EU AI Act Nedir? 2026 Yapay Zekâ Yasası İşletmeleri ve Yazılım Şirketlerini Nasıl Etkileyecek?

Avrupa Birliği Yapay Zekâ Yasası, bilinen adıyla EU AI Act, yapay zekâ sistemlerini risk düzeyine göre düzenleyen kapsamlı bir mevzuattır. Düzenleme 2024'te yürürlüğe girdi; yasaklı uygulamalar ve AI okuryazarlığı gibi bazı hükümler 2025'te uygulanmaya başladı. Yönetmeliğin genel uygulama tarihi ise 2 Ağustos 2026 oldu.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık değildir. Bir sistemin rolü, risk sınıfı ve yükümlülüğü kullanım senaryosuna, teknik yapıya ve AB pazarındaki konumunuza göre ayrıca değerlendirilmelidir.

EU AI Act'in resmî metnindeki Madde 113, yönetmeliğin 2 Ağustos 2026'dan itibaren genel olarak uygulanacağını belirtir. Bununla birlikte bazı yüksek riskli sistem sınıflandırma yükümlülükleri için 2 Ağustos 2027 tarihi geçerlidir. Dolayısıyla “bütün kurallar aynı gün başladı” demek doğru değildir.

EU AI Act nedir?

EU AI Act bir teknoloji listesinden çok risk temelli bir çerçevedir. Aynı temel model, müşteri hizmetlerinde bilgi vermek için kullanıldığında şeffaflık yükümlülüğüne; işe alım kararında adayları puanladığında yüksek risk kurallarına yaklaşabilir. Değerlendirme, ürün adından değil sistemin amacı, etkisi ve kullanım bağlamından yapılır.

Hangi işletmeler kapsamda olabilir?

• AB içinde AI sistemi geliştiren, satan, dağıtan veya kullanan şirketler,
• AB dışından olup sistemi AB pazarına sunan sağlayıcılar,
• Sistemin ürettiği çıktının AB içinde kullanıldığı bazı AB dışı kuruluşlar,
• Kendi markası altında üçüncü taraf AI çözümü sunan yazılım şirketleri,
• AI kullanan işverenler, platformlar, ajanslar ve müşteri hizmetleri ekipleri.

Türkiye'de kurulmuş olmak tek başına kapsam dışında kalmak anlamına gelmez. Avrupa'daki müşterilere SaaS sunuyor, AB'deki çalışan veya tüketicileri etkileyen çıktılar üretiyor ya da bir AI ürününü AB pazarına yerleştiriyorsanız kapsam analizi gerekir.

Risk yaklaşımı nasıl çalışıyor?

Yasaklanan uygulamalar

İnsan davranışını zararlı biçimde manipüle eden belirli uygulamalar, bazı sosyal puanlama biçimleri ve yönetmelikte tanımlanan diğer kabul edilemez kullanımlar yasaklanmıştır. Yasaklı uygulama hükümlerinin önemli bölümü 2 Şubat 2025'ten beri uygulanıyor.

Yüksek riskli sistemler

İşe alım, çalışan yönetimi, eğitim, temel hizmetlere erişim, kritik altyapı ve belirli biyometrik kullanımlar gibi alanlar yüksek risk kapsamına girebilir. Bu sistemlerde risk yönetimi, veri yönetişimi, teknik dokümantasyon, kayıt, insan gözetimi, doğruluk ve siber güvenlik daha sıkı ele alınır.

Şeffaflık riski taşıyan sistemler

İnsanla etkileşen chatbotlar, sentetik içerik üreten sistemler ve deepfake kullanım senaryoları Madde 50 kapsamındaki şeffaflık yükümlülükleriyle karşılaşabilir. Avrupa Komisyonu'nun 20 Temmuz 2026 tarihli rehberi, bu yükümlülüklerin 2 Ağustos 2026'da uygulanmaya başladığını doğruluyor.

Sınırlı veya asgari risk

Spam filtreleri ya da düşük etkili bazı destek araçları çoğunlukla daha hafif bir rejimde kalabilir. Yine de veri koruma, tüketici hukuku, telif, sözleşme ve sektörel mevzuat gibi diğer kurallar devam eder.

Chatbot kullanan işletmeler ne yapmalı?

Bir kullanıcı makineyle konuştuğunu bağlamdan açıkça anlamıyorsa, AI sistemiyle etkileşimde bulunduğu uygun zamanda bildirilmelidir. Bildirimin gizli kullanım şartlarına gömülmesi yerine sohbet başlangıcında anlaşılır olması daha güvenli bir yaklaşımdır.

• Chatbot kendisini insan çalışan gibi tanıtmamalı.
• Kullanıcı kolayca gerçek destek ekibine geçebilmeli.
• Yanlış veya yüksek etkili cevaplarda insan incelemesi devreye girmeli.
• Konuşma verisinin hangi amaçla işlendiği açık olmalı.
• Sağlık, finans, hukuk ve işe alım gibi hassas alanlarda ek kontroller kurulmalı.

