EU AI Act kurumlar için ne getiriyor?

Bir yazılım firması düşünün; müşterilerinin bir kısmı Avrupa'da. Geçtiğimiz çeyrekte büyük bir müşteri, sözleşme yenilemesine yeni bir madde ekledi: "Kullandığınız yapay zekâ sistemleri EU AI Act'e uyumlu mu?" Firma Türkiye'de; ama bu sorunun cevabı "bizi ilgilendirmez" değil. Çünkü yasanın kapsamı, şirketin nerede olduğuyla değil, çıktının nerede kullanıldığıyla belirlenir.

EU AI Act, yapay zekâyı risk seviyesine göre düzenleyen ilk kapsamlı yasadır. 2 Ağustos 2026 itibarıyla şeffaflık yükümlülükleri yürürlüktedir; yüksek riskli sistemlerin yükümlülükleri ise 2026 yazında yapılan değişiklikle ileri bir tarihe alınmıştır. Uyum, yalnızca bir hukuk işi değil, benimsemenin bir boyutu.

EU AI Act nedir ve neyi düzenler

Yasa, yapay zekâ sistemlerini taşıdıkları riske göre dört kademede sınıflandırır. En üstte kabul edilemez riskli uygulamalar vardır; bunlar yasaktır. Altında yüksek riskli sistemler gelir; sağlık, işe alım, kredi ve kritik altyapı gibi alanlarda kullanılan sistemler için şeffaflık, veri kalitesi, insan gözetimi ve dokümantasyon zorunlu tutulur. Sınırlı riskli sistemler için şeffaflık bildirimi gerekir; kullanıcı, bir yapay zekâyla etkileştiğini bilmelidir. En altta minimal riskli kullanımlar bulunur ve serbesttir.

Bu yaklaşımın mantığı, tüm yapay zekâyı aynı kefeye koymamaktır. Bir öneri motoru ile işe alım kararı veren bir sistem aynı riski taşımaz; yasa da yükümlülüğü riske orantılı dağıtır. Böylece düzenleme, düşük riskli kullanımı boğmadan yüksek riskli kullanımı denetim altına alır.

2 Ağustos 2026'da ne yürürlüğe girdi

Bugün yürürlüğe giren şey şeffaflık yükümlülükleridir. Üç başlıkta toplanır: kullanıcı bir yapay zekâ sistemiyle etkileştiğini bilmelidir; duygu tanıma ve biyometrik sınıflandırma kullanımı ilgili kişilere bildirilmelidir; yapay zekâyla üretilen ya da değiştirilen metin, görsel, ses ve video, makine tarafından okunabilir biçimde işaretlenmelidir. Piyasada hâlihazırda bulunan sistemlerin işaretleme gereğini karşılaması için 2 Aralık 2026'ya kadar geçiş süresi tanınmıştır.

Bu yükümlülükler soyut değil, ürün kararıdır. Müşteriyle konuşan bir sohbet botunun ilk mesajında bir bildirim satırı, pazarlama görsellerinde bir işaretleme akışı, otomatik yanıt gönderen bir destek hattında bir etiket demektir. İhlalin yaptırım tavanı, 15 milyon avro ya da küresel yıllık cironun yüzde 3'ü; hangisi yüksekse o uygulanır.

Yüksek riskli yükümlülükler neden ertelendi

Yüksek riskli sistemlerin yükümlülükleri, aslında bugün başlayacaktı. Regulation (EU) 2026/1744 ile bu takvim değişti; değişiklik 24 Temmuz 2026'da AB Resmî Gazetesi'nde yayımlandı ve 27 Temmuz 2026'da yürürlüğe girdi. Gerekçe, uyumlaştırılmış standartların ve ulusal yönetişim yapılarının hazırlığındaki gecikme.

EU AI Act, güncel takvim (2 Ağustos 2026 itibarıyla)

Yürürlükte, Şubat 2025: yasak uygulamalar + yapay zekâ okuryazarlığı
Yürürlükte, Ağustos 2025: genel amaçlı model (GPAI) kuralları
Yürürlükte, 2 Ağustos 2026: şeffaflık yükümlülükleri (Madde 50)
Geçiş, 2 Aralık 2026: piyasadaki sistemler için içerik işaretleme
Bekliyor, 2 Aralık 2027: bağımsız yüksek riskli sistemler (Ek III)
Bekliyor, 2 Ağustos 2028: ürüne gömülü yüksek riskli sistemler (Ek I)

Aynı değişiklik, okuryazarlık maddesinin dilini de yumuşattı: kurumların belirli bir yapay zekâ okuryazarlığı düzeyini garanti etmesi değil, geliştirilmesini desteklemesi bekleniyor artık. Yükümlülük duruyor; ifadesi esnedi.

