Avrupa Birliği’nin Yapay Zekâ Yasası (AI Act), yapay zekâ sistemlerini risk düzeylerine göre sınıflandıran bir düzenleme. Resmî adı (AB) 2024/1689 sayılı Tüzük olan yasa, Avrupa Komisyonu’nun ifadesiyle yapay zekâ alanında dünyadaki ilk kapsamlı hukuki çerçeve. Amacı, Avrupa’da güvenilir yapay zekâyı teşvik etmek. Yasa 1 Ağustos 2024’te yürürlüğe girdi; yükümlülükleri ise aşamalı olarak uygulanıyor. Temmuz 2026’da yürürlüğe giren “AI Omnibus” değişikliğiyle takvimin bir bölümü ertelendi. Bu yazıda yasanın neyi düzenlediğini, hangi uygulamaları yasakladığını, güncel takvimi ve Türkiye’deki şirketler ile kullanıcılar için ne anlama geldiğini özetliyoruz.
Kısaca
- Yasa, yapay zekâ sistemlerini dört risk düzeyine ayırıyor: kabul edilemez, yüksek, şeffaflık riski ve minimal risk.
- Sosyal puanlama ve işyerinde duygu tanıma gibi sekiz uygulama Şubat 2025’ten beri yasak. Rıza dışı müstehcen içerik üreten “çıplaklaştırma” uygulamalarına yönelik dokuzuncu yasak Aralık 2026’da başlıyor.
- Deepfake ve yapay zekâ ile üretilen içeriğe ilişkin şeffaflık kuralları Ağustos 2026’da uygulanmaya başladı.
- Yüksek riskli sistemlere ilişkin kurallar ertelendi: 2 Aralık 2027 ve 2 Ağustos 2028.
- Yasa, AB dışındaki şirketleri de kapsayabiliyor; çıktısı AB’de kullanılan sistemler buna dahil.
Dört risk düzeyi
1. Kabul edilemez risk: yasak uygulamalar
Avrupa Komisyonu’na göre insanların güvenliği, geçimi ve hakları için açık tehdit oluşturan sistemler yasak. Yasak listesinde dokuz uygulama var:
- Zararlı yapay zekâ tabanlı manipülasyon ve aldatma
- Kırılganlıkların yapay zekâ ile istismarı
- Sosyal puanlama
- Bireylerin suç işleme riskinin tahmini
- Yüz tanıma veritabanı oluşturmak için internet ya da güvenlik kamerası görüntülerinin hedefsiz taranması
- İşyerlerinde ve eğitim kurumlarında duygu tanıma
- Korunan özellikleri çıkarmak için biyometrik sınıflandırma
- Kolluk amacıyla kamuya açık alanlarda gerçek zamanlı uzaktan biyometrik tanımlama
- Rıza dışı müstehcen içerik ya da çocuk istismarı materyali üreten sistemler (AI Omnibus ile eklendi)
İlk sekiz yasak Şubat 2025’te yürürlüğe girdi; dokuzuncusu Aralık 2026’da başlıyor. Yasak uygulamalara ilişkin ihlallerde yasanın 99. maddesi, 35 milyon euroya ya da şirketin bir önceki yıl küresel cirosunun yüzde 7’sine (hangisi yüksekse) kadar para cezası öngörüyor. Diğer yükümlülüklerin ihlalinde üst sınır 15 milyon euro ya da cironun yüzde 3’ü.
2. Yüksek risk
Sağlık, güvenlik ya da temel haklar için ciddi risk oluşturabilecek kullanımlar yüksek riskli sayılıyor. Komisyon’un örnekleri arasında sınav puanlaması gibi eğitimde kullanılan sistemler, iş başvurularını eleyen CV sıralama yazılımları, kredi notlaması, vize başvurularının otomatik incelenmesi, kritik altyapı güvenlik bileşenleri ve mahkeme kararlarının hazırlanmasına yardımcı sistemler var. Bu sistemler piyasaya çıkmadan önce risk değerlendirmesi, ayrımcılığı azaltacak kaliteli veri setleri, faaliyet kaydı, ayrıntılı dokümantasyon, insan gözetimi ve yüksek düzeyde siber güvenlik ile doğruluk şartlarını karşılamak zorunda olacak.
