EU AI Act: Avrupa Birliği Yapay Zeka Tüzüğü

1. EU AI Act Nedir?

1 Ağustos 2024 tarihi itibarıyla resmen yürürlüğe giren Avrupa Birliği Yapay Zeka Tüzüğü (EU AI Act), sınır ötesi ve uluslararası alanda önemli etkiler yaratmıştır. Aynı zamanda dünya genelinde yapay zeka alanına yönelik ilk kapsamlı ve yeknesak düzenlemelerden biri olarak değerlendirilmektedir.

Düzenleme yalnızca Avrupa Birliği sınırları içerisinde fiziksel olarak yerleşik şirketleri kapsamamaktadır. AB pazarına ürün veya yapay zeka sistemi sunan, sistemlerini AB’deki kullanıcıların kullanımına açan veya yapay zeka sistemlerinin çıktıları AB içerisinde kullanılan küresel aktörler de doğrudan çeşitli yükümlülüklere tabi olabilmektedir.

Bu durum, Türkiye gibi Avrupa Birliği ile yoğun ticari ve teknolojik entegrasyona sahip ülkelerdeki teknoloji geliştiricileri ve kurumsal kullanıcılar açısından Avrupa standartlarına uyumu önemli hale getirmektedir.

Tüzüğün uygulama takvimi, 2026 yılının ortalarında Avrupa Parlamentosu ve Konseyi tarafından kabul edilen ve sivil toplum tarafından yoğun eleştirilere maruz kalan “Digital Omnibus” paketi ile önemli ölçüde revize edilmiştir. Yükümlülüklere tabi şirketlere ek hazırlık süresi tanımak ve teknolojik standartların olgunlaşmasını beklemek amacıyla bazı kritik yükümlülüklerin uygulama tarihleri 2027 ve 2028 yıllarına ertelenmiştir.

2. Risk Kategorileri

Tüzük, yapay zeka sistemlerini potansiyel tehlike düzeyleri ve temel haklar üzerindeki etki kapasitelerine göre dört temel risk kategorisine ayırmaktadır:

• Kabul edilemez risk
• Yüksek risk
• Sınırlı risk
• Minimal risk

A. Kabul Edilemez Risk

İnsan onuruna, sivil özgürlüklere ve demokratik değerlere açık tehdit oluşturan, özellikle manipülatif kapasitesi yüksek yapay zeka sistemleri “Kabul Edilemez Risk” (Unacceptable Risk) kategorisinde değerlendirilmekte ve AB pazarında yasaklanmaktadır.

Tüzüğün 5. maddesi kapsamında belirlenen yasaklar, 2 Şubat 2025 tarihi itibarıyla hukuken bağlayıcı hale gelmiştir.

Yasaklanan uygulamalar arasında yapay zekanın en problemli kullanım senaryolarından bazıları bulunmaktadır.

Bireylerin davranışlarını onların farkında olmadan veya bilinçaltına yönelik tekniklerle, fiziksel ya da psikolojik zarara yol açabilecek şekilde manipüle eden sistemler yasaklanmıştır.

Bireylerin sosyal davranışları, kişisel özellikleri veya çevrimiçi hareketleri gibi unsurlardan hareketle geniş kapsamlı bir “sosyal puan” oluşturan ve bu puanlar üzerinden ayrımcı veya orantısız dezavantajlar yaratan “Social Scoring” uygulamaları da yasaklı kullanım alanları arasında yer almaktadır.

Bu yasaklara ek olarak, Haziran 2026’da Avrupa Parlamentosu tarafından kabul edilen “Digital Omnibus” paketi ile Madde 5 kapsamına iki kritik yasak daha eklenmiştir:

• Yapay zeka aracılığıyla çocuk cinsel istismarı materyali (CSAM) üreten sistemler.
• Tanımlanabilir kişilerin rızası dışında cinsel içerikli veya çıplaklık barındıran görüntüler oluşturan deepfake veya “nudifier” sistemleri.

