Ertelenen bir yükümlülük, ortadan kalkan bir yükümlülük değildir. AB Yapay Zeka Yasası'nın yüksek risk başlığı 2027'ye kaydı; bu, Türk şirketlerine hazırlık zamanı verdi, muafiyet vermedi.
"Bu kanun bizi etkilemez, biz Avrupa'ya satış yapmıyoruz." Geçen ay bir savunma sanayisi şirketinin genel müdüründen bunu duydum. Şirketin ana ofisi İstanbul'da, üretimi Türkiye'de, müşterileri çoğunlukla yerli. Ama tedarik zincirindeki üç büyük müşterisi Almanya'da ve şirketin kalite kontrol sisteminde çalışan görüntü işleme modeli, çıktısını o müşterilere gönderiyor.
Kapsamın nasıl doğduğunu ve kimlerin bağlandığını AB Yapay Zeka Yasası'nın Türk şirketlerini nasıl bağladığını anlattığımız yazıda ayrıntılı ele almıştık. Bu yazı oradan devam ediyor: kapsamda olduğunuzu anladıktan sonra ne yapacaksınız.
Bugün neyin bağlayıcı olduğunu ayırt edin
Erteleme haberi piyasada "AI Act 2027'ye kaldı" diye dolaşıyor. Bu okuma yanlış ve pahalıya mal olabilir.
Durum | Ne kapsıyor | Ne zaman |
Bugün bağlayıcı | Yasaklı uygulamalar | Şubat 2025'ten beri |
Bugün bağlayıcı | Genel amaçlı model yükümlülükleri | Ağustos 2025'ten beri |
Bugün bağlayıcı | Ceza rejimi ve yaptırım yetkisi | Ağustos 2025'ten beri |
Bugün bağlayıcı | Şeffaflık: kullanıcıya yapay zeka ile konuştuğunu bildirme, üretilen içeriği işaretleme | 2 Ağustos 2026'dan beri |
Ertelendi | Yüksek riskli sistemlerde sağlayıcı ve kullanıcı yükümlülükleri (Ek III) | 2 Aralık 2027 |
Ertelendi | Ürüne gömülü yüksek riskli sistemler (Ek I) | 2 Ağustos 2028 |
Bir ayrıntı: 2 Ağustos 2026'dan önce piyasada olan üretken sistemler için makine tarafından okunabilir işaretleme yükümlülüğü 2 Aralık 2026'da devreye giriyor. Aynı tarihte iki yeni yasaklı uygulama da yürürlüğe giriyor.
Yani bugün bir Türk şirketini fiilen bağlayan şey şeffaflık ve yasak listesi. Yüksek risk dokümantasyonu ise on beş aylık bir hazırlık penceresi.
Önce şu soruyu cevaplayın: sağlayıcı mısınız, kullanıcı mı?
Bu ayrım, uyum yükünüzün tamamını belirliyor ve pratikte en sık atlanan adım.
Sağlayıcı, yapay zeka sistemini geliştirip kendi adı veya markasıyla piyasaya sunan taraf. Yükümlülüklerin ağır kısmı burada: risk yönetim sistemi, veri yönetişimi, teknik dokümantasyon, kayıt tutma, insan gözetimi tasarımı, kalite yönetim sistemi, uygunluk değerlendirmesi, AB veri tabanına kayıt, pazar sonrası izleme.
Kullanıcı, sistemi kendi işinde kullanan taraf. Türk şirketlerinin ezici çoğunluğu burada. Yükümlülükler belirgin şekilde daha dar: sistemi kullanım talimatlarına uygun kullanmak, insan gözetimini yapay zeka okuryazarlığı olan yetkin kişilere vermek, kontrol ettiğiniz girdi verisinin amaca uygun olmasını sağlamak, çalışmayı izlemek ve riskte durdurup bildirmek, logları en az altı ay saklamak, işyerinde kullanımdan önce çalışanları bilgilendirmek.
Aradaki çizgi ince bir yerde kayabiliyor. Satın aldığınız bir sistemi kendi markanızla sunarsanız, esaslı biçimde değiştirirseniz veya kullanım amacını değiştirirseniz, kullanıcıyken sağlayıcı konumuna geçersiniz. Uyum bütçesi ikiye katlanır.
