Avrupa Birliği Yapay Zeka Tüzüğü Nedir ve Neyi Amaçlar?
Günümüzde yapay zeka teknolojileri, yalnızca teknik bir ilerleme olmanın ötesine geçerek toplumsal, ekonomik ve normatif sistemleri dönüştüren bir paradigma değişimi halini almıştır. Bu hızlı dijital dönüşüm süreci, kurumsal işleyişe yenilikçi çözümler ve verimlilik artışı sağlarken aynı zamanda temel hak ve özgürlükler, veri mahremiyeti ve hukuki sorumluluklar bağlamında ciddi riskleri de beraberinde getirmektedir. Bu riskleri bertaraf etmek ve insan odaklı, güvenilir bir yapay zeka ekosistemi tesis etmek amacıyla Avrupa Birliği, dünya genelinde bu konudaki ilk kapsamlı yasal çerçeve olan 2024/1689 sayılı Yapay Zeka Tüzüğü’nü (“AI Act”, “Yapay Zeka Tüzüğü” veya “Tüzük”) 13.06.2024 tarihinde kabul etmiştir. Her ne kadar Tüzük 2024 yılında yürürlüğe girmiş olsa da kademeli bir geçiş süreci öngörülmüş olup genel kuralları ve yüksek riskli sistemlere ilişkin asli yükümlülükleri 02.08.2026 tarihinde uygulanmaya başlanacaktır.
Söz konusu Tüzük, yapay zeka sistemlerinin pazara sunulması, hizmete alınması ve kullanılmasına ilişkin yeknesak kurallar koyarak iç pazarın işleyişini iyileştirmeyi hedeflerken; aynı zamanda sağlık, güvenlik ve temel hakları yapay zekanın olası zararlı etkilerine karşı yüksek seviyede korumayı amaçlamaktadır. Tüzük, yapay zekanın her alanını kapsayan genel geçer bir yasa olmaktan ziyade, temelinde ürün güvenliği felsefesini barındıran ve risk temelli bir yaklaşım benimseyen bir düzenleme içermektedir. Bu yaklaşım doğrultusunda sistemler; kabul edilemez risk, yüksek risk ve minimum/sınırlı risk olmak üzere farklı kategorilere ayrılmakta ve hukuki yükümlülükler bu derecelendirmeye göre şekillenmektedir.
Hukuki İhtilaflar, İdari Süreçler ve Sözleşmeler Hukukuna Yansımaları
Akdedilen kurumsal sözleşmelerin hazırlanmasından, idari uyum süreçlerinin yönetilmesine kadar geniş bir yelpazede kullanılmaya başlanan yapay zeka araçları, klasik borçlar ve sözleşmeler hukuku prensiplerinin ötesinde karmaşık hukuki ihtilafları beraberinde getirmektedir. Bilhassa yargılamalarda yapay zeka kullanımı, avukatlar ve hukuki profesyoneller için mesleki kariyerleri derinden sarsabilecek ciddi sorumluluk riskleri yaratmaktadır. Örneğin, uyuşmazlıkların çözümünde mahkemelerin, bilirkişiler veya taraflarca kullanılan yapay zeka komutlarının (prompt) ifşasını talep etmesi, adil yargılanma, ticari sırların korunması ve ispat hukuku bağlamında yepyeni tartışma alanları açmaktadır.
Nitekim ABD Alabama Kuzey Bölgesi Federal Mahkemesi Yargıcı tarafından 21.05.2026 tarihinde verilen yaptırım kararı, bu tehlikenin en somut tezahürüdür. Karara konu olayda, mahkemeye ChatGPT kullanılarak hazırlanan sahte içtihatların sunulması ve avukatın bu durumu gizlemek amacıyla sohbet geçmişini silerek delilleri karartması ağır yaptırımlara neden olmuştur. Yargıç, avukatı meslekten men ettiği 34 sayfalık karar metninde, yapay zeka suistimaline karşı mahkemelerin yaklaşımını şu sözlerle alıntılamıştır:
“Bu mahkemenin, söz konusu suistimali tüm gücüyle soruşturmaktan ve kariyerleri derinden sarsacak [career-altering] yaptırımlar uygulamaktan çekineceğine inanan herhangi bir avukat ciddi bir yanılgı içerisindedir.”
