top of page

Şirketinizde Bir Kişi Bile Yapay Zeka Kullanıyorsa: AB AI Act Sizi Sandığınızdan Daha Fazla İlgilendiriyor

Yazarın fotoğrafı: Duygu Şener
Duygu Şener
31 Tem
24 dakikada okunur
Şirketinizde Bir Kişi Bile Yapay Zeka Kullanıyorsa: AB AI Act Sizi Sandığınızdan Daha Fazla İlgilendiriyor
Şirketinizde Bir Kişi Bile Yapay Zeka Kullanıyorsa: AB AI Act Sizi Sandığınızdan Daha Fazla İlgilendiriyor
Bu yazı 30 Temmuz 2026 itibarıyla yürürlükte olan hukuki duruma göre yazılmıştır. Konuyu daha önce araştırdıysanız bir uyarıyla başlamak isterim: elinizdeki analizlerin önemli bir kısmı artık geçerli değil. Regulation (EU) 2026/1744 — Digital Omnibus on AI, 8 Temmuz 2026 tarihini taşıyan, 24 Temmuz 2026'da Resmi Gazete'nin L serisinde yayımlanan ve 27 Temmuz 2026'da yürürlüğe giren bir tüzüktür. AI Act'in 2024'te kabul edilmesinden bu yana geçirdiği ilk değişikliktir. Bugün okuduğunuz AI Act, 2024 metni değil; 2024 metninin değişik hâlidir. Bu ayrım özellikle Madde 4 bakımından belirleyicidir: yükümlülüğün hukuki niteliği değişmiştir ve dolaşımdaki içeriğin büyük kısmı hala eski metni anlatmaktadır.

Yapay zeka bugün şirketlere "büyük dönüşüm projesi" olarak değil, çoğu zaman sessizce giriyor. Bir çalışan e-posta taslağını yapay zeka ile hazırlıyor; satış ekibi teklif metni üretiyor; proje yöneticisi toplantı notlarını özetletiyor; pazarlama birimi görsel oluşturuyor; serbest çalışan bir danışman müşteri sunumunu üretken AI ile hızlandırıyor. Kurumsal risk tam da burada başlıyor: teknoloji kullanımı görünmezleşirken sorumluluk ortadan kalkmıyor, aksine büyüyor.


Avrupa Birliği'nin AI Act'i bu noktada açık bir mesaj veriyor: yapay zekayı kullanan kişi ve kurum, ne yaptığını ve neyi riske attığını anlayacak bir okuryazarlık düzeyine sahip olmalıdır. Ancak bu yükümlülüğün hukuki niteliği Digital Omnibus ile değişmiştir. Madde 4 artık "yeterli düzeyde okuryazarlık sağlama" borcu değil, "okuryazarlığın gelişimini destekleyecek önlemleri alma" borcudur. Yani bir sonuç yükümlülüğü değil, çaba yükümlülüğü.


Bu, yükümlülüğün ortadan kalktığı anlamına gelmez; hala istisnasız her sağlayıcı ve uygulayıcı için bağlayıcıdır. Değişen şey, denetim sırasında size sorulacak sorunun kendisidir: artık "çalışanınızın okuryazarlık seviyesi yeterli mi?" değil, "hangi önlemleri aldınız ve bunu nasıl kanıtlıyorsunuz?"


Bu ayrım, kurumsal hazırlığın merkezini kaydırır. Ölçülebilir bir yeterlilik eşiği kovalamak yerine, tasarlanmış, gerekçelendirilmiş ve kayıt altına alınmış bir önlem mimarisi inşa etmek gerekir. Deneyimimde bu, çoğu şirket için daha kolay değil, daha disiplinli bir iştir.

Güncel Hukuki Durum ve Uygulama Takvimi


EU AI Act, yani Regulation (EU) 2024/1689, 1 Ağustos 2024'te yürürlüğe girdi ve kademeli bir uygulama takvimine bağlandı. Yasaklı YZ uygulamaları ile YZ okuryazarlığına ilişkin hükümler 2 Şubat 2025'ten beri uygulanmaktadır. 2 Ağustos 2025 itibarıyla genel amaçlı YZ modellerine ilişkin kurallar, yönetişim yapıları ve Madde 99 ceza rejimi devreye girmiştir.

Bu takvim 24 Temmuz 2026'da yeniden yazıldı. Regulation (EU) 2026/1744, Madde 1(40) hükmüyle AI Act'in Madde 113 üçüncü paragrafını değiştirmiş; yüksek riskli sistemlere ilişkin yükümlülükleri ötelemiş, buna karşılık genel uygulama tarihini olduğu yerde bırakmıştır. Ertelemenin kapsamı teknik olarak nettir: yalnızca Bölüm III'ün 1, 2 ve 3. Kısımları (Madde 6(5) hariç) ötelenmiştir.


Tüzüğün acil yürürlük tercihi de anlamlıdır. Metin, olağan yirmi günlük süre yerine yayımı izleyen üçüncü günde yürürlüğe girmiştir; Recital 46'nın gerekçesi, 2 Ağustos 2026 genel uygulama tarihinin yakınlığı karşısında hukuki belirsizliği gecikmeksizin gidermektir. Bu, AB yasama pratiğinde sık görülmeyen bir aciliyet işaretidir.


Yürürlük ile uygulanabilirlik aynı şey değildir


Bu ayrımı sıkı tutmak gerekir, çünkü kamuoyu tartışması ikisini sürekli birbirine karıştırıyor. 27 Temmuz 2026'da değişiklikler AI Act metninin parçası oldu; ancak her değişen hüküm aynı anda icra edilebilir hale gelmedi. Tüzüğün 27 Temmuz'dan itibaren açıkça uygulanabilir kıldığı tek hüküm grubu, AI Act'in 102–110. maddeleridir (yeni Article 113(3)(d)).


Geri kalan her şey için Article 113 takvimi bölüm bölüm işlemeye devam eder:

  • Bölüm I hükümleri (Madde 2, 3, 4 ve yeni Madde 4a dahil) 2 Şubat 2025'ten beri uygulanmakta olduğundan, değişik hâlleriyle yürürlükle birlikte etki doğurur.

  • 2 Ağustos 2025'ten beri uygulanan bölümler için aynı mantık geçerlidir.

  • Bölüm III, Kısım 1–3 hükümleri (Madde 6, 10, 11, 17, 25, 26, 27 dahil) sistemin sınıflandırmasına göre 2 Aralık 2027 veya 2 Ağustos 2028'e ötelenmiştir.

  • 2 Ağustos 2026'dan uygulanan bölümler — Madde 40, 42, 43, Madde 50, 57, 58, 60, yeni Madde 60a, Madde 72, Madde 75 ve yeni Madde 75a–75d — o tarihte icra edilebilir hale gelir.


Bir kurumsal yol haritasında bu ayrımı yazılı hale getirmek, "AI Act ertelendi" cümlesinin yarattığı yanlış rahatlamayı baştan engeller. AI Act ertelenmemiştir. Ertelenen şey, yüksek riskli sistemlere ilişkin gereklilikler, işletmeci yükümlülükleri ve bildirilmiş kuruluşlara dair kısımlardır.


Güncel takvim tablosu

Tarih

Ne uygulanır

Dayanak

2 Şubat 2025

Yasaklı uygulamalar (Article 5) ve YZ okuryazarlığı (Article 4). Uygulanmaya devam eder.

Art. 113(3)(a), AI Act (özgün)

2 Ağustos 2025

GPAI model kuralları, yönetişim yapıları, Article 99 ceza rejimi.

Art. 113(3)(b)

27 Temmuz 2026

Reg. 2026/1744 yürürlüğe girer; değişiklikler AI Act metnine dâhil olur. Article 102–110 açıkça uygulanır. Article 4'ün yumuşatılmış hâli ve yeni Article 4a etki doğurur.

Art. 4, Reg. 2026/1744; Art. 113(3)(d)

2 Ağustos 2026

Genel uygulama tarihi — değişmedi. Article 50 şeffaflık yükümlülükleri, yönetişim çerçevesi, Article 75 ve 75a–75d yetkileri devreye girer.

