Ne oldu?

İtalya yapay zekâ yasası artık uygulama mekanizmasına kavuştu. 7 Ekim 2026 tarihli ve 179 sayılı Yasama Kararnamesi (decreto legislativo), 8 Ekim 2026'da İtalyan Resmî Gazetesi Gazzetta Ufficiale'nin 234 sayılı Genel Seri nüshasında yayımlandı ve 23 Ekim 2026'da yürürlüğe giriyor. 54 maddelik metin, İtalyan mevzuatını (AB) 2024/1689 sayılı Tüzüğe, yani AB Yapay Zekâ Tüzüğü'ne uyarlıyor: İtalya'da yapay zekâ sistemlerini denetleyecek otoriteleri belirliyor, bu otoritelere denetim ve yaptırım yetkisi veriyor, para cezalarını düzenliyor ve okullarda, üniversitelerde, kamu yönetiminde ve serbest mesleklerde yapay zekâ eğitimine ilişkin kurallar getiriyor.

Kararname iki aşamalı bir sürecin ikinci halkası. İlk adım, İtalya'nın ulusal yapay zekâ kanunu olan ve 10 Ekim 2025'ten beri yürürlükte bulunan 23 Eylül 2025 tarihli ve 132 sayılı Kanun ile atılmıştı. Bu kanunun 24. maddesi, ulusal mevzuatı on iki ay içinde Yapay Zekâ Tüzüğü'ne uyarlama yetkisini Hükümete devretmişti. Bakanlar Kurulu kararnameye 4 Ağustos 2026'da nihai onayını verdi.

İtalya dışındaki okuyucu için bir hüküm öne çıkıyor: 41. madde, işverenin işe alma, iş ilişkisinde değişiklik ve iş ilişkisinin sona erdirilmesine (disiplin önlemleri ve performans değerlendirmeleri dâhil) ilişkin nihai kararları yalnızca otomatik işlemeye dayanarak almasını yasaklıyor. Bu kurala aykırı yapılan fesih hükümsüz (batıl) sayılıyor.

İtalya yapay zekâ yasasını kim uygulayacak?

Yapay Zekâ Tüzüğü'nün 70. maddesi, her üye devletin en az bir bildirim otoritesi ve en az bir piyasa gözetim otoritesi belirlemesini istiyor. Kararname yetkileri şöyle dağıtıyor:

  • AgID (İtalya Dijital Ajansı) bildirim otoritesidir (m. 4). Yüksek riskli sistemleri belgelendirecek uygunluk değerlendirme kuruluşlarını görevlendirir ve izler; bu görevlendirmeyi kısıtlayabilir, askıya alabilir veya geri alabilir (m. 13).
  • ACN (Ulusal Siber Güvenlik Ajansı) genel piyasa gözetim otoritesi ve tek temas noktasıdır (m. 5 ve 6). Tüzük'teki denetim yetkilerini kullanır (m. 15), gerçek koşullarda yapılan testleri önceden haber vermeden denetleyebilir; ciddi olay bildirimi, açıkça dayanaktan yoksun olmayan şikâyet, başka bir otoritenin bildirimi üzerine veya resen işlem başlatabilir (m. 16).
  • Banca d'Italia, CONSOB ve IVASS, sırasıyla bankacılık ve kredi, yatırım hizmetleri ve sigortacılıkta kullanılan yüksek riskli yapay zekâ sistemlerini denetler (m. 5/1-b ve m. 17).
  • Garante (İtalyan veri koruma otoritesi) yalnızca Tüzük'ün 74(8). maddesi sınırları içinde piyasa gözetim otoritesidir: kolluk, sınır yönetimi, adalet ve demokrasi amacıyla kullanıldıkları ölçüde biyometrik sistemler ile Ek III'te sayılan kolluk; göç, iltica ve sınır kontrolü yönetimi; adalet yönetimi ve demokratik süreçler alanlarındaki sistemler (m. 5/1-c).

Tüzük'ün 85. maddesi kapsamındaki şikâyetler yetkili otoriteye yapılır; yetkisiz otoriteye gönderilen şikâyet resen yetkili otoriteye aktarılır (m. 18).

İtalya yapay zekâ yasasında cezalar ne kadar?

Para cezaları 23. maddede, Tüzük'ün 99. maddesindeki üst sınırlar izlenerek düzenlenmiş. Her kademe, fiil suç oluşturmadıkça uygulanıyor; ciro oranı daha yüksek bir tutar veriyorsa o esas alınıyor.

