ISO 42001 belgesine sahip şirketler için yeni bir dönem başladı. AB Yapay Zekâ Tüzüğü (AI Act) kapsamındaki ilk uyumlaştırılmış standart olan EN 18286, bir yapay zekâ kalite yönetim sistemi standardıdır. Standardın künyesi, (AB) 2026/2274 sayılı Komisyon Uygulama Kararı ile 14 Ekim 2026'da AB Resmî Gazetesi'nde yayımlandı. Avrupa Komisyonu da yayımı 19 Ekim'de duyurdu. Yüksek riskli yapay zekâ sistemi sağlayıcıları, EN 18286'yı uyguladıkları ölçüde Tüzük'ün 17. maddesindeki kalite yönetim sistemi gerekliliklerine uygunluk karinesinden yararlanıyor. Son iki yılda ISO/IEC 42001 belgesi almış pek çok şirket şimdi aynı soruyu soruyor: ISO 42001 yeterli mi, yoksa EN 18286'ya da ihtiyaç var mı? Bu yazıda iki standardın neye hizmet ettiğini, uygunluk karinesinin nasıl işlediğini ve nerede bittiğini, AB'ye ürün ve hizmet satan Türk ve Koreli şirketler için ne anlama geldiğini inceliyoruz.

EN 18286 nedir ve neden şimdi önemli?

EN 18286:2026 standardının adı "Yapay zekâ — AB Yapay Zekâ Tüzüğü düzenleyici amaçları için kalite yönetim sistemi"dir. Standardı, Komisyon'un 23 Haziran 2025 tarihli C(2025) 3871 sayılı standardizasyon talebi üzerine Avrupa standardizasyon kuruluşları CEN ve CENELEC hazırladı. Uygulama Kararı, standardın bu talebin Ek I'inin 9. maddesini, yani yapay zekâ sağlayıcılarına yönelik, piyasaya arz sonrası izleme süreçlerini de kapsayan kalite yönetim sistemi standartlarını karşıladığını kayda geçiriyor.

Komisyon duyurusu uyum planlaması açısından üç noktanın altını çiziyor:

  • EN 18286, yüksek riskli yapay zekâ sistemi sağlayıcılarına 17. maddedeki kalite yönetim sistemi gerekliliklerini karşılamak için bir yol sunuyor. Standart, kuruluşun değil yapay zekâ sisteminin yaşam döngüsü etrafında kurgulanmış.
  • Komisyon, standardı uygunluk karinesi sağlayan "tek yapay zekâ KYS standardı" olarak nitelendiriyor.
  • Standart, ISO/IEC 42001, ISO 9001 veya ISO 13485 gibi sektörel sistemlerin yerini almak için değil, bunların üzerine eklenmek üzere tasarlandı. Düzenlenmiş sektörlerdeki sağlayıcılar ayrı sistemler yürütmek yerine yönetim sistemlerini bütünleştirebilir.

Zamanlama önemli. Dijital Omnibus düzenlemesinden sonra Ek III'te sayılan yüksek riskli sistemlere ilişkin yükümlülükler 2 Aralık 2027'den, Ek I'deki ürünlere gömülü yapay zekâya ilişkin yükümlülükler ise 2 Ağustos 2028'den itibaren uygulanacak. Sağlayıcıların elinde artık Tüzük'ün en ağır örgütsel yükümlülüklerinden biri için, yürürlükten bir yıldan uzun süre önce, hukuken tanınmış bir şablon var. Tüzük'ün genel çerçevesi için sitedeki Avrupa Birliği Yapay Zekâ Yasası notuna bakılabilir.

Tam olarak ne yayımlandı, ne zaman?

İlk yorumların bir kısmında tarihler birbirine karışmış durumda:

  • 2026 ortası: CEN ve CENELEC, EN 18286:2026'yı kabul etti; CEN-CENELEC standardın yayımlandığını 31 Temmuz 2026'da duyurdu. Kabul tarihi kaynaklara göre değişiyor: bir CEN-CENELEC bülteni hazirandan söz ederken standarda ilişkin bir yazılım sağlayıcısı özeti 12 Temmuz tarihini veriyor. Ardından ulusal kuruluşlar kendi baskılarını yayımlamaya başladı; İngiliz Standartlar Enstitüsü'nün (BSI) BS EN 18286:2026 baskısı bunlardan biri.
  • 12 Ekim 2026: Komisyon, "(AB) 2024/1689 sayılı Tüzüğü desteklemek üzere hazırlanan yüksek riskli yapay zekâ sistemlerine ilişkin uyumlaştırılmış standartlar hakkında" 2026/2274 sayılı Uygulama Kararı'nı kabul etti. Kararın ekinde tek bir standart yer alıyor: herhangi bir kısıtlama içermeyen EN 18286:2026.
  • 14 Ekim 2026: Karar AB Resmî Gazetesi'nin L serisinde yayımlandı ve 2. maddesi uyarınca aynı gün yürürlüğe girdi. 6. gerekçe bunun nedenini açıklıyor: uygunluk karinesi, standart künyesinin yayımlandığı tarihten itibaren doğar.

