2 Ağustos 2026 çoğu şirketin takvimine "AB Yapay Zekâ Yasası'nın yüksek risk maddelerinin yürürlüğe gireceği gün" olarak işlenmişti. O gün geldi ve beklenen şey olmadı.
Yüksek riskli sistemlere ilişkin yükümlülükler ertelendi. Ama aynı gün başka bir şey yürürlüğe girdi: şeffaflık yükümlülükleri ve ceza rejimi. Bu ikincisi, çoğu Türk şirketinin bugün fiilen kullandığı yapay zekâya doğrudan değiyor.
Bu yazı hukuki görüş değil. Amacı, karar masasındaki yöneticinin doğru soruyu sorabilmesi. Uyum çalışması gerekiyorsa avukatınızla konuşun; buradaki çerçeve o konuşmayı hazırlıklı yapmanız içindir.
2 Ağustos'ta ne değişti, ne ertelendi?
Önce erteleme. Avrupa Parlamentosu 16 Haziran, Konsey 29 Haziran 2026'da Dijital Omnibus paketini onayladı. Metin Resmî Gazete'de 24 Temmuz'da yayımlandı ve 27 Temmuz 2026'da yürürlüğe girdi. Numarası Regulation (EU) 2026/1744.
Bu düzenleme yüksek riskli yapay zekâ sistemlerinin takvimini geriye aldı:
Kategori | Eski tarih | Yeni tarih |
Ek III bağımsız sistemler (işe alım, kredi skorlama, eğitim, sınır kontrolü) | 2 Ağustos 2026 | 2 Aralık 2027 |
Ek I ürüne gömülü sistemler | 2 Ağustos 2027 | 2 Ağustos 2028 |
Yani risk yönetim sistemi, uygunluk değerlendirmesi, kayıt, veri yönetişimi ve insan gözetimi başlıkları için elinizde 16 ay daha var.
Şimdi ertelenmeyen kısım. 2 Ağustos 2026 itibarıyla üç şey yürürlükte:
Madde 50 şeffaflık yükümlülükleri. Bir kişi yapay zekâ ile etkileşime giriyorsa bunun kendisine bildirilmesi gerekiyor. Yapay zekâ tarafından üretilmiş ya da değiştirilmiş içeriğin işaretlenmesi ve tespit edilebilir olması gerekiyor.
Yaptırım yetkisi. AB Yapay Zekâ Ofisi ve üye devlet otoriteleri artık denetim ve yaptırım yetkisini fiilen kullanıyor. Genel amaçlı yapay zekâ modelleri üzerindeki yetki doğrudan Ofis'te.
Ceza rejimi. Madde 50 kapsamındaki ihlaller için üst sınır 15 milyon avro ya da dünya genelindeki yıllık cironun yüzde 3'ü, hangisi yüksekse. Yasaklı uygulamalarda tavan 35 milyon avro veya yüzde 7.
Bir tarih daha var: 2 Aralık 2026'da iki yeni yasaklı uygulama devreye giriyor, ikisi de gerçekçi mahrem görüntü üretimiyle ilgili.
Türk şirketi AB'de ofisi yokken neden kapsama giriyor?
Bu sorunun cevabı Tüzüğün 2. maddesinde ve mantığı KVKK'nın değil, GDPR'ın kurduğu modele benziyor.
Kapsam üç yoldan tetikleniyor:
Birincisi, AB pazarına yapay zekâ sistemi sunuyorsanız kapsamdasınız. Nerede kurulu olduğunuzun önemi yok. Web sitesi, API ya da dağıtım kanalı üzerinden AB'deki bir işletmeye veya tüketiciye ulaşıyorsanız sistemi AB pazarına sunmuş sayılıyorsunuz.
İkincisi, AB'de yerleşik bir kullanıcıysanız kapsamdasınız.
Üçüncüsü en geniş olanı: sisteminizin çıktısı AB'de kullanılıyorsa kapsamdasınız. Sistem Türkiye'de çalışsın, veri Türkiye'de dursun, sunucu Türkiye'de olsun. Çıktı AB'de bir karara, bir sürece ya da bir kullanıcıya dokunuyorsa Tüzük sizi görüyor.
Fiziksel varlık şartı yok. Bu üçüncü tetikleyici, ihracat yapan, AB'de bayisi olan, AB merkezli müşteriye hizmet veren ya da AB'deki bir grup şirketine raporlayan Türk şirketlerinin çoğunu kapsam içine alıyor.
Yüksek riskli sistem sunan AB dışı sağlayıcıların ayrıca AB'de yetkili temsilci ataması gerekiyor. Bu yükümlülük 22. maddede.
Türkiye'nin kendi mevzuatı nerede duruyor?
