AB Yapay Zekâ Yasası (EU AI Act) Kapsamında Yüksek Riskli Yapay Zekâ Sistemleri ve Sağlayıcıların Hukuki Yükümlülükleri

AB Yapay Zekâ Yasası (EU AI Act) Kapsamında Yüksek Riskli Yapay Zekâ Sistemleri ve Sağlayıcıların Hukuki Yükümlülükleri

Giriş

Avrupa Birliği, 13 Haziran 2024 tarihli ve (AB) 2024/1689 sayılı Tüzük ile yapay zekâ teknolojilerini yatay biçimde düzenleyen dünyadaki ilk bağlayıcı çerçeveyi kabul etmiştir.¹ Metnin ağırlık merkezi, yasaklanmış uygulamalar ya da genel amaçlı modeller değil, “yüksek riskli” olarak nitelendirilen yapay zekâ sistemleri ve bu sistemleri piyasaya arz eden sağlayıcılara (provider) yüklenen yükümlülükler bütünüdür. Tüzüğün 113 maddesinin ve on üç ekinin önemli bir kısmı bu kategoriye ayrılmıştır.

Bu çalışma iki soruya odaklanmaktadır: Bir yapay zekâ sistemi hangi ölçütlerle yüksek riskli sayılır ve bu nitelendirmenin sağlayıcı bakımından doğurduğu hukuki yükümlülükler nelerdir? İnceleme, 27 Temmuz 2026 tarihinde yürürlüğe giren (AB) 2026/1744 sayılı değiştiren Tüzüğün getirdiği yeni uygulama takvimini de kapsamaktadır.

Risk Temelli Düzenleme Mantığı ve Ürün Güvenliği Mirası

Tüzüğün amacı, iç pazarın işleyişini iyileştirmek ile Şart’ta güvence altına alınan temel haklar, sağlık ve güvenliği korumak arasında kurulan bir dengede ifade edilmiştir.² Bu ikili amaç, seçilen düzenleme tekniğini de belirlemiştir: metnin sözcük dağarcığı ve mimarisi büyük ölçüde AB ürün güvenliği hukukundan, özellikle “Yeni Yasal Çerçeve” (New Legislative Framework) yönteminden devralınmıştır. Ho-Dac, bu yaklaşımın esaslı gereklilikler, uyumlaştırılmış standartlar, uygunluk değerlendirmesi ve CE işareti dörtlüsü üzerine kurulduğunu belirtir.³ Veale ve Zuiderveen Borgesius ise henüz taslak aşamasında, metnin sözcüklerinin önemli bir bölümünün ürün güvenliğine ilişkin 2008 tarihli bir Karar’dan alındığını ve asıl uygulayıcı organların ürün hukukuna özgü “piyasa gözetim otoriteleri” olduğunu ortaya koymuştur.⁴

• Avrupa Parlamentosu ve Konseyi, 13 Haziran 2024 tarihli ve (AB) 2024/1689 sayılı Yapay Zekâya İlişkin Uyumlaştırılmış Kurallar Belirleyen Tüzük, Official Journal of the European Union L, 2024/1689 (12 Temmuz 2024) [bundan sonra “Tüzük”].
• Tüzük, 1(1).
• Marion Ho-Dac, “Premier décryptage du règlement européen sur l’intelligence artificielle (AI Act): Vers un standard mondial de l’IA de confiance?,” Recueil Dalloz (Ekim 2024), 7–8.
• Michael Veale ve Frederik Zuiderveen Borgesius, “Demystifying the Draft EU Artificial Intelligence Act: Analysing the Good, the Bad, and the Unclear Elements of the Proposed Approach,” Computer Law Review International 22, 4 (2021): 97–98.

Bu tercihin sonucu şudur: yükümlülüklerin muhatabı, kural olarak nihai zarar gören değil, sistemi piyasaya arz eden aktördür ve denetim büyük ölçüde önceden (ex ante) yapılan bir belgelendirme mantığıyla işler.