Art. 113, 2. ve 3. paragraf

2 Aralık 2026

Yeni Article 5(1) (ba) ve (bb) yasakları ile yeni 5(1a) ve 5(1b) uygulanır. Aynı tarihe kadar, 2 Ağustos 2026 öncesinde piyasaya sürülmüş ve sentetik ses/görsel/video/metin üreten sistemlerin sağlayıcıları Article 50(2) makine okunabilir işaretleme yükümlülüğüne uyum için gerekli adımları atmalıdır.

Art. 113(3)(a); Art. 111(4)

1 Ağustos 2027

Komisyon'un Ek I, Kısım A mevzuatıyla eşgüdümlü uygulama rehberini yayımlama süresi.

Art. 96(1)(g)

2 Ağustos 2027

Eşdeğerlik klozuna ilişkin delege tasarrufların kabulü. Ulusal düzeyde en az bir düzenleyici kum havuzunun (sandbox) faaliyete geçmesi.

Art. 2(13); Art. 57(1)

2 Eylül 2027

Piyasa sonrası izleme planına dair Komisyon rehberi ve şablonu.

Art. 72(3)

2 Aralık 2027

Ek III kapsamındaki bağımsız yüksek riskli sistemler için Bölüm III, Kısım 1–3 uygulanır (Article 6(5) hariç). Önceki tarih: 2 Ağustos 2026.

Art. 113(3)(c)(i)

28 Ocak 2028

Ek I, Kısım A uyarınca bildirilmiş kuruluşların AI Act kapsamında atanma başvurusu için son tarih.

Art. 43(3)

2 Ağstos 2028

Ek I kapsamındaki gömülü yüksek riskli sistemler için Bölüm III, Kısım 1–3 uygulanır. Önceki tarih: 2 Ağustos 2027.

Art. 113(3)(c)(ii)

2 Ağustos 2030

Kamu otoritelerinin kullanımı için tasarlanmış yüksek riskli sistemlerin sağlayıcı ve uygulayıcılarına ilişkin son tarih.

Art. 111(2)

5

Sık rastlanan bir yanlış okuma. Kamuoyu tartışmasında 2 Ağustos 2030 tarihinin Digital Omnibus ile "ötelendiği" söyleniyor. Doğrulanabilir tablo bunu desteklemiyor: Madde 111(2)'deki bu tarih zaten mevcut olan ve Omnibus tarafından değiştirilmeyen bir süredir. Bir yol haritasında bunu "yeni kazanılmış süre" olarak işaretlemek yanlış bir rahatlama üretir.


İkinci kritik nokta: erteleme koşulsuzdur. Komisyon'un özgün teklifinde, ertelemenin harmonize standartların hazır olmasına bağlanması öngörülüyordu. Bu koşullu tetikleyici nihai metinden çıkarılmıştır. Yani 2 Aralık 2027 ve 2 Ağustos 2028 sabit tarihlerdir; standartların gecikmesi veya erken hazır olması bu tarihleri kaydırmaz. Kaymaları için yeni bir yasama süreci gerekir. Planlama açısından bu, belirsizlikten iyidir: artık takvim üzerine bütçe kurulabilir.


Eski kaynakları okurken dikkat. 2026 ortasına kadar yayımlanmış içeriğin büyük kısmında iki iddia dolaşıyor ve ikisi de artık geçersizdir. Birincisi, Madde 6(1) bağlantılı yükümlülükler için 2 Ağustos 2027 tarihinin verilmesi; bu tarih artık 2 Ağustos 2028'dir. İkincisi, 7 Mayıs 2026 siyasi uzlaşısının "henüz bağlayıcı metne dönüşmediği" ihtiyatı; uzlaşı 16 Haziran 2026'da Parlamento, 29 Haziran 2026'da Konsey onayından geçmiş ve 24 Temmuz'da Resmi Gazete'de yayımlanmıştır. EUR-Lex'te konsolide metne bakarken de sürüm tarihini kontrol etmek gerekir.


Bugün şirketler açısından en kritik eşik hala "Article 4 başladı mı?" sorusu değildir. Soru şudur: 2 Ağustos 2026'ya kadar aldığım önlemleri nasıl kanıtlanabilir hale getireceğim?



Article 4 ne Diyor ve Şirketten Ne Bekliyor


Bu bölüm yazının en dikkat gerektiren kısmıdır, çünkü Madde 4 hem AI Act'in en geniş kapsamlı yükümlülüğüdür — yüksek riskli olsun olmasın, her sağlayıcı ve her uygulayıcıyı bağlar — hem de Digital Omnibus ile bütünüyle yeniden yazılmıştır.


Madde 4 neydi, ne oldu


Yükümlülüğün ne kadarının değiştiğini ve ne kadarının aynı kaldığını görmek, kurumsal iletişimde tonu doğru kurmanın en hızlı yoludur.


Boyut

2 Şubat 2025 – 27 Temmuz 2026 (özgün metin)

27 Temmuz 2026'dan itibaren (değişik metin)

Yükümlülüğün fiili

Yeterli düzeyde YZ okuryazarlığını sağlamak

Okuryazarlığın gelişimini destekleyecek önlemleri almak

Hukuki nitelik

Sonuç yükümlülüğü (obligation of result)

Çaba yükümlülüğü (obligation of effort)

Bireysel seviye şartı

"Yeterli seviye" beklenir

Hiçbir bireyin belirli bir seviyesi garanti edilmek zorunda değil

Kimi bağlar

Tüm sağlayıcı ve uygulayıcılar

Değişmedi

Kimi kapsar

Çalışanlar + kurum adına YZ ile çalışan diğer kişiler (yükleniciler, hizmet sağlayıcılar)

Değişmedi

Ölçüt unsurları

Teknik bilgi, deneyim, eğitim, kullanım bağlamı, etkilenen kişi grupları

Değişmedi

Kurumsal destek

Öngörülmemiş

Komisyon ve Üye Devletler destekle görevli; pratik örnek yayımı (yeni 4(2))

Yeterlilik çerçevesi

Belirsiz

YZ Kurulu tavsiyeleri; DigComp'a açık atıf (yeni 4(3))

Zorunlu sertifika

Yok

Değişmedi — yok

Bağımsız para cezası

Yok

Değişmedi — yok

Denetim mercii

Ulusal piyasa gözetim otoriteleri

Değişmedi

Erteleme

—

Yok. Yeni metin 27 Temmuz 2026'da doğrudan uygulanır


Sağ kolondaki "değişmedi" satırları, sol kolondaki değişiklikler kadar önemlidir. Yükümlülük hafiflemiştir; ortadan kalkmamıştır ve istisnasızdır.


Yükümlülüğün yeni yapısı


Sağlayıcı ve uygulayıcılar artık yeterli düzeyde YZ okuryazarlığını sağlamak zorunda değildir. Bunun yerine, personelinin ve kendi adlarına YZ sistemleriyle çalışan diğer kişilerin YZ okuryazarlığının gelişimini desteklemeye yönelik önlemler almak zorundadır. Bu değerlendirme yapılırken teknik bilgi, deneyim, eğitim, kullanım bağlamı ve sistemin üzerinde kullanılacağı kişi veya gruplar dikkate alınır.


Metin, tereddüde yer bırakmayan bir cümle eklemiştir: yükümlülük, sağlayıcı veya uygulayıcıdan herhangi bir bireyin belirli bir okuryazarlık seviyesini garanti etmesini istemez.


Buradan iki yanlış sonuç çıkarılmamalıdır. Birincisi, çaba borcu "gösteriş yeterlidir" anlamına gelmez; çabanın kendisi tasarlanmış, bağlama uygun ve belgelendirilmiş olmalıdır. Bir tedarikçinin genel eğitim modülünü satın alıp geçilmiş sayılmak, yumuşatılmış metnin bile karşılamadığı bir yaklaşımdır. İkincisi, yükümlülüğün kapsamı daralmamıştır: yalnızca çalışanları değil, kurum adına YZ ile iş yapan yüklenicileri ve hizmet sağlayıcıları da kapsamaya devam eder.


