AB Yapay Zeka Yasası sizi kapsar mı?

AI Act, AB dışındaki bir şirkete ne zaman uygulanır?

AB Yapay Zeka Yasası (Regulation (EU) 2024/1689), AB’de yapay zeka sistemlerinin piyasaya sunulmasını ve kullanılmasını risk temelli kurallara bağlayan düzenlemedir. Madde 2, yasanın kimlere uygulandığını sayar. AB dışındaki bir şirket için üç bent belirleyicidir:

• Madde 2(1)(a): AB’de yapay zeka sistemini piyasaya sunan ya da hizmete sokan veya genel amaçlı yapay zeka modelini piyasaya sunan sağlayıcılar, AB’de veya üçüncü bir ülkede kurulu olmalarından bağımsız olarak kapsamdadır.
• Madde 2(1)(c): AB dışında kurulu sağlayıcı ve uygulayıcılar, sistemin ürettiği çıktı AB’de kullanılıyorsa kapsamdadır.
• Madde 2(1)(e): Yapay zeka sistemini kendi ürünüyle birlikte, kendi adı veya markasıyla piyasaya sunan ürün üreticileri kapsamdadır.

Kısacası belirleyici olan şirketin nerede kurulu olduğu değil, sistemin veya çıktısının nereye ulaştığıdır. Aşağıdaki senaryolar bu ayrımı somutlaştırır. Tablo bir ön değerlendirmedir; sonuç sözleşmenize ve kullanım bağlamınıza göre değişir.

Senaryo	Muhtemel rol	Kapsam ihtimali	İlk adım
AB’deki müşterilere yapay zeka özellikli SaaS satıyorsunuz	Sağlayıcı	Yüksek	Sistemin risk seviyesini ve şeffaflık yükümlülüklerini belirleyin
Türkiye’de çalışan modelinizin çıktısı AB’deki bir iş ortağına gidiyor	Sağlayıcı veya uygulayıcı	Orta ile yüksek arası	Çıktının AB’de nasıl kullanıldığını yazılı hale getirin
Yapay zekayı yalnız Türkiye’de iç süreçlerde kullanıyorsunuz	Uygulayıcı (AB dışı)	Düşük	KVKK yükümlülüklerine ve iyi uygulamaya odaklanın
AB’li bir şirket için nearshore yazılım geliştiriyorsunuz	Genellikle sağlayıcı müşterinizdir; siz geliştirici olarak destek verirsiniz	Sözleşmeye bağlı	Rol dağılımını ve dokümantasyon sorumluluğunu sözleşmeye yazın
Yapay zeka bileşenli bir makine veya cihazı AB’ye ihraç ediyorsunuz	Ürün üreticisi veya sağlayıcı	Yüksek	Ürünün AB uyum mevzuatı kapsamına girip girmediğini kontrol edin

Sağlayıcı, uygulayıcı, ithalatçı, dağıtıcı: siz hangisisiniz?

Yükümlülüklerin büyük kısmı role göre değişir.

• Sağlayıcı (provider): Bir yapay zeka sistemini veya modelini geliştiren ya da geliştirten ve kendi adıyla piyasaya sunan kişi veya kurumdur. En ağır yükümlülükler, özellikle yüksek riskli sistemlerde, sağlayıcıdadır.
• Uygulayıcı (deployer): Bir yapay zeka sistemini kendi yetkisi altında, mesleki bir faaliyette kullanan kurumdur. Bir bankanın satın aldığı kredi skorlama yazılımını kullanması buna örnektir.
• İthalatçı (importer): AB dışındaki bir sağlayıcının sistemini AB pazarına sunan, AB’de kurulu kişi veya kurumdur.
• Dağıtıcı (distributor): Sistemi tedarik zincirinde piyasada bulunduran, sağlayıcı veya ithalatçı olmayan taraftır.

AB dışındaki bir sağlayıcı yüksek riskli bir sistemi AB’ye sunacaksa, AB’de bir yetkili temsilci de atamak zorundadır. Rolünüz her sistem için ayrı belirlenir; aynı şirket bir üründe sağlayıcı, başka bir araçta uygulayıcı olabilir.

Risk seviyeleri nedir ve hangi kullanımlar yüksek risklidir?

Yasa yapay zekayı dört katmanda ele alır. Kabul edilemez risk taşıyan uygulamalar (örneğin manipülatif teknikler veya sosyal puanlama) yasaktır. Yüksek riskli sistemler sıkı kurallara tabidir. Sınırlı riskli sistemler için şeffaflık yükümlülükleri vardır. Geri kalan kullanımlar için yasa ek yükümlülük getirmez.

Yüksek riskli sistemler iki yoldan belirlenir:

• Ek III kullanım alanları. Biyometri, eğitim, istihdam, temel hizmetlere erişim ve kolluk gibi alanlar. Örneğin gerçek kişilerin kredi değerliliğini değerlendiren sistemler (dolandırıcılık tespiti hariç) bu listededir. Bu nedenle kredi risk skorlama projelerinde AB bağlantısı varsa kapsam baştan değerlendirilmelidir. Öğrenci kabulü veya sınav değerlendirmesinde kullanılan sistemler de Ek III’te yer alır.
• Ek I ürünleri. Makine, oyuncak, asansör veya tıbbi cihaz gibi AB uyum mevzuatına tabi bir ürünün güvenlik bileşeni olan yapay zeka sistemleri. Örneğin bir üretim hattındaki görüntü işleme ile kalite kontrol sistemi, kendi başına bir ürünün güvenlik bileşeni değilse bu kapsama girmeyebilir; makinenin güvenlik fonksiyonunu üstleniyorsa durum değişir. Bu ayrım teknik ve hukuki açıdan birlikte değerlendirilmelidir.

