AB Yapay Zeka Yasası (AI Act): Tam Rehber ve 2026 Güncellemeleri

AB Yapay Zeka Yasası (AI Act / Regulation 2024/1689), dünyanın ilk kapsamlı yapay zeka düzenlemesidir. 1 Ağustos 2024'te yürürlüğe girdi ve yapay zeka sistemlerini risk düzeyine göre dört kategoriye ayırır. Haziran 2026'da Parlamento'dan geçen "Digital Omnibus" paketiyle yüksek riskli sistemlere ilişkin bazı son tarihler ertelendi; risk kategorileri değişmedi.

AI Act nedir?

AB Yapay Zeka Yasası, yapay zeka uygulamalarını oluşturdukları riske göre düzenleyen ve büyük bir düzenleyici tarafından yapılmış ilk kapsamlı yapay zeka mevzuatıdır. Resmi adı Regulation (EU) 2024/1689 olan yasa, dünyanın ilk kapsamlı yapay zeka kanunu olarak kabul edilir.

Yasa, tıpkı 2018'deki GDPR (Genel Veri Koruma Tüzüğü) gibi küresel bir standart haline gelme potansiyeli taşıyor — yani AB dışındaki şirketleri de etkiliyor. AB'de herhangi bir kişiye dokunan bir yapay zeka sistemi geliştiriyor, kullanıyor veya tedarik ediyorsanız, şirketiniz nerede olursa olsun AI Act sizi ilgilendirir.

AI Act risk kategorileri nelerdir?

Yasa, yapay zeka sistemlerini dört risk düzeyine ayırır:

2026'daki Digital Omnibus paketinde risk katmanları değişmedi; değişen şey son tarihler ve hedefli sadeleştirmeler oldu.

2026'da ne değişti? Digital Omnibus paketi

17 Kasım 2025'te Avrupa Komisyonu, AI Act'in uygulanmasını sadeleştirmek için "Digital Omnibus on AI" adlı bir paket önerdi. 16 Haziran 2026'da Avrupa Parlamentosu genel kurulda metni ilk okumada 423 kabul, 57 ret ve 174 çekimser oyla onayladı.

Önemli nüans: Bu henüz nihai onay değildir. Yürürlüğe girmeden önce üç adım kaldı: Konsey'in resmi kabulü, kurum başkanlarının imzası ve AB Resmi Gazetesi'nde yayımlanması. O ana kadar AI Act'in 2024 versiyonu, ertelenmesi öngörülen tarihler dahil yürürlükte kalıyor.

Yeni yürürlük takvimi

Yeni yasak: rıza dışı içerik ve CSAM

Paketin en belirgin sıkılaştırması, Article 5'i değiştiren ve rıza dışı mahrem materyal ile çocuk istismarı materyali üreten yapay zeka sistemlerini yasaklayan yeni hükümdür; 2 Aralık 2026'da yürürlüğe girecek.

Erteleme neden yapıldı?

Gecikmeli süreler, AI Act'in birçok hükmünü hayata geçirmedeki zorlukları yansıtıyor. Özellikle test, dokümantasyon ve üçüncü taraf değerlendirmesi gerektiren yüksek riskli sistemler için gereken standartlar ve araçlar henüz hazır değildi. Kısacası son tarihler, gerçeğe uyacak şekilde kaydırıldı.

Bir uyarı işareti: Mart 2026'da müzakere yetkisi 569 kabul oyu toplarken, Haziran'daki oylamada kabul oyları 423'e düştü ve çekimserler neredeyse dörde katlandı; bu da sadeleştirmenin göründüğünden daha tartışmalı olduğunu gösteriyor.

AI Act fintech ve finans sektörünü nasıl etkiliyor?

Finans, AI Act kapsamında en yoğun şekilde düzenlenen sektördür. Resmi metnin Annex III, 5. başlığı (temel özel hizmetlere erişim), iki finansal kullanım alanını açıkça "yüksek riskli" olarak sınıflandırır:

Resmi metnin ifadesiyle yüksek riskli sayılan sistemler, gerçek kişilerin kredi değerliliğini değerlendirmeye veya kredi skorunu belirlemeye yönelik yapay zeka sistemleridir; finansal dolandırıcılık tespiti amacıyla kullanılan sistemler bunun istisnasıdır. Aynı başlık altında hayat ve sağlık sigortasında gerçek kişilere ilişkin risk değerlendirmesi ve fiyatlamaya yönelik sistemler de yüksek riskli kabul edilir.

