AB Yapay Zekâ Yasası Nedir, Neleri Düzenliyor?

💡 Özet: Ana Çıkarımlar

• AB Yapay Zekâ Yasası bütün yapay zekâ sistemlerine aynı kuralı uygulamıyor. Kullanımın insan sağlığı, güvenliği ve temel haklar üzerindeki olası sonucu ağırlaştıkça yükümlülükler de artıyor.
• Bazı uygulamalar yasak; yüksek riskli sistemler ise daha sıkı şartlarla kullanılabiliyor. Chatbot, deepfake ve bazı sentetik içeriklerde ayrıca şeffaflık kuralları bulunuyor.
• Aynı modeli kullanmak şirketleri aynı hukuki konuma getirmiyor. Şirketin rolü, sistemin amacı, çıktının nerede kullanıldığı ve GDPR gibi diğer mevzuat ayrı ayrı değerlendiriliyor.

Bir chatbot bir otelin kahvaltı saatini söyleyebilir. Aynı teknoloji bir şirketin iş başvurularını sıralayabilir ya da bir hastanenin acil çağrılara öncelik vermesine yardımcı olabilir.

Ekranda her üçü de birbirine benzeyebilir. Kullanıcı bir şey sorar, sistem bir cevap veya öneri üretir. Fakat yanlış cevabın sonucu aynı değildir. İlkinde misafir kahvaltıyı kaçırabilir. İkincisinde bir insan iş fırsatını kaybedebilir. Üçüncüsünde sağlık ve güvenlik doğrudan etkilenebilir.

AB Yapay Zekâ Yasası, bu farkları dikkate alan ortak bir düzen kuruyor.

Yasanın İngilizce adı Artificial Intelligence Act, kısaca AI Act. Resmî olarak 2024/1689 sayılı Avrupa Birliği Tüzüğü. AB içinde doğrudan uygulanan bu düzenleme, yapay zekâ sistemlerinin nasıl geliştirileceğini, piyasaya sunulacağını ve profesyonel amaçlarla kullanılacağını riskine göre düzenliyor.

Bu, “Avrupa yapay zekâyı yasakladı” denebilecek bir metin değil. Yapay zekâyı kendi başına iyi veya kötü kabul etmiyor. Sistem insan sağlığına, güvenliğine veya temel haklarına daha fazla zarar verebilecekse daha ağır şartlar getiriyor. Bazı kullanım biçimlerini ise kabul edilemez bulup doğrudan yasaklıyor.

Bu yazının amacı yasanın temelini kurmak: Neden çıkarıldı, kimleri kapsıyor, hangi kullanımları yasaklıyor, yüksek risk ne demek, chatbot ve sentetik içeriklerde ne istiyor, ne zaman uygulanıyor ve şirketler nereden başlamalı?

AB Yapay Zekâ Yasası neden çıkarıldı?

Bir yapay zekâ sistemi aynı anda hem ürün hem karar mekanizması hem de hizmetin bir parçası olabilir. Bir ülkede kabul edilen sistem başka bir ülkedeki kullanıcıya ulaşabilir. Bir şirket modeli geliştirebilir, başka bir şirket onu kendi ürünü içinde sunabilir, üçüncü bir şirket de müşterileri veya çalışanları üzerinde kullanabilir.

Bu yapı yalnız gönüllü ilkelerle yönetildiğinde iki sorun çıkıyor.

İlki, insanların hangi korumaya sahip olduğu belirsizleşiyor. Bir adayın işe alınmasını etkileyen sistemde ayrımcılık nasıl önlenecek? Tıbbi bir sistem hata yaptığında kim hangi kaydı gösterecek? Kullanıcı karşısındakinin insan mı, chatbot mu olduğunu nasıl anlayacak?

İkincisi, şirketler her AB ülkesinde farklı bir düzenle karşılaşabiliyor. Bu da ürün geliştirmeyi, satın almayı ve pazara çıkmayı zorlaştırıyor.

Yasanın güncel konsolide metni, iki ihtiyacı birlikte ele alıyor: Yapay zekâ için AB genelinde ortak bir pazar düzeni kurmak ve sağlık, güvenlik, temel haklar, demokrasi, hukuk devleti ile çevre üzerindeki zararları sınırlamak. Düzenleme aynı zamanda yeniliği desteklemeyi de amaçları arasında sayıyor.