  • Yasaklı uygulamalar (Tüzük m. 5): 35 milyon avroya veya önceki mali yıl toplam dünya çapındaki yıllık cironun %7'sine kadar.
  • İşletmecilerin ve onaylanmış kuruluşların yükümlülükleri: 15 milyon avroya veya %3'e kadar. İtalyan listesi Tüzük'ün 16, 22, 23, 24, 25, 26, 31, 33(1), (3) ve (4), 34, 50, 73 ve 80. maddelerini sayıyor. Bu liste Tüzük'ün 99(4). maddesinden geniş: 99(4), 25. maddeyi (değer zinciri boyunca sorumluluklar), 73. maddeyi (ciddi olay bildirimi) ve 80. maddeyi (sağlayıcının yüksek riskli saymadığı sistemler) saymıyor.
  • Onaylanmış kuruluşlara veya otoritelere yanlış, eksik ya da yanıltıcı bilgi verilmesi: 7,5 milyon avroya veya %1'e kadar.
  • Ulusal dördüncü kademe: 27. madde (temel haklar etki değerlendirmesi) ve 86. madde (bireysel kararların açıklanmasını isteme hakkı) ihlallerine 1 milyon avroya veya %0,5'e kadar. Tüzük'ün 99. maddesi bu iki hüküm için ayrı bir tavan öngörmüyor.

Otoriteler Tüzük'ün 99(7). maddesindeki ölçütleri ve ihlal edilen yükümlülüğün esasa mı yoksa şekle mi ilişkin olduğunu dikkate alacak. KOBİ'ler ve girişimler için iki tutardan düşük olanı uygulanıyor. Hafif ihlallerde 22. madde para cezası yerine ihlale son verilmesi emrini veya ihlali ve sorumlusunu açıklayan kamuya açık bir beyanı öngörüyor; emre uyulmazsa para cezası üçte bire kadar artırılarak uygulanıyor. Yaptırım kararları otoritenin internet sitesinde yayımlanacak (m. 24/4); İtalya'nın genel idari yaptırımlar kanununun (689 sayılı Kanun) indirimli erken ödemeye imkân veren 16. maddesi ise uygulanmayacak.

41. madde: yalnızca algoritmayla fesih yok

41. madde, iş ilişkisine ilişkin kararlarda Tüzük'teki tanıma uyan bir yapay zekâ sistemi kullanan her işvereni bağlıyor; sistemin yüksek riskli olup olmaması önemli değil.

  • İş ilişkisinin kurulması, değiştirilmesi veya sona erdirilmesine ilişkin nihai kararlar, "disiplin önlemleri ve performans değerlendirmeleri dâhil", yalnızca otomatik işlemeye dayanılarak alınamaz.
  • Nihai karar, "etkili ve özerk" bir yetki kullanan gerçek kişiye ayrılmıştır.
  • İşçinin rızası bu yasağa istisna oluşturmaz.
  • İşveren, işleme başlamadan önce otomatik sistemlere ilişkin 152/1997 sayılı Yasama Kararnamesi'nin 1-bis maddesindeki bilgilendirmeyi yapmalıdır. İşçi, talep ederse kendisine ilişkin kararın, yapay zekânın karardaki etkisini ve dikkate alınan temel parametreleri de içeren anlaşılır bir gerekçesini bir gerçek kişi aracılığıyla alma hakkına sahiptir.
  • Bu kurala aykırı fesih hükümsüzdür (nullo); kurala aykırı alınan diğer kararlar da öyle.

Önemli bir istisna var: aday arama ve ön eleme faaliyetleri, "sonraki aşamalara kabul edilmeme sonucunu doğursa bile", iş ilişkisinin kurulmasına ilişkin nihai karar sayılmıyor. Dolayısıyla otomatik özgeçmiş elemesi 41. maddenin dışında kalıyor; ancak GDPR'ın 22. maddesi ve Tüzük'ün Ek III'teki istihdam kullanımlarına ilişkin yüksek risk rejimi uygulanmaya devam ediyor. 42. madde ise yapay zekâyı iş sağlığı ve güvenliği risk değerlendirmesinin konusu hâline getiriyor.

Neden önemli: kararname, Tüzük ve GDPR birlikte okununca

Ceza maddesi, bir üye devletin 99. maddeyi kopyalamakla yetinmeyebileceğini gösteriyor: İtalya orta kademeyi genişletmiş ve açıklama hakkının ihlalini de para cezasına bağlamış.