Yüksek Riskli Sistemlerin Nitelendirilmesi

Tüzüğün 6. maddesi nitelendirmeyi iki eke atıfla yapar. İlk yol ürün temellidir: bir sistem, Ek I’de sayılan uyumlaştırma mevzuatı kapsamındaki bir ürünün güvenlik bileşeni ise veya kendisi böyle bir ürün ise ve ilgili ürün üçüncü taraf uygunluk değerlendirmesine tabi ise yüksek risklidir.⁵ İkinci yol kullanım temellidir: Ek III’te sayılan alanlarda — biyometrik kimlik tespiti, kritik altyapı yönetimi, eğitime erişim, işe alım ve çalışan yönetimi, temel kamusal ve özel hizmetlere erişim, kolluk, göç ve sınır yönetimi, adalet ve demokratik süreçler

— kullanılmak üzere tasarlanmış sistemler yüksek riskli sayılır.⁶

Belirleyici ölçüt teknoloji değil, sağlayıcı tarafından belirlenen “amaçlanan kullanımdır.”

Sousa e Silva’nın isabetle vurguladığı gibi, aynı algoritma farklı amaçlarla sunulduğunda farklı risk sınıflarına girebilir; bu da nitelendirmeyi büyük ölçüde sağlayıcının kendi beyanına bağlar.⁷

Ürün temelli yolun kapsamı 2026 yılında daraltılmıştır. (AB) 2026/1744 sayılı Tüzük, “güvenlik bileşeni” tanımını değiştirerek bir bileşenin ancak amaçlanan kullanımı kişilerin veya malların sağlık ve güvenliğine yönelik riskleri önlemek ya da azaltmak olduğunda güvenlik işlevi gördüğünü açıklığa kavuşturmuş; ayrıca 6. maddeye eklenen fıkralarla, bir sistemin yalnızca uyumlaştırma mevzuatına tabi bir ürünün içinde çalışmasının onu güvenlik bileşeni yapmaya yetmediğini ve üçüncü taraf uygunluk değerlendirmesi yükümlülüğünün sağlık ve güvenlik dışındaki risklerden — örneğin elektromanyetik girişimden — kaynaklandığı hâllerde m. 6(1)(b) koşulunun gerçekleşmiş sayılmayacağını belirtmiştir.⁸

Madde 6(3) bu katı listeye bir esneklik getirir. Ek III kapsamına giren bir sistem, kişilerin sağlığı, güvenliği veya temel hakları bakımından önemli bir zarar riski taşımıyorsa — özellikle

5 Tüzük, m. 6(1)(a)-(b).

• Tüzük, 6(2) ve Ek III.
• Nuno Sousa e Silva, “The Artificial Intelligence Act: Critical Overview,” arXiv:2409.00264 (2024), 6, 27–
• (AB) 2026/1744, m. 1, 4(a) ve 8. noktaları; kullanıcı desteği, performans optimizasyonu, hizmet verimliliği, otomasyon, kolaylık veya kalite kontrolüne ilişkin, güvenlikle bağlantısı bulunmayan işlevleri yerine getiren sistemler güvenlik bileşeni sayılmaz; buna karşılık arızası veya işlev bozukluğu sağlık ve güvenliği tehlikeye düşürecek sistemler güvenlik bileşeni

niteliğini korur.

dar bir usul işlevi görüyor, önceden tamamlanmış bir insan faaliyetinin sonucunu iyileştiriyor, karar örüntülerindeki sapmaları yalnızca tespit ediyor veya hazırlık niteliğinde bir işlem yapıyorsa — yüksek riskli sayılmaz. Ancak sistem gerçek kişileri profilleme yapıyorsa bu istisnadan yararlanamaz.⁹ İstisnaya dayanan sağlayıcı, değerlendirmesini sistemi piyasaya arz etmeden önce belgelemek ve kayıt yükümlülüğünü yerine getirmek zorundadır.¹⁰

Bu öz-nitelendirme sistemi denetimsiz değildir. Piyasa gözetim otoritesi, sağlayıcının yüksek riskli olmadığını beyan ettiği bir sistemin aslında yüksek riskli olduğu kanısına varırsa değerlendirme yapar; sınıflandırmanın Bölüm III gerekliliklerinden kaçınmak amacıyla yanlış yapıldığı tespit edilirse sağlayıcı 99. madde uyarınca idari para cezasına muhatap olur.¹¹

Sağlayıcının Hukuki Yükümlülükleri

Esaslı Gereklilikler (m. 9–15)

Tüzüğün çekirdeğini oluşturan esaslı gereklilikler, “güvenilir yapay zekâ” ilkelerinin bağlayıcı hukuka tercümesidir.¹²