Yeni hükümler hem sağlayıcıları hem de bu sistemleri kullananları kapsamakta olup uyum tarihi olarak 2 Aralık 2026 belirlenmiştir.

B. Yüksek Risk

Tüzüğün düzenleyici mimarisinin ağırlık merkezlerinden birini, kişilerin sağlığı, güvenliği veya temel hakları üzerinde önemli olumsuz etki oluşturma potansiyeline sahip “Yüksek Risk” (High-Risk) sistemleri oluşturmaktadır.

Tüzük, Madde 6 çerçevesinde yüksek riskli sistemleri yapısal ve kullanım alanına dayalı olmak üzere iki temel kategoriye ayırmaktadır: Annex I ve Annex III.

Birinci Kategori: Annex I

İlk kategori, mevcut AB ürün güvenliği uyumlaştırma mevzuatına tabi olan ve üçüncü taraf uygunluk değerlendirmesi gerektiren ürünlerde güvenlik bileşeni olarak kullanılan veya doğrudan bu ürünlerden biri olan yapay zeka sistemlerini kapsamaktadır.

Bu kapsamda örneğin:

• Oyuncaklar
• Asansörler
• Tıbbi cihazlar
• Telsiz ekipmanları
• Sivil havacılık ürünleri

gibi alanlarda kullanılan yapay zeka sistemleri değerlendirilebilmektedir.

Tıbbi teşhis yazılımları, otonom araç güvenlik algoritmaları veya patlayıcı ortamlarda gaz konsantrasyonunu izleyen yapay zeka modülleri bu kategoriye örnek gösterilebilir.

İkinci Kategori: Annex III

İkinci kategori ise ürün güvenliği mevzuatından bağımsız olarak bireylerin temel haklarını ve yaşam olanaklarını doğrudan etkileyebilecek hassas alanlarda kullanılan bağımsız yapay zeka sistemlerini kapsamaktadır.

Bu alanlar arasında:

• Biyometrik kimlik tespiti
• Su, gaz ve elektrik gibi kritik altyapıların yönetimi
• Eğitim ve mesleki eğitime erişim
• Sınav notlandırması ve okula kabul
• İstihdam ve çalışan yönetimi
• İşe alım algoritmaları ve performans değerlendirmeleri
• Kredi skorlama ve sosyal yardım uygunluğu gibi temel kamu ve özel hizmetlere erişim
• Kolluk kuvvetleri tarafından gerçekleştirilen analizler
• Göç ve sınır kontrolü
• Adaletin yönetimi ve demokratik süreçler

yer almaktadır.

C. Yüksek Risk İstisna Filtresi: Madde 6(3)

Sistemlerin gereksiz yere yüksek risk kategorisine alınmasını önlemek amacıyla Madde 6(3) kapsamında bir istisna mekanizması düzenlenmiştir.

Mayıs 2026’da yayımlanan Taslak Kılavuzlar (Draft Guidelines), Annex III kapsamında bulunan bir sistemin yüksek riskli kabul edilmemesini sağlayabilecek bu mekanizmayı oldukça dar yorumlamaktadır.

Bir sistem, karar alma sürecinin sonucunu “maddi olarak” etkilememesi ve aşağıdaki alternatif koşullardan en az birini sağlaması durumunda yüksek risk sınıflandırmasından muaf tutulabilir:

1. Sistem yalnızca dar kapsamlı ve prosedürel bir görev yerine getiriyorsa.
2. Daha önce tamamlanmış bir insan faaliyetinin sonucunu, esasını veya anlamını değiştirmeden yalnızca biçimsel olarak iyileştiriyorsa; örneğin dilbilgisi düzeltmesi yapıyorsa.
3. Daha önce tamamlanmış bir insan değerlendirmesini değiştirme veya etkileme amacı olmaksızın yalnızca karar alma örüntülerini ya da sapmaları tespit ediyorsa.
4. Daha kapsamlı bir değerlendirme süreci içerisinde yalnızca ön hazırlık niteliğinde bir görev gerçekleştiriyorsa.

