AI Act Neden Önemli?
Yasanın amacı, Madde 1'de açıkça tanımlanıyor: iç pazarın işleyişini iyileştirmek, insan merkezli ve güvenilir yapay zekanın yaygınlaşmasını desteklemek; bunu yaparken sağlık, güvenlik ve Temel Haklar Şartı'nda yer alan haklar (demokrasi, hukukun üstünlüğü ve çevrenin korunması dahil) üzerindeki zararlı etkilere karşı yüksek düzeyde koruma sağlamak ve yeniliği desteklemektir.
Bu çerçevede AI Act; pazara sürme ve kullanıma ilişkin uyumlaştırılmış kurallar, belirli yapay zeka uygulamalarının yasaklanması, yüksek riskli sistemler için özel gereklilikler, şeffaflık kuralları, genel amaçlı yapay zeka modellerine ilişkin hükümler ve piyasa gözetimi/yaptırım mekanizmaları getiriyor.
Kapsam: AI Act Kimleri Bağlıyor?
Yasanın 2'inci maddesi, Türkiye'deki şirketler açısından yazının en kritik bölümü. Çünkü AI Act'in kapsamı AB sınırlarıyla sınırlı değil. Düzenleme, aşağıdaki aktörleri kapsıyor:
- AB'de yapay zeka sistemi veya genel amaçlı yapay zeka modeli pazara süren sağlayıcılar — AB'de yerleşik olup olmadıklarına bakılmaksızın, yani üçüncü bir ülkede (örneğin Türkiye'de) kurulu bir şirket dahi olsa;
- AB'de yerleşik dağıtıcılar (deployer'lar);
- Üçüncü bir ülkede yerleşik olan ama sistemin ürettiği çıktı AB'de kullanılan sağlayıcı ve dağıtıcılar;
- İthalatçılar, distribütörler, ürün üreticileri ve AB'de yerleşik olmayan sağlayıcıların yetkili temsilcileri;
- AB'de bulunan ve yapay zeka sisteminden etkilenen kişiler.
Bu madde, AB'nin veri koruma mevzuatı GDPR'da da gördüğümüz "eksterritoryal etki" (extraterritorial effect) mantığını yapay zekaya taşıyor. Yani bir Türk yazılım şirketi AB'de fiziksel bir ofise sahip olmasa dahi, ürettiği yapay zeka sisteminin çıktısı bir şekilde AB pazarında kullanılıyorsa, bu şirket AI Act'in kapsamına girebilir.
Yasa bazı istisnalar da tanımlıyor: yalnızca askeri, savunma veya ulusal güvenlik amaçlı sistemler, salt bilimsel araştırma ve geliştirme amaçlı sistemler, pazara sürülmeden önceki test/geliştirme faaliyetleri ve kişisel, profesyonel olmayan kullanım kapsam dışında bırakılmış. Açık kaynak lisansıyla yayınlanan sistemler de, yüksek riskli veya yasaklı/şeffaflık gerektiren kategorilere girmedikleri sürece muaf.
Risk Bazlı Yaklaşım: AI Act'in Dört Katmanı
AI Act, yapay zeka sistemlerini tek tip kurallara tabi tutmuyor; bunun yerine risk seviyesine göre kademeli bir sistem kuruyor.
- Kabul Edilemez Risk: Yasaklanan Uygulamalar (Madde 5)
Madde 5, belirli yapay zeka uygulamalarını doğrudan yasaklıyor. Bunlar arasında şunlar var:
- Kişinin bilinç düzeyinin altında çalışan manipülatif veya aldatıcı tekniklerle, kişinin bilinçli karar verme yetisini önemli ölçüde zedeleyerek zarar verme amacı veya etkisi taşıyan sistemler;
- Yaş, engellilik veya belirli bir sosyal/ekonomik durumdan kaynaklanan kırılganlıkları istismar eden sistemler;
- Kişilerin sosyal davranışlarına veya kişilik özelliklerine dayalı sosyal puanlama sistemleri;
- Yalnızca profil çıkarımına dayanarak bir kişinin suç işleme riskini öngören sistemler (insan değerlendirmesini destekleyen istisnalar hariç);
- İnternetten veya CCTV görüntülerinden hedefsiz yüz taraması yoluyla yüz tanıma veritabanları oluşturan sistemler;
- İşyeri ve eğitim kurumlarında duygu tanıma sistemleri (tıbbi/güvenlik amaçlı istisnalar hariç);
- Irk, siyasi görüş, sendika üyeliği, dini inanç veya cinsel yönelim gibi hassas nitelikleri çıkarsayan biyometrik kategorilendirme sistemleri;
- Kolluk kuvvetleri tarafından kamuya açık alanlarda "gerçek zamanlı" uzaktan biyometrik tanımlama, sıkı istisnalar dışında (kayıp kişi arama, terör tehdidi, ağır suç soruşturması gibi ve her durumda önceden yargısal izin şartına tabi).
- Yüksek Riskli Sistemler (Madde 6, Ek III)
Bir yapay zeka sistemi iki yoldan biriyle "yüksek riskli" sayılabiliyor:
(i) AB'nin ürün güvenliği mevzuatı kapsamındaki bir ürünün güvenlik bileşeni olması (Ek I),
(ii) Ek III'te sayılan sekiz alandan birine girmesi.
