AB Yapay Zekâ Yasası (Tüzük 2024/1689), AB pazarına yapay zekâ sistemi sunan veya çıktısı AB’de kullanılan yapay zekâ sistemleri işleten Türk şirketlerini de kapsayabilen, risk temelli bir düzenlemedir; 2026’da kabul edilen Dijital Omnibus ile yüksek riskli sistemlere ilişkin yükümlülüklerin başlangıcı Aralık 2027 ve Ağustos 2028’e ertelendi. ISO 42001 yasanın yerine geçmez, ancak risk yönetimi, veri yönetişimi, insan gözetimi, kayıt tutma ve kalite yönetimi gibi yükümlülükleri karşılamak için sistematik bir yönetim çerçevesi sağlar.
AB Yapay Zekâ Yasası (İngilizce EU AI Act), yapay zekâyı kapsamlı biçimde düzenleyen ilk büyük yasal çerçevedir. Türkiye AB üyesi olmasa da yasa, AB pazarına ürün veya hizmet sunan Türk şirketlerini doğrudan ilgilendirir. Yasanın uygulanma takvimi 2026’da kabul edilen “Dijital Omnibus” düzenlemesiyle önemli ölçüde değişti. Bu nedenle 2025’te hazırlanmış uyum planlarının güncellenmesi gerekiyor.
Bu rehberde yasanın kimleri kapsadığını, risk kategorilerini, güncel uygulama takvimini, temel yükümlülükleri ve ISO/IEC 42001’in bu yükümlülüklere hazırlıkta nasıl kullanılabileceğini anlatıyoruz. Bu yazı genel bilgilendirme amaçlıdır. Kesin hukuki değerlendirme için Avrupa Birliği Resmi Gazetesi’nde yayımlanan metinlerin incelenmesi ve gerektiğinde hukuki destek alınması önerilir.
Yasa Türk Şirketlerini Kapsar mı?
Evet, belirli durumlarda kapsar. Yasa, uygulama alanını şirketin nerede kurulu olduğuna göre değil, yapay zekâ sisteminin nerede piyasaya sunulduğuna ve çıktısının nerede kullanıldığına göre belirler. Başlıca durumlar şunlardır:
- AB pazarına yapay zekâ sistemi veya genel amaçlı yapay zekâ modeli sunan sağlayıcılar, AB dışında kurulu olsalar bile,
- Yapay zekâ sisteminin ürettiği çıktı AB’de kullanılıyorsa, AB dışında kurulu sağlayıcılar ve kullanıcılar,
- AB’de kurulu olan ve yapay zekâ sistemi kullanan kuruluşlar (Türk şirketlerinin AB’deki iştirakleri dahil),
- Yapay zekâ sistemini kendi ürününe entegre ederek AB pazarına sunan ürün üreticileri.
Örneğin AB’deki bankalara kredi skorlama yazılımı satan, Avrupalı müşterilerinin işe alım süreçlerinde kullanılan bir aday değerlendirme platformu geliştiren veya yapay zekâ destekli bir tıbbi cihazı AB pazarına sunan bir Türk şirketi yasanın kapsamına girebilir.
