AB'de Şirketiniz Yok — Ama Yapay Zekâ Tüzüğü Sizi Bağlıyor Olabilir

Türkiye'de kurulu, Türkiye'de çalışan, Avrupa Birliği'nde tek bir ofisi bulunmayan bir şirket düşünün. Bu şirketin yapay zekâ tüzüğüyle bir ilgisi olmadığı sanılır. Tüzüğün ikinci maddesi bunun tersini söylüyor ve gerekçesinde bunu neden yaptığını da açıkça yazıyor.

İki cümleyle özetlenebilir: AB'ye satıyorsanız kapsamdasınız, satmasanız bile çıktınız Birlik'te kullanılıyorsa yine kapsamdasınız.

Kapsamı kuran iki çengel

Tüzüğün 2. maddesinin birinci fıkrası, hangi kişilere uygulandığını sayıyor. Türk şirketini ilgilendiren iki bent var.

Birincisi (a) bendi: yapay zekâ sistemlerini Birlik'te piyasaya arz eden ya da hizmete sunan, yahut genel amaçlı yapay zekâ modellerini Birlik'te piyasaya arz eden sağlayıcılar — "bu sağlayıcıların Birlik içinde mi yoksa üçüncü bir ülkede mi yerleşik olduğuna bakılmaksızın." Burada bir sürpriz yok; AB'ye ürün satıyorsanız AB kuralına tabisiniz.

Sürpriz (c) bendinde: üçüncü ülkede yerleşik sağlayıcı ve kullanıcılar, "yapay zekâ sisteminin ürettiği çıktının Birlik'te kullanılması hâlinde." Metnin gerekçesi burada maddeden bir nüans farkıyla ayrılıyor ve çıktının Birlik'te kullanılmasının "amaçlanmış olması"ndan söz ediyor; bağlayıcı olan madde metnidir, gerekçe yalnızca yorum aracıdır.

Bu bendin farkı şu: piyasaya arz aramıyor, hizmete sunma aramıyor, sistemin AB'de kullanılmasını bile aramıyor. Sistem Türkiye'de çalışabilir, sunucusu Türkiye'de olabilir, müşteriyle sözleşme Türk hukukuna tabi olabilir. Çıktı Birlik'te kullanılıyorsa yeter.

Yine de bu kapsam mutlak değil. Aynı maddenin altıncı, sekizinci, onuncu ve on ikinci fıkraları sırasıyla yalnız bilimsel araştırma ve geliştirme amacıyla geliştirilen sistemleri, piyasaya arz öncesindeki araştırma, test ve geliştirme faaliyetlerini, gerçek kişilerin tamamen kişisel ve mesleki olmayan kullanımını ve serbest-açık kaynak lisansıyla yayımlanan sistemleri kapsam dışında bırakıyor. Sonuncusunun bir sınırı var: sistem 5. veya 50. madde kapsamına giriyorsa açık kaynak istisnası işlemiyor.

Tüzük bunu neden yaptığını gerekçesinde açıklıyor. 22. gerekçe, Birlik'te yerleşik bir işletmecinin, yüksek riskli sayılacak bir faaliyeti üçüncü ülkedeki bir işletmeciye sözleşmeyle devrettiği hâli tarif ediyor: sistem üçüncü ülkede çalışır, Birlik'ten hukuka uygun toplanmış veriyi işler, çıktıyı Birlik'teki sözleşen tarafa verir — ve sistem hiçbir zaman Birlik'te piyasaya arz edilmemiş olur. Gerekçe amacını iki başlıkta koyuyor: "bu Tüzüğün dolanılmasını önlemek ve Birlik'te bulunan gerçek kişilerin etkin biçimde korunmasını sağlamak."

Dolayısıyla "biz AB'de değiliz" cümlesi tek başına bir savunma değil. Sorulacak soru şu: bizim ürettiğimiz çıktıyı Birlik'te kullanan biri var mı?

Takvim Temmuz 2026'da değişti — ve bu en çok atlanan nokta

Konuyla ilgili birçok metin hâlâ ilk takvimi esas alıyor. Oysa takvim, 8 Temmuz 2026 tarihli (EU) 2026/1744 sayılı Tüzükle — AB Resmî Gazetesi'nde 24 Temmuz 2026'da yayımlandı, 27 Temmuz 2026'da yürürlüğe girdi — fiilen değiştirildi.

