MiCA, DORA, AI Act ve NIS2: AB Kural Kitabı Start-up’ları ve Küçük Şirketleri Avrupa Dışına Nasıl İtiyor

Geçimimi AB düzenlemelerinden sağlıyorum. Müşteriler bize MiCA, kara para aklamayı önleme kuralları ve Avrupa kural kitabının geri kalanı tek başına yönetilemeyecek kadar zor olduğu için geliyor; biz de bunu onlar adına yönetiyoruz. Bu nedenle, Brüksel yeni bir yasa çıkardığında kaybeden birinin şikâyeti değildir. Aksine, ben kazanıyorum.

Buna rağmen, son birkaç yılda küçük ve orta ölçekli işletmelerin (SMEs) üzerine gelenlere baktığımda Avrupa’nın hata yaptığını düşünüyorum. Sorun, kötü yazılmış tek bir düzenleme değildir. Sorun hepsinin toplamı, AB’nin kendini düzeltme hızı ve faturanın bunu en az ödeyebilen şirketlere çıkmasıdır. Özellikle AI düzenlemesine ilişkin görüşümüz ayrı bir yazıda yer alıyor; bu yazı, tüm kural kitabındaki örüntüyle ilgilidir.

Birbirinin Üstüne Eklenen Katmanlar

AB düzenlemesinin, yaptığı işe bağlı olarak bir Avrupa şirketinden bugün talep ettikleri şunlardır.

• Kişisel veri tutan herkes için GDPR.
• Çevrimiçi platformlar ve pazar yerleri için Digital Services Act ve Digital Markets Act.
• Bağlantılı cihazlar ve bulut sözleşmeleri için Data Act.
• Siber güvenlik ve içinde yazılım bulunan ürünler için NIS2 ve Cyber Resilience Act.
• Kripto varlık hizmetleri için MiCA.
• Bankalar, ödeme ve kripto şirketleri ile onlara hizmet veren IT tedarikçileri için DORA.
• AI sistemleri geliştiren veya bunları işinde kullanan herkes için AI Act.
• AB düzeyinde denetçi AMLA’yı içeren yeni AML Regulation.
• Dijital kimlik cüzdanlarıyla eIDAS 2,0.
• Kripto transferleri (travel rule), kripto vergi verileri (DAC8), sürdürülebilirlik (CSRD) ve tedarik zincirlerine (CSDDD) ilişkin raporlama yükümlülükleri.

Bunların hiçbiri küçük değildir. Her birinin kendi tanımları, formları, denetçisi ve para cezaları vardır. On iki çalışanlı bir fintech aynı anda bunların beş veya altısına tabi olabilir.

Her Yasa Savunulabilir; Yığının Kendisi Değil

Tek tek ele alındığında bu yasaların her biri gerçek bir soruna yanıt verir. Bir kripto borsası çöktüğünde müşteri parası kaybolmamalı, bulut sağlayıcısının kötü bir gecesi yüzünden banka çalışmayı bırakmamalı ve hiç kimse sonucun insan tarafından kontrol edilemediği bir yazılımın kime kredi verileceğine karar vermesini istemez. Bu yasalardan herhangi birine tek başına karşı çıkarsanız kaybedersiniz; olması gerektiği gibi.

Sorun toplamdır; sorun aynı zamanda takvimdir. Komisyon AI Act’i Nisan 2021’de önerdi ve AB bunu 2024’te kabul etti. İşe alım, kredi puanlaması veya eğitimde kullanılan sistemler gibi yüksek riskli AI için temel kuralların 2 Ağustos 2026’da uygulanması gerekiyordu. AB, bu tarihten haftalar önce Temmuz 2026’da AI için Digital Omnibus adlı bir düzeltmeyi kabul etti. Kuralları Aralık 2027’ye, düzenlemeye tabi ürünlere yerleştirilen AI için ise Ağustos 2028’e erteledi. Resmî gerekçe, teknik standartların ve ulusal denetçilerin hazır olmamasıydı. Tekliften beş yıl sonra, yasayı uygulayacak mekanizma mevcut değildi. Ağustos için iki yıl hazırlık yapan şirketler, değişen bir tarih için hazırlanmıştı.

