AB Yapay Zeka Yasası: Uygulama Geliştiriciler İçin Uyum Listesi (2026)

Ekim 2026'da güncellendi: Bu rehber, AB Yapay Zeka Yasası'nı Yapay Zekaya İlişkin Dijital Omnibus (Tüzük (AB) 2026/1744) ile yapılan ve 27 Temmuz 2026'dan beri yürürlükte olan değişikliklerle birlikte ele alır. Genel bilgi niteliğindedir, hukuki tavsiye değildir.

AB Yapay Zeka Yasası artık geleceğin sorunu değil. Belirli yapay zeka uygulamalarına yönelik yasakları Şubat 2025'ten, genel amaçlı yapay zeka modellerine ilişkin kuralları Ağustos 2025'ten beri uygulanıyor; 2 Ağustos 2026'da ise tüzüğün, tüketici uygulamalarının çoğunu etkileyen şeffaflık yükümlülükleri de dahil olmak üzere genel hükümleri uygulanmaya başladı.

Ağustos 2026'da başlamayan ise en ağır kısım: yüksek riskli yapay zekaya ilişkin yükümlülükler. AB, Temmuz 2026'da Yapay Zekaya İlişkin Dijital Omnibus'u kabul etti ve bu tarihleri daha ileri, sabit tarihlere taşıdı. "2 Ağustos 2026'da tam uygulama" vaat eden eski bir rehber okuduysanız, o bilgi artık güncel değil.

Cezalar gerçek: Yasaklı uygulamalar için 35 milyon avroya veya küresel yıllık cironun %7'sine kadar, hangisi daha yüksekse. Karşılaştırma için GDPR'daki üst sınır 20 milyon avro veya %4'tür.

GDPR gibi Yapay Zeka Yasası da Avrupa'nın ötesine uzanır. Yapay zeka sistemlerini AB pazarında piyasaya süren veya orada hizmete sunan sağlayıcılara, AB'de bulunan uygulayıcılara (deployer) ve yapay zeka çıktıları AB'de kullanılan, AB dışındaki sağlayıcı ve uygulayıcılara uygulanır. Avrupalı kullanıcılara hizmet veren San Francisco'daki bir şirket de Berlin'deki bir şirket kadar bu kurallara tabi olabilir.

iHux olarak hem kendimiz hem de müşterilerimiz için yapay zeka uygulamaları geliştiriyoruz, bu yüzden konuyu yakından takip ediyoruz. İşte uygulama geliştiriciler için önemli olanlar, sade bir dille.

Risk Sınıflandırma Sistemi: Uygulamanız Nereye Giriyor?

Yükümlülükleriniz, yapay zeka sisteminizin girdiği risk seviyesine bağlıdır. Sınıflandırmayı doğru yapmak en önemli adımdır.

Kabul Edilemez Risk (Yasak)

Bu uygulamalar 2 Şubat 2025'ten beri yasaktır. Bunlar arasında şunlar yer alır:

• kişileri davranışlarına veya kişisel özelliklerine göre değerlendiren sosyal puanlama;
• manipülatif veya aldatıcı teknikler ve yaş, engellilik ya da ekonomik durumla bağlantılı kırılganlıkları istismar eden yapay zeka;
• yüz tanıma veri tabanları oluşturmak için yüz görüntülerinin hedefsiz olarak toplanması;
• iş yerlerinde ve eğitim kurumlarında duygu tanıma (sınırlı istisnalar dışında);
• etnik köken, siyasi görüş veya cinsel yönelim gibi hassas özellikleri çıkarsayan biyometrik kategorizasyon;
• bir kişinin suç işleyeceğini yalnızca profillemeye dayanarak tahmin etmek;
• kolluk amaçlarıyla, kamuya açık alanlarda gerçek zamanlı uzaktan biyometrik tanımlama (dar istisnalarla).

2 Aralık 2026'dan itibaren Dijital Omnibus yeni bir yasak ekliyor: rıza dışı mahrem görüntüler veya çocuk cinsel istismarı materyali üreten yapay zeka sistemleri.

Uygulamanız bunlardan herhangi birini yapıyorsa durun. Uyumlu hale gelmenin bir yolu yok.

Yüksek Risk (Ağır Düzenleme)

Yüksek riskli yapay zeka; kritik altyapı, eğitim (kabul, değerlendirme), istihdam (işe alım, performans değerlendirmesi), temel hizmetlere erişim (kredi puanlama, sigorta), kolluk, göç ve adalet yönetiminde kullanılan sistemleri ve tıbbi cihazlar veya makineler gibi düzenlemeye tabi ürünlerin güvenlik bileşeni olan yapay zekayı kapsar.

Gereklilikler arasında risk yönetimi, veri yönetişimi, teknik dokümantasyon, kayıt tutma, kullanıcılara karşı şeffaflık, insan gözetimi, doğruluk ve siber güvenlik ile sistem piyasaya sürülmeden önce bir uygunluk değerlendirmesi yer alır.