Bu muafiyet açısından en kritik konulardan biri “profilleme”dir.

Sistem; kişinin iş performansı, ekonomik durumu, sağlığı, tercihleri, davranışları veya konumu gibi unsurları analiz etmek amacıyla kişisel verilerin otomatik olarak işlenmesini gerçekleştiriyorsa profilleme söz konusu olabilir.

Bu durumda sistem, yukarıdaki koşullardan birini karşılasa dahi istisna mekanizmasından yararlanamayabilir ve yüksek riskli kabul edilebilir.

Kılavuzlar ayrıca “human-in-the-loop” olarak ifade edilen insan gözetiminin bulunmasının tek başına yüksek risk sınıflandırmasını ortadan kaldırmadığını açıkça ortaya koymaktadır.

3. Yüksek Riskli Sistem Sağlayıcıları İçin Yasal Yükümlülükler

Yüksek riskli bir yapay zeka sistemini geliştiren sağlayıcılar veya sistemi kendi adlarıyla piyasaya sunan aktörler, Tüzük kapsamında kapsamlı uyum ve denetim yükümlülüklerine tabi tutulmaktadır.

Bu yükümlülükler, yapay zeka sistemlerinin geliştirilmesi sırasında kullanılan mühendislik ve ürün yönetimi süreçlerini önemli ölçüde etkileyebilecek niteliktedir.

Sağlayıcıların, sistemin bilinen ve makul ölçüde öngörülebilir risklerinin sürekli analiz edildiği, belgelendirildiği ve azaltıldığı bir Risk Yönetim Sistemi kurması gerekmektedir.

Madde 9 kapsamında düzenlenen bu yükümlülüğün yanında kapsamlı bir Veri Yönetişimi (Data Governance) yapısı da oluşturulmalıdır.

Eğitim, doğrulama ve test veri setlerinin:

• Kullanım amacına uygun olması
• Yeterince temsil edici olması
• Hatalar açısından incelenmesi
• Olası önyargılara karşı değerlendirilmesi

gerekmektedir.

Sistemin nasıl tasarlandığı, nasıl çalıştığı ve hangi mantıkla çıktı ürettiğini açıklayan kapsamlı Teknik Dokümantasyon hazırlanmalıdır.

Ayrıca ulusal otoritelerin denetim gerçekleştirebilmesini ve sistemde meydana gelen değişikliklerin geriye dönük olarak izlenebilmesini sağlayacak ayrıntılı otomatik olay kaydı (logging) mekanizmalarının sisteme entegre edilmesi gerekmektedir.

Teknolojik otonomiye karşı önemli bir güvence olarak sistemlerin etkili İnsan Gözetimine (Human Oversight) uygun şekilde tasarlanması da gereklidir.

Sistem çıktılarının insanlar tarafından anlaşılabilir olması; gerektiğinde yetkili kişilerin sisteme müdahale edebilmesi, çıktıları geçersiz kılabilmesi veya sistemi durdurabilmesi amaçlanmaktadır.

Son olarak, uygulanabilir olduğu ölçüde yüksek riskli sistemlerin piyasaya sunulmadan önce Uygunluk Değerlendirmesi (Conformity Assessment) süreçlerinden geçmesi ve ilgili şartları sağlayarak CE işaretine ilişkin gereklilikleri yerine getirmesi gerekmektedir.

4. Genel Amaçlı Yapay Zeka (GPAI) ve Temel Modeller

EU AI Act’in ilk taslaklarının hazırlandığı dönemin ardından ChatGPT, Claude, Llama ve Gemini gibi büyük dil modelleri ve üretken yapay zeka sistemleri hızla yaygınlaşmıştır.

Avrupa Birliği, bu teknolojilerin etkisini düzenleyebilmek amacıyla “Genel Amaçlı Yapay Zeka” (General-Purpose AI – GPAI) kavramını Tüzüğün V. Bölümüne sonradan entegre etmiştir.

