Türkiye’de yerleşik pek çok yazılım ve yapay zekâ girişimi, bulut altyapısı üzerinden Avrupa Birliği’ndeki kurumsal müşterilere veya son kullanıcılara ürün sunmaktadır. 2024/1689 sayılı Avrupa Birliği Yapay Zekâ Tüzüğü (EU AI Act), Genel Veri Koruma Tüzüğü’nde (GDPR) olduğu gibi yerellik ilkesini aşan bir uygulama alanı benimsemiş ve belirli koşullarda Birlik dışındaki geliştiricileri de doğrudan kapsamına almıştır.

2024/1689 sayılı Tüzüğün ülke dışı (ekstrateritoryal) uygulama alanı

2024/1689 sayılı Tüzüğün 2 nci maddesi uyarınca düzenleme; kuruluş yeri Birlik içinde veya üçüncü bir ülkede olmasına bakılmaksızın AB’de yapay zekâ sistemini piyasaya arz eden ya da hizmete sunan veya genel amaçlı yapay zekâ modelini piyasaya arz eden sağlayıcılara (m. 2/1-a) uygulanır. Ayrıca üçüncü bir ülkede yerleşik sağlayıcı veya konuşlandırıcının (deployer) yapay zekâ sistemince üretilen çıktısının AB içinde kullanılması hâlinde de Tüzük devreye girer (m. 2/1-c). Örneğin Türkiye’deki bir şirketin geliştirdiği yapay zekâ aracının ürettiği aday değerlendirme raporu veya kredi risk analizi AB’deki bir müşteri tarafından Birlik içinde kullanılıyorsa sınır ötesi uygulama alanı doğabilir.

Tedarik zincirinde sağlayıcı (provider) ve konuşlandırıcı (deployer) sıfatlarının ayrımı

Tüzük kapsamındaki yükümlülüklerin ağırlığı, girişimin değer zincirindeki rolüne göre değişir. Sıfırdan model eğiten şirketlerin yanı sıra, mevcut bir sistemi kendi adı veya markası altında yüksek riskli olarak piyasaya sunan, mevcut sistemin kullanım amacını yüksek riskli hâle getiren ya da yüksek riskli bir sistemde esaslı değişiklik yapan girişimler de sağlayıcı konumuna geçebilir (m. 25). Buna karşılık üçüncü taraf bir sistemi yalnızca kendi mesleki faaliyeti içinde kullanan kuruluşlar kural olarak konuşlandırıcı sayılır. Model ince ayarı (fine-tuning), sistem kurgusu ve entegrasyon düzeyinin hangi rolü doğurduğu ürün bazında değerlendirilmelidir.

Risk sınıflandırması, kademeli yürürlük takvimi ve şeffaflık yükümlülükleri

Tüzük, yapay zekâ uygulamalarını risk temelli dört katmana ayırır: kabul edilemez risk taşıyan yasaklı uygulamalar (m. 5), işe alım, eğitim, temel özel veya kamusal hizmetlere erişim ve kritik altyapı gibi Ek III alanlarındaki yüksek riskli sistemler (m. 6), şeffaflık yükümlülüklerine tabi sistemler (m. 50) ve düşük riskli uygulamalar. Şeffaflık rejiminde sağlayıcılar, gerçek kişilerin bir yapay zekâ sistemiyle etkileşimde bulunduğundan haberdar olmasını sağlayacak tasarım kurallarına (m. 50/1) ve üretilen sentetik ses, görüntü, video veya metin çıktılarını makinece okunabilir biçimde işaretleme yükümlülüğüne (m. 50/2) tabidir; konuşlandırıcılar ise derin sahte (deepfake) içerikler ile kamuyu bilgilendirme amacıyla yayımlanan yapay zekâ üretimli metinlerde açıklama yapmakla yükümlüdür (m. 50/4). Uygulama takvimi de kademelidir (m. 111, m. 113): yasaklı uygulamalar Şubat 2025’te, genel amaçlı yapay zekâ modeli kuralları Ağustos 2025’te ve m. 50 şeffaflık kuralları Ağustos 2026’da yürürlüğe girmiş; 2026/1744 sayılı değişiklik Tüzüğü ile Ek III kapsamındaki bağımsız yüksek riskli sistemlerin uyum tarihi Aralık 2027’ye, Birlik ürün güvenliği mevzuatına tabi yüksek riskli sistemlerinki ise Ağustos 2028’e taşınmıştır. Erteleme, III. Bölümün 1–3. kısımlarına m. 6/5 istisnasıyla ilişkindir: Ek III için 2 Aralık 2027, m. 6/1 ve Ek I için 2 Ağustos 2028 esas alınır. Bütün Tüzük ertelenmiş değildir. Ayrıca 2 Ağustos 2026’dan önce piyasaya arz edilmiş sentetik içerik üreten sistemlerin m. 50/2’ye uyumu için m. 111/4’te 2 Aralık 2026 geçiş tarihi bulunur; bu geçiş her şeffaflık yükümlülüğüne uygulanmaz.

Birlik içinde yetkili temsilci atanması ve kurumsal tedarik sözleşmelerine yansımalar

Birlik dışında yerleşik bir sağlayıcının AB pazarına yüksek riskli bir yapay zekâ sistemi veya genel amaçlı yapay zekâ modeli sunması hâlinde, yazılı yetkiyle Birlik içinde yerleşik bir yetkili temsilci (authorised representative) ataması öngörülmüştür (m. 22, m. 54). Ancak sistemik risk barındırmaması kaydıyla, parametreleri ve ağırlıkları dâhil olmak üzere ücretsiz ve açık kaynaklı lisansla kamuya açılan genel amaçlı yapay zekâ modellerinin sağlayıcıları yetkili temsilci atama yükümlülüğünden istisna tutulmuştur (m. 54/6). Bunun yanında AB’deki kurumsal müşteriler, kendi uyum süreçleri kapsamında Türkiye’deki yazılım tedarikçilerinden teknik dokümantasyon, veri yönetişimi, insan gözetimi mekanizmaları ve olay bildirimi konularında sözleşmesel güvenceler talep etmektedir; bu taahhütlerin Türk hukukundaki ticari sır, fikrî mülkiyet ve KVKK yükümlülükleriyle uyumlu biçimde kaleme alınması gerekir. Madde 54/6 istisnasında serbest ve açık kaynak lisansının erişim, kullanım, değişiklik ve dağıtıma izin vermesi; parametreler ve ağırlıklarla birlikte mimari ve kullanım bilgilerinin de kamuya açık olması aranır. Salt açık ağırlıklı olmak yeterli değildir. Sistem sağlayıcısı için m. 22 ile genel amaçlı model sağlayıcısı için m. 54 farklı sıfatlara ilişkindir; bir üst modelin API’sini kullanmak tek başına model sağlayıcılığı doğurmaz.

Resmî kaynaklar ve başvuru metinleri

Kaynak bağlantıları ilgili resmî metinlere ve başvuru eserlerine yöneliktir. Bu yazı genel bilgilendirme amaçlıdır; somut olaya ilişkin hukuki görüş yerine geçmez.