Yavaşlığın pratikteki anlamı budur. Yasalar gelir. Herkes sorunu gördükten iki veya üç yıl sonra, bir başka düzenleme biçiminde düzeltmeler gelir.

Aynı Kurallar Küçük İşletmeye Neden Daha Fazla Mal Olur?

Beni en çok rahatsız eden kısım budur. Uyum maliyeti, şirketin büyüklüğüne neredeyse hiç bağlı değildir. Politika kılavuzu, IT tedarikçileri sicili, olay bildirim prosedürü, dış denetim, lisans başvurusu: 50 veya 5 milyon müşteriye hizmet vermenizden bağımsız olarak bunların maliyeti aşağı yukarı aynıdır.

DORA en açık örnektir. Deloitte’un Mart 2025’te yayımlanan ve 28 Avrupa ülkesindeki finansal kuruluşları kapsayan araştırmasında, katılımcıların yaklaşık üçte ikisi uyum için €2 milyon ile €5 milyon arasında harcama bekliyordu; yalnızca onda biri €2 milyonun altında kalmayı bekliyordu. Büyük bir banka bunu karşılar. Yirmi çalışanlı bir ödeme kuruluşu karşılayamaz; en küçük şirketler için uyum faturası, AB pazarının kendileri açısından değerini aşabilir.

MiCA da sayılarda aynı hikâyeyi anlatıyor. MiCA’dan önce, sektör sayımlarına göre AB genelinde binden fazla şirket ulusal kripto kayıtlarına sahipti. Geçiş dönemi 1 Temmuz 2026’da sona erdi ve Ekim 2026 itibarıyla ESMA sicilinde yaklaşık 370 yetkili sağlayıcı listeleniyordu. Eksik şirketlerin bazıları piyasadan çıkmayı hak ediyordu. Ancak diğerlerinin çoğu küçük, yerel ve yasaldı; iki kuruculu bir borsanın sahip olmadığı danışman, sermaye ve yönetim zamanında altı haneli maliyete yol açan MiCA lisansı (CASP yetkilendirmesi) nedeniyle ayrıldılar. MiCA’nın Avrupa’daki kripto start-up’larına yaptıklarını ayrıca inceledim; burada daha geniş bir örüntünün yalnızca bir örneğidir.

Büyük oyuncular nadiren şikâyet eder. İyi finanse edilmiş yerleşik bir şirket için her yeni düzenleme bir hendektir: uyum ekibi zaten vardır, avukatlarla sürekli sözleşme yapılmıştır ve her yeni kural rekabet etmek isteyenler için giriş bedelini yükseltir. Tüketicileri korumak için yazılan düzenleme, sonunda pazar payını korur.

Kurucular Nereye Gidiyor?

Start-up’lar, bankaların olmadığı şekilde hareketlidir. Fikri ve dizüstü bilgisayarı olan bir kurucu ülkeleri, diğerlerimizin uçuşları karşılaştırdığı gibi karşılaştırır. Apple ve Meta, Digital Markets Act’i ve “öngörülemez” düzenleyici ortamı gerekçe göstererek 2024’te yeni AI özelliklerini AB kullanıcılarına sunmamaya karar verdiğinde manşetler iki dev hakkındaydı. Daha sessiz etki, bu modeller üzerine inşa etmek isteyen ve şimdi beklemek veya taşınmak zorunda kalan her Avrupalı geliştiriciye yansıdı.

Kendi çalışmamda örüntü daha az dramatik ancak aynı derecede süreklidir. Kurucuların sorusu “Estonya’da lisans alabilir miyiz?” iken “Dubai, Singapur veya bir ABD eyaletiyle kıyaslandığında Avrupa lisansı almaya gerçekten değer mi?” sorusuna dönüştü. Birkaç yıl önce ikinci soru nadirdi. Bugün olağandır ve onları bundan her zaman vazgeçiremem.

