AB Yapay Zekâ Yasası, üzerinde çalışılabilir bir yükümlülük listesi olarak.
(AB) 2024/1689 sayılı Tüzük, dünyadaki ilk yatay yapay zekâ yasasıdır. Bu sayfa, danışmanlık ekibimizin müşterilerle birlikte kullandığı çalışma referansıdır: bir sistem hangi katmana düşer, hangi tarih neyi tetikler, hangi madde hangi belgeyi ister ve Ek IV'ün dokuz bölümü ne sorar.
Son gözden geçirme 15 Eylül 2026, (AB) 2026/1744 sayılı Tüzükle değişik metne göre. Bu bir uygulayıcı özetidir, hukuki görüş değildir ve konsolide metnin yerine geçmez. Kasım 2025'te sunulan bir Komisyon önerisi takvimin bazı kısımlarını değiştirmeyi öngörüyor; aşağıdaki bir tarihe dayanmadan önce önerinin güncel durumunu doğrulayın.
AB'de değilseniz de kapsamda olabilirsiniz
Türkçe konuşan ekiplerden en çok gelen soru bu ve cevabı şirketin nerede kurulu olduğuna bakmıyor. Tüzüğün 2. maddesi üç hâlde uygulanır: AB pazarına sistem sunan ya da AB'de hizmete alan sağlayıcılar — nerede yerleşik olduklarına bakılmaksızın; AB'de yerleşik uygulayıcılar; ve üçüncü ülkedeki sağlayıcı ile uygulayıcılar, sistemin ürettiği çıktı Birlik içinde kullanıldığı ölçüde.
Pratikte: İstanbul'daki bir ekibin geliştirdiği ve bir Alman işverenin aday elemede kullandığı model kapsamdadır. Modelin nerede eğitildiği, sunucunun nerede durduğu ve şirketin nerede vergi verdiği bu sonucu değiştirmez — belirleyici olan çıktının nerede sonuç doğurduğudur.
Bu, AB'ye hizmet veren Türkiye merkezli yazılım şirketleri için ticari bir eşik de yaratır: AB'li müşteri kendi yükümlülüğünü yerine getirmek için sizden kanıt isteyecektir. Uyum, satın alma sürecinin bir parçası hâline gelir.
Dört risk katmanı ve her birinin bedeli
Tüzük teknolojiyi değil kullanımı düzenler. Aynı model, ne işe koşulduğuna göre üç ayrı katmanda yer alabilir; bu yüzden sınıflandırma mimariden değil amaçlanan kullanımdan başlar.
| Katman | Tipik kapsam | Sonuç |
|---|---|---|
Kabul edilemez Madde 5 | Kamu veya özel aktörlerce sosyal puanlama, yüz görüntülerinin hedefsiz toplanması, işyeri ve eğitimde duygu çıkarımı, belirli biyometrik kategorilendirme ve — dar kolluk istisnaları dışında — kamuya açık alanlarda gerçek zamanlı uzaktan biyometrik kimlik tespiti. | Yasak. 2 Şubat 2025'ten beri yürürlükte. |
Yüksek risk · Ek III Madde 6(2) | Biyometri, kritik altyapı, eğitim ve mesleki eğitim, istihdam ve çalışan yönetimi, temel kamu ve özel hizmetlere erişim (kredi değerliliği ile hayat ve sağlık sigortası fiyatlaması dâhil), kolluk, göç ve sınır kontrolü, adaletin idaresi. | Bölüm III'ün tüm yükümlülük seti. 2 Aralık 2027'den itibaren ((AB) 2026/1744 sayılı Tüzükle 2 Ağustos 2026'dan ertelendi). |
Yüksek risk · Ek I Madde 6(1) | Üçüncü taraf uygunluk değerlendirmesi gerektiren mevcut AB ürün mevzuatı kapsamındaki ürünlerin güvenlik bileşeni olan ya da kendisi böyle bir ürün olan yapay zekâ: makine, tıbbi cihaz, asansör, oyuncak, in-vitro tanı ve diğerleri. | Aynı yükümlülük seti, 2 Ağustos 2028'den itibaren ((AB) 2026/1744 sayılı Tüzükle 2 Ağustos 2027'den ertelendi). |
Şeffaflık riski Madde 50 | İnsanlarla doğrudan etkileşen sistemler, duygu tanıma ve biyometrik kategorilendirme sistemleri, sentetik ses/görüntü/video/metin üreten sistemler — derin sahteler dâhil. | Kişiye bildirim, sentetik içeriğin makine-okunur işaretlenmesi, derin sahtelerin etiketlenmesi. |
Asgari risk Madde 95 | Geri kalan her şey — spam filtreleri, stok tahmini, çoğu öneri ve üretkenlik aracı. | Zorunlu yükümlülük yok. Gönüllü davranış kuralları teşvik edilir. |
Hangi yükümlülük ne zaman başlar
- 1 Ağu 2024
(AB) 2024/1689 sayılı Tüzük yürürlüğe girdi.