Bir yanlış anlamayı da burada kapatalım: AB'li bir tedarikçiden hizmet almak sizi kapsama sokmaz. Mistral'in API'sini kullanan bir Türk şirketi, bu nedenle yükümlü hale gelmez. Kapsam, çıktının nerede kullanıldığına bakar. Ancak AB'li sağlayıcı kendi yükümlülüğünü sözleşmeyle size aktarır; bu hukuki kapsam değil, ticari aktarımdır. Farkı bilmek, sözleşme masasında işinize yarar.
6 aksiyon
Dört farklı sektörden Türk şirketiyle aynı altı adımı uyguluyorum. Sıra önemli; ikinci adımı atlayıp dördüncüye geçen her şirket geri döndü.
Aksiyon 1: Kapsam değerlendirmesi. Tek soru: üç tetikleyiciden hangisi bizde var? Hukuk müşaviri, uluslararası satış lideri ve bilgi güvenliği sorumlusunun birlikte oturduğu bir saatlik toplantı yeterli. Çıktı tek sayfalık bir matris olmalı: hangi ürün, hangi pazar, çıktı nereye gidiyor.
Bu adımda en sık duyduğum itiraz şu: "Biz B2B çalışıyoruz, AB'deki son kullanıcıya ulaşmıyoruz." Yasa son kullanıcı koşulu aramıyor. Çıktının AB'de kullanılması yeterli.
Aksiyon 2: Sistem envanteri. Şirketin kullandığı her yapay zeka sisteminin dökümü. Burada çoğu şirket şaşırıyor, çünkü gerçek envanter beklenenin katbekat üstünde çıkıyor. Envantere yalnız "biz buna yapay zeka diyoruz" denenler değil, satın alınan yazılımın içine gömülü modeller de giriyor: CRM'in skorlama modülü, İK yazılımının aday sıralaması, çağrı merkezinin duygu analizi.
Envanterin en az beş alanı olmalı: sistemin adı, amacı, beslendiği veri kaynakları, çıktının nerede ve kim tarafından kullanıldığı, sağlayıcısı.
Aksiyon 3: Risk sınıflandırma. Envanterdeki her sisteme bir risk sınıfı atanır. Bu teknik değil hukuki bir yorumdur. Bir aday eleme aracının yüksek riskli olup olmadığı yalnız ne yaptığına değil, hangi bağlamda kullanıldığına bağlı.
En kritik gözlemim: pek çok orta ölçekli şirketin yüksek riskli kategoriye giren bir iki sistemi var ve bunu fark etmiyor. Çünkü "yüksek riskli" ifadesi korkutucu duruyor, şirket içgüdüsel olarak "biz değiliz" diyor.
Aksiyon 4: Dokümantasyon mimarisi. Burada sağlayıcı ve kullanıcı ayrımı doğrudan işe yarıyor.
Sağlayıcıysanız yükümlülük geniş: risk yönetim sistemi, veri yönetişimi, teknik dosya, otomatik kayıtlar, kullanım talimatları, kalite yönetim sistemi, uygunluk beyanı, pazar sonrası izleme planı. Bunlar 2027'ye ertelendi ama hazırlığı bugünden başlamayan şirket o tarihe yetişemiyor.
Kullanıcıysanız yükümlülük dar ve büyük kısmı size sağlayıcıdan gelir: kullanım talimatlarını almak ve uygulamak, insan gözetimini kim yapacak diye karar vermek, logları saklamak. Sizden teknik dosya istenmez.
İnsan gözetiminin kağıt üstünde kalmaması için ayrı bir çalışma gerekiyor; yapay zeka çıktılarını dört katmanda doğrulama düzeni bu bölümün pratik karşılığı.
Pratikte kullandığım yöntem: her sistem için bir dosya açmak, tek merkezde saklamak, sürüm kontrolü tutmak. Denetim istendiğinde dosyanın nerede olduğunu aramakla geçen süre, uyumsuzluk kadar pahalıya mal oluyor.
Aksiyon 5: Sözleşme zırhı. Üç tip sözleşme önemli: tedarikçi sözleşmeleri (siz kullanıcıysanız), müşteri sözleşmeleri (siz sağlayıcıysanız), iştirak sözleşmeleri.
Tedarikçi tarafında, sağlayıcının size vermek zorunda olduğu bilgileri açıkça isteyen maddeler ekleniyor. Sağlayıcı uyumlu değilse sorumluluk sözleşme yoluyla yukarı itiliyor. Müşteri tarafında ise tersi geçerli: sizden istenen bilgiyi hangi formatta ve hangi sürede vereceğiniz yazılıyor.