Yeni ikinci ve üçüncü paragraflar


Değişiklik yalnızca yükümlülüğü hafifletmekle kalmamış, bir destek mimarisi kurmuştur.


Yeni Madde 4(2), Komisyon ve Üye Devletleri, özellikle KOBİ'ler olmak üzere işletmecilerin çabalarını desteklemek ve kolaylaştırmakla görevlendirir; Madde 62(3)(b)'de öngörülen tek bilgi platformunda pratik uyum örneklerinin yayımlanmasını öngörür.


Yeni Madde 4(3), Avrupa Yapay Zeka Kurulu'nu (European Artificial Intelligence Board), mevcut Avrupa yeterlilik çerçevelerini dikkate alarak ortak hedefleri belirleyen tavsiyeler kabul etmekle görevlendirir. Recital 8, bu çerçeveler arasında DigComp ile AI Literacy Framework for Primary and Secondary Education'a açıkça atıf yapar. Kurumsal eğitim tasarımı yapan ekipler için bu, uzun süre boş kalmış bir referans noktasının doldurulmasıdır: artık hangi yeterlilik taksonomisine yaslanacağınız konusunda resmi bir yön işareti vardır.


Zamanlar arası hukuk: on sekiz aylık asimetri


Teknik ama sonuç doğuran bir nokta vardır. Madde 4'ün özgün, katı hâli 2 Şubat 2025'ten beri uygulanmıştır. Yeni hâli 27 Temmuz 2026'dan itibaren, hiçbir erteleme olmaksızın uygulanır. Dolayısıyla işletmeciler yaklaşık on sekiz ay boyunca, bugün yürürlükte olandan daha katı bir hükümle bağlıydı.


Bunun pratik anlamı şudur: 2 Şubat 2025 – 27 Temmuz 2026 aralığındaki fiil ve ihmaller, o dönemde yürürlükte olan katı standarda göre değerlendirilir; yeni ve daha hafif metin geriye yürümez. Geçmiş dönem kayıtlarınızı "artık gerekmiyor" diye tasfiye etmek bu nedenle risklidir. Bu, yönetim kuruluna anlatılması gereken ters sezgili noktalardan biridir: mevzuat hafifledi diye arşiv temizliği yapmak, koruma kaybıdır.


Madde 4'ün hiçbir zaman bağımsız bir para cezası hükmüyle desteklenmemiş olduğu gözlemi de burada anlamlıdır. Bu nedenle yumuşatmanın etkisi, ceza maruziyetinden çok belgesel ve organizasyonel yük üzerindedir. Asıl baskı kaynağı idari para cezası değil; bir iş mahkemesinde, bir ayrımcılık iddiasında, bir müşteri tahkiminde veya bir ihmal davasında "hangi önlemleri aldınız?" sorusuna sessizlikle karşılık verme durumudur. Executive düzeyde iletilecek mesaj budur — ceza değil, cevapsızlık.


Asgari uyum mimarisi hala ayakta


Komisyon'un Madde 4 rehberliği, Digital Omnibus öncesinde şu asgari mimariyi tanımlamıştı ve bu mimari yeni metin altında da işlevini korur. Bir organizasyon şu sorulara kurumsal cevap verebilmelidir: Şirkette hangi YZ araçları kullanılıyor? Kurum provider mı deployer mı? Bu sistemlerin riskleri neler? Eğitim ve rehberlik, teknik bilgi düzeyi ve kullanım bağlamına göre nasıl farklılaştırılacak?


Komisyon, yalnızca kullanım talimatını okutmanın çoğu durumda etkisiz kalabileceğini; eğitim ve rehberliğin hedef grubun bilgi seviyesi ve kullanım amacına göre tasarlanması gerektiğini belirtmişti. Çalışanların ChatGPT'yi reklam metni yazmak veya çeviri yapmak için kullandığı hâllerde bile Madde 4'ün devreye girdiği ve halüsinasyon gibi spesifik riskler hakkında bilgilendirme yapılması gerektiği yönündeki değerlendirme de bu kapsamdadır. Bu, "biz sadece basit işlerde kullanıyoruz" savunmasını daraltır.


Tanımlar bakımından değişiklik yoktur. Provider (sağlayıcı), YZ sistemini geliştiren veya geliştirtip kendi adı/markası altında piyasaya süren ya da hizmete alan aktördür. Deployer (uygulayıcı) ise YZ sistemini kendi otoritesi altında kullanan kişidir. Bir Türk şirketi ChatGPT, Copilot veya benzeri üçüncü taraf araçları iç süreçlerinde kullanıyorsa tipik olarak deployer pozisyonuna yaklaşır; aynı şirket kendi markasıyla müşterisine YZ destekli bir araç sunmaya başladığında provider niteliği de doğabilir.


Zorunlu sertifika, zorunlu bir "AI Officer" veya tek tip eğitim formatı hala öngörülmemiştir. Serbesti korunmuştur — ama bu, hiçbir şey yapmama serbestisi değildir.


Denetim tarihinde bir kaynak uyuşmazlığı


Madde 4'ün ulusal denetiminin başlangıç tarihi konusunda kaynaklar arasında bir gün farkı vardır. Komisyon'un Digital Omnibus sonrasında güncellenen "AI talent, skills and literacy" politika sayfası, ulusal piyasa gözetim otoritelerinin kuralları 2 Ağustos 2026 itibarıyla denetlemeye ve icra etmeye başlayacağını belirtir. Buna karşılık Komisyon'un 7 Mayıs 2025 tarihli Madde 4 Q&A metni ve bu metni aktaran ikincil kaynaklar 3 Ağustos 2026 tarihini verir. Kurumsal planlamada ihtiyatlı yaklaşım, erken tarihi (2 Ağustos 2026) esas almaktır; bir gün fark operasyonel olarak önemsiz, hukuki iletişimde ise teyide değerdir.


Türkiye Merkezli Şirketler için Kapsam ve Pratik Etkiler


Türkiye merkezli bir şirket veya serbest çalışan için asıl risk, “AB’de kurulmuş olmamak” değildir; çıktının Birlik içinde kullanılıyor olmasıdır.


Digital Omnibus bu ülke dışı etki mantığına dokunmamıştır. AI Act, üçüncü ülkelerde yerleşik provider ve deployer'lara, YZ sisteminin ürettiği çıktı AB'de kullanılıyorsa uygulanır. Bir Türk serbest çalışanın bir Fransız müşteri için YZ ile pazarlama içeriği üretmesi, bir Türk ajansın Alman müşteri hizmetleri için YZ destekli metin üretmesi, Türkiye'deki bir danışmanlık firmasının Hollandalı müşterisine YZ destekli karar notları sunması veya bir SaaS sağlayıcısının AB içindeki kullanıcıların yararlandığı YZ çıktıları üretmesi, AI Act kapsam analizini gerektirebilir. Belirleyici unsur şirketin pasaportu değil; YZ sisteminin hukuki rolü, coğrafi bağlantısı ve çıktının AB'deki kullanımıdır.


Yeni Madde 4a: kişisel veri boyutunda yapısal bir değişiklik


Digital Omnibus'un en az tartışılan ama Türk şirketleri için en fazla dikkat gerektiren yeniliği budur. Tüzüğün Madde 1(6) hükmü AI Act'e yeni bir Madde 4a eklemiş, Madde 1(9) ise Madde 10(5)'i yürürlükten kaldırmıştır.


Bu basit bir yer değişikliği değildir. Önyargı (bias) tespiti ve düzeltilmesi amacıyla özel nitelikli kişisel verilerin işlenmesine ilişkin hukuki dayanak, yüksek riskli sistemlerin eğitim verisine ilişkin maddeden çıkarılıp Bölüm I'e taşınmış ve kişi bakımından kapsamı önemli ölçüde genişletilmiştir.


Birinci paragraf, yüksek riskli sistem sağlayıcıları için bilinen rejimi altı kümülatif koşula bağlı olarak korur: amacın sentetik veya anonim veri dâhil başka verilerle gerçekleştirilememesi; yeniden kullanım üzerinde teknik sınırlamalar ve takma adlaştırma dâhil güncel teknolojiye uygun güvenlik ile gizlilik koruyucu önlemler; sıkı erişim kontrolleri ve belgelendirme; başka taraflara iletim, aktarım veya erişim yasağı; önyargı düzeltildiğinde veya saklama süresi sona erdiğinde — hangisi önce gerçekleşirse — silme; ve işleme faaliyetleri kaydında sıkı gereklilik beyanı.


