AB Yapay Zekâ Yasası, en güçlü yapay zekâ modellerini geliştiren şirketlere karşı ilk kez fiilen işletiliyor. Avrupa Komisyonu İcra Başkan Yardımcısı Henna Virkkunen, 14 Ekim 2026'da Dublin'deki Uluslararası Yapay Zekâ Zirvesi'nde yaptığı konuşmada Komisyonun Yasa kapsamındaki ilk denetim adımlarını attığını açıkladı. Virkkunen'e göre Yapay Zekâ Ofisi (AI Office), genel amaçlı yapay zekâ modeli sağlayıcılarına resmî bilgi talepleri gönderdi. Bunlar, Komisyonun model sağlayıcılarına yönelik olarak 2 Ağustos 2026'da uygulanmaya başlayan yetkiler kapsamında duyurduğu ilk denetim adımları; Virkkunen bu adımları ilk kez 9 Ekim'de Yasa'nın Bilimsel Paneli'ne anlatmıştı. Bu adım, Virkkunen'in anlatımıyla yapay zekâ ajanlarının ortamlarından kaçtığı, kötü amaçlı kod yerleştirdiği ve insanları aldatmaya yönelik sosyal taktikler kullandığı bir yazın ardından geldi.

Ne oldu? AB Yapay Zekâ Yasası'nda model sağlayıcılarına yönelik ilk adım

En ayrıntılı anlatım, Virkkunen'in 9 Ekim 2026'da Brüksel'de Yasa'nın Bilimsel Paneli ile yapılan olağanüstü toplantıdaki açılış konuşmasında yer alıyor. Virkkunen, Yapay Zekâ Ofisi'nin "dünyanın en gelişmiş modellerinin sağlayıcılarına" ilk bilgi taleplerini üç konuda gönderdiğini söyledi:

  • Güvenlik: Modeller, aşamayacakları sınırlama önlemleriyle güvenli ortamlarda mı çalıştırılıyor? Davranışları yeterince izleniyor mu? Hesaplama kaynaklarına erişim yetkilendirilmiş ve izlenebilir mi?
  • Dış değerlendirme: Bağımsız değerlendiricilere yeterince uzun ve derin erişim tanınıyor mu? Bulguları karar süreçlerine yansıtılıyor mu?
  • Piyasaya arz sonrası izleme: Sağlayıcılar modellerinin nasıl kullanıldığını fiilen nasıl analiz ediyor ve bu analiz sistemik risk değerlendirmelerine nasıl yansıyor?

Virkkunen, bir sonraki adım olarak Ofis'in son olaylara ilişkin ayrı bir bilgi talebi göndereceğini de bildirdi.

Komisyonun toplantıya ilişkin 12 Ekim tarihli notu, Ofis'in ciddi olay bildirimlerini de talep edip aldığını kaydediyor. Panel başkanı ve başkan yardımcısı, Komisyona şu tavsiyeleri sundu:

  • geliştirme ve test amaçlı kullanım aşamasındaki şirket içi modellerin risklerini düzenlemek;
  • bu tür olayları tespit, değerlendirme ve soruşturma kapasitesini, örneğin bir görev gücüyle, güçlendirmek;
  • bilgi paylaşımı ve öncü geliştiriciler için ortak gereklilikler amacıyla uluslararası bir girişim başlatmak;
  • izlenebilirliği azaltan eğitim tekniklerini daha sıkı incelemek.

Bundan sonraki talepler, Panel'in ve Ofis'in sorularını birleştirecek. Virkkunen 14 Ekim'de Dublin'de, sistemik risk kurallarının Avrupa pazarında sunulan tüm gelişmiş modellere uygulandığını vurguladı; sağlayıcının Münih'te, Şanghay'da ya da San Francisco'da bulunması fark etmiyor.

Talepler kime gitti, hangi bilgiler yalnızca basına dayanıyor?