Ek III'te yer alan başlıca alanlar:
- Biyometrik tanımlama ve kategorilendirme sistemleri;
- Kritik altyapı (enerji, su, trafik yönetimi) güvenlik bileşenleri;
- Eğitim ve mesleki eğitime erişim/değerlendirme sistemleri;
- İşe alım, terfi, performans değerlendirme gibi istihdam süreçleri;
- Kredi notu belirleme, sigorta risk fiyatlaması, kamu yardımlarına erişim gibi temel özel/kamu hizmetlerine erişim;
- Kolluk kuvvetleri tarafından kullanılan risk değerlendirme ve profil çıkarma sistemleri;
- Göç, iltica ve sınır yönetimi sistemleri;
- Yargı ve demokratik süreçlere (örneğin seçimlere) etki eden sistemler.
Bu sistemleri pazara süren sağlayıcılar; risk yönetim sistemi kurmak, veri yönetişimi sağlamak, teknik dokümantasyon hazırlamak, insan gözetimini garanti etmek, doğruluk-sağlamlık-siber güvenlik gerekliliklerini karşılamak ve uygunluk değerlendirmesinden geçmek gibi kapsamlı yükümlülüklerle karşı karşıya kalıyor.
- Sınırlı Risk: Şeffaflık Yükümlülükleri (Madde 50)
Madde 50, bilgilendirme zorunluluğu getirilen alanları düzenliyor:
- Bir kişiyle doğrudan etkileşime giren sistemler (chatbot'lar dahil), kullanıcıya bir yapay zeka ile etkileşimde olduğunu açıkça belli etmeli — bu durum zaten bariz değilse;
- Sentetik ses, görüntü, video veya metin üreten sistemlerin çıktıları, makine tarafından okunabilir şekilde yapay zeka ile üretildiği işaretlenmeli;
- Duygu tanıma veya biyometrik kategorilendirme sistemi kullanan dağıtıcılar, buna maruz kalan kişileri bilgilendirmeli;
Derin sahte (deepfake) içerik üreten veya değiştiren dağıtıcılar, içeriğin yapay zeka ile üretildiğini açıklamalıdır. Kamuoyunu bilgilendirme amacı taşıyan yapay zeka üretimi metinler için de benzer bir açıklama zorunluluğu vardır (editoryal sorumluluk taşınan haber içerikleri hariç).
- Minimal Risk
Bu üç kategoriye girmeyen sistemler (öneri motorları, spam filtreleri gibi çoğu günlük uygulama) doğrudan bir yükümlülüğe tabi değil; ancak AI Act, sağlayıcı ve dağıtıcıları gönüllü davranış kurallarına uymaya teşvik etmektedir.
Genel Amaçlı Yapay Zeka Modelleri (GPAI): Büyük Dil Modelleri de Kapsamda
AI Act'in beşinci bölümü, ChatGPT, Claude, Gemini gibi büyük dil modellerinin temelini oluşturan genel amaçlı yapay zeka modellerini (GPAI) ayrı bir rejime tabi tutmaktadır. Madde 53 uyarınca GPAI sağlayıcıları; modelin eğitim ve test sürecine ilişkin teknik dokümantasyon hazırlamak, modeli kendi sistemlerine entegre edecek diğer sağlayıcılara yeterli bilgi sunmak, telif hakkı mevzuatına uyum politikası oluşturmak ve eğitimde kullanılan içeriğe dair kamuya açık bir özet yayımlamakla yükümlüdür.
Eğitiminde kullanılan hesaplama gücü 10^25 kayan nokta işlemini aşan modeller, Madde 51 uyarınca "sistemik risk taşıyan" kategoriye giriyor ve ek yükümlülüklere (model değerlendirmesi, çekişmeli testler, olay raporlama, siber güvenlik) tabi tutuluyor.
Cezalar: Riskler Ne Kadar Ciddi?
AI Act'e aykırılığın bedeli oldukça ağır ve GDPR'ı andırıyor:
Yasaklanmış uygulamalara aykırılık: 35 milyon Euro veya küresel yıllık cironun %7'sine kadar (hangisi yüksekse);
Sağlayıcı, dağıtıcı, ithalatçı, distribütör yükümlülüklerine ve şeffaflık kurallarına aykırılık: 15 milyon Euro veya cironun %3'üne kadar;
Yanlış, eksik veya yanıltıcı bilgi verilmesi: 7,5 milyon Euro veya cironun %1'ine kadar.
KOBİ'ler ve start-up'lar için bu tutarların düşük olanı uygulanıyor - bu da Türkiye'deki yapay zeka girişimlerinin ölçeğine göre nispeten daha öngörülebilir bir risk profiline işaret ediyor, ancak yükümlülük yine de tamamen ortadan kalkmıyor.
Yürürlük Takvimi: Hangi Kurallar Ne Zaman Başlıyor?