İkinci paragraf, bu olanağı diğer YZ sistem ve modellerinin sağlayıcı ve uygulayıcılarına ve yüksek riskli sistemlerin uygulayıcılarına aynı koşullarla genişletir; ayrıca işlemenin sağlık ve güvenliği etkilemesi, temel hakları zedelemesi veya Birlik hukukunca yasaklanmış ayrımcılığa yol açması muhtemel önyargılar bakımından sıkı biçimde gerekli olması koşulunu ekler. Paragrafın son cümlesi kritiktir: bu hüküm önyargı tespiti ve düzeltmesi yapma yükümlülüğü doğurmaz. Bir olanaktır, bir borç değildir.


Zamansal etki bakımından da önemli bir nokta vardır: Madde 4a, Bölüm III ertelemesini izlemez. 27 Temmuz 2026'dan itibaren kullanılabilirdir, 2 Aralık 2027 veya 2 Ağustos 2028'i beklemez. Recital 9'un gerekçesi, yüksek riskli sistem sağlayıcılarının Madde 10(2)(f) ve (g) gerekliliklerine uyum hazırlığı kapsamında bu faaliyetleri hukuka uygun biçimde yürütebilmesidir.

Buna karşılık Madde 4a'nın yürürlükten önce yapılmış işlemeleri meşrulaştırdığı sonucu çıkarılamaz; geriye yürüme için açık bir geçiş hükmü gerekirdi ve böyle bir hüküm yoktur.


Türk şirketleri için pratik uyarı: Madde 4a, GDPR Madde 9(2)(g), Regulation (EU) 2018/1725 Madde 10(2)(g) ve Directive (EU) 2016/680 Madde 10(a) ile birlikte okunması gereken, önemli bir kamu yararının özelleştirilmesi niteliğindedir; bağımsız ve kendine yeten bir hukuki dayanak değildir. Daha önemlisi, 6698 sayılı Kanun bakımından bir işleme şartı yaratmaz. KVKK m. 6 kapsamındaki özel nitelikli veri rejimi ayrı ve bağımsız olarak değerlendirilmelidir. AB müşterisine hizmet veren bir Türk şirketinin Madde 4a'ya dayanarak yürüttüğü bir önyargı düzeltme faaliyeti, Türkiye'deki işleme bakımından ayrıca KVKK uyumluluğu gerektirir. Bu iki katmanı birbirine karıştırmak, uyum belgelerinde en sık rastlanan hatalardan biridir.


Tutarlı biçimde, AI Act'in Madde 2(7) hükmü de değiştirilmiş ve GDPR, Regulation (EU) 2018/1725, Directive 2002/58/EC ile Directive (EU) 2016/680 ile ilişki tanımlanırken Madde 4a ve Madde 59 açıkça saklı tutulmuştur.


KOBİ ve küçük orta ölçekli işletme rejimi: tek kişilik yapılar için somut kazanım

Digital Omnibus, AI Act'in Madde 3'üne iki yeni tanım eklemiştir: SME, Recommendation 2003/361/EC ekinin 2. maddesine atıfla; SMC (small mid-cap enterprise, küçük orta ölçekli işletme), Recommendation (EU) 2025/1099 ekinin 2. noktasına atıfla.


Sonuçları metnin bütününe dağılmıştır ve tek kişilik danışmanlıklar ile küçük ajanslar açısından doğrudan anlamlıdır: sadeleştirilmiş biçimde teknik dokümantasyon ve bunun için Komisyon'un hazırlaması ve bildirilmiş kuruluşların kabul etmesi gereken bir şablon (Md. 11(1)); kalite yönetim sisteminin kuruluş büyüklüğüyle orantılılığı (Md. 17(2)); daha önce yalnızca mikro işletmelere tanınan sadeleştirilmiş uyum olanağının start-up'lar dâhil KOBİ'lere genişletilmesi (Md. 63(1)); AI Office tarafından kurulan kum havuzlarına öncelikli erişim (Md. 57(3a)); ve Komisyon rehberleri ile ulusal otorite tavsiyelerinde KOBİ/SMC ihtiyaçlarına dikkat (Md. 96 ve 70(8)).

İş fonksiyonlarına iz düşümü Bu tabloyu iş fonksiyonlarına çevirdiğimizde dört alan öne çıkıyor. Pazarlama için asıl risk halüsinasyon, telif ve marka güveni kadar, kamuya açık içerikte açıklama (disclosure) mantığıdır. Madde 50 şeffaflık yükümlülükleri kendi takvimini korumuştur ve 2 Ağustos 2026'da devreye girer. Yapay zeka ile etkileşimde olunduğunun bildirilmesi, deepfake içeriğin etiketlenmesi ve kamu yararına ilişkin konularda kamuoyunu bilgilendirmek amacıyla yayımlanan YZ üretimi metinlerin açıklanması bu tarihten itibaren yükümlülüktür. Tek istisna, Madde 50(2) kapsamındaki sentetik içeriğin makine okunabilir biçimde işaretlenmesidir: 2 Ağustos 2026 öncesinde piyasaya sürülmüş sistemler için uyum süresi 2 Aralık 2026'ya kadar uzatılmıştır (yeni Md. 111(4)). İnsan editoryal kontrolü ve editoryal sorumluluk bulunan hâllerde metin açıklama yükümlülüğünün istisna kapsamında değerlendirilebileceği yönündeki mantık korunmuştur.


İnsan Kaynakları,  Ek III, adayların işe alımı, iş başvurularının analiz ve filtrelenmesi ile aday değerlendirmesi için kullanılan YZ sistemlerini açıkça yüksek riskli alan içinde sayar. Buradaki takvim değişmiştir: bu sistemlere ilişkin Bölüm III yükümlülükleri artık 2 Aralık 2027'de uygulanır. Ancak bu bir muafiyet değildir, ek süredir. Üstelik iki şey bugün de bağlayıcıdır: Madde 4 önlem yükümlülüğü ve Madde 5 yasakları — işyerinde duygu tanıma yasağı dâhil — 2 Şubat 2025'ten beri uygulanmaktadır. Bir İK ekibine "2027'ye kadar rahatız" mesajı vermek hatalı olur.


Satış, yüksek risk sınıflandırması çoğu zaman doğmaz; fakat bu rahatlatıcı değildir. Satış ekipleri teklif metni, e-posta taslağı, müşteri özetleri ve sunum hazırlığında YZ kullanır. Halüsinasyon, yanlış vaat, müşteri verisinin üçüncü taraf aracına girilmesi ve "kim son kontrolü yaptı?" belirsizliği bu alanın gerçek riskleridir. Sıradan görünen kullanımlarda bile çalışanların riskler hakkında bilgilendirilmesi gerektiği yönündeki Komisyon değerlendirmesi bu noktayı doğrudan destekler.


ERP/CRM danışmanlığı, PM ve PMO, merkezi risk görünmez veri sızıntısı ve teslim bütünlüğüdür. Toplantı notları, workshop özetleri, test senaryoları, kullanıcı hikâyeleri, proje risk analizleri, müşteri karar kayıtları ve hata raporları çoğu zaman kişi verisi, süreç sırrı veya ticari sır barındırır. Bu alanda Madde 4'ün yumuşatılması hiçbir şeyi kolaylaştırmaz; çünkü buradaki risk idari para cezası değil, sözleşmesel sorumluluk ve müşteri güvenidir.


