Hizmet 4 · Uygunluk
AB Yapay Zekâ Yasası Uygunluk
Kuruluşunuzun Regulation (EU) 2024/1689 kapsamına girip girmediğini, her sistem bakımından rolünü ve risk sınıfını tespit ediyor; md.50 şeffaflık yükümlülüklerini fiilen uyguluyor ve Birlik’te yerleşik müşterilerinizden gelen soru listelerine cevap veren kanıt paketini hazırlıyoruz.
BÖLÜM 1Neden bu hizmet erteleme konusu değildir
Regulation (EU) 2026/1744, yaygın olarak Digital Omnibus on AI olarak anılan düzenleme, yüksek riskli sistem yükümlülüklerinin uygulanma tarihlerini ertelemiştir: Ek III kapsamındaki sistemler için 2 Aralık 2027, Ek I kapsamındaki sistemler için 2 Ağustos 2028. Ertelemenin kapsamı bundan ibarettir.[1]
md.50 şeffaflık yükümlülükleri ertelenmemiştir ve 2 Ağustos 2026 tarihinden beri uygulanmaktadır. Düzenleme bu başlık bakımından yalnızca sınırlı bir geçiş süresi tanımıştır: 2 Ağustos 2026 tarihinden önce piyasaya sürülmüş üretken sistemler için md.50(2) makine okunabilir işaretleme yükümlülüğüne 2 Aralık 2026 tarihine kadar uyum sağlanması beklenmektedir. Bu tarih, kapsamdaki kuruluşlar bakımından bugün gündemdeki tek yakın tarihtir.
Yasak uygulamalara ilişkin md.5 ile yapay zekâ okuryazarlığına ilişkin md.4 hükümleri de ertelenmemiş olup 2 Şubat 2025 tarihinden beri uygulanmaktadır. Dolayısıyla ertelemeye dayanarak beklemek, yalnızca yüksek riskli sistem yükümlülükleri bakımından savunulabilir bir tercihtir ve diğer başlıklar için geçerli değildir.
| Tarih | Yükümlülük | Durum |
|---|---|---|
| 2 Şubat 2025 | Yapay zekâ okuryazarlığı (md.4) ve yasak uygulamalar (md.5) | Yürürlükte, ertelenmedi |
| 2 Ağustos 2026 | Şeffaflık yükümlülükleri (md.50) | Yürürlükte, ertelenmedi |
| 2 Aralık 2026 | 2 Ağustos 2026 öncesinde piyasaya sürülmüş üretken sistemlerde md.50(2) makine okunabilir işaretleme geçiş süresinin sonu | Yaklaşan tarih |
| 2 Aralık 2027 | Ek III yüksek riskli sistem yükümlülükleri | Ertelenmiş hâli |
| 2 Ağustos 2028 | Ek I yüksek riskli sistem yükümlülükleri | Ertelenmiş hâli |
Kapsamda olup olmadığınızı tespit etmek ilk adımdır
Kapsam testi, kuruluşun her sistemi için ayrı yürütülür. Sonuç kapsam dışı ise bu tespit de gerekçesiyle yazılı olarak verilir; kapsam dışı kalmak da geçerli ve savunulabilir bir sonuçtur.
BÖLÜM 2Kapsam ve rol tespiti
Yaygın yanılgı, Türkiye’de yerleşik olmanın Tüzük kapsamı dışında kalmayı sağladığıdır. Belirleyici olan yerleşim yeri değil, sistemin veya çıktısının nerede kullanıldığıdır. Tüzüğün md.2(1)(c) hükmü, üçüncü ülkede yerleşik sağlayıcı ve uygulayıcıları, sistemin ürettiği çıktının Birlik içinde kullanılması hâlinde kapsama alır.[2] Yazılım ihracatı, iş süreci hizmeti ve dış kaynak modelleri bu hükmün en sık uygulandığı alanlardır.