41. madde, kararnamenin açıkça saklı tuttuğu GDPR'ın 22. maddesinin ötesine geçiyor. 22. madde veri sorumlusuna sözleşme, kanun veya açık rıza istisnalarını tanırken İtalya iş ilişkisinde rızayı bir çıkış yolu olmaktan çıkarıyor. Yaptırımın niteliği de değişiyor. GDPR'da tipik sonuç idari para cezasıdır; Hollanda otoritesinin sürücü hesaplarını otomatik olarak kapatan Uber'e verdiği 824,99 milyon avroluk ceza bunun örneği. İtalya ise kararın kendisini ortadan kaldırıyor. GDPR'ın 88. maddesi, çalışanların verilerine ilişkin daha özel ulusal kurallara açıkça izin veriyor.

Hükümsüzlük, İtalyan fesih hukukunun en ağır sonucu. 23/2015 sayılı Yasama Kararnamesi, 7 Mart 2015'ten itibaren belirsiz süreli sözleşmeyle işe alınan mavi yakalı, beyaz yakalı ve orta kademe yönetici (quadri) statüsündeki çalışanların feshini düzenliyor. Kararnamenin 2. maddesine göre, kanunda öngörülen bir hükümsüzlük hâlinde feshin batıl olduğuna karar veren mahkeme işe iadeye ve işten uzak kalınan süre için en az beş aylık ücret tutarında tazminata hükmediyor; işçi, işe iade yerine on beş aylık ücret tutarında bir tazminatı da seçebiliyor. İtalyan Anayasa Mahkemesinin 2024 tarihli ve 22 sayılı kararından bu yana hükümsüzlüğün kanunda "açıkça" öngörülmüş olması aranmıyor; 41. maddenin 4. fıkrası ise zaten açık bir hüküm. İtalyan iş mahkemeleri algoritmik yönetimi zaten yakından inceliyor; Bologna mahkemesinin Deliveroo kararı bunu göstermişti.

İki soru açık. 41. madde yalnızca "işveren"den söz ederken 132/2025 sayılı Kanun committente'yi (bağımsız çalışanın iş sahibini) de anıyor; bu nedenle bağımsız çalışan sayılan platform işçilerine uygulanıp uygulanmayacağı metinden çıkmıyor. "Etkili ve özerk" yetkinin içeriğini de içtihat belirleyecek. Ayrıca Tüzük, GDPR'dan farklı olarak yapay zekâ sistemleri için tek durak mekanizması içermiyor: genel amaçlı yapay zekâ bakımından Yapay Zekâ Ofisi'nin yetkileri saklı kalmak üzere piyasa gözetimi ulusal düzeyde yürüyor, yani AB'de başka bir ülkede yerleşik bir grup, İtalyan piyasasındaki sistemleri için yine ACN'nin karşısına çıkacak. GDPR'da ise yerleşim yeri belirleyici olabiliyor; Roma mahkemesi, yetki İrlanda otoritesine geçtiği için Garante'nin ChatGPT nedeniyle verdiği 15 milyon avroluk cezayı iptal etmişti.

Türkiye ve Kore ile karşılaştırma

Türkiye. 6698 sayılı KVKK'nın 11(1)(g) maddesi, ilgili kişiye "işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme" hakkı tanıyor. Bu bir yasak değil, itiraz hakkıdır ve kararı hükümsüz kılmaz. 4857 sayılı İş Kanunu'nun 19. maddesi fesih bildiriminin yazılı yapılmasını ve fesih sebebinin açık ve kesin biçimde belirtilmesini istiyor; davranış veya verimle ilgili nedenlerle fesihte işçinin savunmasının önceden alınmasını şart koşuyor. 18. madde otuz veya daha fazla işçi çalıştıran işyerlerinde en az altı aylık kıdemi olan işçiler için geçerli sebep arıyor; 21. madde ise geçersiz fesihte işe iadeyi, işveren işçiyi işe başlatmazsa dört ila sekiz aylık ücret tutarında tazminatı öngörüyor. Rıza konusunda KVKK, İtalya ile aynı yöne ilerliyor: 2026 tarihli mesai takibinde biyometrik veri ilke kararı, çalışanın rızasını yeterli bir dayanak saymıyor.

Kore. Kişisel Bilgilerin Korunması Kanunu'nun (PIPA) 37-2. maddesi (ayrıntılar için PIPA otomatik kararlar rehberi), haklarını veya yükümlülüklerini önemli ölçüde etkileyen tam otomatik bir kararı reddetme ve açıklama isteme hakkı tanıyor. Ancak karar rızaya, kanun hükmüne veya sözleşmeye dayanıyorsa (m. 15/1-1, 2 ve 4) reddetme hakkı uygulanmıyor; bu, istihdam kararlarının çoğunu kapsayacaktır. Açıklama hakkı ise devam ediyor. İtalya'da durum tersine: rıza yasağı kaldırmıyor. Kore Çalışma Standartları Kanunu fesih için haklı sebep arıyor (m. 23) ve fesih sebebinin yazılı bildirilmesini geçerlilik şartı yapıyor (m. 27). Kaliforniya da benzer bir yöne gitti: 30 Eylül 2026'da imzalanan ve Kaliforniya'nın yeni işyeri yapay zekâ yasalarına ilişkin haberimizde ele aldığımız SB 947, işverenlerin disiplin ve fesih kararlarında yalnızca otomatik karar sistemine dayanmasını yasaklıyor.