Virkkunen 9 Ekim'de, 2026'da OpenAI, Anthropic, Google DeepMind, Meta ve bağımsız değerlendirme kuruluşlarında 20'den fazla kontrol kaybı olayının belgelendiğini söyledi. Hugging Face olayında ise kendi ifadesiyle "700'ü aşkın OpenAI ajanı ortamından kaçarak başka bir şirketin sistemlerine sızdı". Bu olaylara ilişkin yayımlanmış bir rapor yok.

Komisyon, talep gönderilen şirketlerin adını açıklamadı. Euronews'un haberine göre talepler OpenAI ve Anthropic'e gönderildi. Habere göre Ofis, iki şirketin gönüllü olarak sunduğu belgeleri yetersiz buldu. Euronews ayrıca bir OpenAI ajanının test ortamından kaçarak Hugging Face'e sızdığını ve bunun AB'deki müşterileri de etkilediğini aktardı. Habere göre bir Anthropic modeli de üç dış kuruluşa "yetkisiz erişim" sağladı.

MLex ise 20 Ekim tarihli EU AI Act Newsletter'daki özete göre, Virkkunen'e dayanarak OpenAI, Anthropic ve Meta'nın, Komisyonun Yasa'nın güvenlik ve telif hükümlerine uyum konusunda soru yönelttiği 30'u aşkın şirket arasında olduğunu bildirdi; özete göre ikinci grup talepler telif konusundaydı. MLex'in ücretli haberinin kendisi bu yazı için incelenmedi. Bilgi talebi bir ihlal tespiti, suçlama ya da para cezası değildir; yaptırım merdiveninin ilk basamağıdır.

AB Yapay Zekâ Yasası model sağlayıcılarına hangi hukuki dayanakla uygulanıyor?

(AB) 2024/1689 sayılı Tüzük, genel amaçlı yapay zekâ modellerini yapay zekâ sistemlerinden ayrı düzenliyor (genel çerçeve için sitedeki AB Yapay Zekâ Yasası notuna bakılabilir). 51. madde uyarınca eğitiminde kullanılan kümülatif hesaplama miktarı 10²⁵ kayan nokta işlemini aşan bir modelin yüksek etkili yeteneklere sahip olduğu, dolayısıyla sistemik risk taşıdığı varsayılıyor.

Yükümlülükler. 53. madde her model sağlayıcısına Ofis için teknik dokümantasyon tutma yükümlülüğü getiriyor. Sağlayıcı ayrıca modeli kendi sistemine entegre eden sağlayıcıları bilgilendirmeli, bir telif politikası benimsemeli ve eğitim içeriğinin özetini yayımlamalı. 55. madde sistemik riskli modeller için dört ek yükümlülük öngörüyor:

  • çekişmeli testler (adversarial testing) dâhil model değerlendirmesi;
  • modelin "geliştirilmesinden, piyasaya arzından veya kullanımından" doğabilecek sistemik risklerin değerlendirilmesi ve azaltılması;
  • ciddi olayların Ofis'e bildirilmesi;
  • model ve fiziksel altyapısı için yeterli siber güvenlik.

AB dışındaki sağlayıcılar Birlik içinde yetkili temsilci atamak zorunda (m. 54). Sağlayıcılar uyumu, 10 Temmuz 2025'te yayımlanan Genel Amaçlı Yapay Zekâ Uygulama Kuralları ile gösterebiliyor. İmzacılar arasında Amazon, Anthropic, Google, Microsoft, Mistral AI ve OpenAI bulunuyor. xAI yalnızca güvenlik bölümünü imzaladı, Meta ise listede yer almıyor.