GPAI modelleri; yüksek miktarda veri ve bilgi işlem gücüyle eğitilen, önemli ölçüde genellik sergileyen ve birbirinden farklı çok sayıda görevi yerine getirebilen temel modellerdir.

Tüzük, teknolojik altyapıyı oluşturan GPAI modeli ile bu modelin entegre edilerek son kullanıcıya sunulduğu GPAI sistemlerini birbirinden ayırmaktadır.

Model sağlayıcılarına yönelik özel yükümlülükler, modellerin daha sonra entegre edildiği sistemlerin risk seviyesinden bağımsız olarak 2 Ağustos 2025 itibarıyla uygulanmaya başlamıştır.

Açık kaynaklı modeller de dahil olmak üzere GPAI sağlayıcıları çeşitli temel yükümlülüklere tabi tutulmaktadır.

İlk olarak modelin mimarisi, kullanım amaçları ve sınırlamaları hakkında ayrıntılı teknik dokümantasyon hazırlanmalı ve gerekli bilgiler aşağı yönlü entegratörlerle paylaşılmalıdır.

İkinci olarak, modelin eğitiminde kullanılan veri ve içeriklerin yeterince ayrıntılı bir özeti, Avrupa Komisyonunun belirlediği şablonlara uygun şekilde kamuoyuyla paylaşılmalıdır.

Üçüncü ve hukuki açıdan en tartışmalı alanlardan biri ise AB Telif Hakkı mevzuatına uyumdur.

Model sağlayıcılarının, özellikle metin ve veri madenciliği istisnalarını düzenleyen 2019/790 sayılı Direktif çerçevesindeki yükümlülükleri dikkate alan sağlam bir Telif Hakkı Politikası (Copyright Policy) oluşturması ve uygulaması gerekmektedir.

Modelin hangi ülkede veya bölgede eğitildiği tek başına belirleyici değildir.

Model AB pazarında sunuluyorsa, eğitim süreçlerinin ilgili AB telif hakkı standartlarına uygunluğu da değerlendirme konusu olabilmektedir.

Açık kaynaklı GPAI modelleri bazı teknik dokümantasyon ve şeffaflık yükümlülükleri açısından belirli istisnalardan yararlanabilse de telif hakkına ilişkin yükümlülükler ayrıca dikkate alınmalıdır.

5. Şeffaflık Yükümlülükleri: Madde 50 ve İçerik Şeffaflığı

Kullanıcıların günlük yaşamda yapay zeka sistemleriyle kurduğu ilişkinin niteliğini doğrudan etkileyen düzenlemelerden biri Tüzüğün 50. maddesidir.

Tüzüğün yüksek riskli sistemlere odaklanan birçok hükmünün aksine Madde 50; yapay zeka ile doğrudan etkileşime giren, sentetik içerikle karşılaşan veya duygu tanıma ve biyometrik kategorizasyon sistemlerine maruz kalan kullanıcıların şeffaf şekilde bilgilendirilmesini amaçlamaktadır.

2 Ağustos 2026 itibarıyla uygulanmaya başlayan bu kurallar, özellikle sınırlı risk kapsamındaki sistemler açısından geniş bir etki alanına sahiptir.

Avrupa Komisyonu, hükümlerin uygulamaya aktarılmasına yardımcı olmak amacıyla Mayıs 2026’da Taslak Kılavuzlar yayımlamış; bunun ardından teknoloji şirketleri, sivil toplum kuruluşları ve uzmanların katıldığı müzakereler sonucunda 10 Haziran 2026 tarihinde “Yapay Zeka Tarafından Üretilen İçeriklerin Şeffaflığına İlişkin Uygulama Kodu” yayımlanmıştır.

Madde 50 ve ilgili Uygulama Kodu dört temel senaryoyu düzenlemektedir.

Doğrudan Etkileşim İfşası — Madde 50(1)

Müşteri hizmetleri chatbotları veya sanal asistanlar gibi yapay zeka sistemleri kullanıcılarla doğrudan etkileşime geçtiğinde, sağlayıcıların kullanıcıya bir yapay zeka sistemiyle iletişim kurduğunu açık biçimde bildirmesi gerekmektedir.

