AB Yapay Zeka Yasası'nın güncel takvimi: Türk üreticiler ne zaman neye hazır olmalı
Omnibus düzenlemesiyle değişen tarihler, yasanın AB dışındaki şirketlere hangi yoldan dokunduğu, sanayide hangi sistemlerin yüksek riskli sayıldığı ve bunun mühendislik tarafındaki karşılığı.
Yazar:Caner OnatKurucu Ortak ve CTO5 dakikalık okuma
Kısa cevap: AB Yapay Zeka Yasası (Tüzük 2024/1689) 1 Ağustos 2024'te yürürlüğe girdi ve aşamalı olarak uygulanıyor. Temmuz 2026'da yayımlanan Omnibus düzenlemesi (Tüzük 2026/1744) yüksek riskli sistemlerin tarihlerini erteledi: bağımsız yüksek riskli sistemler için 2 Aralık 2027, ürünlere gömülü yüksek riskli sistemler için 2 Ağustos 2028. AB pazarına ürün satan ya da çıktısı AB'de kullanılan bir sistemi geliştiren Türk şirketleri de kapsamda.
Türkçe kaynaklarda hâlâ Omnibus öncesi takvimi veren çok sayıda haber dolaşıyor. Bu yazı, güncel takvimi resmî metinlerden derleyip bir sanayi şirketinin hangi tarihte neye bakması gerektiğini özetliyor. Hukuki görüş değildir; kendi durumunuz için hukuk danışmanınızla birlikte değerlendirin.
Güncel takvim
| Tarih | Ne uygulanıyor |
|---|---|
| 2 Şubat 2025 | Yasaklı uygulamalar ve yapay zeka okuryazarlığı (md. 4) |
| 2 Ağustos 2025 | Genel amaçlı yapay zeka modeli sağlayıcılarının yükümlülükleri |
| 2 Ağustos 2026 | Yasanın genel uygulanması, şeffaflık yükümlülükleri (md. 50) |
| 2 Aralık 2026 | 2 Ağustos 2026'dan önce piyasaya çıkmış sistemlerde üretilen içeriğin işaretlenmesi (md. 50(2)); rıza dışı mahrem içerik ve çocuk istismarı içeriği üretimine yönelik yeni yasaklar |
| 2 Aralık 2027 | Ek III'teki bağımsız yüksek riskli sistemler (işe alım, eğitim, kredi değerlendirmesi gibi alanlar) |
| 2 Ağustos 2028 | Ek I'deki ürün mevzuatına tabi ürünlere gömülü yüksek riskli sistemler |
Omnibus düzenlemesi 24 Temmuz 2026'da AB Resmî Gazetesi'nde yayımlandı ve 27 Temmuz 2026'da yürürlüğe girdi. Ek III için asıl tarih 2 Ağustos 2026, Ek I için 2 Ağustos 2027 idi.
Türk şirketine hangi yoldan dokunuyor?
Yasa, sağlayıcının nerede kurulu olduğuna bakmıyor. Üç yol öne çıkıyor:
- Piyasaya sürme (md. 2(1)(a)): AB pazarında bir yapay zeka sistemini piyasaya süren ya da hizmete sunan sağlayıcı, AB dışında kurulu olsa da kapsamda.
- Çıktının AB'de kullanılması (md. 2(1)(c)): Sistem Türkiye'de çalışsa bile ürettiği çıktı AB'de kullanılıyorsa sağlayıcı ve kullanıcı kapsamda.
- Yetkili temsilci (md. 22): AB dışında kurulu bir sağlayıcı yüksek riskli bir sistemi AB pazarına sunuyorsa, AB'de yerleşik bir yetkili temsilci atamak zorunda.
Pratikte en sık görülen etki dolaylı: AB'deki müşteri kendi uyum yükümlülüklerini tedarik sözleşmesiyle Türk tedarikçisine aktarıyor. Teknik dokümantasyon, kayıt tutma ve değişiklik bildirimi gibi talepler bu yolla geliyor.
Sanayide hangi sistem yüksek riskli?
Yüksek risk iki kaynaktan geliyor.
Ek III (bağımsız sistemler): Belirli kullanım alanları listeleniyor: işe alım ve çalışan değerlendirmesi, eğitim, kredi değerlendirmesi, kritik altyapı gibi. Bir sanayi şirketinde bu kategoriye en sık giren şey, aday eleme ya da performans değerlendirmesi için kullanılan bir İK sistemi.
Ek I (ürünlere gömülü sistemler): Makine, asansör, tıbbi cihaz, oyuncak gibi AB ürün mevzuatına tabi bir ürünün güvenlik bileşeni olan ya da ürünün kendisi olan yapay zeka sistemleri. Bunlar için tarih 2 Ağustos 2028.
Makineler burada ayrıca önemli. Omnibus ile makine mevzuatı, Yasanın Ek I'inde A bölümünden B bölümüne taşındı. Bu, makinelerdeki yapay zeka için gerekliliklerin doğrudan Yapay Zeka Yasası'ndan değil, Makine Yönetmeliği'ne (Tüzük 2023/1230) eklenecek düzenlemelerden geleceği anlamına geliyor. Makine Yönetmeliği 20 Ocak 2027'de uygulanmaya başlıyor ve Ek I'inde, makine öğrenmesiyle emniyet işlevi gören ve davranışı kısmen ya da tamamen kendi kendine evrilen emniyet bileşenlerini özel bir kategori olarak sayıyor.