İtalya'da faaliyet gösteren şirketler neleri gözden geçirmeli?

İtalya'da personeli bulunan Türk ve Koreli gruplar, sözleşmede hangi hukuk seçilmiş olursa olsun, işini mutaden İtalya'da gören çalışanların İtalyan emredici iş hukuku kurallarının korumasından yararlanacağını varsaymalıdır: Roma I Tüzüğü'nün 8. maddesine göre hukuk seçimi, sözleşme başka bir ülkeyle daha sıkı bağlantılı değilse, işçiyi işini mutaden yaptığı ülke hukukunun emredici korumasından yoksun bırakamaz. Uygulamada:

  • İtalya'daki personelin terfi, ücret, vardiya, disiplin, performans değerlendirmesi veya feshine dokunan bütün araçlar, yurt dışındaki ana şirketin işlettikleri de dâhil, envantere alınmalı.
  • Her nihai kararı kimin verdiği ve sistem çıktısından hangi gerekçeyle ayrılabileceği kayıt altına alınmalı.
  • 1-bis maddesindeki bilgilendirmeler güncellenmeli; 41(3). madde kapsamındaki talepler için gerçek kişi eliyle açıklama yapılan bir süreç kurulmalı.
  • İtalya'da otomatik insan kaynakları kararları için çalışan rızasına dayanılmamalı.
  • İtalya pazarına satış yapan sağlayıcılar, İtalya'nın 15 milyon avroluk kademeye aldığı 25, 73 ve 80. maddeler bakımından durumlarını kontrol etmeli.
  • İşe alım araçları da Tüzük karşısında gözden geçirilmeli (bkz. işe alımda yapay zekâ rehberi).

Bundan sonra ne izlenmeli?

Kararnamenin önemli bir kısmı ikincil düzenlemelere bağlı: ACN'nin yetkilerini nasıl kullanacağına ilişkin yönetmelik, AgID'nin yaptırım yönetmeliği ve ulusal düzenleyici deneme alanına (sandbox) ilişkin kararnameler bunların başında geliyor. On iki ay içinde serbest meslek ücret parametreleri, "hakkaniyete uygun ücret"in kullanılan yapay zekâ sisteminin risk sınıfına göre ayarlanabilmesini sağlayacak biçimde güncellenecek (m. 49). Kararname ayrıca, şartları varsa, yapay zekâ eğitimine ilişkin verileri, algoritmaları ve model mimarilerini İtalyan Sınai Mülkiyet Kodu'ndaki ticari sır korumasının kapsamına alıyor (m. 52). AB düzeyinde ise Ek III'teki yüksek riskli sistemlere (istihdam dâhil) ilişkin yükümlülükler, Dijital Omnibus sonrasında 2 Aralık 2027'den itibaren uygulanacak (bkz. yüksek risk takviminin ertelenmesi). 41. madde ise 23 Ekim 2026'dan itibaren uygulanıyor.

Sıkça sorulan sorular

İtalya yapay zekâ yasası nedir?

İtalya'da iki metin var. 23 Eylül 2025 tarihli ve 132 sayılı Kanun, yapay zekâya ilişkin ulusal ilkeleri ve sektörel kuralları belirliyor ve AgID ile ACN'yi ulusal yapay zekâ otoriteleri olarak görevlendiriyor. Bu kanuna dayanılarak çıkarılan 7 Ekim 2026 tarihli ve 179 sayılı Yasama Kararnamesi ise AB Yapay Zekâ Tüzüğü'nü uyguluyor: yetkileri dağıtıyor, 35 milyon avroya veya cironun %7'sine kadar cezalar öngörüyor, işyeri ve eğitim kuralları ekliyor.

İtalya yapay zekâ yasası ne zaman yürürlüğe giriyor?

132/2025 sayılı Kanun 10 Ekim 2025'ten beri yürürlükte. 179/2026 sayılı Yasama Kararnamesi 8 Ekim 2026'da yayımlandı ve 23 Ekim 2026'da yürürlüğe giriyor. Tüzük'ün kendi yüksek risk yükümlülükleri ise AB takvimine tabi; Ek III sistemleri için başlangıç tarihi artık 2 Aralık 2027.