Taslak kılavuzlara göre bu bildirim ilk etkileşim anında metin, ses veya görsel ikonlar aracılığıyla yapılabilir.

Yapay zekanın varlığının makul derecede bilgili ve dikkatli bir kişi açısından açıkça anlaşılabilir olduğu durumlarda bir istisna gündeme gelebilmektedir.

Ancak bu istisnanın dar yorumlanması ve özellikle çocuklar veya yaşlılar gibi hedef kullanıcı gruplarının özellikleri dikkate alınarak değerlendirme yapılması öngörülmektedir.

Yapay Zeka Tarafından Üretilen İçeriğin İşaretlenmesi — Madde 50(2)

Sentetik ses, görüntü, video veya metin üreten yapay zeka sistemlerinin çıktılarının, yapay zeka tarafından üretildiğinin veya manipüle edildiğinin tespit edilebilir olmasını sağlayacak teknik yöntemlere sahip olması gerekmektedir.

Bu kapsamda içeriklerin makine tarafından okunabilir formatlarda işaretlenmesine yönelik teknik yükümlülükler bulunmaktadır.

Duygu Tanıma ve Biyometrik Kategorizasyon — Madde 50(3)

Duygu tanıma sistemlerinin belirli işyeri ve eğitim uygulamaları Madde 5 kapsamında yasaklanmış durumdadır.

Bu teknolojilerin hukuken izin verilen diğer alanlarda kullanılması durumunda ise şeffaflık yükümlülükleri devam etmektedir.

Bir kişinin duygularını analiz eden veya biyometrik verileri aracılığıyla onu belirli kategorilere ayıran bir sistem kullanılıyorsa ilgili kişinin bu sistemin kullanımından açık şekilde haberdar edilmesi gerekmektedir.

Deepfake ve Kamu Yararına Yayımlanan Metinler — Madde 50(4)

Madde 50(4), sistemi geliştiren sağlayıcıdan ziyade yapay zeka sistemini kullanarak içerik oluşturan ve yayımlayan kişi veya kurumları, yani deployer’ları da doğrudan ilgilendirmektedir.

Gerçek kişileri, nesneleri veya olayları yapay olarak oluşturan ya da manipüle eden ve gerçekmiş gibi algılanabilecek ses, görüntü veya videoların uygun bir açıklama veya etiketle yapay olarak üretildiğinin belirtilmesi gerekmektedir.

Kamuoyunu bilgilendirmek amacıyla yayımlanan yapay zeka üretimi metinler de, gerekli insan incelemesi veya editoryal denetimden geçmemeleri durumunda belirli şeffaflık gerekliliklerine tabi olabilir.

Sanatsal, hiciv amaçlı veya yaratıcı eserlerde ise açıklamanın eserin kullanım deneyimini ve sanatsal bütünlüğünü gereksiz yere bozmayacak bir yöntemle yapılmasına olanak tanınmaktadır.

6. İdari Yaptırımlar

AB Yapay Zeka Tüzüğü, ciddi regülasyon ihlallerinin maliyetini uyum maliyetinden daha yüksek tutmayı amaçlayan katı bir idari para cezası rejimi öngörmektedir.

Tüzük kapsamında uygulanabilecek para cezaları bazı durumlarda GDPR kapsamında bilinen yüzdesel ceza tavanlarını dahi aşabilmektedir.

Madde 99 kapsamında cezalar, ihlalin türü ve ağırlığına göre farklı seviyelerde belirlenmektedir.

Madde 5 kapsamında kabul edilemez risk kategorisinde bulunan yasaklı yapay zeka uygulamalarına ilişkin ihlallerde para cezası, hangisi daha yüksekse:

• 35 milyon Euro veya
• Şirketin dünya çapındaki toplam yıllık cirosunun %7’si

seviyesine kadar çıkabilmektedir.