Bu tüzük yalnız takvimi değiştirmedi; kapsam, tanım ve yükümlülük maddelerine de dokundu. Ama en görünür sonucu şu: yüksek riskli sistemlere ilişkin yükümlülükler ertelendi. Eskiden 2 Ağustos 2026'da başlayacak olan İstihdam, kredi, eğitim, kolluk gibi alanlardaki yüksek risk yükümlülükleri 2 Aralık 2027'ye; ürüne gömülü yüksek riskli sistemlere ilişkin olanlar ise 2 Ağustos 2028'e taşındı.

Aynı değişiklik, ürüne gömülü sistemler bakımından kapsamı da daralttı: yalnızca kullanıcı desteği, performans iyileştirme, hizmet verimliliği, otomasyon, konfor veya kalite kontrolü gibi güvenlikle ilgisi olmayan işlevler gören sistemler artık "güvenlik bileşeni" sayılmıyor. Bu, AB'ye makine, cihaz ya da ekipman ihraç eden üreticiler için doğrudan lehte bir sonuç doğuruyor. Sınırı da konmuş: arızası veya hatalı çalışması sağlık ve güvenliği tehlikeye atacak sistemler yine güvenlik bileşeni sayılıyor.

Erteleme gerekçesi de metinde yazılı ve dürüst: standartların, ortak spesifikasyonların ve alternatif rehberliğin gecikmesi, bir de ulusal yetkili otoritelerin kurulmasındaki gecikme. Yani kurallar hazırdı, kuralları ölçecek araçlar hazır değildi.

Ama erteleme her şeyi kapsamıyor ve asıl mesele burada.

Şeffaflık yükümlülüğü ertelenmedi — 2 Ağustos'ta başladı

Tüzüğün 50. maddesi ertelenen paketin içinde değil. 2 Ağustos 2026'da uygulanmaya başladı, yani bu satırlar yazıldığında yaklaşık dört haftadır yürürlükte.

Ve 50. madde, tam olarak Türk şirketlerinin en çok yaptığı işi hedefliyor.

Birinci fıkra: gerçek kişilerle doğrudan etkileşmesi amaçlanan sistemler, kişinin bir yapay zekâ ile etkileştiğini bildiği biçimde tasarlanmalı. İstisna dar: makul ölçüde bilgili, dikkatli ve ihtiyatlı bir kişinin bakış açısından bu zaten aşikârsa bildirim gerekmez. Yani sıradan bir müşteri hizmetleri sohbet robotu, çoğu hâlde bu yükümlülüğün kapsamında.

İkinci fıkra: sentetik ses, görüntü, video veya metin üreten sistemlerin çıktıları, makine tarafından okunabilir biçimde işaretlenmeli ve yapay olarak üretildiği tespit edilebilmeli. Bu, görünür bir "yapay zekâ ile üretildi" ibaresinden fazlasını istiyor — teknik çözümün etkili, birlikte çalışabilir, sağlam ve güvenilir olması aranıyor.

Fıkranın kendi içinde bir sınırı var ve uyum bütçesi bakımından belirleyici: yükümlülük, yapay zekâ sistemi standart düzenleme işlevi görüyorsa ya da kullanıcının sağladığı girdiyi esaslı biçimde değiştirmiyorsa, bu ölçüde uygulanmıyor. Yazım denetimi, biçimlendirme ve benzeri yardımcı işlevler bu sınırın içinde kalıyor.

Dördüncü fıkra: derin sahte (deepfake) içerik üreten ya da işleyen bir sistemi kullanan taraf, içeriğin yapay olarak üretildiğini ifşa etmek zorunda. Yükümlülüğün muhatabı sağlayıcı değil, sistemi kullanandır; sağlayıcının bu alandaki yükümlülüğü ikinci fıkradaki makine-okunur işaretlemedir. Sanatsal, yaratıcı, hicivsel veya kurgusal bir eserin parçasıysa yükümlülük hafifliyor: eserin gösterimini engellemeyecek uygun bir biçimde varlığının açıklanması yetiyor.

Aynı fıkranın ikinci paragrafı ayrıca, kamuyu ilgilendiren konularda kamuoyunu bilgilendirmek amacıyla yayımlanan yapay zekâ üretimi metin için de ifşa yükümlülüğü getiriyor — ancak içerik insan incelemesinden veya editoryal denetimden geçmişse ve yayının editoryal sorumluluğunu taşıyan bir kişi varsa bu yükümlülük uygulanmıyor.

Beşinci fıkra zamanlamayı bağlıyor: bilgi, en geç ilk etkileşim veya maruz kalma anında, açık ve ayırt edilebilir biçimde verilmeli.