Komisyon duyurusu 19 Ekim'de geldi; ancak hukuken uygunluk karinesi 14 Ekim 2026'dan beri mevcut.

EN 18286 neleri kapsıyor?

Standardın metni kamuya açık değil; ulusal standart kuruluşları aracılığıyla ücret karşılığında satılıyor. Aşağıdaki özet, Uygulama Kararı'na, Komisyon'un açıklamasına ve yayımlanmış madde haritalarına dayanıyor; bu çekinceyle okunmalı.

Uyum yazılımı sağlayıcısı Modulos'un yayımladığı madde madde dökümüne göre 4. madde uygulanacak düzenleyici gerekliliklerin belirlenmesini, sistemin kapsamını ve uyum stratejisini düzenliyor. 5-7. maddeler liderlik, planlama ve destek süreçlerini; 8. madde risk, tasarım, doğrulama ve geçerli kılma, veri, sürekli öğrenme ve dokümantasyon dahil yaşam döngüsü boyunca sistemin "gerçekleştirilmesini" ele alıyor. 9. madde ("operasyonlar ve kontrol") piyasaya arz, tedarik zinciri, değişiklikler, piyasaya arz sonrası izleme, ciddi olay bildirimi ve mevzuata aykırılıkları; 10. madde ("performans değerlendirmesi") ise yönetimin gözden geçirmesini ve değişikliklerin planlanmasını kapsıyor. Aynı kaynağa göre standardın dört eki var:

  • Ek A: sağlık, güvenlik ve temel haklara yönelik riskler konusunda ilgili tarafların görüşünün alınması.
  • Ek B: ISO 9001 ile madde karşılık tablosu.
  • Ek C: ISO/IEC 42001 ile madde karşılık tablosu.
  • Ek ZA: standart maddelerini 17(1). maddenin (a)-(m) bentleriyle ve 11(1). maddenin ilk cümlesiyle eşleştiren tablo.

Aktarıldığına göre Ek ZA, 17. maddenin 2-4. fıkralarını kapsam dışı olarak gösteriyor. Karşılık tabloları yalnızca ilgili maddeleri gösteriyor; iki standardı birbirine eşdeğer kılmıyor.

Aynı özet iki tasarım tercihine dikkat çekiyor. EN 18286, bir eksikliği ISO'daki gibi "uygunsuzluk" (nonconformity) olarak değil, karşılanmamış bir düzenleyici gereklilik anlamında "mevzuata aykırılık" (non-compliance) olarak tanımlıyor; yani burada "kalite", Tüzük'e uyum demek. Ayrıca standartta ISO/IEC 42001'deki gibi genel bir sürekli iyileştirme maddesi bulunmuyor; iyileştirme, yönetimin gözden geçirmesi ve planlı değişiklikler üzerinden yürüyor. Aynı kaynağa göre standart, büyüklüğü ve yerleşik olduğu ülke ne olursa olsun yüksek riskli yapay zekâ sistemi sağlayıcılarına hitap ediyor; genel amaçlı yapay zekâ modeli sağlayıcıları kapsamda değil.

ISO 42001 nedir, EN 18286'dan farkı ne?

ISO/IEC 42001:2023, yapay zekâya ilişkin uluslararası yönetim sistemi standardıdır. CEN bu standardı EN ISO/IEC 42001:2026 olarak Avrupa standardına dönüştürdü; örneğin Alman standart kuruluşu DIN, Almanca sürümü Ağustos 2026 baskı tarihiyle listeliyor. Standart, bilinen yönetim sistemi yapısını yapay zekâya özgü kontrollerle birleştirir. Yapay zekâ geliştiren, sağlayan ya da kullanan her kuruluşa uygundur ve belgelendirilebilir. Temmuz 2025'ten beri yürürlükte olan ISO/IEC 42006:2025, yapay zekâ yönetim sistemlerini belgelendiren kuruluşlar için ek gereklilikler öngörüyor.