Yüksek riskli sistemlere ilişkin yükümlülüklerin yerine getirilmemesi durumunda ise para cezası, hangisi daha yüksekse:

• 15 milyon Euro veya
• Şirketin dünya çapındaki toplam yıllık cirosunun %3’ü

seviyesine ulaşabilmektedir.

Onaylanmış kuruluşlara veya ulusal denetim makamlarına yanlış, eksik veya yanıltıcı bilgi sunulması halinde ise para cezası, hangisi daha yüksekse:

• 7,5 milyon Euro veya
• Şirketin dünya çapındaki toplam yıllık cirosunun %1’i

olarak uygulanabilmektedir.

Denetim mekanizması ulusal otoriteler ile merkezi AB kurumları arasında paylaştırılmaktadır.

Genel Amaçlı Yapay Zeka modelleri ve belirli büyük teknoloji platformları açısından önemli denetim yetkileri, Avrupa Komisyonu bünyesinde kurulan Avrupa Yapay Zeka Ofisi’ne (AI Office) verilmiştir.

AI Office; GPAI yükümlülüklerinin denetlenmesi kapsamında inceleme, yerinde denetim ve gerekli şartlar oluştuğunda pazar erişimini kısıtlamaya kadar uzanabilecek çeşitli denetim yetkilerine sahiptir.

7. Sonuç ve Türkiye’ye Etkileri

EU AI Act, GDPR ile birlikte anılan “Brüksel Etkisi”ne benzer biçimde yalnızca Avrupa Birliği içerisinde yerleşik şirketleri etkileyen bir düzenleme değildir.

Tüzüğün Madde 2 kapsamında düzenlenen sınır aşan etki alanı doğrultusunda:

• Şirket merkezi nerede olursa olsun yapay zeka sistemlerini veya GPAI modellerini AB pazarına sunan sağlayıcılar,
• AB içerisinde yerleşik dağıtıcılar ve kullanıcılar,
• Türkiye, ABD veya Asya gibi AB dışındaki bölgelerde kurulmuş olsalar dahi sistemlerinin çıktıları AB içerisinde kullanılan veya ilgili etkiyi doğuran sağlayıcı ve kullanıcılar

Tüzüğün kapsamına girebilmektedir.

Bu durum Türkiye’deki teknoloji ekosistemini de doğrudan ilgilendirmektedir.

Örneğin Türkiye merkezli bir yazılım şirketi tarafından geliştirilen insan kaynakları profilleme yazılımının Almanya’daki bir şirket tarafından Avrupa’daki adayların değerlendirilmesinde kullanılması halinde, Türk şirketinin sistemi Annex III kapsamında yüksek riskli bir kullanım alanı içerisine girebilir.

Böyle bir durumda şirket; veri yönetişimi, risk yönetimi, teknik dokümantasyon, uygunluk değerlendirmesi ve diğer düzenleyici gerekliliklerle karşı karşıya kalabilir.

Uyum sağlayamayan şirketler açısından ağır idari para cezalarının yanında AB pazarına erişimin zorlaşması da önemli bir ticari risk oluşturmaktadır.

Bu nedenle EU AI Act, yalnızca Avrupa merkezli şirketlerin takip etmesi gereken bir düzenleme olarak görülmemelidir.

Düzenlemenin coğrafi ve maddi kapsamına giren işletmelerin, kullandıkları ve geliştirdikleri yapay zeka sistemlerini, ticari ilişkilerini ve operasyonel süreçlerini bu yeni düzenleyici çerçeve doğrultusunda değerlendirmeleri önem taşımaktadır.

MiCA ve GDPR uyum projelerinin yanı sıra KVKK odaklı yazılım çözümleri geliştiren Legalifi ekibi de EU AI Act’e yönelik çalışmalarını genişletmektedir.

Ulusal ve uluslararası teknoloji düzenlemelerini yakından takip eden multidisipliner bir ekiple çalışmak ve işletmenizin EU AI Act kapsamındaki yükümlülüklerini değerlendirmek isterseniz Legalifi ile iletişime geçebilirsiniz.