EU AI Act kurumlar için ne getiriyor?

Bir yazılım firması düşünün; müşterilerinin bir kısmı Avrupa'da. Geçtiğimiz çeyrekte büyük bir müşteri, sözleşme yenilemesine yeni bir madde ekledi: "Kullandığınız yapay zekâ sistemleri EU AI Act'e uyumlu mu?" Firma Türkiye'de; ama bu sorunun cevabı "bizi ilgilendirmez" değil. Çünkü yasanın kapsamı, şirketin nerede olduğuyla değil, çıktının nerede kullanıldığıyla belirlenir.

EU AI Act, yapay zekâyı risk seviyesine göre düzenleyen ilk kapsamlı yasadır ve takvimi hızla yaklaşıyor: 2 Ağustos 2026'da, yüksek riskli sistemlerin temel yükümlülükleri dahil, yasanın büyük bölümü uygulanmaya başlıyor. Uyum ise yalnızca bir hukuk işi değil, benimsemenin bir boyutu.

EU AI Act nedir ve neyi düzenler

Yasa, yapay zekâ sistemlerini taşıdıkları riske göre dört kademede sınıflandırır. En üstte kabul edilemez riskli uygulamalar vardır; bunlar yasaktır. Altında yüksek riskli sistemler gelir; sağlık, işe alım, kredi ve kritik altyapı gibi alanlarda kullanılan sistemler için şeffaflık, veri kalitesi, insan gözetimi ve dokümantasyon zorunlu tutulur. Sınırlı riskli sistemler için şeffaflık bildirimi gerekir; kullanıcı, bir yapay zekâyla etkileştiğini bilmelidir. En altta minimal riskli kullanımlar bulunur ve serbesttir.

Bu yaklaşımın mantığı, tüm yapay zekâyı aynı kefeye koymamaktır. Bir öneri motoru ile işe alım kararı veren bir sistem aynı riski taşımaz; yasa da yükümlülüğü riske orantılı dağıtır. Böylece düzenleme, düşük riskli kullanımı boğmadan yüksek riskli kullanımı denetim altına alır.

2 Ağustos 2026'da ne değişiyor

Yasa tek seferde değil, kademeli yürürlüğe giriyor. Kabul edilemez riskli uygulamaların yasağı ve yapay zekâ okuryazarlığı yükümlülükleri 2025 başında devreye girdi; genel amaçlı yapay zekâ modelleri için kurallar 2025 ortasında uygulanmaya başladı. 2 Ağustos 2026 ise en geniş kilometre taşı: yüksek riskli sistemlerin temel yükümlülükleri dahil, yasanın büyük bölümü bu tarihte uygulanır hale geliyor.

Bu takvim, uyumu "ileride bir gün" olmaktan çıkarıp yakın bir gündeme dönüştürüyor. Yüksek riskli bir sistem kullanan ya da geliştiren kurumlar için dokümantasyon, insan gözetimi ve denetim izi kurmak, aylar süren bir hazırlık; tarihe yakın başlamak değil, önceden başlamak gerekiyor.

Türkiye'deki kurumları neden ilgilendiriyor

Yasanın kapsamı coğrafyayla değil, pazarla tanımlıdır.

Yapay zekâ sisteminizi AB pazarına sunuyorsanız ya da sistemin ürettiği çıktı AB'de kullanılıyorsa, şirket Türkiye'de bulunsa da yasa kapsamına girebilirsiniz. AB'ye hizmet veren, AB'de müşterisi ya da operasyonu olan kurumlar için bu, doğrudan bir uyum sorumluluğu anlamına gelir.

Doğrudan kapsama girmeyen kurumlar için bile yasa bir referans noktası hâline geliyor. Büyük müşteriler ve tedarik zincirleri, aynı standartları iş ortaklarından da beklemeye başlıyor; de facto bir norm oluşuyor. Bu yüzden EU AI Act'i sadece bir Avrupa düzenlemesi değil, kurumsal yapay zekâ için yaklaşan bir sektör standardı olarak okumak daha doğru.

Yaygın yanılgı: "Biz kapsamda değiliz"

En sık yapılan hata, kapsamı şirketin adresine göre değerlendirmektir: "Merkezimiz Türkiye'de, o yüzden bizi bağlamaz." Oysa yasa, sistemin çıktısının nerede kullanıldığına bakar. AB'deki bir müşteriye hizmet veren bir öneri motoru ya da AB'deki adaylara uygulanan bir işe alım aracı, şirket nerede olursa olsun kapsama girebilir.

İkinci yanılgı, uyumu tek seferlik bir hukuk projesi sanmaktır. Uyum, hukuk ekibine devredilip kapatılacak bir görev değil; sürekli bakım isteyen bir yönetişim pratiğidir. Bir kez kurulan denetim izi, sistem her değiştiğinde güncellenmelidir.

Şimdi ne yapmalı

İlk adım envanterdir: kurumda hangi yapay zekâ sistemlerinin, hangi amaçla ve hangi risk seviyesinde kullanıldığını görmek. Bu harita çıkmadan uyum soyut kalır; çıktığında ise hangi sistemin hangi yükümlülüğe tabi olduğu ve nerede boşluk olduğu netleşir. Aşağıdaki envanteri her sistem için bir satır olarak doldurmak, uyumu somut bir işe çevirir.

Yapay zekâ envanteri (her sistem için bir satır)

Sistem: hangi yapay zekâ? (araç / model / uygulama)
Amaç: ne için kullanılıyor? (işe alım, kredi, öneri, içerik...)
Risk seviyesi: kabul edilemez / yüksek / sınırlı / minimal
Çıktı: AB'de kullanılıyor mu?
Yükümlülük: bu sistem için hangi kurallar geçerli?
Boşluk: eksik olan ne? (dokümantasyon, insan gözetimi, denetim izi)

Envanterin ardından yüksek riskli kullanımlar için insan gözetimi, dokümantasyon ve denetim izi kurulur. Bu iş, olgunluğun dört boyutundan biri olan yönetişimin ta kendisidir ve benimsemenin ayrılmaz parçasıdır. Guardrail'ı ve denetimi baştan kuran kurum, ölçeğe geçerken yavaşlamaz; tersine, güvenle hızlanır. Otonom sistemleri denetlenebilir biçimde kurmak da bunun bir parçası; Agentic Scale çalışmamız otonomiyi guardrail ile birlikte ele alır. Yönetişim saati işliyor; erken başlayan kurum, uyumu bir yük değil, bir olgunluk avantajı olarak yaşar.