Buradaki denge önemli. Yasa yalnız insanları korumaya çalışmıyor; şirketlere hangi koşullarda ürün geliştirebileceklerini de söylemeye çalışıyor.

Her yazılım yapay zekâ sistemi sayılıyor mu?

Hayır.

Bir muhasebe programındaki sabit vergi hesabı, birkaç koşula göre çalışan form veya klasik iş kuralı sırf pazarlama metninde “akıllı” diye tanıtıldığı için yapay zekâ sistemi olmuyor.

Yasa, farklı ölçülerde özerk çalışabilen makine tabanlı sistemlere bakıyor. Bu sistemler aldıkları girdilerden nasıl çıktı üreteceklerini çıkarıyor; tahmin, içerik, öneri veya karar üretebiliyor. Bazıları kullanıma alındıktan sonra davranışını uyarlayabiliyor.

Tanımın günlük işletme karşılığı daha basit:

Sistem yalnız önceden yazılmış adımları mı yürütüyor, yoksa aldığı verilerden bir sonuç çıkarıp gerçek dünyadaki bir kararı veya işlemi mi etkiliyor?

Ürünün adından çok nasıl çalıştığı önemli. Tedarikçinin “bu yalnızca otomasyon” demesi de şirketin “biz yapay zekâ kullanıyoruz” demesi de tek başına hukuki sonucu belirlemiyor.

Yasa kimi sorumlu tutuyor?

AB Yapay Zekâ Yasası yalnız modeli geliştiren büyük teknoloji şirketlerine uygulanmıyor. Sistemin piyasaya çıkmasından günlük kullanımına kadar farklı taraflara farklı sorumluluklar veriyor.

Bir sistemi geliştiren veya geliştirtip kendi adıyla piyasaya sunan taraf sağlayıcı olarak değerlendirilebilir. Hazır bir sistemi kendi işi içinde profesyonel amaçla kullanan şirket ise sistemi kullanan işletme konumunda olabilir. Yasa ayrıca ithalatçıları, dağıtıcıları, ürün üreticilerini ve AB dışındaki bazı sağlayıcıların yetkili temsilcilerini ayrı roller olarak tanımlıyor.

Bir şirket tek bir role mahkûm değil. İnsan kaynaklarında satın aldığı aracı kullanırken sistemi kullanan işletme, kendi markasıyla müşterilerine sunduğu başka bir üründe sağlayıcı olabilir. Sistemi önemli ölçüde değiştirir veya amacını yüksek riskli bir kullanıma çevirirse sorumluluğu da değişebilir.

Coğrafi kapsam da şirketin merkez adresiyle bitmiyor. Yasa genel olarak:

• AB pazarına yapay zekâ sistemi veya genel amaçlı model sunan sağlayıcılara,
• AB içindeki profesyonel kullanıcılara,
• bazı durumlarda sistemi AB dışında çalıştırsa bile çıktısı AB içinde kullanılan taraflara

ulaşabiliyor.

Bu yüzden “Şirketimiz AB'de kurulmadı, bizi ilgilendirmez” sonucu güvenli değil. Fakat “Web sitemize Avrupa'dan girilebiliyor, kesin kapsama giriyoruz” demek de aynı ölçüde aceleci. Sistemin nerede sunulduğu, çıktının nerede kullanıldığı ve şirketin zincirdeki gerçek rolü birlikte değerlendiriliyor.

Tamamen kişisel ve mesleki olmayan kullanımlar, yalnız bilimsel araştırma ve geliştirme amacı taşıyan faaliyetler ile bazı piyasaya çıkış öncesi testler için istisnalar bulunuyor. Somut kapsam değerlendirmesi bu nedenle ürün adına veya ülke adına bakılarak yapılamıyor.

Risk arttıkça kural nasıl değişiyor?

Avrupa Komisyonu düzenlemeyi dört genel risk seviyesiyle anlatıyor.

Bu tablo başlangıç için yeterli bir harita veriyor. Fakat önemli bir ayrıntı var: Yasa çoğu zaman modelin markasına değil, sistemin ne için kullanıldığına bakıyor.

