Yapay zekâ sistemleri; işe alım, müşteri hizmetleri, kredi değerlendirmesi, içerik üretimi ve operasyonel karar alma süreçleri başta olmak üzere şirket faaliyetlerinin giderek daha geniş bir bölümünde kullanılmaktadır. Bu dönüşüm, şirketlere önemli ölçüde verimlilik ve ölçeklenebilirlik imkânı sağlamakla birlikte ayrımcılık, şeffaflık, kişisel verilerin korunması, ürün güvenliği ve temel haklar bakımından yeni hukuki riskler doğurmaktadır. Avrupa Birliği (“AB”), söz konusu risklerin yeknesak bir düzenleyici çerçeve içerisinde ele alınması amacıyla 2024/1689 sayılı Yapay Zekâ Tüzüğü’nü (“AI Act” veya “Tüzük”) kabul etmiştir.

Tüzük kapsamında yapay zekâ sistemleri, yalnızca teknik özellikleri esas alınarak değil; kullanım amaçları, kullanıldıkları bağlam ve doğurabilecekleri sonuçlar dikkate alınarak sınıflandırılmaktadır. Bu doğrultuda, sistemin oluşturduğu risk seviyesi yükseldikçe ilgili şirketlerin tabi olduğu yükümlülüklerin kapsamı da genişlemektedir.

I. Tüzük’ün Uygulama Alanı ve Türkiye’deki Şirketlere Etkisi

AI Act’ın uygulama alanı AB’de yerleşik şirketlerle sınırlı tutulmamaktadır. AB pazarına yapay zekâ sistemi veya genel amaçlı yapay zekâ modeli sunan AB dışındaki sağlayıcılar ile yapay zekâ sistemi tarafından üretilen çıktının AB içerisinde kullanıldığı belirli durumlarda, AB dışında bulunan sağlayıcı ve sistemi kullanan kuruluşlar da Tüzük kapsamına girebilmektedir. Ayrıca ithalatçılar, dağıtıcılar, ürün üreticileri ve yapay zekâ sistemlerini kendi faaliyetlerinde kullanan kuruluşlar bakımından, tedarik zincirindeki rollerine göre farklı yükümlülükler öngörülmektedir.

Tüzük’ün ülke dışı uygulama kabiliyeti, Türkiye’de faaliyet gösteren şirketler bakımından da önem taşımaktadır. AB’de müşterisi veya grup şirketi bulunan, AB pazarına yazılım ya da yapay zekâ destekli ürün sunan veya yapay zekâ sistemlerini AB’deki çalışanlar ya da tüketiciler üzerinde kullanan şirketlerin, yalnızca AB’de yerleşik olmadıkları gerekçesiyle Tüzük’ü kapsam dışı kabul etmeleri uygun olmayacaktır. Bu kapsamdaki değerlendirme; şirketin tedarik zincirindeki rolü, sistemin amaçlanan kullanımı, sistem çıktısının kullanıldığı yer ve ilgili ürün veya hizmetin sunulduğu pazar dikkate alınarak yapılmalıdır.

II. Risk Esaslı Düzenleme Modeli

AI Act kapsamında dört seviyeli bir risk yaklaşımı benimsenmektedir. Bununla birlikte, bir yapay zekâ sisteminin tabi olacağı hukuki rejim belirlenirken sistemin teknik gelişmişlik düzeyinden ziyade kullanım amacı, kullanıldığı sektör ve kişiler üzerindeki muhtemel etkileri esas alınmaktadır.

A. Yasaklanan Yapay Zekâ Uygulamaları

Kişilerin karar verme özgürlüğünü önemli ölçüde zedeleyen manipülatif uygulamalar, kişilerin kırılganlıklarının zarara yol açacak biçimde istismar edilmesi, belirli sosyal puanlama uygulamaları, yalnızca profil veya kişilik özelliklerine dayalı bireysel suç riski değerlendirmeleri ve yüz tanıma veri tabanı oluşturmak amacıyla internet veya kamera görüntülerinin hedef gözetilmeksizin toplanması Tüzük kapsamında yasaklanan başlıca uygulamalar arasında yer almaktadır. İşyerleri ve eğitim kurumlarında duygu tanıma sistemlerinin kullanılması ile hassas niteliklerin belirlenmesine yönelik belirli biyometrik sınıflandırma faaliyetleri de kural olarak yasaklanmaktadır. Kolluk faaliyetlerinde gerçek zamanlı uzaktan biyometrik tanımlama sistemlerinin kullanılmasına ise yalnızca dar kapsamlı ve sıkı koşullara tabi istisnalar çerçevesinde izin verilmektedir.