Aradaki fark nitelikte değil, amaçta:

  • ISO/IEC 42001 şunu sorar: Kuruluş, yapay zekâyı kendi hedefleri ve risk iştahı çerçevesinde sorumlu biçimde yönetiyor mu? Geliştiriciye de kullanıcıya da uygulanır ve kapsamı büyük ölçüde kuruluş belirler.
  • EN 18286 şunu sorar: Sağlayıcının kalite yönetim sistemi, AB pazarına sunduğu yüksek riskli sistemler bakımından Tüzük'e uyumu güvence altına alıyor mu? Kapsamı Tüzük belirler; konusu yaşam döngüsü boyunca yapay zekâ sistemidir.

ISO/IEC 42001, AI Act kapsamında AB Resmî Gazetesi'nde yayımlanmış bir standart değildir ve uygunluk karinesi sağlamaz. ISO 42001 belgesi yönetişim olgunluğunun güçlü bir kanıtıdır ve yolu önemli ölçüde kısaltır; ama 17. maddenin karşılandığının hukuki kanıtı değildir.

AI Act'in 40. maddesine göre uygunluk karinesi nasıl işler?

40(1). madde, künyesi AB Resmî Gazetesi'nde yayımlanmış uyumlaştırılmış standartlara uygun yüksek riskli yapay zekâ sistemlerinin, standartların kapsadığı ölçüde, III. Bölüm'ün 2. Kısmı'ndaki gerekliliklere uygun sayılacağını öngörür. Pratikte bu, ispat yükünü genellikle yer değiştirir: aksi kanaatteki otoritenin, sistemin nerede yetersiz kaldığını göstermesi gerekir.

Üç sınır önemli.

Karine, standart ne kadar genişse o kadar geniştir. Ek ZA, EN 18286'yı 17(1). maddeyle eşleştirip 17(2)-(4). fıkralarla eşleştirmiyorsa karine orada durur. Daha önemlisi, bir KYS standardı sağlayıcının risk yönetimi ve veri yönetimi süreçlerine sahip olmasını şart koşar. Ama sistemin risk yönetiminin (9. madde), veri yönetişiminin (10. madde) ya da doğruluk, sağlamlık ve siber güvenlik düzeyinin (15. madde) Tüzük'ü fiilen karşıladığını varsaymaz. Bu gereklilikler kendi standartlarını bekliyor. Komisyon'un standardizasyon sayfası Komisyon'un CEN ve CENELEC'ten standart talep ettiği on alanı sayıyor; kalite yönetimi bunlardan yalnızca biri.

Kısmi uygulama, kısmi karine demektir. Standardın yalnızca bazı maddelerini uygulayan sağlayıcı, karineden yalnızca o maddeler için yararlanır. Geri kalanında uyumunu başka yollarla göstermesi gerekir.

Metne ilişkin bir not (kendi değerlendirmem). Lafzi okumayla 40(1). madde karineyi III. Bölüm'ün 2. Kısmı'na (8-15. maddeler) bağlıyor. 17. madde ise sağlayıcı yükümlülüklerinin düzenlendiği 3. Kısım'da yer alıyor. Dijital Omnibus 40(1). maddeye dokunmadı; 40(2). maddeye 2. ve 3. Kısımlar ile Ek I mevzuatına birlikte uyumu destekleyecek standardizasyon çıktıları talep eden yeni bir alt paragraf ekledi. Buna karşın Komisyon, EN 18286'nın uygulanmasının kapsadığı 17. madde gereklilikleri bakımından uygunluk karinesi sağladığını açıkça belirtiyor; Uygulama Kararı da standardın künyesini 40. maddeye dayanarak yayımlıyor. 17(4). madde de 40. maddedeki uyumlaştırılmış standartların dikkate alınacağını öngörüyor. Kanaatimce piyasa gözetim otoriteleri büyük olasılıkla Komisyon'un yorumunu izleyecektir; ancak bu nokta henüz yargı önünde sınanmadı. Dikkatli bir sağlayıcı karineyi bir dokunulmazlık değil, güçlü bir ispat avantajı olarak görmelidir.

ISO 42001 sertifikası mı, uygunluk karinesi mi?

Yaygın bir yanılgı, AI Act'in bir sertifika, örneğin bir ISO 42001 sertifikası ya da ileride verilecek bir "EN 18286 sertifikası" istediğidir. Tüzük böyle bir şey istemiyor. Uygunluk, 43. maddedeki uygunluk değerlendirmesi prosedürüyle gösterilir; ardından AB uygunluk beyanı düzenlenir ve CE işareti iliştirilir:

