AB Yapay Zekâ Yasası (AI Act) Türkçe Özet ve Takvim

AB Yapay Zekâ Yasası'nın takvimi 2026 yazında değişti. Yüksek riskli sistem kuralları 2 Ağustos 2026'da başlayacaktı. Dijital Omnibus adlı değişiklik paketi 27 Temmuz 2026'da yürürlüğe girdi ve bu tarihi 2 Aralık 2027'ye taşıdı. Türkçe kaynakların çoğu hâlâ eski takvimi anlatıyor. Bu özet, EUR-Lex'teki metinlere ve Avrupa Komisyonu'nun Ekim 2026'daki sayfasına dayanıyor.

AB Yapay Zekâ Yasası (AI Act) hangi tarihte ne getiriyor?

AI Act 1 Ağustos 2024'te yürürlüğe girdi ve kuralları aşama aşama uygulanıyor; yasaklar Şubat 2025'te, genel amaçlı model kuralları Ağustos 2025'te, şeffaflık kuralları Ağustos 2026'da başladı. Yüksek riskli sistemlerin kuralları ise Dijital Omnibus ile ertelendi.

Erteleme bir öneri ya da uzlaşma değil, yürürlükteki hukuk. Komisyon paketi 19 Kasım 2025'te önerdi. Siyasi uzlaşma 7 Mayıs 2026'da sağlandı. Parlamento 16 Haziran'da, Konsey 29 Haziran 2026'da onayladı. Tüzük 8 Temmuz 2026'da imzalandı ve 27 Temmuz 2026'da yürürlüğe girdi. Tüzüğün gerekçesi, yüksek riskli sistemler için teknik standartların ve ulusal denetim yapılarının zamanında hazır olmaması.

AI Act'te risk sınıfları nelerdir?

AI Act yapay zekâ sistemlerini dört risk düzeyine ayırır: kabul edilemez risk, yüksek risk, şeffaflık riski ve asgari risk. Yükümlülük, risk düzeyi yükseldikçe ağırlaşır. Komisyona göre AB'de kullanılan sistemlerin büyük çoğunluğu asgari risk grubunda ve bunlar için yeni bir kural yok.

Genel amaçlı yapay zekâ modelleri (büyük dil modelleri gibi) bu piramidin yanında ayrı bir rejime tabi. Model sağlayıcıları teknik belge hazırlar, telif politikası kurar ve eğitim verisinin özetini yayımlar. Sistemik risk taşıyan çok güçlü modellerde ek risk değerlendirmesi ve güvenlik yükümlülüğü var.

Hangi yapay zekâ uygulamaları tamamen yasak?

Madde 5, 2 Şubat 2025'ten beri sekiz uygulamayı yasaklıyor ve Dijital Omnibus 2 Aralık 2026'dan itibaren geçerli olacak bir yasak daha ekledi. Yasak uygulamalar şunlar:

1. Kişinin bilinci dışında çalışan, davranışını zarar verecek şekilde çarpıtan manipülasyon teknikleri.
2. Yaş, engellilik ya da ekonomik durum gibi kırılganlıkları istismar eden sistemler.
3. Kişileri sosyal davranışlarına göre puanlayıp dezavantaj yaratan sosyal puanlama.
4. Yalnız profillemeye dayanarak bir kişinin suç işleme riskini tahmin eden sistemler.
5. İnternetten ya da kamera görüntülerinden hedefsiz yüz toplayıp tanıma veritabanı kuran sistemler.
6. İşyerinde ve eğitim kurumunda duygu tanıma (tıbbi ve güvenlik amaçlı istisnalar hariç).
7. Biyometrik veriden ırk, siyasi görüş, cinsel yönelim gibi hassas özellik çıkaran sınıflandırma.
8. Kolluğun kamuya açık alanlarda gerçek zamanlı uzaktan biyometrik tanıma kullanması (dar istisnalar hariç).
9. Omnibus ile eklenen: tanınabilir bir kişinin rızası olmadan gerçekçi cinsel görüntüsünü üreten sistemler ve çocuk istismarı materyali üreten sistemler (2 Aralık 2026'dan itibaren).

Dokuzuncu yasak doğrudan "çıplaklaştırma" (nudification) uygulamalarını hedefliyor. Komisyon bunu ayrı bir duyuruyla öne çıkardı. Bu tür içeriklerin dolandırıcılıkta nasıl kullanıldığını deepfake dolandırıcılığı yazısında anlattık.

AI Act'in cezaları ne kadar?

AI Act'te en ağır ceza, yasak uygulamalar için 35 milyon avro ya da şirketin dünya çapındaki yıllık cirosunun yüzde 7'sidir; hangisi yüksekse o uygulanır. Ceza basamakları Madde 99'da:

KOBİ'ler ve girişimler için her basamakta iki tutardan düşük olanı uygulanır. Cezaları üye devletlerin yetkili makamları verir. Genel amaçlı model sağlayıcıları için yetki Avrupa Komisyonu bünyesindeki Yapay Zekâ Ofisi'nde (AI Office).