Bununla birlikte, 18.05.2026 tarihinde ABD Connecticut Bölge Mahkemesi Yargıcı tarafından Conservation Law Foundation v. Shell Oil Co. davasında verilen bir başka emsal kararda ise, uzman tanıkların (bilirkişilerin) raporlarını hazırlarken kullandıkları yapay zeka komutlarının (prompt) karşı tarafa ifşa edilmesine hükmedilmiştir. Mahkemelerin verdikleri bu kararlar; adil yargılanma, ticari sırların korunması ve ispat hukuku bağlamında yepyeni tartışma alanları açmaktadır. Bu nedenle, teknolojik gelişmelerin dava süreçlerine ve sözleşmelere entegrasyonu, salt bir teknik adaptasyon süreci değil, hukuki strateji ile titizlikle yönetilmesi gereken bir zorunluluktur.
İşbu makalemiz kapsamında; öncelikle AI Act’in getirdiği genel çerçeve, tedarik zincirindeki aktörlere yüklenen asli edimler ve iş yerlerinde “Gölge Yapay Zeka” kullanımından doğan kurumsal riskler ele alınacak; devamında ise bu küresel regülasyonun Türkiye’deki yansımaları, Kişisel Verileri Koruma Kanunu (“KVKK”) ile olan kesişim noktaları ve Türkiye’nin güncel stratejik konumu detaylandırılacaktır.
Yapay Zeka Tüzüğü’nün Risk Temelli Yaklaşımı ve Getirdiği Yükümlülükler
AI Act, teknolojik inovasyonu bütünüyle kısıtlamak yerine, orantılılık ilkesi çerçevesinde yapay zeka sistemlerini barındırdıkları tehlike potansiyellerine göre sınıflandıran risk temelli bir hukuki mimari inşa etmiştir. Bu mimari uyarınca sistemler; kabul edilemez risk, yüksek risk ve minimum/şeffaflık riski olmak üzere kategorize edilmekte ve yaptırımlar bu sınıflandırmaya göre ağırlaşmaktadır.
a. Kabul Edilemez Riskler ve Yasaklanmış Yapay Zeka Uygulamaları
Tüzük, Avrupa Birliği’nin temel değerlerine, insan onuruna ve demokratik hukuk devleti ilkelerine açıkça aykırılık teşkil eden belirli yapay zeka pratiklerini AI Act’in 5. maddesi tahtında kesin olarak yasaklamıştır. Bu mutlak yasak kapsamına giren başlıca hukuka aykırı fiiller şunlardır:
1. Manipülatif ve Aldatıcı Sistemler: Kişilerin yaş, engellilik veya sosyoekonomik durumlarından kaynaklanan zaaflarını istismar eden veya insan bilincini aşan subliminal teknikler kullanarak davranışları maddi olarak çarpıtan sistemlerin piyasaya sürülmesi ve kullanımı yasaktır.
2. Sosyal Puanlama: Gerçek kişilerin sosyal davranışlarına veya kişisel özelliklerine dayalı olarak güvenilirliklerini değerlendiren, puanlayan ve haksız veya orantısız biçimde ayrımcı muameleye yol açan sistemler yasaklanmıştır.
3. Biyometrik Verilerin Hukuka Aykırı Kullanımı: Bireylerin siyasi görüş, sendika üyeliği, dini inanç veya cinsel yönelim gibi özel nitelikli verilerini tespit ve analiz etmek amacıyla kullanılan biyometrik sınıflandırma sistemleri ile internetten veya CCTV kayıtlarından hedefsiz veri kazıması yoluyla yüz tanıma veritabanları oluşturan uygulamalar men edilmiştir.