Türkiye'deki kurumları neden ilgilendiriyor

Yasanın kapsamı coğrafyayla değil, pazarla tanımlıdır.

Yapay zekâ sisteminizi AB pazarına sunuyorsanız ya da sistemin ürettiği çıktı AB'de kullanılıyorsa, şirket Türkiye'de bulunsa da yasa kapsamına girebilirsiniz. AB'ye hizmet veren, AB'de müşterisi ya da operasyonu olan kurumlar için bu, doğrudan bir uyum sorumluluğu anlamına gelir.

Doğrudan kapsama girmeyen kurumlar için bile yasa bir referans noktası hâline geliyor. Büyük müşteriler ve tedarik zincirleri, aynı standartları iş ortaklarından da beklemeye başlıyor; de facto bir norm oluşuyor. Bu yüzden EU AI Act'i sadece bir Avrupa düzenlemesi değil, kurumsal yapay zekâ için yaklaşan bir sektör standardı olarak okumak daha doğru.

Yaygın yanılgı: "Ertelendi, rahatladık"

Ertelemenin duyulmasıyla birlikte yaygınlaşan okuma şu: "Yüksek risk 2027'ye kaldı, gündemden düştü." Bu okuma iki yerde hatalı. Birincisi, ertelenen şey yükümlülüğün kendisi değil, başlangıç tarihi; içerik aynı kalıyor. İkincisi, bugün yürürlüğe giren şeffaflık yükümlülükleri ertelenmedi ve çoğu kurumu yüksek risk kurallarından daha geniş biçimde ilgilendiriyor, çünkü müşteriye dokunan her sohbet botu ve her üretilen içerik kapsama giriyor.

İkinci yanılgı daha eski: uyumu tek seferlik bir hukuk projesi sanmak. Uyum, hukuk ekibine devredilip kapatılacak bir görev değil; sürekli bakım isteyen bir yönetişim pratiğidir. Bir kez kurulan denetim izi, sistem her değiştiğinde güncellenmelidir. Ek III kapsamına girebilecek bir sistem için dokümantasyon ve insan gözetimi kurmak aylar sürer; 16 aylık ek süre, hazırlığa başlamak için bir sebep, ertelemek için değil.

Şimdi ne yapmalı

İlk adım envanterdir: kurumda hangi yapay zekâ sistemlerinin, hangi amaçla ve hangi risk seviyesinde kullanıldığını görmek. Bu harita çıkmadan uyum soyut kalır; çıktığında ise hangi sistemin hangi yükümlülüğe tabi olduğu ve nerede boşluk olduğu netleşir. Envanterin nasıl çıkarıldığını, gölge kullanımın nasıl bulunduğu dahil, yapay zekâ envanteri rehberinde adım adım anlatıyoruz.

Yapay zekâ envanteri (her sistem için bir satır)

Sistem: hangi yapay zekâ? (araç / model / uygulama)
Amaç: ne için kullanılıyor? (işe alım, kredi, öneri, içerik...)
Risk seviyesi: kabul edilemez / yüksek / sınırlı / minimal
Çıktı: AB'de kullanılıyor mu?
Yükümlülük: bu sistem için hangi kurallar geçerli?
Boşluk: eksik olan ne? (dokümantasyon, insan gözetimi, denetim izi)

Envanterin ardından sıra ikiye ayrılır. Bugün yürürlükte olan şeffaflık yükümlülükleri için bildirim ve işaretleme akışları kurulur; ileri tarihli yüksek risk yükümlülükleri için insan gözetimi, dokümantasyon ve denetim izi hazırlığı başlar. Bu iş, olgunluğun dört boyutundan biri olan yönetişimin ta kendisidir ve benimsemenin ayrılmaz parçasıdır. Guardrail'ı ve denetimi baştan kuran kurum, ölçeğe geçerken yavaşlamaz; tersine, güvenle hızlanır. Otonom sistemleri denetlenebilir biçimde kurmak da bunun bir parçası; Agentic Scale çalışmamız otonomiyi guardrail ile birlikte ele alır.

Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir. Kapsam değerlendirmesi ve uyum kararları için hukuk danışmanınızla çalışın; yasanın güncel metni EUR-Lex üzerinden takip edilebilir.