AB Yapay Zekâ Yasası (EU AI Act) Türk Şirketlerini Nasıl Etkiler?

Sınır Ötesine Uzanan Bir Düzenleme

Avrupa Birliği'nin yapay zekâ düzenlemesi çoğu zaman yalnızca AB şirketlerini ilgilendiren bir konu gibi görülür. Oysa yasanın kapsam maddesi, sağlayıcının nerede yerleşik olduğuna değil, sistemin AB pazarına sunulup sunulmadığına ve çıktısının AB'de kullanılıp kullanılmadığına bakar. Bu nedenle EU AI Act Türkiye merkezli yazılım firmaları, AB'ye ihracat yapan üreticiler ve AB'deki müşterilere hizmet veren şirketler için de gündemdedir.

Bu yazıda yasanın risk temelli yaklaşımını, Türk şirketlerinin hangi durumlarda kapsama girdiğini, yüksek riskli sistemlere ilişkin yükümlülükleri, KVKK ile kesişen noktaları, 2026'da güncellenen yürürlük takvimini ve şimdiden yapılabilecek hazırlıkları ele alıyoruz.

AI Act'in risk temelli yaklaşımı

Yapay Zekâ Yasası (Artificial Intelligence Act), Avrupa Parlamentosu ve Konseyi'nin 2024/1689 sayılı Tüzüğü'dür. 12.07.2024'te Avrupa Birliği Resmî Gazetesi'nde yayımlanmış ve 01.08.2024'te yürürlüğe girmiştir. Tüzük, yapay zekâ sistemlerini teknolojiye göre değil, kullanıldıkları bağlamın yarattığı riske göre sınıflandırır:

Yasaklı uygulamalar: kişileri bilinçaltı tekniklerle manipüle etme, kırılganlıklardan yararlanma, sosyal puanlama ve işyerinde veya eğitimde duygu tanıma gibi belirli uygulamalar yasaktır.

Yüksek riskli sistemler: işe alım ve çalışan değerlendirme, kredi değerliliği, eğitimde değerlendirme, kritik altyapı ve biyometrik tanıma gibi alanlarda kullanılan sistemler ile düzenlenmiş ürünlerin güvenlik bileşeni olan sistemler sıkı yükümlülüklere tabidir.

Şeffaflık yükümlülüğü olan sistemler: insanlarla doğrudan etkileşen sistemlerde kişilerin yapay zekâ ile etkileştiğini bilmesi, yapay olarak üretilen içeriğin işaretlenmesi gibi kurallar uygulanır.

Genel amaçlı yapay zekâ modelleri: büyük dil modelleri gibi modellerin sağlayıcıları için teknik dokümantasyon ve telif hakkı politikası gibi ayrı yükümlülükler vardır.

Asgari riskli sistemler: diğer sistemler için ek yükümlülük öngörülmez; gönüllü davranış kuralları teşvik edilir.

Türk şirketleri hangi durumda kapsama girer?

Tüzüğün 2. maddesi, kapsamı sağlayıcının yerleşim yerinden bağımsız olarak tanımlar. Bu maddeye göre Tüzük; AB'de yerleşik olup olmadıklarına bakılmaksızın AB pazarında yapay zekâ sistemi sunan veya hizmete alan sağlayıcılara, AB'de yerleşik kullanıcılara (deployer), üçüncü bir ülkede yerleşik olup sistemin ürettiği çıktı AB'de kullanılan sağlayıcı ve kullanıcılara, ithalatçı ve dağıtıcılara ve yapay zekâ sistemini kendi ürünüyle birlikte kendi markasıyla piyasaya sunan ürün üreticilerine uygulanır.

Bu çerçevede bir Türk şirketi için tipik senaryolar şunlardır:

Yazılım sağlayıcısı: AB'deki müşterilere yapay zekâ içeren bir yazılım veya bulut hizmeti sunan Türk yazılım firması, sağlayıcı olarak kapsama girebilir.

Hizmet ihracatçısı: Türkiye'den yürütülen bir yapay zekâ sisteminin çıktısı AB'de kullanılıyorsa, örneğin AB'deki bir müşteri için aday ön elemesi yapılıyorsa, üçüncü ülke kuralı gündeme gelir.

Ürün üreticisi: yapay zekâ bileşeni içeren makine, tıbbi cihaz veya benzeri ürünleri AB'ye ihraç eden üreticiler, ürün mevzuatıyla birlikte bu Tüzük'ten etkilenebilir.

AB'deki bağlı şirketler: Türk grubunun AB'de yerleşik şirketleri, kullandıkları yapay zekâ sistemleri bakımından kullanıcı sıfatıyla doğrudan kapsamdadır.

Yalnızca Türkiye'de kullanılan ve çıktısı AB'ye yönelmeyen bir sistem kural olarak bu Tüzük'ün kapsamında değildir. Ancak kapsam değerlendirmesi sistem bazında yapılmalıdır; aynı şirketin bir ürünü kapsam dışında kalırken diğeri kapsama girebilir.

Yüksek riskli sistemler ve yükümlülükler

Yüksek riskli bir sistemin sağlayıcısı, sistemi piyasaya sunmadan önce kapsamlı bir uyum sürecinden geçmek zorundadır. Tüzük bu kapsamda başlıca şu gereklilikleri öngörür: AB dışında yerleşik bir sağlayıcının yüksek riskli sistemini AB pazarına sunabilmesi için AB'de yerleşik bir yetkili temsilci ataması gerekir. Sistemi kullanan şirketlerin de kullanım talimatına uyma, insan gözetimini sağlama ve sistemi izleme gibi kendi yükümlülükleri vardır. Tüzük, yükümlülüklerin ihlali için ciro esaslı yüksek idari para cezaları öngörür.