Yasaklanan yapay zekâ uygulamalarına ilişkin hükümler 2 Şubat 2025 tarihinden itibaren uygulanmaktadır. Bu nedenle söz konusu düzenlemeler, ileride yürürlüğe girecek bir uyum başlığı olarak değil, şirketlerin mevcut yapay zekâ envanterleri bakımından gecikmeksizin incelenmesi gereken güncel bir yükümlülük alanı olarak değerlendirilmelidir.

B. Yüksek Riskli Yapay Zekâ Sistemleri

Bir yapay zekâ sistemi iki temel durumda yüksek riskli olarak nitelendirilebilmektedir. İlk durumda sistem, belirli AB ürün güvenliği mevzuatına tabi bir ürünün güvenlik bileşenini oluşturmakta veya doğrudan bu nitelikte bir ürün teşkil etmektedir. İkinci durumda ise sistem, Tüzük’ün Ek III’ünde sayılan hassas kullanım alanlarından birinde kullanılmaktadır. Kritik altyapıların güvenliği, eğitim ve mesleki değerlendirme, işe alım ve çalışan yönetimi, temel kamu veya özel hizmetlere erişim, gerçek kişilerin kredi değerliliği, hayat ve sağlık sigortalarında risk değerlendirmesi, biyometrik uygulamalar, kolluk faaliyetleri, göç ve sınır yönetimi ile adalet süreçlerinde kullanılan belirli yapay zekâ sistemleri bu gruba dâhil olabilmektedir. Bu nedenle, örneğin adayların filtrelenmesinde veya çalışan performansının değerlendirilmesinde kullanılan bir sistem, yalnızca bir insan kaynakları yazılımı olarak tanımlanması nedeniyle düşük riskli kabul edilmemektedir.

Yüksek riskli sistemlerin sağlayıcıları bakımından risk yönetimi, veri yönetişimi, teknik dokümantasyon, kayıt tutma, şeffaflık, insan gözetimi, doğruluk, dayanıklılık ve siber güvenlik yükümlülükleri gündeme gelmektedir. Sistemin piyasaya arz edilmesinden önce uygunluk değerlendirmesinin gerçekleştirilmesi, gerekli durumlarda CE işaretinin iliştirilmesi ve sistemin ilgili AB veri tabanına kaydedilmesi de gerekebilmektedir. Sistemi kendi faaliyetlerinde kullanan kuruluşların ise kullanım talimatlarına uyma, yeterli insan gözetimi sağlama, sistemin işleyişini izleme ve belirli olaylarda bilgilendirme veya bildirimde bulunma yükümlülükleri bulunmaktadır.

C. Şeffaflık Yükümlülüğüne Tabi Sistemler

Bazı yapay zekâ sistemleri yasaklı veya yüksek riskli olarak nitelendirilmese dahi, sistemin kullanıldığına ilişkin olarak gerçek kişilere açık ve anlaşılır bilgi verilmesi gerekmektedir. Sohbet robotları aracılığıyla yapay zekâ ile iletişim kurulduğunun açıklanması, yapay olarak üretilen veya değiştirilen içeriğin teknik olarak tespit edilebilir biçimde işaretlenmesi ve deepfake niteliğindeki görüntü, ses ve videoların görünür şekilde etiketlenmesi bu yükümlülüklerin başlıca örneklerini oluşturmaktadır. Kamu yararına ilişkin konularda toplumu bilgilendirmek amacıyla yayımlanan ve yapay zekâ tarafından üretilen veya manipüle edilen metinler bakımından da, Tüzük’te düzenlenen istisnalar saklı kalmak kaydıyla, açıklama yükümlülüğü doğabilmektedir. Söz konusu şeffaflık hükümleri 2 Ağustos 2026 tarihinden itibaren uygulanacaktır.