OpenAI, Anthropic, Google veya açık kaynak bir model kullanmanız tek başına sistemin risk seviyesini söylemez. Aynı model otel olanaklarını anlatırken düşük riskli bir iş yapabilir; adayları sıraladığında yüksek riskli bir kullanımın parçası olabilir.

Ben burada şu ayrımın özellikle önemli olduğunu düşünüyorum: Yasa, bir şirkette yapay zekâ bulunup bulunmadığından çok, yapay zekâya hangi işte ne kadar yetki verildiğiyle ilgileniyor.

Hangi yapay zekâ kullanımları yasak?

Yasa bazı uygulamalar için “daha iyi kontrol kurun” demiyor. Bunların belirli koşullarda hiç kullanılmamasını istiyor.

Yasaklar arasında şunlar bulunuyor:

• İnsanların karar verme kabiliyetini önemli ölçüde bozup ciddi zarara yol açan manipülatif veya aldatıcı teknikler
• Yaş, engellilik ya da belirli sosyal ve ekonomik koşullardan doğan kırılganlığın ciddi zararla sonuçlanacak biçimde istismar edilmesi
• İnsanların davranış veya kişilik özelliklerinden hareketle belirli sosyal puanlama uygulamalarına tabi tutulması
• Yalnız profil veya kişilik özelliklerine dayanarak bir insanın suç işleme riskinin tahmin edilmesi
• İnternet veya güvenlik kamerası görüntülerinin hedef gözetmeksizin toplanıp yüz tanıma veritabanı oluşturulması
• Tıbbi veya güvenlik gerekçeli dar istisnalar dışında işyerinde ve eğitim kurumlarında duygu çıkarımı
• Biyometrik veriden belirli hassas özellikleri çıkaran kategorilendirme uygulamaları
• Kolluğun kamusal alanlarda gerçek zamanlı uzaktan biyometrik tanımlama kullanması; yasadaki dar ve sıkı istisnalar dışında

27 Temmuz 2026'da yürürlüğe giren 2026/1744 sayılı değişiklik, kişinin açık rızası olmadan üretilen ya da değiştirilen gerçekçi mahrem veya cinsel içerikler ile çocuk cinsel istismarı materyaline ilişkin yeni yasaklar ekledi. Hükümler 2 Aralık 2026'dan itibaren uygulanacak. Yasak, sağlayıcı ve kullanan taraf için aynı eşikte işlemiyor: sistemin bu içerikleri üretmek için tasarlanmış olması, bunun öngörülebilir bir sonuç olması, koruma önlemleri ve kullanım amacı ayrı ayrı önem taşıyor.

Bu listeyi bağlamdan koparmamak gerekiyor. Yasakların bazılarında amaç, zarar eşiği ve istisna koşulları var. Örneğin her kişiselleştirme manipülasyon, her duygu analizi veya her biyometrik kullanım aynı hukuki sonuca yol açmıyor.

Fakat kullanım gerçekten yasak kapsamındaysa daha iyi bir sözleşme, ek bir onay düğmesi veya daha fazla kayıt tutmak sistemi uygun hâle getirmiyor. Kullanım biçimini değiştirmek ya da uygulamadan vazgeçmek gerekiyor.

Yüksek riskli sistem ne demek?

Yüksek riskli olmak, sistemin yasaklandığı anlamına gelmiyor. Sistemin insan hayatında önemli bir karar veya güvenlik işlevi üstlendiği için daha sıkı şartlarla geliştirilebileceği ve kullanılabileceği anlamına geliyor.

Bir sistem iki ana yoldan yüksek riskli sayılabiliyor.

İlk yol, yapay zekânın tıbbi cihaz veya makine gibi AB'de ayrıca düzenlenen bir ürünün güvenlik bileşeni olması ya da ürünün kendisi olması. Ürünün üçüncü taraf uygunluk değerlendirmesine tabi olması da bu yolun parçası.

İkinci yol, yasanın hassas kabul ettiği kullanım alanları. Bunlar arasında biyometri, kritik altyapı, eğitim, istihdam, temel kamu ve özel hizmetlere erişim, kolluk, göç ve sınır yönetimi, adalet ve demokratik süreçler bulunuyor.