Risk Kategorileri
| Kategori | Örnekler | Temel yükümlülük |
|---|---|---|
| Kabul edilemez risk (yasaklı) | Kişilerin zaafiyetlerini istismar eden manipülatif sistemler, belirli sosyal puanlama uygulamaları, işyerinde ve eğitimde duygu tanıma (istisnalar dışında) | Yasak |
| Yüksek risk | İşe alım ve çalışan yönetimi, kredi değerlendirmesi, eğitimde değerlendirme, kritik altyapı, belirli ürünlerin güvenlik bileşenleri (tıbbi cihazlar, makineler vb.) | Risk yönetimi, veri yönetişimi, teknik dokümantasyon, kayıt tutma, insan gözetimi, doğruluk ve sağlamlık, kalite yönetim sistemi, uygunluk değerlendirmesi |
| Şeffaflık yükümlülüğü olan sistemler | Sohbet robotları, yapay zekâ ile üretilmiş içerik, derin sahte (deepfake) içerik | Kişilerin yapay zekâ ile etkileşimde olduklarının bildirilmesi, üretilen içeriğin işaretlenmesi |
| Asgari risk | Spam filtreleri, oyunlardaki yapay zekâ, basit öneri sistemleri | Yasal yükümlülük yok; gönüllü davranış kuralları teşvik edilir |
| Genel amaçlı yapay zekâ modelleri | Büyük dil modelleri ve benzeri temel modeller | Teknik dokümantasyon, telif hakkı politikası, eğitim verisi özeti; sistemik riskli modeller için ek yükümlülükler |
Güncel Uygulama Takvimi (Dijital Omnibus Sonrası)
| Tarih | Gelişme |
|---|---|
| 1 Ağustos 2024 | Tüzük (AB) 2024/1689 yürürlüğe girdi. |
| 2 Şubat 2025 | Yasaklı uygulamalar ve yapay zekâ okuryazarlığı yükümlülüğü uygulanmaya başladı. |
| 2 Ağustos 2025 | Genel amaçlı yapay zekâ modellerine ilişkin yükümlülükler ve yönetişim hükümleri uygulanmaya başladı. |
| 27 Temmuz 2026 | Yüksek riskli sistemlere ilişkin takvimi erteleyen Dijital Omnibus düzenlemesi (Tüzük (AB) 2026/1744) yürürlüğe girdi. |
| 2 Ağustos 2026 | Şeffaflık yükümlülüklerinin büyük kısmı uygulanmaya başladı. 2 Ağustos 2026’dan önce piyasaya sunulan sistemlerde yapay zekâ ile üretilen içeriğin makine tarafından okunabilir işaretlenmesi için 2 Aralık 2026’ya kadar geçiş süresi tanındı. |
| 2 Aralık 2027 | Ek III kapsamındaki bağımsız yüksek riskli sistemler (işe alım, kredi değerlendirmesi, eğitim gibi) için yükümlülükler uygulanmaya başlayacak. |
| 2 Ağustos 2028 | Ek I kapsamındaki ürünlere gömülü yüksek riskli sistemler için yükümlülükler uygulanmaya başlayacak. |
Dijital Omnibus, yüksek riskli sistemlere ilişkin şartlardan vazgeçmedi; standartların ve ulusal otoritelerin hazır olmaması nedeniyle başlangıç tarihlerini erteledi. Düzenleme ayrıca KOBİ’ler ve küçük orta ölçekli şirketler için dokümantasyon yükümlülüklerini sadeleştirdi ve rıza dışı mahrem görüntü ile çocuk istismarı içeriği üreten yapay zekâ sistemlerini yasaklı uygulamalar arasına ekledi. Ertelemeyi bir rahatlama değil, hazırlık için tanınmış ek süre olarak görmek gerekir.
Yapay zekâ sistemlerinizi ve AB pazarıyla ilişkinizi paylaşın; TÜRKAK akreditasyonu kapsamında ISO 42001 yapay zekâ yönetim sistemi belgelendirme teklifimizi hazırlayalım.
