AB Yapay Zekâ Yasası 2 Ağustos 2026'da neyi değiştiriyor? Türkiye'deki ekipler için uygulama rehberi

2 Ağustos 2026 neden önemli?

2 Ağustos 2026, Avrupa Birliği Yapay Zekâ Yasası'nın bir gecede yürürlüğe girdiği tarih değil. Tüzük 1 Ağustos 2024'te yürürlüğe girdi; yasaklı uygulamalar ile yapay zekâ okuryazarlığı yükümlülükleri 2 Şubat 2025'te, genel amaçlı yapay zekâ modeli sağlayıcılarına ilişkin kuralların önemli bölümü ise 2 Ağustos 2025'te uygulanmaya başladı. 2026 eşiği, bu kademeli yapının geniş bir bölümünü günlük ürün ve hizmet süreçlerine taşıyor.

2 Ağustos, başlangıç çizgisinden çok üçüncü büyük eşik.

Türkiye'deki ekipler açısından en görünür değişim şeffaflıkta. Bir insanın yapay zekâ ile konuştuğunun açıklanması, sentetik içeriğin teknik olarak işaretlenmesi, derin sahte görüntü veya sesin belirtilmesi ve kamu yararına ilişkin bazı metinlerde üretim biçiminin açıklanması artık yalnız iyi uygulama sayılmıyor. Tüzüğün 50. maddesi kapsamına giren durumlarda bunlar hukuki yükümlülük. Bu metin bir hukuk görüşü değil; ürün, içerik, güvenlik ve hukuk ekiplerinin aynı envanter üzerinde çalışabilmesi için hazırlanmış bir uygulama çerçevesi.

Türkiye'de kurulmuş olmak kapsam dışında kalmak demek değil

Tüzüğün 2. maddesi yalnız AB içinde kurulmuş şirketlere bakmıyor. Bir sağlayıcı, yapay zekâ sistemini veya genel amaçlı yapay zekâ modelini Birlik pazarına sunuyorsa merkezinin İstanbul, Ankara ya da başka bir üçüncü ülkede olması tek başına istisna yaratmıyor. Benzer biçimde, AB dışında bulunan bir sağlayıcı veya konuşlandıranın sistemi tarafından üretilen çıktı Birlik içinde kullanılıyorsa sınır ötesi kapsam gündeme gelebiliyor.

Somut örnek daha açıklayıcıdır. Türkiye'deki bir girişim, kendi markasıyla çalışan müşteri hizmetleri botunu Almanya'daki perakendecilere sunuyorsa sağlayıcı rolünü incelemelidir. Türkiye'de geliştirilen bir işe alım aracının puanları Fransa'daki adaylar hakkında kullanılıyorsa yalnız sunucunun nerede bulunduğuna bakmak yetmez. Buna karşılık bir ekip, piyasadaki bir modeli yalnız kurum içi ve AB ile bağlantısız bir işte kullanıyorsa aynı sonuca otomatik olarak varılamaz. İlk iş coğrafya tahmini yapmak değil; ürünün kime sunulduğunu, çıktının nerede kullanıldığını ve sistem üzerinde kimin adının bulunduğunu belgelemektir.

Önce rolü belirleyin: sağlayıcı mısınız, konuşlandıran mı?

Uyum çalışmasının en sık atlanan sorusu, sistemin risk sınıfından önce gelir: Bu zincirde hangi rolü üstleniyorsunuz? Kendi adı veya ticari markası altında bir yapay zekâ sistemi geliştiren ya da geliştirtip piyasaya sunan şirket sağlayıcı olabilir. Bir sistemi mesleki faaliyetinde kendi yetkisi altında kullanan kuruluş ise çoğu durumda konuşlandıran konumundadır. İthalatçı, dağıtıcı, ürün üreticisi ve AB dışında yerleşik sağlayıcının yetkili temsilcisi için de ayrı sorumluluklar bulunur.

Bulut üzerinden bir modele API çağrısı yapmak rolü tek başına çözmez. Modeli olduğu gibi kullanan bir içerik ekibiyle, aynı modeli kendi markalı karar ürününün içine yerleştirip müşteriye sunan yazılım şirketinin yükümlülükleri aynı olmayabilir. Ürünün adı, sözleşmedeki sorumluluk dağılımı, kullanım amacı, yapılan değişiklik ve son kullanıcıyla kurulan ilişki birlikte okunmalı. Bu yüzden envanterde model adının yanına dört sütun daha ekleyin: sistemin sahibi, kullanım amacı, hedef pazar ve şirketin muhtemel rolü. Belirsiz satırlar hukuk incelemesine gidecek gerçek iş listesidir.

