerin duygularını çıkarsamaya çalışan sistemler, tıbbi ya da güvenlik amaçlı kullanım dışında yasaktır (m.5/1-f). 2026/1744 sayılı değişiklik Tüzüğü listeye iki yasak daha ekledi: tanınabilir bir kişinin rızası olmadan cinsel içerikli gerçekçi görüntü veya ses üreten sistemler ve çocuk istismarı içeriği üreten sistemler.
• İkinci katmanda Ek III'te sayılan yüksek riskli sistemler bulunuyor. Türk şirketlerini en çok ilgilendirenler şunlar: işe alım ve aday değerlendirme, terfi, iş sözleşmesinin sona erdirilmesi ve çalışan performansının izlenmesi (Ek III, 4. bent); gerçek kişilerin kredi notunun belirlenmesi, hayat ve sağlık sigortasında risk değerlendirmesi ve fiyatlama (Ek III, 5. bent).
• Üçüncü katman şeffaflık yükümlülükleri (m.50). İnsanlarla doğrudan konuşan bir sistem, karşısındakine yapay zekâ ile konuştuğunu bildirmelidir (m.50/1). Ses, görüntü, video veya metin üreten sistemlerin çıktıları makinece okunabilir biçimde işaretlenmelidir (m.50/2). Deepfake niteliğinde içerik yayan uygulayıcı da içeriğin yapay olarak üretildiğini açıklamak zorundadır (m.50/4).
• Büyük dil modelleri gibi genel amaçlı modellerin sağlayıcıları için ayrı kurallar var. Bu modelleri çoğunlukla büyük teknoloji şirketleri sunuyor. Onları kendi ürününde kullanan Türk şirketi ise kendi sistemindeki rolüne göre değerlendirilir.

Takvim Değişti: 2026/1744 Sayılı Tüzük

Hükümler tek seferde değil, kademeli olarak uygulanıyor. AB, 24.07.2026 tarihinde Resmî Gazetesi'nde yayımlanıp 27.07.2026 tarihinde yürürlüğe giren 2026/1744 sayılı Tüzük ("Digital Omnibus on AI") ile yüksek riskli sistemlerin tarihlerini erteledi. Güncel takvim:

• 02.02.2025: Genel hükümler ve yasak uygulamalar (Bölüm I ve II) uygulanmaya başladı. Yapay zekâ okuryazarlığı yükümlülüğü (m.4) de bu bölümde yer alıyor.
• 02.08.2025: Genel amaçlı yapay zekâ modellerine ilişkin kurallar ile ceza hükümleri uygulanmaya başladı.
• 02.08.2026: Tüzük'ün genel uygulama tarihi. Şeffaflık yükümlülükleri (m.50) o günden beri uygulanıyor.
• 02.12.2026: Yeni eklenen iki yasak bu tarihte başlıyor. 02.08.2026'dan önce piyasaya sürülmüş içerik üreten sistemlerin m.50/2'deki işaretleme yükümlülüğünü yerine getirmesi için verilen süre de bu gün doluyor.
• 02.12.2027: Ek III'teki yüksek riskli sistemlerin (işe alım, kredi notu, sigorta gibi) yükümlülükleri başlıyor.
• 02.08.2028: Ek I'deki AB ürün mevzuatına tabi ürünlerde kullanılan yüksek riskli sistemlerin yükümlülükleri başlıyor.

Erteleme yükümlülükleri kaldırmadı, sadece başlangıcı ileri attı. Yüksek riskli bir sistem geliştiriyorsanız kalite yönetimi, teknik dokümantasyon ve uygunluk değerlendirmesi aylar sürebilir. Bu yüzden hazırlığı 2027 sonuna bırakmamak gerekir.

Yüksek Riskli Sistem Sağlayıcısıysanız

AB dışında kurulu bir sağlayıcı, yüksek riskli sistemini AB pazarına sunmadan önce AB'de kurulu bir yetkili temsilciyi yazılı yetki belgesiyle atamak zorunda (m.22/1). Yetkili temsilci, uygunluk beyanının ve teknik dokümantasyonun hazırlandığını doğrular, gerektiğinde yetkili makamlara bilgi verir.

Sistemi kullanan AB'deki müşterinizin de uygulayıcı olarak yükümlülükleri var: sistemi kullanım talimatına uygun kullanacak ve insan gözetimini gerekli yetkinlik, eğitim ve yetkiye sahip kişilere verecek (m.26/1, m.26/2). Bu yüzden AB'li müşteriniz sizden kullanım talimatı, teknik bilgi ve sözleşmede uyum güvencesi isteyecektir. Sözleşmelerinizi buna göre gözden geçirmekte fayda var.