Yerel katman: KVKK

Türkiye tarafındaki ikinci katman yerel veri koruma ve yönetişim boyutudur ve Digital Omnibus'tan etkilenmemiştir. KVKK'nın 5 Mart 2026 tarihli "İş Yerlerinde Üretken Yapay Zeka Araçlarının Kullanımı" duyurusu ve ilgili dokümanı, kurumsal kontrol dışında kullanılan YZ araçlarının gölge yapay zeka riski oluşturduğunu; hangi araçların hangi amaçlarla kullanıldığının, hangi veri türlerinin girdiye verildiğinin ve çıktıların nasıl kullanıldığının çoğu zaman görünmez kaldığını belirtir. Aynı rehber; fikri mülkiyet ve ticari sırların üçüncü taraf YZ araçlarına verilmesinin hak ihlali ve kontrol kaybı doğurabileceğini, kişisel verilerin ve hassas bilgilerin çıktılara yansıyabileceğini ve halüsinasyonların yanlış veya yanıltıcı içeriğin iş süreçlerine fark edilmeden girmesine yol açabileceğini vurgular. 6698 sayılı Kanun'un teknoloji-nötr bir çerçeve sunduğu ve üretken YZ yoluyla yapılan veri işleme faaliyetlerinin de bu çerçeve içinde değerlendirilmesi gerektiği belirtilir.


Üç pratik sonuç doğar. Birincisi, YZ envanteri artık kurumsal lüks değil; minimum yönetişim aracıdır. İkincisi, müşteri sözleşmeleri ve gizlilik hükümleri, üçüncü taraf YZ kullanımı ve YZ çıktısına güven sınırları bakımından güncellenmelidir. Üçüncüsü, web sitesi, içerik üretimi ve müşteri iletişimi tarafında Madde 50 şeffaflık kuralları 2 Ağustos 2026 itibarıyla dikkate alınmalıdır.

Denetim, Yaptırım ve 2 Ağustos 2026 Öncesi Aksiyon Planı


Madde 99: ceza tavanları korundu, çerçeve genişledi

Yaptırım mimarisinin ana maddesi Madde 99'dur. Üye devletler ihlaller için etkili, orantılı ve caydırıcı tedbirler belirlemek zorundadır. Tavanlar korunmuştur: yasaklı YZ uygulamaları için 35 milyon avro veya küresel cironun yüzde 7'si; Madde 16, 22, 23, 24, 26, 31, 33, 34 ve Madde 50 gibi belirli maddeler için 15 milyon avro veya yüzde 3; yanlış veya eksik bilgi verme için 7,5 milyon avro veya % 1.


Digital Omnibus burada iki değişiklik yapmıştır. Madde 99(1) yeniden yazılmış ve üye devletlerin ceza ve diğer icra tedbirlerine ilişkin kurallar koyacağı; bunların idari para cezası, uyarı ve parasal olmayan tedbirleri içerebileceği; ve KOBİ ile SMC'lerin ekonomik sürdürülebilirliğinin dikkate alınacağı açıkça belirtilmiştir. Yeni Madde 99(6a) ise SMC'ler bakımından, dördüncü ve beşinci paragraflardaki her cezanın yüzde ile sabit tutardan hangisi düşükse onunla sınırlanacağını öngörür. Bu koruma daha önce start-up'lar dâhil KOBİ'ler için mevcuttu; artık küçük orta ölçekli işletmelere de genişletilmiştir.


Madde 4, Madde 99(4)'te tek tek sayılan harmonize para cezası başlıkları arasında yer almamaya devam eder. Dolayısıyla Madde 4 ihlallerindeki yaptırım riski esasen üye devletlerin ulusal ceza ve uygulama rejimi üzerinden işler; gözetim ve icra AI Office'te değil, ulusal piyasa gözetim otoriteleri nezdindedir.


AI Office bir icra otoritesine dönüştü

Digital Omnibus'un metin hacmi bakımından en büyük kısmı sadeleştirme değildir. AI Office'e tanınan bir gözetim ve icra aparatının inşasıdır ve kurumsal yol haritalarında en çok gözden kaçan yenilik budur.


Madde 75 yeniden yazılmıştır. Başlığı "YZ sistemlerinin piyasa gözetimi ve kontrolü ile karşılıklı yardım" hâline gelmiş; yeni birinci paragraf AI Office'e iki sistem kategorisi bakımından münhasır yetki tanımıştır:


  1. Model ile sistemin aynı sağlayıcı veya aynı teşebbüsün parçası olan sağlayıcılar tarafından geliştirildiği, genel amaçlı YZ modellerine dayanan YZ sistemleri;

  2. Regulation (EU) 2022/2065 (DSA) uyarınca belirlenmiş çok büyük çevrimiçi platform veya çok büyük çevrimiçi arama motorunu oluşturan ya da bunlara entegre edilmiş sistemler.


"Aynı sağlayıcı"dan "aynı teşebbüs"e genişleme, müzakerelerde tartışmalı olan noktanın geniş yorum lehine çözülmesidir. Dört istisna korunmuştur: Ek I harmonizasyon mevzuatı kapsamındaki ürünlere ilişkin sistemler; Ek III'ün 2. noktasındaki sistemler; Madde 74(6) kapsamına girdikleri ölçüde kolluk, sınır yönetimi otoriteleri ve finansal kuruluşlar tarafından sağlanan sistemler; ve adaletin idaresi bakımından Ek III'ün 8. noktasındaki sistemler.


Kişi bakımından münhasır yetki, bu sistemlerin sağlayıcılarını kapsar ve uygulayıcılara yalnızca aynı zamanda sağlayıcı olmaları veya sağlayıcıyla aynı teşebbüsün parçası olmaları halinde uzanır.


Yeni Madde 75a–75d dört yeni yetki katmanı getirir:

  • Madde 75a — gözetim ve icra yetkileri. AI Office, AI Act ile Regulation (EU) 2019/1020'nin 14(4) ve 16(3) maddeleri uyarınca bir piyasa gözetim otoritesinin tüm yetkilerine sahiptir. Kendiliğinden veya şikâyet üzerine soruşturma açabilir. Basit talep veya karar yoluyla bilgi isteyebilir. Uzaktan ve yerinde denetim yapabilir; işletmecinin Birlik içindeki iş yerlerine, arazi ve mülküne girebilir, her türlü ortamdaki defter ve verileri inceleyebilir, kopya alabilir, sözlü veya yazılı açıklama isteyebilir ve denetim süresince mahalleri, defterleri ve kayıtları mühürleyebilir.

  • Madde 75b — taahhütler. İşletmeci taahhüt sunabilir; AI Office bunları kararla bağlayıcı kılabilir.

  • Madde 75c — uyumsuzluk, para cezaları ve periyodik ceza ödemeleri. Madde 99(3)–(7) cezaları mutatis mutandis uygulanır. Periyodik ceza ödemeleri, günlük olarak, ortalama günlük gelirin veya önceki mali yıldaki dünya çapındaki yıllık cironun yüzde 5'ini aşamaz. Zamanaşımı süresi beş yıldır.

  • Madde 75d — güvenceler. Savunma hakları, müzakere edilmiş bir ifşa rejimi altında dosyaya erişim, kararların yayımlanması.


Rekabet hukuku ile uğraşmış herkes bu mimariyi tanıyacaktır: özünde antitröst usul modelinin yapay zeka alanına aktarılmasıdır. Zamanlama bakımından not: Madde 75 ve 75a–75d, AI Act'in 2 Ağustos 2026'dan uygulanan Bölüm IX'unda yer alır. Değişiklikler 27 Temmuz'da metne girmiş, yetkiler bir hafta sonra kullanılabilir hâle gelmiştir.


Bu tabloya eklenen Madde 64(3), AI Office'e görevlerini etkili biçimde yerine getirmesi için yeterli kaynak tahsis edilmesini öngörür, ancak "bütçe usulüne halel getirmeksizin" kaydıyla. Bağımsız hukuk yorumcuları bu noktayı tasarımın en kırılgan yeri olarak işaretlemektedir: mahal mühürleme yetkisini içeren bir denetim gücü, onu kullanabilecek idari kapasite gerektirir ve Madde 64(3) bunu garanti etmez.


Uygulayıcılar için somut kontrol: Madde 75(1) kapsamına girip girmediğinizi kontrol edin. Sağlayıcıyla aynı teşebbüsün parçası olan bir uygulayıcı, 2 Ağustos 2026'dan itibaren AI Office'in münhasır gözetimine tabidir. Bu yalnızca yetkili otoritenin değişmesi değil, muhatabınızın değişmesidir.