Yüksek Riskli Sistemler İçin Temel Yükümlülükler ve ISO 42001 Eşleştirmesi
| AB Yapay Zekâ Yasası yükümlülüğü | Destekleyen ISO 42001 unsuru |
|---|---|
| Risk yönetim sistemi | Madde 6.1 yapay zekâ risk değerlendirmesi ve risk işleme; madde 8.2–8.3 |
| Temel haklara etkinin değerlendirilmesi (belirli kullanıcılar için) | Madde 6.1.4 ve 8.4 yapay zekâ sistemi etki değerlendirmesi |
| Veri ve veri yönetişimi | Ek A’daki yapay zekâ sistemleri için veri kontrolleri (veri edinimi, kalitesi, kaynağı, hazırlanması) |
| Teknik dokümantasyon | Madde 7.5 dokümanlı bilgi; Ek A yaşam döngüsü ve dokümantasyon kontrolleri |
| Kayıt tutma (olay kayıtları) | Ek A olay kayıtları ve izleme kontrolleri |
| Kullanıcılara şeffaflık ve bilgilendirme | Ek A ilgili taraflara bilgi sağlama kontrolleri |
| İnsan gözetimi | Ek A sorumlu kullanım ve insan gözetimi kontrolleri |
| Doğruluk, sağlamlık ve siber güvenlik | Ek A doğrulama ve geçerli kılma kontrolleri; ISO 27001 ile entegrasyon |
| Kalite yönetim sistemi (sağlayıcılar için) | ISO 42001’in tüm yönetim sistemi yapısı (4–10. maddeler) |
| Piyasaya arz sonrası izleme ve ciddi olay bildirimi | Madde 9.1 izleme ve ölçme; madde 10 uygunsuzluk ve düzeltici faaliyet |
| Yapay zekâ okuryazarlığı | Madde 7.2 yetkinlik ve 7.3 farkındalık |
ISO 42001 Yasaya Uyumu Kanıtlar mı?
Hayır. ISO 42001 gönüllü bir yönetim sistemi standardıdır ve AB Yapay Zekâ Yasası kapsamında tek başına uygunluk karinesi sağlamaz. Yasaya uygunluk karinesi, Avrupa standardizasyon kuruluşlarının yasa için hazırladığı ve AB Resmi Gazetesi’nde referansı yayımlanan uyumlaştırılmış standartlarla sağlanır. Bu standartların hazırlık çalışmaları sürmektedir.
Bununla birlikte ISO 42001, yasanın istediği unsurların önemli bir kısmını sistematik olarak kurmanızı sağlar: yapay zekâ sistemleri envanteri, risk ve etki değerlendirmeleri, veri yönetişimi, rol ve sorumluluklar, insan gözetimi, dokümantasyon, izleme, olay yönetimi ve sürekli iyileştirme. Bu nedenle ISO 42001’i yasaya hazırlığın omurgası olarak kullanmak, birçok şirket için en verimli yaklaşımdır.
Türk Şirketleri İçin Hazırlık Yol Haritası
- Envanter çıkarın: Geliştirdiğiniz, sağladığınız ve kullandığınız tüm yapay zekâ sistemlerini listeleyin.
- Rolünüzü belirleyin: Her sistem için sağlayıcı, kullanıcı, ithalatçı, dağıtıcı veya ürün üreticisi rolünüzü belirleyin.
- AB bağlantısını analiz edin: Sistemin AB pazarına sunulup sunulmadığını veya çıktısının AB’de kullanılıp kullanılmadığını değerlendirin.
- Risk kategorisini belirleyin: Her sistemin yasaklı, yüksek riskli, şeffaflık yükümlülüklü veya asgari riskli olup olmadığını belirleyin.
- Yasaklı uygulamaları ve şeffaflık yükümlülüklerini hemen kontrol edin: Bu hükümler halihazırda uygulanmaktadır.
- Yapay zekâ okuryazarlığını sağlayın: Yapay zekâ sistemleriyle çalışan personelin yeterli bilgiye sahip olması için eğitim programı oluşturun.
- Yüksek riskli sistemler için boşluk analizi yapın: Aralık 2027 ve Ağustos 2028 tarihlerini hedef alarak teknik dokümantasyon, risk yönetimi ve kalite yönetim sistemi boşluklarını belirleyin.
- ISO 42001 yönetim sistemini kurun: Yukarıdaki unsurları tek bir yönetim sistemi çatısı altında toplayın ve belgelendirmeyi değerlendirin.
- Müşteri sözleşmelerini gözden geçirin: AB’deki müşterilerinizin sizden talep edeceği bilgi, dokümantasyon ve işbirliği yükümlülüklerini sözleşmelere yansıtın.
