Güncellendi: 1 Kasım 2026. Metin; madde atıfları, örnekler ve (AB) 2026/1744 sayılı Tüzük'ün belirlediği uygulama tarihleriyle yeniden yazıldı.

EU AI Act'te hangi kademede olduğunuzu sisteminizin ne kadar gelişmiş olduğu değil, ne için kullanıldığı belirler. Tüzük'ü sabit bir sırayla incelemek gerekir: 5. madde (yasak uygulamalar), Ek I ve Ek III ile birlikte 6. madde (yüksek risk), 50. madde (şeffaflık) ve son olarak, yapay zekâ okuryazarlığı dışında özel bir yükümlülük getirmeyen geri kalan kademe. (AB) 2026/1744 sayılı Tüzük (Yapay Zekâ Dijital Omnibusu) 27 Temmuz 2026'da yürürlüğe girdi. Buna göre yasaklar ve şeffaflık yükümlülüklerinin çoğu bugün uygulanıyor; Ek III sistemlerinin yüksek risk yükümlülükleri ise 2 Aralık 2027'de başlıyor.

Tüzük size uygulanıyor mu?

Sisteminiz AB pazarına ulaşıyorsa ya da çıktısı AB'de kullanılıyorsa büyük olasılıkla uygulanıyor. 2. maddenin 1. fıkrası, AB pazarına yapay zekâ sistemi sunan sağlayıcıları nerede kurulu olursa olsun kapsar. AB dışındaki sağlayıcı ve uygulayıcılar da sistemin çıktısı AB'de kullanılıyorsa kapsama girer. Dolayısıyla AB'de ofisi olmayan bir Türk şirketi de Tüzük'e tabi olabilir.

İki rol önemlidir. Sağlayıcı, sistemi geliştiren veya geliştirten ve kendi adıyla sunan kişidir (m. 3/3). Uygulayıcı (deployer) ise sistemi kendi yetkisi altında kullanan kişidir; kişisel ve mesleki olmayan kullanım bunun dışındadır (m. 3/4). 2. madde bazı istisnalar da içerir: yalnızca askerî, savunma veya ulusal güvenlik amacıyla kullanılan sistemler (m. 2/3) ve yalnızca bilimsel araştırma için geliştirilen sistemler (m. 2/6) bunlardandır.

Genel amaçlı yapay zekâ modelleri ayrı bir yoldur, bir risk kademesi değildir. Bu modellerin sağlayıcıları 2 Ağustos 2025'ten beri 53. maddedeki yükümlülüklere tabidir.

Sisteminiz 5. madde uyarınca yasak mı?

Sistem 5. maddenin 1. fıkrasında sayılan uygulamalardan birine giriyorsa yasaktır ve bu yasaklar 2 Şubat 2025'ten beri uygulanıyor. Liste kısa ve somuttur:

  • önemli zarara yol açan veya açması muhtemel manipülatif ya da aldatıcı teknikler; yaş, engellilik veya sosyal ve ekonomik durumdan kaynaklanan kırılganlıkların istismarı;
  • haksız veya ilgisiz bir alanda olumsuz muameleye yol açan sosyal puanlama;
  • bir kişinin suç işleme riskini yalnızca profil çıkarmaya veya kişilik özelliklerine dayanarak tahmin etme;
  • internetten veya kamera kayıtlarından hedef gözetmeksizin görüntü toplayarak yüz tanıma veri tabanı oluşturma;
  • işyerinde veya eğitim kurumunda duygu çıkarımı (tıbbi veya güvenlik amaçları hariç);
  • ırk, siyasi görüş, din, cinsel yönelim gibi özellikleri çıkarmak için biyometrik sınıflandırma;
  • kolluk amacıyla kamuya açık alanlarda gerçek zamanlı uzaktan biyometrik kimlik tespiti (dar istisnalar hariç).

Somut bir örnek: Komisyon'un yasak uygulamalar kılavuzu, işe alım sürecinde duygu tanıma sistemi kullanmanın yasak olduğunu belirtiyor. Kılavuz bağlayıcı değildir, ancak Komisyon'un yasağı nasıl okuduğunu gösterir.

Omnibus, 2 Aralık 2026'dan itibaren iki yeni yasak ekliyor: kimliği belirlenebilir bir kişinin rızası olmadan mahrem görüntüsünü üreten sistemler ve çocukların cinsel istismarı materyali üreten sistemler (m. 5/1-ba ve bb). Koşulları sitedeki çıplaklaştırma yasağı yazısında bulabilirsiniz. 5. maddenin ihlali, 35 milyon avroya veya dünya çapındaki yıllık cironun %7'sine (hangisi yüksekse) kadar para cezası doğurabilir (m. 99/3).

