Avrupa Birliği Yapay Zekâ Tüzüğü (AI Act), 1 Ağustos 2024’te yürürlüğe girdi ve kurallar kademeli olarak uygulanmaya başladı. 23 Temmuz 2026 itibarıyla yasak yapay zekâ uygulamaları ve AI okuryazarlığına ilişkin hükümler 2 Şubat 2025’ten, yönetişim ve genel amaçlı yapay zekâ modeli (GPAI) sağlayıcılarına ilişkin bazı kurallar 2 Ağustos 2025’ten beri uygulanıyor. Genel uygulama tarihi 2 Ağustos 2026’dır. Güncel AB uygulama takviminde, bağımsız yüksek riskli sistemler (Ek III) için 2 Aralık 2027; ürünlere entegre yüksek riskli sistemler (Ek I) için 2 Ağustos 2028 tarihleri esas alınmaktadır.
> Kısa cevap: AI Act Türkiye’de doğrudan uygulanacak bir Türk kanunu değildir. Ancak Türkiye’de yerleşik bir şirket AB pazarına yapay zekâ sistemi sunuyor, AB’deki kullanıcıya hizmet veriyor veya çıktısı AB’de kullanılan bir yapay zekâ sistemini işletiyorsa Tüzüğün kapsamına girebilir. 2026-2027 takvimi, şirketin sağlayıcı, kullanıcı (deployer), ithalatçı veya dağıtıcı rolüne göre okunmalıdır.
AI Act nedir, Türkiye’de doğrudan uygulanır mı?
AI Act, Avrupa Birliği üye devletlerinde doğrudan uygulanabilir bir tüzüktür. Türkiye Avrupa Birliği üyesi olmadığı için Tüzük, Türkiye’deki her işletmeye otomatik olarak Türk hukuku gibi uygulanmaz. Bununla birlikte Tüzüğün coğrafi kapsamı, yalnızca AB’de kurulmuş şirketlerle sınırlı değildir. AB pazarına sistem sunan sağlayıcılar, AB’deki kullanıcılar ve belirli şartlarda çıktısı Birlik içinde kullanılan üçüncü ülke aktörleri kapsamda olabilir.
Bu nedenle Türkiye’deki bir yazılım şirketi, SaaS hizmeti, işe alım aracı, çağrı merkezi çözümü veya üretken yapay zekâ ürünü AB müşterilerine sunuluyorsa AI Act uyumunu sözleşme ve ürün tasarımıyla birlikte değerlendirmelidir. Türkiye’de yalnızca yerel pazara hizmet veren bir şirket için ise AI Act doğrudan hukuk kuralı olmayabilir; yine de AB müşterilerinin sözleşmesel talepleri, KVKK ve sektörel kurallar nedeniyle benzer kontroller gerekebilir.
2025’te uygulanmaya başlayan AI Act kuralları nelerdir?
AI Act’in yasaklanan yapay zekâ uygulamalarına ilişkin hükümleri ile tanımlar ve yapay zekâ okuryazarlığına ilişkin yükümlülükleri 2 Şubat 2025’ten itibaren uygulanmaya başladı. Yasaklar, kabul edilemez risk taşıyan belirli kullanım biçimlerini hedefler. Şirketlerin, “biz yüksek riskli sistem geliştirmiyoruz” demeden önce ürünün yasak uygulama alanına girip girmediğini ayrıca kontrol etmesi gerekir.
2 Ağustos 2025’ten itibaren yönetişim hükümleri, yaptırımlar ve genel amaçlı yapay zekâ modeli sağlayıcılarına ilişkin belirli yükümlülükler de uygulama alanına girdi. GPAI sağlayıcıları için teknik dokümantasyon, telif politikası ve eğitim içeriğine ilişkin kamuya açık özet gibi yükümlülükler önem kazanmıştır. Bir uygulamayı kullanan şirket ile temel modeli sağlayan şirketin rolü aynı değildir.