Madde 113
- 2 Şub 2025
Yasak uygulamalar yürürlüğe girdi. 4. maddedeki yapay zekâ okuryazarlığı yükümlülüğü sağlayıcı ve uygulayıcıların ikisini birden bağlar.
Madde 113(a)
- 2 Ağu 2025
Genel amaçlı yapay zekâ modeli yükümlülükleri, yönetişim ve bildirim otoritesi çerçevesi, gizlilik ve ceza hükümlerinin çoğu uygulanmaya başladı.
Madde 113(b)
- 2 Ağu 2026
Genel uygulama tarihi: 50. maddedeki şeffaflık yükümlülükleri ve kalan hükümler uygulanmaya başladı. Ek III bağımsız yüksek risk yükümlülükleri başlamadı — 2 Aralık 2027'ye ertelendi.
Madde 113
- 2 Ara 2026
Geçiş süresi sonu: 2 Ağustos 2026 öncesi pazara sürülmüş üretken sistemler 50(2) makine-okunur işaretleme yükümlülüğünü karşılamalı. Omnibus'un eklediği yasak uygulamalar aynı tarihten itibaren uygulanır.
Madde 111(4) · Madde 113(3)(a), değişik
- 2 Ağu 2027
2 Ağustos 2025 öncesi pazara sürülmüş genel amaçlı modeller uyumlu olmalı. Her üye devlette en az bir yapay zekâ düzenleyici sandbox'ı çalışır durumda olmalı.
Madde 111(3) · Madde 57(1), değişik
- 2 Ara 2027
Bölüm III yükümlülük seti Ek III'te listelenen bağımsız yüksek riskli sistemlere uygulanır.
Madde 113(3)(c)(i), değişik
- 2 Ağu 2028
Bölüm III yükümlülük seti Ek I kapsamındaki ürünlerin güvenlik bileşeni olan yüksek riskli sistemlere uygulanır.
Madde 113(3)(c)(ii), değişik
- 2 Ağu 2030
Bölüm III uygulama tarihinden önce pazara sürülmüş, kamu otoritelerince kullanılması amaçlanan yüksek riskli sistemler uyumlu hâle getirilmelidir. Ayrıca Ek X'teki büyük ölçekli BT sistemlerinin 2 Ağustos 2027 öncesi bileşenleri için süre 31 Aralık 2030.
Madde 111(2) · Madde 111(1)
111. madde, hâlihazırda pazarda olan sistemlere farklı davranır: kendi kategorisinin Bölüm III uygulama tarihinden (Ek III için 2 Aralık 2027, Ek I için 2 Ağustos 2028) önce pazara sürülmüş yüksek riskli bir sistem, ancak o tarihten sonra tasarımı önemli ölçüde değişirse kapsama girer — kamu otoritesince kullanılması amaçlanıyorsa bu istisna geçerli değildir ve 2 Ağustos 2030 sınırı uygulanır. Omnibus, geçiş süresinin tip ve modele bağlı olduğunu netleştirdi: bir birim hukuka uygun biçimde pazara sürüldüyse aynı tasarımın diğer birimleri de kapsamda kalır. Yukarıdaki tarihler, (AB) 2026/1744 sayılı Tüzükle (Dijital Omnibus, RG 24 Temmuz 2026, yürürlük 27 Temmuz 2026) değişik (AB) 2024/1689 sayılı Tüzüğü yansıtır.
