AB Yapay Zeka Yasası nedir
AB Yapay Zeka Yasası, Avrupa Birliği'nin yapay zeka sistemlerine ilişkin ortak kurallarını koyan Tüzük (AB) 2024/1689'dur. İngilizce kaynaklarda EU AI Act olarak geçer. 1 Ağustos 2024'te yürürlüğe girdi ve hükümleri aşama aşama uygulanıyor. Tüzük olduğu için üye ülkelerde ayrıca kanuna çevrilmeden doğrudan uygulanır.
Yasa teknolojiyi değil kullanım alanını düzenler. Aynı dil modeli bir pazarlama metni yazarken neredeyse hiçbir yükümlülük doğurmaz. Bir iş başvurusunu elemek için kullanıldığında ise ağır kurallara tabi olur. Yasa bu ayrımı dört risk düzeyiyle yapar.
Yasanın kapsadığı yapay zeka sistemi tanımı, aldığı girdiden tahmin, içerik, öneri ya da karar gibi çıktılar üreten makine tabanlı sistemlerdir. Tanımın teknik arka planı için yapay zeka nedir yazımıza bakabilirsiniz.
Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş değildir. Kendi durumunuz için AB hukukunda deneyimli bir avukatla çalışmanızı öneririz.
Yasa Türkiye'deki şirketleri kapsar mı
Evet. Yasa Türkiye'de kurulu bir şirketi de AB pazarıyla ilişkisi ölçüsünde kapsar. Tüzüğün 2. maddesi kapsamı şirketin nerede kurulduğuna değil, sistemin nerede piyasaya sunulduğuna ve çıktısının nerede kullanıldığına bağlar.
Türk şirketleri için tipik durumlar şunlardır:
- AB'ye yazılım satan şirket. Yapay zeka özelliği olan bir SaaS ürününü AB'deki müşterilere sunuyorsanız sağlayıcı olarak kapsama girersiniz.
- AB'ye ürün ihraç eden üretici. Makine, tıbbi cihaz ya da oyuncak gibi AB ürün mevzuatına tabi bir ürünün içinde güvenlik işlevi gören yapay zeka varsa ürün yüksek riskli sayılabilir.
- Çıktısı AB'de kullanılan sistem. Sistem Türkiye'de çalışsa bile ürettiği sonuç AB'de kullanılıyorsa kapsam söz konusu olabilir.
- AB'deki bir müşteriye hizmet veren yazılım evi. AB'li bir müşteri için geliştirdiğiniz sistemi o müşteri kendi adıyla piyasaya sunuyorsa sağlayıcı o müşteri olabilir. Sözleşmede rol dağılımını netleştirmek gerekir.
AB dışında kurulu ve yüksek riskli sistem sağlayan şirketlerin AB'de yetkili bir temsilci ataması gerekir. Yalnız Türkiye'de, yalnız Türk kullanıcılara hizmet veren bir sistem bu yasanın kapsamında değildir. Türkiye'de yapay zekayı tek başına düzenleyen bir kanun Ekim 2026 itibarıyla yürürlükte değil. TBMM'ye sunulmuş teklifler bulunuyor. Kişisel veri boyutunda ise 6698 sayılı KVKK (Kişisel Verilerin Korunması Kanunu) uygulanmaya devam ediyor.
Risk sınıfları nelerdir
AB Yapay Zeka Yasası sistemleri kabul edilemez, yüksek, sınırlı ve asgari risk olmak üzere dört sınıfa ayırır. Yükümlülüğün ağırlığı risk sınıfına göre artar.
