Kobitek.com web sitesi, analitik ve kişiselleştirme dahil olmak üzere site işlevselliğini sağlamak ve reklam gösterimini optimize etmek için çerezler gibi verileri depolar.
Avrupa Birliği'nin yapay zekâ alanındaki kapsamlı düzenlemesi artık yalnızca teknoloji şirketlerini değil; işe alımdan müşteri hizmetlerine, kredi değerlendirmesinden üretim süreçlerine kadar yapay zekâ kullanan bütün işletmeleri ilgilendiriyor. EU AI Act, yapay zekâyı yasaklamayı değil, oluşturduğu riskle orantılı kurallara bağlamayı amaçlıyor.
Yapay zekâ birkaç yıl öncesine kadar teknoloji şirketlerinin ve araştırma laboratuvarlarının konusu olarak görülüyordu. Bugün ise bir şirketin müşteri hizmetleri yazılımında, insan kaynakları süreçlerinde, muhasebe uygulamalarında, reklam kampanyalarında, üretim hattında veya kredi değerlendirme sisteminde yapay zekâ ile karşılaşmak mümkün.
Bu hızlı yayılma önemli verimlilik imkânları sağlıyor. Ancak aynı zamanda yeni sorular doğuruyor:
Bir yapay zekâ sistemi iş başvurusunda bulunan adaylar arasında ayrımcılık yaparsa kim sorumlu olacak? Bir banka, kredi başvurusunu algoritmanın önerisiyle reddettiğinde müşteriye açıklama yapmak zorunda mı? İnsanlar bir chatbot ile konuştuklarını bilmek zorunda mı? Yapay zekâyla üretilmiş bir görüntü gerçekmiş gibi yayımlanabilir mi?
Avrupa Birliği bu sorulara ortak bir hukuki çerçeve getirmek amacıyla EU AI Act olarak bilinen düzenlemeyi kabul etti.
Resmî adıyla Avrupa Parlamentosu ve Konseyinin 13 Haziran 2024 tarihli ve (AB) 2024/1689 sayılı Yapay Zekâ Tüzüğü, yapay zekâ sistemlerinin geliştirilmesi, piyasaya sunulması ve kullanılması için AB genelinde uyumlaştırılmış kurallar belirliyor. Düzenleme 1 Ağustos 2024'te yürürlüğe girdi ve hükümleri kademeli olarak uygulanmaya başladı. AI Act'in büyük bölümü 2 Ağustos 2026 itibarıyla uygulanabilir hale gelmiş bulunuyor.
Yapay zekâ sistemleri klasik yazılımlardan bazı önemli yönleriyle ayrılıyor. Geleneksel bir yazılımın hangi şartta hangi işlemi gerçekleştireceği büyük ölçüde önceden tanımlanabilir. Yapay zekâ sistemlerinde ise sonuçlar kullanılan verilere, modelin eğitim biçimine, kullanıcı girdilerine ve sistemin çalışma ortamına göre değişebiliyor.
Bu durum özellikle insanlar hakkında karar verilen alanlarda ciddi sonuçlar yaratabiliyor.
Geçmiş işe alım verileriyle eğitilmiş bir sistem, şirketin geçmişteki ayrımcı tercihlerini yeniden üretebilir. Bir kredi değerlendirme modeli, belirli bölgelerde yaşayan kişileri dolaylı olarak dezavantajlı duruma düşürebilir. Sağlık alanında kullanılan bir sistem yanlış veya eksik veriler nedeniyle hatalı bir öneride bulunabilir. Üretken yapay zekâ araçları ise gerçeğe benzeyen fakat tamamen uydurma içerikler oluşturabilir.
Sorun yalnızca sistemlerin hata yapabilmesi değildir. İnsanların bu kararların nasıl alındığını anlamakta zorlanması, sorumluluğun kimde olduğunun belirsizleşmesi ve otomatik kararların sorgulanmadan kabul edilmesi de önemli riskler arasındadır.