Yetkiler. 88. madde, bu kuralları denetleme ve uygulama yetkisini münhasıran Komisyona veriyor; Komisyon bu görevi Ofis eliyle yürütüyor. Araçlar kademeli:

  • Madde 91: belgelerin ya da "uyumun değerlendirilmesi için gerekli her türlü ek bilginin" talep edilmesi. Talep, Bilimsel Panel'in gerekçeli isteği üzerine de yapılabilir ve para cezası ihtarı içermek zorunda.
  • Madde 92: API veya kaynak kod erişimi dâhil modelin değerlendirilmesi.
  • Madde 93: risk azaltıcı önlemlerin istenmesi ya da modelin piyasada bulundurulmasının kısıtlanması, piyasadan çekilmesi veya geri çağrılması.
  • Madde 101: yıllık dünya cirosunun %3'üne ya da 15 milyon avroya (hangisi yüksekse) kadar para cezası. Ceza; kasıtlı veya ihmali ihlallerde, bilgi talebine uymamada ya da yanlış, eksik veya yanıltıcı bilgi verilmesinde uygulanabiliyor.

Takvim. Model yükümlülükleri 2 Ağustos 2025'ten beri uygulanıyor; ancak 113(b) maddesi 101. maddeyi bu tarihin dışında tuttu. Bu nedenle ceza yetkisi ve uygulama bölümü 2 Ağustos 2026'da devreye girdi. 2 Ağustos 2025'ten önce piyasaya arz edilen modeller için süre 2 Ağustos 2027'de doluyor (m. 111/3). Temmuz 2026'daki "Dijital Omnibus" değişiklikleri esas olarak yüksek risk takvimini erteledi. Hukuk bürolarının özetlerine göre Omnibus, genel amaçlı yapay zekâ yükümlülüklerini ve Ofis'in denetim yetkilerinin 2 Ağustos 2026'daki başlangıç tarihini değiştirmedi; Ofis'in rolünü ise başka açılardan genişletti. Bu yazıdaki madde atıfları Tüzük'ün ilk kabul edilen metnine yapılmıştır.

AB Yapay Zekâ Yasası test aşamasındaki modellere uygulanır mı?

Yasa'nın 2(8). maddesine göre Tüzük, yapay zekâ sistemleri veya modelleri piyasaya arz edilmeden ya da hizmete sunulmadan önceki "araştırma, test veya geliştirme faaliyetlerine" uygulanmaz. Bu istisna gerçek koşullarda yapılan testleri kapsamaz. 3(63). maddedeki tanım da piyasaya arzdan önce araştırma, geliştirme veya prototip çalışmalarında kullanılan modelleri dışarıda bırakıyor.

Euronews'a konuşan William Fry ortaklarından bir avukat, Yasa'nın geliştirme ve test faaliyetine "çok açık biçimde uygulanmadığını" söyledi. Avukata göre test sırasında kaçan bir ajanın "hizmete sunulduğunu" söylemek zorlama bir yorum. Metin bu dar noktada onu destekliyor. "Hizmete sunma" (m. 3/11) model için değil, yapay zekâ sistemleri için tanımlanmış. "Piyasaya arz" ise Birlik pazarında ilk kez bulundurma anlamına geliyor; bir kaçış ise tedarik değil.

Adı açıklanmayan bir Komisyon yetkilisi Euronews'a, test aşamasında yaptırım uygulanmayacağını söyledi. Ancak yetkiliye göre kaçan bir model AB pazarını etkilediğinde, Hugging Face olayında olduğu gibi, Yasa uygulanabilir hâle geliyor. Panel başkanı ve başkan yardımcısının ilk tavsiyesinin şirket içi modelleri geliştirme aşamasında düzenlemek olması ise mevcut metnin bunu açıkça yapmadığını gösteriyor.

İki soruyu birbirinden ayırmak gerekir. Ofis'in soru sorup soramayacağı konusunda zemin sağlam. 91(1). madde sağlayıcıya yöneliyor ve ilgili sağlayıcıların AB pazarında zaten modelleri var. 55(1)(b) de onlara geliştirmeden doğan riskleri değerlendirme yükümlülüğü getiriyor. Bir test olayının kendisinin yaptırıma konu olup olamayacağı ise çok daha tartışmalı. Daha sağlam yaklaşım, olayları piyasadaki modellerin risk yönetiminin yeterliliğine ilişkin bir gösterge olarak ele almak. BM Bilimsel Paneli'nin eylül ayındaki raporu da piyasaya sürülmeden önce ortaya çıkan risklere dikkat çekmişti.

