EU Artificial Intelligence Act (AI Act): A Risk-Based Guide for Turkish Exporting Manufacturers

Giriş: Neden Yeni Bir Yapay Zeka Yasası?

Avrupa Birliği, 2024 yılında yürürlüğe giren Yapay Zeka Yasası (AI Act, Regulation (EU) 2024/1689) ile yapay zekayı yatay biçimde düzenleyen dünyanın ilk kapsamlı hukuki çerçevesini oluşturdu. Yasa, belirli bir sektöre değil, yapay zeka sistemlerinin kendisine odaklanır ve bunları taşıdıkları riske göre sınıflandırır. Amaç; temel hakları, sağlığı ve güvenliği korurken güvenilir yapay zekaya yönelik yeniliği de mümkün kılmaktır.

Yasanın en önemli özelliği, coğrafi olarak yalnızca AB sınırlarıyla kalmamasıdır. Bir yapay zeka sisteminin çıktısı AB içinde kullanılıyorsa veya sistem AB pazarına sunuluyorsa, sağlayıcının veya üreticinin nerede yerleşik olduğuna bakılmaksızın Yasa uygulanabilir. Bu, AB’ye ürün ihraç eden Türk üreticilerini de doğrudan ilgilendiren bir noktadır.

Bu yazı, tarafsız ve bilgilendirici bir çerçevede Yasanın mantığını, risk kademelerini ve özellikle bir ürüne gömülü yapay zeka bileşenlerine dair yükümlülükleri açıklamayı hedefler. Amaç, ticari bir yönlendirme yapmak değil, ihracatçı üreticinin kendi durumunu değerlendirebilmesi için sağlam bir zemin sunmaktır.

• Regulation (EU) 2024/1689, yapay zekaya yönelik ilk kapsamlı yatay AB düzenlemesidir.
• Sektör değil, sistemin taşıdığı risk seviyesi belirleyicidir.
• AB dışı üreticiler de, çıktı veya ürün AB pazarına ulaştığında kapsama girebilir.
• Bu metin bilgilendirme amaçlıdır; hukuki mütalaa yerine geçmez.

Risk Kategorileri: Dört Kademeli Yaklaşım

Yasanın çekirdeğini risk-temelli yaklaşım oluşturur. Yapay zeka uygulamaları, oluşturdukları riske göre dört ana kategoriye ayrılır ve her kategoriye farklı yükümlülük düzeyi tanımlanır. Riski yükseldikçe yükümlülükler ağırlaşır; kabul edilemez risk taşıyanlar ise tamamen yasaklanır.

Bu kademelendirme, aynı teknolojinin bağlamına göre farklı muameleye tabi olabileceği anlamına gelir. Örneğin bir görüntü tanıma modeli, bir oyunda kullanıldığında minimal riskliyken, işe alım kararlarında veya bir makinenin güvenlik fonksiyonunda kullanıldığında yüksek riskli sayılabilir.

• Kabul edilemez risk (yasak): Sosyal puanlama, manipülatif teknikler, belirli biyometrik uygulamalar gibi uygulamalar yasaktır.
• Yüksek risk: Sağlık, güvenlik veya temel haklar üzerinde ciddi etki doğurabilen sistemler; sıkı uygunluk, dokümantasyon ve gözetim yükümlülüklerine tabidir.
• Sınırlı risk: Örneğin sohbet botları ve üretken içerik; temel olarak şeffaflık yükümlülükleri getirir (kullanıcı bir AI ile etkileşimde olduğunu bilmelidir).
• Minimal risk: Uygulamaların büyük çoğunluğu; ek yükümlülük olmaksızın serbestçe kullanılabilir.
• Genel amaçlı AI (GPAI) modelleri için ayrı bir şeffaflık ve dokümantasyon rejimi öngörülür.

Yüksek Riskli Sistemler ve Ürüne Gömülü Yapay Zeka

Türk üreticileri açısından en kritik başlık, yüksek riskli sistemlerin sınıflandırılmasıdır. Yasa, yüksek riski iki yoldan tanımlar. Birincisi, mevcut AB ürün güvenliği mevzuatı kapsamındaki bir ürünün güvenlik bileşeni olan veya böyle bir ürünün kendisi olan yapay zekadır (Ek I / Annex I). İkincisi, Ek III’te (Annex III) sayılan belirli alanlarda kullanılan bağımsız (standalone) sistemlerdir; örneğin istihdam, eğitim, kritik altyapı veya adalet.

Ek I yolu, doğrudan ürün üreticilerini ilgilendirir. Eğer bir makine, oyuncak, tıbbi cihaz, asansör veya benzeri bir üründe yapay zeka bir güvenlik bileşeni olarak görev yapıyorsa ve o ürün zaten AB uyumlaştırma mevzuatı (ör. Makine Yönetmeliği, Oyuncak Güvenliği, Tıbbi Cihaz Yönetmeliği) kapsamında üçüncü taraf uygunluk değerlendirmesine tabiyse, bu yapay zeka bileşeni yüksek riskli sayılabilir. Bu durumda AI Act yükümlülükleri, ürünün mevcut uygunluk değerlendirme sürecine entegre edilir.