EU AI Act bu nedenle şu temel konulara odaklanıyor:
Düzenlemenin amacı yapay zekâyı yasaklamak değildir. Avrupa Birliği'nin yaklaşımı, yapay zekânın ekonomik ve toplumsal faydalarından yararlanılırken insan güvenliği ve temel haklar bakımından kabul edilemez sonuçların önlenmesidir.
EU AI Act, bir direktif değil, Avrupa Birliği tüzüğüdür. Bu nedenle üye ülkelerin ayrıca ulusal bir yasaya dönüştürmesini beklemeden doğrudan uygulanır. Bununla birlikte denetim, yaptırım ve yetkili kurumların belirlenmesi gibi uygulama alanlarında üye devletlere görevler düşmektedir.
Düzenleme yalnızca yapay zekâ sistemini geliştiren şirketleri kapsamıyor. Yapay zekâ ekosistemindeki farklı taraflar için farklı sorumluluklar tanımlıyor.
Sağlayıcı, bir yapay zekâ sistemini geliştiren veya kendi adı altında piyasaya sunan gerçek ya da tüzel kişidir.
Kullanıcı işletme, düzenlemenin kullandığı ifadeyle "deployer", yapay zekâ sistemini mesleki veya kurumsal faaliyetleri kapsamında kullanan taraftır.
İthalatçı, AB dışındaki bir sağlayıcının sistemini Avrupa Birliği pazarına sunar.
Dağıtıcı ise tedarik zinciri içinde sistemi piyasada bulunduran taraftır.
Bir işletme başkasının geliştirdiği yapay zekâ aracını kullandığı için otomatik olarak bütün sorumluluklardan kurtulmaz. Sistemin hangi amaçla ve nasıl kullanıldığına bağlı olarak kullanıcı işletmenin de çalışanları bilgilendirme, insan gözetimi sağlama, kullanım talimatlarına uyma ve kayıtları koruma gibi yükümlülükleri olabilir.
Hayır. AI Act'in etkisi Avrupa Birliği sınırlarının dışına uzanıyor.
AB dışında kurulmuş bir şirket, yapay zekâ sistemini Avrupa Birliği pazarına sunuyorsa veya sistemin ürettiği çıktı Avrupa Birliği'nde kullanılıyorsa düzenlemenin kapsamına girebilir. Dolayısıyla Türkiye'de geliştirilen bir işe alım, kredi değerlendirme, sağlık, eğitim veya müşteri hizmetleri çözümünün AB'deki şirketlere satılması halinde AI Act dikkate alınmalıdır.
Bu yönüyle düzenleme GDPR'a benziyor. Şirketin merkezinin nerede bulunduğundan çok, ürünün hangi pazara sunulduğu ve sonuçlarının nerede kullanıldığı önem taşıyor.
Türkiye'deki şirketler açısından konu iki nedenle önemlidir. Birincisi, AB'ye yazılım veya yapay zekâ tabanlı hizmet satan işletmeler doğrudan kapsama girebilir. İkincisi, AB merkezli müşteriler kendi uyum yükümlülüklerini yerine getirebilmek için Türk tedarikçilerden teknik dokümantasyon, veri politikası, güvenlik bilgileri ve sözleşmesel güvenceler talep edebilir.
AI Act bütün yapay zekâ uygulamalarına aynı kuralları getirmiyor. Düzenlemenin temelinde, sistemin oluşturabileceği zararla orantılı yükümlülükler getiren risk temelli yaklaşım bulunuyor.
Avrupa Komisyonu bu yaklaşımı dört risk düzeyi altında açıklıyor:
İnsanların temel hakları, güvenliği veya özgür iradesi bakımından kabul edilemez tehlike yaratan bazı yapay zekâ uygulamaları tamamen yasaklanmıştır.
Bunlar arasında belirli şartlar altında şu uygulamalar yer alıyor:
Bu yasakların önemli bölümü 2 Şubat 2025'ten beri uygulanıyor. Temmuz 2026'da yürürlüğe giren AI Omnibus değişikliğiyle, kişilerin rızası olmadan cinsel içerikli görüntüler üreten veya değiştiren "çıplaklaştırma" uygulamaları ile çocukların cinsel istismarına ilişkin yapay içerikler de yasaklar kapsamına alındı.
