AB Yapay Zeka Yasası (EU AI Act): Kademeli Yürürlük Takvimi ve Şirketlere Getirdiği Yükümlülükler

Avrupa Birliği'nin yapay zeka düzenlemesi EU AI Act, dünyanın ilk kapsamlı yapay zeka yasası olarak kabul ediliyor. 2024 yazında resmen yürürlüğe giren düzenleme, hükümlerini tek seferde değil, birkaç yıla yayılan kademeli bir takvimle devreye alıyor. Bu yaklaşım hem şirketlere uyum için zaman tanıyor hem de üye ülkelerdeki denetim mekanizmalarının adım adım kurulmasına imkan veriyor. Yasanın etkisi yalnızca Avrupa ile sınırlı değil: çıktısı AB pazarında kullanılan her yapay zeka sistemi, sağlayıcısı hangi ülkede olursa olsun kapsama giriyor.

EU AI Act Neden Bu Kadar Önemli?

Düzenlemenin önemi, yapay zekayı yasaklamaya değil riske göre sınıflandırmaya dayanmasından geliyor. AB, daha önce veri koruma alanında GDPR ile yaşanan senaryonun benzerini hedefliyor: Brüksel'de yazılan kuralların, küresel şirketlerin tüm dünyadaki ürün tasarımını şekillendirmesi. Literatürde "Brüksel etkisi" olarak anılan bu dinamik nedeniyle, AB pazarında faaliyet göstermeyen şirketler bile yasayı yakından takip ediyor.

Yasanın temel mantığı tek cümleyle özetlenebilir: Bir yapay zeka sisteminin yarattığı risk ne kadar yüksekse, ona uygulanan kurallar o kadar sıkıdır.

Risk Temelli Yaklaşım: Dört Kategori

EU AI Act, yapay zeka sistemlerini dört risk seviyesine ayırıyor:

• Kabul edilemez risk: Tamamen yasaklanan uygulamalar.
• Yüksek risk: Sıkı yükümlülüklere tabi sistemler.
• Sınırlı risk: Şeffaflık yükümlülüğü gerektiren sistemler.
• Minimal risk: Herhangi bir ek yükümlülük getirilmeyen sistemler.

Yasaklanan Uygulamalar

Kabul edilemez risk kategorisinde, AB'nin temel değerleriyle bağdaşmadığı düşünülen uygulamalar yer alıyor:

• Kamu otoriteleri tarafından genel amaçlı sosyal puanlama (social scoring) sistemleri
• İnsan davranışını zarar verecek şekilde manipüle eden teknikler
• İşyeri ve eğitim kurumlarında duygu tanıma sistemleri
• İnternetten veya güvenlik kamerası görüntülerinden ayrım gözetmeksizin yüz görseli toplayarak veritabanı oluşturma

Kolluk kuvvetlerinin kamusal alanda gerçek zamanlı biyometrik kimlik tespiti kullanması da, dar tanımlanmış istisnalar dışında yasak kapsamında.

Kademeli Yürürlük Takvimi

Yasanın uygulanması birkaç aşamaya yayılmış durumda:

• Şubat 2025: Yasaklı uygulamalara ilişkin hükümler ve yapay zeka okuryazarlığı yükümlülüğü uygulanmaya başladı.
• Ağustos 2025: Genel amaçlı yapay zeka (GPAI) modellerine ilişkin kurallar, yönetişim yapısı ve ceza hükümleri devreye girdi.
• Ağustos 2026: Yüksek riskli sistemlere ilişkin yükümlülükler dahil olmak üzere hükümlerin büyük bölümü uygulanabilir hale geliyor.
• Ağustos 2027: Halihazırda ayrı ürün güvenliği mevzuatına tabi ürünlere (tıbbi cihazlar, asansörler, oyuncaklar gibi) gömülü yüksek riskli sistemler için geçiş süresi doluyor.

Bu takvim, özellikle kurumsal yazılım üreten şirketler için kritik: 2026 yazına kadar yüksek riskli sistem envanterinin çıkarılması ve uyum süreçlerinin tamamlanması gerekiyor.

Şirketlere Getirilen Yükümlülükler

Yüksek riskli kategoriye giren sistemler — örneğin işe alımda CV eleyen yazılımlar, kredi skorlama araçları, kritik altyapı yönetim sistemleri ve eğitimde sınav değerlendirme uygulamaları — için sağlayıcıların yerine getirmesi gereken başlıca yükümlülükler şunlar:

• Yaşam döngüsü boyunca işletilen bir risk yönetim sistemi kurmak
• Eğitim, doğrulama ve test verileri için veri yönetişimi kriterlerini karşılamak
• Ayrıntılı teknik dokümantasyon hazırlamak ve güncel tutmak
• Sistemin çalışmasını izlenebilir kılan kayıt tutma (logging) mekanizmaları eklemek
• Etkili insan gözetimi imkanı tasarlamak
• Doğruluk, dayanıklılık ve siber güvenlik gereksinimlerini sağlamak

Sınırlı risk kategorisindeki yükümlülükler ise daha hafif: kullanıcı bir sohbet botuyla konuştuğunu bilmeli, yapay zeka ile üretilmiş veya manipüle edilmiş içerikler (deepfake dahil) uygun şekilde işaretlenmeli.

Cezalar ve Yaptırımlar

Ceza rejimi GDPR'dan tanıdık gelen ciro bazlı modeli izliyor. Yasaklı uygulamaların ihlali için üst sınır 35 milyon euro veya küresel yıllık cironun yüzde 7'si; diğer yükümlülük ihlalleri için 15 milyon euro veya cironun yüzde 3'ü; denetim makamlarına yanıltıcı bilgi vermek içinse 7,5 milyon euro veya cironun yüzde 1'i olarak belirlenmiş durumda. Her durumda iki tutardan yüksek olanı esas alınıyor; KOBİ'ler için daha düşük eşikler öngörülmüş.

Türkiye'deki Şirketler İçin Ne Anlama Geliyor?

Yasanın bölge dışı (extraterritorial) etkisi nedeniyle, AB'deki kullanıcılara hizmet veren veya çıktısı AB'de kullanılan sistemler geliştiren Türkiye merkezli şirketler de kapsam dahilinde. Özellikle SaaS ürünü ihraç eden, AB'li kurumsal müşterilere yapay zeka destekli özellik sunan veya Avrupa pazarına açılmayı planlayan girişimlerin şimdiden sistem envanteri çıkarması, risk sınıflandırması yapması ve dokümantasyon altyapısını kurması akıllıca olur. Ayrıca AB mevzuatının zamanla diğer ülkelerdeki düzenlemelere ilham vermesi, geçmişte veri koruma alanında yaşandığı gibi, güçlü bir olasılık.

Sonuç

EU AI Act, yapay zeka alanında küresel kural koyma yarışının ilk büyük hamlesi. Kademeli takvim sayesinde şirketlerin önünde hâlâ hazırlık için zaman var; ancak yüksek riskli sistem yükümlülüklerinin kapsamı düşünüldüğünde bu sürenin sanıldığı kadar bol olmadığı açık. Resmi ayrıntılar için Avrupa Komisyonu'nun yapay zeka düzenleme sayfası takip edilebilir.