Yapay Zeka Regülasyonu Rehberi: AB Yasası, Uyum Takvimi ve Türkiye

Yapay zeka regülasyonu artık bir gelecek tartışması değil, yürürlükteki bir yükümlülük. Avrupa Birliği Yapay Zeka Yasası’nın yaptırım dönemi 2 Ağustos 2026 itibarıyla başladı; ihlal cezaları küresel cironun yüzde 7’sine kadar çıkabiliyor. Bu rehber, Türkiye’den AB pazarına ürün veya hizmet sunan şirketler için hangi yükümlülüğün ne zaman başladığını, kimin kapsamda olduğunu ve pratikte ne yapılması gerektiğini bir arada topluyor. Sayfa, mevzuat ve dava gelişmelerine göre düzenli olarak güncellenmektedir.

Son güncelleme: 31 Temmuz 2026. Bu içerik bilgilendirme amaçlıdır; hukuki tavsiye niteliği taşımaz. Somut durumunuz için uzman görüşü alınmalıdır.

Kim kapsamda? Türkiye’den bakınca kısa yanıt

Belirleyici olan şirketin nerede kurulu olduğu değil, çıktının nerede kullanıldığı. Merkezi İstanbul’da olan bir şirket, AB’deki bir müşteriye yapay zeka tabanlı hizmet sunuyorsa kapsamdadır. Üç tipik durum:

• Kapsamda: AB’li müşterilere SaaS ürünü satan, ürününde yapay zeka özelliği bulunan Türk yazılım şirketi.
• Kapsamda: AB pazarına yapay zeka destekli bir cihaz veya uygulama sunan üretici.
• Kapsam dışı: Yalnızca Türkiye içinde faaliyet gösteren, çıktısı AB’de kullanılmayan hizmet. (Ancak KVKK yükümlülükleri ayrıca geçerlidir.)

Uyum takvimi: hangi yükümlülük ne zaman?

Ceza tutarları ne kadar?

↑ Başa dön

İdari para cezaları ihlalin ağırlığına göre kademeli:

• Genel amaçlı model yükümlülüklerinin ihlali: 15 milyon avroya veya küresel yıllık cironun yüzde 3’üne kadar (hangisi yüksekse).
• Yasaklı uygulamalar: 35 milyon avroya veya küresel cironun yüzde 7’sine kadar.

Ciro üzerinden hesaplama, küçük şirketler için mutlak tutarın altında kalabilir; ancak büyük gruplarda cezanın tabanı grup cirosudur. Uygulamanın ilk döneminde Komisyon’un doğrudan ağır cezadan çok bilgi talebi ve uyum diyaloğuyla ilerlemesi bekleniyor — fakat yaptırım yetkisinin hukuken devrede olması, pazarlık dengesini düzenleyici lehine değiştiriyor.

Pratik uyum kontrol listesi

1. Kapsam tespiti

Ürününüzün AB’de kullanılıp kullanılmadığını ve yasanın hangi risk kategorisine girdiğini belirleyin. Çoğu iş uygulaması “sınırlı risk” veya “asgari risk” kategorisindedir; sağlık, eğitim, istihdam, kredi değerlendirme ve biyometrik tanıma gibi alanlar “yüksek risk” sayılır.

2. Şeffaflık yükümlülüğü

Kullanıcı bir yapay zeka sistemiyle etkileştiğinde bunu bilmelidir. Sohbet arayüzlerinde, otomatik içerik üretiminde ve sentetik medyada açık bilgilendirme gerekir.

3. Dokümantasyon

Kullandığınız modelin sağlayıcısını, sürümünü ve amacını kayıt altına alın. Model geliştiriyorsanız eğitim verisinin kaynağını ve telif uyum politikanızı belgeleyin.

4. Telif ve veri kaynağı

Eğitim verisinde metin ve veri madenciliği istisnasından yararlanıyorsanız, hak sahiplerinin “çekilme” (opt-out) beyanlarına uyduğunuzu gösterebilmelisiniz.