Risk yönetim sistemi (m. 9): Sistemin tüm yaşam döngüsü boyunca sürdürülen, düzenli olarak gözden geçirilen ve güncellenen, sürekli ve yinelemeli bir süreç kurulmalıdır. Süreç, bilinen ve öngörülebilir risklerin tespiti ve analizini, amaçlanan kullanım ile makul ölçüde öngörülebilir kötüye kullanım hâlinde doğabilecek risklerin değerlendirilmesini ve hedefli önlemlerin alınmasını kapsar. Kalan riskin kabul edilebilir düzeyde olması gerekir. Sağlayıcı, sistemin on sekiz yaş altındaki kişiler ve diğer kırılgan gruplar üzerinde olumsuz etki doğurma olasılığını ayrıca gözetmekle yükümlüdür.¹³

Veri ve veri yönetişimi (m. 10): Eğitim, doğrulama ve test veri kümeleri; tasarım tercihleri, verinin kaynağı, etiketleme ve temizleme işlemleri, önyargı incelemesi ve tespit edilen önyargıların azaltılmasına yönelik önlemleri kapsayan yönetişim uygulamalarına tabidir. Veri kümeleri ilgili, yeterince temsil edici ve mümkün olan en iyi ölçüde hatasız ve eksiksiz olmalıdır.¹⁴ Tüzüğün özgün metninde m. 10(5), önyargı tespiti ve düzeltilmesi kesinlikle gerekli olduğu ölçüde özel nitelikli kişisel verilerin istisnai olarak işlenmesine izin

• Tüzük, 6(3); ayrıca bkz. Gerekçe 53.
• Tüzük, m. 6(4) ve 49(2).
• Tüzük, 80(1) ve (8).
• Ho-Dac, “Premier décryptage,”
• Tüzük, 9(1)-(2), (5) ve (9).
• Tüzük, 10(2)-(3).

veriyordu; Sousa e Silva bu hükmün GDPR’nin 9. maddesindeki hukuka uygunluk sebeplerine eklenen yeni bir dayanak yarattığını belirtmişti.¹⁵ (AB) 2026/1744 sayılı Tüzük bu fıkrayı yürürlükten kaldırmış ve dayanağı, koşul ve güvenceleri esas itibarıyla koruyarak yeni 4a maddesi olarak yeniden düzenlemiştir. Aynı değişiklikle dayanağın kapsamı genişletilmiş; yüksek riskli sistem işleticileri ile diğer yapay zekâ sistem ve modellerinin sağlayıcı ve işleticileri de — kendilerine böyle bir inceleme yapma yükümlülüğü doğurmaksızın — aynı koşullar altında bu dayanaktan yararlanabilir hâle gelmiştir.¹⁶

Teknik dokümantasyon, kayıt tutma ve şeffaflık (m. 11–13): Sağlayıcı, Ek IV’te ayrıntıları belirlenen teknik dokümantasyonu hazırlamak, sistemin yaşam döngüsü boyunca olayların otomatik olarak kaydedilmesini sağlamak ve işleticiye sistemin yeteneklerini, performans sınırlarını, doğruluk düzeyini ve gerekli insan gözetimi önlemlerini açıklayan kullanım talimatlarını sunmak zorundadır.

İnsan gözetimi (m. 14): Sistem, kullanımda olduğu süre boyunca gerçek kişiler tarafından etkili biçimde gözetilebilecek şekilde tasarlanmalıdır. Gözetim önlemleri, gözetimle görevli kişinin sistemin çıktısını doğru yorumlamasını, otomasyon yanlılığının farkında olmasını, gerektiğinde çıktıyı dikkate almamayı veya tersine çevirmeyi seçebilmesini ve sistemi güvenli bir durumda durdurmasını mümkün kılmalıdır. Ek III’ün 1(a) bendindeki uzaktan biyometrik kimlik tespiti sistemlerinde, sistemin ürettiği kimlik tespiti en az iki yetkin gerçek kişi tarafından ayrıca doğrulanmadıkça bu tespite dayanarak işlem yapılamaz.¹⁷

Doğruluk, sağlamlık ve siber güvenlik (m. 15): Sistemler, yetkisiz üçüncü kişilerin güvenlik açıklarından yararlanarak kullanımını, çıktısını veya performansını değiştirme girişimlerine dayanıklı olmalıdır. Alınacak önlemler arasında veri zehirlenmesi, model zehirlenmesi, çekişmeli örnekler ve gizlilik saldırılarına karşı tedbirler açıkça sayılmıştır.¹⁸ 2026 değişikliğiyle Tüzüğe eklenen 42(3). fıkra, Siber Dayanıklılık Tüzüğü kapsamına giren ve oradaki koşulları karşılayan yüksek riskli sistemlerin 15. maddedeki siber güvenlik gerekliliğine uygun sayılacağını öngörerek mükerrer değerlendirmeyi önlemektedir.¹