| Risk sınıfı | Örnekler | Sonuç |
|---|---|---|
| Kabul edilemez risk | Sosyal puanlama, kişinin zaafını istismar eden manipülasyon, iş yerinde ve okulda duygu tanıma, internetten hedefsiz yüz görüntüsü toplama | Yasak |
| Yüksek risk | CV eleme, kredi puanlama, hayat ve sağlık sigortası fiyatlaması, eğitimde sınav değerlendirmesi, ürün güvenlik bileşenleri | Risk yönetimi, dokümantasyon, insan gözetimi, uygunluk değerlendirmesi, kayıt |
| Sınırlı risk | Chatbotlar, yapay zeka ile üretilen içerik, deepfake | Şeffaflık, yani kullanıcıyı bilgilendirme ve içeriği işaretleme |
| Asgari risk | Spam filtresi, stok tahmini, oyunlardaki yapay zeka | Ek yükümlülük yok, gönüllü davranış kuralları |
Yüksek riskli sistemlerin yükümlülükleri
Yüksek riskli sistem sağlayıcısının sorumluluğu en ağırdır. Başlıca yükümlülükler şunlardır:
- Sistemin yaşam döngüsü boyunca işleyen bir risk yönetim sistemi.
- Eğitim verisinin kalitesi ve önyargı kontrolü için veri yönetişimi.
- Teknik dokümantasyon ve otomatik olay kaydı.
- Kullanıcıya açık kullanım talimatı.
- Etkili insan gözetimi.
- Doğruluk, sağlamlık ve siber güvenlik.
- Kalite yönetim sistemi, uygunluk değerlendirmesi, CE işareti ve AB veri tabanına kayıt.
Sistemi kullanan kurumun da yükümlülükleri vardır. Talimata uygun kullanım, insan gözetimi ve kayıtları saklama bunların başında gelir. Kamu kurumları ve kredi ya da sigorta alanındaki bazı kullanıcılar ayrıca temel haklar etki değerlendirmesi yapar. Dil modeli tabanlı sistemlerde sağlamlık ve siber güvenlik kanıtı için yapay zeka red teaming çalışması yapılabilir.
Genel amaçlı yapay zeka modelleri için kurallar
Genel amaçlı yapay zeka modelleri, yani GPT, Claude, Gemini, Llama gibi çok sayıda farklı işte kullanılabilen modeller için ayrı kurallar 2 Ağustos 2025'ten bu yana uygulanıyor. Bu kurallar modeli geliştiren şirketi hedefler.
Model sağlayıcısı teknik dokümantasyon hazırlar, modeli kendi ürününe entegre eden şirketlere bilgi verir, telif hakkı politikası uygular ve eğitim içeriğinin özetini yayımlar. Çok yüksek hesaplama gücüyle eğitilen modeller sistemik risk taşıyor kabul edilir. Bu modeller için değerlendirme, olay bildirimi ve siber güvenlik yükümlülükleri eklenir.
Türk şirketlerinin çoğu bu modelleri geliştirmez, kullanır. Bir modeli uygulama programlama arayüzü (API) üzerinden alıp kendi ürününüze eklediğinizde model kuralları sizi değil model sağlayıcısını bağlar. Ürününüzün kendisi ise yukarıdaki risk sınıflarına göre değerlendirilir. Modeli kendi verinizle büyük ölçüde değiştirirseniz bazı yükümlülükler size geçebilir.
Uygulama takvimi ve dijital omnibus ertelemesi
AB Yapay Zeka Yasası'nın takvimi 2026'da kabul edilen dijital omnibus düzenlemesiyle değişti. Komisyon değişikliği Kasım 2025'te önerdi. Avrupa Parlamentosu ve Konsey Haziran 2026'da onayladı. Değişiklik, Tüzük (AB) 2026/1744 olarak 24 Temmuz 2026'da Resmi Gazete'de yayımlandı ve 27 Temmuz 2026'da yürürlüğe girdi. Erteleme artık bir öneri değil, yürürlükteki hukuktur.