  • Ek III'ün 2-8. bentleri (kritik altyapı, eğitim, istihdam, temel hizmetler, kolluk, göç, adalet): Ek VI'daki iç kontrol prosedürü uygulanır, onaylanmış kuruluş devreye girmez. Bu prosedürün ilk adımı, sağlayıcının kurduğu kalite yönetim sisteminin 17. maddeye uygun olduğunu bizzat doğrulamasıdır. EN 18286 tam olarak bu öz-doğrulama için tasarlandı.
  • Ek III'ün 1. bendi (biyometri): İç kontrol yalnızca sağlayıcı uyumlaştırılmış standartları veya ortak spesifikasyonları uyguladıysa mümkündür; aksi hâlde kalite yönetim sisteminin değerlendirilmesini de içeren Ek VII'deki onaylanmış kuruluş prosedürü zorunludur. Makul bir okumayla burada esas alınan, 2. Kısım gerekliliklerine ilişkin standartlardır. Bunlar yayımlanana kadar biyometrik sistem sağlayıcıları Ek VII'ye göre plan yapmalıdır.
  • Ek I ürünleri (örneğin yapay zekâ güvenlik bileşeni içeren makineler veya tıbbi cihazlar): Sektörel mevzuattaki uygunluk değerlendirmesi prosedürü uygulanır; o mevzuat uyarınca onaylanmış kuruluş AI Act'in 2. Kısım gerekliliklerini de inceler. 17(3). madde, sektörel mevzuat gereği zaten KYS yükümlülüğü bulunan sağlayıcıların yapay zekâya özgü unsurları bu sisteme, örneğin tıbbi cihazlar için ISO 13485'e dayalı bir sisteme, yerleştirmesine izin verir.

Akredite bir kuruluşun verdiği sertifikanın ticari ve ispat değeri vardır; ancak 40. madde anlamında karine doğurmaz. Karine de sertifika gerektirmez; yayımlanmış standardın uygulanmasından doğar. 18(1)(b). madde uyarınca KYS dokümantasyonu, sistemin piyasaya arzından itibaren on yıl boyunca ulusal otoritelerin erişimine hazır tutulmalıdır. Tüzük'e uygun bir KYS'nin bulunmaması 16. maddedeki sağlayıcı yükümlülüklerinin ihlalidir. 99(4). madde bu ihlal için 15 milyon avroya veya dünya çapındaki yıllık cironun %3'üne (hangisi yüksekse) kadar para cezası öngörüyor (girişimler dahil KOBİ'ler için hangisi düşükse).

Dijital Omnibus (2026/1744 sayılı Tüzük) neyi değiştirdi?

Yapay zekâya ilişkin Dijital Omnibus 24 Temmuz 2026'da yayımlandı ve 27 Temmuz'da yürürlüğe girdi. Kalite yönetimi bakımından iki değişiklik önemli:

  • Tarihler. Değişik 113. madde uyarınca III. Bölüm'ün 1-3. Kısımları, 6(2). madde ve Ek III kapsamında yüksek riskli sayılan sistemlere 2 Aralık 2027'den, 6(1). madde ve Ek I kapsamındakilere 2 Ağustos 2028'den itibaren uygulanacak. Sitedeki yüksek risk takviminin ertelenmesinin hız kesmek için gerekçe olmadığına dair analiz, şablon artık mevcut olduğundan daha da geçerli.
  • Küçük sağlayıcılar. 17(2). madde artık orantılılık kuralında KOBİ'leri, girişimleri ve küçük orta ölçekli şirketleri (SMC) açıkça anıyor; Tüzük'ün gerektirdiği titizlik ve koruma düzeyi ise korunuyor. Değişik 63(1). madde, ortak veya bağlı işletmesi bulunmayan KOBİ'lerin (girişimler dahil) Komisyon kılavuzlarına dayanarak bazı KYS unsurlarını basitleştirilmiş biçimde uygulamasına imkân tanıyor. 63(2). madde, 9-15. maddeler dahil diğer yükümlülüklerin geçerliliğini koruduğunu teyit ediyor.

EN 18286 Türk ihracatçıları için ne anlama geliyor?

Türkiye'de AI Act'e karşılık gelen bir kanun yok. Bu nedenle Türk ihracatçıları için asıl soru, AB pazarının ne istediğidir.

AI Act Türk sağlayıcılara doğrudan uygulanır. 2(1)(a). madde, AB pazarında yapay zekâ sistemi sunan sağlayıcıları, Birlik'te ya da üçüncü bir ülkede yerleşik olmalarından bağımsız olarak kapsar. 2(1)(c). madde ise sisteminin çıktısı Birlik'te kullanılan, Birlik dışındaki sağlayıcı ve uygulayıcıları da kapsama alır. Alman bir işverene özgeçmiş tarama aracı satan Türk yazılım şirketi de, yapay zekâ tabanlı güvenlik fonksiyonu olan bir makine ihraç eden Türk üretici de başlı başına sağlayıcıdır. 22. madde uyarınca bu şirketler, Birlik'te yerleşik bir yetkili temsilciyi yazılı yetkiyle atamak zorundadır. Temsilci, uygunluk beyanını ve teknik dokümantasyonu doğrular ve bunları on yıl saklar. 23. madde uyarınca AB'deki ithalatçı da sistemi piyasaya sunmadan önce uygunluk değerlendirmesinin yapıldığını, dokümantasyonun bulunduğunu, CE işaretinin iliştirildiğini ve yetkili temsilcinin atandığını kontrol etmelidir. Türk tedarikçiler EN 18286 ile büyük olasılıkla ilk kez AB'li müşterilerinin tedarik soru formlarında karşılaşacak.