Aksiyon 6: Sürekli izleme. Yasa tek seferlik bir uyum değil, kalıcı bir yapı istiyor. Sistem değişiklikleri kaydedilmeli, yeni sistem girdiğinde envanter güncellenmeli, yeni pazara açılışta sözleşmeler tekrar bakılmalı.
Kullandığım yapı basit: ayda bir, otuz dakikalık yönetişim toplantısı. Çıktısını yönetim kuruluna sekiz slaytlık bir raporla taşımak, komitenin ömrünü uzatıyor. Katılımcılar hukuk, bilgi teknolojileri, güvenlik ve satış. Tek gündem: değişiklik var mı, yeni risk var mı, durum ne? Bu toplantı olmadan uyum altı ay içinde kağıt üstünde kalıyor.
On beş ayı nasıl bölmeli
90 günlük acele artık gerekmiyor. Ama on beş ay, dört adamlık bir ekiple bile geniş değil.
Dönem | Ne tamamlanır |
İlk çeyrek | Kapsam matrisi, sistem envanteri, risk sınıflandırma taslağı |
İkinci çeyrek | Risk sınıflandırmanın hukuk onayı, sağlayıcı/kullanıcı rol haritası, şeffaflık yükümlülüğünün fiilen uygulanması |
Üçüncü çeyrek | Yüksek riskli sistemler için dosya mimarisi, sözleşme revizyonları |
Dördüncü çeyrek | Yönetişim komitesinin rutine oturması, tazeleme ritminin kanıtlanması |
2027 son çeyrek | Ek III yürürlüğünden önce boşluk denetimi |
Şeffaflık yükümlülüğünün ikinci çeyrekte değil bugün başlaması gerektiğini tekrar edeyim: o madde zaten yürürlükte.
Vaka: bir SaaS şirketinin dört ayı
Anonim aktarmam gereken bir vaka var. Orta ölçekli bir Türk yazılım şirketi, müşterilerinin beşte biri AB'de. Süreci dört ay önce başlattık.
Birinci ayda kapsam değerlendirmesi ve envanter çıktı. Şirketin beklediği sistem sayısının üç katından fazlasını bulduk. Bunların birkaçı yüksek riskli kategoriye giriyordu ve çoğunu şirket "yapay zeka" olarak adlandırmıyordu bile, çünkü satın alınan yazılımların içine gömülüydüler.
İkinci ayda risk sınıflandırma yapıldı. En zor iş müşteri kullanım bağlamlarını anlamaktı: aynı sistem bir müşteride sınırlı risk, diğerinde yüksek risk konumundaydı. Bu, sınıflandırmanın neden hukuki bir yorum olduğunu gösteriyor.
Üçüncü ve dördüncü ayda sözleşmeler elden geçirildi ve yönetişim komitesi kuruldu. Şirket bugün hazırlık penceresinin başında değil ortasında duruyor; 2027 geldiğinde yapacak işi belli ve bütçelenmiş durumda.
Yatırımın büyüklüğü konusunda tek söyleyebileceğim şu: kuruluş, dokümantasyon ve sözleşme süreçlerinin toplamı, olası ceza riskinin yanında küçük kalıyor. Şeffaflık ihlalinin üst sınırı on beş milyon avro ya da küresel cironun yüzde üçü; yasaklı uygulamada otuz beş milyon avro ya da yüzde yedi.
KVKK uyumluysanız ne kadar yol almışsınız?
Kısmen. Çakışan yerler var: kişisel veri işleme şeffaflığı, veri sahibi hakları, veri minimizasyonu. KVKK uyumlu bir şirket bu başlıklarda hazır sayılır.
Ayrılan yerler daha belirleyici. Risk sınıflandırması KVKK'da yok. Zorunlu insan gözetimi bu biçimde tanımlı değil. Genel amaçlı model sağlayıcılarına özel yükümlülükler KVKK'nın kapsamı dışında.
Pratik sonuç: hukuk birimi KVKK'yı temel alabilir, ama üstüne ayrı bir katman eklemesi gerekiyor. İki ayrı denetim, iki ayrı dokümantasyon.