• Sousa e Silva, “Critical Overview,”
• (AB) 2026/1744, 1, 6. ve 9(b) noktaları: Tüzüğün 10(5). fıkrası yürürlükten kaldırılmış ve içeriği, kapsamı genişletilmiş biçimde yeni 4a maddesine aktarılmıştır.
• Tüzük, 14(1), (4) ve (5).
• Tüzük, 15(5).
• (AB) 2026/1744, 1, 18. noktası ile Tüzüğe eklenen m. 42(3); atıf yapılan düzenleme (AB) 2024/2847 sayılı Siber Dayanıklılık Tüzüğü’dür.

Örgütsel ve Belgeye Dayalı Yükümlülükler (m. 16–22)

Madde 16, sağlayıcının yükümlülüklerini tek bir listede toplar: esaslı gerekliliklere uygunluğu sağlamak, sistem üzerinde veya ambalajında kimlik ve iletişim bilgilerini belirtmek, kalite yönetim sistemi kurmak, dokümantasyonu ve otomatik kayıtları saklamak, uygunluk değerlendirmesinden geçirmek, AB uygunluk beyanı düzenlemek, CE işareti iliştirmek, kayıt yükümlülüklerini yerine getirmek, gerektiğinde düzeltici işlem yapmak, yetkili otoritenin gerekçeli talebi üzerine uygunluğu ispat etmek ve erişilebilirlik gerekliliklerine uymak.²⁰

Bu yükümlülüklerin bir kısmı belirli sürelere bağlanmıştır. Teknik dokümantasyon, kalite yönetim sistemine ilişkin belgeler ve uygunluk beyanı, sistemin piyasaya arzından itibaren on yıl boyunca ulusal otoritelerin erişimine hazır tutulmalıdır.²¹ Otomatik kayıtlar ise, sağlayıcının kontrolünde olduğu ölçüde, amaçlanan kullanıma uygun bir süre ve her hâlde en az altı ay saklanır.²²

Bu yükümlülükler ölçek bakımından tamamen tek biçimli değildir. (AB) 2026/1744 sayılı Tüzük, teknik dokümantasyonun küçük ve orta ölçekli işletmeler ile küçük orta piyasa değerli işletmeler tarafından Komisyon’un hazırlayacağı basitleştirilmiş bir form üzerinden sunulmasına olanak tanımış — onaylanmış kuruluşlar bu formu kabul etmek zorundadır —; kalite yönetim sisteminin uygulanmasında ölçekle orantılılık ölçütünü bu işletmeler bakımından açıkça anmış ve daha önce yalnızca mikro işletmelere tanınan basitleştirilmiş kalite yönetimi olanağını tüm küçük ve orta ölçekli işletmelere yaymıştır.²³

Sistemin Tüzüğe uygun olmadığı kanısına varan sağlayıcı, gecikmeksizin sistemi uygun hâle getirmek, piyasadan çekmek, devre dışı bırakmak veya geri çağırmak zorundadır; risk hâlinde sebepleri araştırıp piyasa gözetim otoritesini ve varsa sertifikayı veren onaylanmış kuruluşu bilgilendirmelidir.²⁴ Birlik dışında yerleşik sağlayıcıların, sistemlerini Birlik pazarına sunmadan önce yazılı vekâletle Birlik’te yerleşik bir yetkili temsilci ataması zorunludur.²⁵

• Tüzük, m. 16(a)-(l).
• Tüzük, 18(1).
• Tüzük, 19(1).
• (AB) 2026/1744, 1, 10., 11. ve 34. noktaları.
• Tüzük, 20(1)-(2).
• Tüzük, 22(1).

Uygunluk Değerlendirmesi, Beyan, CE İşareti ve Kayıt

Ek III kapsamındaki sistemlerde uygunluk değerlendirmesi kural olarak Ek VI’daki iç kontrol usulüyle, yani sağlayıcının kendi denetimiyle yapılır; onaylanmış kuruluş katılımı esas itibarıyla biyometrik sistemler bakımından öngörülmüştür.²⁶ Ek I kapsamındaki sistemlerde ise ilgili sektörel mevzuatın kendi usulü uygulanır ve Tüzüğün gereklilikleri bu değerlendirmenin parçası hâline gelir.²⁷ Uygunluk değerlendirmesinden geçmiş bir sistemde esaslı değişiklik yapılması hâlinde yeni bir değerlendirme gerekir; buna karşılık, ilk değerlendirme anında sağlayıcı tarafından önceden belirlenmiş ve teknik dokümantasyonda yer alan değişiklikler esaslı değişiklik sayılmaz.²⁸ Süreç, AB uygunluk beyanının düzenlenmesi, CE işaretinin iliştirilmesi ve sistemin AB veri tabanına kaydedilmesiyle tamamlanır.