Gümrük Birliği ve Türk standartları. 1/95 sayılı Türkiye-AT Ortaklık Konseyi Kararı'nın 8. maddesiyle Türkiye, ticarette teknik engellerin kaldırılmasına ilişkin AB düzenlemelerini iç hukukuna aktarmayı üstlendi. Türk Standardları Enstitüsü (TSE), Türkiye'nin CEN ve CENELEC üyesidir. CEN-CENELEC kurallarına göre her Avrupa Standardına tüm üye ülkelerde ulusal standart statüsü verilmeli ve çelişen ulusal standartlar geri çekilmelidir. Dolayısıyla EN 18286 ve EN ISO/IEC 42001'in TS EN standardı olarak yayımlanması gerekir. TSE'nin TS EN 18286'yı yayımlamış olduğunu kamuya açık kaynaklarda doğrulayamadım. Modulos özeti ulusal kabul için son tarihi Ocak 2027 olarak veriyor; bunu resmî bir CEN-CENELEC kaydıyla teyit edemedim. Şirketlerin TSE kataloğunu kontrol etmesi yerinde olur. Ancak bir standardın ulusal standart olarak kabulü, AI Act'in Türk hukukuna aktarılması anlamına gelmez. Tüzüğün kendisinin iç hukuka alınıp alınmayacağı henüz açık bir soru; daha geniş tablo için sitedeki EU AI Act ile Türkiye Ulusal YZ Stratejisi'nin kesişim noktası notuna bakılabilir.

Türk ürün güvenliği hukuku AB ihracatını zaten kapsıyor. 7223 sayılı Ürün Güvenliği ve Teknik Düzenlemeler Kanunu'nun 2(2). maddesine göre AB üyesi ülkelere ihraç edilen veya ihraç edilmesi hedeflenen ürünler, bu Kanun kapsamında piyasaya arz edilmiş sayılır. 5(2). madde ise teknik düzenlemenin insan sağlığı ve güvenliğiyle ilgili hükümlerine uygun ürünün aksi ispatlanana kadar güvenli kabul edileceğini öngörür. AB'ye ihraç edilen yapay zekâ destekli bir makinede, AI Act'i aktaran bir Türk teknik düzenlemesi olmasa da Türk piyasa gözetimi ile AB gereklilikleri ürün düzeyinde zaten kesişiyor.

KVKK ve borçlar hukuku. EN 18286 uyarınca kurulan bir KYS, belgelenmiş veri yönetimi gerektirir. Türk sağlayıcılar için bu yükümlülük, veri sorumlusuna veri güvenliği için gerekli her türlü teknik ve idari tedbiri alma ödevi yükleyen 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 12(1). maddesiyle ve gerekli denetimleri yapma veya yaptırma ödevini düzenleyen 12(3). maddesiyle yan yana yürür. AI Act için veri kaynağını, erişimi ve saklama sürelerini belgeleyen bir KYS, KVKK uyumunu kanıtlamak için de doğal zemindir; kesişim alanları sitedeki KVKK ve yapay zekâ yönetişimi rehberinde ele alınıyor. Ticari tarafta AB'li ithalatçılar, AI Act'e ilişkin garantileri tedarik sözleşmelerine taşıyacak. 6098 sayılı Türk Borçlar Kanunu'nun (TBK) 112. maddesine göre borç hiç veya gereği gibi ifa edilmezse borçlu, kendisine hiçbir kusur yüklenemeyeceğini ispat etmedikçe alacaklının zararını gidermekle yükümlüdür. 115(1). madde ise borçlunun ağır kusurundan sorumlu olmayacağına ilişkin önceden yapılan anlaşmayı kesin olarak hükümsüz sayar. Arkasında işleyen bir KYS olmadan "AI Act'e uyum" garantisi veren bir tedarikçi, sorumluluğu sınırlayan kayıtların tam olarak karşılayamayacağı bir risk üstlenir.