4. İş Yeri ve Eğitimde Duygu Çıkarımı: Tıbbi veya güvenlik gerekçeleri gibi istisnai haller saklı kalmak kaydıyla, iş yerlerinde ve eğitim kurumlarında gerçek kişilerin duygularını çıkarsamaya yönelik yapay zeka sistemlerinin kullanımı yasak kapsamındadır.
5. Kamusal Alanlarda Gerçek Zamanlı Biyometrik Tanıma: Kolluk kuvvetleri tarafından kamuya açık alanlarda gerçek zamanlı uzaktan biyometrik kimlik tespiti, terör saldırısı tehdidinin önlenmesi veya belirli ağır suçların faillerinin tespiti gibi çok dar ve sıkı yargı iznine tabi istisnai haller dışında yasaklanmıştır.
b. Yüksek Riskli Sistemler ve Sıkı Denetim Rejimi
AI Act’in regülasyon ağırlık merkezini yüksek riskli sistemler oluşturmaktadır. Bir yapay zeka sisteminin yüksek riskli kabul edilebilmesi için AI Act’in Ek-1’inde belirtilen (makine, asansör, tıbbi cihaz vb.) AB uyum mevzuatı kapsamındaki bir ürünün güvenlik bileşeni olması veya Ek-3’te sayılan spesifik kullanım alanlarında faaliyet göstermesi gerekmektedir.
Bilhassa biyometrik tanımlama, su, elektrik, gaz gibi altyapıların yönetimi, eğitim, istihdam, kredi puanlama, sağlık hizmetleri gibi temel özel ve kamu hizmetlerine erişim ile kolluk ve yargı alanlarında kullanılan sistemler kural olarak yüksek riskli addedilmektedir.
Aktörlerin Hukuki Sorumlulukları: Sağlayıcılar ve Yerleştiriciler
Tüzük, klasik tedarik zinciri sorumluluğuna benzer şekilde yapay zeka değer zincirindeki farklı aktörlere asimetrik yükümlülükler yüklemektedir.
a. Sağlayıcıların Yükümlülükleri: Yüksek riskli bir yapay zeka sistemini kendi adı veya ticari markası altında piyasaya süren sağlayıcılar, AI Act’in 16. maddesi uyarınca bir dizi katı idari ve teknik şartı kümülatif olarak yerine getirmekle mükelleftir. Bu kapsamda sağlayıcılar;
- Sistemin tüm yaşam döngüsünü kapsayacak bir Kalite Yönetim Sistemi ve Risk Yönetim Sistemi kurmak zorundadır.
- Sistemin izlenebilirliğini sağlamak adına log altyapısını oluşturmalı ve kapsamlı bir teknik dokümantasyon hazırlamalıdır.
- Sistem piyasaya sürülmeden evvel uygunluk değerlendirmesinden geçirilmeli ve AB veritabanına kayıt edilmelidir.
b. Yerleştiricilerin Yükümlülükleri: Sistemi kendi mesleki faaliyetleri kapsamında kullanan kurum ve şirketler, sistemin kullanım talimatlarına uygun işletilmesini sağlamak ve gerekli yetkinliğe sahip gerçek kişiler eliyle insan denetimi atamakla yükümlüdür. Ayrıca, kamu hizmeti sunan tüzel kişiler ile bankacılık ve sigortacılık gibi alanlarda faaliyet gösteren bazı yerleştiricilerin, sistemi devreye almadan önce “Temel Haklar Etki Değerlendirmesi” yapma zorunluluğu bulunmaktadır. Bu yükümlülük, Avrupa Genel Veri Koruma Tüzüğü (“GDPR”) kapsamında halihazırda yapılan Veri Koruma Etki Değerlendirmesini ikame etmemekte, bilakis onu tamamlayıcı nitelik taşımaktadır.
Şeffaflık Yükümlülükleri ve Genel Amaçlı Yapay Zeka Modelleri
Tüzük, yapay zekanın “black box” yapısını şeffaflaştırmak adına, risk grubundan bağımsız olarak, doğrudan gerçek kişilerle etkileşime giren veya sentetik içerik üreten sistemler için 50. madde kapsamında özel şeffaflık yükümlülükleri ihdas etmiştir. Kişiler, makul düzeyde açık olmadığı sürece bir yapay zeka ile etkileşime girdiklerini bilme hakkını haizdir. Üretilen metin, ses veya görüntülerin yapay zeka tarafından oluşturulduğunun makine tarafından okunabilir bir formatta etiketlenmesi hukuki bir gerekliliktir.
