AB Yapay Zekâ Yasası nedir? Türkçe özet ve 2026 takvimi

AB Yapay Zekâ Yasası (AI Act), Avrupa Birliği'nin yapay zekâ sistemlerini taşıdıkları riske göre düzenleyen tüzüğüdür. 1 Ağustos 2024'te yürürlüğe girdi ve yükümlülükler aşamalı olarak devreye giriyor. Yasakları, yapay zekâ okuryazarlığı şartını ve genel amaçlı yapay zekâ (GPAI) kurallarını kapsayan ilk aşamalar bugün uygulanıyor. Yüksek riskli sistemlere ilişkin kurallar ise 2026'da kabul edilen 'Digital Omnibus' değişikliğiyle Aralık 2027 ve Ağustos 2028'e ertelendi.

Bu rehber Ekim 2026 itibarıyla geçerli tabloyu özetliyor. Takvimin bazı ayrıntıları hâlâ netleşiyor. Bu nedenle kesin uyum kararları için Resmî Gazete'deki (Official Journal) metne ve Avrupa Komisyonu'nun sayfalarına bakmak gerekiyor.

AB Yapay Zekâ Yasası nedir, neden önemli?

Yasa bir AB tüzüğü olarak çıkarıldı. Yani üye ülkelerin ayrıca ulusal kanun çıkarmasına gerek kalmadan hepsinde doğrudan uygulanıyor. Resmî adı Regulation (EU) 2024/1689 olan metin Temmuz 2024'te yayımlandı. Avrupa Parlamentosu araştırma servisine göre tam olarak uygulanması en az üç yıl sürecek şekilde tasarlandı.

Yasa, yapay zekâ için ilk kapsamlı ve sektörler üstü (yatay) hukuki çerçeve olarak anılıyor. Mantığı basit: Bir sistem insanlara ne kadar zarar verebiliyorsa o kadar sıkı kurala tabi oluyor. Genel amaçlı yapay zekâ modelleri ise ayrı bir başlık altında, yetenekleri üzerinden düzenleniyor. Teknik ayrıntılar kılavuzlar, uyumlaştırılmış standartlar ve gönüllü uygulama kurallarıyla tamamlanıyor.

AI Act risk sınıfları nelerdir?

Yasanın metnine göre sistemler dört ana risk düzeyine ayrılıyor. Genel amaçlı modeller için de ayrı bir yol var. Aşağıdaki özet yasanın genel yapısına dayanıyor. Hangi kullanımın hangi sınıfa girdiği için ilgili maddelere (Madde 5, Madde 6, Ek I ve Ek III, Madde 50) bakılmalı.

Kabul edilemez risk (yasak): Sosyal puanlama, insanları manipüle eden ya da kırılganlıklarını sömüren sistemler ve yüz görüntülerinin hedefsiz biçimde toplanması bu gruba giriyor. İşyerinde ve okulda duygu tanıma da istisnalar dışında yasak. Yalnızca profillemeye dayalı suç tahmini ve kolluğun kamusal alanda gerçek zamanlı uzaktan biyometrik tanıma kullanması da (dar istisnalarla) bu kapsamda.

Yüksek risk: İki tür var. Birincisi, makine, tıbbi cihaz ya da oyuncak gibi AB ürün mevzuatına tabi ürünlerde güvenlik bileşeni olarak çalışan yapay zekâ (Ek I). İkincisi, tek başına kullanılan ve hassas alanlarda iş gören sistemler (Ek III). Bu alanlar arasında biyometri, kritik altyapı, eğitim, istihdam, temel hizmetler ve kredi, kolluk, göç ve sınır yönetimi, adalet ve demokratik süreçler sayılıyor.

Yüksek riskli sistemlerin sağlayıcılarından beklenenler şunlar: risk yönetimi, veri yönetişimi, teknik dokümantasyon, kayıt tutma, insan gözetimi, doğruluk ve sağlamlık. Bunlara ek olarak uygunluk değerlendirmesi, CE işareti ve AB veri tabanına kayıt da gerekiyor.

Sınırlı risk (şeffaflık, Madde 50): Kullanıcıya bir sohbet botuyla konuştuğu söylenmeli ve deepfake içerikler etiketlenmeli. Yapay zekâ ile üretilen içerik de makinenin okuyabileceği biçimde işaretlenmeli. Minimal risk: Spam filtreleri ya da video oyunları gibi uygulamalar için yeni bir yükümlülük yok.

Genel amaçlı modeller (GPAI): Tüm sağlayıcılar dokümantasyon hazırlamak ve bir telif hakkı politikası belirlemek zorunda. 'Sistemik risk' taşıdığı kabul edilen büyük modellere ek görevler düşüyor. Yasa bu sınıf için eğitimde kullanılan hesaplama gücüne dayalı bir eşik (10^25 FLOP) öngörüyor.

AB yapay zekâ yasası ne zaman yürürlüğe giriyor? Güncel takvim

Asıl takvime göre yasaklar ve yapay zekâ okuryazarlığı yükümlülüğü 2 Şubat 2025'te başladı. GPAI kuralları, yönetişim hükümleri ve cezalar 2 Ağustos 2025'te geldi. Ek III yüksek risk kuralları dahil kalan hükümlerin çoğu 2 Ağustos 2026'da, Ek I kuralları ise 2 Ağustos 2027'de uygulanacaktı.