Yaptırımlar

İdari para cezalarının üst sınırları yüksek tutulmuş (m.99):

• Yasak uygulamalarda 35 milyon avro ya da şirketin bir önceki mali yıldaki dünya çapındaki yıllık cirosunun %7'si, hangisi yüksekse (m.99/3).
• Sağlayıcı, yetkili temsilci, ithalatçı, dağıtıcı ve uygulayıcı yükümlülükleri ile şeffaflık yükümlülüklerinin ihlalinde 15 milyon avro ya da cironun %3'ü (m.99/4).
• Yetkili makamlara yanlış, eksik veya yanıltıcı bilgi verildiğinde 7,5 milyon avro ya da cironun %1'i (m.99/5).

KOBİ'lerde ve girişimlerde tutar ile oran arasından düşük olanı üst sınırdır (m.99/6). 2026/1744 sayılı Tüzük bu kolaylığı, KOBİ ölçeğini aşan ama hâlâ küçük sayılan orta büyüklükteki şirketlere ("small mid-cap") de tanıdı (m.99/6a). Genel amaçlı yapay zekâ modeli sağlayıcılarına ise cezayı doğrudan Avrupa Komisyonu verir (m.101).

KVKK ile İlişkisi

Türkiye'de yapay zekâyı özel olarak düzenleyen, yürürlükte bir kanun yok. Sistem kişisel veri işliyorsa 6698 sayılı Kişisel Verilerin Korunması Kanunu uygulanır. Kanun'un m.11/1-g hükmüne göre ilgili kişi, verilerinin "münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme" hakkına sahiptir. AB pazarında iş yapan bir şirket, aynı sistem için hem KVKK'ya hem AB Tüzüğü'ne uymak zorunda kalabilir; kişisel veri işleniyorsa buna AB Genel Veri Koruma Tüzüğü (GDPR) de eklenir. KVKK tarafındaki ayrıntılar için KVKK ve yapay zekâ sistemleri yazısına bakabilirsiniz.

Şirketiniz İçin Kontrol Listesi

• Kullandığınız ve geliştirdiğiniz yapay zekâ sistemlerinin listesini çıkarın.
• Her sistemde rolünüzü belirleyin: sağlayıcı mısınız, uygulayıcı mı?
• Sistem AB'de piyasaya sürülüyor mu, çıktısı AB'de kullanılıyor mu, tespit edin.
• Sistemin yasak uygulamalara, Ek III'teki yüksek riskli alanlara ya da m.50 kapsamına girip girmediğine bakın.
• Sohbet robotunuzda kullanıcıya yapay zekâ ile konuştuğunu söyleyin, ürettiğiniz içeriği işaretleyin.
• Sistemi kullanan çalışanlarınıza yapay zekâ okuryazarlığı eğitimi verin (m.4).
• AB'li müşteri ve tedarikçi sözleşmelerinizde Tüzük'e uyum ve sorumluluk paylaşımını ele alın.

Sonuç

AB Yapay Zekâ Tüzüğü Türkiye'de doğrudan uygulanmıyor. Ama AB'ye yazılım satan, AB'li müşteriye hizmet veren ya da sisteminin çıktısı AB'de kullanılan bir Türk şirketi için bağlayıcı. Yüksek riskli sistemlerin yükümlülükleri 02.12.2027'ye ertelendi; sohbet robotu bildirimi ve içerik işaretleme gibi şeffaflık kuralları ise bugün yürürlükte. Hangi rolde ve hangi risk katmanında olduğunuzu şimdi belirlerseniz hem ceza riskini hem de AB'li müşterilerle çıkabilecek sözleşme sorunlarını önceden görürsünüz.

Kaynakça

• Regulation (EU) 2024/1689 of the European Parliament and of the Council of 13 June 2024 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act), OJ L, 2024/1689, 12.07.2024, m.2, m.3, m.4, m.5, m.22, m.26, m.50, m.99, m.101, m.113, Ek III.
• Regulation (EU) 2026/1744 of the European Parliament and of the Council of 8 July 2026 amending Regulations (EU) 2024/1689, (EU) 2018/1139 and (EU) 2023/1230 as regards the simplification of the implementation of harmonised rules on artificial intelligence (Digital Omnibus on AI), OJ L, 2026/1744, 24.07.2026.
• 6698 sayılı Kişisel Verilerin Korunması Kanunu m.11.