Hatta çalışan bir görsel kalite kontrol sistemi emniyet işlevi görmüyorsa, tek başına genellikle bu kategorilere girmiyor. Sistem bir emniyet işlevi üstleniyorsa (örneğin operatörün güvenliğini sağlayan bir algılama) değerlendirme değişiyor.
Okuryazarlık yükümlülüğü değişti
Madde 4, Omnibus ile baştan yazıldı. Eski metin sağlayıcı ve kullanıcılardan çalışanları için "yeterli düzeyde" yapay zeka okuryazarlığını sağlamalarını istiyordu. Yeni metin ise okuryazarlığın gelişimini destekleyen önlemler almalarını istiyor ve belirli bir düzeyi garanti etmelerini beklemiyor. Komisyon ve üye devletlere de özellikle KOBİ'leri desteklemek ve uygulamalı örnekler yayımlamak görevi verildi.
Pratikte bu, yükümlülüğün kalktığı anlamına gelmiyor. Yapay zeka sistemi kullanan ekipler için kısa ve role özel bir eğitim, hangi sistemin neye karar verdiğini anlatan bir iç doküman ve bunların kaydı, makul bir başlangıç.
Şeffaflık: sohbet asistanı ve üretilen içerik
Madde 50, 2 Ağustos 2026'dan beri uygulanıyor. Kullanıcıyla doğrudan etkileşen bir sistem (örneğin web sitesindeki bir sohbet asistanı), kullanıcının bir yapay zekayla konuştuğunu bilmesini sağlayacak biçimde tasarlanmalı. Metin, görsel, ses ya da video üreten sistemlerde çıktının yapay olarak üretildiği makine tarafından okunabilir biçimde işaretlenmeli. Bu tarihten önce piyasaya çıkmış sistemler için işaretleme tarihi 2 Aralık 2026.
Cezalar
Yasaklı uygulamalar için üst sınır 35 milyon avro ya da dünya genelindeki yıllık cironun yüzde 7'si; diğer yükümlülüklerin çoğu için 15 milyon avro ya da yüzde 3 (md. 99). KOBİ'ler için iki tutardan düşük olanı uygulanıyor; Omnibus bu kuralı belirli kademelerde küçük orta ölçekli şirketlere de genişletti.
Mühendislik tarafında karşılığı
Yüksek riskli sistemler için yasanın istedikleri, iyi kurulmuş bir yapay zeka projesinin zaten üretmesi gereken şeylerle büyük ölçüde örtüşüyor:
- Risk yönetimi (md. 9): Sistemin hangi durumda nasıl hata yapabileceğinin yazılı analizi.
- Veri yönetişimi (md. 10): Eğitim, doğrulama ve test verisinin kaynağı, temsil gücü ve kalitesinin belgelenmesi.
- Teknik dokümantasyon (md. 11) ve kayıt tutma (md. 12): Sistemin nasıl kurulduğu ve çalışırken hangi kararları verdiğinin izlenebilmesi.
- İnsan gözetimi (md. 14): Kararın hangi noktada bir insan tarafından görülüp durdurulabileceği.
- Doğruluk ve sağlamlık (md. 15): Performansın ölçülmesi ve zaman içinde korunması.
Bu yüzden yasaya hazırlık, sonradan eklenen bir evrak işi olarak değil, projenin baştan nasıl kurulduğu olarak ele alınmalı. Değerlendirme setleri, sürüm kontrolü ve izleme bu işin teknik omurgası; MLOps ve Yapay Zeka Güvenliği sayfalarında bu alandaki çalışmalarımızı anlatıyoruz.
Türkiye'de durum
Kasım 2026 itibarıyla Türkiye'de yapay zekaya özgü yürürlüğe girmiş bir kanun bulunmuyor; Meclis'e sunulmuş teklifler var. 18 Ağustos 2026'da Resmî Gazete'de yayımlanan Yapay Zeka Eylem Planı (2026-2030) bir politika belgesi. Kişisel veri işleyen yapay zeka sistemleri ise bugün de KVKK kapsamında.
Sık sorulan sorular
AB'ye ihracat yapmıyoruz ama AB'li bir müşteriye yazılım geliştiriyoruz. Kapsamda mıyız? Sistemin çıktısı AB'de kullanılıyorsa büyük olasılıkla evet. Yükümlülüklerin hangileri size düşüyor, rolünüze (sağlayıcı mı, kullanıcı mı) ve sistemin risk sınıfına bağlı.
Üretim hattındaki görsel kalite kontrol sistemi yüksek riskli mi? Emniyet işlevi görmüyorsa genellikle değil. Sistem bir makinenin emniyet bileşeni olarak çalışıyorsa Makine Yönetmeliği ve Ek I yolu devreye giriyor.
Okuryazarlık yükümlülüğü kalktı mı? Hayır. "Yeterli düzeyi sağlama" yükümlülüğü, "gelişimini destekleyen önlemler alma" yükümlülüğüne dönüştü.
Yüksek riskli sistemler için hazırlığa ne zaman başlanmalı? Teknik dokümantasyon ve kayıt tutma sonradan kurulması zor şeyler. Yeni bir proje başlıyorsa bugünden, mevcut bir sistem varsa ilgili tarihten en az bir yıl önce.