Rakamlar da aynı şeyi söylüyor. Avrupa Yatırım Bankası’nın Ocak 2026’da yayımlanan bir araştırması, 2008 ile 2021 arasında 1 milyar $ üzeri değerlemeye sahip Avrupa unicorn’larının neredeyse %30’unun merkezlerini AB dışına taşıdığını ortaya koydu. Çoğu Amerika Birleşik Devletleri’ne gitti; dijital teknoloji, AI ve biyoteknoloji başı çekti. Mario Draghi, Eylül 2024 tarihli Avrupa rekabetçiliği raporunda geri kalanını söyledi: düzenleyici yük, inovasyona aşırı kısıtlama getiriyor ve start-up’ların büyümesini zorlaştırıyor. Aradan iki yıl geçmesine rağmen, European Policy Innovation Council bünyesindeki Draghi Observatory’nin sayımına göre izlediği tedbirlerin yalnızca %16’sı tamamen uygulandı. Teşhis kabul ediliyor. Tedavi yavaş ilerliyor.

Tallinn, Brüksel’in Yazdığını Neden Düzeltemez?

Estonya bunu izlemek için iyi bir yerdir. Küçük, dijital ve genel olarak iş dünyası konusunda makuldür. Bu konuda ise neredeyse güçsüzdür.

MiCA, DORA ve AI Act direktif değil, düzenlemedir. Direktif hedef belirler ve her ülkenin kendi yasasını yazmasına izin verir; düzenleme ise her üye devlette kelimesi kelimesine uygulanır ve Tallinn, Vilnius veya Lizbon’daki hiçbir parlamento tek bir maddeyi yumuşatamaz. Ulusal takdir alanı yalnızca tek yönde işler: ülke her zaman Brüksel’den daha katı olabilir, ancak daha hafif olamaz.

Bu nedenle bir kurucu Estonya’nın “bunu hemen düzeltmesi” gerektiğini söylediğinde, düzeltmenin 27 hükümet, bir Komisyon, bir Parlamento ve yıllarla ölçülen bir yasama döngüsünde olduğunu açıklamam gerekir. Komisyon, 2025’in başından bu yana her biri aynı anda birkaç yasayı değiştiren on iki “omnibus” paketi sundu ve görev süresi bitmeden idari yükü en az %25, SMEs için %35 azaltma sözü verdi. İş dünyası birlikleri, sonucun şu ana kadar bu rakamların yanına bile yaklaşmadığını söylüyor. Metinleri okuduğum için onlara inanıyorum.

Avrupa Kendisini De-Risking’e Tabi Tutuyor

Son birkaç yılda bir bankayla muhatap olan herkes de-risking kelimesini bilir. Bir müşteri biraz sıra dışı görünür, onu izleme maliyeti ödediği ücretleri aşar ve hesap kapatılır. Dolandırıcılık yoktur, ihlal yoktur; yalnızca banka için daha ucuz bir karar vardır. Müşteri, genellikle başka bir ülkede, başka bir banka bulmaya gider ve bankanın risk raporu öncekinden daha iyi görünür.

Avrupa Birliği’nin de tüm sektörlere giderek daha fazla aynı şeyi yaptığını düşünüyorum. Kripto riskli görünüyordu; bu nedenle Avrupa MiCA’yı oluşturdu ve ulusal kaydı olan şirketlerin çoğunun ayrılışını izledi. AI riskli görünüyor; bu nedenle Avrupa, karşı çıkabilecek yeterli büyüklükte bir AI endüstrisine sahip olmadan dünyanın ilk kapsamlı AI yasasını yazdı. Her seferinde risk azalıyor ve her seferinde riski taşıyan faaliyet de onunla birlikte azalıyor. Yalnızca önlenen riskleri sayan bilançoda bu başarıdır. Kurulan şirketleri ve yaratılan işleri sayan bilançoda değildir.

Altta daha sessiz bir mekanizma vardır. Çıktısı düzenlemelerle ölçülen kurum, düzenleme üretir. Her düzenleme kılavuzlara, teknik standartlara ve Q&A’lara; ardından bunları uygulayacak bir denetçiye, sonra da kılavuzların bozduğunu onaracak bir omnibus’a ihtiyaç duyar. Her adım, sonraki düzenleme için gerekli olacak personeli ekler. Bu zincirde hiç kimse kötü niyetle hareket etmez. Sürecin durması için yerleşik bir nedeni yoktur ve içindeki hiç kimse hiç kurulmamış start-up’ın bedelini ödemez.

