AB Yapay Zekâ Yasası 2 Ağustos 2026'da Ne Değiştirdi?

2 Ağustos 2026, Avrupa Birliği’nin Yapay Zekâ Yasası için önemli bir eşikti. Ancak bu tarih, internette sıkça özetlendiği gibi “bütün yükümlülüklerin aynı gün başladığı” anlamına gelmiyor. Bazı kurallar zaten yürürlükteydi, bazı yüksek riskli sistem kuralları ertelendi, üretken yapay zekâ kullanan işletmeler açısından en görünür değişiklik ise şeffaflık tarafında başladı.

Türkiye’de kurulmuş olmak da tek başına kapsam dışında kalmak için yeterli değil. Avrupa pazarına yapay zekâ sistemi sunan veya ürettiği çıktılar AB içinde kullanılan bir şirket bu düzenlemeyle karşılaşabilir. Bu nedenle ilk iş paniğe kapılmak değil, hangi rolde olduğunuzu ve hangi kullanımın kapsama girdiğini çıkarmaktır.

Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş değildir. Kapsam ve yükümlülükler ürününüze, kullanım biçiminize ve hedef pazarınıza göre değerlendirilmelidir.

2 Ağustos’ta gerçekten ne başladı?

Avrupa Komisyonu’nun 20 Temmuz 2026 tarihli şeffaflık rehberi, Yasa’nın 50. maddesindeki yükümlülüklerin 2 Ağustos 2026’dan itibaren uygulanacağını açıkça belirtiyor. İşletmeler açısından öne çıkan başlıklar şunlar:

• Bir kişi doğrudan bir yapay zekâ sistemiyle konuşuyorsa ve bu durum bağlamdan açıkça anlaşılmıyorsa, karşısındakinin yapay zekâ olduğu bildirilmelidir.
• Sentetik ses, görüntü, video veya metin üreten sistemlerin çıktıları, teknik olarak mümkün olduğu ölçüde makine tarafından okunabilir biçimde işaretlenmeli ve yapay olarak üretildiği tespit edilebilir olmalıdır.
• Deepfake içerikler ile kamu yararına ilişkin konularda yayımlanan belirli yapay zekâ metinleri açıkça belirtilmelidir.
• Duygu tanıma veya biyometrik sınıflandırma kullanan sistemlerde, sisteme maruz kalan kişilerin bilgilendirilmesi gerekir.

Buradaki kritik ayrım şu: Bir aracı yalnızca kullanıyor olabilirsiniz, fakat müşterinize kendi markanız altında bir yapay zekâ özelliği sunuyorsanız “sağlayıcı” rolüne yaklaşabilirsiniz. Sadece hazır bir sistemi şirket içinde kullanan işletmeyle, o sistemi ürününün parçası olarak pazara sunan işletmenin sorumluluğu aynı değildir.

Ertelenen kurallar hangileri?

27 Temmuz’da yürürlüğe giren AI Omnibus düzenlemesi, yüksek riskli sistemlerin takvimini uzattı. Ek III kapsamındaki yüksek riskli kullanım alanları için tarih 2 Aralık 2027’ye, makine, oyuncak veya asansör gibi düzenlemeye tabi fiziksel ürünlere gömülü yapay zekâ sistemleri için ise 2 Ağustos 2028’e taşındı.

Bu erteleme, “şimdilik hiçbir şey yapmaya gerek yok” anlamına gelmiyor. Şeffaflık hükümleri başladı. Ayrıca kullanılan sistemleri, veri akışlarını ve tedarikçileri bugün kayda almayan bir şirket, sınıflandırma ve kanıtlama işini daha sonra çok daha pahalı yapar.

Türkiye’deki bir şirket neden etkilenebilir?

Yasa’nın kapsam maddesi, AB dışında kurulmuş sağlayıcı ve kullanıcıları da belirli koşullarda kapsıyor. Sistemin AB pazarına sunulması veya ürettiği çıktının AB içinde kullanılması bu koşullardan biri olabilir.

Pratik örneklerle düşünelim:

• Avrupa’daki müşterilere sunulan yapay zekâ destekli bir SaaS ürünü,
• AB’deki tüketicilere cevap veren otomatik müşteri hizmetleri,
• Avrupa’daki işe alım süreçlerinde kullanılan aday puanlama sistemi,
• AB pazarına yönelik reklam, görsel veya kamuya açık bilgilendirme içeriği üreten araçlar.

Bunların hepsi aynı risk sınıfında değildir. Fakat “sunucumuz Türkiye’de” veya “kullandığımız model üçüncü tarafın” demek, kendi başına yeterli bir kapsam analizi değildir.

İlk teknik ve operasyonel kontrol listesi

Uyum çalışmasını yüzlerce maddelik bir dosyayla değil, doğrulanabilir bir envanterle başlatın:

1. Kullanım envanteri çıkarın. Hangi ekip, hangi yapay zekâ aracını, hangi veriyle ve hangi kararı desteklemek için kullanıyor?
2. Rolünüzü belirleyin. Her kullanımda sağlayıcı, kullanıcı, dağıtıcı veya entegratör rollerinden hangisine yakınsınız?
3. İnsanla temas noktalarını bulun. Sohbet ekranı, çağrı merkezi, başvuru formu veya öneri motoru kullanan kişiye yapay zekâ bilgisinin nerede verildiğini kontrol edin.
4. Üretilen içeriğin izini koruyun. Model, sürüm, üretim tarihi, insan onayı ve yayımlanan son sürüm arasında kayıt kurulabiliyor mu?
5. Tedarikçiye sorun. Kullandığınız model veya görsel aracı makine okunur işaretleme, çıktı kökeni ve denetim kaydı sağlıyor mu?
6. Hata ve itiraz yolunu tanımlayın. Yanlış bir çıktı müşteriyi etkilediğinde kim inceleyecek, nasıl düzeltilecek ve olay nasıl kayda alınacak?
7. Hukuki değerlendirmeyi teknik bulguyla besleyin. Avukata yalnızca ürün adını değil, gerçek veri akışını ve kullanım senaryosunu verin.

Komisyonun şeffaflık için hazırladığı uygulama koduna katılmak gönüllü. Ancak Komisyonun açıklamasına göre katılmayan kuruluşlar da yükümlülüklerini başka yeterli yöntemlerle nasıl karşıladığını belgeleyebilmelidir. Yani mesele bir rozeti almak değil, alınan önlemi gösterebilmektir.

Bu çalışma neden yalnızca hukuk ekibine bırakılamaz?

Şeffaflık bildiriminin doğru ekranda görünmesi, sentetik içeriğin işaretlenmesi, model sürümünün kayda alınması ve tedarikçi çıktısının izlenmesi yazılımın içinde çözülür. Hukuk ekibi neyin gerekli olduğunu belirler; ürün ve teknik ekip bunun gerçekten çalışmasını sağlar.

İyi bir başlangıç çıktısı uzun bir politika metni değil, şu dört parçadır: yapay zekâ kullanım envanteri, risk sınıflandırma tablosu, eksik kontroller listesi ve sorumlusu belli bir uygulama planı. Mevcut sistemlerinizi bu gözle incelemek için güvenlik denetimi ve dijital dönüşüm danışmanlığı hizmetlerimize bakabilir, kapsamı birlikte çıkarmak için bize yazabilirsiniz.