Sisteminiz 6. madde uyarınca yüksek riskli mi?

İki yoldan birine giriyorsa yüksek risklidir; bu yolların başlangıç tarihleri de farklıdır.

1. yol, ürünler (m. 6/1 ve Ek I). Sistem, Ek I'de sayılan AB ürün mevzuatının kapsadığı bir üründür veya böyle bir ürünün güvenlik bileşenidir ve ürün, bağımsız bir kuruluşun yaptığı üçüncü taraf uygunluk değerlendirmesinden geçmek zorundadır. Asansör, oyuncak veya tıbbi cihazlardaki güvenlik işlevleri buna örnektir. Bu yükümlülükler 2 Ağustos 2028'de başlar. Makinelerin de artık yer aldığı Ek I'in B bölümündeki ürünlere ise daha dar bir kural uygulanır (m. 2/2). Omnibus bu yolu ayrıca daralttı: yalnızca kullanım kolaylığı veya performans iyileştirme gibi güvenlikle ilgisi olmayan işlevlerde kullanılan yapay zekâ, arızası sağlık ve güvenliği tehlikeye atmıyorsa güvenlik bileşeni sayılmaz (m. 6/1a ve 1b).

2. yol, sayılan kullanımlar (m. 6/2 ve Ek III). Kullanım şu sekiz alandan birine girer: biyometri; kritik altyapı; eğitim; istihdam; temel özel ve kamu hizmetleri; kolluk; göç ve sınır yönetimi; yargı ve demokratik süreçler. İş başvurularını eleyen araç (4/a), kredi puanlaması (5/b, dolandırıcılık tespiti hariç), hayat ve sağlık sigortası fiyatlaması (5/c) ve sınav gözetimi (3/d) buna örnektir. Bu yükümlülükler 2 Aralık 2027'de başlar.

6. maddenin 3. fıkrası Ek III için bir istisna öngörür. Sistem önemli bir risk oluşturmuyorsa ve yalnızca dar bir usul işlemi yapıyor, tamamlanmış bir insan faaliyetini iyileştiriyor, insan değerlendirmesinin yerini almadan karar kalıplarını tespit ediyor veya hazırlık işi görüyorsa yüksek riskli sayılmaz. Bu yazının yorumuna göre özgeçmişleri yalnızca dosya türüne göre ayıran bir araç bu kapsama girebilir; adayları sıralayan bir aracın girmesi ise beklenmez. İki sınır vardır. Ek III'teki bir sistem kişilerin profilini çıkarıyorsa her zaman yüksek risklidir. İstisnaya dayanan sağlayıcı da değerlendirmesini belgelemek ve sistemi kaydettirmek zorundadır (m. 6/4 ve 49/2).

Komisyon 19 Mayıs 2026'da sınıflandırma kılavuzunun taslağını yayımladı. Sitedeki yüksek risk testi bu ölçütleri sorulara dönüştürüyor; takvim yazısı ise ertelemeyi ayrıntılı anlatıyor.

50. madde şeffaflık yükümlülüğü getiriyor mu?

Sisteminiz insanlarla konuşuyor, sentetik içerik üretiyor, duygu tanıyor veya biyometrik sınıflandırma yapıyorsa getiriyor. 50. madde 2 Ağustos 2026'dan beri uygulanıyor:

  • Sağlayıcılar, sohbet botlarını kişilerin yapay zekâyla konuştuğunu anlayacağı biçimde tasarlamalıdır; bu durum zaten açıksa gerekmez (m. 50/1).
  • Üretken sistem sağlayıcıları çıktıları makine tarafından okunabilir biçimde işaretlemelidir (m. 50/2). 2 Ağustos 2026'dan önce piyasaya sunulan sistemlerin süresi 2 Aralık 2026'da doluyor (m. 111/4).
  • Uygulayıcılar, duygu tanıma veya biyometrik sınıflandırmaya maruz kalan kişileri bilgilendirmelidir (m. 50/3).
  • Uygulayıcılar, deepfake'lerin ve kamuoyunu kamu yararını ilgilendiren konularda bilgilendirmek için yayımlanan metinlerin yapay zekâ ürünü olduğunu açıklamalıdır. Metin insan denetiminden geçmişse ve biri yayın sorumluluğunu üstlenmişse bu gerekmez (m. 50/4).

Azami ceza 15 milyon avro veya cironun %3'üdür (m. 99/4). Sitedeki 50. madde kiti çalışma malzemesi sunuyor.

