AB Yapay Zeka Yasası: risk sınıfları ve takvim

Altay Kargo'nun insan kaynakları ekibi yeni bir araç almak istiyor. Araç gelen özgeçmişleri bir dil modeline okutuyor, adaylara puan veriyor ve listeyi sıralıyor. Aracı satan yazılım şirketi Türkiye'de kurulu, ama müşterilerinin bir kısmı Almanya ve Hollanda'da.

Satış ekibi soruyor: AB Yapay Zeka Yasası bizi ilgilendirir mi? Cevap evet. Yasa yalnız AB'de kurulu şirketlere bakmaz. Sistemi AB pazarına sunan sağlayıcıyı ve sistemi AB'de kullanan kuruluşu kapsar.

Çıktısı AB'de kullanılan bir sistemin üçüncü ülkedeki sağlayıcısı da kapsama girer. Bu derste yasanın sistemleri nasıl sınıflandırdığını ve hangi yükümlülüğün hangi tarihte başladığını adım adım çıkaracaksın. Sonunda bu aday puanlama aracını doğru sınıfa koyacaksın.

Avrupa Birliği'nin 2024/1689 sayılı Tüzüğü 12 Temmuz 2024'te AB Resmî Gazetesi'nde yayımlandı ve 1 Ağustos 2024'te yürürlüğe girdi. Tüzük olduğu için üye ülkelerde ayrı bir kanuna çevrilmeden doğrudan uygulanır. Yasanın temel fikri risk temelli yaklaşımdır. Her sisteme aynı kuralı koymaz.

Sistemi taşıdığı riske göre bir basamağa yerleştirir ve yükü o basamağa göre artırır. En üstte yasaklı uygulamalar durur. Altında yüksek riskli sistemler, onun altında şeffaflık yükü taşıyan sistemler yer alır. En altta minimal riskli sistemler kalır.

Merdivende yukarı çıktıkça yük ağırlaşır. Sınıflandırma, sistemin hangi teknolojiyi kullandığına bakmaz. Kararlarının kişilerin sağlığı, güvenliği ve temel hakları üzerindeki olası etkisine bakar.

Yasaklı basamakta az sayıda kullanım tamamen kapatılır. Kişiyi fark ettirmeden yönlendiren manipülatif teknikler, yaş ya da engellilik gibi kırılganlıkları sömüren sistemler ve sosyal puanlama bunlardan bazılarıdır. Yüksek riskli basamağa iki yoldan girilir.

Birinci yol ürün güvenliğidir. Tıbbi cihaz ya da makine gibi AB ürün mevzuatına tabi bir ürünün güvenlik bileşeni buraya düşer. Şart, o ürünün üçüncü taraf uygunluk değerlendirmesinden geçmesidir. Bu mevzuat Ek I'de listelenir.

İkinci yol kullanım alanıdır. Ek III sekiz alan sayar: biyometri, kritik altyapı, eğitim, istihdam, temel kamu ve özel hizmetlere erişim, kolluk, göç ve sınır yönetimi, adalet ve demokratik süreçler. Yüksek riskli sistem yasak değildir. Ama risk yönetimi, veri yönetişimi, teknik dokümantasyon, kayıt tutma, insan gözetimi ve uygunluk değerlendirmesi yükünü taşır.

Şeffaflık basamağındaki sistemler kullanıcıyı yanıltma riski taşır. Kullanıcıyla konuşan sohbet botu, sentetik görüntü ya da ses üreten araç ve derin sahte içerik yayan uygulama bu gruptadır. Bu sistemlerin yükü kullanıcıyı bilgilendirmek ve üretilen içeriği işaretlemektir. Geri kalan sistemlerin çoğu minimal risklidir: spam filtresi, oyun içi yapay zekâ, metin biçimlendirici.

Yasa bunlara risk sınıfından doğan ek bir yükümlülük koymaz, gönüllü davranış kurallarını teşvik eder. Bir ayrıntıyı unutma: basamaklar birbirini dışlamaz. İşe alımda kullanılan ve adayla sohbet eden bir asistan hem yüksek riskli sistemin yükünü hem de şeffaflık yükünü taşır. Sınıfı bulmak listenin bir satırını seçmek değildir, sistemin her işlevini ayrı ayrı okumaktır.

Genel amaçlı yapay zekâ modelleri, kısaca GPAI, merdivenin dışında ayrı bir yolda düzenlenir. GPAI, çok farklı görevleri yapabilen ve başka sistemlere gömülebilen modeldir. Büyük dil modelleri bu gruba girer. Yasa burada sistemi değil modeli düzenler.

Her GPAI sağlayıcısı dört temel yükümlülük taşır. Modelin eğitim ve test sürecini anlatan teknik dokümantasyonu hazırlar. Modeli ürününe gömen sağlayıcılara yetenekleri ve sınırları anlatan bir bilgi paketi verir. AB telif hukukuna uyum için bir politika kurar.

Eğitimde kullanılan içeriğin yeterince ayrıntılı bir özetini Komisyon'un şablonuyla kamuya açıklar. Ağırlıkları açık lisansla yayımlanan ve sistemik risk taşımayan modellerde ilk iki yükümlülük düşer. Telif politikası ve eğitim içeriği özeti ise kalır.