Yüksek riskli sistemler için tipik yükümlülükler arasında risk yönetim sistemi, veri yönetişimi, teknik dokümantasyon, kayıt tutma, şeffaflık, insan gözetimi ile uygun doğruluk, sağlamlık ve siber güvenlik yer alır. Bunların çoğu, üreticilerin ürün güvenliği bağlamında zaten aşina olduğu CE işaretleme mantığıyla örtüşür; AI Act bu mantığın üzerine yapay zekaya özgü ek gereklilikler ekler.

• Ek I (Annex I): Ürün güvenliği mevzuatı kapsamındaki bir ürünün güvenlik bileşeni olan veya ürünün kendisi olan AI.
• Ek III (Annex III): İstihdam, eğitim, kritik altyapı, adalet gibi alanlardaki bağımsız yüksek riskli sistemler.
• Makine, oyuncak, tıbbi cihaz gibi zaten CE kapsamındaki ürünlere gömülü AI, yüksek riskli olabilir.
• Yükümlülükler: risk yönetimi, veri yönetişimi, teknik dosya, insan gözetimi, sağlamlık ve siber güvenlik.
• AI Act yükümlülükleri, ürünün mevcut uygunluk değerlendirmesine entegre edilir; ayrı bir paralel sistem değildir.

Önemli Tarihler ve Kademeli Takvim

Yasa 1 Ağustos 2024’te yürürlüğe girdi, ancak yükümlülükler tek seferde değil kademeli olarak devreye giriyor. Bu, üreticilere hazırlık için zaman tanıyan bilinçli bir tasarımdır. Aşağıdaki tarihler Regulation (EU) 2024/1689’un 113. maddesindeki kanonik metne dayanır.

Ürüne gömülü (Ek I) yüksek riskli yapay zeka için kanonik metindeki kilit uygulama tarihi 2 Ağustos 2027’dir. Bu, ürün güvenliği mevzuatına bağlı en geç kademedir ve makine gibi ürünlere AI bileşeni entegre eden üreticiler için doğrudan referans tarihtir.

Önemli bir uyarı: AB, 2025 sonunda başlayan ‘Digital Omnibus’ adlı bir sadeleştirme paketiyle bazı yüksek riskli kademeleri ötelemeyi öngören bir değişiklik sürecini yürütmektedir. Bu değişiklik, Ek III bağımsız sistemleri 2 Aralık 2027’ye ve Ek I ürüne gömülü sistemleri 2 Ağustos 2028’e erteleyebilir. Bu değişikliğin Resmi Gazete’de nihai yayımı ve yürürlüğü, bu yazının hazırlandığı tarih itibarıyla bağımsız olarak teyit edilememiştir; bu nedenle üreticilerin planlamalarını hem kanonik 2027 tarihine hem de olası 2028 ertelemesine göre gözden geçirmeleri ve EUR-Lex’teki güncel metni esas almaları önerilir.

• 1 Ağustos 2024: Yasa yürürlüğe girdi.
• 2 Şubat 2025: Yasak uygulamalar (Bölüm II) ve genel hükümler (Bölüm I) uygulanmaya başladı.
• 2 Ağustos 2025: Genel amaçlı AI (GPAI) modellerine ilişkin yükümlülükler, yönetişim ve cezalar devreye girdi.
• 2 Ağustos 2026: Yasanın genel uygulama tarihi (Ek III bağımsız yüksek riskli sistemler dahil çoğu yükümlülük).
• 2 Ağustos 2027 (kanonik): Ek I ürün güvenliği mevzuatına gömülü yüksek riskli AI için kilit uygulama tarihi.
• Caveat: ‘Digital Omnibus’ değişikliği yürürlüğe girerse Ek III için 2 Aralık 2027 ve Ek I için 2 Ağustos 2028 tarihleri geçerli olabilir; güncel EUR-Lex metni esas alınmalıdır.

Türk Üreticileri ve İhracatçısı İçin Ne Anlama Geliyor?

AB pazarına ürün ihraç eden bir Türk üreticisi için ilk adım, ürününde bir yapay zeka bileşeninin bulunup bulunmadığını ve bunun bir güvenlik fonksiyonu görüp görmediğini belirlemektir. Eğer ürün zaten bir AB ürün güvenliği direktifi/yönetmeliği kapsamında CE işareti taşıyorsa ve içindeki AI güvenlik bileşeni ise, bu bileşen yüksek riskli kapsama girebilir ve ek yükümlülükler doğurur.