Dijital Omnibus ile gelen yeni tarihler:

• 2 Aralık 2027: Ek III'te listelenen bağımsız yüksek riskli sistemler (istihdam ve kredi puanlama gibi yukarıdaki alanlar).
• 2 Ağustos 2028: AB ürün mevzuatı kapsamındaki ürünlere gömülü yüksek riskli yapay zeka (Ek I).

Bunlar sabit tarihlerdir. Teknik standartların ne zaman yayımlanacağına bağlı değildir.

Sınırlı Risk (Şeffaflık Yükümlülükleri)

Tüketici ve iş uygulamalarının çoğu bu gruba girer ve bu kurallar 2 Ağustos 2026'dan beri uygulanmaktadır. Madde 50 uyarınca:

• Kişilere bir yapay zeka ile etkileşimde oldukları bildirilmelidir (örneğin bir sohbet botu), bağlamdan açıkça anlaşılmıyorsa.
• Üretken yapay zeka sağlayıcıları sentetik çıktıları işaretlemelidir (metin, görüntü, ses, video); bu işaretleme, çıktının yapay zeka tarafından üretildiğinin tespit edilebilmesi için makine tarafından okunabilir biçimde olmalıdır. 2 Ağustos 2026'dan önce piyasaya sürülmüş üretken sistemlerin uyum için 2 Aralık 2026'ya kadar süresi var; daha yeni sistemler için geçiş süresi yoktur.
• Kişilere, kendileri üzerinde duygu tanıma veya biyometrik kategorizasyon kullanıldığında bilgi verilmelidir.
• Deepfake'ler açıklanmalıdır; kamuoyunu kamu yararını ilgilendiren konularda bilgilendirmek amacıyla yayımlanan, yapay zeka tarafından üretilmiş metinler de bazı istisnalar dışında etiketlenmelidir.

Basit öneri motorları Madde 50 kapsamında değildir.

Minimal Risk (Ek Gereklilik Yok)

Spam filtreleri, video oyunlarındaki yapay zeka, temel öneri motorları ve benzeri düşük etkili kullanımlar, mevcut mevzuatın ötesinde Yapay Zeka Yasası'ndan kaynaklanan ek bir gereklilikle karşı karşıya değildir. Gönüllü davranış kuralları teşvik edilir.

Genel Amaçlı Yapay Zeka Modelleri: Size Neler Uygulanır?

Uygulamanız üçüncü taraf bir sağlayıcının genel amaçlı yapay zeka modeli üzerine kuruluysa, model düzeyindeki yükümlülüklerin çoğu o sağlayıcıya aittir. Ağustos 2025'ten beri bu sağlayıcılar teknik dokümantasyon sağlamak, AB telif hakkı mevzuatına uymak ve eğitim verilerinin bir özetini yayımlamak zorundadır. Sistemik risk taşıyan modeller için hasımsal testler ve olay bildirimi gibi ek yükümlülükler vardır.

Bu modelleri kullanan bir uygulama geliştirici olarak modeli belgelenmiş kullanım amacı dahilinde kullanmalı, kullanım senaryonuza uygun güvenlik önlemleri eklemeli, yukarıdaki şeffaflık yükümlülüklerini karşılamalı ve risk değerlendirmenizin kayıtlarını tutmalısınız.

Uygulama Geliştiriciler İçin Pratik Uyum Kontrol Listesi

Öncelik 1: Sınıflandırma ve Değerlendirme (Hemen Yapın)

1. Uygulamanızdaki her yapay zeka bileşenini denetleyin: Üçüncü taraf yapay zeka hizmetleri ve gömülü modeller dahil, yapay zekanın karar verdiği veya kararları etkilediği her noktayı.
2. Tüzüğün Ek III'ünü ve Komisyon'un kılavuzlarını kullanarak her bileşeni risk seviyesine göre sınıflandırın. Emin değilseniz daha yüksek seviyeyi seçin.
3. Gerekçenizi belgeleyin. Bu kayıt, herhangi bir düzenleyici incelemede ilk savunma hattınızdır.

Öncelik 2: Şeffaflık (Zaten Zorunlu)

1. Kullanıcılara bir yapay zeka sistemiyle etkileşimde olduklarını bildirin; örneğin sohbet botu konuşmalarında net etiketlerle.
2. Üretken bir yapay zeka özelliği sunuyorsanız, çıktılarını yalnızca görsel bir etiketle değil, makine tarafından okunabilir işaretlemeyle yapay zeka ürünü olarak tespit edilebilir hale getirin. Halihazırda piyasada olan sistemler için son tarih 2 Aralık 2026'dır.
3. Madde 50'nin gerektirdiği durumlarda deepfake'leri ve yapay zeka tarafından üretilmiş kamu yararına ilişkin metinleri açıklayın.
4. İyi uygulama olarak (ve kısmen GDPR gereği), gizlilik politikanızda hangi yapay zeka özelliklerini kullandığınızı ve bunların hangi verileri işlediğini açıklayın.