Bazı modeller sistemik risk taşır. Bir model bu sınıfa iki yoldan girer. Birinci yol hesaplama eşiğidir. Eğitimde kullanılan toplam hesaplama 10²⁵ kayan nokta işlemini aşarsa, modelin yüksek etkili yeteneklere sahip olduğu varsayılır.

İkinci yol Komisyon kararıdır. Komisyon, eşiğin altında kalan bir modeli de Ek XIII'teki ölçütlere göre işaretleyebilir. Sistemik riskli modelin sağlayıcısı ek yük taşır.

Saldırgan test dahil model değerlendirmesi yapar ve belgeler. AB düzeyindeki sistemik riskleri değerlendirir ve azaltır. Ciddi olayları izler ve Yapay Zeka Ofisi'ne bildirir.

Modelin ve fiziksel altyapısının siber güvenliğini korur. Komisyon Temmuz 2025'te GPAI Uygulama Kodu'nu yayımladı. Kod gönüllüdür, ama imzalayan sağlayıcı uyumunu bu yolla gösterebilir.

Altay Kargo'ya aracı satan şirket kendi modelini eğitmiyor. Bir GPAI modelini API üzerinden çağırıyor. Bu durumda şirket modelin değil, sistemin sağlayıcısıdır. Modelin yükleri model sağlayıcısında kalır, sistemin yükleri bu şirkete düşer.

Model sağlayıcısının belgeleri bu yüzden önemlidir. Yüksek riskli bir sistem kuruyorsan modelin sınırlarını, bilinen hata türlerini ve eğitim verisinin genel niteliğini bilmen gerekir. Bu bilgiyi kendin üretemezsin, sağlayıcıdan istersin. Satın alma sürecinde üç soru sor.

Model sistemik riskli mi? Teknik bilgi paketi nerede? Eğitim içeriği özeti yayımlandı mı? Cevap yoksa kendi dokümantasyonunda boşluk kalır ve ürününün yükünü yanlış hesaplarsın.

Yasa tek günde uygulanmaya başlamadı. Yükümlülükler aşamalı açılıyor ve her aşama bir öncekinin üstüne biniyor. Önce en tehlikeli kullanımlar yasaklandı. Sonra model sağlayıcılarının yükü başladı.

2 Ağustos 2026'da kuralların büyük kısmı uygulamaya girdi ve Madde 50'deki şeffaflık yükümlülüğü başladı. Komisyon da aynı tarihte GPAI sağlayıcılarına karşı yaptırım yetkisini kullanmaya başladı. Yüksek riskli sistemlerin takvimi ise 2026'da değişti. Komisyon 19 Kasım 2025'te Dijital Omnibus adlı bir sadeleştirme paketi önerdi.

Paket 2026/1744 sayılı Tüzük olarak kabul edildi ve 27 Temmuz 2026'da yürürlüğe girdi. Omnibus, yüksek riskli kuralların başlangıcını öteledi. Gerekçe, bu kuralları uygulamaya yarayan standartların ve destek araçlarının gecikmesiydi.

12 Tem 2024  Tüzük AB Resmî Gazetesi'nde yayımlanır
 1 Ağu 2024  Tüzük yürürlüğe girer
 2 Şub 2025  Yasaklı uygulamalar + YZ okuryazarlığı
 2 Ağu 2025  GPAI yükümlülükleri (Bölüm V)
 2 Ağu 2026  Genel uygulama + şeffaflık (Madde 50)
 2 Ara 2026  Yeni yasaklar + Madde 50(2) geçiş süresi biter
 2 Ağu 2027  Eski GPAI modelleri uyumu tamamlar
 2 Ara 2027  Ek III yüksek riskli sistemler
 2 Ağu 2028  Ek I ürünlerine gömülü yüksek riskli sistemler

Tabloyu satır satır oku. İlk iki satır yayım ve yürürlük tarihidir. Yürürlük, yükümlülüklerin uygulandığı gün demek değildir. Şubat 2025 satırı yasakları ve okuryazarlık hükmünü açtı.

Ağustos 2025 satırı GPAI sağlayıcılarının yükünü başlattı. Ağustos 2026 satırı yasanın büyük gövdesini uygulamaya aldı. Aralık 2026 satırı Omnibus'un eklediği iki yeni yasağı getirir. Aynı tarih, Ağustos 2026'dan önce piyasaya çıkmış üretken sistemlere içerik işaretleme için tanınan geçiş süresinin sonudur.

Ağustos 2027 satırı, Ağustos 2025'ten önce piyasada olan GPAI modelleri için son tarihtir. Son iki satır yüksek riskli sistemlerin yeni başlangıç tarihleridir. Ek III'teki kullanım alanları önce, ürün mevzuatına bağlı Ek I sistemleri sonra gelir.

Takvimde en sık hata eski bir tabloyla çalışmaktır. 2025'te yazılmış pek çok rehber, yüksek riskli sistemler için 2 Ağustos 2026 tarihini verir. Omnibus'tan sonra bu tarih Ek III için 2 Aralık 2027'ye kaydı.