Veale ve Zuiderveen Borgesius’un taslak metne yönelttiği en güçlü eleştirilerden biri tam bu noktadadır: temel haklara ilişkin değerlendirmenin ağırlıklı olarak sağlayıcının kendi iç denetimine bırakılması, mekanizmanın etkinliğini kuşkulu kılmaktadır.²⁹

Piyasaya Arz Sonrası Gözetim ve Ciddi Olay Bildirimi

Sağlayıcının yükümlülükleri piyasaya arzla sona ermez. Madde 72 uyarınca kurulacak piyasaya arz sonrası gözetim sistemi, sistemden elde edilen deneyimin toplanıp çözümlenmesini ve risk yönetim sistemine geri beslenmesini gerektirir. Ciddi bir olayın gerçekleşmesi hâlinde piyasa gözetim otoritelerine bildirim zorunludur. Ciddi olay, kişinin ölümü veya sağlığının ciddi biçimde zarar görmesi, kritik altyapının yönetiminde ciddi ve geri döndürülemez bir aksama, temel hakları korumaya yönelik Birlik hukuku yükümlülüklerinin ihlali ya da mülkiyete veya çevreye ciddi zarar sonuçlarından birini doğuran olay veya işlev bozukluğu olarak tanımlanmıştır.³⁰

Değer Zincirinde Sağlayıcı Sıfatının Kayması

Tüzük, yükümlülükleri sabit bir kişiye değil, işleve bağlar. Madde 25 uyarınca bir dağıtıcı, ithalatçı, işletici veya üçüncü kişi; piyasaya arz edilmiş yüksek riskli bir sisteme kendi adını veya markasını koyarsa, sistemde esaslı değişiklik yaparsa ya da yüksek riskli olarak sınıflandırılmamış bir sistemin — genel amaçlı sistemler dâhil — amaçlanan kullanımını

• Tüzük, 43(1) ve Ek VI.
• Tüzük, 43(3).
• Tüzük, 43(4).
• Veale ve Zuiderveen Borgesius, “Demystifying,”
• Tüzük, 3(49) ve m. 73; ayrıca bkz. Sousa e Silva, “Critical Overview,” 29.

sistemi yüksek riskli hâle getirecek şekilde değiştirirse, sağlayıcı sayılır ve 16. maddedeki yükümlülüklerin tamamına tabi olur. Bu durumda ilk sağlayıcı artık o sistemin sağlayıcısı sayılmaz; ancak yeni sağlayıcıyla yakın işbirliği yapmak ve gerekli bilgi ile teknik erişimi sağlamakla yükümlüdür.³¹ Bu işbirliği borcunun içeriği 2026 değişikliğiyle somutlaştırılmış;

16. maddeye uygunluğun değerlendirilmesine yeterli teknik dokümantasyonun sunulması, bilinen sınırlılıklar ile hata biçimlerinin yeni sağlayıcıya bildirilmesi ve test ile doğrulama amacıyla hedefli teknik erişimin sağlanması açıkça sayılmıştır.³²

İşleticinin yükümlülükleri ise ayrı bir rejime tabidir: kullanım talimatlarına uygun kullanım, insan gözetiminin yetkin kişilere verilmesi, kontrolünde olduğu ölçüde girdi verisinin uygunluğunun sağlanması, izleme ve bildirim, kayıtların saklanması.³³ Ayrıca kamu hukukuna tabi kuruluşlar, kamu hizmeti sunan özel kuruluşlar ile Ek III’ün 5(b) ve (c) bentlerindeki kredi değerlendirmesi ve hayat/sağlık sigortası fiyatlandırma sistemlerini kullananlar, kullanımdan önce temel haklar etki değerlendirmesi yapmak ve sonucu piyasa gözetim otoritesine bildirmek zorundadır.³⁴