Öncelik 3: Yüksek Risk Yükümlülüklerine Hazırlanın (Aralık 2027'den Önce)

Herhangi bir bileşen yüksek riskliyse, ek süreyi iyi değerlendirin:

1. İnsan gözetimini tasarlayın: İnsanlar yapay zeka kararlarını anlayabilmeli, izleyebilmeli ve geçersiz kılabilmelidir.
2. Girdileri, çıktıları ve karar etkenlerini kaydeden günlükleme ve denetim izleri oluşturun.
3. Yanlılık ve ayrımcı etki testlerini geliştirme sürecinizin bir parçası olarak sürekli yapın.
4. Ürününüz için ciddi olayın ne anlama geldiğini ve bunu nasıl bildireceğinizi tanımlayın.
5. Aylar sürebilen uygunluk değerlendirmesini planlayın.

Ceza Yapısı: Gerçekte Neler Tehlikede?

Cezalar Madde 99'da düzenlenmiştir ve 2 Ağustos 2025'ten beri uygulanmaktadır:

• Yasaklı uygulamalar (Madde 5'in herhangi bir ihlali): 35 milyon avroya veya küresel yıllık cironun %7'sine kadar, hangisi daha yüksekse.
• Diğer yükümlülüklerin çoğu, Madde 50 şeffaflık yükümlülükleri ile sağlayıcıların, uygulayıcıların, ithalatçıların ve dağıtıcıların yükümlülükleri dahil: 15 milyon avroya veya %3'e kadar, hangisi daha yüksekse.
• Onaylanmış kuruluşlara veya makamlara bir talebe yanıt olarak yanlış, eksik veya yanıltıcı bilgi verilmesi: 7,5 milyon avroya veya %1'e kadar, hangisi daha yüksekse.

KOBİ'ler ve girişimler için her ceza, iki tutardan hangisi daha düşükse onunla sınırlıdır; Dijital Omnibus benzer bir kolaylığı küçük orta ölçekli şirketlere (small mid-cap) de genişletiyor. Ayrıca 2 Ağustos 2026'dan beri Avrupa Komisyonu, genel amaçlı yapay zeka modeli sağlayıcılarına 15 milyon avroya veya %3'e kadar ceza verebiliyor.

Uyumun Ötesinde: Stratejik Fırsat

Yapay Zeka Yasası'nın gereklilikleri (şeffaflık, insan gözetimi, yanlılık testleri, dokümantasyon) aynı zamanda iyi inşa edilmiş yapay zeka ürünlerinin ayırt edici özellikleridir. Kullanıcılar, yapay zekası konusunda açık olan uygulamalara güvenir. Kurumsal alıcılar denetim izleri ve insan gözetimi ister. Yanlılık testleri, kalite sorunlarını itibar sorununa dönüşmeden yakalar.

Yapay Zeka Yasası'nı hukuki bir angarya yerine bir ürün kalitesi çerçevesi olarak ele alan ekipler daha iyi ürünler geliştirir ve daha fazla güven kazanır; özellikle uyumun satın alma kararının bir parçası olduğu kurumsal pazarlarda.

Bir Bakışta Takvim

• 1 Ağustos 2024: Yapay Zeka Yasası yürürlüğe girer.
• 2 Şubat 2025: Yasaklı uygulamalar yasaklanır; yapay zeka okuryazarlığı yükümlülükleri başlar. (Dijital Omnibus o zamandan beri okuryazarlık yükümlülüğünü, yapay zeka okuryazarlığını destekleyen önlemler almaya indirerek yumuşattı.)
• 2 Ağustos 2025: Genel amaçlı yapay zeka modellerine ilişkin kurallar uygulanır; yönetişim ve ceza rejimi uygulanır.
• 27 Temmuz 2026: Yapay Zekaya İlişkin Dijital Omnibus yürürlüğe girer.
• 2 Ağustos 2026: Madde 50 şeffaflık yükümlülükleri ve Komisyon'un genel amaçlı yapay zeka modellerine ceza verme yetkisi dahil genel uygulama.
• 2 Aralık 2026: Halihazırda piyasada olan üretken sistemler için makine tarafından okunabilir işaretleme son tarihi; rıza dışı mahrem görüntüler veya çocuk cinsel istismarı materyali üreten yapay zekanın yasaklanması.
• 2 Aralık 2027: Bağımsız yüksek riskli sistemlere ilişkin yükümlülükler (Ek III).
• 2 Ağustos 2028: Düzenlemeye tabi ürünlerdeki yüksek riskli yapay zekaya ilişkin yükümlülükler (Ek I).

Nereden Başlamalı?

Risk sınıflandırmanıza bu hafta başlayın, şeffaflık yükümlülüklerinizin karşılandığından emin olun (neredeyse herkesi kapsıyor ve zaten yürürlükte) ve herhangi bir yüksek riskli kullanımdan şüpheleniyorsanız hukuk danışmanını erkenden sürece dahil edin. Aralık 2027 uzak görünebilir, ancak uygunluk çalışmaları aylar sürer.

iHux olarak, piyasaya sunduğumuz her ürünün geliştirme sürecine Yapay Zeka Yasası gerekliliklerini dahil ediyoruz; çünkü bu, uyumu lansmandan sonra sonradan eklemekten çok daha az maliyetli. Yapay zeka destekli bir uygulama geliştiriyorsanız ve bunu ilk günden düşünen bir iş ortağı istiyorsanız, bizimle konuşun.