| Tarih | Ne başladı ya da başlayacak |
|---|---|
| 1 Ağustos 2024 | Yasa yürürlüğe girdi |
| 2 Şubat 2025 | Yasaklı uygulamalar ve yapay zeka okuryazarlığı hükmü |
| 2 Ağustos 2025 | Genel amaçlı model kuralları, yönetişim yapısı ve yaptırımlar |
| 2 Ağustos 2026 | Yasanın genel uygulaması, chatbot ve üretilmiş içerik için şeffaflık kuralları |
| 2 Aralık 2026 | Rıza dışı mahrem görüntü ve çocuk istismarı içeriği üreten sistemlere yeni yasak. 2 Ağustos 2026'dan önce piyasada olan sistemler için içerik işaretleme geçiş süresinin sonu |
| 2 Ağustos 2027 | Ulusal düzenleyici deneme ortamları için son tarih |
| 2 Aralık 2027 | Ek III'teki yüksek riskli sistemler (CV eleme, kredi puanlama gibi). Önceki tarih 2 Ağustos 2026 idi |
| 2 Ağustos 2028 | Ek I kapsamındaki ürünlere gömülü yüksek riskli sistemler. Önceki tarih 2 Ağustos 2027 idi |
Omnibus başka değişiklikler de getirdi. Yapay zeka okuryazarlığı hükmü, şirketlere "sağlama" yükümlülüğü yerine okuryazarlığı destekleyecek önlem alma yükümlülüğü yükleyecek şekilde yeniden yazıldı. KOBİ'lere sağlanan kolaylıklar, KOBİ eşiğini aşan ama büyük şirket sayılmayan küçük orta ölçekli şirketleri de kapsayacak şekilde genişletildi.
Henüz kesinleşmemiş olanlar
Yapay zeka tarafındaki erteleme kesinleşti. Kişisel veri, gizlilik ve siber olay bildirimi kurallarını sadeleştirmeyi amaçlayan ayrı dijital omnibus paketi ise hala müzakere aşamasında. Konsey bu paket için tutumunu 21 Ekim 2026'da belirledi. Avrupa Parlamentosu ile varılacak son metin ve uygulama tarihleri belli değil. Bu paketin GDPR üzerindeki etkisini kesin bilgi gibi okumamak gerekir.
Cezalar ne kadar
AB Yapay Zeka Yasası'nda en ağır ceza, yasaklı uygulamalar için 35 milyon avro ya da dünya çapındaki yıllık cironun yüzde 7'sidir. İkisinden yüksek olanı uygulanır. Diğer yükümlülüklerin ihlalinde üst sınır 15 milyon avro ya da cironun yüzde 3'üdür. Yetkililere yanlış ya da eksik bilgi vermenin üst sınırı 7,5 milyon avro ya da yüzde 1'dir.
KOBİ'ler ve girişimler için iki tutardan düşük olanı esas alınır. Omnibus bu kolaylığı küçük orta ölçekli şirketlere de genişletti. Cezaları üye ülkelerin yetkili makamları uygular. Genel amaçlı model sağlayıcılarına ilişkin denetim ise Avrupa Komisyonu'ndadır.
Türk ihracatçı ve yazılım şirketleri ne yapmalı
Türk şirketleri için ilk adım, AB pazarıyla ilişkili yapay zeka kullanımlarının envanterini çıkarmaktır. Ertelemeyi bekleme süresi olarak değil, hazırlık süresi olarak görmek gerekir. Önerdiğimiz sıra şöyle:
- Envanter çıkarın. Ürünlerinizdeki ve iç süreçlerinizdeki yapay zeka sistemlerini listeleyin. Her biri için hangi pazarda kullanıldığını ve kimin geliştirdiğini yazın.
- Rolünüzü belirleyin. Her sistem için sağlayıcı, kullanıcı (deployer), ithalatçı ya da dağıtıcı rollerinden hangisinde olduğunuzu yazın.
- Risk sınıfını belirleyin. Yasaklı bir kullanım var mı, Ek I ya da Ek III kapsamına giren bir sistem var mı, kontrol edin.
- Şeffaflık işlerini hemen yapın. 2 Ağustos 2026'dan beri uygulanan kurallar gereği AB'deki kullanıcıya hizmet veren bir chatbot, karşısındakinin yapay zeka olduğunu söylemeli. Üretilen içerik için işaretleme altyapısını kurun.
- Yüksek riskli sistem için yol haritası çıkarın. Risk yönetimi, veri yönetişimi, dokümantasyon ve insan gözetimi süreçleri aylar alır. Aralık 2027 ve Ağustos 2028 tarihlerine göre planlayın.