Türkiye tarafında ise Eylül 2026 itibarıyla yürürlükte yatay bir yapay zeka kanunu yok. Meclise sunulan teklifler komisyonda bekliyor, Mart 2026'daki araştırma raporu bir yol haritası çizdi, Ağustos 2026'da Yapay Zeka Eylem Planı genelgeyle yürürlüğe girdi. Genelge şirketlere doğrudan yükümlülük doğurmuyor, ama yönün nereye gittiğini gösteriyor.
Bu hafta yapabilecekleriniz
1. Müşteriye görünen her yapay zeka temas noktasında bildirim var mı kontrol edin. Sohbet botu, üretilen içerik, otomatik yanıt. Bu yükümlülük bugün yürürlükte.
2. Envanteri başlatın. Tek bir tabloya beş alan: ad, amaç, veri kaynağı, çıktının gittiği yer, sağlayıcı.
3. Her sistem için sağlayıcı mısınız kullanıcı mı, yanına yazın. Uyum bütçenizin yarısı bu sütunda belirleniyor.
4. Aylık otuz dakikalık yönetişim toplantısını takvime koyun. Katılımcıları şimdi belirleyin.
→ Yönetim kurulunuza yapay zeka yönetişimi brifingi için Ücretsiz Teklif Alın
Sıkça Sorulan Sorular
Yüksek risk yükümlülükleri ertelendiyse şimdi bir şey yapmamıza gerek var mı?
Var. Erteleme yüksek riskli sistemlerdeki sağlayıcı ve kullanıcı yükümlülüklerini kapsıyor; şeffaflık yükümlülüğü, yasaklı uygulamalar, genel amaçlı model kuralları ve ceza rejimi bugün yürürlükte. Ayrıca envanter ve risk sınıflandırma çalışması aylar sürüyor; 2027'de başlayan şirket yetişemiyor. Erteleme hazırlık zamanı verdi, muafiyet vermedi.
AB'li bir yapay zeka sağlayıcısından hizmet alıyoruz. Bu bizi kapsama sokar mı?
Hayır. Kapsam üç yoldan doğuyor: AB pazarına sistem sunmak, AB'de yerleşik kullanıcı olmak, sistemin çıktısının AB'de kullanılması. Tedarikçinin AB'li olması bunlardan biri değil. Ancak AB'li sağlayıcı kendi yükümlülüğünü sözleşme yoluyla size aktarabilir; bu hukuki kapsam değil ticari bir aktarımdır ve müzakere edilebilir.
Sağlayıcı mı kullanıcı mı olduğumuzu nasıl anlarız?
Sistemi geliştirip kendi adınızla piyasaya sunuyorsanız sağlayıcısınız. Satın alıp kendi işinizde kullanıyorsanız kullanıcısınız. Ancak satın aldığınız sistemi kendi markanızla sunarsanız, esaslı biçimde değiştirirseniz veya kullanım amacını değiştirirseniz sağlayıcı konumuna geçersiniz. Bu geçiş uyum yükünü belirgin biçimde artırır.
Envanterde neye bakmalıyız, hangi sistemler sayılır?
Yalnız "yapay zeka" diye adlandırdığınız araçlar değil, satın alınan yazılımların içine gömülü modeller de sayılır: CRM skorlaması, İK aday sıralaması, çağrı merkezi duygu analizi, kalite kontrolde görüntü işleme. Envanterin beş alanı olmalı: sistem adı, amacı, veri kaynakları, çıktının kullanıldığı yer, sağlayıcısı.
Kullanıcı olarak hangi belgeleri hazırlamamız gerekiyor?
Kullanıcı tarafında teknik dosya hazırlama yükümlülüğü yok; o sağlayıcının işi ve size ondan gelir. Sizden beklenen: sistemi kullanım talimatlarına uygun kullanmak, insan gözetimini yetkin kişilere vermek, kontrol ettiğiniz girdi verisinin amaca uygun olmasını sağlamak, logları en az altı ay saklamak ve işyerinde kullanımdan önce çalışanları bilgilendirmek.
KVKK uyumumuz varsa AB Yapay Zeka Yasası'na da uyumlu sayılır mıyız?
Sayılmazsınız. Veri işleme şeffaflığı, veri sahibi hakları ve veri minimizasyonu başlıklarında yol almış olursunuz. Ama risk sınıflandırması, zorunlu insan gözetimi ve genel amaçlı model yükümlülükleri KVKK'da bu biçimde yok. İki ayrı denetim ve iki ayrı dokümantasyon gerekiyor.
İçindekiler