Kapsam testinin ardından rol tespiti yapılır. Rol, kuruluş düzeyinde değil sistem düzeyinde belirlenir: aynı kuruluş bir sistemde sağlayıcı, başka bir sistemde uygulayıcı, üçüncü bir sistemde ithalatçı veya dağıtıcı konumunda olabilir. Kendi geliştirdiği bir sistemi piyasaya süren kuruluş sağlayıcı; satın aldığı bir sistemi kendi yetkisi altında kullanan kuruluş uygulayıcıdır. Rolün karışması, yükümlülük listesinin tamamen yanlış kurulmasına yol açar.
Risk sınıflandırması dört kategoride yapılır: yasak uygulamalar, Ek III kapsamındaki yüksek riskli kullanımlar, md.50 şeffaflık yükümlülüğü doğuran kullanımlar ve asgari risk. Sınıflandırma her sistem ve her kullanım amacı için ayrı yürütülür; tek bir sistemin birden çok kategoriye girdiği durumlar sık görülmektedir.
BÖLÜM 3Madde 50 şeffaflık uygulaması
md.50, bilgilendirme ve işaretleme yükümlülükleri getirir. Bu yükümlülükler doküman üretmekle karşılanmaz; ürünün ve içeriğin kendisinde teknik karşılık gerektirir. Çalışma dört fıkra bakımından ayrı ayrı yürütülür.
| Fıkra | Yükümlülük | Uygulama karşılığı |
|---|---|---|
| md.50(1) | Gerçek kişiyle etkileşen sistemlerde kişinin bir yapay zekâ sistemiyle etkileştiğini bilmesi | Sohbet arayüzlerinde ilk temas anında görünür bilgilendirme, arayüz metinlerinin ve devir noktalarının düzenlenmesi |
| md.50(2) | Üretilen sentetik içeriğin makine tarafından okunabilir biçimde işaretlenmesi ve yapay olarak üretildiğinin tespit edilebilmesi | Üstveri gömülmesi, içerik kimlik bilgisi eklenmesi, filigran veya eşdeğer teknik yöntemin uygulanması ve yayım hattına yerleştirilmesi |
| md.50(3) | Duygu tanıma ve biyometrik sınıflandırma sistemlerinde ilgili kişilerin bilgilendirilmesi | Uygulayıcı yükümlülüğüdür. Çağrı merkezi konuşma analitiği ve benzeri kullanımlarda bilgilendirme metni ve akışı kurulur |
| md.50(4) | Gerçek kişi, nesne veya olayı andıran üretilmiş içerik ile kamuyu ilgilendiren metinlerde açıklama | Yayım öncesi açıklama kuralları, kurumsal iletişim ve pazarlama hattına yerleştirilmiş kontrol noktaları |
Makine okunabilir işaretleme, uygulamada en çok gecikilen kalemdir. İşaretlemenin insan tarafından görülebilir bir ibare eklemekle karşılanmadığı, teknik olarak tespit edilebilir bir iz gerektirdiği gözden kaçmaktadır. Çalışmada içerik üretim hattı incelenir, işaretlemenin hangi aşamada ve hangi yöntemle eklendiği belirlenir ve işaretlemenin yayım sonrasında korunup korunmadığı doğrulanır.
2 Aralık 2026 tarihine kadar tanınan geçiş süresi
2 Ağustos 2026 tarihinden önce piyasaya sürülmüş üretken sistemler bakımından md.50(2) işaretleme yükümlülüğü için tanınan geçiş süresi 2 Aralık 2026 tarihinde sona ermektedir. Üç ile dört haftalık çalışma bu tarihe göre planlanır.
BÖLÜM 4Madde 26 uygulayıcı yükümlülükleri
Yüksek riskli sistem yükümlülüklerinin uygulanma tarihi ertelenmiş olmakla birlikte, uygulayıcı yükümlülükleri hazırlık gerektirir ve tedarikçi soru listeleri bu başlıkları bugün sormaktadır. Çalışmada md.26 için bir hazırlık haritası üretilir.