AI Act, yayımından 20 gün sonra yürürlüğe girmiş olsa da, hükümleri kademeli olarak uygulanıyor:
2 Şubat 2025: Genel hükümler ve yasaklanmış uygulamalar (Bölüm I ve II) yürürlükte; 2 Ağustos 2025: GPAI modellerine ilişkin kurallar, yönetişim yapıları ve ceza rejimi yürürlükte; 2 Ağustos 2026: Yasanın geneli (şeffaflık yükümlülükleri ve Ek III'teki yüksek riskli sistemlerin büyük bölümü dahil) uygulanmaya başlıyor; 2 Ağustos 2027: Ek I kapsamındaki ürün güvenliği mevzuatına bağlı yüksek riskli sistemler için Madde 6(1) yürürlüğe giriyor.
Ağustos 2026 itibarıyla, yasaklanmış uygulamalar ve GPAI rejimi yürürlükte; genel uygulama tarihi de fiilen başlamış durumda. Bu, Türkiye'deki yapay zeka şirketleri için uyum sürecinin artık teorik değil, güncel bir gündem maddesi olduğu anlamına geliyor.
AI Act Türkiye'yi Nasıl Etkiler?
Türkiye AB üyesi olmadığı ve AI Act bir AB tüzüğü olduğu için Türkiye'de doğrudan uygulanmıyor. Ancak Madde 2'deki kapsam hükmü nedeniyle, aşağıdaki üç grup Türk şirketi fiilen yasanın etki alanına giriyor:
- AB pazarına doğrudan hizmet veren yapay zeka şirketleri ve girişimler. Bir Türk şirketinin geliştirdiği yapay zeka sisteminin çıktısı AB'deki kullanıcılar tarafından kullanılıyorsa -örneğin bir SaaS ürünü, bir öneri motoru, bir işe alım aracı veya bir kredi skorlama modeli AB'li müşterilere sunuluyorsa- bu şirket, AB'de yerleşik olmasa dahi sağlayıcı sıfatıyla AI Act'e tabi olabilir.
- AB'li şirketlere tedarikçi veya alt yüklenici olarak hizmet veren Türk teknoloji şirketleri. GPAI modeli geliştiren veya yüksek riskli sistemler için bileşen üreten Türk firmaları, AB'li müşterilerinin uyum yükümlülüklerini yerine getirebilmesi için sözleşmesel olarak AI Act standartlarına uygun dokümantasyon ve şeffaflık sağlamak zorunda kalabilir. Tedarik zinciri baskısı, doğrudan hukuki yükümlülük kadar belirleyici olacaktır.
- Türkiye'de faaliyet gösterip AB'den yatırım, ortaklık veya pazara giriş arayan girişimler. AB merkezli yatırımcılar ve iş ortakları, girişimlerin durum tespiti (due diligence) süreçlerinde giderek daha fazla AI Act uyumluluğunu sorgulayacaktır. Bu, AI Act'i yalnızca bir hukuki risk değil, aynı zamanda bir rekabet ve yatırıma hazır olma göstergesi haline getiriyor.
Ayrıca, AB'nin GDPR'da izlediği "de facto küresel standart" (Brüksel Etkisi) modelinin yapay zeka alanında tekrarlanması bekleniyor. Türkiye'nin kendi yapay zeka mevzuatı henüz AI Act kapsamında bağlayıcı bir tüzük düzeyinde olmasa da, KVKK'nın GDPR ile paralel gelişim gösterdiği emsal göz önüne alındığında, Türk mevzuatının orta vadede AI Act'in risk bazlı yaklaşımından etkilenmesi olası bir senaryo. Bu nedenle bugünden AI Act uyumlu bir iç politika ve dokümantasyon yapısı kurmak, hem AB pazarına erişimi kolaylaştıracak hem de olası yerel düzenlemelere karşı şirketleri hazırlıklı kılacaktır.
GRD Partners Olarak Nasıl Yardımcı Oluyoruz?
AI Act, metninin karmaşıklığı, risk kategorileri arasındaki ince çizgiler ve kademeli yürürlük takvimi nedeniyle yalnızca teknoloji ekiplerinin değil, hukuki uzmanlığın da masada olmasını gerektiren bir düzenleme. GRD Partners'ta yapay zeka hukuku alanında sunduğumuz başlıca hizmetler:
Şirketinizin geliştirdiği veya kullandığı yapay zeka sisteminin AI Act kapsamına girip girmediğinin ve hangi risk kategorisine dahil olduğunun tespiti; Yüksek riskli sistemler için uygunluk değerlendirmesi ve teknik dokümantasyon süreçlerinde danışmanlık; AB'li müşteri ve iş ortaklarıyla yapılan sözleşmelerde AI Act uyum maddelerinin gözden geçirilmesi; GPAI model sağlayıcıları için şeffaflık ve telif hakkı politikalarının hazırlanması; Yatırım ve due diligence süreçlerinde AI Act uyumluluğu raporlaması.
Türkiye'de yapay zeka alanında faaliyet gösteren veya AB pazarına açılmayı planlayan bir şirketseniz, AI Act'in sizi nasıl etkilediğini netleştirmek için tarafımızla iletişime geçebilirsiniz.