EU AI Act (AB Yapay Zeka Yasası)

#yönetişim #düzenleme #etik #ab-politikası

Dünyada kapsamlı yapay zeka düzenlemesi olma özelliğini taşıyan AB mevzuatı; yapay zeka sistemlerini riske dayalı dört kategoriye ayırır ve yüksek riskli uygulamalara zorunlu uyumluluk gereklilikleri getirir.

AB Yapay Zeka Yasası (Regulation EU 2024/1689), 1 Ağustos 2024'te yürürlüğe giren ve dünyada kapsamlı yapay zeka düzenlemesi olma özelliğini taşıyan Avrupa Birliği mevzuatıdır. Yasa, bir risk piramidi kurarak yapay zeka sistemlerini kabul edilemez riskli, yüksek riskli, sınırlı riskli ve minimal riskli olmak üzere dört kategoriye ayırır. Kabul edilemez risk grubunda demokratik değerlere ya da temel haklara ciddi zarar veren uygulamalar yer alır ve bunlar yasaklanmıştır: kamusal alanda gerçek zamanlı biyometrik kimlik tespiti, sosyal puanlama sistemleri, gizli manipülasyon, savunmasız grupları istismar eden sistemler, bireylerin siyasi ve dini inançlarını çıkarsayan profilleme ile işyeri ve okullarda duygu tanıma. Bu yasaklar 2 Şubat 2025'ten itibaren uygulanmaktadır. Yüksek riskli uygulamalar —kritik altyapı, istihdam kararları, eğitim erişimi, ceza yargılaması, biyometrik kategorilendirme ve sağlık— zorunlu teknik belgeleme, insan denetimi, konformite değerlendirmesi ve AB veri tabanına kayıt yükümlülüklerine tabidir. Sınırlı riskli uygulamalar (chatbot, deepfake içerik) şeffaflık zorunluluğuna; minimal riskli uygulamalar ise gönüllü davranış kurallarına tabi tutulmuştur. Genel Amaçlı Yapay Zeka Modelleri (GPAI) için ayrı bir çerçeve oluşturulmuştur. Eğitim hesabı 10²⁵ FLOP'u aşan modeller sistemik risk kapsamına girer; GPT-4, Gemini ve Claude bu eşiği karşılamaktadır. GPAI sağlayıcıları teknik dokümantasyon sunmak, telif hakkı uyumunu sağlamak ve AB Yapay Zeka Ofisi ile iş birliği yapmak zorundadır. Yaptırımlar ağırdır: yasak ihlalleri için 35 milyon Euro veya küresel cironun yüzde yedisi, yüksek riskli ihlaller için 15 milyon Euro veya yüzde üçü, yetkili makamlara yanlış bilgi sunmak için ise 7,5 milyon Euro veya yüzde birbuçuğu öngörülmüştür. KOBİ'lere orantılı eşikler uygulanmaktadır. Türkiye'de faaliyet gösteren ve Avrupa pazarına ürün veya hizmet sunan işletmeler bu yasa kapsamındadır. KVKK uyumluluğunun yanı sıra AB Yapay Zeka Yasası gereklilikleri de Avrupa pazarına erişimin zorunlu koşulu hâline gelmektedir. Hukuk uzmanları, AB üyelik sürecini göz önünde bulundurarak bu düzenlemenin orta vadede Türk iç mevzuatına yansımasını beklemektedir.

AB Yapay Zeka Yasası Nedir?

AB Yapay Zeka Yasası (Regulation EU 2024/1689), 1 Ağustos 2024'te yürürlüğe giren ve dünya genelinde kapsamlı yapay zeka mevzuatı olma özelliğini taşıyan Avrupa Birliği düzenlemesidir. Nisan 2021'de Avrupa Komisyonu tarafından önerilen yasa, yaklaşık üç yıllık yasama sürecinin ardından Haziran 2024'te kabul edildi. Yasa; inovasyonu kısıtlamadan yapay zekanın temel haklara, sağlığa ve demokrasiye verdiği zararları önlemeyi hedeflemektedir. Bunun için her YZ sistemini riske göre değerlendiren kademeli bir yaklaşım benimsemekte; en zararlı uygulamaları yasaklarken, iş ve eğitim gibi kritik alanlardaki yüksek riskli sistemleri sıkı denetim altına almaktadır.

Risk Piramidi: 4 Kategori

  • check_circle Kabul Edilemez Risk — Yasaklı: Temel haklara doğrudan zarar veren uygulamalar. Kamusal alanda gerçek zamanlı biyometrik kimlik tespiti, sosyal puanlama, savunmasız grupları manipüle eden sistemler, siyasi ve dini inançları çıkarsayan profilleme ile işyeri ve okullarda duygu tanıma bu grupta yer alır. 2 Şubat 2025'ten itibaren yasaklanmıştır.
  • check_circle Yüksek Risk — Sıkı Gereklilikler: Kritik altyapı, istihdam kararları, eğitim erişimi, ceza yargılaması ve sağlık gibi alanlar. Bu sistemler teknik belgeleme, risk yönetim sistemi, insan denetimi, doğruluk testi ve AB veri tabanına kayıt gerektirmektedir. Genel uygulama büyük ölçüde Ağustos 2026'dan itibaren başlamaktadır.
  • check_circle Sınırlı Risk — Şeffaflık Yükümlülüğü: Chatbot ve sanal asistan gibi kullanıcıyla etkileşime giren sistemler ile deepfake içerik üretimi. Temel yükümlülük şeffaflıktır: kullanıcıların YZ ile etkileşimde olduğunu bilmesi ve yapay zeka kaynaklı içeriğin açıkça etiketlenmesi gerekmektedir.
  • check_circle Minimal Risk — Gönüllü Kurallar: Spam filtreleri ve öneri motorları gibi gündelik uygulamalar. Bu sistemler yalnızca sektör tarafından geliştirilen gönüllü davranış kurallarına tabi olup herhangi bir yasal zorunluluk taşımamaktadır.