Avrupa’daki Start-up’lar İçin Üç Senaryo

Bunu somutlaştırmak için, Avrupa ekonomisinin start-up tarafının nereye yöneldiğini düşündüğümü açıklayayım. Başlangıç noktası Dealroom verileridir: AB’de her yıl yaklaşık 14.800 start-up kuruluyor, bunların yaklaşık 4.400’ü dış finansman sağlıyor ve AB yaklaşık 450 unicorn’a ev sahipliği yapıyor. Birleşik Krallık dahil Avrupa’nın tamamı, 2023’te küresel girişim sermayesinin rekor %19’unu, 2024’te ise %16’sını alırken Amerika Birleşik Devletleri %57’sini aldı.

İlk senaryoda neden çöküş değil düşüş? Çünkü kural kitabı mevcut şirketleri değil, karar anındaki kurucuları etkiler. Frankfurt’taki banka DORA nedeniyle ayrılmaz. Tartu’daki üç kişilik AI start-up’ı bunun yerine Delaware’de kayıt yaptırır ve geliştiricileri bir süre evde tutar. AB merkezi, vergi tabanını ve çıkışı kaybeder; bordroyu ise bir süre daha elinde tutar.

Üçüncü senaryo neden hayal değil? Çünkü rakamları Avrupa’nın zaten en iyi dönemindeki noktaya yakındır: küresel girişim sermayesindeki %19–20 pay, mevcut kurallar katmanı uygulanmaya başlamadan birkaç yıl önce ulaşılan düzeydir. AB düzenlemesini küçük işletmeleri dikkate alarak yazmak Avrupa’ya tüketici korumasına mal olmazdı. Birkaç taslak paragrafına mal olurdu.

Karşı Tarafın Gerekçesi

Kural kitabının hiç faydası yokmuş gibi davransaydım ciddiye alınmayı hak etmezdim; bu nedenle faydası şudur. Tek bir MiCA lisansı, şirketin 30 AB ve EEA ülkesinin tamamındaki müşterilere hizmet vermesini sağlar; öncesinde kripto şirketi 27 düzenleyiciyle 27 ayrı görüşme yapmak zorundaydı. GDPR, gizlilik yasalarının küresel şablonu oldu. Tek bir AML düzenlemesi, teoride, bir üye devlette kabul edilen müşterinin diğerinde reddedildiği durumu sona erdirmelidir. Uyumlaştırma gerçek bir faydadır ve bundan her gün yararlanıyorum.

Dürüst denge şudur: Avrupa ölçeğinde uyumlaştırma, hız ve en ağır biçimde en küçüklerin üzerine düşen maliyet yapısıyla satın alınır. Avrupa, çoğunlukla varsayılan olarak, hızlı pazar yerine güvenli pazarı tercih etti. Bu meşru bir tercihtir. Ancak bunun, bedeliyle birlikte açıkça yapılması gerektiğini; her omnibus’ta bir kez keşfedilmemesi gerektiğini düşünüyorum.

Avrupa Bunun Yerine Ne Yapmalı?

Görüşüm Avrupa’nın düzenleme yapmayı bırakması gerektiği değildir. Avrupa’nın üç kişilik start-up’ı bankaymış gibi düzenlemeyi bırakması gerektiğidir. Küçük bir ekip uyum departmanı işletemez; bunu sessizce varsayan yasa, güvenlik kuralı değil giriş engelidir. Altı değişiklik zararın çoğunu giderir ve hiçbiri radikal değildir: her birinin AB hukukunda bir yerde zaten emsali vardır.