Kritik istisna: dolandırıcılık tespiti

Madde 5(b)'nin tek muafiyeti finansal dolandırıcılık tespitidir. Bir model hem skorlama hem dolandırıcılık tespiti yapıyorsa, sınıflandırma analizi gerektiren gri bir alana düşer.

Fintech'ler için en önemli ayrım: "sağlayıcı" mı "kullanıcı" mı?

AI Act yükümlülüklerinin ağırlığı bu ayrıma bağlıdır:

• Sağlayıcı (provider): Kendi kredi skorlama veya underwriting modelini geliştiren fintech'ler en ağır yükümlülük katmanı. BNPL (şimdi al sonra öde) sağlayıcıları, neobankalar ve işlem verisiyle skorlama yapan gömülü finans platformları bu gruba girer.
• Kullanıcı (deployer): Hazır büro skorlarını veya üçüncü taraf dolandırıcılık API'lerini entegre eden fintech'ler — yine yükümlü, ama dokümantasyon yükü daha hafif.

Yüksek riskli sınıflandırma; risk yönetim sistemi, önyargı (bias) testinden geçirilmiş eğitim verisi, denetlenebilir kayıt tutma, sonuç doğuran kararlarda insan müdahalesi (human oversight) ve piyasaya sürüm sonrası izleme gibi somut yükümlülükler doğurur. Bu yükümlülükler için son tarih, Digital Omnibus ertelemesiyle artık 2 Aralık 2027.

Türk fintech'leri için kontrol listesi

AB'de müşterisi olan bir Türk fintech'i iseniz, AI Act kapsamına girip girmediğinizi değerlendirmek için aşağıdaki sorularla başlayabilirsiniz. Sorulardan herhangi birine "evet" yanıtı veriyorsanız, yüksek riskli yükümlülükler sizi ilgilendiriyor olabilir.

• Kredi skorlama veya kredi değerliliği modeli kullanıyor musunuz?
• Yapay zeka destekli underwriting (risk/teminat değerlendirme) yapıyor musunuz?
• AB'de yerleşik gerçek kişilere hizmet veriyor musunuz?
• Model kararları için insan denetimi (human oversight) mekanizmanız var mı?
• Kullanılan eğitim verilerinin kaynağı ve dokümantasyonu tutuluyor mu?
• AB içinde yetkili temsilci atamanız gerekip gerekmediğini değerlendirdiniz mi? (Madde 22)
• Sistemi siz mi geliştiriyorsunuz (sağlayıcı) yoksa hazır bir modeli mi entegre ediyorsunuz (kullanıcı)?

Bu liste bir hukuki uyum denetimi değil, ön değerlendirme aracıdır; kesin sınıflandırma için sistem bazlı analiz ve hukuki görüş gereklidir.

GDPR ve Schufa kararıyla kesişim

Finansal kuruluşlar için AI Act tek başına çalışmaz; mevcut düzenlemelerin üzerine biner: DORA (dijital operasyonel dayanıklılık), MiFID II, GDPR ve EBA'nın model risk yönetimi rehberleri. Aralık 2023 tarihli Schufa kararıyla (ABAD, C-634/21) kredi skorunun kendisi, GDPR Madde 22 kapsamında otomatik bireysel karar olarak kabul edilmektedir — yani açıklama yükümlülüğü ve insan inceleme hakkı 2027'yi beklemeden bugün geçerlidir.

AI Act cezaları (Article 99)

İhlal türüne göre cezalar üç kademelidir:

KOBİ ve girişimlerde (Madde 99(6)) kural tersine döner: ceza, yüzde ile sabit tutardan hangisi düşükse o kadardır. (Not: bazı özetlerde dolaşan "%6" oranı resmi metinle örtüşmez; yüksek riskli uyumsuzluk %3 kademesindedir.)

AI Act ve yapay zeka ajanları (AI agents)

Yapay zeka ajanları, kullanıcı adına belirli görevleri yerine getirebilen ve önceden tanımlanmış hedefler doğrultusunda işlem başlatabilen sistemler olarak finans sektöründe giderek daha fazla kullanılmaya başlanıyor. Ödeme başlatma, portföy yönetimi, müşteri hizmetleri ve abonelik işlemleri bunların başlıca örnekleri arasında yer alıyor. AI Act bu sistemleri ayrı bir kategori olarak düzenlemese de, ajanın gerçekleştirdiği faaliyet ve ortaya çıkardığı risk düzeyine göre mevcut düzenleyici çerçeve uygulanıyor.

Bir yapay zeka ajanı kredi değerliliği değerlendiriyor, kullanıcı adına finansal karar veriyor veya bir ödeme akışını tetikliyorsa, Annex III'teki yüksek riskli kullanım alanlarına girebilir. Bu durumda ajanın arkasındaki sistem için insan denetimi (human oversight), açıklanabilirlik ve kayıt tutma yükümlülükleri geçerli olur.

