Enver KOÇAK
Avrupa Birliği’nin Yapay Zekâ Yasası (resmî adıyla 2024/1689 sayılı Tüzük, kısaca AI Act), yapay zekâyı kapsamlı biçimde düzenleyen ilk büyük hukuki çerçeve olarak 2024 yazında yürürlüğe girdi. Türkiye AB üyesi olmadığı için birçok şirket bu düzenlemeyi uzaktan izlenen bir Avrupa gündemi olarak görüyor. Oysa ihracat yapan, Avrupa’ya yazılım satan ya da Avrupalı müşterilere hizmet veren her şirket için konu doğrudan iş riskine dönüşebilir.
Sınırın ötesine uzanan bir yasa
Yasanın uygulama alanı, şirketin nerede kurulu olduğuna değil, yapay zekâ sisteminin nerede kullanıldığına ve çıktısının nereye ulaştığına bakar. Kabaca şu durumlar kapsam içindedir:
- AB pazarında bir yapay zekâ sistemini piyasaya süren ya da hizmete sunan sağlayıcılar, AB dışında kurulu olsalar bile,
- AB içinde yapay zekâ sistemi kullanan kuruluşlar,
- AB dışında bulunan ama sisteminin ürettiği çıktı AB’de kullanılan sağlayıcılar ve kullanıcılar.
Son madde Türk şirketleri için özellikle önemlidir. İstanbul’daki bir yazılım firmasının geliştirdiği aday eleme aracını Almanya’daki bir şirket kullanıyorsa, Türk firması bu yasanın muhatabı hâline gelebilir. Benzer bir mantığı Avrupa’nın kişisel veri düzenlemesi GDPR’da da görmüştük.
Risk merdiveni: Dört basamaklı yaklaşım
Yasa, yapay zekâyı teknolojiye göre değil, kullanım amacına ve doğurduğu riske göre sınıflandırır. Aynı dil modeli, bir oyun karakterine diyalog yazdırırken düşük riskli, kredi başvurusu değerlendirirken yüksek riskli bir sistemin parçası olabilir.
| Risk düzeyi | Örnekler | Genel sonuç |
|---|---|---|
| Kabul edilemez risk | İnsanları zararlı biçimde manipüle eden sistemler, kamu ya da özel aktörlerin sosyal puanlaması, iş yerinde ve okulda duygu tanıma (bazı istisnalarla) | Yasak |
| Yüksek risk | İşe alım ve çalışan değerlendirme, kredi skorlaması, eğitimde sınav ve yerleştirme, kritik altyapı, bazı tıbbi cihaz ve makine bileşenleri | Risk yönetimi, veri kalitesi, kayıt tutma, insan gözetimi, teknik dokümantasyon, uygunluk değerlendirmesi |
| Sınırlı risk | Sohbet botları, yapay zekâyla üretilmiş ya da değiştirilmiş görsel, ses ve videolar | Şeffaflık: Kullanıcıya yapay zekâyla muhatap olduğunu ya da içeriğin yapay olarak üretildiğini bildirme |
| Asgari risk | Spam filtreleri, oyunlardaki yapay zekâ, basit öneri sistemleri | Ek yükümlülük yok; gönüllü davranış kuralları teşvik edilir |
Bu dört basamağın yanında, büyük dil modelleri gibi genel amaçlı yapay zekâ modelleri için ayrı bir rejim vardır. Bu modelleri geliştiren şirketlerin teknik dokümantasyon, telif hakkına saygı politikası ve eğitim verisine dair özet yayımlama gibi yükümlülükleri bulunur. Türkiye’deki şirketlerin çoğu bu modelleri geliştirmez, hazır modelleri kendi ürünlerine entegre eder; bu nedenle onlar için asıl soru, entegre ettikleri ürünün hangi risk basamağına düştüğüdür.
Rolünüzü doğru tanımlayın
Yükümlülükler, zincirdeki konumunuza göre değişir. En sık karşılaşılan iki rol şunlardır:
Sağlayıcı
Bir yapay zekâ sistemini geliştiren ya da geliştirten ve kendi adı veya markasıyla piyasaya sunan taraftır. Yüksek riskli sistemlerde yükün büyük kısmı sağlayıcıdadır. Kendi ürününe hazır bir modeli yerleştirip Avrupa’ya satan Türk yazılım firması çoğu zaman bu roldedir.
Uygulayıcı
Sistemi kendi faaliyetinde kullanan kuruluştur. Örneğin Hollanda’daki şubesinde işe alım için bir yapay zekâ aracı kullanan Türk holdingi uygulayıcıdır. Uygulayıcının yükümlülükleri arasında sistemi talimatlara uygun kullanmak, insan gözetimini sağlamak ve ilgili kayıtları tutmak sayılabilir.