Ayrıca, büyük dil modelleri gibi “Genel Amaçlı Yapay Zeka Modelleri” (General-Purpose AI Models) için Tüzük ikili bir yapı kurgulamıştır. Tüm genel amaçlı modeller için teknik dokümantasyon hazırlama ve telif haklarına uyum politikası geliştirme şartı getirilmişken; yüksek işlem gücüyle eğitilen ve sistemik risk taşıdığı kabul edilen modeller için daha ağır güvenlik, test ve olay bildirimi yükümlülükleri düzenlenmiştir.
Türkiye’nin Konumu ve Mevzuat Kesişimi: KVKK Perspektifi
Avrupa Birliği, Tüzük ile küresel bir standart belirlerken, Türkiye de bu teknolojik dönüşüme entegre olmak adına önemli stratejik adımlar atmaktadır. Türkiye’nin teknolojik vizyonunu yansıtan Ulusal Yapay Zeka Stratejisi 2024-2025 Eylem Planı, yapay zeka uzmanlarını yetiştirmeyi, Ar-Ge ve girişimciliği desteklemeyi, sosyoekonomik uyumu hızlandıracak düzenlemeleri yapmayı ve Merkezi Kamu Veri Alanı kurmayı stratejik öncelikler olarak belirlemiştir.
Her ne kadar Türk hukukunda henüz müstakil bir yapay zeka kanunu bulunmasa da KVKK, yapay zeka sistemleri kapsamında gerçekleştirilen veri işleme faaliyetlerine uygulanacak temel hukuki çerçeveyi sunmaktadır. Yapay zeka süreçlerinin her aşamasında, KVKK’nın 4. maddesinde yer alan genel ilkelere riayet edilmesi zorunludur. İlgili kişinin açık rızasına veya KVKK’daki diğer işleme şartlarına dayanıldığı her senaryoda, 10. madde kapsamındaki aydınlatma yükümlülüğü eksiksiz yerine getirilmelidir. Ayrıca veri sorumluları, 12. madde uyarınca veri güvenliğini sağlamaya yönelik gerekli her türlü teknik ve idari tedbiri almakla mükelleftir.
İş Yerlerinde Üretken Yapay Zeka ve “Gölge Yapay Zeka” (Shadow AI) Riski
Günümüzde e-posta taslaklarının hazırlanması, sözleşme analizleri, toplantı notlarının özetlenmesi ve yazılım kodu oluşturulması gibi rutin iş akışları, büyük ölçüde üçüncü taraflarca sunulan Üretken Yapay Zeka (“ÜYZ”) araçları eliyle yürütülmektedir. Ancak bu araçların, kurumun onayı ve bilişim denetimi olmaksızın çalışanlar tarafından bireysel inisiyatifle kullanılması, “Gölge Yapay Zeka” (Shadow AI) adı verilen tehlikeli bir kurumsal riski doğurmaktadır.
Gölge Yapay Zeka kullanımının kurumlar ve şirketler açısından yarattığı başlıca hukuki ve operasyonel riskler şunlardır:
1. Fikri Mülkiyet ve Ticari Sırların İhlali: Kaynak kodların, sözleşme taslaklarının, iş stratejilerinin veya ticari sır niteliği taşıyan gizli belgelerin harici yapay zeka araçlarına girdi (prompt) olarak sunulması, bu bilgilerin üçüncü tarafların model eğitiminde kullanılmasına ve açığa çıkmasına sebebiyet verebilmektedir.
2. KVKK Riski: Müşteri dosyaları veya insan kaynakları verilerinin onaylanmamış ÜYZ araçlarıyla paylaşılması, hukuka aykırı veri işlemeye ve veri sızıntılarına yol açarak şirketleri ağır idari para cezalarıyla karşı karşıya bırakabilecektir.