AB Yapay Zekâ Yasası'nın uygulanması Türk ve Koreli şirketler için ne anlama geliyor?

Doğrudan kapsam. 2(1)(a). madde, sağlayıcıların "Birlik içinde ya da üçüncü bir ülkede yerleşik olup olmadığına bakılmaksızın" AB pazarına model sunan sağlayıcıları kapsıyor. Komisyonun rehber SSS'sine göre bu, API, indirme veya bulut hizmeti yoluyla erişimi de içeriyor. Genel amaçlı modeli AB'de erişilebilir olan bir Türk ya da Koreli geliştirici bu nedenle sağlayıcıdır, 53. maddeye uymalı ve açık kaynak istisnası uygulanmıyorsa yetkili temsilci atamalıdır; 55. madde ise yalnızca sistemik risk ölçeğinde devreye girer. Komisyonun imzacı listesinde Türk veya Koreli bir şirket yer almıyor.

Modeli kullanan şirketler. Türk ve Koreli şirketlerin çoğu bu modelleri eğitmiyor, onların üzerine ürün geliştiriyor. Onlar için üç talep konusu, kendi ajanlarına uygulayabilecekleri bir kontrol listesi niteliğinde. Bu konuda otonom yapay zekâ ajanlarının sorumluluğu rehberi ve eylemsel yapay zekâda sorumluluk analizi yol gösterebilir. Bu şirketler 53(1)(b). madde uyarınca model sağlayıcısından bilgi isteyebilir, 89(2). madde uyarınca da Ofis'e şikâyette bulunabilir.

Kore. Kore'nin Yapay Zekâ Temel Kanunu 22 Ocak 2026'dan beri yürürlükte ve Kore pazarını etkileyen yurt dışındaki eylemlere de uygulanıyor (m. 4). 32. madde, cumhurbaşkanlığı kararnamesiyle belirlenen hesaplama eşiğinin üzerinde eğitilmiş sistemlerin işletmecilerine, yaşam döngüsü boyunca riskleri belirleme, değerlendirme ve azaltma yükümlülüğü getiriyor. İşletmeciler güvenlik olaylarını izlemeli ve sonuçları Bilim ve Bilgi-İletişim Teknolojileri Bakanlığına sunmalı. Eşikleri aşan yabancı işletmeciler yurt içi temsilci atamak zorunda (m. 36). Bakanlık 40. madde uyarınca ancak ihlal şüphesi veya şikâyet hâlinde inceleme yapabiliyor, idari para cezası da 30 milyon won ile sınırlı (m. 43). Ayrıntılar için Kore Yapay Zekâ Temel Kanunu rehberine bakılabilir.

Türkiye. Türkiye'de yürürlükte bir yapay zekâ kanunu yok. Türkiye, 21 Eylül'de başlatılan öncü yapay zekâ modellerinin denetimine ilişkin çağrıyı Dışişleri Bakanı Hakan Fidan aracılığıyla imzaladı; Komisyon Başkanı da imzacılar arasında. Hollanda hükümetinin yayımladığı metindeki 22 imzacı arasında Kore yer almıyor; çağrı yeni katılımlara açık. Mevcut mevzuat bu tür olayların ancak bir kısmına uzanıyor. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12(5). maddesi, kişisel verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde ilgiliye ve Kurula bildirim yapılmasını öngörüyor. TCK'nın 243. maddesi bilişim sistemine hukuka aykırı girmeyi cezalandırıyor. Ancak ceza sorumluluğu şahsidir ve tüzel kişilere yalnızca güvenlik tedbiri niteliğindeki yaptırımlar uygulanabilir (m. 20). Suçun oluşması kastın varlığına bağlıdır (m. 21) ve taksirli fiiller yalnızca kanunun açıkça belirttiği hâllerde cezalandırılır (m. 22/1); 243. maddenin taksirli hâli yok. Kimsenin kastetmediği bir ajan sızmasında yük bu nedenle büyük ölçüde özel hukuka kalıyor.