Bunlara ek olarak ithalatçı ve dağıtıcı rolleri de vardır. Önemli bir ayrıntı: Bir sistemi kullanım amacını değiştirecek kadar önemli ölçüde değiştiren uygulayıcı, kendisi sağlayıcı konumuna geçebilir.
Takvim: Kademeli ve hareketli
Yasa tek seferde değil, aşama aşama uygulanıyor. Genel hatlarıyla:
- Yasaklı uygulamalar ve yapay zekâ okuryazarlığına ilişkin hükümler 2025’in başında uygulanmaya başladı.
- Genel amaçlı yapay zekâ modellerine ilişkin kurallar 2025 yazında devreye girdi.
- Yüksek riskli sistemlere ilişkin kuralların ilk takvimde 2026 ve 2027’de uygulanması öngörülüyordu. AB, 2026’da kabul ettiği bir sadeleştirme paketiyle bu tarihleri ileri aldı; bağımsız yüksek riskli sistemler için 2027 sonu, ürünlere gömülü sistemler için 2028 gündeme geldi.
Takvimin değişmiş olması, işin rafa kalktığı anlamına gelmiyor. Ertelemeler daha çok yüksek riskli sistemlerle ilgili; yasaklar zaten geçerli ve şeffaflık yükümlülükleri ayrı bir takvimle ilerliyor. Tarihleri planlamaya esas almadan önce AB’nin resmî kaynaklarından güncel hâlini kontrol etmek gerekir.
Yaptırımlar da hafife alınacak gibi değil. Yasaklı uygulamalar için öngörülen idari para cezalarının üst sınırı 35 milyon avro ya da dünya çapındaki yıllık cironun yüzde 7’si, hangisi yüksekse, olarak belirlendi. Diğer ihlaller için daha düşük üst sınırlar var.
Türk şirketlerinden dört senaryo
- İnsan kaynakları yazılımı satan bir girişim: Aday CV’lerini puanlayan bir özelliği varsa ve Avrupalı müşterileri bunu kullanıyorsa, büyük ihtimalle yüksek riskli sağlayıcı konumundadır. Dokümantasyon ve test süreçlerine şimdiden yatırım yapması gerekir.
- Avrupa’ya müşteri hizmeti veren bir çağrı merkezi: Sohbet botu kullanıyorsa, kullanıcıya bir yapay zekâyla konuştuğunu açıkça bildirmesi beklenir.
- Otomotiv yan sanayi üreticisi: Ürettiği parçada güvenlik işlevi gören bir yapay zekâ bileşeni varsa, mevcut ürün mevzuatı ve CE süreçleriyle birlikte yeni yükümlülükler gündeme gelebilir.
- Yalnızca Türkiye’de satış yapan bir e-ticaret şirketi: Öneri sistemi ve kampanya metinleri için kullandığı yapay zekâ doğrudan kapsamda olmayabilir. Ancak AB pazarına açılma planı varsa, ürün mimarisini baştan buna göre kurmak daha ucuzdur.
Bugünden başlanabilecek beş adım
- Envanter çıkarın: Şirkette hangi yapay zekâ sistemleri kullanılıyor ya da satılıyor? Hangileri AB’deki müşterilere veya çalışanlara dokunuyor?
- Her sistemi risk basamağına yerleştirin: Kullanım amacını yazılı olarak tanımlayın; belirsiz olanları hukukçuyla birlikte değerlendirin.
- Rolünüzü belirleyin: Sağlayıcı mısınız, uygulayıcı mı, ikisi birden mi?
- Tedarikçilerinizi sorgulayın: Kullandığınız modelin sağlayıcısından teknik dokümantasyon ve uyum taahhüdü isteyin; sözleşmelere ilgili hükümleri ekleyin.
- Okuryazarlığı ihmal etmeyin: Yasa, yapay zekâ sistemleriyle çalışan personelin yeterli bilgiye sahip olmasını bekliyor. Kısa ve role özel eğitimler hem uyum hem verimlilik için işe yarar.
Türkiye’de yapay zekâya özgü kapsamlı bir yasa henüz yürürlükte değil. Bu durum, AB düzenlemesini Türk şirketleri için bir tür fiilî standart hâline getiriyor: Avrupa’ya satış yapan bir şirket, bu yasaya göre kurduğu süreçleri ileride Türkiye’de yapılabilecek düzenlemelere de büyük ölçüde taşıyabilir.
Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. Yasanın uygulama tarihleri ve ayrıntıları değişikliğe açıktır; kararlarınızı AB’nin resmî metinlerine ve uzman görüşüne dayandırın.
“AB Yapay Zekâ Yasası: Türk şirketleri için ne anlama geliyor?” haberi, Etesio Teknoloji’nin yapay zekâsı Safinaz tarafından Türkçeleştirilip yayına alınmıştır.