Her yükümlülük ve onu kanıtlayan belge
"Uyumluyuz" ile "uyumlu olduğumuzu gösterebiliriz" arasındaki mesafe bu tablodur. Her satır, Bölüm III'ün 2. kısmındaki bir görev ve bir denetçinin görmek isteyeceği kayıttır.
| Madde | Yükümlülük | Kanıt neye benzer |
|---|---|---|
| Madde 9 | Risk yönetim sistemi | Yaşam döngüsü boyunca sürdürülen, yinelemeli ve belgelenmiş risk dosyası — tek seferlik bir değerlendirme değil. |
| Madde 10 | Veri ve veri yönetişimi | Veri kümesinin kaynağı, tasarım tercihleri, hazırlama adımları ve olası önyargıların incelenmesi ile giderilmesi. |
| Madde 11 · Ek IV | Teknik dokümantasyon | Dokuz bölümlük teknik dosya; pazara sürülmeden önce hazırlanır, sonrasında güncel tutulur. |
| Madde 12 | Kayıt tutma | Otomatik üretilen loglar; sistemin ömrü boyunca teknik olarak mümkün kılınmış olmalı. |
| Madde 13 | Uygulayıcıya şeffaflık | Yetenekleri, sınırları, doğruluk seviyelerini ve gözetim önlemlerini bildiren kullanım talimatları. |
| Madde 14 | İnsan gözetimi | Sisteme tasarımla yerleştirilmiş gözetim önlemleri ve atanan kişilerin yetkinliği ile müdahale yetkisinin kanıtı. |
| Madde 15 | Doğruluk, sağlamlık, siber güvenlik | Beyan edilen doğruluk ölçütleri, çekişmeli ve sağlamlık testleri, modele özgü saldırılara karşı dayanıklılık önlemleri. |
| Madde 17 | Kalite yönetim sistemi | Düzenleyici strateji, tasarım kontrolü, test, veri yönetimi ve pazar sonrası izlemeyi kapsayan yazılı KYS. |
| Madde 43 | Uygunluk değerlendirmesi | Ek VI uyarınca iç kontrol ya da — biyometri içeren ve uyumlaştırılmış standardın tam uygulanmadığı hâllerde — Ek VII uyarınca onaylanmış kuruluş. |
| Madde 47 · 48 | AB uygunluk beyanı ve CE işareti | On yıl saklanan imzalı beyan ve iliştirilmiş CE işareti. |
| Madde 49 | Kayıt | Sistemin, pazara sürülmeden önce AB veri tabanına kaydedilmesi. |
| Madde 72 | Pazar sonrası izleme | İzleme planı ve bu plan kapsamında toplanan saha verisi. |
| Madde 73 | Ciddi olay bildirimi | Piyasa gözetim otoritesine derhal ve öğrenmeden itibaren en geç 15 gün içinde bildirim — yaygın ihlal ya da kritik altyapıda ciddi ve geri döndürülemez kesinti hâlinde 2 gün, ölüm hâlinde 10 gün. |
Teknik dosya neleri içermek zorunda
11. madde, teknik dokümantasyonun sistem pazara sürülmeden önce var olmasını ve güncel tutulmasını ister. Ek IV neyi barındırdığını sayar:
- 01Sistemin genel tanımı: amaçlanan kullanım, sağlayıcı, sürümler, donanım ve diğer yazılımlarla etkileşimi, kullanım talimatları.
- 02Geliştirme sürecinin ayrıntılı tanımı: yöntemler ve adımlar, üçüncü taraf araçlar, tasarım şartnameleri, sistem mimarisi, veri gereksinimleri ve veri kümesi künyeleri, insan gözetimi önlemleri, önceden belirlenmiş değişiklikler, doğrulama ve test yordamları ile kullanılan ölçütler.
- 03İzleme, işleyiş ve kontrole ilişkin ayrıntılı bilgi: yetenekler ve sınırlar, beklenen doğruluk seviyeleri, öngörülebilir istenmeyen sonuçlar, girdi verisi şartnameleri.
- 04Seçilen performans ölçütlerinin bu sistem için neden uygun olduğunun açıklaması.
- 059. madde uyarınca risk yönetim sistemi.
- 06Sistemin yaşam döngüsü boyunca yapılan ilgili değişikliklerin tanımı.