Açıklama hakkı ajanları neden ilgilendiriyor?

AI Act'in Madde 86'sı, yüksek riskli bir sistemin etkilediği kişiye açıklama hakkı tanır: kişi, kararda yapay zekanın rolünü, çıktıyı etkileyen başlıca parametreleri ve insan denetiminin düzeyini öğrenme hakkına sahiptir. Otonom finansal ajanlar için bu, "ajan neden bu işlemi başlattı?" sorusunun denetlenebilir biçimde yanıtlanabilmesi gerektiği anlamına gelir.

Ajan kimliği ve yetkilendirme: çözülmemiş alan

Bir yapay zeka ajanı kullanıcı adına işlem yaparken "kim, kimin adına, hangi yetkiyle?" sorusu hem AI Act'in insan denetimi ilkesi hem de ödeme regülasyonları (PSD2/PSD3, güçlü müşteri kimlik doğrulaması) açısından kritik. Ajan kimliği ve yetkilendirme standartları henüz olgunlaşmadığından, finansal ajan dağıtan şirketler için bu, önümüzdeki dönemin en belirleyici uyum başlıklarından biri olacak.

AI Act Türkiye'yi ve Türk dünyasını nasıl etkiler?

Türkiye AB üyesi olmasa da AI Act, "Brüksel etkisi" (Brussels effect) yoluyla Türk şirketlerini doğrudan kapsayabilir. Belirleyici olan şirketin nerede kurulu olduğu değil, yapay zeka sisteminin AB'deki kişilere dokunup dokunmadığıdır.

Türk şirketi AB'de ofisi olmadan da kapsama girer mi?

Evet. Yasanın kapsamı coğrafi merkeze değil, çıktının nereye ulaştığına bağlıdır. Kredi modeliniz AB'deki bireyleri değerlendiriyorsa, sistem AB dışı bir veri merkezinden çalışsa dahi kapsamdadır. Pratikte bu, AB'de müşterisi olan bir Türk fintech'inin, neobankanın veya BNPL sağlayıcısının yüksek riskli yükümlülüklere tabi olabileceği anlamına gelir.

Üstelik AB dışı sağlayıcılar için ek bir zorunluluk var: AB dışı sağlayıcılar, yüksek riskli bir yapay zeka sistemini piyasaya sürmeden önce Madde 22 uyarınca AB içinde yetkili bir temsilci atamak zorundadır; bu atama olmadan sistem AB veritabanına kaydedilemez ve AB pazarında yasal olarak sunulamaz.

KOBİ istisnası: Türk fintech'leri için ne anlama geliyor?

Türk girişimlerinin çoğu KOBİ ölçeğinde olduğundan, Madde 99(6)'daki istisna kritik. Büyük şirketlerde ceza "yüksek olan" tutar üzerinden hesaplanırken, KOBİ ve girişimlerde "düşük olan" geçerlidir. Örneğin 2 milyon avro cirolu bir girişim, en üst kademe ihlalinde 35 milyon değil, cironun %7'si olan 140 bin avroya kadar ceza ile karşılaşır. Koruma önemli olsa da, erken aşama bir girişim için bu tutar bile varlıksal bir risk olabilir.

GDPR deneyiminin tekrarı

AI Act'in Türkiye'deki muhtemel seyri, GDPR'da yaşananı andırıyor. GDPR 2018'den bu yana AB dışı şirketlere karşı aktif olarak uygulandı ve AB veri koruma otoriteleri, ABD'li büyük teknoloji şirketleri dahil, milyarlarca avroluk ceza kesti. AI Act'in azami cezalarının GDPR'ı aşması (yasaklı uygulamalarda %7'ye karşı GDPR'ın %4'ü), AB dışı şirketler için uyum baskısının daha da yüksek olacağını gösteriyor.

Türk dünyası için ortak referans çerçevesi

Daha geniş açıdan AI Act, Türk dünyası ülkeleri için bir model işlevi görebilir. Azerbaycan, Kazakistan ve Özbekistan'ın geliştireceği yapay zeka düzenlemeleri için Brüksel'in risk temelli yaklaşımı bir referans noktası oluşturuyor — tıpkı veri koruma alanında GDPR'ın bölge genelinde benimsenen bir şablon haline gelmesi gibi. Sınır ötesi yapay zeka hizmetleri, dijital kimlik doğrulama ve yapay zeka ajan yetkilendirmesi gibi konularda ortak bir çerçeveye duyulan ihtiyaç, bölgesel düzenleyici uyumu gündeme getirebilir.