D. Asgari veya Sıfıra Yakın Risk Taşıyan Sistemler

Spam filtreleri veya yapay zekâ destekli belirli oyunlar gibi yapay zekâ sistemlerinin önemli bir bölümü, AI Act kapsamında ilave yükümlülük öngörülmeyen asgari veya sıfıra yakın risk grubunda yer almaktadır. Bununla birlikte, bir sistemin AI Act bakımından düşük riskli olarak değerlendirilmesi; GDPR, tüketicinin korunması, fikrî mülkiyet, iş hukuku veya ürün güvenliği mevzuatı kapsamındaki yükümlülüklerin uygulanmayacağı anlamına gelmemektedir.

III. Genel Amaçlı Yapay Zekâ Modellerine İlişkin Yükümlülükler

Birden fazla göreve uyarlanabilen genel amaçlı yapay zekâ modelleri bakımından, risk sınıflandırmasını tamamlayan ayrı bir yükümlülük rejimi öngörülmektedir. Bu kapsamda sağlayıcıların teknik dokümantasyon hazırlaması, modeli kendi sistemlerine entegre edecek aktörlere gerekli bilgileri sunması, AB telif hukukuna uyum sağlayacak bir politika oluşturması ve modelin eğitiminde kullanılan içeriğe ilişkin yeterli ayrıntıyı içeren bir özeti kamuya açıklaması gerekebilmektedir. Açık kaynak modeller için belirli istisnalar düzenlenmiş olmakla birlikte, bu istisnalar mutlak nitelik taşımamaktadır.

Sistemik risk taşıyan genel amaçlı yapay zekâ modellerinin sağlayıcıları bakımından model değerlendirmesi, adversarial testler, sistemik risklerin belirlenmesi ve azaltılması, ciddi olayların raporlanması ve yeterli siber güvenlik önlemlerinin alınması gibi ilave yükümlülükler öngörülmektedir. Genel amaçlı yapay zekâ modellerine ilişkin hükümler 2 Ağustos 2025 tarihinden itibaren uygulanmakta olup, bu tarihten önce piyasaya sunulmuş modeller bakımından geçiş süresi 2 Ağustos 2027 tarihine kadar devam etmektedir.

IV. Kademeli Yürürlük Takvimi

AI Act hükümleri kademeli olarak uygulanmakta olup, uygulama takvimi 2026 tarihli AI Omnibus ile belirli ölçüde değiştirilmiştir. Yasaklanan uygulamalar ve tanımlara ilişkin hükümler 2 Şubat 2025 tarihinde; yönetişim hükümleri ile genel amaçlı yapay zekâ modellerine ilişkin kurallar ise 2 Ağustos 2025 tarihinde uygulanmaya başlamıştır. Tüzük’ün genel hükümlerinin önemli bir bölümü ile şeffaflık yükümlülükleri 2 Ağustos 2026 tarihinden itibaren uygulanacaktır.

AI Omnibus sonrasında, Ek III kapsamındaki yüksek riskli kullanım alanlarına ilişkin kuralların uygulama tarihi 2 Aralık 2027’ye; düzenlemeye tabi fiziksel ürünlere entegre edilen yüksek riskli sistemlere ilişkin uygulama tarihi ise 2 Ağustos 2028’e ertelenmiştir. Bununla birlikte, söz konusu ertelemenin şirketler bakımından bir bekleme dönemi olarak değerlendirilmemesi gerekmektedir. Yapay zekâ sistemlerinin sınıflandırılması, sözleşmesel sorumlulukların paylaştırılması ve gerekli veri, yönetişim ve dokümantasyon altyapısının oluşturulması önemli bir hazırlık süreci gerektirmektedir.