Bu plan değişti. Komisyon 19 Kasım 2025'te 'Digital Omnibus on AI' adlı değişiklik paketini önerdi. Paket kısmen, 2024 tarihli Draghi raporunda dile getirilen mevzuat karmaşıklığı eleştirilerine bir yanıttı. Parlamento ve Konsey 7 Mayıs 2026'da geçici anlaşmaya vardı. Parlamento 16 Haziran'da, Konsey 29 Haziran'da onay verdi. Metin 8 Temmuz'da imzalandı ve 27 Temmuz 2026'da Resmî Gazete'de yayımlanarak yürürlüğe girdi.

Yeni tarihlere göre Ek III kapsamındaki tek başına yüksek riskli sistemlerin kuralları 2 Aralık 2027'de uygulanacak. Ürünlere gömülü yapay zekâyı kapsayan Ek I kuralları ise Ağustos 2028'de başlayacak. Formalize'ın analizine göre genel yasaklar ve GPAI kuralları ertelenmedi.

Bazı noktalar henüz netleşmiş değil. Madde 50'deki şeffaflık ve filigran yükümlülüklerinin Omnibus sonrası kesin tarihi, yeni yasakların eklenip eklenmediği ve KOBİ muafiyetlerinin kapsamı bunların başında geliyor. Uyumlaştırılmış standartların gecikmeli ilerlediği de bildiriliyor. Bu konularda resmî metni kontrol etmek şart.

AI Act kimleri kapsıyor? Türk şirketleri etkilenir mi?

Yasanın kapsam maddesine göre AB pazarına yapay zekâ sistemi sunan sağlayıcılar, merkezleri nerede olursa olsun kurallara tabi. AB'de bulunan kullanıcı kurumlar (deployer), ithalatçılar, dağıtıcılar ve ürün üreticileri de kapsamda. Ayrıca AB dışındaki sağlayıcı ve kullanıcılar, sistemlerinin ürettiği çıktı AB'de kullanılıyorsa yasaya tabi oluyor.

Bu, GDPR'a benzer bir sınır ötesi etki anlamına geliyor. AB'ye yapay zekâ ürünü ya da hizmeti satan veya çıktıları AB'de kullanılan Türk şirketleri de kapsama girebiliyor. AB dışındaki yüksek riskli sistem ve GPAI model sağlayıcılarının AB'de yetkili bir temsilci ataması gerekiyor.

Kapsam dışı bırakılan alanlar da var: askeri, savunma ve ulusal güvenlik kullanımları, yalnızca bilimsel araştırma amaçlı sistemler ve kişisel, profesyonel olmayan kullanım. Çoğu özgür ve açık kaynak yazılım da bazı istisnalar dışında kapsam dışında. Türkiye'de ayrıca ulusal bir yapay zekâ kanun teklifinin TBMM'ye sunulduğu biliniyor, ancak güncel durumu teyit edilmeli.

AB yapay zekâ yasasının cezaları ne kadar?

Cezalar Madde 99'da üç kademe halinde düzenleniyor. Yasaklı uygulamalar için ceza 35 milyon avroya ya da dünya çapındaki yıllık cironun yüzde 7'sine kadar çıkabiliyor. İki tutardan hangisi yüksekse o esas alınıyor. Diğer yükümlülüklerin çoğunun ihlalinde üst sınır 15 milyon avro veya yüzde 3. Yetkililere yanlış ya da yanıltıcı bilgi vermenin cezası ise 7,5 milyon avroya veya yüzde 1'e kadar.

KOBİ'ler ve girişimler için sabit tutar ile yüzdeden düşük olanı uygulanıyor (Madde 99(6)). Bildirildiğine göre Omnibus bu kolaylığı 'küçük orta ölçekli' şirketlere de genişletiyor. Cezaların ayrıntılarını üye ülkeler ulusal kurallarla belirliyor. Madde 99, 2 Ağustos 2025'ten beri uygulanıyor. GPAI sağlayıcılarına ise Komisyon 15 milyon avroya veya yüzde 3'e kadar ceza kesebiliyor.

Ertelenen yükümlülüklere bağlı ceza kademeleri, ancak o yükümlülükler başladığında devreye girecek. Bazı eski kaynaklar yüksek risk cezalarının 2 Ağustos 2026'da başlayacağını yazıyor. Bu bilgi artık güncel değil.

Şirketler şimdi ne yapmalı?

Erteleme, hazırlığın bekleyebileceği anlamına gelmiyor. Yasaklar, yapay zekâ okuryazarlığı şartı ve GPAI kuralları zaten uygulanıyor. İlk adım, kullanılan ya da satılan yapay zekâ sistemlerinin bir envanterini çıkarıp her birinin hangi risk sınıfına girdiğini belirlemek olabilir.

Yüksek riskli sistem geliştirenler için dokümantasyon, veri yönetişimi ve insan gözetimi süreçleri zaman alıyor. Aralık 2027 uzak görünse de bu hazırlığa şimdiden başlamak mantıklı. Kaynak olarak hukuk bürosu özetlerinden çok EUR-Lex, Komisyon'un AI Act sayfaları ve Yapay Zekâ Ofisi esas alınmalı.