1. Düzenlemenin içine yazılmış gerçek büyüklük eşikleri. AB’nin küçük işletme tanımının altında (50’den az çalışan ve €10 milyonun altında ciro) ağır yükümlülükler hiç uygulanmamalı veya kısa, sabit bir biçimde uygulanmalıdır. GDPR bunu, 30(5). Madde kapsamındaki kayıt tutma için zaten yapar; 250’den az çalışanı olan kuruluşların çoğunu muaf tutar ve Komisyon 2025’te bu muafiyeti genişletmeyi önerdi. Aynı mantık DORA, NIS2 ve AI Act’te de olmalıdır.
2. Yasa uygulanmadan önce standartlar. Teknik standartlar mevcut olmadan ve her üye devlette en az bir denetçi bunları uygulamaya hazır olmadan hiçbir yükümlülük yürürlüğe girmemelidir. AI Act ertelemesi bunu zor yoldan kanıtladı. Kural yazılı olmalı ki sonraki düzenlemenin onu kurtarmak için omnibus’a ihtiyacı olmasın.
3. Önce sandbox’lar, sonra yaptırım. Yeni bir sektör, tam lisanslama istenmeden önce şirketin düzenleyici gözetiminde faaliyet gösterebileceği denetimli bir test dönemi almalıdır. AI Act bu tür sandbox’lar vaat ediyor, ancak bazı yükümlülüklerden sonraya, Ağustos 2027’ye ertelendiler. Sıralama tersine olmalıdır.
4. Şirket başına tek denetçi. On iki kişilik bir fintech bugün finansal denetçiye, FIU’ya, veri koruma makamına ve yakında bir AI makamına ayrı ayrı yanıt verebilir. Tek bir baş makamın şirketi ele aldığı GDPR’nin tek durak modeli örneği gösterir. Bu model tüm kural kitabına yayılmalıdır.
5. Her düzenlemede sona erme tarihi. Bir düzenleme, maliyetlerinin gerçek incelemesinden sonra yeniden teyit edilmedikçe yürürlükten kalkarsa düzeltme siyasi iyilik değil zorunluluk hâline gelir. Omnibus kurtarma değil, kural olur.
6. Hiç kurulmamış şirketi sayın. Her AB etki değerlendirmesi mevcut işletmelere maliyeti ölçer. Hiçbiri bunun yerine Delaware, Dubai veya Singapur’u seçen start-up’ları ölçmez. Bu sayı masaya gelene kadar, sonraki düzenlemeyi hazırlayanlar bunun maliyetini küçümsemeye devam edecektir.

Bunların hiçbiri, hâlâ kapsamlı federal AI yasası olmayan ve yalnızca eyalet kurallarından oluşan parçalı bir yapıya sahip Amerika Birleşik Devletleri’ni veya şimdiye kadar tek bir AI düzenlemesi kabul etmeyip mevcut düzenleyicilerinden bunun yerine bir dizi ilkeyi uygulamalarını isteyen Birleşik Krallık’ı kopyalamak anlamına gelmez. Bu, bunların Avrupalı kurucunun Avrupa’yı artık kıyasladığı yerler olduğunu kabul etmek demektir. Komisyonun vaat ettiği gibi 48 saatten kısa sürede, €100’den az maliyetle kayıt ve asgari sermaye olmadan Mart 2026’da önerilen tek Avrupa şirket biçimi EU Inc. de eklenirse, Avrupa küçük bir ekibin gerçekten değerlendirebileceği bir teklif sunmuş olur.

Kuruculara Ne Söylüyorum?

Kuruculara tavsiyem sıkıcı derecede pratiktir. Uyum maliyetlerini tek seferlik hukuk ücreti olarak değil, satılan malın maliyetinde bir kalem olarak ele alın. AB ülkenizi düzenleyicisinin kalitesine ve sicilinin hızına göre seçin; çünkü kuralların kendisi her yerde aynı olacaktır. Geçiş pencerelerini ve omnibus ertelemelerini yasayı görmezden gelme izni olarak değil, inşa etmek için zaman olarak kullanın; AI Act’in yüksek risk kuralları iptal edilmedi, ertelendi. İş modeliniz yalnızca AB kural kitabı dışında çalışıyorsa, bunu lisans başvurusundan sonra değil önce erkenden kabul edin.

Kural Kitabına Rağmen Avrupa’da Şirket Kurmak

Avrupa hâlâ şirket işletmek için iyi bir yer ve bunu müşterilere her hafta söylüyorum. Bu yazının amacı kimseyi Estonya’dan veya AB’den vazgeçirmek değildir. Amaç, AB düzenlemesinin gerçek bir maliyet olduğunu ve ilk günden itibaren fiyatlandırılması gerektiğini söylemektir. Doğru yapı, doğru lisans yolu ve AB içindeki doğru ülke artık beş yıl öncesine kıyasla daha büyük fark yaratıyor. Yeni veya mevcut bir şirket için bu seçenekleri değerlendiriyorsanız, Eesti Firma ekibimiz şirket kuruluşundan lisanslamaya kadar, kuralların durumunuz için gerçekte ne anlama geleceğini açıklayabilir.

Talep Gönderin