İyi haber, bu yükümlülüklerin birçoğunun tamamen yeni olmamasıdır. Teknik dosya, risk değerlendirmesi ve uygunluk değerlendirmesi mantığı, ürün güvenliği süreçlerine zaten hakim üreticiler için tanıdıktır. AI Act, bu sürecin üzerine veri kalitesi, insan gözetimi, model sağlamlığı ve şeffaflık gibi yapay zekaya özgü katmanlar ekler. Erken hazırlık yapan üreticiler, kademeli takvimin sunduğu zamanı avantaja çevirebilir.

Pratik olarak, üreticilerin AB’deki müşterileri (ithalatçı/dağıtıcı) ve varsa yetkili temsilcileriyle rol ve sorumluluk dağılımını netleştirmesi kritik önemdedir. Yasa; sağlayıcı, ürün üreticisi, ithalatçı ve dağıtıcı için farklı yükümlülükler tanımlar ve tedarik zincirindeki her aktörün konumunu doğru anlaması gerekir. Bu değerlendirme, ürün bazında ve güncel resmi metin (EUR-Lex) üzerinden yapılmalıdır.

• İlk adım: Üründe AI var mı ve bir güvenlik bileşeni işlevi görüyor mu?
• Zaten CE kapsamındaki ürünlerde gömülü AI, yüksek riskli olabilir; yükümlülük mevcut sürece eklenir.
• Teknik dosya ve uygunluk değerlendirme mantığı tanıdıktır; AI’ya özgü katmanlar (veri, insan gözetimi, sağlamlık) eklenir.
• Tedarik zincirinde rol dağılımı (sağlayıcı, üretici, ithalatçı, dağıtıcı) netleştirilmelidir.
• Değerlendirme ürün bazında ve güncel EUR-Lex metnine göre yapılmalıdır.
• Kademeli takvim, erken hazırlık için değerli bir zaman penceresi sunar.

Frequently Asked Questions

AB Yapay Zeka Yasası, AB dışındaki bir Türk üreticisini neden ilgilendirir?

Yasa, sistemin veya çıktısının AB pazarında kullanılması esasına dayanır. Ürününüzü AB’ye ihraç ediyorsanız ve üründe yapay zeka bir bileşen olarak yer alıyorsa, işletmeniz Türkiye’de yerleşik olsa bile Yasa kapsamına girebilirsiniz. Bu nedenle coğrafi konum tek başına muafiyet sağlamaz.

Ürünüme gömülü yapay zeka otomatik olarak ‘yüksek riskli’ mi sayılır?

Hayır, otomatik değildir. Yüksek risk, temel olarak iki koşula bağlıdır: AI’nın, AB ürün güvenliği mevzuatı kapsamındaki bir ürünün güvenlik bileşeni olması (Ek I) veya Ek III’te sayılan belirli alanlarda kullanılması. Bir güvenlik fonksiyonu görmeyen basit bir özellik genellikle daha düşük risk kademesinde değerlendirilir. Sınıflandırma ürün bazında yapılmalıdır.

Ürüne gömülü yüksek riskli AI için yükümlülükler ne zaman başlıyor?

Regulation (EU) 2024/1689’un 113. maddesindeki kanonik metne göre, Ek I ürün güvenliği mevzuatına gömülü yüksek riskli AI için kilit uygulama tarihi 2 Ağustos 2027’dir. Ancak AB’nin ‘Digital Omnibus’ sadeleştirme paketi bu tarihi 2 Ağustos 2028’e öteleyebilir; bu değişikliğin nihai yürürlüğü teyit edilmeli ve güncel EUR-Lex metni esas alınmalıdır.

Yasak (kabul edilemez risk) uygulamalar hangileridir ve ne zamandan beri yasak?

Sosyal puanlama, belirli manipülatif veya sömürücü teknikler ve bazı biyometrik uygulamalar gibi kabul edilemez riskli uygulamalar yasaktır. Bu yasaklar 2 Şubat 2025’ten itibaren uygulanmaktadır. Yasak kapsamının tam listesi için Yasanın 5. maddesine bakılmalıdır.

Genel amaçlı yapay zeka (GPAI) modelleri bu kapsamda mı?

Evet, ancak ayrı bir rejimle. Genel amaçlı AI modelleri için şeffaflık, teknik dokümantasyon ve telif hakkı ile ilgili yükümlülükler öngörülür ve bu hükümler 2 Ağustos 2025’ten itibaren uygulanmaktadır. Sistemik risk taşıyan modeller için ek yükümlülükler söz konusudur.

Bu içerik yalnızca bilgilendirme amaçlıdır ve hukuki görüş ya da uygunluk değerlendirmesi niteliği taşımaz. Kesin yükümlülükler için güncel resmî mevzuat metni (EUR-Lex) esas alınmalıdır.