Bir yapay zekâ sisteminin yüksek riskli kabul edilmesi, onun yasak olduğu anlamına gelmiyor. Ancak bu sistemlerin piyasaya sunulmadan veya kullanılmadan önce daha sıkı şartları karşılaması gerekiyor.
Yüksek risk sınıflandırması iki ana grupta yapılıyor.
İlk grupta tıbbi cihazlar, makineler, oyuncaklar ve asansörler gibi hâlihazırda ürün güvenliği düzenlemelerine tabi ürünlerin güvenlik bileşeni olarak kullanılan yapay zekâ sistemleri bulunuyor.
İkinci grupta ise AI Act'in Ek III bölümünde belirtilen hassas kullanım alanları yer alıyor.
Yüksek riskli sistemlerin sağlayıcıları; risk yönetimi, veri kalitesi, teknik dokümantasyon, faaliyet kayıtları, insan gözetimi, doğruluk, dayanıklılık ve siber güvenlik konularında ayrıntılı yükümlülüklere tabi olacak.
Sistem piyasaya sunulmadan önce uygunluk değerlendirmesinden geçecek. Önemli bir değişiklik yapılması halinde bu değerlendirme yenilenecek. Sağlayıcıların ayrıca kalite yönetim sistemi kurması, ciddi olayları bildirmesi ve gerekli hallerde düzeltici önlem alması gerekecek.
Bu sistemleri kullanan şirketler de sistemi kullanım talimatlarına uygun biçimde çalıştırmak, işleyişini izlemek ve insan gözetiminden sorumlu kişileri belirlemek zorunda olacak. İşyerinde kullanılan yüksek riskli bir sistemden etkilenecek çalışanların ve çalışan temsilcilerinin önceden bilgilendirilmesi de öngörülüyor. Bir sistemin çıktısı kişi hakkında hukuki sonuç doğuran bir kararda kullanılmışsa, ilgili kişinin anlamlı bir açıklama talep etme hakkı bulunabilecek.
Bazı yapay zekâ sistemleri yüksek riskli sayılmıyor, ancak kullanıcıların yanıltılmasını önlemek için şeffaflık kurallarına tabi tutuluyor.
Bunun en kolay anlaşılabilir örneği chatbotlardır. Bir kişi makineyle etkileşimde bulunduğunu içinde bulunduğu koşullardan açıkça anlayamıyorsa, bunun bir yapay zekâ sistemi olduğu kendisine bildirilmelidir.
Yapay zekâ tarafından üretilen veya değiştirilen ses, görüntü, video ve metinlerin makine tarafından okunabilir biçimde işaretlenmesi de sağlayıcılara getirilen yükümlülükler arasındadır.
Deepfake içeriği yayımlayanların, içeriğin yapay olarak üretildiğini veya değiştirildiğini açıkça belirtmesi gerekir. Kamu yararını ilgilendiren konularda toplumu bilgilendirmek amacıyla yayımlanan yapay zekâ üretimi metinler için de belirli açıklama yükümlülükleri bulunuyor. Sanatsal, hiciv veya kurmaca eserler bakımından ifade özgürlüğünü ve eserin niteliğini koruyan özel hükümler uygulanıyor.
Bu şeffaflık hükümleri 2 Ağustos 2026 itibarıyla uygulanmaya başladı.
AI Act, yapay zekâ kullanılan her yazılıma ağır bir uyum yükü getirmiyor. Avrupa Komisyonuna göre AB'de kullanılan yapay zekâ sistemlerinin büyük çoğunluğu minimal veya sıfıra yakın risk kategorisinde yer alıyor.
Spam filtreleri, yapay zekâ destekli video oyunları ve önemli kararlar vermeyen birçok öneri sistemi bu gruba örnek gösterilebilir. Bu uygulamalar için AI Act kapsamında genel olarak zorunlu ek kurallar bulunmuyor. Bununla birlikte şirketler gönüllü davranış kurallarını benimseyebilir ve veri koruma, tüketici hukuku veya fikrî mülkiyet gibi diğer mevzuattan doğan yükümlülüklere tabi olmaya devam eder.