Koreli şirketler ve Kore Yapay Zekâ Temel Yasası

Koreli ihracatçılar da AB rejimiyle aynı koşullarda karşılaşır: 2. madde, 22. madde uyarınca yetkili temsilci ve 23. madde uyarınca ithalatçı kontrolleri. Kendi ülkelerinde ise 20676 sayılı ve 22 Ocak 2026'dan beri yürürlükte olan Yapay Zekânın Geliştirilmesi ve Güven Temelinin Oluşturulması Hakkında Temel Kanun (Yapay Zekâ Temel Yasası) uygulanıyor. Yasa, sitedeki Kore Yapay Zekâ Temel Yasası rehberinde ayrıntılı olarak inceleniyor. ISO 42001 ve EN 18286 sorusu bakımından dört hüküm öne çıkıyor:

  • 34(1). madde, "yüksek etkili" yapay zekâ sunan işletmecilerin bir risk yönetim planı, açıklama yöntemi, kullanıcı koruma tedbirleri ve insan gözetimi oluşturmasını, bu tedbirleri gösteren belgeleri hazırlayıp saklamasını şart koşuyor. Uygulama Yönetmeliği'nin 27(2). maddesine göre bu belgeler beş yıl saklanır; AI Act'te süre on yıldır.
  • 34(3). madde, başka kanunlar uyarınca eşdeğer tedbirlerin alınması hâlinde yükümlülüğü yerine getirilmiş sayıyor. Yönetmeliğin Ek 1'i bu hâlleri sayıyor: örneğin dijital tıbbi cihazlar için Dijital Tıbbi Ürünler Kanunu'ndaki kalite yönetim sistemi, otonom araç sertifikaları ve belirli kişisel veri (PIPA) tedbirleri. ISO/IEC 42001 sertifikası bu listede yok.
  • 30(3). madde, yüksek etkili yapay zekâ sunan işletmecilerin önceden doğrulama veya sertifika almaya çalışmasını öngörüyor. 30(4). madde uyarınca yüksek etkili yapay zekâ kullanmak isteyen kamu kurumları, doğrulanmış veya sertifikalandırılmış yapay zekâya dayanan ürün ve hizmetleri öncelikle değerlendirmek zorunda. Yasa belirli bir belgelendirme sistemini adıyla anmıyor; ancak ISO/IEC 42001 sertifikası Kore iç hukukunda ağırlığını bu hüküm üzerinden kazanabilir.
  • 14(2). madde hükümete yapay zekâ standartlarını ilan edip uyulmasını tavsiye etme yetkisi veriyor; 14(4). madde ise uluslararası standart kuruluşlarıyla iş birliğini bir ödev olarak düzenliyor.

Sertifikasyon piyasası zaten kurulmuş durumda. Hankyung'un Haziran 2025 tarihli haberine göre Kore Akreditasyon Kurulu (KAB), bir yıllık pilot uygulamanın ardından ISO 42001'e dayalı akreditasyon ve belgelendirme sistemini resmen başlattı; haber bunu Asya'da bir ilk olarak niteliyor. Aynı haberde Kore Teknoloji ve Standartlar Ajansı'nın (KATS) ISO 42001'i Kore Standardı (KS) olarak kabul etme sürecini 2025'in ikinci yarısında tamamlamasının beklendiği belirtiliyor; bunun gerçekleşip gerçekleşmediğini doğrulayamadım.

Koreli gruplar için sonuç üç katmanlı bir yapı: grup genelinde temel olarak ISO/IEC 42001, Kore için 34. madde tedbirleri ve 30. madde sertifikası, AB'ye satılan yüksek riskli sistemler için EN 18286 KYS. Katmanlar büyük ölçüde örtüşüyor, ama hiçbiri diğerinin yerini tutmuyor.

Uygulamada yol haritası: ISO 42001'den AB uyumlu yapay zekâ kalite yönetim sistemine