Bunların hiçbiri uygulanmıyorsa ne olur?

Geri kalan kademedesiniz demektir ve Tüzük sisteminiz için özel bir kural getirmez. Komisyon bunu "asgari risk veya risksiz" olarak adlandırıyor ve yapay zekâlı video oyunları ile spam filtrelerini örnek veriyor. Bu ad Tüzük'te ayrı bir bölüm olarak geçmez; diğer üç kademenin dışında kalanı anlatır.

İki nokta yine de geçerlidir. 4. madde, sağlayıcı ve uygulayıcılardan çalışanlarının yapay zekâ okuryazarlığını destekleyecek önlemler almalarını ister; Omnibus belirli bir düzeyin güvence altına alınması gerekmediğini ekledi. Ayrıca GDPR ve Türkiye'de KVKK gibi diğer düzenlemeler uygulanmaya devam eder. 95. madde de gönüllü davranış kurallarını teşvik eder.

Sınıflandırmada en sık nerede hata yapılıyor?

Hataların çoğu, kademeyi her kullanım için ayrı yapılacak bir test yerine tek seferlik bir etiket gibi görmekten kaynaklanıyor.

  • Kademeler örtüşebilir. Yüksek riskli bir işe alım sohbet botu hem yüksek risk kurallarına hem 50. maddenin 1. fıkrasına uymak zorundadır; 50. maddenin 6. fıkrası bunu açıkça söylüyor.
  • Amaç değişebilir. Genel bir aracı Ek III'teki bir kullanıma uyarlayan uygulayıcı, yüksek riskli sistemin sağlayıcısı hâline gelir (m. 25/1-c). İşe alımda yapay zekâ rehberi bunun uygulamada nasıl göründüğünü anlatıyor.
  • Tarih, muafiyet değildir. 2027'de yüksek riskli sayılacak bir sistem bugün 5. maddeyi ihlal edebilir.

Sık sorulan sorular

EU AI Act'teki dört risk kademesi nedir?

EU AI Act genellikle dört kademeyle anlatılır: yasak uygulamalar (m. 5), yüksek riskli sistemler (Ek I ve Ek III ile birlikte m. 6), şeffaflık yükümlülüğü olan sistemler (m. 50) ve asgari risk ya da risksiz sistemler. Sonuncusu, diğer üçü uygulanmadığında geriye kalandır. Genel amaçlı yapay zekâ modelleri ayrı kurallara tabidir.

EU AI Act'in yüksek risk kuralları ne zaman uygulanacak?

(AB) 2026/1744 sayılı Tüzük'e göre Ek III sistemleri için yüksek risk kuralları 2 Aralık 2027'de, Ek I ürünlerindeki yapay zekâ için 2 Ağustos 2028'de uygulanmaya başlıyor. Komisyon'un takvimi iki tarihi de gösteriyor. 5. maddedeki yasaklar ve 50. maddedeki yükümlülükler ertelenmedi.

EU AI Act Türkiye'deki bir şirkete uygulanır mı?

EU AI Act Türkiye'deki bir şirkete uygulanabilir. 2. maddenin 1. fıkrası, AB pazarına sistem sunan sağlayıcıları nerede kurulu olursa olsun kapsar; üçüncü ülkedeki sağlayıcı ve uygulayıcılar da çıktı AB'de kullanılıyorsa kapsama girer. Çıktısı AB'de kullanılmayan, yalnızca Türkiye'deki müşterilere yönelik satış bu bağlantıların dışında kalır.

Her sohbet botu EU AI Act'e göre yüksek riskli midir?

Hayır. Sohbet botları genellikle kişilere yapay zekâyla konuştuklarının söylenmesini isteyen 50. maddedeki şeffaflık yükümlülüğüne tabidir. Sohbet botu ancak kullanım amacı Ek III'e giriyorsa, örneğin iş adaylarını değerlendiriyorsa, EU AI Act'e göre yüksek riskli sayılır.

Kaynaklar: AB Resmî Gazetesi'nde yayımlanan (AB) 2024/1689 ve (AB) 2026/1744 sayılı Tüzükler; Komisyon'un C(2025) 5052 ve C(2026) 5054 sayılı kılavuzları; 19 Mayıs 2026 tarihli yüksek risk kılavuzu taslağı ve Komisyon'un internet sayfaları (1 Kasım 2026'da okundu). Nihai yüksek risk kılavuzu buradaki örnekleri değiştirebilir. Genel bilgi niteliğindedir, hukuki görüş değildir.