Türkiye'de yapay zekâya özgü, yürürlükte tek bir kanun yok. Konu mevcut mevzuatın uyarlanmasıyla yürüyor: KVKK, Türk Ceza Kanunu, 5651 sayılı İnternet Kanunu ve Borçlar Kanunu.
Meclis'e üç ayrı teklif geldi. 2024 tarihli teklif AB tarzı kapsamlı bir çerçeve kanunu öngörüyordu. 2025'teki iki teklif ise daha dar bir yol seçti, mevcut kanunlarda noktasal değişiklik öneriyor.
Mart 2026'da yayımlanan bir rapor iki önceliğe işaret etti: koordinasyonu tek çatı altında toplayacak bir Türkiye Yapay Zekâ Kurumu kurulması ve Avrupa Konseyi Yapay Zekâ Çerçeve Sözleşmesi'nin onaylanması. Rapor ayrıca AB Tüzüğü ile uyumlu ama teknolojiden bağımsız bir çerçeve kanun ve girişimlerin denetimli test yapabileceği düzenleme deneme alanları öneriyor.
Bugün için pratik sonuç şu: Türkiye'de sizi bağlayan yatay bir yapay zekâ kanunu yok, ama KVKK var. KVKK'nın 15. maddesi bireye otomatik karar süreçlerine itiraz hakkı veriyor. Yani tamamen otomatik verilen bir kararın insan tarafından gözden geçirilebilir olması gerekiyor. Bu, AB Tüzüğü'ndeki insan gözetimi mantığıyla aynı yöne bakıyor.
İki rejim arasındaki boşluk şurada: Türkiye'de yatay yükümlülük yokken AB pazarına dokunan Türk şirketi tam kapsamda olabiliyor. Kendi ülkenizde düzenlenmemiş olmanız, AB'de düzenlenmediğiniz anlamına gelmiyor.
Yürürlükteki yükümlülükler pratikte neyi kapsıyor?
Madde 50 soyut duruyor ama karşılığı çok somut. Bugün AB'ye dokunan tipik kurumsal kullanımlar:
Müşteri hizmetleri sohbet botu. AB'deki bir müşteri sizin botunuzla konuşuyorsa, bir yapay zekâ ile konuştuğunu bilmesi gerekiyor. Bunu anlamasını beklemek yetmiyor, bildirilmesi gerekiyor.
Yapay zekâ üretimi pazarlama içeriği. AB'de yayınlanan görsel, video ya da metin yapay zekâ üretimiyse işaretlenmesi ve makine tarafından tespit edilebilir olması gerekiyor.
Aday eleme ve değerlendirme araçları. Bunlar Ek III kapsamında, yani asıl yükümlülükleri 2 Aralık 2027'ye ertelendi. Ama şeffaflık tarafı ve ceza rejimi bugün işliyor.
Genel amaçlı model üzerine kurulu iç araçlar. Modelin sağlayıcısı üzerindeki denetim yetkisi bugün fiilen kullanılıyor; bu, tedarik zincirinizdeki sözleşmeleri gözden geçirmeniz için yeterli sebep.
Envanter çıkarmadan bu soruların cevabı verilemiyor. Hangi sistem nerede çalışıyor, çıktısı nereye gidiyor, kim sahibi. Çoğu kurumda bu liste yok. Uyum çalışmasının ilk adımı hukuk metni okumak değil, kendi sisteminizi görmek.
Bu kimin işi? Yönetişim sahipliği sorusu
Sahada gördüğümüz en yaygın gecikme sebebi hukuki değil. Sahiplik boşluğu.
Hukuk departmanı metni okuyor ama hangi sistemlerin çalıştığını bilmiyor. Teknoloji ekibi sistemleri biliyor ama yükümlülüğün ne olduğunu bilmiyor. İş birimi ikisini de beklemiyor, aracı kurup kullanmaya başlıyor.
Bu üçgen çözülmeden takvimin uzaması işe yaramaz. 16 ay, sahibi olmayan bir konuda 16 ay gecikme demektir.
Yönetişim sahipliğinin kurulduğu kurumlarda ortak desen şu: konu yönetim kurulu gündemine tek seferlik bir bilgilendirme olarak değil, düzenli bir başlık olarak giriyor. Yanına bir envanter, bir karar mercii ve bir tazeleme ritmi konuyor. Mevzuat hareketli; Omnibus'un kendisi bunun kanıtı.
Speaker Agency olarak bu başlıkta gördüğümüz talep iki formatta yoğunlaşıyor. Yönetim kurulu ve üst yönetim için kısa, karar odaklı brifing. Hukuk, teknoloji ve iş birimlerini aynı masada buluşturan workshop ve master class formatları. İkisinin de amacı uyum danışmanlığı vermek değil; kurumun kendi sorusunu doğru sorabilecek hale gelmesi.