İnsan, karşısında bir yapay zekâ olduğunu ne zaman bilmeli?

Doğrudan insanlarla etkileşim için tasarlanan bir yapay zekâ sisteminin sağlayıcısı, ilgili kişiye bir yapay zekâ sistemiyle etkileşim kurduğunu bildirecek tasarımı kurmak zorunda. Makul ölçüde bilgili ve dikkatli bir kişinin bağlamdan bunu açıkça anlayabildiği hâller istisna olabilir; ancak ürün ekiplerinin bütün planını bu yoruma dayandırması gereksiz risk yaratır. Açıklama, en geç ilk etkileşim veya ilk maruz kalma anında, açık ve ayırt edilebilir biçimde sunulmalı; erişilebilirlik gerekleri de korunmalı.

Pratik karşılığı basit bir dipnot değildir. Sohbet penceresi, sesli asistan, otomatik müşteri temsilcisi ve yapay zekâ destekli başvuru akışı ayrı ayrı test edilmeli. Kullanıcı, konuşmanın ortasında küçük puntolu bir metne rastlamak yerine daha ilk adımda sistemi tanımalı. Tasarım kaydında açıklamanın metni, ekrandaki yeri, dili, sesli kanaldaki karşılığı ve hangi sürümde yayımlandığı bulunmalı. Türkiye'den çok dilli ürün sunan ekip için bu, çeviri dosyasına yeni bir cümle eklemekten ibaret değildir; her pazar ve temas noktası için kanıt üretme işidir.

Sentetik içerikte görünür etiket kadar teknik iz de gerekiyor

Metin, ses, görüntü veya video üreten sistemlerin sağlayıcıları bakımından 50. madde ikinci bir katman kuruyor. Çıktının makinece okunabilir biçimde işaretlenmesi ve yapay olarak üretildiğinin ya da değiştirildiğinin tespit edilebilir olması gerekiyor. Kullanılan teknik çözümün, teknik olarak mümkün olduğu ölçüde etkili, birlikte çalışabilir, dayanıklı ve güvenilir olması bekleniyor. Yalnız görselin köşesine “AI” yazmak bu teknik yükü tek başına karşılamayabilir.

Görünür etiket ile dosyanın teknik izi aynı şey değildir.

Burada sağlayıcı ile içeriği yayımlayan ekip arasındaki zincir önem kazanır. Dışarıdan alınan model veya üretim aracı gerekli köken bilgisini üretiyor mu? Dosya yeniden boyutlandırıldığında, video kurgulandığında ya da sosyal platforma yüklendiğinde işaret korunuyor mu? API yanıtı, dışa aktarma biçimi ve içerik yönetim sistemi bu bilgiyi taşıyor mu? Standart düzenlemeye yardımcı olan ve girdinin anlamını esaslı biçimde değiştirmeyen bazı işlevler için istisna var; fakat bir özelliği “sadece editör” diye adlandırmak yetmez. Gerçekte neyi değiştirdiğini teknik test ve ürün dokümanı göstermeli.

Derin sahte içerik ve kamu yararına ilişkin metin aynı kural değil

Konuşlandıranlar açısından iki ayrı açıklama alanını birbirine karıştırmamak gerekir. Bir sistem, gerçek bir kişi, nesne, yer veya olayı sahiciymiş izlenimi verecek biçimde taklit eden görüntü, ses ya da video üretiyor veya değiştiriyorsa derin sahte içeriğin yapay niteliği açıklanmalı. Açıkça sanatsal, yaratıcı, hicivli veya kurmaca eserlerde açıklamanın eseri izlemeyi bozmayacak uygun bir biçimde yapılmasına imkân tanınıyor. İstisna, açıklamayı tümüyle yok sayma izni değil.

İkinci alan metin yayıncılığı. Kamu yararını ilgilendiren konularda toplumu bilgilendirmek amacıyla yayımlanan yapay zekâ üretimi veya yapay zekâ ile değiştirilmiş metinlerde açıklama yükümlülüğü doğabilir. İnsan incelemesi ya da editoryal kontrol yapılmış ve gerçek veya tüzel bir kişi yayın için editoryal sorumluluğu üstlenmişse tüzük bir istisna öngörüyor. Bu nedenle “editör baktı” kutusu yerine kim tarafından, hangi kaynaklarla, ne ölçüde ve hangi sürüm üzerinde inceleme yapıldığını kaydetmek gerekir. Editoryal sorumluluk, imzasız bir otomasyonun sonuna eklenen biçimsel onay değildir.