AI ile üretilen içerikler ve deepfake

Sentetik ses, görsel, video veya metin üreten sistemlerin sağlayıcıları, çıktının yapay olarak üretildiğini ya da değiştirildiğini makine tarafından algılanabilir biçimde işaretlemeye yönelik teknik yükümlülüklerle karşılaşabilir. Deepfake içeriği yayımlayan kullanıcı tarafında ise içeriğin yapay olarak oluşturulduğu veya değiştirildiği açıkça belirtilmelidir.

Kamu yararına ilişkin konularda yayımlanan AI metinleri için de şeffaflık kuralları gündeme gelebilir. İnsan editoryal incelemesi ve yayın sorumluluğu bulunan bazı durumlarda istisnalar olabilir. Bu nedenle “AI kullandık, her yere otomatik etiket ekleyelim” ya da “insan baktı, hiçbir yükümlülük yok” gibi iki uç yaklaşım da doğru değildir.

Müşteri hizmetlerinde AI

Müşteri hizmeti botu düşük riskli görünse bile yanlış iade koşulu, hatalı fiyat, ayrımcı yönlendirme veya kişisel veri sızıntısı yaratabilir. İşletme; bilgi kaynaklarını, cevap sınırlarını, insan devrine geçiş kurallarını ve olay kayıtlarını yönetmelidir.

Önerilen akış şöyledir: AI önce kurumsal bilgi tabanından cevap üretir, güven skoru düşükse yanıtı kesin ifade etmez, hassas işlemde kimlik ve yetki kontrolü yapar, gerekli durumda insana aktarır ve karar zincirini denetlenebilir biçimde kaydeder.

İnsan denetimi ne anlama gelir?

İnsan denetimi yalnızca ekrana bir “onayla” düğmesi koymak değildir. Denetleyen kişinin sistemi anlayabilmesi, otomasyon yanlılığına karşı uyarılması, çıktıyı geçersiz kılma yetkisine sahip olması ve gerektiğinde sistemi durdurabilmesi gerekir. Yetki, eğitim ve operasyon süresi yoksa denetim kâğıt üzerinde kalır.

Veri, dokümantasyon ve kayıt tutma

Yükümlülüğün kapsamı rol ve risk sınıfına göre değişse de işletmelerin bugün kurabileceği sağlam temel şunlardır:

1. AI envanteri: hangi ekip, hangi model, hangi veri ve hangi amaç?
2. Rol matrisi: sağlayıcı, ürünü kullanan/deployer, dağıtıcı veya ithalatçı mısınız?
3. Risk değerlendirmesi: çıktı kimi etkiliyor, hata ne kadar ciddi?
4. Veri kaynağı ve saklama politikası: kişisel veri, müşteri verisi ve model girdileri nasıl yönetiliyor?
5. Teknik kayıtlar: model/sürüm, prompt şablonu, insan onayı, hata ve müdahale kaydı.
6. Tedarikçi sözleşmeleri: sorumluluk, güvenlik, alt işlemci, veri konumu ve olay bildirimi.
7. Değişiklik yönetimi: model veya kullanım amacı değiştiğinde yeniden değerlendirme.

Türkiye'deki yazılım şirketleri için 8 adımlı plan

1. Ürün ve şirket içi kullanım dâhil tüm AI sistemlerini listeleyin.
2. AB müşterisi, AB kullanıcısı veya AB'de kullanılan çıktı bağlantısını belirleyin.
3. Her kullanımda sağlayıcı/deployer rolünü ve muhtemel risk sınıfını yazın.
4. Chatbot ve üretken içerik için görünür şeffaflık metinlerini uygulayın.
5. İnsan müdahalesi gerektiren eşikleri ve yetkileri tanımlayın.
6. Log, sürüm, veri kaynağı, test ve olay kayıtlarını merkezileştirin.
7. Çalışanlara kullanım politikasına uygun AI okuryazarlığı eğitimi verin.
8. Hukuk, bilgi güvenliği, ürün ve operasyon ekipleriyle periyodik inceleme yapın.

Sık sorulan sorular

EU AI Act 2 Ağustos 2026'da tamamen yürürlüğe girdi mi?

Yönetmeliğin genel uygulama tarihi 2 Ağustos 2026'dır ve Madde 50 şeffaflık kuralları bu tarihte uygulanmaya başlamıştır. Ancak bazı hükümler 2025'te başladı; belirli yüksek risk yükümlülükleri için 2027 tarihi vardır.

Her chatbot yüksek riskli midir?

Hayır. Basit müşteri destek botu çoğunlukla şeffaflık yükümlülüğüyle karşılaşır. Ancak işe alım, kredi veya temel hizmet kararında kullanılan bir sistemin risk değerlendirmesi farklı olabilir.

Türkiye'deki şirketlere ceza uygulanabilir mi?

Yönetmeliğin bölgesel kapsam şartları oluşuyorsa AB dışındaki sağlayıcılar da kapsama girebilir. Somut durum için uzman hukuk değerlendirmesi gerekir.

WebWizz nasıl yardımcı olabilir?

WebWizz hukuki görüş yerine teknik hazırlık sağlar: AI envanteri, rol tabanlı erişim, loglama, sürüm takibi, insan onay akışı, şeffaflık ekranları ve güvenli özel yazılım mimarisi. Yazılım ve otomasyon hizmetlerini inceleyebilirsiniz.