Yaptırımlar ve Özel Hukuk Sorumluluğundaki Boşluk

Madde 99, üye devletlerin etkili, ölçülü ve caydırıcı yaptırımlar öngörmesini ister ve üst sınırları belirler. Yasaklanmış uygulamalar bakımından 35 milyon avroya veya teşebbüsün önceki mali yıla ait toplam dünya çapındaki cirosunun %7’sine kadar; 16. maddedeki sağlayıcı yükümlülükleri de dâhil olmak üzere diğer operatör yükümlülüklerinin ihlali bakımından 15 milyon avroya veya cironun %3’üne kadar; otoritelere yanlış, eksik veya yanıltıcı bilgi verilmesi bakımından 7,5 milyon avroya veya cironun %1’ine kadar idari para cezası öngörülmüştür. Küçük ve orta ölçekli işletmeler için bu iki üst sınırdan düşük olanı uygulanır.³⁵

Buna karşılık Tüzük, zarar gören kişiye doğrudan bir tazminat talebi tanımaz; kamu hukuku ağırlıklı bir uygulama modeli benimser.³⁶ Bu boşluğu doldurması beklenen Yapay Zekâ Sorumluluk Direktifi önerisi, Komisyon’un 2025 Çalışma Programı’nda geri çekilecek dosyalar arasında gösterilmiş ve geri çekilme 6 Ekim 2025 tarihli Resmî Gazete duyurusuyla

• Tüzük, 25(1)-(2).
• (AB) 2026/1744, m. 1, 12(a) noktası.
• Tüzük, 26(1)-(6).
• Tüzük, 27(1) ve (3).
• Tüzük, 99(3)-(6).
• Ho-Dac, “Premier décryptage,”

resmileşmiştir.³⁷ Sonuç olarak kusura dayalı taleplerin üye devlet iç hukukuna kaldığı, buna karşılık ayıplı ürün sorumluluğu bakımından yazılımı ve yapay zekâ sistemlerini açıkça “ürün” sayan (AB) 2024/2853 sayılı Direktifin — 9 Aralık 2026 tarihine kadar iç hukuka aktarılmak üzere — devreye girdiği melez bir tablo ortaya çıkmıştır.

Takvimin Değişmesi: (AB) 2026/1744 Sayılı Dijital Omnibus

Tüzük 1 Ağustos 2024 tarihinde yürürlüğe girmiş, ancak hükümlerinin uygulanması özgün 113. maddede kademeli bir takvime bağlanmıştı: yasaklanmış uygulamalar 2 Şubat 2025, yönetişim ve yaptırım hükümleri ile genel amaçlı modellere ilişkin yükümlülükler 2 Ağustos 2025, Ek III kapsamındaki yüksek riskli sistemleri de içeren genel uygulama 2 Ağustos 2026 ve Ek I kapsamındaki sistemler 2 Ağustos 2027.³⁸ Ancak uygunluğun ispatı için gereken uyumlaştırılmış standartların zamanında hazırlanamaması, takvimin yeniden düzenlenmesini gerektirdi. Avrupa Parlamentosu ve Konseyi’nin 8 Temmuz 2026 tarihli (AB) 2026/1744 sayılı Tüzüğü (“Yapay Zekâya İlişkin Dijital Omnibus”) 24 Temmuz 2026 tarihinde Resmî Gazete’de yayımlanmış ve 27 Temmuz 2026 tarihinde yürürlüğe girmiştir.³⁹

Değişikliğin en önemli sonucu, yüksek riskli sistemlere ilişkin yükümlülüklerin kademeli olarak ertelenmesidir: III. Bölümün 1, 2 ve 3. Kısımları, m. 6(2) ve Ek III uyarınca yüksek riskli sayılan bağımsız (stand-alone) sistemler bakımından 2 Aralık 2027, m. 6(1) ve Ek I uyarınca yüksek riskli sayılan gömülü sistemler bakımından 2 Ağustos 2028 tarihinden itibaren uygulanacaktır. Buna karşılık 2 Ağustos 2026 tarihi tümüyle boşa çıkmamıştır; 50. maddedeki şeffaflık yükümlülükleri bu tarihte uygulanmaya başlar. Yalnızca sentetik içeriğin işaretlenmesine ilişkin 50(2) hükmü bakımından, sistemlerini bu tarihten önce piyasaya arz etmiş olan sağlayıcılar için dört aylık bir geçiş süresi tanınmıştır. Düzenleyici deney alanlarının işler hâle getirilmesi için üye devletlere verilen süre 2 Ağustos 2027 tarihine uzatılmış, 5. maddeye rızaya dayanmayan mahrem materyal ile çocukların cinsel istismarı materyali üreten