Şeffaflık uygulama kodu gönüllü, 50. madde değil

Avrupa Komisyonu'nun Yapay Zekâ Ofisi kolaylaştırıcılığında hazırlanan Yapay Zekâ Üretimi İçeriğin Şeffaflığına İlişkin Uygulama Kodu Haziran 2026'da yayımlandı. Kod; sağlayıcılar için makinece okunabilir işaretleme, konuşlandıranlar için derin sahte içerik ve belirli metin yayınlarında açıklama düzenini somutlaştırıyor. Komisyon ile Yapay Zekâ Kurulu, kodu yükümlülüklere uyumu göstermeye elverişli gönüllü bir araç olarak değerlendirdi.

İmzalamamak tek başına ihlal sayılmıyor. Fakat 2 Ağustos 2026'dan sonra kapsam içindeki kuruluş, uyumu başka ve yeterli yöntemlerle gösterebilmeli. Resmî soru-cevap metni, imzalamayanlardan daha ayrıntılı bilgi istenebileceğini ve kendi tedbirleriyle kod arasındaki fark analizinin gerekebileceğini belirtiyor. Karar bu nedenle yalnız hukuk biriminin imza tercihi değildir. Mühendislik, tasarım ve içerik ekipleri kodun taahhütlerini mevcut sisteme karşı ölçmeli; imza atılmayacaksa eşdeğer kanıt paketinin sahibi ve saklama süresi önceden belirlenmeli.

Genel amaçlı model kullanmak ile model sağlayıcısı olmak farklı

Genel amaçlı yapay zekâ modellerine ilişkin temel sağlayıcı yükümlülükleri 2 Ağustos 2025'ten beri uygulanıyor. Bu alandaki uygulama kodu da şeffaflık ve telif hakkı bölümleriyle tüm genel amaçlı model sağlayıcılarına; emniyet ve güvenlik bölümüyle sistemik risk taşıyan en gelişmiş modellerin sağlayıcılarına bir uyum yolu sunuyor. Kod gönüllü olsa da arkasındaki tüzük yükümlülükleri gönüllü değil.

Türkiye'deki her ürün ekibi, popüler bir modele API üzerinden bağlandığı için genel amaçlı model sağlayıcısı hâline gelmez. Yine de kullandığı modelin sağlayıcısını, sürümünü, sözleşmesini, veri politikasını ve üretilen içeriğe aktarılan teknik işaretleri bilmek zorunda kalabilir. Kendi modelini AB pazarına sunan, başka bir modeli esaslı biçimde değiştirip kendi adı altında dağıtan veya model katmanındaki sorumluluğu sözleşmeyle üstlenen ekip için değerlendirme farklılaşır. Uygulama envanteriyle model envanterini ayırmak bu yüzden yararlıdır: biri ürünün kullanıcıya ne yaptığını, diğeri temel modelin nereden geldiğini gösterir.

Yüksek risk takviminde eski ve yeni tarihleri karıştırmayın

2 Ağustos 2026 anlatılırken en kolay yapılan hata, bütün yüksek risk yükümlülüklerinin aynı gün ve değişmeden uygulanacağını söylemek. EUR-Lex'teki 2024/1689 sayılı tüzüğün yayımlanmış metni genel uygulama tarihi ile ürünlere gömülü belirli yüksek risk sistemleri için farklı geçiş tarihleri içeriyor. Daha sonra hazırlanan AI Omnibus paketi bu takvimi değiştirmeyi hedefledi. Komisyonun 7 Temmuz 2026 güncellemeli sayfası, eş yasama organlarının 7 Mayıs 2026'da vardığı siyasi anlaşmada Ek III kapsamındaki belirli alanlar için 2 Aralık 2027'yi, düzenlenmiş ürünlere gömülü sistemler için 2 Ağustos 2028'i gösteriyor.

Siyasi anlaşma güçlü bir yön işaretidir; yine de ekiplerin bağlayıcı son değişiklik metninin kabulünü ve Resmî Gazete'de yayımlanmasını kontrol etmeden sözleşme veya ürün planına kesin tarih yazması doğru olmaz. Aynı ihtiyat, 2 Ağustos 2026'dan önce piyasaya sunulmuş üretken sistemlerin teknik işaretleme yükümlülüğü için önerilen 2 Aralık 2026 geçişine de uygulanmalı. Komisyonun soru-cevap sayfası bu imkânı açıkça “kabul edilirse” koşuluyla anlatıyor. Bugünkü plan, henüz tamamlanmamış bir değişikliğe güvenerek uyumu ertelememeli.