Bugün ile 2 Ağustos 2026 arasındaki aksiyon planı

Dönem

Yapılacak çalışma

Beklenen çıktı

Kanıt / kayıt

Hemen

Kurum genelinde yapay zeka kullanım envanteri çıkarın; onaylı ve onaysız araçları ayırın.

Kullanım görünürlüğü ve sahiplik

Envanter tablosu, sistem listesi

Hemen

Her kullanım senaryosu için sağlayıcı veya uygulayıcı rolünü değerlendirin.

Kurumsal rol haritası

Rol değerlendirme notu

Hemen

AB müşterisi, AB'de kullanım veya AB'deki kişiler üzerinde etki bağlantısını belirleyin.

Coğrafi kapsam analizi

Müşteri ve coğrafya matrisi

Hemen

Madde 75(1) kapsamına girip girmediğinizi tespit edin (GPAI tabanlı sistem, aynı teşebbüs bağlantısı, VLOP/VLOSE entegrasyonu).

Yetkili otorite netliği

Otorite haritası ve gerekçe notu

Hemen

Veri kategorilerini sınıflandırın.

Veri risk haritası

Kişisel veri, özel nitelikli veri, ticari sır ve fikri mülkiyet sınıflandırması

Hemen

Rol ve risk seviyesine göre yapay zeka okuryazarlığı önlemlerini başlatın ve aldığınız önlemleri belgeleyin.

Madde 4 çaba yükümlülüğü altyapısı

Önlem kütüğü, eğitim materyali, katılım ve değerlendirme kayıtları

Hemen

2 Şubat 2025 – 27 Temmuz 2026 dönemine ait okuryazarlık kayıtlarını tasfiye etmeyin, arşivleyin.

Zamanlar arası hukuk koruması

Dönemsel arşiv kaydı

2 Ağustos 2026 öncesinde

Yapay zeka kullanım politikasını yayımlayın ve çalışan onaylarını alın.

Kurumsal yönetişim çerçevesi

Politika, duyuru ve okundu/onaylandı kayıtları

2 Ağustos 2026 öncesinde

Kamuya açık yapay zeka içerikleri için Madde 50 açıklama kurallarını belirleyin.

Şeffaflık yaklaşımı

Web, sosyal medya ve editoryal açıklama standardı

2 Ağustos 2026 öncesinde

Olay müdahalesi ve eskalasyon akışını oluşturun.

Müdahale hazırlığı

Olay yönetimi prosedürü, sorumlu listesi

2 Aralık 2026 öncesinde

2 Ağustos 2026 öncesi piyasaya sürülmüş sentetik içerik üreten sistemler için Madde 50(2) makine okunabilir işaretlemeyi uygulayın.

Madde 111(4) geçiş uyumu

İşaretleme teknik tasarımı ve doğrulama testleri

2 Aralık 2026 öncesinde

Yeni Madde 5(1)(ba) ve (bb) yasakları bakımından sistem envanterinizi tarayın.

Yasak uygunluk taraması

Değerlendirme notu, teknik güvence önlemleri kaydı

2 Aralık 2027 / 2 Ağustos 2028 ufkuna doğru

Ek III ve Ek I yüksek riskli sistem hazırlığını ötelenmiş ama sabit takvime göre planlayın.

Yüksek risk uyum programı

Boşluk analizi, proje planı, bütçe kaydı

Sürekli

Politika, önlem seti ve envanteri en az altı ayda bir gözden geçirin.

Güncel yönetişim yapısı

Revizyon kaydı

Sürekli

Yeni araç, müşteri veya entegrasyon için yapay zeka kullanım onay süreci işletin.

Değişiklik kontrolü

Talep ve onay formu

Sürekli

Olayları, ramak kala vakaları, müşteri şikâyetlerini ve veri ihlallerini öğrenme döngüsüne bağlayın.

Kurumsal öğrenme

Olay kaydı, kök neden analizi ve düzeltici faaliyetler

Kanıt ve Dokümantasyon Seti


Yapay zeka artık yalnızca teknoloji kullanımının değil, kurumsal yönetişim mimarisinin parçasıdır. EU AI Act Madde 4, güncel haliyle şirketlere şu yönetim sorusunu soruyor: "Kullandığınız YZ'yi kim, hangi amaçla, hangi veriyle, hangi kontrol mekanizmasıyla kullanıyor ve bu kişilerin okuryazarlığını geliştirmek için hangi önlemleri aldınız?"


Sorunun son kısmı, kanıt mantığında sessiz ama önemli bir kaymanın işaretidir. Özgün metin bir sonucu kanıtlamanızı bekliyordu; güncel metin bir önlemi kanıtlamanızı bekliyor. Belge setinizin ağırlık merkezi de buna göre kurulmalıdır: sınav skorları ve yeterlilik sertifikaları yerine, önlem tasarımı, gerekçesi, hedef kitle analizi ve uygulama kaydı.


Bu soruya yazılı ve kanıtlanabilir biçimde cevap verebilen şirketler için 2026 eşiği yönetilebilir bir geçiş olacaktır. Veremeyen şirketler için ise risk teknoloji kullanımından değil; kontrolsüz, kayıtsız ve sözleşmesiz kullanımdan doğacaktır.


Aşağıdaki tablolar; Avrupa Komisyonu'nun Madde 4 asgari uyum çerçevesi, Regulation (EU) 2026/1744 ile değişik Madde 4 ve 4a metni, Madde 50 şeffaflık kuralları, Madde 26 insan gözetimi beklentileri ve KVKK'nın işyeri üretken AI rehberindeki veri güvenliği yönetişimi yaklaşımı esas alınarak hazırlanmıştır. Bunlar hukuki tavsiye yerine geçmez; fakat duygusener.com okur kitlesi için uygulanabilir bir yönetim seti sunar.


Şirketler için Asgari Kanıt ve Dokümantasyon Seti

Komisyon’un Q&A’sı şu açıdan nettir: Article 4 için sertifika gerekmez; şirketler eğitim ve rehberlik girişimlerine ilişkin iç kayıt tutabilir. Bu, küçük şirketler ve tek kişilik profesyonel yapılar için önemli bir avantajdır. Yani uyumun anahtarı pahalı sertifikasyon değil; kanıtlanabilir yönetişim izlencesidir.


Pratikte önerilen minimum kanıt seti aşağıdaki gibi kurgulanabilir:

Belge

Asgari içerik

Yönetim amacı

Yapay Zeka Envanteri

Araç, model, iş birimi, amaç, rol, veri türü, AB bağlantısı, çıktı alanı, insan kontrolü

Kurumda ne kullanıldığını göstermek

Onaylı Araç Listesi

Onaylı, kısıtlı ve yasaklı araçlar; kullanım şartları

Gölge yapay zekayı azaltmak

Veri Sınırı Matrisi

Girilebilir ve girilemez veri kategorileri

KVKK, gizlilik ve ticari sır riskini yönetmek

Rol Bazlı Eğitim Matrisi

Rol, risk, modül, tarih, tekrar sıklığı

Madde 4 yaklaşımını somutlaştırmak

Eğitim Kayıtları

Katılımcı, tarih, içerik sürümü, değerlendirme ve onay

Kurumun eğitim tedbirlerini göstermek

Kullanım Politikası

Araç, veri, insan kontrolü, şeffaflık ve olay kuralları

Kurumsal standardı tanımlamak

Olay ve Near-Miss Kaydı

Olay, etki, neden, aksiyon ve öğrenilen ders

Sürekli iyileştirme sağlamak

Müşteri / Tedarikçi Sözleşme Eki

Kullanım bildirimi, gizlilik, insan incelemesi, fikrî mülkiyet ve olay bildirimi

Dış taraf riskini yönetmek

Kamusal İçerik Kontrol formu

İçerik türü, yapay zeka katkısı, insan editoryal kontrolü, açıklama kararı

Şeffaflık yaklaşımını kayıt altına almak

Yönetim Gözden Geçirme Kaydı

Bulgular, açık riskler, kararlar ve aksiyon sahipleri

Üst yönetim gözetimini göstermek


Tek Kişilik Danışmanlık ve Freelancer İçin Asgari Set

Tek kişilik danışmanlık veya freelancer yapılarında da aynı mantık küçültülmüş ölçekte uygulanabilir. Bir kişi hem kullanıcı hem teslim sorumlusu olsa bile, profesyonel kullanım söz konusuysa deployer tanımı dışında kalmaz. Bu nedenle en azından bir mini envanter, bir müşteri-veri sınırı notu, bir teslim öncesi insan kontrol checklist’i ve YZ destekli kamusal görsel/metinler için bir disclosure kuralı tutulması mantıklıdır.