• Avrupa Komisyonu, Commission Work Programme 2025, COM(2025) 45, Ek IV; geri çekilmenin resmî duyurusu: “Withdrawal of Commission Proposals,” Official Journal C/2025/5423 (6 Ekim 2025). Sürecin seyri için bkz. Avrupa Parlamentosu, Legislative Train Schedule, “AI Liability Directive,” dosya 2022/0303(COD).
• Tüzük, m. 113. Tüzük 1 Ağustos 2024 tarihinde yürürlüğe girmiş; 113. madde uyarınca yasaklanmış uygulamalar ve genel hükümler 2 Şubat 2025, onaylanmış kuruluşlara, yönetişime, yaptırımlara ilişkin hükümler ile genel amaçlı modellere ilişkin yükümlülükler 2 Ağustos 2025, genel uygulama 2 Ağustos 2026 ve 6(1) kapsamındaki (Ek I) sistemler 2 Ağustos 2027 tarihinden itibaren uygulanmak üzere kademeli bir takvim öngörmüştür.
• Avrupa Parlamentosu ve Konseyi, 8 Temmuz 2026 tarihli ve (AB) 2026/1744 sayılı Tüzük ((AB) 2024/1689, (AB) 2018/1139 ve (AB) 2023/1230 sayılı Tüzükleri değiştiren “Yapay Zekâya İlişkin Dijital Omnibus”), Official Journal of the European Union L, 2026/1744 (24 Temmuz 2026), CELEX 32026R1744, ELI: reg/2026/1744. Metin Strazburg’da 8

Temmuz 2026 tarihinde imzalanmış; dayanağı Avrupa Parlamentosu’nun 16 Haziran 2026 tarihli tutumu ile Konsey’in 29 Haziran 2026 tarihli kararıdır. Tüzük, kendi 4. maddesi uyarınca yayımını izleyen üçüncü günde — 27 Temmuz 2026 tarihinde — yürürlüğe girmiştir.

veya bunları manipüle eden sistemlere ilişkin iki yeni yasak eklenmiş⁴⁰ ve Yapay Zekâ Ofisi’nin denetim yetkileri genişletilmiştir.⁴¹

Bu erteleme, sağlayıcılar bakımından yükümlülüklerin niteliğini değiştirmez; yalnızca hazırlık için ek süre tanır. Tüzüğün risk temelli mimarisi, uygunluk değerlendirmesi rejimi ve yaptırım eşikleri olduğu gibi korunmuştur.

Değerlendirme ve Sonuç

(AB) 2024/1689 sayılı Tüzük, yüksek riskli yapay zekâ sistemleri bakımından sağlayıcıyı düzenlemenin merkezine yerleştiren, ürün güvenliği hukukundan devralınmış ve önceden uygunluk ispatına dayanan bir rejim kurmaktadır. Sağlayıcının borçları tek bir edimden değil, birbirine bağlı bir yükümlülükler ağından oluşur: risk yönetimi, veri yönetişimi, dokümantasyon, insan gözetimi, teknik sağlamlık, kalite yönetimi, uygunluk değerlendirmesi, kayıt ve piyasaya arz sonrası gözetim.

Bu mimarinin iki yapısal zayıflığı öğretide tutarlı biçimde işaret edilmektedir. İlki, nitelendirmenin ve uygunluk denetiminin büyük ölçüde sağlayıcının kendi beyanına bırakılmasıdır; Tüzük bunu 6(4), 49(2) ve 80. maddelerdeki belgeleme, kayıt ve sonradan denetim mekanizmalarıyla dengelemeye çalışsa da, denetimin etkinliği piyasa gözetim otoritelerinin kapasitesine bağlı kalmaktadır.⁴² İkincisi karmaşıklıktır. Sousa e Silva, genel çerçeveyi yeterli ve dengeli bulmakla birlikte, yaklaşımın sorumlu inovasyonu teşvik etme amacını kendi karmaşıklığıyla boşa çıkarma riski taşıdığı sonucuna varmaktadır.⁴³ Standartların zamanında hazırlanamaması nedeniyle takvimin (AB) 2026/1744 sayılı Tüzük ile ertelenmesi, bu eleştirinin soyut bir kaygı olmadığını göstermiştir.

