AB Yapay Zekâ Tüzüğü (EU AI Act), yapay zekâya ilişkin dünyadaki ilk kapsamlı yasal düzenleme. Birçok Türk şirketi bunun yalnızca AB'deki şirketleri ilgilendirdiğini düşünüyor. Oysa Tüzük, tıpkı GDPR gibi AB sınırlarının ötesine uzanan bir kapsama sahip.
Temmuz 2026'da yürürlüğe giren değişikliklerle (Dijital Omnibus) takvim de güncellendi. Bu yazıda Türk şirketlerinin bilmesi gerekenleri özetliyoruz.
Tüzük Türk şirketlerine uygulanır mı?
Tüzüğün 2. maddesine göre şu durumlarda AB dışındaki şirketler de kapsama girer:
- AB pazarına yapay zekâ sistemi sunuyorsanız (sağlayıcı olarak): Örneğin AB'li müşterilere yapay zekâ destekli bir yazılım satan bir Türk yazılım şirketi.
- Yapay zekâ sisteminizin ürettiği çıktı AB'de kullanılıyorsa: Sistem tamamen Türkiye'de çalışsa bile, ürettiği karar, tahmin veya içerik AB'de kullanılıyorsa Tüzük uygulanabilir.
- AB'de bir şubeniz veya iştirakiniz varsa ve orada yapay zekâ sistemleri kullanılıyorsa.
Yani AB'ye ihracat yapan, AB'de müşterisi olan veya AB'de faaliyet gösteren grup şirketleri bulunan Türk şirketleri için Tüzük doğrudan gündem konusu.
İki temel rol: Sağlayıcı ve uygulayıcı
- Sağlayıcı (provider): Yapay zekâ sistemini geliştiren veya kendi adıyla piyasaya sunan taraf. Yükümlülüklerin büyük kısmı sağlayıcıdadır.
- Uygulayıcı (deployer): Yapay zekâ sistemini kendi faaliyetlerinde kullanan taraf. Örneğin satın aldığı bir işe alım yazılımını kullanan şirket.
Kurumunuzun her yapay zekâ sistemi için hangi rolde olduğunu belirlemek, yükümlülükleri anlamanın ilk adımıdır.
Risk temelli yaklaşım
| Risk sınıfı | Örnekler | Ne gerekiyor? |
|---|---|---|
| Yasaklı uygulamalar | Manipülatif teknikler, sosyal puanlama, iş yerinde duygu tanıma (istisnalar hariç) | Kullanılamaz |
| Yüksek risk | Kredi değerlendirmesi ve kredi skorlama, işe alım ve çalışan değerlendirme, eğitimde değerlendirme, hayat ve sağlık sigortasında fiyatlama | Risk yönetimi, veri kalitesi, dokümantasyon, insan denetimi, kayıt tutma |
| Şeffaflık yükümlülüğü | Sohbet asistanları, yapay zekâ ile üretilen içerik, deepfake | Kullanıcının yapay zekâyla etkileşimde olduğunun bildirilmesi, içeriğin işaretlenmesi |
| Minimal risk | Spam filtreleri, çoğu verimlilik aracı | Ek yükümlülük yok (yapay zekâ okuryazarlığı hariç) |
Finans sektörü için önemli bir not: Gerçek kişilerin kredi değerlendirmesi ve kredi skorlaması yüksek riskli kabul edilirken, finansal dolandırıcılık tespiti amacıyla kullanılan sistemler bu kapsamın dışında tutuluyor.
Güncel uygulama takvimi
| Tarih | Ne uygulanıyor? |
|---|---|
| 2 Şubat 2025 | Yasaklı uygulamalar ve yapay zekâ okuryazarlığı (Madde 4) |
| 2 Ağustos 2025 | Genel amaçlı yapay zekâ modelleri (GPAI) kuralları, ceza hükümleri |
| 2 Ağustos 2026 | Tüzüğün genel olarak uygulanması, şeffaflık yükümlülükleri |
| 2 Aralık 2026 | Bazı içerik işaretleme yükümlülükleri (mevcut sistemler için) |
| 2 Aralık 2027 | Ek III'teki yüksek riskli sistemler (kredi, işe alım, eğitim vb.) |
| 2 Ağustos 2028 | Ürün mevzuatına bağlı yüksek riskli sistemler (Ek I) |
Temmuz 2026'daki değişiklikle yüksek riskli sistemlere ilişkin ana yükümlülükler ertelendi. Ancak bu bir iptal değil; hazırlık için ek süre anlamına geliyor. Yapay zekâ okuryazarlığı yükümlülüğünün dili de "sağlamak" yerine "gelişimini desteklemek" şeklinde esnetildi, ama yükümlülük devam ediyor.
Cezalar
- Yasaklı uygulamalar: 35 milyon avroya veya küresel yıllık cironun %7'sine kadar
- Diğer yükümlülüklerin ihlali: 15 milyon avroya veya küresel cironun %3'üne kadar
- Yetkililere yanlış bilgi verilmesi: 7,5 milyon avroya veya küresel cironun %1'ine kadar
Hangi tutar yüksekse o uygulanır; KOBİ'ler için daha düşük olan tutar esas alınır.
Türk şirketleri şimdi ne yapmalı?
- Kapsam analizi: AB pazarıyla temasınızı ve yapay zekâ sistemlerinizin çıktılarının AB'de kullanılıp kullanılmadığını belirleyin.
- Yapay zekâ envanteri: Kullandığınız ve geliştirdiğiniz tüm yapay zekâ sistemlerini listeleyin; her biri için rolünüzü (sağlayıcı/uygulayıcı) belirleyin.
- Risk sınıflandırması: Yasaklı veya yüksek riskli kategoriye girebilecek sistemleri işaretleyin.
- Boşluk analizi: Yüksek riskli sistemler için risk yönetimi, dokümantasyon, veri yönetişimi ve insan denetimi süreçlerinizi Tüzük gereklilikleriyle karşılaştırın.
- Okuryazarlık ve şeffaflık: Çalışan eğitimlerini ve müşteriye dönük bilgilendirmeleri şimdiden ele alın; bu yükümlülükler zaten uygulanıyor.
Türkiye Yapay Zekâ Eylem Planı (2026–2030) da benzer bir risk temelli yaklaşımı benimsediği için, AB'ye uyum için atılan adımlar Türkiye'deki olası düzenlemelere hazırlığı da kolaylaştıracak.
Yapay Zekâ Yönetişimi ve Uyum hizmetimizle envanter, risk sınıflandırması ve boşluk analizini birlikte yapıyoruz. Kredi skorlama gibi yüksek riskli alanlarda modelleriniz için Model Riski ve Model Doğrulama hizmetimizden de yararlanabilirsiniz.
Kaynaklar