Kazakistan, Azerbaycan ve Özbekistan için ne anlama geliyor?

Azerbaycan, Kazakistan ve Özbekistan henüz AB'deki kadar kapsamlı bir yapay zeka düzenleme çerçevesine sahip değil. Ancak AI Act'in etkisi iki farklı kanaldan bölgeye yansıyor: AB pazarına hizmet sunan şirketler doğrudan düzenlemenin kapsamına girerken, AB'nin risk temelli yaklaşımı da yeni ulusal düzenlemeler için referans model olarak öne çıkıyor. Bu durum, yapay zeka alanında Türk dünyasında oluşacak düzenleyici çerçevenin Avrupa standartlarıyla giderek daha uyumlu hale gelmesine katkı sağlayabilir.

Bu, veri korumada yaşanan dinamiğin tekrarı niteliğinde. GDPR yürürlüğe girdikten sonra bölge ülkeleri benzer ilkeleri kendi mevzuatlarına uyarladı; yapay zekada da benzer bir yakınsama beklenebilir. Sınır ötesi ödeme altyapıları, dijital kimlik doğrulama ve yapay zeka ajan yetkilendirmesi gibi alanlarda ortak bir referans çerçevesi, hem yatırımcı güveni hem de bölge içi birlikte çalışabilirlik açısından avantaj sağlayabilir.

Türk dünyasında finansal birlikte çalışabilirlik ve ortak veri/güven çerçeveleri üzerine yürüyen çalışmalar açısından AI Act, "uyum sağlanacak bir engel"den çok "hizalanılacak bir standart" olarak okunabilir. Bölgesel kurumların erken aşamada AB yaklaşımıyla uyumlu bir dil benimsemesi, ileride hem AB pazarına erişimi hem de Türk dünyası içi entegrasyonu kolaylaştıracak bir kaldıraç olabilir.

Sık Sorulan Sorular

AI Act ne zaman tam yürürlüğe girecek?

Yasa 1 Ağustos 2024'te yürürlüğe girdi. Yüksek riskli sistemlere ilişkin ana yükümlülükler, 2026 Digital Omnibus paketiyle 2 Aralık 2027'ye (bağımsız sistemler) ve 2 Ağustos 2028'e (ürüne gömülü sistemler) ertelendi.

AI Act şu an kanun mu?

Temel AI Act (Regulation 2024/1689) yürürlüktedir. Ancak 2026 Digital Omnibus değişiklik paketi, 16 Haziran 2026'da Parlamento onayından geçti fakat Konsey kabulü ve Resmi Gazete yayımı tamamlanana kadar resmen kanunlaşmış değildir.

AI Act AB dışındaki şirketleri etkiler mi?

Evet. AB'deki kullanıcılara hizmet veren veya çıktısı AB'de kullanılan yapay zeka sistemleri, şirket nerede kurulu olursa olsun kapsam içindedir.

AI Act cezaları ne kadar?

Article 99 üç kademe öngörür: yasaklı uygulamalarda 35 milyon avroya veya küresel cironun %7'sine kadar; yüksek riskli sistem yükümlülüklerinde 15 milyon avroya veya %3'e kadar; otoritelere yanlış bilgi vermede 7,5 milyon avroya veya %1'e kadar. KOBİ ve girişimlerde düşük olan tutar uygulanır.

Türk fintech şirketi AB'de ofisi olmadan kapsama girer mi?

Evet. Kapsam coğrafi merkeze değil, çıktının nereye ulaştığına bağlıdır. AB'deki bireyleri değerlendiren bir kredi modeli, AB dışı bir veri merkezinden çalışsa dahi kapsamdadır. AB dışı sağlayıcılar ayrıca Madde 22 uyarınca AB içinde yetkili bir temsilci atamak zorundadır.

AI Act yapay zeka ajanlarını (AI agents) kapsıyor mu?

AI Act yapay zeka ajanlarını ayrı bir kategori olarak tanımlamaz; ajanın yaptığı işe göre mevcut risk çerçevesi uygulanır. Bir ajan kredi değerliliği değerlendiriyor, kullanıcı adına finansal karar veriyor veya ödeme başlatıyorsa Annex III yüksek riskli kullanım alanlarına girebilir ve insan denetimi, açıklanabilirlik ile kayıt tutma yükümlülüklerine tabi olur.

Kaynaklar: Avrupa Komisyonu; AB Konseyi (Consilium); Avrupa Parlamentosu; EUR-Lex — Regulation (EU) 2024/1689, Annex III ve Article 99. 

Bu rehber düzenli olarak güncellenmektedir.