Otuz günlük uygulama planı: envanterden kanıta

İlk hafta, kurumda kullanılan ve müşteriye sunulan yapay zekâ sistemlerini tek listede toplayın. Satın alınan SaaS araçları, geliştirici API'leri, kurum içi yardımcılar, müşteri botları ve içerik üretim akışları bu listeye dâhil olsun. Her kayıt için amaç, kullanıcı grubu, çıktı türü, kullanım ülkesi, sağlayıcı, muhtemel kurumsal rol ve sorumlu ekip yazılmalı. “Deneme” etiketi, gerçek kullanıcıya veya gerçek iş kararına temas eden sistemi listeden çıkarmasın.

İkinci hafta kapsam ve risk incelemesi; üçüncü hafta ürün değişiklikleri için ayrılabilir. İlk etkileşim açıklamalarını yerleştirin, sentetik içerik işaretinin uçtan uca korunmasını sınayın, derin sahte ve kamu yararına ilişkin yayınlar için etiket akışını kurun. Dördüncü hafta kanıt paketini tamamlayın: ekran görüntüsü, sürüm kaydı, teknik test, tedarikçi beyanı, editoryal kontrol kaydı, sorumlu kişi ve olay müdahale yolu. Ayrıca 2025'ten beri yürürlükte olan yapay zekâ okuryazarlığı yükümlülüğünü unutmayın. Eğitim, herkese aynı sunumu izletmek değil; kişinin teknik bilgisi, görevi ve sistemin etki alanına göre yeterlilik kurmaktır.

Satın alma ve sözleşme masasında sorulacak sorular

Uyum açığının önemli bir bölümü kod deposunda değil, tedarikçi sözleşmesinde saklıdır. Üretken sistem makinece okunabilir işareti hangi formatta üretiyor? Bu işaret API, indirme ve düzenleme sonrasında korunuyor mu? Sağlayıcı model veya güvenlik politikasını değiştirdiğinde müşteriye haber veriyor mu? Denetim için hangi teknik belgeyi, ne kadar süreyle sunuyor? Alt sağlayıcılar ve model sürümleri görülebiliyor mu? Bir olay yaşandığında kayıt ve destek hangi sürede erişilebilir? Bu soruların cevabı satış sunumunda değil, doğrulanabilir teknik belgede aranmalı.

Sözleşme, mevzuat kapsamını sihirli biçimde başka şirkete devredemez. Yine de sorumluluk paylaşımını, bilgi akışını ve değişiklik bildirimini açıklığa kavuşturur. AB müşterisine beyaz etiketli ürün veren Türkiye merkezli bir şirket için özellikle marka kullanımı, amaç belirleme, model üzerinde yapılan değişiklikler ve son kullanıcı açıklamasını kimin yönettiği yazılı olmalı. Tedarikçi “AI Act uyumlu” diyorsa bunun hangi rol, madde, ürün sürümü ve kullanım senaryosu için söylendiğini sorun. Tek cümlelik uygunluk beyanı, dosyalanabilir kanıt değildir.

Son kontrol: tarih değil, sürdürülebilir bir kayıt düzeni

2 Ağustos sabahı siteye bir rozet ekleyip dosyayı kapatmak, tüzüğün istediği şeffaflığı karşılayan kalıcı bir yöntem sayılmaz. Sistemler güncellenir, model sağlayıcıları değişir, yeni diller açılır ve bir iç araç müşteri ürününe dönüşür. Envanterin ürün yaşam döngüsüne bağlanması gerekir. Yeni özellik incelemesi, tedarikçi değişikliği, model sürümü ve içerik yayın akışı aynı kontrol noktasından geçmeli. Kanıtın tarihi ile geçerli olduğu sürüm de birlikte tutulmalı.

Türkiye'deki ekip için uygulanabilir hedef şudur: AB bağlantısı olan her yapay zekâ sistemi için rolü açıklayabilmek, ilk kullanıcı temasındaki şeffaflığı gösterebilmek, sentetik içeriğin teknik ve görünür izini koruyabilmek, insan denetimini gerçekten belgelemek ve değişen mevzuat takvimini resmî metinden izlemek. Kapsam veya rol tartışmalıysa uzman hukuk görüşü alınmalı. Bu rehber o görüşün yerini tutmaz; doğru soruların mühendislik, ürün, içerik ve hukuk masasına aynı anda gelmesini sağlar.