5. İnsan gözetimi

Yüksek riskli kullanımda kararın insan tarafından denetlenebilir olması gerekir. Tam otomatik karar zincirleri gözden geçirilmelidir.

6. KVKK ile kesişim

Kişisel veri işleyen yapay zeka sistemlerinde AB Yapay Zeka Yasası ile KVKK yükümlülükleri birlikte işler. Aydınlatma metinlerinizin yapay zeka kullanımını kapsadığından emin olun.

Telif davaları: eğitim verisi tartışması nereye gidiyor?

ABD’de görülen davalar, mevzuattan bağımsız olarak sektörün veri politikasını şekillendiriyor. Belirleyici hukuki ayrım şu: mahkeme, telifli kitaplarla model eğitiminin “adil kullanım” kapsamına girebileceğine, ancak korsan kaynaklardan indirilen eserlerin kalıcı olarak depolanmasının bu kapsama girmediğine hükmetti. Bu ayrım, Anthropic’in yazarlarla vardığı ve 20 Temmuz 2026’da onaylanan 1,5 milyar dolarlık uzlaşmanın da temelini oluşturdu — yaklaşık 500 bin eser için eser başına 3 bin dolar ödeme öngörülüyor.

Pratik çıkarım: veri kaynağının lisanslı mı, korsan mı olduğu, eğitimin kendisinden daha belirleyici hale geldi. Model eğiten ekipler için veri kaynağı kaydı tutmak artık teknik bir tercih değil, hukuki bir gereklilik.

Türkiye’de durum ne?

↑ Başa dön

Türkiye’de yapay zekaya özel, AB Yapay Zeka Yasası benzeri bütüncül bir mevzuat henüz yok. Mevcut çerçeve KVKK, 5846 sayılı Fikir ve Sanat Eserleri Kanunu ve sektörel düzenlemeler üzerinden işliyor. 2026-2030 Yapay Zeka Eylem Planı düzenleyici çerçevenin geliştirilmesini hedefler arasında sayıyor. Bu nedenle Türkiye’de faaliyet gösteren şirketler için pratik durum şu: iç pazarda KVKK, AB pazarında Yapay Zeka Yasası belirleyici oluyor.

Bu konudaki güncel haberlerimiz

• AB Yapay Zeka Yasası'nda Kritik Eşik: 2 Ağustos 2026'da Yaptırımlar Başlıyor, Anthropic'in 1,5 Milyar Dolarlık Uzlaşması Onaylandı
• Yapay Zekayı Yapanlardan Fren Çağrısı: OpenAI, Anthropic, Google ve Meta'dan 1.100 Çalışan Açık Mektup İmzaladı
• Türkiye'nin Yapay Zeka Atılımı: 2026-2030 Eylem Planı, Yerli Dil Modelleri ve Girişimlere 5 Milyon TL'ye Kadar Kredi

Regülasyon gündemindeki gelişmeleri bu konudaki yazımız kategorimizden takip edebilirsiniz.

Sıkça Sorulan Sorular

Küçük bir yazılım şirketi de kapsamda mı?

Şirket büyüklüğü tek başına muafiyet sağlamıyor; belirleyici olan ürünün risk kategorisi ve AB’de kullanılıp kullanılmadığı. Ancak yükümlülüklerin ağırlığı risk kategorisine göre değişiyor — asgari riskli uygulamalarda yük belirgin biçimde hafif.

Hazır bir model (ör. GPT, Claude, Gemini) kullanıyorsam sorumlu kim?

Model sağlayıcısının kendi yükümlülükleri ayrıdır; sizin sorumluluğunuz o modeli hangi amaçla ve nasıl kullandığınızla ilgilidir. Yüksek riskli bir alanda kullanıyorsanız, sistemi devreye alan taraf olarak size düşen yükümlülükler doğar.

Uyum için nereden başlamalıyım?

Envanterden: hangi süreçlerinizde yapay zeka kullanıldığını, hangi modelin hangi veriyle çalıştığını ve çıktının kimi etkilediğini listeleyin. Kapsam ve risk tespiti bu envanter olmadan yapılamaz.