3. Şeffaflık riski
Sohbet botlarıyla konuşan kişilerin bir makineyle etkileşimde olduklarını bilmesi gerekiyor. Üretken yapay zekâ sağlayıcıları, ürettikleri içeriğin yapay zekâ ürünü olarak tanımlanabilmesini sağlamalı. Deepfake’ler ile kamuoyunu bilgilendirme amacıyla yayımlanan yapay zekâ metinleri ise açık ve görünür biçimde etiketlenmeli. Bu kurallar Ağustos 2026’da uygulanmaya başladı. OpenAI’ın AB’de ChatGPT metinlerine görünmez filigran eklemeye başlaması da bu takvimle bağlantılı; ayrıntılar için haberimize bakabilirsiniz.
4. Minimal risk
Yapay zekâ destekli video oyunları ya da spam filtreleri gibi sistemler için yasa yeni kural getirmiyor. Komisyon’a göre AB’de kullanılan yapay zekâ sistemlerinin büyük çoğunluğu bu kategoride.
Güncel takvim
- 1 Ağustos 2024: Yasa yürürlüğe girdi.
- 2 Şubat 2025: Yasak uygulamalar ve yapay zekâ okuryazarlığı yükümlülükleri uygulanmaya başladı.
- 2 Ağustos 2025: Genel amaçlı yapay zekâ (GPAI) modellerine ilişkin kurallar ve yönetişim hükümleri devreye girdi.
- 27 Temmuz 2026: Kasım 2025’te önerilen ve 7 Mayıs 2026’da siyasi uzlaşıya varılan AI Omnibus yürürlüğe girdi.
- 2 Ağustos 2026: Yasa genel olarak uygulanabilir hale geldi; şeffaflık kuralları başladı. AB Yapay Zekâ Ofisi ve üye ülke otoriteleri denetim ve yaptırım yetkisini kullanmaya başladı.
- Aralık 2026: “Çıplaklaştırma” uygulamaları yasağı başlıyor.
- 2 Aralık 2027: Biyometri, eğitim, istihdam, göç ve sınır yönetimi gibi alanlardaki yüksek riskli sistemlere ilişkin kurallar uygulanacak.
- 2 Ağustos 2028: Asansör, oyuncak, makine gibi ürünlere entegre yüksek riskli sistemlere ilişkin kurallar uygulanacak.
AI Omnibus neyi değiştirdi?
Komisyon’a göre değişiklik paketi; yüksek riskli sistemlere ilişkin takvimi uzatıyor, KOBİ’lere tanınan bazı kolaylıkları küçük orta ölçekli şirketlere de genişletiyor, AB düzeyinde bir düzenleyici test alanı (sandbox) getiriyor ve şirketlerin yapay zekâ okuryazarlığı yükümlülüğünü sadeleştiriyor. Aynı paketle çıplaklaştırma uygulamaları yasağı eklendi ve ayrımcılığın tespiti için özel nitelikli kişisel verilerin işlenmesine izin verildi. Yapay Zekâ Ofisi’nin, büyük çevrimiçi platformlara entegre genel amaçlı modeller üzerindeki denetim yetkisi de genişletildi.
Türkiye için ne anlama geliyor?
Türkiye AB üyesi olmasa da yasa Türk şirketlerini doğrudan ilgilendirebiliyor. Yasanın 2. maddesine göre düzenleme, AB pazarına yapay zekâ sistemi sunan sağlayıcılara nerede kurulu olduklarından bağımsız olarak uygulanıyor. Ayrıca üçüncü ülkelerde kurulu sağlayıcı ve kullanıcılar, sistemin ürettiği çıktı AB’de kullanılıyorsa kapsama girebiliyor. AB’ye yazılım ihraç eden, Avrupalı müşterilere işe alım ya da kredi değerlendirme aracı satan Türk şirketlerinin takvimi şimdiden planlaması gerekiyor.
Türkiye’de ise henüz yürürlükte bir yapay zekâ kanunu yok. TBMM kayıtlarına göre 24 Haziran 2024’te sunulan “Yapay Zeka Kanun Teklifi” (2/2234) komisyonda bekliyor. Ocak 2026’da verilen ve yapay zekâ ile üretilen içeriğin kişinin izni olmadan paylaşılmasına izin veren platformlara ciro bazlı ceza öngören KVKK değişikliği teklifi (2/3465) de komisyonda. Bu arada kişisel veri işleyen yapay zekâ uygulamaları 6698 sayılı KVKK’ya tabi.
Kaynaklar: Avrupa Komisyonu – AI Act, Avrupa Komisyonu – AI Omnibus enters into force, AI Act Madde 2, AI Act Madde 99, TBMM – 2/2234, TBMM – 2/3465.