- 07Uygulanan uyumlaştırılmış standartlar ya da gereklilikleri karşılamak için benimsenen diğer çözümlerin tanımı.
- 08AB uygunluk beyanının bir kopyası.
- 0972. madde uyarınca pazar sonrası izleme planı.
Bunun çoğu, aylar sonra bir kişi tarafından hafızadan yazılır. Dokuz bölümün altısı ise yalnızca çalışan sistemin ve hattının kanıtlayabileceği şeyleri tarif eder — teknik dosyayı sonradan toplamak yerine hattın kendisinden üretmenin gerekçesi budur. ComplianceEngine bunu nasıl yapıyor.
Sağlayıcı mı uygulayıcı mı — iş yükünüzü belirleyen ayrım
Sağlayıcı, sistemi geliştiren ya da geliştirten ve kendi adı veya markasıyla pazara süren taraftır. Uygulayıcı (deployer), sistemi mesleki faaliyeti kapsamında kendi yetkisi altında kullanır. Yüksek riskli yükümlülüklerin ağırlığı sağlayıcıdadır; uygulayıcının yükümlülükleri 26. maddededir.
25. maddedeki tuzak. Uygulayıcı üç hâlde sağlayıcıya dönüşür ve tüm yükümlülük setini üstlenir: pazardaki yüksek riskli bir sisteme kendi adını veya markasını koyarsa, sistemi esaslı biçimde değiştirirse, ya da bir sistemin amacını yüksek riskli hâle gelecek şekilde değiştirirse. Bir satıcı modelini işe alım kararları için ince ayarlamak, bunun günlük hayattaki hâlidir.
Uygulayıcının kendi yükümlülükleri
- Sistemi kullanım talimatlarına uygun kullanmak (Madde 26(1)).
- İnsan gözetimini, gereken yetkinlik, eğitim ve yetkiye sahip kişilere vermek (Madde 26(2)).
- Kontrolü kendisindeyse girdi verisinin amaca uygun ve yeterince temsil edici olmasını sağlamak (Madde 26(4)).
- İşleyişi izlemek, risk belirdiğinde kullanımı durdurup sağlayıcıyı ve otoriteyi bilgilendirmek (Madde 26(5)).
- Otomatik üretilen logları en az altı ay saklamak (Madde 26(6)).
- İşyerinde yüksek riskli bir sistemi devreye almadan önce çalışan temsilcilerini ve etkilenen çalışanları bilgilendirmek (Madde 26(7)).
- 27. maddenin uygulandığı hâllerde temel haklar etki değerlendirmesi yapmak — kamu kurumları, kamu hizmeti sunan özel kuruluşlar, kredi değerliliği ile hayat ve sağlık sigortası fiyatlaması sistemlerini kullananlar.
Uyumsuzluğun bedeli
| İhlal | Azami idari para cezası |
|---|---|
| 5. madde kapsamında yasak uygulama | 35 milyon avro veya dünya genelindeki yıllık cironun %7'si — hangisi yüksekse |
| Yüksek riskli sağlayıcı ve uygulayıcı yükümlülükleri dâhil diğer yükümlülükler | 15 milyon avro veya %3 |
| Otoritelere veya onaylanmış kuruluşlara yanlış, eksik ya da yanıltıcı bilgi | 7,5 milyon avro veya %1 |
Madde 99(6): KOBİ'ler ve girişimler için her bant, iki rakamdan düşük olanıyla sınırlıdır.
İlk görüşmede sorulan sorular
Türkiye'deki bir şirket AB Yapay Zekâ Yasası'na tabi midir?
Şirketin nerede kurulu olduğu tek başına belirleyici değildir. Tüzüğün 2. maddesi, AB pazarına yapay zekâ sistemi sunan veya AB'de hizmete alan sağlayıcıları, AB'de yerleşik uygulayıcıları ve üçüncü ülkedeki sağlayıcı ile uygulayıcıları — sistemin ÜRETTİĞİ ÇIKTI Birlik içinde kullanıldığı ölçüde — kapsar. İstanbul'daki bir ekibin geliştirdiği ve bir Alman işverenin aday elemede kullandığı model kapsamdadır.
CV eleme veya aday sıralama aracı yüksek riskli midir?