Şablon Adı

İçerik

AI Envanteri Formu

Araç, amaç, departman, müşteri/AB bağlantısı, veri tipi, çıktı tipi, kontrol sahibi

AI Kullanım Politikası

Amaç, kapsam, onaylı araçlar, yasak girdiler, insan kontrolü, public disclosure, olay bildirimi, müşteri veri sınırı notu

Teslimat Öncesi Kontrol Listesi

Doğruluk, gizlilik, telif, sözleşme ve insan kontrolü

Olay Kaydı

Olay türü, veri etkisi, sözleşme etkisi, müşteri etkisi, acil durdurma, düzeltici aksiyon

Sözleşme Eki

AI kullanım bildirimi, gizli bilgi kısıtı, doğruluk ve insan review maddesi, incident notice, IP maddesi

Kamusal İçerik Açıklama Kuralı

Hangi görsel ve metinlerde açıklama yapılacağı

Olay Müdahale Akışı


Yapay zeka yönetişimi yalnızca hangi araçların kullanılabileceğini belirlemekten ibaret değildir. Kurumun, bir yapay zeka sistemi beklenmeyen, hatalı veya zararlı bir sonuç ürettiğinde nasıl hareket edeceğini de önceden tanımlaması gerekir. Çünkü yapay zeka kaynaklı bir olay yalnızca siber güvenlik ihlali şeklinde ortaya çıkmaz.


Yanlış veya uydurma bilgi içeren bir müşteri yanıtı, kişisel verilerin üçüncü taraf bir araca aktarılması, gizli proje dokümanlarının yetkisiz şekilde kullanılması, telif hakkı riski taşıyan bir görsel, ayrımcı bir aday değerlendirmesi veya hatalı bir karar önerisi de kurumsal yapay zeka olayı olarak ele alınabilir.


Digital Omnibus, bu listeye 2 Aralık 2026'dan itibaren yeni bir kategori eklemiştir. Yeni Madde 5(1)(ba) ve (bb) hükümleri, belirlenebilir bir gerçek kişinin mahrem bölgelerini veya cinsel içerikli eylemler içindeki hâlini rızası olmaksızın gösteren gerçekçi materyal üreten ya da manipüle eden YZ sistemlerini ve Directive 2011/93/EU kapsamındaki materyali üretenleri yasaklamaktadır. Rıza standardı GDPR ölçütünü sıkılaştırır: özgürce verilmiş, belirli, bilgilendirilmiş, açık ve sarih rıza aranır.


Yeni Madde 5(1a), sağlayıcı ile uygulayıcının konumunu ayırır ve bu ayrım kurumsal olay değerlendirmesi için doğrudan önemlidir. Sağlayıcı bakımından yasak, ya bu üretimin sistemin amaçlanan kullanımı olması ya da sistemin tasarımı, eğitimi, mimarisi, kabiliyetleri veya kullanıcıya dönük işlevleri nedeniyle bu sonucun kayda değer teknik değişiklik olmaksızın makul biçimde öngörülebilir ve yeniden üretilebilir olması ve sistemde bu sonucu güvenilir biçimde engelleyebilecek makul ve yeterli teknik güvenlik önlemlerinin bulunmaması hâlinde doğar. Uygulayıcı bakımından ise yasak, yalnızca sistemin bu materyali üretmek veya manipüle etmek için kullanılması halinde doğar. Recital 12, kullanım yasağının, sağlayıcının koyması gereken güvenceler bulunmasa bile hukuka uygun amaçlarla kullanımı ve kazara üretimi kapsamadığını açıkça belirtir.


Bir uygulayıcı için pratik sonuç şudur: kazara üretim yasak kapsamında değildir, ama kurumsal olay kaydına girmesi gereken bir vakadır. Yasak kapsamı ile kurumsal olay tanımını eşitlemek, öğrenme döngüsünü sakatlar.


Bu nedenle olay yönetim süreci, yalnızca Bilgi Teknolojileri ekibine bırakılmamalıdır. Hukuk, uyum, bilgi güvenliği, ilgili iş birimi, veri koruma sorumluları ve gerektiğinde üst yönetim aynı eskalasyon zincirinin parçası olmalıdır.



Olay Müdahale Akışı
Olay Müdahale Akışı

İlk adım: Olayı tanımlamak ve sınıflandırmak

Olay fark edildiğinde öncelikle ne tür bir riskle karşı karşıya olunduğu belirlenmelidir.

İlk değerlendirmede şu başlıklar birlikte ele alınmalıdır:

  • Hatalı veya yanıltıcı çıktı üretildi mi?

  • Kişisel veri veya özel nitelikli kişisel veri işlendi mi?

  • Ticari sır, müşteri bilgisi veya fikri mülkiyet riski var mı?

  • Ayrımcı, haksız veya temel hakları etkileyen bir sonuç doğdu mu?

  • Sistemin güvenliği veya erişim kontrolleri ihlal edildi mi?

  • Çıktı müşteriye, çalışanlara veya kamuoyuna ulaştı mı?

  • Olay sözleşmesel bir yükümlülüğü etkiliyor mu?

  • Kullanılan sistem yüksek riskli bir yapay zeka sistemi olarak sınıflandırılıyor mu?


Buradaki amaç, olayı mümkün olan en kısa sürede doğru yönetişim kanalına yönlendirmektir.


Dış etki varsa kullanım durdurulmalı veya askıya alınmalıdır

Olayın müşteri, çalışan, kamuoyu veya üçüncü kişiler üzerinde etkisi bulunuyorsa, ilgili yapay zeka kullanımının geçici olarak durdurulması veya askıya alınması değerlendirilmelidir. Örneğin; müşteri hizmetlerinde kullanılan bir YZ sistemi sürekli olarak yanlış yönlendirme yapıyorsa yalnızca çıktıları düzeltmek yeterli olmayabilir. Sorunun kaynağı anlaşılana kadar sistemin müşteriyle doğrudan temas eden işlevi sınırlandırılmalıdır.


Dış etki bulunmadığı ve riskin düşük olduğu durumlarda ise yakın izleme, ek insan kontrolü ve doğrulama mekanizması uygulanabilir. Bu karar otomatik değil, riskin ağırlığına ve kullanım bağlamına göre verilmelidir.


Zamanlama uyarısı, uygulayıcının yüksek riskli sistemlerde askıya alma ve bilgilendirme yükümlülüklerini düzenleyen Madde 26, AI Act'in Bölüm III, Kısım 3'ünde yer alır ve dolayısıyla ertelemeye tabidir: sınıflandırmaya göre 2 Aralık 2027 veya 2 Ağustos 2028. Buna karşılık askıya alma, kurumsal risk yönetimi ve sözleşmesel özen bakımından bugün de doğru davranıştır. Mevzuatın ertelenmesi, ihtiyatın ertelenmesi değildir.


İç eskalasyon tek bir departmanla sınırlı kalmamalıdır

YZ olayları çoğu zaman birden fazla risk alanını aynı anda etkiler. Bir müşteri e-postasının yanlış oluşturulması kalite problemi gibi görünürken; içerikte kişisel veri, ticari sır veya sözleşmeye aykırı bir taahhüt bulunması hâlinde olay aynı zamanda hukuk, veri koruma ve itibar riski haline gelebilir.


Bu nedenle iç eskalasyon hattında asgari olarak şu fonksiyonlar temsil edilmelidir:

  • Hukuk ve uyum,

  • Bilgi Teknolojileri,

  • Bilgi güvenliği,

  • İlgili iş birimi,

  • Veri koruma veya KVKK sorumlusu,

  • Proje ya da hizmet yöneticisi.