  1. Önce sınıflandırın. Hangi sistemlerin hangi Ek uyarınca yüksek riskli olduğunu ve sağlayıcının kim olduğunu belirleyin; 25. madde dağıtıcıyı, ithalatçıyı veya uygulayıcıyı sağlayıcıya dönüştürebilir. Başlangıç noktası olarak sitedeki yüksek risk testi ve EU AI Act'te hangi risk kademesindesiniz? analizi kullanılabilir.
  2. Tarihinizi belirleyin. Bağımsız Ek III sistemleri için 2 Aralık 2027; Ek I ürünlerindeki yapay zekâ için sektörel prosedür içinde 2 Ağustos 2028.
  3. Boşluk analizi yapın. ISO/IEC 42001 belgeniz varsa EN 18286'nın karşılık ekini bir dizin olarak kullanın, eşdeğerlik kanıtı olarak değil. Boşluklar genellikle düzenleyici gerekliliklerin belirlenmesi, piyasaya arz sonrası izleme, 73. madde kapsamında ciddi olay bildirimi ve otoritelerle iletişim alanlarında çıkar.
  4. Tam mı kısmi mi uygulayacağınıza karar verin. Karine, uyguladığınız maddeleri izler. Bir maddeden saptığınız yerde, alternatif çözümü ve neden 17. maddeyi karşıladığını belgeleyin.
  5. Çoğaltmayın, bütünleştirin. 17(3). maddeyi kullanarak yapay zekâ unsurlarını mevcut sektörel KYS'nize ekleyin; finansal kuruluşlar 17(4). maddeye tabidir.
  6. Kanıtları düzenleyin. On yıllık saklama düzenini kurun (18. madde), yetkili temsilci atayın (22. madde) ve ithalatçı dosyasını hazırlayın (23. madde). Kore için beş yıllık saklama süresini ve Uygulama Yönetmeliği'nin 27(1). maddesindeki internet sitesinde yayımlama yükümlülüğünü ekleyin.
  7. Sözleşmeleri gözden geçirin. AI Act garantilerini, iş birliği yükümlülüklerini ve olay bildirim kayıtlarını KYS'nizin gerçek durumuna göre fiyatlayın.
  8. İç politikayı uyumlu hâle getirin. KYS sunduğunuz sistemleri yönetir; yapay zekâ kullanım politikası ise çalışanların üçüncü taraf araçlar dahil yapay zekâyı nasıl kullandığını düzenler. Çoğu kuruluşun birbirine atıf yapan iki belgeye de ihtiyacı var.
  9. Sıradaki standartları izleyin. JTC 21'in kalan çıktıları Resmî Gazete'de yayımlandıkça karinenin kapsamı genişleyecek.

Sıkça sorulan sorular

ISO 42001 nedir?

ISO/IEC 42001:2023, yapay zekâ geliştiren, sağlayan veya kullanan kuruluşlar için uluslararası yapay zekâ yönetim sistemi standardıdır. Yönetim sistemi yapısını yapay zekâya özgü kontrollerle birleştirir ve akredite kuruluşlarca belgelendirilebilir. CEN bu standardı EN ISO/IEC 42001:2026 olarak Avrupa standardına dönüştürdü. Standart yönetişim olgunluğunu gösterir; tek başına AB Yapay Zekâ Tüzüğü'ne uyum anlamına gelmez.

ISO 42001 belgesi AI Act uyumu için yeterli mi?

Tek başına yeterli değil. ISO/IEC 42001, AI Act kapsamında AB Resmî Gazetesi'nde yayımlanmış bir uyumlaştırılmış standart değildir ve uygunluk karinesi sağlamaz. Yüksek riskli sistem sağlayıcılarının 17. maddeyi karşılayan bir kalite yönetim sistemine ihtiyacı var. EN 18286, mevcut bir ISO/IEC 42001 sisteminin üzerine eklenerek bu boşluğu kapatmak üzere tasarlandı.

EN 18286 uygunluk karinesi sağlar mı?

Evet. 14 Ekim 2026'dan beri, kapsadığı 17. madde gereklilikleri için ve yalnızca sağlayıcının standardı fiilen uyguladığı ölçüde karine sağlıyor. Ancak yapay zekâ sisteminin risk yönetimi, veri yönetişimi, doğruluk, sağlamlık ve siber güvenlik gerekliliklerini karşıladığını varsaymaz; bunlar kendi standartlarını bekliyor. Otorite karineyi aksini gösteren kanıtla çürütebilir.

ISO 42001 sertifikası veya EN 18286 sertifikası zorunlu mu?

AI Act sertifika şartı koymuyor. Ek III sistemlerinin çoğunda sağlayıcı kendi KYS'sini Ek VI'daki iç kontrol prosedürüyle doğrular. Onaylanmış kuruluşlar, biyometrik sistemlerde KYS değerlendirmesini de içeren Ek VII prosedürü uygulandığında ve Ek I ürünlerinde sektörel prosedürler içinde devreye girer. Özel sertifika ticari açıdan yararlı olabilir; ama hukuki karine sertifikadan değil, yayımlanmış standardın uygulanmasından doğar.

AI Act'in yüksek risk yükümlülükleri ne zaman uygulanacak?

Dijital Omnibus (2026/1744 sayılı Tüzük) sonrasında yükümlülükler, Ek III'te sayılan yüksek riskli sistemler için 2 Aralık 2027'den, Ek I mevzuatı kapsamındaki ürünlerin güvenlik bileşeni olan yapay zekâ sistemleri için 2 Ağustos 2028'den itibaren uygulanacak. Bir KYS'nin kurulması genellikle aylar sürdüğünden kalan süre göründüğünden kısa.

