AB Yapay Zekâ Tüzüğü İşletmenize Uygulanır mı? Yükümlülükler

AB Yapay Zekâ Tüzüğü hakkındaki rehberlerin çoğu AI geliştiren şirketler için yazılmıştır. Bu rehber diğer herkes içindir: sohbet botu kullanan çevrim içi mağaza, ChatGPT ile metin hazırlayan ajans, ürününe AI özelliği ekleyen yazılım şirketi ve Avrupalı müşterilere satış yapan AB dışı işletme. Düzenlemenin ana uygulama tarihi artık geçti ve son dakika değişikliğiyle tablo netleşti. Yapay Zekâ Tüzüğünün sıradan bir işletmeden gerçekte ne talep ettiğini burada bulabilirsiniz.

Yapay Zekâ Tüzüğü Nedir ve Neden Önemlidir?

Resmî adıyla Tüzük (AB) 2024/1689 olan AI Act, dünyanın ilk kapsamlı AI yasasıdır (güncel konsolide metin EUR-Lex’tedir). Bir AB tüzüğü olarak ulusal aktarıma gerek olmaksızın her üye devlette doğrudan uygulanır. AI düzenlemesi risk temelli bir mantık üzerine kuruludur: bir AI sisteminin kişilerin güvenliği veya temel hakları üzerindeki potansiyel etkisi büyüdükçe, sistemi geliştirenler ve kullananlar için yükümlülükler de sıkılaşır.

AI Dijital Omnibus’u (Tüzük (AB) 2026/1744), Tüzüğü ana uygulama tarihinden kısa süre önce değiştirdi. Yüksek riskli sistemler için süreleri erteledi, iki yeni yasaklı uygulama ekledi, yüksek risk tanımının bir bölümünü daralttı ve küçük şirketlerin evrak işini azalttı. Dört risk seviyesi ve role dayalı yükümlülüklerden oluşan yapı değişmedi.

AB AI Act Kimlere Uygulanır? Dört Soruluk Kontrol

1. Araç bir “AI sistemi” mi? Sabit, insan tarafından tanımlanmış adımları olan kural tabanlı algoritma değildir. Belirleyici unsur çıkarımdır: sistem, açıkça programlanmamış biçimlerde verilerden tahmin, öneri, karar veya içerik üretir. Sohbet botları, üretken araçlar, puanlama ve öneri motorları bu kapsamdadır; e-tablo formülü değildir.

2. Profesyonel amaçla mı kullanılıyor? Özel ve profesyonel olmayan kullanım kapsam dışıdır. Bir çalışan bir aracı şirket adına kullandığı anda şirket kapsama girer.

3. AB ile bağlantısı var mı? AI sistemi AB pazarına sunuluyorsa, AB’de kullanılıyorsa veya çıktıları AB’de kullanılıyorsa Tüzük uygulanır. Birlik dışındaki ancak AB müşterilerine hizmet veren şirket de kapsamdadır. Küçük işletmeler veya start-up’lar için istisna yoktur; AI Act yükümlülükleri çalışan sayısına değil, riske göre ölçeklenir.

4. Sistemi siz mi geliştirdiniz, yoksa kullanıyor musunuz? Bu, rolünüzü; rolünüz de yükümlülüklerinizi belirler.

Çoğu işletme AI Act kapsamında kullanıcıdır. ChatGPT, Copilot veya tedarikçi sohbet botu kullanmanız sizi sağlayıcı yapmaz; ancak aşağıda açıklanan yükümlülükleri olan bir kullanıcı yapar. İstemeden sağlayıcı da olabilirsiniz: bir sistemi esaslı biçimde değiştirir, kendi ürününüze entegre eder veya kendi markanız altında pazarlarsanız.

AB dışındaki şirketler için ek bir kural vardır: AB dışı bir sağlayıcı, yüksek riskli bir AI sistemi veya genel amaçlı AI modelini Birlikte kullanıma sunmadan önce Birlikte yerleşik yetkili temsilci atamalıdır (sistemik risk taşımayan açık kaynak modeller istisnadır).

AI Act Risk Kategorileri: Dört Seviye

Avrupa Komisyonu, yasayı hazırlarken AI sistemlerinin yaklaşık %85’inin asgari risk kategorisine girdiğini tahmin etti. Çoğu hizmet, yazılım ve e-ticaret şirketi için pratikte yalnızca ilk ve üçüncü satır önem taşır.

AB AI Act Takvimi: Şimdi Ne Uygulanıyor, Ne Ertelendi?