- Ekibi eğitin. Yapay zeka okuryazarlığı yükümlülüğü yumuşasa da sistemi kullanan çalışanın riskleri bilmesi uyumun temelidir. Bunun için rol bazlı kurumsal yapay zeka eğitimi düzenleyebilirsiniz.
- Sözleşmeleri gözden geçirin. AB'li müşteri ve tedarikçilerle sorumluluk dağılımını, dokümantasyon paylaşımını, olay bildirimini yazılı hale getirin.
ISO/IEC 42001 yapay zeka yönetim sistemi standardı ve NIST AI RMF, bu süreçleri kurmak için kullanılabilecek çerçevelerdir. Bir standarda uymak yasaya uyumu tek başına kanıtlamaz ama dokümantasyonun büyük kısmını hazırlar. Uyum işinin şirket içinde bir sahibi yoksa bu rolü dış kaynak yapay zeka yöneticisi üstlenebilir.
Nereden başlamalı
Uyuma en hızlı başlangıç, envanter ve risk sınıflandırmasını birkaç haftalık odaklı bir çalışmayla bitirmektir. Bu iki çıktı olmadan bütçe ve öncelik kararı vermek zordur.
Hukuki yorum avukatınızın işidir. Envanter, teknik dokümantasyon, kayıt altyapısı, insan gözetimi akışı ve şeffaflık bildirimleri ise teknik ekibin işidir. İki tarafın aynı tabloya bakması gerekir. Bu teknik tarafı AB Yapay Zeka Yasası ve KVKK uyum danışmanlığı kapsamında hukuk danışmanınızla birlikte yürütüyoruz. Kredi puanlama gibi yüksek riskli bir alanda model geliştiriyorsanız açıklanabilir risk modelleri sayfamız da işinize yarayabilir.
Sık sorulan sorular
AB Yapay Zeka Yasası ertelendi mi?
Evet. AB Yapay Zeka Yasası'nın yüksek riskli sistemlere ilişkin kuralları ertelendi, ama yasanın tamamı ertelenmedi. Tüzük (AB) 2026/1744 ile Ek III kapsamındaki sistemler 2 Aralık 2027'ye, ürünlere gömülü Ek I sistemleri 2 Ağustos 2028'e kaydı. Yasaklar, genel amaçlı model kuralları ve şeffaflık yükümlülükleri ise eski takvimle uygulanıyor.
ChatGPT kullanan bir Türk şirketi AB Yapay Zeka Yasası'na tabi mi?
Hayır. ChatGPT kullanan bir Türk şirketi yalnız bu kullanım nedeniyle AB Yapay Zeka Yasası'na tabi olmaz. Belirleyici olan, yapay zeka çıktısının AB'de piyasaya sunulan bir ürün ya da hizmette kullanılıp kullanılmadığıdır. AB'deki müşterilere hizmet veren bir chatbot kuruyorsanız şeffaflık kuralları uygulanır. Kullanım yüksek riskli bir alandaysa daha ağır yükümlülükler doğar.
Chatbotlar için ne gibi bir yükümlülük var?
Chatbotlar için temel yükümlülük, kişinin bir yapay zeka sistemiyle etkileşimde olduğunu bilmesini sağlamaktır. Bu kural 2 Ağustos 2026'dan bu yana uygulanıyor. Durum bağlamdan açıkça anlaşılmıyorsa sohbetin başında bildirim yapılmalıdır. Chatbotun ürettiği metin, görsel ya da ses gibi içeriklerin makine tarafından okunabilir şekilde işaretlenmesi de ayrı bir yükümlülüktür.
Türkiye'de AB Yapay Zeka Yasası'na benzer bir kanun var mı?
Hayır. Türkiye'de yapay zekayı tek başına düzenleyen bir kanun Ekim 2026 itibarıyla yürürlükte değil. TBMM'ye sunulmuş kanun teklifleri bulunuyor, kabul edilip edilmeyecekleri ve içerikleri henüz kesin değil. Yapay zeka kullanımında kişisel veri boyutu 6698 sayılı KVKK ile düzenlenmeye devam ediyor. Sektörel düzenleyicilerin kendi kuralları da ayrıca geçerli.