Genel Amaçlı YZ Modelleri (GPAI)

Yasanın en tartışmalı bölümlerinden biri olan GPAI düzenlemeleri, GPT-4, Gemini, Claude ve benzeri büyük dil modellerini kapsamaktadır. Eğitim hesabı 10²⁵ FLOP'u aşan modeller sistemik risk kapsamına alınarak daha sıkı gerekliliklere tabi tutulmaktadır: kapsamlı teknik dokümantasyon, model değerlendirme testleri, siber güvenlik önlemleri, enerji tüketimi raporlaması ve ciddi olayların AB Yapay Zeka Ofisi'ne bildirilmesi bunların başında gelmektedir. Tüm GPAI sağlayıcıları, eğitim verilerinin telif hakkı uyumuna ilişkin özet bilgi sağlamak ve içeriklerini uygun tekniklerle işaretlemek zorundadır. GPAI düzenlemeleri 2 Ağustos 2025'te yürürlüğe girmiştir.

Uygulama Takvimi

  • check_circle 1 Ağustos 2024 — Yürürlüğe Giriş: Yasa resmen yürürlüğe girdi. AB Yapay Zeka Ofisi kuruldu; üye devletler ulusal yetkili makamlarını oluşturmaya başladı.
  • check_circle 2 Şubat 2025 — Yasaklar ve YZ Okuryazarlığı: Kabul edilemez risk kapsamındaki tüm uygulamalar yasaklandı. Sağlayıcılara ve operatörlere yönelik yapay zeka okuryazarlığı yükümlülüğü başladı.
  • check_circle 2 Ağustos 2025 — GPAI Düzenlemeleri: Genel Amaçlı YZ modelleri için gereklilikler yürürlüğe girdi. Sektörel uygulama kuralları ve ulusal yönetişim yapıları tamamlandı.
  • check_circle 2 Ağustos 2026 — Genel Uygulama: Yüksek riskli YZ sistemlerinin büyük çoğunluğu, şeffaflık gereklilikleri ve uyumluluk yükümlülükleri tam olarak uygulanmaya başlayacak.

Türkiye İçin Ne Anlama Gelir?

Yasa, AB'de faaliyet gösteren veya AB pazarına ürün ve hizmet sunan tüm şirketleri coğrafi konum fark etmeksizin kapsamaktadır. Avrupalı müşterilere hizmet veren, Avrupa'daki iş ortaklarıyla çalışan ya da AB'ye yazılım ihraç eden Türk şirketleri için doğrudan uyumluluk yükümlülüğü doğmaktadır. Kişisel Verilerin Korunması Kanunu (KVKK) uyumluluğunun yanı sıra AB Yapay Zeka Yasası gereklilikleri de Avrupa pazarına erişimin koşulu hâline gelmektedir. Hukuk uzmanları, AB üyelik sürecini göz önünde bulundurarak bu düzenlemenin orta vadede Türk iç mevzuatını da şekillendireceğini öngörmektedir; nitekim AB veri koruma çerçevesi zaten KVKK'nın temel başvuru kaynağı olmuştur.

Sık Sorulan Sorular

  • check_circle EU AI Act para cezaları ne kadar? Yasaklanan uygulamalar için 35 milyon Euro veya küresel yıllık cironun yüzde yedisi, yüksek riskli ihlaller için 15 milyon Euro veya yüzde üçü, yetkili makamlara yanlış bilgi sunmak için ise 7,5 milyon Euro veya yüzde birbuçuğu öngörülmektedir. KOBİ'lere orantılı alt eşikler uygulanmaktadır.
  • check_circle ChatGPT ve Claude EU AI Act kapsamında mı? Evet. Bu modeller GPAI kapsamındadır; eğitim hesabı 10²⁵ FLOP eşiğini aştığından sistemik risk kategorisine girmektedir. Sağlayıcıları teknik belgeleme ve AB Yapay Zeka Ofisi ile iş birliği yükümlülüğü taşımaktadır.
  • check_circle Türk şirketleri bu yasaya uymak zorunda mı? AB pazarına ürün veya hizmet sunan ya da AB'de kullanıcıları olan Türk şirketleri bu yasaya uymak zorundadır. AB müşterilere hizmet sunan SaaS, e-ticaret veya yazılım şirketleri en az şeffaflık gerekliliklerini karşılamalıdır.
  • check_circle Yasanın tam uygulama tarihi ne zaman? Genel uygulama 2 Ağustos 2026'da başlamaktadır. Eski AB ürün güvenlik mevzuatı kapsamındaki yüksek riskli sistemler için ek bir geçiş süresi bulunmakta olup bu sistemler Aralık 2027'ye kadar uyum sağlamak zorundadır.