Olayın büyüklüğüne göre üst yönetim, kurumsal iletişim, insan kaynakları veya müşteri yöneticisi de sürece dâhil edilmelidir.


Kişisel veri ve güvenlik etkisi ayrı değerlendirilmelidir

Olay kişisel veri veya bilgi güvenliği unsuru taşıyorsa, yalnızca YZ politikasına göre değil; KVKK, GDPR, bilgi güvenliği düzenlemeleri ve müşteri sözleşmeleri açısından da değerlendirme yapılmalıdır.


Bu aşamada şu sorular cevaplanmalıdır:

  • Hangi veri kategorileri etkilenmiştir?

  • Veriler kimlere veya hangi sisteme aktarılmıştır?

  • Yetkisiz erişim ya da ifşa meydana gelmiş midir?

  • İlgili kişilerin hak ve özgürlükleri bakımından risk var mıdır?

  • Müşteriye, veri koruma otoritesine veya başka bir yetkili makama bildirim gerekir mi?

  • Sözleşmede özel bir olay bildirim süresi bulunuyor mu?


Bildirim yükümlülüğünün bulunup bulunmadığı hukuk ve veri koruma uzmanları tarafından somut olay özelinde değerlendirilmelidir.


Her YZ hatası, AI Act anlamında “ciddi olay” değildir

Kurumsal olay tanımı ile AI Act kapsamındaki “ciddi olay” kavramı birbirinden ayrılmalıdır. Yanlış hazırlanmış bir e-posta, hatalı bir toplantı özeti veya uygun olmayan bir görsel kurum açısından kayıt altına alınması gereken bir YZ olayı olabilir. Ancak bu durumlar tek başına AI Act’in ciddi olay tanımını karşılamayabilir.


AI Act kapsamında ciddi olay değerlendirmesi özellikle yüksek riskli yapay zeka sistemlerinde önem kazanır. Sağlık ve güvenlik üzerinde ciddi zarar, kritik altyapı kesintisi, temel hak ihlali veya ciddi mülkiyet ve çevre zararı ihtimali varsa, olayın ilgili hükümler kapsamında ayrıca değerlendirilmesi gerekir.


Yüksek riskli bir AI sisteminin kullanıcı kuruluşu, sistemin risk oluşturabileceğini düşünüyorsa kullanımını askıya almalı ve sağlayıcıyı veya dağıtıcıyı ve ilgili piyasa gözetim otoritesini gecikmeksizin bilgilendirmelidir. Ciddi bir olay tespit edilirse de öncelikle sağlayıcıya, ardından ilgili tedarik zinciri aktörlerine ve piyasa gözetim otoritesine bilgi verilmesi gündeme gelir.


Sağlayıcıların ciddi olay bildirimleri için AI Act’te olayın niteliğine göre değişen süreler bulunmaktadır. Genel durumda bildirim, nedensel bağlantı veya makul bağlantı ihtimali belirlendikten sonra ve olayın öğrenilmesinden itibaren en geç 15 gün içinde yapılmalıdır. Yaygın ihlal veya kritik altyapının ciddi ve geri döndürülemez biçimde kesintiye uğraması durumunda süre iki güne, ölümle sonuçlanan olaylarda ise belirli koşullar altında on güne kadar düşebilir. Bu süreler her YZ kullanımına değil, AI Act’te düzenlenen ilgili ciddi olay senaryolarına uygulanır.


Kanıtlar ve teknik kayıtlar korunmalıdır

Olay müdahalesinin en kritik fakat çoğu zaman gözden kaçan adımlarından biri kanıtların korunmasıdır.


Aşağıdaki kayıtlar mümkün olduğu ölçüde muhafaza edilmelidir:

  • Kullanılan araç ve model,

  • Model veya uygulama sürümü,

  • Prompt ve kullanıcı girdileri,

  • Sistemin ürettiği çıktı,

  • Tarih ve saat bilgileri,

  • Sistem logları,

  • Kullanıcı ve erişim kayıtları,

  • İnsan kontrolü ve onay kayıtları,

  • Müşteriye veya kamuya gönderilen nihai içerik,

  • Olay sonrasında yapılan değişiklikler.


Kök neden analizi tamamlanmadan sistem üzerinde kontrolsüz değişiklik yapılması, olayın nasıl meydana geldiğinin anlaşılmasını zorlaştırabilir. Bu nedenle teknik müdahale ile kanıt koruma dengesi kurulmalıdır.


İletişim planı rol ve etkiye göre belirlenmelidir

Her olayda herkese bildirim yapılması gerekmez. Ancak bildirim kararı gelişigüzel de verilmemelidir.


Somut olaya bağlı olarak iletişim kurulabilecek taraflar şunlardır:

  • YZ sisteminin sağlayıcısı,

  • İthalatçı veya dağıtıcı,

  • Müşteri,

  • İlgili çalışan veya kullanıcılar,

  • Veri koruma birimi,

  • Piyasa gözetim otoritesi,

  • Kişisel veri koruma otoritesi,

  • Diğer yetkili kurumlar.


Müşteriye yapılacak açıklamanın kapsamı, olayın niteliği, sözleşme hükümleri, veri etkisi ve yürütülen düzeltici faaliyetler dikkate alınarak belirlenmelidir.


Olay yalnızca kapatılmamalı, öğrenme döngüsüne alınmalıdır

Bir YZ olayının kapanması, yalnızca hatalı çıktının silinmesi veya müşteriye düzeltilmiş bir yanıt gönderilmesi anlamına gelmez.


Kapanış öncesinde şu çalışmalar tamamlanmalıdır:

  • Kök neden analizi,

  • Etki değerlendirmesi,

  • Düzeltici ve önleyici faaliyetler,

  • Prompt veya sistem yapılandırması değişikliği,

  • Erişim ve yetki düzenlemesi,

  • Politika güncellemesi,

  • Eğitim ihtiyacının yeniden değerlendirilmesi,

  • İnsan kontrol noktasının güçlendirilmesi,

  • Envanter ve risk kaydının güncellenmesi.


Örneğin çalışan, müşteri verisini kamuya açık bir üretken yapay zeka aracına girmişse yalnızca ilgili çalışana uyarı verilmesi yeterli değildir. Onaylı araç listesi, veri sınıflandırma kuralları, önlem içeriği ve teknik erişim kontrolleri birlikte gözden geçirilmelidir.


Güncel çerçevede bu döngünün önemi artmıştır. Yükümlülük bir sonuç borcundan çaba borcuna dönüştüğünde, çabanın kalitesini gösteren tek delil öğrenme döngüsünün kendisidir. Olayları yalnızca sorun olarak değil, kontrol yapısını geliştiren bir kurumsal öğrenme kaynağı olarak değerlendiren bir yönetişim sistemi, hem hukuken hem ticari olarak daha savunulabilir bir pozisyonda durur.


Kapanışta bir gözlem eklemek isterim. Digital Omnibus, iletişim dilinde bir sadeleştirme tasarrufu olarak sunuldu. Yayımlanan metni okuyunca tablo daha katmanlı görünüyor: KOBİ'ler için hafifletilmiş dokümantasyon, bildirilmiş kuruluşlar için tek usul, siber güvenlikte uygunluk karinesi, azaltılmış kayıt yükü ve DPIA–FRIA çapraz atıfları gerçek sadeleştirmelerdir. Buna karşılık metin iki yeni mutlak yasak, hassas veri işleme için yeni bir hukuki dayanak ve daha önce var olmayan bir soruşturma ile yaptırım aparatı da içeriyor. Genel bilanço bir hafifletme değil; bir yeniden dağıtımdır. Bununla işletmeci üzerindeki belgesel yük hafifliyor, Birlik düzeyindeki yetkiler ağırlaşıyor. Kurumsal hazırlığı bu okumaya göre kurmak, "erteleme geldi, rahatladık" okumasına göre kurmaktan çok daha isabetli olacaktır.


Referanslar


Yorumlar

5 üzerinden 0 yıldız
Henüz hiç puanlama yok
Puanlama ekleyin
bottom of page