Eski tabloyla plan yapan bir ekip ya yükü gereğinden erken taşır ya da ertelemeyi her şeye yayar. Oysa şeffaflık yükümlülüğü ertelenmedi, 2 Ağustos 2026'da başladı.

Kendi takvimini çıkarırken önce ürününün hangi satıra düştüğünü bul. Sonra tarihi Komisyon'un Yapay Zeka Yasası Hizmet Masası'ndaki güncel takvimle doğrula. Tarihler yeniden değişebilir. Takvimi yılda en az bir kez ve her değişiklik haberinde yeniden gözden geçir.

Sınıflandırmayı kendi ürününe uygularken teknolojiden değil, kullanım alanından başla. Önce sistemin hangi kararı etkilediğini tek cümleyle yaz. Sonra dört soruyu sırayla sor.

Kullanım Madde 5'teki yasaklardan birine giriyor mu? Sistem Ek I'deki bir ürünün güvenlik bileşeni mi? Kullanım alanı Ek III'teki sekiz alandan birinde mi? Sistem insanlarla konuşuyor ya da sentetik içerik üretiyor mu?

İlk üç sorudan ilk evet cevabı sınıfı belirler. Son soru ise şeffaflık yükünü ayrıca ekler. Ek III'te bir istisna kapısı da vardır. Madde 6(3), sistem kişilerin sağlığı, güvenliği ya da temel hakları için önemli bir risk taşımıyorsa yüksek riskli sayılmayabileceğini söyler.

Bu kapı dört durumda açılır. Sistem dar bir usul işini yapıyorsa kapı açılır. Daha önce tamamlanmış bir insan işinin sonucunu iyileştiriyorsa da açılır.

Karar örüntülerini insan değerlendirmesinin yerine geçmeden tespit ediyorsa ya da bir değerlendirmeye hazırlık işi yapıyorsa yine açılır. Ama bir kural bu kapıyı her durumda kapatır. Kişileri profilleyen bir Ek III sistemi her zaman yüksek risklidir.

Profilleme, kişinin iş performansı, güvenilirliği ya da davranışı gibi özelliklerini otomatik olarak değerlendirmek demektir. İstisnaya güvenen sağlayıcı, değerlendirmesini sistemi piyasaya sürmeden önce belgelemek zorundadır. Belgesiz istisna, denetimde istisna sayılmaz.

sistem: aday-puanlama
karar: Başvuruları puanlar ve sıralar, İK uzmanı listeye bakar
madde_5_yasak: hayır
ek_I_urun_bileseni: hayır
ek_III_alan: 4(a) istihdam, adayları değerlendirme ve filtreleme
madde_6_3_istisna: uygulanmaz, sistem adayları profiller
madde_50: evet, adaya soru soran sohbet modülü var
sinif: yüksek riskli + şeffaflık yükümlülüğü
uygulama_tarihi: 2027-12-02
gozden_gecirme: yeni karar alanı eklendiğinde

sistem: ozgecmis-donusturucu
karar: PDF özgeçmişi standart forma çevirir, puan vermez, sıralamaz
ek_III_alan: 4(a) istihdam
madde_6_3_istisna: (a) dar usul işi, profilleme yok
belge: SINIF-07, piyasaya sürülmeden önce onaylandı
sinif: yüksek riskli değil, belgeli istisna

Kayıtları satır satır oku. İlk kayıtta karar satırı aracın adayları puanladığını ve sıraladığını söyler. Yasak yok, ürün bileşeni de değil. Ek III satırı istihdam alanının 4(a) bendini gösterir: aday değerlendirme ve başvuru filtreleme.

İstisna satırı kapalıdır, çünkü puanlama bir profillemedir. İK uzmanının listeye bakması bu sonucu değiştirmez. Madde 50 satırı adaya soru soran sohbet modülünü yakalar ve şeffaflık yükünü ekler. Tarih satırı Omnibus sonrası Ek III tarihidir.

İkinci kayıtta araç aynı alanda çalışır, ama yalnız biçim dönüştürür. İstisna satırı Madde 6(3)(a)'yı gösterir ve belge numarasını verir. Dönüştürücüye bir gün puanlama eklenirse kayıt yeniden açılır ve sınıf değişir.

Bu adımda üç hata sık görülür. Birincisi, son kararı insanın verdiğini söyleyip sistemi minimal saymaktır. İnsan sıralanmış listeye bakıyorsa sistemin etkisi sürer ve profilleme istisnayı kapatır.

İkincisi, sınıfı model türünden çıkarmaktır. Aynı dil modeli bir müşteri hizmetleri botunda şeffaflık yükü taşır, bir kredi ön değerlendirmesinde yüksek riskli olur. Üçüncüsü, sınıflandırmayı bir kez yapıp unutmaktır.

Tespit için basit bir kontrol kur. Yeni bir özellik isteği geldiğinde ürün ekibi karar cümlesini güncellesin ve sınıflandırma kaydını hukuk ekibine yeniden onaylatsın. Onaysız değişiklik yayın kapısında durur. Böylece sınıf, ürün değiştikçe sessizce eskimez.