Neredeyse her zaman evet. Ek III'ün 4. başlığı, işe alım veya seçimde kullanılan yapay zekâ sistemlerini — özellikle hedefli iş ilanı yayınlama, başvuruları analiz edip filtreleme ve adayları değerlendirme amaçlı olanları — yüksek riskli sayar. 6(3). maddedeki dar istisna (yalnızca hazırlayıcı ya da dar bir usul işi yapan sistemler) sıralama ve filtrelemeyi pratikte kapsamaz; istisnaya dayanan sağlayıcı bu değerlendirmeyi belgelemek ve sistemi yine de kaydettirmek zorundadır.
Ek IV nedir, kim hazırlamak zorundadır?
Ek IV, yüksek riskli bir yapay zekâ sisteminin sağlayıcısının, sistem pazara sürülmeden ÖNCE hazırlaması ve sonrasında güncel tutması gereken teknik dokümantasyonu tanımlar; bu yükümlülük 11. maddeden gelir. Dokuz bölümden oluşur: sistem tanımı, geliştirme süreci ve veri kümeleri, izleme ve kontrol, performans ölçütlerinin uygunluğu, risk yönetim sistemi, yaşam döngüsü değişiklikleri, uygulanan standartlar, AB uygunluk beyanı ve pazar sonrası izleme planı.
Sağlayıcı ile uygulayıcı arasındaki fark nedir?
Sağlayıcı, bir yapay zekâ sistemini geliştiren ya da geliştirten ve kendi adı veya markasıyla pazara süren taraftır. Uygulayıcı (deployer), sistemi mesleki faaliyeti kapsamında kendi yetkisi altında kullanan taraftır. Yüksek riskli sistemlerde yükümlülüklerin ağırlığı sağlayıcıdadır; uygulayıcının yükümlülükleri 26. maddededir. 25. madde ise uygulayıcıyı sağlayıcıya dönüştürür: sisteme kendi adını veya markasını koyarsa, esaslı biçimde değiştirirse ya da amacını yüksek riskli hâle gelecek şekilde değiştirirse.
Yüksek riskli sistem yükümlülükleri ne zaman başladı?
Tüzük 1 Ağustos 2024'te yürürlüğe girdi ve kademeli uygulanıyor. Yasak uygulamalar ile 4. maddedeki yapay zekâ okuryazarlığı yükümlülüğü 2 Şubat 2025'te, genel amaçlı yapay zekâ modeli yükümlülükleri 2 Ağustos 2025'te başladı. Genel uygulama tarihi — 50. maddedeki şeffaflık yükümlülükleri dâhil — 2 Ağustos 2026'ydı. Yüksek riskli yükümlülük setinin kendisi ise 27 Temmuz 2026'dan beri yürürlükte olan Dijital Omnibus ((AB) 2026/1744 sayılı Tüzük) ile ertelendi: Ek III kapsamındaki bağımsız sistemlere 2 Aralık 2027'den, Ek I kapsamındaki ürünlerin güvenlik bileşeni olan sistemlere 2 Ağustos 2028'den itibaren uygulanıyor.
Uyumsuzluğun cezası nedir?
99. madde üç bant tanımlar. 5. madde kapsamındaki yasak bir uygulama için 35 milyon avroya veya dünya genelindeki yıllık cironun %7'sine kadar — hangisi yüksekse. Yüksek riskli sağlayıcı ve uygulayıcı yükümlülükleri dâhil diğer yükümlülüklerin ihlali için 15 milyon avro veya %3. Yetkili otoritelere veya onaylanmış kuruluşlara yanlış, eksik ya da yanıltıcı bilgi verilmesi için 7,5 milyon avro veya %1. KOBİ'ler ve girişimler için her bant, iki rakamdan DÜŞÜK olanıyla sınırlıdır.
Daha fazlası tüm SSS sayfasında; Yasa ile ISO/IEC 42001 belgelendirmesi arasındaki ilişki ayrı sayfada.
Sistemlerinizin hangi katmana düştüğünden emin değil misiniz?
ISO 42001 Baş Denetçisiyle 30 dakikalık bir görüşme, yapay zekâ envanterinizi risk katmanlarına oturtur ve her birinin hangi kanıtı gerektirdiğini söyler. Yükümlülük yok; sınıflandırma notu sizde kalır.