Adayları değerlendiren veya sıralayan, eğitim kabulünü etkileyen, bazı kredi ve sigorta kararlarında kullanılan ya da acil çağrı ve sağlık hizmeti triyajına yardımcı olan sistemler bu nedenle yüksek riskli olabilir.

Sektör adı tek başına yeterli değil. Bir hastanenin yemekhanesindeki talep tahmini ile teşhis öneren yazılım aynı sağlık kuruluşunda çalışabilir; fakat aynı işi yapmaz ve aynı sonucu doğurmaz. Yasanın Ek III bölümünde sayılan alanlardaki bazı dar, hazırlayıcı veya prosedürel işlevler için istisnalar da bulunuyor.

Yüksek riskli bir sistemde yasa genel olarak şunları bekliyor:

• Sistem yaşam döngüsü boyunca risklerin belirlenmesi ve yönetilmesi
• Kullanılan veriye ilişkin yönetişim ve kalite kontrolleri
• Teknik dokümantasyon ve otomatik kayıtların tutulması
• Sistemi kullanan tarafa yeterli bilgi ve açık kullanım talimatı verilmesi
• Gerçekten çalışabilen bir insan gözetimi düzeni
• Doğruluk, dayanıklılık ve siber güvenlik
• Gerekli uygunluk değerlendirmesi, kayıt ve pazar sonrası izleme
• Ciddi olayların bildirilmesi ve sorunların düzeltilmesi

“Son kararı insan veriyor” cümlesi tek başına insan gözetimi kurmuyor. O insan sistemin sınırlarını bilmiyor, öneriyi sorgulayamıyor veya fiilen reddetme yetkisine sahip değilse onay düğmesi yalnızca sürecin görüntüsünü değiştiriyor.

Bu şartlar hukuk ekibinin hazırlayacağı birkaç belgeden ibaret değil. Verinin nasıl tutulacağını, yazılımın neyi kaydedeceğini, çalışanın hangi yetkiye sahip olacağını, ürünün nasıl test edileceğini ve tedarikçiden ne isteneceğini değiştiriyor. Yani yüksek risk sınıflandırması doğrudan ürün maliyetine ve günlük operasyona giriyor.

Chatbot, deepfake ve sentetik içerikte ne değişiyor?

Bir sistem yüksek riskli olmasa bile insanlara karşı şeffaf olması gerekebilir.

Şeffaflık hükümleri, birkaç farklı durumu ele alıyor:

• İnsanla doğrudan etkileşmek üzere tasarlanmış bir sistemde, durum zaten makul biçimde açık değilse kişiye yapay zekâ ile etkileştiği bildirilmeli.
• Sentetik ses, görüntü, video veya metin üreten sistemlerin çıktıları teknik olarak mümkün olduğu ölçüde makinece okunabilir ve tespit edilebilir biçimde işaretlenmeli.
• Deepfake kullanan taraf, içeriğin yapay üretildiğini veya değiştirildiğini açıklamalı.
• Duygu tanıma veya biyometrik kategorilendirme sistemine maruz kalan kişiler bilgilendirilmeli.
• Kamu yararını ilgilendiren konularda halkı bilgilendirmek için yapay zekâyla üretilen metinlerde açıklama yapılmalı. İnsan incelemesi, editoryal kontrol ve yayımdan sorumlu bir kişi ya da kuruluş varsa metin için istisna bulunuyor.

Bir otelin web sitesindeki chatbot için en görünür sonuç, ziyaretçinin bir insanla değil yapay zekâyla konuştuğunu anlayabilmesi.

Fakat bu açıklama veri koruma sorununu çözmüyor. Kullanıcının yazdığı ad, e-posta, seyahat planı veya sağlık bilgisi üçüncü taraf model sağlayıcısına gidiyorsa GDPR ve KVKK bakımından ayrı sorular doğuyor. Serinin üçüncü yazısında tam olarak bu veri akışını inceleyeceğim.

OpenAI veya Anthropic kullanan şirket model sağlayıcısı mı oluyor?

Genellikle hayır.