- Kullanım talimatına uygun kullanım. Sağlayıcının talimatlarının kuruluş süreçlerine yerleştirilmesi.
- İnsan gözetiminin atanması (md.26(2)). Gözetimi yürütecek kişinin yetkin, eğitimli ve yetkili olması; atamanın isimli yapılması.
- Girdi verisi üzerinde denetim (md.26(4)). Girdi verisinin amaçla ilgili ve yeterince temsili olmasının kuruluşun denetimindeki ölçüde sağlanması.
- Ciddi olay bildirimi (md.26(5)). Bildirim akışının ve eşiklerinin tanımlanması.
- Kayıt saklama (md.26(6)). Sistem kayıtlarının asgari altı ay saklanması.
- Çalışan temsilcilerinin bilgilendirilmesi (md.26(7)). İş yerinde yüksek riskli sistem devreye alınmadan önce çalışanların ve temsilcilerinin bilgilendirilmesi. Uygulamada en sık atlanan yükümlülük budur.
BÖLÜM 5Temel hak etki değerlendirmesi
md.27 kapsamındaki temel hak etki değerlendirmesi genel bir yükümlülük değildir. Yükümlülük; kamu hukukuna tabi kuruluşlar, kamu hizmeti sunan özel kuruluşlar ile Ek III’ün 5(b) ve 5(c) bentlerindeki sistemler, yani kredi değerlendirme ile hayat ve sağlık sigortası fiyatlandırması bakımından uygulanır. Bu kapsamda kalınmadığı tespit edilirse, değerlendirmenin gerekmediği gerekçesiyle yazılı olarak belirtilir.
Kapsamda kalınıyorsa değerlendirme tekil bir metodoloji üzerinden yürütülür ve tek çalışmadan üç çıktı üretilir: 6698 sayılı Kanun md.12 kapsamındaki tedbir dosyası, veri koruma etki değerlendirmesi ve md.27 kapsamındaki temel hak etki değerlendirmesi. Digital Omnibus düzenlemesi bu bütünleşik yaklaşımı kolaylaştırmış; veri koruma etki değerlendirmesinin ilgili bölümlerine atıf yapılmasına veya bu bölümlerin dâhil edilmesine imkân tanımıştır.[1]
BÖLÜM 6Teslimatlar ve takvim
| Hafta | Yürütülen iş | Aşama çıktısı |
|---|---|---|
| Hafta 1 | Sistem listesinin çıkarılması, md.2(1)(c) çıktı testi, rol tespiti, risk sınıflandırması | Kapsam ve rol tespiti raporu |
| Hafta 2 | md.50 boşluk analizi, içerik üretim hattının incelenmesi, işaretleme yönteminin belirlenmesi | md.50 boşluk listesi ve uygulama planı |
| Hafta 3 | Bilgilendirme metinlerinin ve arayüz düzenlemelerinin uygulanması, işaretlemenin devreye alınması, md.26 hazırlık haritası | Uygulanmış şeffaflık kontrolleri |
| Hafta 4 | md.27 gereklilik kararı, tedarikçi anketi cevap paketi, kapanış sunumu | Cevap paketi ve yol haritası |
Tedarikçi anketi cevap paketi, Birlik’te yerleşik müşterilerden gelen soru listelerine karşılık gelen hazır cevap setidir. Paket; kapsam ve rol tespitini, risk sınıflandırmasını, md.50 uygulamasının kanıtını, insan gözetimi atamasını ve kayıt saklama düzenini gösterecek biçimde hazırlanır. Amaç, aynı soruların her müşteri için yeniden cevaplanmasını gerektirmeyen bir kanıt seti bırakmaktır.