Yine de yön açıktır. Ertelenen tarih, yükümlülüğün kendisi değil, yalnızca uygulanma anıdır. Dokümantasyonun on yıl saklanması, risk yönetiminin yaşam döngüsü boyunca sürdürülmesi ve amaçlanan kullanımın dikkatle tanımlanması gibi edimler, ancak sistemin tasarım aşamasında başlatılırsa yerine getirilebilir. Ho-Dac’ın “güvenilir yapay zekâ” bakımından küresel bir ölçüt oluşturma iddiasına ilişkin sorusu⁴⁴ ise, Tüzüğün metninden çok,

• (AB) 2026/1744, 1, 7(a) noktası ile Tüzüğün 5(1). fıkrasına eklenen (ba) ve (bb) bentleri; ayrıca yasağın kapsamını sınırlayan yeni 5(1a) ve 5(1b) fıkraları.
• (AB) 2026/1744, 1; Tüzüğün 113. maddesinin üçüncü paragrafı, değiştiren Tüzüğün 1. maddesinin 40. noktası ile yeniden kaleme alınmıştır.
• Veale ve Zuiderveen Borgesius, “Demystifying,” 102, 110–
• Sousa e Silva, “Critical Overview,” özet ve
• Ho-Dac, “Premier décryptage,”

önümüzdeki iki yılda uyumlaştırılmış standartların ve idari uygulamanın niteliğiyle yanıtlanacaktır.

Yazar: Av. Muhammed Melih Özen

Kaynakça

Avrupa Komisyonu. Commission Work Programme 2025: Moving Forward Together for a Bolder Europe. COM(2025) 45. Brüksel, 11 Şubat 2025.

Avrupa Parlamentosu ve Avrupa Birliği Konseyi. Direktif (AB) 2024/2853, 23 Ekim 2024, ayıplı ürünlerden doğan sorumluluğa ilişkin ve 85/374/AET sayılı Konsey Direktifini yürürlükten kaldıran Direktif. Official Journal of the European Union L, 2024/2853, 18 Kasım 2024.

Avrupa Parlamentosu ve Avrupa Birliği Konseyi. Tüzük (AB) 2024/1689, 13 Haziran 2024, yapay zekâya ilişkin uyumlaştırılmış kurallar belirleyen Tüzük. Official Journal of the European Union L, 2024/1689, 12 Temmuz 2024.

Avrupa Parlamentosu ve Avrupa Birliği Konseyi. Tüzük (AB) 2026/1744, 8 Temmuz 2026, (AB) 2024/1689, (AB) 2018/1139 ve (AB) 2023/1230 sayılı Tüzükleri yapay zekâya ilişkin uyumlaştırılmış kuralların uygulanmasının basitleştirilmesi bakımından değiştiren Tüzük (Yapay Zekâya İlişkin Dijital Omnibus). Official Journal of the European Union L, 2026/1744, 24 Temmuz 2026.

Avrupa Parlamentosu. Legislative Train Schedule: “AI Liability Directive,” dosya 2022/0303(COD). Erişim: Temmuz 2026.

Avrupa Komisyonu. “Withdrawal of Commission Proposals.” Official Journal of the European Union C/2025/5423, 6 Ekim 2025.

Ho-Dac, Marion. “Premier décryptage du règlement européen sur l’intelligence artificielle (AI Act): Vers un standard mondial de l’IA de confiance?” Recueil Dalloz, Ekim 2024. arXiv:2408.08318.

Sousa e Silva, Nuno. “The Artificial Intelligence Act: Critical Overview.” arXiv preprint arXiv:2409.00264, 2024.

Veale, Michael, ve Frederik Zuiderveen Borgesius. “Demystifying the Draft EU Artificial Intelligence Act: Analysing the Good, the Bad, and the Unclear Elements of the Proposed Approach.” Computer Law Review International 22, sy. 4 (2021): 97–112

Hukuk ve Bilişim Dergisi

Hukuk ve Bilişim Dergisi ve Blog kısmımızda,

Bilişim Suçları
Blockchain ve Dijital Paralar
Yapay Zekâ ve Robot Hukuku
Elektronik Ticaret Hukuku
İnternet Hukuku
Kişisel Verilerin Korunması Hukuku
Start-Up Hukuku
E-Spor Hukuku
Fikri Mülkiyet Hukuku ve benzer teknoloji hukuku alanlarında yazılar okuyucularımıza sunulmaktadır.

hukukvebilisim.org

AB avrupa birliği CE sistem yapay zeka yapay zeka hukuku yasal yüksek risk