Yaptırımlar
Yasa, ihlalin türüne göre kademeli idari para cezaları öngörür. En ağır cezalar yasaklı uygulamalar için öngörülmüştür ve küresel yıllık cironun belirli bir yüzdesi veya sabit bir tutar üzerinden, hangisi yüksekse, belirlenir. Diğer yükümlülüklere aykırılık ve yetkili otoritelere yanlış bilgi verilmesi için daha düşük üst sınırlar bulunur. KOBİ’ler için cezaların hesaplanmasında daha düşük olan tutar esas alınır.
Yapay zekâ sistemi etki değerlendirmesinin nasıl yapılacağını yapay zekâ sistemi etki değerlendirmesi rehberimizde, standardın maddelerini ISO 42001 standart maddeleri yazımızda, gerekli dokümanları da ISO 42001 doküman listesi rehberimizde ayrıntılı anlattık.
Sık Sorulan Sorular
AB Yapay Zekâ Yasası Türk şirketlerini kapsar mı?
Belirli durumlarda kapsar. AB pazarına yapay zekâ sistemi veya genel amaçlı yapay zekâ modeli sunan ya da sisteminin çıktısı AB’de kullanılan Türk şirketleri, AB dışında kurulu olsalar bile yasanın kapsamına girebilir.
Yüksek riskli yapay zekâ sistemleri için yükümlülükler ne zaman başlıyor?
2026’da kabul edilen Dijital Omnibus düzenlemesiyle Ek III kapsamındaki bağımsız yüksek riskli sistemler için yükümlülükler 2 Aralık 2027’ye, Ek I kapsamındaki ürünlere gömülü sistemler için 2 Ağustos 2028’e ertelendi.
Hangi hükümler şu anda uygulanıyor?
Yasaklı uygulamalar ve yapay zekâ okuryazarlığı 2 Şubat 2025’ten, genel amaçlı yapay zekâ modellerine ilişkin yükümlülükler 2 Ağustos 2025’ten, şeffaflık yükümlülüklerinin büyük kısmı ise 2 Ağustos 2026’dan itibaren uygulanmaktadır.
ISO 42001 belgesi AB Yapay Zekâ Yasası’na uyumu kanıtlar mı?
Hayır. ISO 42001 gönüllü bir standarttır ve tek başına uygunluk karinesi sağlamaz. Ancak risk yönetimi, etki değerlendirmesi, veri yönetişimi, insan gözetimi, dokümantasyon ve kalite yönetimi gibi yasanın istediği unsurları sistematik olarak kurmak için güçlü bir çerçeve sunar.
Sohbet robotu kullanan bir şirketin yükümlülüğü nedir?
İnsanlarla doğrudan etkileşime giren yapay zekâ sistemleri için şeffaflık yükümlülüğü uygulanır: Kişilerin bir yapay zekâ sistemiyle etkileşimde olduklarının, durum açıkça belli değilse, bildirilmesi gerekir. Yapay zekâ ile üretilen içeriğin işaretlenmesi de şeffaflık yükümlülükleri arasındadır.
Yapay zekâ okuryazarlığı yükümlülüğü ne anlama gelir?
Yapay zekâ sistemlerinin sağlayıcıları ve kullanıcıları, bu sistemlerle çalışan personelin yeterli düzeyde yapay zekâ okuryazarlığına sahip olmasını sağlamak için tedbir almalıdır. Bu yükümlülük 2 Şubat 2025’ten beri uygulanmaktadır.
İlgili Rehberler
- ISO 42001 Belgesi Yapay Zeka Yönetim Sistemi
- Yapay Zekâ Sistemi Etki Değerlendirmesi: ISO 42001 ve ISO/IEC 42005’e Göre Uygulama Rehberi
- ISO 42001 Standart Maddeleri: Yapay Zekada Küresel Güvenin Temeli
- ISO 42001 Doküman Listesi
- Yapay Zekada Etik ve Güvenlik: Neden ISO 42001?
- ISO 42001 Denetim Soru Listesi