Konuyu iç ekibinize aktarmadan önce ortak bir dil kurmanız gerekiyorsa, yapay zekâ okuryazarlığı programı yazımız altyapıyı anlatıyor. Yönetim kuruluna nasıl anlatılacağı konusunda ise 8 slaytlık rapor şablonu işinizi görebilir.
Sonuç
2 Ağustos bir bitiş çizgisi değildi, bir faz değişimiydi. Ağır yükümlülükler 2027'ye taşındı, görünür olanlar bugün işlemeye başladı.
Türk şirketi için asıl mesele Türkiye'nin kendi kanununu ne zaman çıkaracağı değil. Sizin çıktınızın nereye gittiği. O soru bugün cevaplanabilir ve cevabı hukuk metninde değil, kendi sistem envanterinizde.
Bugün yapabilecekleriniz:
1. Yapay zekâ kullanan sistemlerinizin listesini çıkarın ve her biri için tek soruyu cevaplayın: çıktısı AB'de bir karara ya da kullanıcıya dokunuyor mu?
2. Müşteriye görünen her yapay zekâ temas noktasında bildirim var mı kontrol edin. Sohbet botu, üretilmiş içerik, otomatik yanıt.
3. Konuya bir sahip atayın. Hukuk, teknoloji ve iş birimi arasında paylaşılan sorumluluk pratikte sahipsizliktir.
→ Yönetim kurulunuza yapay zekâ yönetişimi brifingi için Ücretsiz Teklif Alın
---
Sıkça Sorulan Sorular
AB'de ofisimiz yok, yine de AB Yapay Zekâ Yasası bizi bağlar mı?
Bağlayabilir. Tüzüğün 2. maddesi üç tetikleyici tanımlıyor: AB pazarına sistem sunmak, AB'de yerleşik kullanıcı olmak ve sistemin çıktısının AB'de kullanılması. Üçüncüsü en geniş olanı; sistem Türkiye'de çalışsa bile çıktısı AB'de bir karara dokunuyorsa kapsam doğuyor. Fiziksel varlık şartı yok.
Yüksek risk yükümlülükleri ertelendiyse acele etmemize gerek var mı?
Ertelenen kısım risk yönetimi, uygunluk değerlendirmesi ve kayıt gibi ağır başlıklar; Ek III sistemleri için yeni tarih 2 Aralık 2027. Ama şeffaflık yükümlülükleri ve ceza rejimi 2 Ağustos 2026'da yürürlüğe girdi. Müşteriye görünen sohbet botu ve yapay zekâ üretimi içerik bugün kapsamda.
Cezalar ne kadar?
Madde 50 şeffaflık yükümlülüklerinin ihlalinde üst sınır 15 milyon avro ya da dünya genelindeki yıllık cironun yüzde 3'ü, hangisi yüksekse. Yasaklı uygulamalarda tavan 35 milyon avro veya yüzde 7. Bunlar üst sınır; fiili yaptırım ihlalin niteliğine göre belirleniyor.
Türkiye'de yapay zekâ kanunu çıktı mı?
Yürürlükte yapay zekâya özgü tek bir kanun yok. Konu KVKK, Türk Ceza Kanunu, 5651 sayılı kanun ve Borçlar Kanunu üzerinden yürüyor. Meclis'e üç teklif geldi, biri AB tarzı çerçeve kanun, ikisi mevcut kanunlarda noktasal değişiklik öneriyor. Mart 2026 raporu bir Türkiye Yapay Zekâ Kurumu kurulmasını ve Avrupa Konseyi Çerçeve Sözleşmesi'nin onaylanmasını öneriyor.
KVKK uyumluysak AB Tüzüğü'ne de uyumlu sayılır mıyız?
Hayır, ikisi farklı şeyleri düzenliyor. KVKK kişisel veri işlemeye bakıyor, Tüzük yapay zekâ sisteminin kendisine bakıyor. Örtüştükleri yer var; KVKK'nın 15. maddesindeki otomatik karara itiraz hakkı, Tüzüğün insan gözetimi mantığıyla aynı yöne bakıyor. Ama KVKK uyumu Tüzük uyumunu kapsamıyor.
Nereden başlamalıyız?
Sistem envanterinden. Hangi süreçte yapay zekâ var, çıktısı nereye gidiyor, sahibi kim. Bu liste çıkmadan hukuki değerlendirme yapılamıyor çünkü değerlendirilecek şeyin ne olduğu bilinmiyor. Envanter çıktıktan sonra avukatınızla oturun; bu yazı hukuki görüş değil, o konuşmayı hazırlıklı yapmanız için bir çerçeve.
İçindekiler