BÖLÜM 7Sizden beklenenler
- Kuruluşun geliştirdiği ve kullandığı yapay zekâ sistemlerinin listesi ile bu sistemlerin kullanım amaçları
- Birlik içindeki müşteri, kullanıcı ve iş ortaklarına ilişkin genel bilgi ile çıktının nerede kullanıldığına dair teyit
- Ürün ve içerik üretim hattına ilişkin teknik bilgi ve geliştirme ekibiyle iletişim imkânı
- Varsa müşterilerden gelen yapay zekâ soru listeleri
- Mevcut aydınlatma metinleri ve kullanım koşulları
BÖLÜM 8Kapsam dışı
- Hukuki mütalaa. Çalışma teknik ve operasyonel bir tespit işidir; mütalaa avukatlık faaliyetidir ve hukuk ortağına yönlendirilir. Bu ayrım sözleşmede yazılıdır.
- Yüksek riskli sistem için tam uygunluk dosyası. Teknik dokümantasyon, veri yönetişimi kayıtları ve uygunluk değerlendirme süreci ayrı bir çalışma gerektirir; bu hizmet kapsamında hazırlık haritası üretilir.
- Yetkili temsilci hizmeti. Birlik içinde yetkili temsilci olarak hareket edilmez.
- Kurum genelinde teknik kontrol kurulumu. Güvenli Kullanım Kurulumu hizmetinin kapsamındadır.
- Model doğruluk testi ve penetrasyon testi. Yürütülmez.
Bu hizmet uygunluk garantisi içermez ve uygunluk beyanı niteliği taşımaz. Uygunluğu yetkili makam ve denetçi takdir eder. Taahhüdümüz; kapsamı ve rolü gerekçelendirmek, md.50 karşılıklarını fiilen uygulamak ve bunları doğrulanabilir kanıtla teslim etmektir. Tüzüğün resmî Türkçe metni bulunmadığından madde atıfları resmî dil sürümleri esas alınarak yapılır.
BÖLÜM 9Yatırım
Bu hizmetin gerektirdiği yatırımı kapsam belirler. Belirleyici değişkenler; incelenecek sistem sayısı, md.50 kapsamına giren kullanım sayısı, içerik üretim hattının karmaşıklığı ve işaretlemenin teknik olarak nereye yerleştirileceğidir. Yüksek riskli kullanım tespit edilmesi hâlinde kapsam ayrıca değerlendirilir.
Keşif görüşmesinin ardından yazılı ve sabit tutarlı bir teklif iletilir. Teklif; kapsama alınan sistemleri tek tek sayar, süresini, teslimat listesini, dayandığı varsayımları ve kapsam dışı kalan işleri açıkça belirtir. Kapsam değişikliği yalnızca yazılı ek ile yapılır.
Kapsam tespiti bir görüşmeyle başlar
Görüşmeye varsa Birlik’te yerleşik bir müşteriden gelen yapay zekâ soru listesini ve ürününüzün hangi pazarlarda kullanıldığına ilişkin özeti getirmeniz yeterlidir. Görüşmenin sonunda ya kapsamı tanımlı bir teklif sunulur ya da kuruluşunuzun Tüzük kapsamında olmadığı gerekçesiyle yazılı olarak belirtilir.
EKKaynaklar
Bu sayfadaki her hukuki iddia aşağıdaki birincil kaynaklara dayanır. Bağlantılar yayımlayan makamın kendi sitesine gider.
- Digital Omnibus on AI — Regulation (EU) 2026/1744 amending Regulations (EU) 2024/1689, (EU) 2018/1139 and (EU) 2023/1230 as regards the simplification of the implementation of harmonised rules on artificial intelligence (Digital Omnibus on AI). Avrupa Birliği Resmî Gazetesi, 24 Temmuz 2026. Kaynak metin (Bağlayıcı (AB hukuku))
- AB Yapay Zekâ Yasası — Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act). Avrupa Birliği Resmî Gazetesi, 12 Temmuz 2024. Kaynak metin (Bağlayıcı (AB hukuku))