Yüksek riskli sistemlerde sağlayıcıdan risk yönetimi, veri yönetişimi, teknik dokümantasyon, kayıt tutma, insan gözetimi ve uygunluk değerlendirmesi beklenir.

Yapay zeka okuryazarlığı ve şeffaflık ne istiyor?

Madde 4, yapay zeka okuryazarlığı. Sağlayıcı ve uygulayıcılar, yapay zeka sistemleriyle çalışan personel ve diğer kişiler için yapay zeka okuryazarlığını destekleyen önlemler almalıdır. Avrupa Komisyonu’nun soru ve cevap sayfasına göre bu yükümlülük 2 Şubat 2025’ten beri geçerlidir; ulusal piyasa gözetim otoritelerinin denetimi 2 Ağustos 2026’da başladı. AI Omnibus ile yapılan değişiklikten sonra da yükümlülük sağlayıcı ve uygulayıcılarda kalıyor; ancak belirli bir okuryazarlık seviyesini garanti etmek veya çalışanların bilgisini ölçmek zorunlu değil. Önlemler kişilerin teknik bilgisine, deneyimine ve sistemin kullanıldığı bağlama göre belirlenir.

Madde 50, şeffaflık. İnsanlarla doğrudan etkileşen sistemlerde, durum açıkça belli değilse kişiye bir yapay zeka ile etkileşimde olduğu söylenmelidir. Sentetik ses, görüntü, video veya metin üreten sistemlerin çıktıları makine tarafından okunabilir biçimde işaretlenmelidir. Deepfake içerik yayımlayan uygulayıcılar bunu açıklamalıdır. Komisyon’a göre şeffaflık kuralları Ağustos 2026’da yürürlüğe girdi. Konsey’e göre yapay zeka ile üretilmiş içeriğin işaretlenmesi için tanınan geçiş süresi 2 Aralık 2026’da sona eriyor.

Hangi yükümlülük ne zaman başlıyor?

Yasa 1 Ağustos 2024’te yürürlüğe girdi ve kademeli uygulanıyor. Avrupa Komisyonu’nun önerdiği AI Omnibus değişikliği 27 Temmuz 2026’da yürürlüğe girdi ve yüksek riskli sistemlerin takvimini erteledi. 26 Ekim 2026 itibarıyla Komisyon kaynaklarına göre takvim şöyle:

Tarih	Ne başlıyor
2 Şubat 2025	Yasak uygulamalar ve yapay zeka okuryazarlığı (Madde 4)
2 Ağustos 2025	Genel amaçlı yapay zeka modellerine ilişkin yükümlülükler ve yönetişim kuralları
2 Ağustos 2026	Genel uygulama, şeffaflık kuralları (Madde 50), AI Office’in genel amaçlı modeller üzerindeki denetim yetkisi
Aralık 2026	AI Omnibus ile eklenen yeni yasak
2 Aralık 2027	Ek III yüksek riskli kullanımlar
2 Ağustos 2028	Ek I ürünlerine gömülü yüksek riskli sistemler

Takvim daha önce de değişti. Kendi planınızı yapmadan önce Komisyon’un AI Act sayfasını ve AI Act Service Desk’i kontrol edin.

Nereden başlamalısınız?

1. Şirkette kullanılan ve satılan yapay zeka sistemlerinin envanterini çıkarın.
2. Her sistem için rolünüzü ve sistemin veya çıktısının AB’ye ulaşıp ulaşmadığını yazın.
3. Ek III ve Ek I listelerine göre yüksek risk ihtimali olan sistemleri işaretleyin.
4. Çalışanlar için kullanım bağlamına uygun bir okuryazarlık programı planlayın.
5. Kullanıcıyla konuşan veya içerik üreten sistemlerde şeffaflık bildirimlerini ekleyin.
6. Sonuçları hukuk danışmanınızla birlikte değerlendirin.

Bu çalışmayı KVKK ile ayrı yürütmeyin. Aynı envanter, KVKK’daki kişisel veri envanterinin ve yurt dışı aktarım değerlendirmesinin de temelidir. AI Act sistemin riskine, KVKK ise işlenen kişisel veriye bakar; ikisi aynı sistem listesi üzerinden yönetildiğinde iş tekrar etmez. Bu yaklaşımın genel adı yapay zeka yönetişimi.

Konu en çok AB’ye ürün ve hizmet satan teknoloji ve yazılım şirketlerini, kredi ve sigorta kararlarında model kullanan finans ve sigorta kurumlarını, AB’ye makine ve ekipman ihraç eden imalat şirketlerini ve değerlendirmede yapay zeka kullanan eğitim kurumlarını ilgilendirir.

Corrplus hukuki danışmanlık vermez. Hukuk danışmanınızın belirlediği gereklilikleri sistemlere yerleştiren teknik ekibiz. Keşifte yapay zeka envanterini ve veri akışlarını çıkarıyor, tasarımda kayıt, insan gözetimi ve şeffaflık kontrollerini yazılı hale getiriyoruz. Ayrıntılar KVKK ve yapay zeka uyum yönetişimi, yapay zeka danışmanlığı ve okuryazarlık programları için kurumsal yapay zeka eğitimi sayfalarımızda.