Çoğu İşletmenin Bugün Karşılaştığı AB AI Act Gereklilikleri

1. Yasaklı AI uygulamalarını kullanmayın

İşletmenizdeki hiçbir aracın yasaklı kategoriye girmediğini kontrol edin. Sıradan bir şirket için en gerçekçi risk, çalışanların veya müşterilerin duygu tanınması ya da etnik köken ve siyasi görüş gibi hassas özellikleri çıkaran biyometrik sınıflandırmadır. Komisyon, sınırdaki durumlar için yasaklı uygulamalara dair rehber yayımlamıştır.

2. AI okuryazarlığını destekleyin; evet, bir AI politikası yazın

Sağlayıcılar ve kullanıcılar, adlarına AI işleten veya kullanan kişilerin AI okuryazarlığını destekleyecek önlemler almalıdır. Omnibus ifadeyi yumuşattı: artık her kişi için belirli bir yetkinlik düzeyini garanti etmeniz gerekmiyor, ancak yine de harekete geçmelisiniz. Tüzük açıkça “AI politikası kabul edin” demez; ancak kısa bir iç AI kullanım politikası, belgelenmiş eğitim ve eğitimi tamamlayanların kaydı uyumu kanıtlamanın en kolay yoludur. Yükümlülük iç kullanıma da uygulandığından, AI’ı hiç müşteriye ulaşmayan şirketlere bile uzanan tek yükümlülük budur.

3. Sohbet botu açıklaması: insanlara makineyle konuştuklarını söyleyin

Şeffaflık yükümlülükleri uyarınca, sohbet botu veya sesli asistan gibi insanlarla doğrudan etkileşen bir AI sistemi, bağlamdan açıkça anlaşılmadıkça kullanıcının AI ile muhatap olduğunu belirtmelidir. Yükümlülük sistemi geliştiren sağlayıcıya aittir. Web sitenizde tedarikçi sohbet botu kullanıyorsanız, tedarikçi açıklamayı sisteme yerleştirmelidir; ancak müşterilerinizle karşı karşıya olan sizsiniz: ilk etkileşimden önce veya etkileşim sırasında bildirimin görünür olduğunu doğrulayın. “AI asistanımızla sohbet ediyorsunuz” gibi bir ifade yeterlidir.

AI Üretimi İçeriği Etiketlemek Zorunda mısınız?

Bu, işletmelerin en çok sorduğu ve en sık yanlış yanıtlanan AI içerik açıklaması sorusudur. Kurallar, üretken araç sağlayıcısının yerleştirmesi gereken görünmez, makine tarafından okunabilir işaretleme ile içeriği yayımlayan işletme olan kullanıcının yalnızca belirli durumlarda eklemesi gereken görünür açıklama arasında ayrım yapar.

Hatırlanması gereken iki nokta var. Birincisi, niyet önemli değildir: kimse aldatmayı amaçlamasa bile gerçekçi bir görsel etiketlenmelidir. İkincisi, AI aracının yerleştirdiği üst akış filigranı sizin kendi etiketleme yükümlülüğünüzü ortadan kaldırmaz; açıklama, teknik araç olmadan bir kişi tarafından algılanabilir olmalıdır.

Uygulamada AI Act Uyumu: Beş Yaygın Senaryo

Yüksek Riskli AI Sistemleri: İptal Edilmedi, Ertelendi

Şirketiniz Ek III alanlarından birinde AI sağlıyor veya kullanıyorsa, ertelenen tarihlerden itibaren çok daha ağır yüksek riskli AI gereklilikleri uygulanır. Sağlayıcılar risk yönetim sistemi işletmeli, teknik dokümantasyon ve kayıt tutmalı, insan gözetimine göre tasarlamalı ve sistemi piyasaya sunmadan önce uygunluk değerlendirmesinden geçmelidir. Kullanıcılar sistemi talimatlara göre kullanmalı, gözetim için eğitimli kişileri atamalı ve kayıtları saklamalıdır.

Küçük şirketler gerçek bir kolaylık elde eder: KOBİ’ler, start-up’lar ve yeni “küçük orta ölçekli” kategori için sadeleştirilmiş teknik dokümantasyon; tüm KOBİ’ler için sadeleştirilmiş kalite yönetimi; ayrıca sabit tutar veya ciro yüzdesinden düşük olanıyla sınırlı para cezaları. Bir istisna da vardır: Ek III alanındaki sistem, yalnızca dar bir usulî veya hazırlık görevi yerine getiriyorsa ve kararları esaslı biçimde etkilemiyorsa yüksek riskli değildir. İki çekince uygulanır. Gerçek kişileri profilleyen sistemler her zaman yüksek risklidir; istisnaya dayanan sağlayıcı değerlendirmesini belgelendirmeli ve sistemi yine AB veritabanına kaydetmelidir.