2 Ağustos 2026’da ne değişecek?
AI Act’in temel kuralı, Tüzüğün 2 Ağustos 2026’dan itibaren uygulanmasıdır. Risk sınıflandırması, şeffaflık, yüksek riskli sistemlere ilişkin yükümlülükler ve aktörlerin rolleri bu tarihle birlikte daha görünür hâle gelir. Ancak “2 Ağustos 2026’da bütün AI sistemleri için aynı anda aynı yükümlülükler başlar” demek eksik olur. Tüzükte istisnalar ve geçiş kuralları vardır.
Bir ürün için ilk kontrol listesi şunlardan oluşabilir: Şirket AI sisteminin sağlayıcısı mı, yoksa sadece kullanıcısı mı? Sistem AB’de piyasaya arz ediliyor veya kullanıma sunuluyor mu? Sistem yasak uygulama, yüksek risk, şeffaflık gerektiren sınırlı risk veya düşük risk grubunda mı? Kullanılan veri, insan gözetimi, loglama, teknik dokümantasyon ve olay bildirimi süreçleri bu role göre yeterli mi?
2027’de yüksek riskli sistemler için hangi tarihler önemlidir?
AI Act’in yayımlanmış ilk metnindeki 113. madde, Tüzüğün 6/1 maddesini ve buna karşılık gelen yükümlülükleri 2 Ağustos 2027’den itibaren uygulanır olarak düzenler. Bu alan, belirli AB ürün güvenliği mevzuatına tabi ürünlerin güvenlik bileşeni olan veya kendisi ürün niteliği taşıyan yüksek riskli AI sistemleriyle ilgilidir.
AI Act’i sadeleştiren Digital Omnibus değişikliği sonrasında, biyometri, kritik altyapı, eğitim, istihdam, kolluk, göç, iltica ve sınır kontrolü gibi Ek III kapsamındaki bağımsız yüksek riskli sistemler için uygulama tarihi 2 Aralık 2027’dir. Tıbbi cihaz, makine, asansör ve oyuncak gibi Ek I kapsamındaki ürünlere entegre yüksek riskli sistemler için ise tarih 2 Ağustos 2028’dir. Bu tarih ayrımı, Komisyonun güncel AI Act uygulama sayfasında ve AI Act Service Desk açıklamalarında yer almaktadır.
Bu ayrım, 2026-2027 içeriklerinde özellikle önemlidir. Yüksek riskli ürün geliştiren şirketlerin, güncel uygulama takvimini, ilgili uyumlaştırılmış standartları ve kendi sisteminin Ek I/Ek III kapsamını birlikte takip etmesi gerekir.
Yüksek riskli AI sistemi nedir?
Yüksek risk, yalnızca yapay zekânın çok gelişmiş veya pahalı olması anlamına gelmez. AI Act, belirli kullanım alanları ile belirli ürün güvenliği bağlamlarını esas alır. Biyometri, kritik altyapı, eğitim, istihdam, temel kamu/özel hizmetlere erişim, kolluk, göç ve adalet gibi alanlarda kullanılan bazı sistemler yüksek risk statüsüne girebilir.
Yüksek riskli sistemlerde risk yönetimi, veri yönetişimi, teknik dokümantasyon, kayıt tutma, şeffaflık, insan gözetimi, doğruluk/sağlamlık/siber güvenlik ve uygunluk değerlendirmesi gibi başlıklar öne çıkar. Bir sistemin işe alımda yalnızca “yardımcı” kullanılması bile, karar üzerindeki fiilî etkisine göre dikkatli analiz gerektirebilir.
Şeffaflık ve üretken yapay zekâ için 2026 hazırlığı
Üretken sistemler bakımından kullanıcıların yapay zekâyla etkileşim kurduğunu anlaması, yapay üretilmiş veya değiştirilmiş içeriklerin makine tarafından okunabilir biçimde işaretlenmesi ve deepfake içeriklerinin açıklanması gibi şeffaflık yükümlülükleri 2 Ağustos 2026’da uygulanmaya başlar. Komisyonun 20 Temmuz 2026’da yayımladığı 50. madde şeffaflık kılavuzu ile 10 Haziran 2026 tarihli Yapay Zekâ Üretimi İçeriklerin Şeffaflığına İlişkin Uygulama Kuralları (Code of Practice), sağlayıcılar ve kullanıcılar için pratik çerçeve sunar. Digital Omnibus uzlaşısına göre 2 Ağustos 2026’dan önce piyasaya sunulmuş üretken sistemlerde makine okunur işaretleme yükümlülüğü için 2 Aralık 2026’ya kadar geçiş süresi öngörülmektedir; bu geçiş de resmî yayımla kesinleşecektir.