AI Act Türk şirketlerini etkiler mi?

Evet, AI Act AB dışındaki şirketleri de kapsar: AB pazarına yapay zekâ sistemi sunan ya da sisteminin çıktısı AB'de kullanılan bir Türk şirketi, merkezi Türkiye'de olsa bile yasanın muhatabıdır. Bu kural Madde 2'de yazıyor.

Türkiye'den üç tipik senaryo:

Yalnız Türkiye'ye hizmet veren ve çıktısı AB'de kullanılmayan bir sistem AI Act'in doğrudan kapsamında değil. Ancak AB'li bir müşteriyle sözleşme yapan şirketler, müşterinin kendi uyum yükümlülükleri nedeniyle bu kuralları sözleşmede karşılarına bulabilir.

Türkiye'de yapay zekâ için bir yasa var mı?

Ekim 2026 itibarıyla Türkiye'de yapay zekâya özgü yürürlükte bir kanun yok; kişisel veri işleyen yapay zekâ projeleri 6698 sayılı KVKK'ya tabi. TBMM'ye yapay zekâ ile ilgili kanun teklifleri verildi ve Meclis'te bir Yapay Zekâ Araştırma Komisyonu çalıştı. Bu teklifler yasalaşmadığı için burada yükümlülük gibi anlatmıyoruz.

Kişisel Verileri Koruma Kurumu ise Kasım 2025'te "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi"ni yayımladı. Rehber, veri sorumlusu ve veri işleyen rollerini, hukuka uygunluk ve şeffaflık ilkelerini üretken yapay zekâ özelinde ele alıyor.

Bir şirket AI Act'e hazırlanmak için nereden başlamalı?

Hazırlık bir envanterle başlar: hangi yapay zekâ sistemini kullandığını ya da sattığını bilmeden risk sınıfını belirleyemezsin. Aşağıdaki sıra küçük bir Türk şirketi için de uygulanabilir.

1. Envanter çıkar. Kullandığın ve geliştirdiğin her yapay zekâ sistemini, amacını ve AB ile bağlantısını listele.
2. Rolünü belirle. Her sistem için sağlayıcı mısın, uygulayıcı mısın, ithalatçı mısın, yaz.
3. Risk sınıfını belirle. Madde 5 yasaklarına, Ek I ve Ek III listelerine ve Madde 50'ye göre sınıflandır.
4. Yasak uygulama varsa hemen durdur. Bu kurallar Şubat 2025'ten beri geçerli.
5. Şeffaflık bildirimlerini koy. Sohbet botunda "yapay zekâyla konuşuyorsunuz" bilgisini, üretilen görsel ve seste işaretlemeyi kontrol et.
6. Ekibe yapay zekâ okuryazarlığı ver. Omnibus bu yükümlülüğü yumuşattı: artık belirli bir seviyeyi garanti etmek değil, okuryazarlığı destekleyen önlem almak gerekiyor.
7. Yüksek risk için takvim kur. Ek III sistemler için 2 Aralık 2027'ye kadar risk yönetimi, veri yönetişimi, teknik belge ve insan gözetimi süreçlerini hazırla.
8. Güvenliği unutma. Yüksek riskli sistemlerden Madde 15 doğruluk, sağlamlık ve siber güvenlik istiyor. İstem enjeksiyonu ve veri zehirleme gibi riskleri yapay zekâ güvenliği nedir yazısında özetledik.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık değildir. Şirketinin somut durumu için AB hukukunda uzman bir avukata danış.

Sırada ne var?

AI Act'i okumak bir şey, bir uyum dosyasında eksikleri yakalamak başka bir şey. AltaySec Akademi'de AB Yapay Zekâ Yasası: risk sınıfları ve takvim ve AB Yasası yükümlülükleri derslerini okuyup Uyum Dosyası İncelemesi laboratuvarını çözebilirsin. AB'nin diğer düzenlemeleriyle (GDPR, NIS2, DORA) birlikte görmek istersen Yönetişim, Risk, Uyum ve Mevzuat yolu seni sırayla götürür.

Kaynaklar

• Regulation (EU) 2024/1689 (AI Act), EUR-Lex
• Regulation (EU) 2026/1744 (Digital Omnibus on AI), EUR-Lex
• Avrupa Komisyonu: AI Act düzenleyici çerçeve ve uygulama takvimi
• Avrupa Komisyonu: AI Omnibus yürürlüğe girdi
• AI Act Service Desk: Madde 5 (yasak uygulamalar)
• AI Act Service Desk: Madde 50 (şeffaflık)
• AI Act Service Desk: Madde 99 (cezalar)
• KVKK: Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (Kasım 2025, PDF)