Cezalar, Yaptırım ve GDPR ile Kesişim

Yaptırım paylaşılmıştır. Avrupa AI Ofisi genel amaçlı AI modeli sağlayıcılarını denetler; her üye devlet AI sistemleri için bir piyasa gözetim makamı belirler; veri koruma makamları AI’ın kullandığı kişisel verileri denetlemeyi sürdürür. Komisyonun AI Act Hizmet Masası, işletmelerin sorularını İngilizce yanıtlar.

Uyumsuzluk cezaları kademelidir: yasaklı uygulamalar için dünya çapındaki yıllık cironun €35 milyona veya %7’sine kadar; şeffaflık dahil diğer yükümlülüklerin çoğu için €15 milyona veya %3’e kadar; makamlara yanlış bilgi verilmesi için €7,5 milyona veya %1’e kadar. Büyük şirketler için iki tutardan yüksek olan üst sınırdır; KOBİ’ler ve start-up’lar için düşük olanıdır.

AI Act, GDPR’nin yerine geçmez; onun yanında yer alır. AI Act sistemi ve kullanımını, GDPR ise içinden geçen kişisel verileri düzenler. Bir araç birine tamamen uyumlu olup diğerini yine de ihlal edebilir. AI Act temel haklar etki değerlendirmesi gerektirdiğinde, bunu tekrarlamak yerine mevcut veri koruma etki değerlendirmesinden yararlanabilir.

İşletmeler İçin Pratik AI Uyum Kontrol Listesi

İyi AI yönetişimi hukuk departmanı gerektirmez. Çoğu şirket için bu dokuz adım mevcut AI Act gerekliliklerini karşılar ve sonraki yüksek risk kuralları için zemin hazırlar:

• Envanter: SaaS ürünlerine gömülü özellikler ve personelin kullandığı genel amaçlı modeller dahil, kullanılan tüm AI araçlarını listeleyin.
• Rol: Her araç için sağlayıcı, kullanıcı veya her ikisi olup olmadığınıza karar verin.
• Sınıflandırma: Her aracı yasaklı liste ve Ek III alanlarına göre kontrol edin; sonucu yazın.
• Sohbet botları: Müşteriye yönelik her AI asistanının kendisini tanıttığını doğrulayın.
• İçerik: Yayımladıklarınıza yukarıdaki etiketleme tablosunu uygulayın.
• Okuryazarlık: Bir AI kullanım politikası kabul edin ve eğitim kayıtlarını saklayın.
• Veri koruma: AI kullanımını mevcut GDPR dokümantasyonunuzla uyumlu hâle getirin.
• AB varlığı: AB dışındaysanız ve yüksek riskli sistem veya genel amaçlı model sağlıyorsanız, yetkili temsilci atayın.
• Yol haritası: Herhangi bir unsur yüksek riskliyse, beklemek yerine ertelenen tarihler için plan yapın.

Eesti Firma ile AI Act Uyumu ve AB’de Şirket Kurulumu

Yapay Zekâ Tüzüğü, uyumu en baştan tesis eden işletmeleri ödüllendirir; Birlik dışındaki şirketler için AB’de varlık pratik bir gereklilik hâline gelir. Eesti Firma, AI odaklı işletmeleri her iki uçta da destekler: Estonya’da tamamen dijital şirket kuruluşu yoluyla AB tüzel kişiliği oluşturulması; Estonya’yı hiç ziyaret etmesi gerekmeyen kurucular için e-Residency üzerinden kuruluş ve şirket AB pazarında faaliyet gösterdiğinde yükümlülüklerini yerine getirmesine yardımcı olunması.

Avukatlarımız, belirli bir AI sisteminin kapsama girip girmediği, hangi rolü ve risk seviyesini doğurduğu hakkında hukuki görüşler hazırlar; hukuki hizmetler ekibimiz ise şirketin AI okuryazarlığı, şeffaflık ve veri koruma uyumunu kanıtlaması için gereken AI kullanım politikalarını ve açıklamaları hazırlar.

AI sisteminiz hakkında hukuki görüş alın

Sık Sorulan Sorular