Bir geçiş hükmü var ve gözden kaçmaya müsait: 2 Ağustos 2026'dan önce piyasaya arz edilmiş üretken sistemlerin sağlayıcıları, işaretleme yükümlülüğüne uyum için 2 Aralık 2026'ya kadar süre alıyor. Yani mevcut bir üründe dört aylık bir pencere var; yeni üründe yok.

Bugün yürürlükte olan üçüncü yükümlülük: okuryazarlık

Şeffaflık ve yasakların yanında, kapsamdaki her işletmeyi risk sınıfından bağımsız olarak bağlayan bir hüküm daha var.

Tüzüğün 4. maddesi, sağlayıcı ve kullanıcıların, sistemleri kendi adlarına işleten personelinin ve diğer kişilerin yapay zekâ okuryazarlığının gelişimini desteklemek için önlem almasını arıyor. Ölçüt esnek: kişilerin teknik bilgisi, deneyimi, eğitimi ve sistemin kullanılacağı bağlam dikkate alınıyor.

Bu madde 2 Şubat 2025'ten beri yürürlükte ve ertelenen paketin içinde değil. Temmuz 2026 değişikliğiyle metni yumuşatıldı — artık belirli bir okuryazarlık düzeyini garanti etme yükümlülüğü olmadığı maddede açıkça yazıyor — ama yükümlülüğün kendisi duruyor.

Yasaklar — ve Aralık 2026'da eklenen iki yeni bent

Tüzüğün 5. maddesi, ertelenmeyen diğer bölüm. 2 Şubat 2025'ten beri yürürlükte ve yaptırımı en ağır olanı bu.

Yasaklananlar arasında bilinçaltı veya kasten aldatıcı tekniklerle davranışı esaslı biçimde çarpıtan sistemler; yaş, engellilik veya sosyoekonomik durum kaynaklı kırılganlığı sömüren sistemler; sosyal puanlama; yalnızca profillemeye dayalı suç işleme riski öngörüsü; internetten veya kamera görüntülerinden hedefsiz yüz kazıma yoluyla veritabanı oluşturma; işyerinde ve eğitim kurumlarında duygu çıkarımı; ve biyometrik veriden ırk, siyasi görüş, din, cinsel yönelim gibi nitelikler çıkaran sınıflandırma var.

İş yerinde duygu çıkarımı yasağı özellikle dikkat çekiyor, çünkü performans izleme yazılımlarının bir kısmı bu sınıra yaklaşıyor. İstisna dar: yalnızca tıbbi veya güvenlik amaçlı kullanımlar.

Temmuz 2026 değişikliğiyle iki yeni bent eklendi: kişinin açık rızası olmadan mahrem görüntüsünü veya cinsel içerikli görüntüsünü üreten ya da manipüle eden sistemler, ve çocukların cinsel istismarı materyali üreten sistemler. Bu iki yasak 2 Aralık 2026'da uygulanmaya başlıyor.

Burada bir uyarı gerekiyor: Komisyon'un duyuru sayfası bu yasakların yürürlükle birlikte uygulanacağını ima eder biçimde okunabiliyor. Bağlayıcı olan, AB Resmî Gazetesi'nde yayımlanan metindir ve o metin 2 Aralık 2026 diyor.

Ceza tavanları

Yaptırım iki bantta toplanıyor ve ikisi de ciro üzerinden hesaplanıyor.

Yasak uygulamalar için tavan 35 milyon avro ya da teşebbüsün dünya çapındaki yıllık toplam cirosunun yüzde yedisi — hangisi yüksekse.

Şeffaflık yükümlülüğü dahil sağlayıcı, ithalatçı, dağıtıcı ve kullanıcı yükümlülüklerinin ihlali için tavan 15 milyon avro ya da cironun yüzde üçü.

Küçük ve orta ölçekli işletmeler ile girişimler için kural tersine çevriliyor: onlarda hangisi düşükse o uygulanıyor.

Genel amaçlı yapay zekâ modeli sağlayıcıları için ayrı bir rejim var; orada cezayı doğrudan Komisyon veriyor ve tavan cironun yüzde üçü ya da 15 milyon avro — hangisi yüksekse.

Yetkili temsilci — yaygın bir yanlış anlama

Sık duyulan bir cümle var: "AB'ye satıyorsanız orada temsilci atamanız gerekir." Bu kısmen doğru ve kısmının nerede bittiği önemli.