KVKK ile kesişen noktalar

Yapay Zekâ Yasası bir veri koruma düzenlemesi değildir; kişisel verilerin korunmasına ilişkin kuralların yerine geçmez. Türkiye'de kişisel veri işleyen bir yapay zekâ projesi, AB Tüzüğü'nün kapsamında olsun ya da olmasın, 6698 sayılı Kişisel Verilerin Korunması Kanunu'na (KVKK) tabidir. İki düzenlemenin en çok kesiştiği noktalar şunlardır:

Eğitim verisi: modeli eğitmek için kullanılan kişisel verilerin KVKK'nın 4. maddesindeki ilkelere ve 5–6. maddelerdeki işleme şartlarına uygun olması gerekir. Biyometrik ve sağlık verisi gibi özel nitelikli veriler için daha sıkı şartlar aranır.

Otomatik kararlar: KVKK'nın 11. maddesi, ilgili kişiye işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkı tanır. Yüksek riskli sistemlerde öngörülen insan gözetimi bu hakkın kullanılmasını da kolaylaştırır.

Şeffaflık ve aydınlatma: Tüzüğün şeffaflık kuralları ile KVKK'nın 10. maddesindeki aydınlatma yükümlülüğü birlikte ele alınmalıdır.

Yurt dışı aktarım: AB'de yerleşik bir yapay zekâ hizmetine Türkiye'den kişisel veri gönderilmesi, KVKK'nın 9. maddesindeki aktarım kurallarına tabidir.

Veri güvenliği: Tüzüğün siber güvenlik gereklilikleri ile KVKK'nın 12. maddesindeki teknik ve idari tedbirler birbirini tamamlar.

Kişisel Verileri Koruma Kurumu'nun 24.11.2025 tarihinde yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, üretken yapay zekâ sistemlerindeki veri işleme faaliyetlerini KVKK çerçevesinde değerlendirir. Rehberin öne çıkan başlıklarını Üretken Yapay Zekâ Rehberi yazımızda özetledik. Tasarım aşamasında gizliliğin nasıl ele alınacağını ise tasarımdan gizlilik yazımızda anlattık.

Yürürlük takvimi

Tüzük kademeli olarak uygulanmaktadır. Takvim, 24.07.2026'da Avrupa Birliği Resmî Gazetesi'nde yayımlanan ve 27.07.2026'da yürürlüğe giren 2026/1744 sayılı Tüzük (Digital Omnibus on AI) ile güncellenmiştir. Avrupa Komisyonu'nun açıklamalarına göre güncel takvim şöyledir: Takvim, AB düzeyinde yeni değişikliklere açıktır. Hazırlık planı yapılırken güncel tarihler EUR-Lex ve Avrupa Komisyonu kaynaklarından kontrol edilmelidir.

Şimdiden yapılması gereken hazırlıklar

Yüksek riskli sistemler için tarih ertelense de hazırlık süreci uzundur ve bir kısmı KVKK uyumuyla ortak yürütülebilir. Türk şirketleri için makul bir başlangıç şu adımlardan oluşur:

Envanter: şirkette geliştirilen, tedarik edilen veya kullanılan yapay zekâ sistemlerini listeleyin.

AB bağlantısı: her sistem için AB pazarına sunulup sunulmadığını ve çıktısının AB'de kullanılıp kullanılmadığını belirleyin.

Rol tespiti: her sistemde şirketin sağlayıcı, kullanıcı, ithalatçı veya dağıtıcı olup olmadığını netleştirin.

Risk sınıflandırması: sistemin yasaklı, yüksek riskli, şeffaflık yükümlülüğü olan veya asgari riskli gruptan hangisine girdiğini değerlendirin.

Veri tarafı: eğitim ve kullanım verilerinin KVKK'ya uygunluğunu, aydınlatma metinlerini ve yurt dışı aktarımları gözden geçirin.

Yönetişim: yapay zekâ kullanımına ilişkin bir kurum politikası oluşturun ve çalışanların yapay zekâ okuryazarlığını destekleyecek eğitimleri planlayın.

Kurum içi kullanım kurallarının nasıl yazılacağını AI kullanım politikası yazımızda ele aldık.

Sonuç ve sonraki adım

EU AI Act Türkiye'deki şirketleri, AB pazarına sistem sundukları veya çıktıları AB'de kullanıldığı ölçüde doğrudan ilgilendirir. Yasaklı uygulamalar ve genel amaçlı model kuralları zaten uygulanıyor; şeffaflık kuralları Ağustos 2026'dan beri yürürlükte ve yüksek riskli sistemlere ilişkin yükümlülükler için yeni tarih 2 Aralık 2027'dir. Aynı projelerde KVKK'nın veri işleme, aydınlatma ve yurt dışı aktarım kuralları da uygulanmaya devam eder.

İlk adım olarak yapay zekâ sistemlerinizin envanterini çıkarıp AB bağlantısını ve risk sınıfını belirlemek, hazırlığın kapsamını netleştirir. Bu çalışmanın KVKK uyumuyla nasıl birleştirilebileceğini hizmet sayfamızda inceleyebilirsiniz.

Sık sorulan sorular