AB Yapay Zekâ Yasası: 2 Ağustos 2026'da gerçekte ne yürürlüğe giriyor?

Yarın tam olarak ne başlıyor

2 Ağustos 2026 itibarıyla Yasa'nın 50. maddesindeki beş ayrı şeffaflık yükümlülüğü uygulanabilir hale geliyor. Bunlar teknik olarak zor değildir, ama yapılmadığında görünürler — denetim, bir ekran görüntüsüyle kanıtlanabilir.

1. Yapay zekâ ile konuşulduğunun bildirilmesi. Bir sohbet robotu veya sesli asistan kullanan kişinin karşısındakinin insan olmadığını bilmesi gerekir. İstisna dar: durumun makul, dikkatli bir kullanıcı için zaten apaçık olması.

2. Üretilen içeriğin işaretlenmesi. Sentetik ses, görüntü, video veya metin üreten sistemlerin çıktısı, makine tarafından okunabilir biçimde ve yapay olarak üretildiği tespit edilebilir şekilde işaretlenmelidir. Görünür bir küçük not yeterli değildir; kaynağa gömülü teknik işaret gerekir.

3. Duygu tanıma ve biyometrik sınıflandırma bildirimi. Bu sistemlere maruz kalan kişiler bilgilendirilmelidir.

4. Deepfake açıklaması. Görüntü, ses veya video üzerinde yapay zekâ ile oynanmışsa açıkça belirtilir. Sanatsal ve hiciv amaçlı yapıtlar için istisna vardır.

5. Kamuyu ilgilendiren metinlerde açıklama. Kamusal meselelerde yapay zekâ ile üretilmiş metin yayımlanıyorsa bu belirtilir — meğerki içerik insan denetiminden veya editoryal kontrolden geçmiş olsun.

Dar bir geçiş hükmü var: 2 Ağustos 2026'dan önce piyasaya sürülmüş sistemlerin sağlayıcıları, yalnızca teknik işaretleme çözümünü kurmak için 2 Aralık 2026'ya kadar süre alıyor. Diğer dört yükümlülük için ek süre yok.

Piyasadaki bilginin çoğu eski — ertelemeyi kaçırmayın

İnternette dolaşan uyum rehberlerinin büyük kısmı hâlâ "2 Ağustos 2026'da yüksek risk yükümlülükleri başlıyor" diyor. Bu artık doğru değil.

Digital Omnibus düzenlemesi Avrupa Parlamentosu ve Konsey tarafından Haziran 2026'da onaylandı; Resmî Gazete'de yayımını izleyen üçüncü günde yürürlüğe giriyor. Getirdiği erteleme şudur: bağımsız yüksek riskli sistemler (Ek III) 2 Aralık 2027'ye, düzenlenmiş ürünlere gömülü yüksek riskli sistemler (Ek I) 2 Ağustos 2028'e taşındı.

Bu bir rahatlama değil, bir fiyat farkıdır. Uyum işini takvimin sonuna bırakan kurumlar, aynı işi kıt danışman ve kıt denetçi piyasasında birkaç kat pahalıya yaptırıyor. Erken başlayan kurum aynı belgeyi kendi hızında, kendi ekibiyle üretir.

Türkiye'deki veya Körfez'deki bir şirketi neden bağlar

Yasa'nın kapsamı coğrafi değil, çıktı temellidir. AB dışında yerleşik bir sağlayıcı, sisteminin çıktısı Avrupa Birliği içinde kullanılıyorsa Yasa kapsamına girer.

Pratikte bu şu demek: Avrupalı bir müşteriye yazılım satan, Avrupa'daki bir ana firmaya hizmet veren, ya da ürününü Avrupa pazarına açan her Türk veya Körfez şirketi bu yükümlülüklerin muhatabıdır. Kendi ülkesinde hiçbir yapay zekâ mevzuatı olmasa bile.

İkinci ve daha sessiz etki: Avrupalı alıcılar bu yükümlülükleri tedarikçi sözleşmelerine aktarıyor. Yani Yasa size doğrudan uygulanmasa bile, müşterinizin sözleşmesi üzerinden size geliyor. İhaleye giren tedarikçiden teknik dokümantasyon, veri yönetişimi kaydı ve insan gözetimi tanımı isteniyor.

Cezalar

Şeffaflık yükümlülüklerinin ihlali için üst sınır 15 milyon avro ya da bir önceki mali yıla ait dünya genelindeki toplam cirosunun %3'ü — hangisi yüksekse odur. Küçük ve orta ölçekli işletmeler ile girişimler için düşük tavan uygulanır.

Karşılaştırma için: yasaklı uygulamalarda tavan 35 milyon avro veya cironun %7'sine kadar çıkıyor. GDPR'ın tavanı 20 milyon avro veya %4'tü. Yani bu, Avrupa'nın bugüne kadarki en ağır ceza rejimlerinden biri.

Aynı tarihte piyasa gözetim otoritelerinin yetkileri ve genel amaçlı yapay zekâ modellerine ilişkin ceza yetkileri de devreye giriyor. Yani 2 Ağustos'tan itibaren kuralı uygulayacak merci de var.

Yarın sabah yapılacak dört iş

Envanter. Kurumda hangi yapay zekâ sistemleri çalışıyor? Satın alınan hazır araçlar dahil. Çoğu kurum bu listeyi çıkardığında beklediğinin iki katını buluyor — pazarlamanın kullandığı üretici araçlar, çağrı merkezindeki robot, İK'daki eleme yazılımı.

Sınıflandırma. Her sistem hangi risk kademesinde? Bunu tahminle değil, Yasa'nın kendi ölçütleriyle yapın.

Şeffaflık açığı. Müşteriyle konuşan her sistemde bildirim var mı? Üretilen içerikte makine okunabilir işaret var mı?

Sorumluluk. Bu dosyanın sahibi kim? İsmi olmayan uyum programı, programı olmayan uyum demektir.

Kim, ne zaman, ne yapmak zorunda