Tüzüğün 22. maddesi, yüksek riskli sistemlerini Birlik piyasasında bulundurmadan önce üçüncü ülke sağlayıcılarının yazılı vekâletle Birlik'te yerleşik bir yetkili temsilci atamasını emrediyor. Temsilcinin görevleri de sayılmış: uygunluk beyanının ve teknik dokümantasyonun düzenlendiğini doğrulamak, bunları on yıl boyunca yetkili otoritelerin emrinde tutmak, gerekçeli talep üzerine kayıtlara erişim dahil bilgi ve belge sağlamak, otoritelerle iş birliği yapmak. Temsilci, sağlayıcının yükümlülüklerine aykırı davrandığı kanısına varırsa vekâleti sona erdirmek ve durumu piyasa gözetim otoritesine derhâl bildirmek zorunda.

Genel amaçlı yapay zekâ modeli arz edenler için de benzer bir hüküm var, 54. maddede. Orada açık kaynak lisansıyla yayımlanan modeller için bir istisna bulunuyor — sistemik risk taşımıyorlarsa.

Ama yalnızca 50. madde kapsamında kalan bir sağlayıcı için, yani şeffaflık yükümlülüğüne tabi bir sohbet robotu ya da üretken araç sunan şirket için, Tüzükte yetkili temsilci atama zorunluluğu yok. Bu ayrım, iki farklı yükümlülük rejiminin birbirine karıştırılmasını önlemesi bakımından önem taşıyor.

Sıfat değişebilir

Bir nokta daha, çünkü şirketler kendilerini çoğu zaman "sağlayıcı" değil "kullanıcı" sanıyor.

Tüzüğün 25. maddesi, dağıtıcı, ithalatçı, kullanıcı veya üçüncü bir kişinin üç hâlde sağlayıcı sayılacağını söylüyor: piyasaya arz edilmiş yüksek riskli bir sisteme kendi adını veya markasını koyarsa; sistemde esaslı bir değişiklik yaparsa; ya da yüksek riskli olarak sınıflandırılmamış bir sistemin amacını değiştirerek onu yüksek riskli hâle getirirse.

Üçüncüsü özellikle sinsi. Genel amaçlı bir aracı alıp işe alım sürecinde aday elemeye koşmak, sistemin amacını değiştirir ve Ek III'ün dördüncü başlığına — istihdam ve işçi yönetimi — sokar. O anda şirket kullanıcı olmaktan çıkıp sağlayıcı yükümlülüklerinin muhatabı olur.

Maddenin ikinci fıkrası bu değişimin diğer yarısını düzenliyor: sıfat devredildiğinde ilk sağlayıcı artık o sistemin sağlayıcısı sayılmıyor, buna karşılık yeni sağlayıcıya teknik dokümantasyon ve gerekli erişimi sağlamakla yükümlü kılınıyor — meğer ki sistemin yüksek riskli hâle getirilmemesi gerektiğini açıkça belirtmiş olsun. Sözleşme yapılırken bu kayıt, sonradan doğacak yükümlülüğün kimde kalacağını belirliyor.

Zaten Ek III'ün istihdam başlığı bunu açıkça sayıyor: iş ilanlarının hedefli gösterilmesi, iş başvurularının analiz edilip filtrelenmesi ve adayların değerlendirilmesi. Ayrıca terfi, fesih, görev dağıtımı ve performans izleme de aynı başlık altında.

Bir çıkış kapısı var: 6. maddenin üçüncü fıkrası, Ek III'teki bir sistemin sağlık, güvenlik veya temel haklara önemli zarar riski taşımaması ve dört sayılan hâlden birine girmesi durumunda yüksek riskli sayılmayacağını söylüyor. Ancak aynı fıkra bir de kilit koyuyor: sistem gerçek kişileri profilliyorsa istisna işlemez, her hâlde yüksek risklidir.

Türkiye tarafında ne var, ne yok

Türkiye'de yapay zekâyı yatay biçimde düzenleyen bağlayıcı bir kanun yok; mevzuat taramasında başlığında yapay zekâ geçen bir kanun bulunmuyor. Başlığında bu ibarenin geçtiği düzenlemeler ise yatay değil, kurumsal: Türkiye Sağlık Veri Araştırmaları ve Yapay Zekâ Uygulamaları Enstitüsüne ilişkin yönetmelik ve bir üniversite enstitüsünün kurulmasına dair Cumhurbaşkanı Kararı. Hiçbiri özel sektöre yatay bir yükümlülük getirmiyor.

Türkiye Büyük Millet Meclisi'nde yapay zekâya ilişkin kanun teklifleri bulunuyor — bir çerçeve kanun teklifinin yanında sentetik içeriğin etiketlenmesi, kişisel veriler ve telif hakkı eksenli teklifler — ancak hiçbiri kanunlaşmadı, tamamı komisyon aşamasında.