AI Act Türk şirketlerine uygulanır mı?

Evet. AB pazarında yapay zekâ sistemi sunan ya da sisteminin çıktısı AB'de kullanılan Türk şirketleri kapsamdadır (2. madde). AB dışında yerleşik sağlayıcılar, yüksek riskli sistemleri piyasaya sunmadan önce Birlik'te yetkili temsilci atamalıdır. AB'deki ithalatçılar da uygunluğu önceden kontrol etmekle yükümlüdür. Türk iç hukuku bu yükümlülükleri ortadan kaldırmaz.

Burhan Doğuş Ayparlar'ın Görüşü

EN 18286 mütevazı görünen ama etkisi mütevazı olmayan bir belge. İki yıldır şirketlerde "yapay zekâ yönetişimi" büyük ölçüde ISO/IEC 42001 anlamına geliyordu: şirketin kendi hızında ve kendi belirlediği kapsamda benimsediği, kuruluş merkezli bir sistem. EN 18286 referans noktasını değiştiriyor. Avrupalı düzenleyiciler, yapay zekâyı genel olarak iyi yönetip yönetmediğinizi sormayacak. Bu yüksek riskli sistemin, Tüzük'e uyumu güvence altına alan bir KYS altında piyasaya sunulup sunulmadığını soracak. Bu daha dar ve daha zor bir soru.

Üç sonuç çıkarıyorum. Birincisi, ISO/IEC 42001 için yapılan çalışma boşa gitmiş değil; EN 18286'ya giden en verimli yol bu. Ama bir 42001 sertifikasını "AI Act uyumu" olarak sunmak artık açıkça yanlış. Türk hukukuna tabi bir tedarik sözleşmesinde bu, TBK 112. madde anlamında borcun gereği gibi ifa edilmemesi sonucunu doğurabilir. İkincisi, karine manşetlerin düşündürdüğünden dar. Sistemin fiilî performansını değil yönetim sistemini kapsıyor; kalan JTC 21 standartları yayımlanana kadar risk, veri ve sağlamlık konusundaki zor sorular esastan tartışılmaya devam edecek. Üçüncüsü, Türkiye için asıl baskı yasal değil ticari. AB'li ithalatçılar Türk üreticilerden ve yazılım ihracatçılarından EN 18286 kanıtını, herhangi bir Türk düzenleyicisinden çok önce isteyecek. KYS'yi 2028'de bir formalite olarak değil, 2027'de bir ihracata hazırlık projesi olarak ele alan şirketler daha iyi konumda olacak.

Koreli şirketler için ders de aynı. Yapay Zekâ Temel Yasası sertifikasyonu 30. madde ile teşvik ediyor, sektörel eşdeğerleri 34(3). madde ile tanıyor; ama ISO/IEC 42001'i AB'deki hiçbir yükümlülüğün yerine koymuyor. Grup genelinde bir 42001 temeli, Kore için bir yüksek etki katmanı ve AB için bir EN 18286 katmanı, tek bir sertifikadan daha fazla emek ister. Ama hukukla örtüşen yapı budur.

Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş niteliği taşımaz. Yazı, 12 Ekim 2026 tarihli (AB) 2026/2274 sayılı Komisyon Uygulama Kararı'na (AB Resmî Gazetesi L, 14 Ekim 2026), Komisyon'un 19 Ekim 2026 tarihli duyurusuna ve (AB) 2026/1744 sayılı Tüzük ile değişik (AB) 2024/1689 sayılı Tüzük'ün Komisyon'un AI Act Service Desk sayfasındaki metnine dayanıyor. Ayrıca mevzuat.gov.tr'deki Türk mevzuatından ve law.go.kr'deki Kore mevzuatından yararlanıldı; tüm kaynaklara 20 Ekim 2026'da erişildi. EN 18286'nın metni kamuya açık olmadığından madde ve eklerine ilişkin açıklamalar ikincil kaynaklara, özellikle uyum yazılımı sağlayıcısı Modulos'un yayımladığı madde özetine dayanıyor ve standardın kendisiyle karşılaştırılarak teyit edilmelidir; CEN ve CENELEC'in standardı kabul tarihi de kaynaklar arasında farklı veriliyor. TSE'nin EN 18286'yı ulusal standart olarak kabul edip etmediği, ulusal kabul için verilen Ocak 2027 tarihi ve ISO/IEC 42001'in KS olarak kabul edilip edilmediği yazının hazırlandığı tarihte doğrulanamadı. Analiz ve değerlendirmeler yazara aittir.