Dolayısıyla "minimal risk", sistemin hiçbir hukuk kuralına tabi olmadığı anlamına gelmez. Yalnızca AI Act'in yüksek riskli sistemler için öngördüğü özel yükümlülüklerin uygulanmadığını ifade eder.
ChatGPT, Gemini, Claude ve benzeri teknolojilerin temelini oluşturan modeller, belirli bir görevle sınırlı olmayan ve çok farklı amaçlarla kullanılabilen sistemlerdir. AI Act bunları genel amaçlı yapay zekâ modelleri (GPAI) olarak tanımlıyor.
Bu modellerin sağlayıcıları genel olarak:
zorundadır.
Çok gelişmiş veya yaygın kullanımı nedeniyle sistemik risk oluşturabilecek modeller için ilave yükümlülükler getiriliyor. Bunlar arasında model değerlendirmeleri yapmak, sistemik riskleri belirlemek ve azaltmak, ciddi olayları bildirmek ve yeterli siber güvenlik önlemleri almak bulunuyor.
Burada işletmeler açısından önemli bir ayrım yapılmalıdır. Bir şirketin hazır bir üretken yapay zekâ hizmetini çalışanlarına kullandırması, onu otomatik olarak GPAI model sağlayıcısı haline getirmez. Ancak modeli önemli ölçüde değiştirir, kendi markasıyla piyasaya sunar veya yüksek riskli bir karar sürecine entegre ederse sorumlulukları artabilir.
AI Act'in şirketlere getirdiği en yaygın sorumluluklardan biri yapay zekâ okuryazarlığıdır.
Yapay zekâ okuryazarlığı yalnızca personele ChatGPT'nin nasıl kullanılacağını öğretmek değildir. Çalışanların kullandıkları sistemin imkânlarını, sınırlarını ve risklerini anlayabilmesi gerekir.
Örneğin çalışanlar:
bilmelidir.
| Tarih | Uygulamaya giren hükümler |
|---|---|
| 1 Ağustos 2024 | AI Act yürürlüğe girdi. |
| 2 Şubat 2025 | Yasaklanmış yapay zekâ uygulamaları ve ilk yapay zekâ okuryazarlığı hükümleri uygulanmaya başladı. |
| 2 Ağustos 2025 | GPAI modellerine ilişkin yükümlülükler ve yönetişim hükümleri uygulanmaya başladı. |
| 2 Ağustos 2026 | Düzenlemenin büyük bölümü, şeffaflık kuralları ve denetim yetkileri uygulanabilir hale geldi. |
| 2 Aralık 2026 | Rıza dışı mahrem içerik ve çocukların cinsel istismarına ilişkin yapay içerik üreten sistemlerle ilgili yeni yasaklar uygulanacak. |
| 2 Aralık 2027 | Ek III kapsamındaki işe alım, eğitim, kredi, biyometri, göç ve benzeri yüksek riskli kullanım alanlarına ilişkin kurallar uygulanacak. |
| 2 Ağustos 2028 | Makine, tıbbi cihaz, oyuncak ve asansör gibi düzenlenmiş ürünlere entegre yüksek riskli yapay zekâ sistemlerine ilişkin kurallar uygulanacak. |
AI Act, GDPR ile karşılaştırılabilecek ölçüde ciddi idari para cezaları öngörüyor.
Yasaklanmış yapay zekâ uygulamalarının ihlali halinde ceza 35 milyon avroya veya şirketin önceki mali yıldaki dünya çapındaki toplam yıllık cirosunun yüzde 7'sine kadar çıkabiliyor.
Diğer yükümlülüklerin ihlalinde üst sınır 15 milyon avro veya küresel cironun yüzde 3'ü olabiliyor.
Yetkili makamlara yanlış, eksik veya yanıltıcı bilgi verilmesi durumunda ise 7,5 milyon avro veya küresel cironun yüzde 1'ine kadar ceza uygulanabiliyor.