Yürütme tarafında iki genelge var. 2021 tarihli Ulusal Yapay Zekâ Stratejisi genelgesini, 17 Ağustos 2026'da imzalanan ve 18 Ağustos 2026 tarihli Resmî Gazete'de yayımlanan 2026/9 sayılı Cumhurbaşkanlığı Genelgesi izledi; bu genelgeyle Türkiye Yapay Zekâ Eylem Planı (2026-2030) yürürlüğe kondu.

Burada hukuki niteliği doğru koymak gerekiyor: genelge, kamu kurum ve kuruluşlarına yöneliktir. Özel sektöre doğrudan bir yükümlülük getirmez, bir yaptırım öngörmez. Yani bir Türk şirketi için bugün bağlayıcı olan yapay zekâ kuralları, Türkiye'den değil, hizmet verdiği pazarın hukukundan geliyor.

Mevcut Türk mevzuatında yine de temas noktaları var. Kişisel Verilerin Korunması Kanunu'nun 11. maddesi, ilgili kişiye "işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme" hakkı tanıyor. Tüketicinin Korunması Hakkında Kanun'un 62. maddesi ise haksız ticari uygulamaları yasaklıyor ve ispat yükünü ters çeviriyor: uygulamanın haksız olmadığını, uygulamada bulunan ispatlamak zorunda. Bu iki hüküm, tüzüğün manipülatif sistem yasağı ve şeffaflık yükümlülüğüyle kavramsal olarak örtüşüyor.

Kişisel Verileri Koruma Kurumu da bağlayıcı olmayan ama yön gösterici rehberler yayımladı — üretken yapay zekâ, iş yerlerinde üretken yapay zekâ araçlarının kullanımı ve etken yapay zekâ üzerine.

Bir uyarı: bu Tüzük veri hukukunun yerine geçmiyor

Yazının başında kurulan çerçeve — "çıktı Birlik'te kullanılıyorsa kapsamdasınız" — tanıdık gelmiş olabilir. Gelmelidir, çünkü benzer bir mantık kişisel veri hukukunda zaten var ve orada bugün tam olarak yürürlükte.

Çıktısı Birlik'te kullanılan bir Türk şirketi, çoğu hâlde önce Genel Veri Koruma Tüzüğü'nün ülke dışı uygulamaya ilişkin hükmüyle karşılaşıyor. Değiştirilmiş 2. maddenin yedinci fıkrası da iki rejimin birlikte uygulanacağını açıkça yazıyor: kişisel verilerin korunmasına ilişkin Birlik hukuku, bu Tüzükte düzenlenen hak ve yükümlülüklerle bağlantılı olarak işlenen kişisel verilere uygulanmaya devam ediyor.

Pratikte bunun anlamı şu: yapay zekâ uyumu ile veri koruma uyumu ayrı iki proje değil, aynı projenin iki başlığı.

Toparlarsak

AB Yapay Zekâ Tüzüğü'nün Türk şirketleri bakımından üç pratik sonucu var.

Birincisi, coğrafya belirleyici değil. Kapsamı belirleyen şey nerede kurulu olduğunuz değil, çıktınızın nerede kullanıldığı.

İkincisi, hangi tarihin hangi yükümlülüğe ait olduğu belirleyici. Yüksek riskli sistemlere ilişkin ağır uyum yükü Aralık 2027 ve Ağustos 2028'e ertelendi; ama şeffaflık yükümlülüğü Ağustos 2026'da başladı ve yasaklar Şubat 2025'ten beri yürürlükte. Ertelemeyi duyup rahatlamak, yürürlükteki asıl yükümlülüğü kaçırmak anlamına gelebilir.

Üçüncüsü, sıfat sabit değil. Bugün kullanıcı olan bir şirket, aracın amacını değiştirdiği anda sağlayıcı yükümlülüklerinin muhatabı hâline gelebilir.

Bir teknik not: Tüzüğün resmî Türkçe metni yoktur, çünkü Türkçe Birliğin resmî dillerinden değil. Dolaşımda bulunan bazı Türkçe çeviriler, kabul edilen tüzüğün değil, 2021 tarihli teklifin çevirisidir; ikisi arasında kapsam ve yükümlülük bakımından farklar bulunuyor. Esas alınacak metin, AB Resmî Gazetesi'nde yayımlanan ve değişiklikleri işlenmiş konsolide metindir.

---

Bu yazı genel bilgilendirme amaçlıdır; somut bir uyum projesine ilişkin hukuki görüş niteliği taşımaz. Tüzüğün uygulanma takvimi 2026 yılında değiştirilmiştir ve yeniden değişebilir; her değerlendirme, işlem tarihinde yürürlükte olan konsolide metne göre yapılmalıdır.