AB Yapay Zekâ Yasası, çok farklı işlerde kullanılabilen genel amaçlı modeller için ayrı kurallar getiriyor. OpenAI, Anthropic ve Google gibi model geliştiricilerinin ya da kendi genel amaçlı modelini piyasaya sunan başka bir şirketin sorumluluğu, o modeli bir chatbot veya iş uygulaması içinde kullanan işletmenin sorumluluğuyla aynı değil.

Genel amaçlı model sağlayıcılarından teknik dokümantasyon hazırlamaları, modeli kendi sisteminde kullanacak taraflara gerekli bilgileri vermeleri, AB telif hukukuna uyum politikası oluşturmaları ve eğitimde kullanılan içerik hakkında yeterince ayrıntılı bir kamu özeti yayımlamaları bekleniyor.

Sistemik risk taşıyan daha güçlü modellerde değerlendirme ve karşıt testler, sistemik risklerin azaltılması, ciddi olayların izlenip bildirilmesi ve siber güvenlik gibi ek şartlar bulunuyor.

Bir şirket bu modellerden birini satın alıp kendi chatbotunda kullandığında otomatik olarak genel amaçlı model sağlayıcısına dönüşmüyor. Buna karşılık kendi sunduğu sistem, veriyi nasıl işlediği ve sistemi hangi karara bağladığı için ayrı sorumluluk taşıyabiliyor.

Model sağlayıcısının yasaya uygun olması, üzerine kurulan her ürünün de kendiliğinden uygun olduğu anlamına gelmiyor.

Yapay zekâ okuryazarlığı da bir yükümlülük

Yasa yalnız ürün özellikleri ve belgelerle ilgilenmiyor. Sağlayıcıların ve sistemi profesyonel olarak kullanan işletmelerin, kendi personeli ile adlarına sistemi işleten kişilerin yeterli yapay zekâ okuryazarlığına sahip olması için önlem almasını da istiyor.

Bu, herkese aynı çevrim içi eğitimi atayıp katılım belgesi toplamak anlamına gelmiyor. Teknik bilgi, deneyim, kullanım bağlamı ve sistemden etkilenebilecek kişiler dikkate alınmalı.

Otel chatbotunun yanlış cevaplarını takip eden ekip ile aday sıralama sisteminin önerisini değerlendiren insan kaynakları ekibinin bilmesi gerekenler aynı değil. İkincisinin otomasyon yanlılığını, ayrımcılık riskini ve öneriyi hangi koşullarda reddetmesi gerektiğini daha derin biçimde anlaması beklenebilir.

Okuryazarlığın işletme açısından değeri de burada. İnsanlar sistemin ne yapamadığını bilmiyorsa en iyi teknik kontrol bile günlük kullanımda aşılabilir.

AB Yapay Zekâ Yasası GDPR'ın yerine geçiyor mu?

Hayır.

Yasa; GDPR, ePrivacy, tüketici koruması, ürün güvenliği, iş hukuku, ayrımcılık ve sektör mevzuatını ortadan kaldırmıyor.

Bir chatbot AB Yapay Zekâ Yasası bakımından yüksek riskli olmayabilir. Yine de kişisel veri işliyorsa veri koruma kurallarına tabi olur. Bir sağlık yazılımı hem yüksek riskli yapay zekâ sistemi hem tıbbi cihaz olabilir. İşe alım sistemi yapay zekâ kurallarının yanında ayrımcılık ve iş hukuku bakımından da incelenebilir.

Bu nedenle “düşük riskli” ifadesini “hukuken serbest ve sorunsuz” diye okumamak gerekiyor. Daha dar anlamı şu: Sistem, AB Yapay Zekâ Yasası'nın belirli ağır yükümlülüklerine tabi olmayabilir. Diğer mevzuat için değerlendirme devam eder.

Yasa ne zaman uygulanıyor?

AB Yapay Zekâ Yasası tek bir günde bütünüyle uygulanmaya başlamadı. Hükümler aşamalı olarak devreye giriyor. 2026'da yapılan değişiklik, bazı yüksek risk kurallarının tarihini de ileri taşıdı.

“Yasa 2 Ağustos 2026'da başladı” cümlesi bu yüzden eksik. Bazı yükümlülükler zaten yürürlükte, bazıları içinse hazırlık dönemi devam ediyor.