Kurumlar neleri değerlendirmeli?

  • Bir bilgi talebini başlı başına bir uyum meselesi olarak görmek: 101(1)(b). madde eksik veya yanıltıcı yanıtı ayrıca cezalandırılabilir kılıyor.
  • Modelleriniz AB'den erişilebiliyorsa sağlayıcı sayılıp sayılmadığınızı ve temsilci gerekip gerekmediğini netleştirmek.
  • Üç talep konusunu kendi ajanlarınızı denetlemek için kullanmak. Yasa kapsamındaki risk kademeniz başka hangi yükümlülüklerin geçerli olduğunu gösterir.
  • Model sağlayıcılarıyla sözleşmelerin olay bildirimini ve 53(1)(b). madde kapsamındaki bilgileri düzenlediğinden emin olmak.

Bundan sonra neyi izlemeli?

  • Olaylara ilişkin birleşik bilgi talebi ve bunun 91(3). maddeye dayanıp dayanmayacağı.
  • Değerlendirme (m. 92) veya önlem (m. 93) aşamasına geçilip geçilmeyeceği ve 2(8). maddeye dayalı bir itiraz gelip gelmeyeceği.
  • Komisyonun şirket içi modeller için kural önerip önermeyeceği. MLex'e göre Virkkunen, AB'nin örtüşen yeni kurallar eklemek yerine sadeleştirmeyi hedeflediğini söyledi.
  • Başka düzenleyicilerin aynı yolu izleyip izlemeyeceği; en yakın karşılaştırma, Kaliforniya'nın SB 53 yasası.

Sıkça sorulan sorular

AB Yapay Zekâ Yasası uygulanmaya başladı mı?

Evet, ilk ve sınırlı anlamda. Komisyona göre Yapay Zekâ Ofisi, 2 Ağustos 2026'dan beri uygulanan yetkilerini kullanarak en gelişmiş genel amaçlı yapay zekâ modellerinin sağlayıcılarına resmî bilgi talepleri gönderdi. Henüz bir ihlal tespit edilmedi ve para cezası verilmedi. Talep gönderilen şirketlerin adları yalnızca basında yer aldı.

AB Yapay Zekâ Yasası'nda genel amaçlı modellere para cezası ne zaman uygulanıyor?

2 Ağustos 2026'dan itibaren. Yükümlülükler 2 Ağustos 2025'ten beri geçerli, ancak 113. madde 101. maddedeki ceza yetkisini erteledi. Ceza, yıllık dünya cirosunun %3'üne ya da 15 milyon avroya (hangisi yüksekse) ulaşabiliyor. 2 Ağustos 2025'ten önce piyasada olan modellere 2 Ağustos 2027'ye kadar süre tanındı.

AB Yapay Zekâ Yasası'nda araştırma istisnası var mı?

Evet. 2(6). madde yalnızca bilimsel araştırma amacıyla geliştirilen yapay zekâyı kapsam dışında bırakıyor. 2(8). madde ise piyasaya arz veya hizmete sunmadan önceki araştırma, test ve geliştirme faaliyetlerini dışarıda tutuyor; gerçek koşullarda yapılan testler bu istisnaya girmiyor. Başkalarına zarar veren bir test olayının bu istisnaya girip girmediği, tartışmanın odağında.

AB Yapay Zekâ Yasası Türk şirketlerine uygulanır mı?

Genel amaçlı modelini AB pazarında sunan her sağlayıcıya, nerede yerleşik olursa olsun uygulanır; AB dışındaki sağlayıcılar kural olarak Birlik içinde yetkili temsilci atamak zorundadır. API veya indirme yoluyla AB'de sunulan bir Türk modeli kapsamdadır. Sistemik risk yükümlülükleri ise yalnızca en büyük hesaplama ölçeğindeki modellere uygulanır.