İtalya yapay zekâ yasasının metnine nereden ulaşılır?

İki metin de Gazzetta Ufficiale'de: 132/2025 sayılı Kanun 25 Eylül 2025 tarihli 223 sayılı Genel Seri'de, 179/2026 sayılı Yasama Kararnamesi 8 Ekim 2026 tarihli 234 sayılı Genel Seri'de yayımlandı. Çevrim içi sürüm her maddeyi ayrı ayrı veriyor ve atıf yapılan hükümleri editoryal notlarla aktarıyor.

İtalya'da işveren yapay zekâ ile işçi çıkarabilir mi?

İşveren karar sürecinde yapay zekâdan destek alabilir; ancak nihai kararı gerçek ve özerk yetkiye sahip bir kişi vermelidir. Yalnızca otomatik işlemeye dayanan fesih 41. madde uyarınca hükümsüzdür ve işçinin rızası bu sonucu değiştirmez. Aday ön elemesi bu kuralın dışında kalır; ancak GDPR ve Yapay Zekâ Tüzüğü ön elemeye de uygulanmaya devam eder.

İtalya yapay zekâ yasası AB dışındaki şirketlere uygulanır mı?

Evet. Kararname, Tüzük'ün 2(1). maddesindeki işletmecilere uygulanıyor; buna sistemleri veya çıktıları Birlik'te kullanılan AB dışı sağlayıcılar ve uygulayıcılar da dâhil. 41. madde İtalyan iş hukukunun bir parçası olduğundan, Türk veya Koreli grupların İtalya'daki bağlı şirketleri ve şubelerinin çalışanları da dâhil olmak üzere işini mutaden İtalya'da gören çalışanları kural olarak koruyacaktır.

Burhan Doğuş Ayparlar'ın Görüşü

Kararnamenin büyük kısmı iyi kurulmuş bir altyapı: 70. ve 99. maddelerin her üye devletten beklediğini yapıyor. Teknik açıdan en ilginç tercih dördüncü ceza kademesi. Açıklama hakkının ihlaline bir bedel biçen İtalya, 86. maddeyi somut bir maliyeti olan yükümlülüğe dönüştürdü; şikâyetçilerin bu imkânı kullanacağını düşünüyorum.

İtalya'da personeli olan her şirketin yönetim kuruluna göstereceğim hüküm 41. madde; nedeni de öngördüğü sonuç. Para cezası, büyük bir şirketin bütçeleyebileceği bir maliyettir; etkilenen her çalışan için işe iade ve geriye dönük ücret ise aynı şekilde bütçelenemez. Asıl sınav "etkili ve özerk" ifadesinde olacak. Sistemle neden aynı fikirde olduğunu açıklayamayan ya da sistemden hiç ayrılmayan bir yöneticinin kararını İtalyan iş mahkemesi önünde savunmak istemezdim.

Türk işverenler için karşılaştırma öğretici. KVKK'nın 11(1)(g) maddesi bir davranış kuralı değil, itiraz hakkıdır; İş Kanunu da otomasyondan hiç söz etmez. Yine de 19. maddenin açık ve kesin fesih sebebi ile önceden savunma alınması şartı, İtalya'nın şimdi açıkça yazdığı yöne zaten işaret ediyor. Türk gruplarının İtalya'yı daha katı bir istisna olarak ele almak yerine bütün çalışanlarına tek bir insan denetimi standardı uygulaması daha isabetli olur.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık teşkil etmez. Açıklamalar, 8 Ekim 2026'da Gazzetta Ufficiale'de yayımlanan (23 Ekim 2026'da yürürlüğe giren) 179/2026 sayılı Yasama Kararnamesi'ne, 132/2025 sayılı Kanun'a, (AB) 2024/1689 ve 2016/679 sayılı Tüzüklere ve anılan Türk ve Kore mevzuatına, ayrıca metinde bağlantı verilen kararlara ve önceki yazılarımıza dayanmaktadır; metinlere 20 Ekim 2026'da başvurulmuştur. İtalyanca hükümlerin Türkçe karşılıkları yazara aittir. Kararnamenin bazı bölümleri uygulama düzenlemelerini beklemektedir ve İtalyan mahkemelerinin 41. maddeyi nasıl yorumlayacağı henüz bilinmemektedir. İtalyan, Türk ve Kore hukukuna ilişkin değerlendirmeler genel niteliktedir; somut olaylar ayrıca değerlendirilmelidir. Yorum ve değerlendirmeler yazara aittir.