V. İhlaller Bakımından Öngörülen Yaptırımlar

Tüzük kapsamında, ihlalin niteliği ve ağırlığına göre önemli idari para cezaları öngörülmektedir. Yasaklanan uygulamalara veya belirli veri yükümlülüklerine aykırılık halinde 35 milyon Avro ya da bir önceki mali yıla ait dünya çapındaki toplam yıllık cironun %7’sine kadar; diğer yükümlülüklerin ihlali halinde 15 milyon Avro ya da cironun %3’üne kadar; yetkili mercilere yanlış, eksik veya yanıltıcı bilgi verilmesi halinde ise 7,5 milyon Avro ya da cironun %1’ine kadar idari para cezası uygulanabilmektedir. Somut cezanın belirlenmesinde şirketin büyüklüğü, ihlalin niteliği ve KOBİ’ler bakımından öngörülen orantılılık esasları dikkate alınmaktadır.

Uyumsuzluktan kaynaklanan riskler idari para cezalarıyla sınırlı bulunmamaktadır. İhlalin niteliğine göre sistemin piyasadan çekilmesi veya kullanımının durdurulması, sözleşmesel tazmin sorumluluğu, kişisel veri ihlalleri ve müşteri, yatırımcı veya iş ortakları nezdinde güven kaybı gibi ilave hukuki ve ticari sonuçlar da ortaya çıkabilmektedir.

VI. Şirketler Bakımından Önerilen Uyum Adımları

Uyum çalışmalarının ilk aşamasında, üçüncü taraflardan temin edilen araçlar da dâhil olmak üzere şirket bünyesinde geliştirilen veya kullanılan yapay zekâ sistemlerinin kapsamlı bir envanterinin oluşturulması gerekmektedir. Her bir sistem bakımından amaçlanan kullanım, işlenen veri türleri, karar süreçleri üzerindeki etkisi, coğrafi kapsamı ve şirketin sağlayıcı, sistemi kullanan kuruluş, ithalatçı veya dağıtıcı sıfatlarından hangisini taşıdığı belirlenmelidir.

Envanter çalışmasını takiben, yasaklanan kullanımlara ilişkin kontrol gerçekleştirilmeli ve her bir sistem bakımından ön risk sınıflandırması yapılmalıdır. İnsan kaynakları, kredi, sigorta, eğitim, biyometri, kritik altyapı ve kamu hizmetleriyle bağlantılı uygulamalara bu değerlendirmede öncelik verilmelidir. Yapay zekâ sistemi tedarikçileriyle imzalanan sözleşmeler; teknik dokümantasyona erişim, denetim ve bilgi alma hakları, veri kullanımı, fikrî mülkiyet, siber güvenlik, olay bildirimi, mevzuat değişikliklerine uyum ve sorumluluğun taraflar arasında dağılımı bakımından gözden geçirilmelidir.

Yapay zekâ yönetişiminin yalnızca teknoloji veya hukuk birimlerine bırakılmaması önem taşımaktadır. Hukuk, uyum, bilgi güvenliği, kişisel verilerin korunması, insan kaynakları ve ilgili iş birimlerinin görev ve sorumluluklarını belirleyen bir yönetişim ve onay mekanizması kurulmalıdır. Yüksek etkili kararlar bakımından anlamlı insan gözetimi muhafaza edilmeli ve çalışanlara kullanılan sistemlerin niteliği ile üstlendikleri sorumluluklarla orantılı eğitim sağlanmalıdır.

Değerlendirme

AI Act, yapay zekâ kullanımını bütünüyle sınırlandıran bir düzenleme niteliği taşımamakta; yüksek etkili uygulamalar bakımından güven, izlenebilirlik ve hesap verebilirlik standartları oluşturmaktadır. Türkiye’deki şirketler açısından değerlendirilmesi gereken husus, yalnızca Tüzük’ün doğrudan uygulanıp uygulanmadığıyla sınırlı değildir. AB’deki müşterilerin, yatırımcıların ve iş ortaklarının uyum beklentilerinin sözleşmeler, tedarik süreçleri ve grup politikaları aracılığıyla Türkiye’deki şirketlere de yansıması beklenmektedir.

Bu çerçevede şirketlerin, denetim veya yaptırım süreçleri başlamadan önce yapay zekâ kullanımını envanter, risk sınıflandırması, sözleşme yönetimi ve kurumsal yönetişim eksenlerinde yapılandırmaları; hukuki ve ticari risklerin etkin biçimde yönetilebilmesi bakımından önem arz etmektedir.

Saygılarımızla,

DT Hukuk