Türkiye’deki şirketlerin bu kuralları doğrudan uygulama yükümlülüğü, AB bağlantısına göre değişse de ürün tasarımında “hangi içerik yapay zekâ tarafından üretildi, kim onayladı, kullanıcının bilgisi var mı?” sorularının kayıt altına alınması gelecekteki uyum maliyetini azaltabilir.
Türkiye’deki şirketler için uyum yol haritası
Önce ürün ve kullanım envanteri çıkarılmalıdır. Sonra her sistem için AB bağlantısı, şirket rolü, veri akışı, hedef kullanıcı ve olası risk sınıfı belirlenmelidir. Ürün AB’ye sunuluyorsa sözleşmeler, teknik dokümantasyon, kullanım kılavuzu, insan gözetimi, olay yönetimi ve tedarikçi yükümlülükleri birlikte gözden geçirilmelidir.
AI Act, KVKK uyumunun yerine geçmez. Türkiye’de kişisel veri işleme, veri güvenliği, yurt dışına aktarım, iş hukuku, tüketici hukuku ve fikri haklar bakımından ayrı kurallar uygulanmaya devam eder. Bir AB müşterisinin AI Act talebi, Türkiye’deki veri koruma veya sözleşme sorumluluklarını kendiliğinden ortadan kaldırmaz.
Sık sorulan sorular
AI Act 2 Ağustos 2026’da Türkiye’de yürürlüğe mi giriyor?
Hayır. AI Act, AB tüzüğüdür ve Türkiye’de Türk kanunu olarak doğrudan yürürlüğe girmez. Ancak Tüzüğün kapsam koşulları oluşursa Türkiye’deki şirketlerin AB faaliyeti bakımından yükümlülük doğabilir.
Türkiye’deki şirket AI Act’e uymak zorunda mı?
Şirketin AB pazarına sistem sunup sunmadığı, AB’deki kullanıcılarla ilişkisi ve çıktının AB’de kullanımı önemlidir. Yerel faaliyetle sınırlı şirketler için doğrudan kapsam her zaman doğmaz; somut bağlantı incelenmelidir.
İşe alım için AI kullanmak yüksek riskli midir?
İstihdam alanında kullanılan sistemler AI Act bakımından yüksek riskli alanlar arasında yer alabilir. Sistem sadece öneri sunuyor olsa bile karar sürecindeki gerçek etkisi, veri kullanımı ve insan denetimi değerlendirilmelidir.
2027 mi 2028 mi geçerli tarih?
Yüksek riskli sistemin türüne göre ayrım vardır. Ek III kapsamındaki bağımsız yüksek riskli sistemler için 2 Aralık 2027, Ek I kapsamındaki ürünlere entegre sistemler için 2 Ağustos 2028 tarihi geçerlidir. Somut sistemin hangi gruba girdiği ayrıca değerlendirilmelidir.
Sonuç
AI Act uyum takvimini tek bir tarih olarak okumak doğru değildir. Yasak uygulamalar ve AI okuryazarlığı 2025’te; genel uygulama 2 Ağustos 2026’da; yüksek riskli sistemlere ilişkin ayrıntılı yükümlülükler ise sistem türüne göre 2027 ve güncel siyasi uzlaşı çerçevesinde 2028’e uzanan tarihlerde önem kazanır. Türkiye’deki şirketler için ilk soru, AI Act’in coğrafi kapsamına girip girmedikleridir. AB bağlantısı bulunan ürünlerde takvimin, nihai metin ve şirketin somut rolü üzerinden düzenli olarak yeniden kontrol edilmesi gerekir.
İlgili içerik önerileri: İşyerinde yapay zekâ kullanım politikası nasıl hazırlanır? · Yapay zekâ kullanımında hukuki sorumluluk kimde kalır?
İçerik kapsamı: Bu yazı genel bilgilendirme amacı taşır; somut olayın özellikleri ayrıca değerlendirilmelidir.