Büyük işletmeler için sabit tutar ile ciro oranından yüksek olanı esas alınırken KOBİ'ler ve girişimler bakımından düşük olan üst sınır uygulanıyor. İhlalin niteliği, süresi, etkilenen kişi sayısı, şirketin işbirliği yapıp yapmadığı ve zararı azaltmak için aldığı önlemler de cezanın belirlenmesinde dikkate alınıyor.
AI Act, hem temel hakların korunması hem de Avrupa'nın teknolojik rekabet gücü açısından yoğun tartışmalara yol açtı.
Düzenlemeyi destekleyenler, açık kurallar olmadan yapay zekâya güven duyulamayacağını savunuyor.
Eleştirilerin merkezinde ise uyum maliyetleri ve Avrupa'nın rekabet gücü bulunuyor.
Dolayısıyla tartışma basitçe "düzenleme olsun veya olmasın" noktasında değil. Asıl anlaşmazlık, riskleri azaltmak için getirilen yükümlülüklerin ne kadar kapsamlı olması ve maliyetin teknoloji sağlayıcıları, kullanıcı işletmeler ve toplum arasında nasıl paylaşılması gerektiği üzerinde yoğunlaşıyor.
Avrupa Birliği'nin dijital ekonomiye yaklaşımı, yalnızca piyasanın büyümesine değil, bu büyümenin hangi kurallar içinde gerçekleşeceğine odaklanıyor.
ABD uzun süre daha çok şirketlerin kendi güvenlik politikalarına ve sektörel düzenlemelere dayanan, inovasyon öncelikli bir model izledi. Çin ise yapay zekâyı devlet politikası, içerik kontrolü ve ekonomik rekabet ekseninde düzenledi. Avrupa Birliği bunlardan farklı olarak insan merkezli, temel haklara dayalı ve risk temelli ortak bir pazar standardı oluşturmayı hedefledi.
Bu yaklaşımın avantajı, 27 üye ülkede farklı kurallar ortaya çıkmasını önlemesi ve şirketlere ortak bir çerçeve sunmasıdır. Dezavantajı ise karmaşık yükümlülüklerin özellikle küçük şirketler için maliyet yaratabilmesidir.
EU AI Act yalnızca yapay zekâ modeli geliştiren teknoloji şirketlerini ilgilendiren teknik bir düzenleme değildir. Bir şirket başkasının geliştirdiği yapay zekâ aracını işe alımda, kredi değerlendirmesinde, çalışan yönetiminde veya müşterileriyle iletişimde kullanıyorsa doğrudan sorumluluklarla karşılaşabilir.
KOBİ'lerin bu aşamada ihtiyaç duyduğu ilk şey karmaşık bir uyum organizasyonu değil; görünürlük ve kontrol sağlamaktır. Şirket içinde hangi yapay zekâ araçlarının kullanıldığını bilmek, kullanım amaçlarını sınıflandırmak, tedarikçileri değerlendirmek, çalışanları eğitmek ve kritik kararlar üzerinde insan denetimini korumak güçlü bir başlangıç olacaktır.
Önümüzdeki dönemde rekabet avantajı yalnızca yapay zekâyı erken kullanmaktan doğmayacak. Yapay zekâyı güvenilir, açıklanabilir, güvenli ve mevzuata uygun biçimde kullanabilen şirketler; müşteriler, çalışanlar ve iş ortakları nezdinde daha kalıcı bir avantaj elde edecek.
Destekçilerimize Teşekkürler
Kozyatağı Mahallesi Sarı Kanarya Sokak
Byofis No: 14 K:7 Kadıköy 34742 İstanbul
Telefon: 0216 906 00 42 | E-Posta: info@ kobitek.com
KOBITEK.COM, bir
TEKNOART Bilişim Hizmetleri Limited Şirketi projesidir.
2001 yılından beri KOBİlere ücretsiz bilgi kaynağı olma hedefi ile, alanında uzman yazarlar tarafından sunulan özgün bir iceriğe sahiptir.
Tüm yazıların telif hakları KOBITEK.COM'a aittir. Alıntı yapılabilir, referans verilebilir, ancak yazarın kişisel bloğu dışında başka yerde yayınlanamaz!!!