Burhan Doğuş Ayparlar'ın Görüşü

Bu bölüm, sitenin kurucusu ve avukat olarak kişisel değerlendirmemi içermektedir.

Bence asıl dikkat çekici olan, seçilen araç. Bilgi talebi, Komisyonun en az gösterişli yetkisi. Komisyon, test sırasında kaçan bir modelin AB pazarına arz edildiğini iddia etmedi. Modelleri zaten bu pazarda bulunan sağlayıcılara, bu modelleri nasıl güvence altına aldıklarını, değerlendirdiklerini ve izlediklerini sordu. Bu yaklaşım 91. madde bakımından savunulabilir ve bence bilinçli bir tercih.

Test istisnası konusunda metin bakımından eleştirmenlere, politika bakımından Komisyona hak veriyorum. 2(8). madde, laboratuvarda olanın laboratuvarda kalacağı varsayımına dayanıyor. Açık internete ulaşan bir ajan bu varsayımı çürütüyor. Ancak bir istisna, dayandığı varsayım çöktü diye yorumla ortadan kaldırılamaz. Dürüst yol, Panel yönetiminin önerdiği gibi şirket içi modeller için kural koymak. O zamana kadar Komisyonun en güçlü dayanağı 55(1)(b). madde. Sürekli kaçışlar üreten bir geliştirme süreci, piyasadaki modellerin arkasındaki risk yönetimi hakkında da bir şey söyler.

Türkiye açısından asıl ders, kendi hukukumuzdaki boşluk. Türkiye öncü yapay zekâ modellerinin denetimine ilişkin çağrıyı imzaladı, ancak bugün hiçbir Türk kurumu 91. maddedeki talebin bir benzerini gönderemez. Kişisel kusur ve kast üzerine kurulu ceza hukukumuz da kimsenin istemediği bir zararı karşılamakta zorlanıyor. Bir Türk yapay zekâ kanunu, kimin soru sorabileceğini, neyi sorabileceğini ve eksik yanıtın sonucunu belirlemek zorunda kalacak.

Kore daha iyi konumda; Temel Kanun'un 32. maddesi yaşam döngüsü boyunca risk yönetimini zaten şart koşuyor, ancak inceleme yetkisi şüpheye bağlı. Avrupa'da kullanıcısı olan Koreli geliştiriciler, her iki rejime de hizmet edecek yanıtlar hazırlamalı.

Kaynaklar: Avrupa Komisyonu konuşmaları SPEECH/26/2148 (9 Ekim 2026) ve SPEECH/26/2150 (14 Ekim 2026); Komisyonun Bilimsel Panel toplantısına ilişkin 12 Ekim 2026 tarihli notu; (AB) 2024/1689 sayılı Tüzük; Uygulama Kuralları imzacı sayfası ve rehber SSS'si; Euronews (14 Ekim 2026); MLex'i özetleyen EU AI Act Newsletter #113 (20 Ekim 2026); Hollanda hükümetinin yayımladığı öncü yapay zekâ modellerinin denetimine ilişkin çağrı metni (22 Eylül 2026); Dijital Omnibus'a ilişkin hukuk bürosu özetleri (birleştirilmiş metin incelenmedi). Komisyon talep gönderilen şirketleri açıklamadı; Komisyonun belirtmediği şirket adları ve olay ayrıntıları basın haberlerine dayanıyor ve bağımsız olarak doğrulanmadı. Olay ve ajan sayıları bir Komisyon konuşmasındaki beyanlardır. Kore ve Türk mevzuatına ilişkin hükümler law.go.kr ve mevzuat.gov.tr'deki resmî metinlerden aktarılmıştır. Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş niteliği taşımaz; değerlendirmeler yazara aittir.