Hazırlık tarihini yalnız son gün olarak görmek de yanıltıcı. Yüksek riskli bir sistem için gerekli verileri, işlem kayıtlarını veya insan gözetimini ürün bittikten sonra geriye dönük kurmak mümkün olmayabilir.

Cezalar ne kadar?

Yasaklı bir uygulamanın ihlalinde ceza tavanı 35 milyon avro veya şirketin önceki mali yıldaki dünya çapındaki yıllık cirosunun yüzde 7'sine kadar çıkabiliyor. Şirketler için yüksek olan sınır esas alınıyor.

Belirli şirket yükümlülükleri ve şeffaflık hükümlerinin ihlalinde tavan 15 milyon avro veya cironun yüzde 3'ü. Yetkili makamlara yanlış, eksik veya yanıltıcı bilgi verilmesinde 7,5 milyon avro veya yüzde 1 sınırı bulunuyor. Genel amaçlı model sağlayıcıları için de 15 milyon avro veya yüzde 3'e kadar ayrı bir ceza düzeni var.

KOBİ ve girişimlerde ilgili sabit tutar ile ciro oranından düşük olan sınır uygulanıyor.

Bu rakamlar otomatik ceza tarifesi değil. İhlalin ağırlığı, süresi, etkilediği kişiler, ortaya çıkan zarar, şirketin büyüklüğü, aldığı önlemler, işbirliği ve kusuru gibi unsurlar değerlendiriliyor.

Yaptırım çerçevesinde genel amaçlı modeller ve belirli sistemler için Avrupa Yapay Zekâ Ofisi, diğer sistemler için ulusal yetkili makamlar, AB kurumlarının kullanımları içinse Avrupa Veri Koruma Denetçisi rol alıyor.

Para cezası yine de şirketin karşılaşabileceği sonucun tamamı değil. Bir kullanımın durdurulması, ürünün yeniden tasarlanması, pazara çıkışın gecikmesi, kurumsal müşterinin tedarikçiyi reddetmesi veya sözleşmenin kaybedilmesi daha erken ve daha somut bir maliyet yaratabilir.

Bir şirket bugün nereden başlamalı?

İlk adım hukuk ekibine kullanılan araçların isimlerini içeren bir liste göndermek değil. Önce yapay zekânın işletmede gerçekte nerede karar veya işlem ürettiğini görmek gerekiyor.

Her sistem için şu beş sorunun cevabı çıkarılabilir:

1. Sistem hangi işi yapıyor ve hangi çıktıyı üretiyor?
2. Bu çıktı kimin hangi kararını, hakkını veya hizmete erişimini etkiliyor?
3. Yanlış çıktının sağlık, güvenlik, temel haklar veya işletme açısından sonucu ne?
4. Şirket sistemi geliştiriyor, kendi adıyla sunuyor, satın alıp kullanıyor ya da dağıtıyor mu?
5. Sisteme hangi veri giriyor, çıktı nerede kullanılıyor ve süreç hangi ülkelerle bağlantı kuruyor?

Bu cevaplar olmadan “yüksek riskli mi?” sorusu da “hangi belge lazım?” sorusu da erken kalıyor.

AB Yapay Zekâ Yasası'nın şirketlere getirdiği en önemli değişiklik bence burada: Yapay zekâyı yalnız satın alınmış bir yazılım olarak değil, insanları etkileyen bir iş akışının parçası olarak görmeye zorluyor.

Bir modelin teknik kabiliyeti aynı kalabilir. Fakat ona otel bilgisi vermek, aday sıralatmak veya sağlık triyajı yaptırmak aynı karar değildir. Yasanın kuralları da bu nedenle aynı olmaz.

Serinin 5 Eylül'deki ikinci yazısında, burada kullandığım dört seviyeli risk anlatımının şirket içinde neden tek başına yetmediğini inceleyeceğim. Ardından chatbot görüşmelerinin üçüncü taraf model sağlayıcılarına gönderilmesini GDPR ve KVKK açısından, sağlık alanındaki ek kuralları ve son olarak AB Yapay Zekâ Yasası'nın Türkiye'deki farklı şirket yapılarını ne ölçüde etkilediğini ayrı ayrı ele alacağım.

Bu yazı genel bilgilendirme amacı taşır; somut bir sistem veya şirket için hukuki görüş yerine geçmez.