3. Karar Kalitesi ve Otomasyon Ön Yargısı: Çalışanların, yapay zeka tarafından üretilen ve gerçeklikle örtüşmeyen ancak mantıklı görünen yanıltıcı çıktılar olarak tanımlanan halüsinasyon içerebilen içerikleri sorgulamadan iş süreçlerine entegre etmesi, kurumsal kararların hatalı olmasına neden olabilmektedir.
4. Denetlenebilirlik ve Hesap Verebilirlik Zafiyeti: Kurumsal kayıt mekanizmalarına tabi olmayan bu kullanımlar sebebiyle, hangi verilerin ne amaçla kullanıldığının tespiti zorlaşmakta, hukuka uyum süreçleri sekteye uğramaktadır.
Sonuç: Kurumlar ve Kuruluşlar Hangi Adımları Atmalıdır?
Yapay zekanın sunduğu verimlilik imkanları karşısında, şirketlerin bu araçların kullanımını bütünüyle yasaklamaya yönelik radikal kararlar alması uygulamada sonuç veremeyebilmekte, bilakis Gölge Yapay Zeka kullanımını el altından teşvik edilebilmektedir. Bunun yerine, şirketlerin atabileceği adımlar aşağıdaki gibidir:
Kurum içi açık bir “Yapay Zeka Kullanım Politikası” ihdas edilmeli; hangi ÜYZ araçlarının, hangi verilerle kullanılabileceği sınırlandırılmalıdır. Çalışanlar, yapay zeka araçlarına komut girerken kişi adları, finansal veriler veya ticari sırlar yerine mutlaka anonimleştirilmiş ve soyut ifadeler kullanmaları yönünde eğitilmelidir. İşlemler veya taslaklar oluşturulurken yapay zeka çıktılarının nihai bir karar olarak kabul edilmemesi, içeriklerin mutlak surette bir insan değerlendirmesinden geçirilmesi zorunlu kılınmalıdır. Nihayetinde, kurumsal teknoloji altyapısı rol temelli erişim kontrolleriyle donatılarak veri güvenliği azami seviyeye çıkarılmalıdır.
Sık Sorulan Sorular (SSS)
Avrupa Birliği Yapay Zeka Tüzüğü (AI Act) Türkiye’deki şirketleri bağlar mı?
Evet. Tüzük, sağlayıcının (provider) veya yerleştiricinin (deployer) konumundan bağımsız olarak, yapay zeka sisteminin AB içerisinde piyasaya sürülmesi durumunda veya sistem AB dışında olsa bile üretilen çıktının AB içerisinde kullanılması halinde Türkiye’deki operatörlere de uygulanacaktır.
Gölge Yapay Zeka nedir?
Kurum veya kuruluş bünyesinde üretken yapay zeka araçlarının, kurumun bilgisi, onayı veya kurumsal bilgi teknolojileri kontrolü dışında, tamamen çalışanların bireysel tercihleriyle iş süreçlerinde kullanılması durumudur.
Şirketler veri ihlallerini önlemek için üretken yapay zeka kullanımını tamamen yasaklamalı mıdır?
Hayır. Yasaklayıcı yaklaşımlar çalışanları kontrol dışı kullanıma iteceği için önerilmemektedir. Bunun yerine, yönlendirme ve farkındalık temelli yaklaşımlar benimsenmeli, kurum içi açık yönergeler oluşturulmalı ve paylaşılan verilerin anonim/genel ifadeler içermesi sağlanmalıdır.
Bir yapay zeka sistemi hangi durumlarda Yüksek Riskli kabul edilir?
Bir sistemin yüksek riskli sayılması için AB uyum mevzuatı kapsamındaki bir ürünün güvenlik bileşeni olması ve üçüncü taraf uygunluk değerlendirmesi gerektirmesi veya AI Act’in Ek-3’ünde yer alan biyometrik tanımlama, işe alım, eğitim, kritik altyapı yönetimi gibi spesifik kullanım alanlarında kullanılması gerekmektedir.
