Yapay Zeka
Yapay Zekâ Uyumu Ertelenmedi: KVKK ve AB Yasası Karşısında Mühendislik Rehberi
AB Yapay Zekâ Yasası'nın yüksek riskli sistemlere ilişkin yükümlülükleri 2 Ağustos 2026'da değil, Dijital Omnibus düzenlemesiyle 2 Aralık 2027'de yürürlüğe girecek; buna karşılık Türkiye'de faaliyet gösteren şirketleri bugün fiilen bağlayan çerçeve KVKK'nın yapay zekâ rehberleridir ve onlar ertelenmedi. Yani takvim gevşedi, sorumluluk gevşemedi. Bu yazı, iki düzenlemenin yazılım mimarisinde tam olarak neye karşılık geldiğini anlatıyor: hukuk metnini değil, onu koda çeviren kararları.
Neden bu kadar çok çelişkili bilgi dolaşıyor
2024 ve 2025 boyunca yazılan neredeyse tüm içerik, yüksek riskli sistemler için 2 Ağustos 2026 tarihini esas aldı. Dijital Omnibus düzenlemesi bu takvimi değiştirdi ve değişiklik çok yeni olduğu için internetteki rehberlerin önemli bölümü hâlâ eski tarihi anlatıyor. Aşağıdaki tablo, doğrulanmış güncel takvimi veriyor.
- Etken yapay zekâ (agentic AI)
- Kendisine verilen hedefe ulaşmak için adımlarına kendi karar veren, araç çağıran ve zincirleme işlem yapabilen sistem. Klasik bir modelden farkı, çıktı üretmekle kalmayıp eylemde bulunmasıdır.
- Yüksek riskli sistem
- AB Yasası'nın Ek III listesinde sayılan alanlarda (istihdam, eğitim, kredi, kamu hizmetine erişim gibi) kullanılan yapay zekâ sistemleri. Yükümlülüklerin ağırlığı buradadır.
- Veri sorumlusu
- Kişisel verinin işlenme amacını ve yöntemini belirleyen taraf. Yapay zekâ kullanan kurum çoğu senaryoda veri sorumlusudur; model sağlayıcısını kullanıyor olmak bu sıfatı devretmez.
- Otonomi seviyesi
- Sistemin insan onayı almadan gerçekleştirebileceği eylemlerin kapsamı. Uyum tartışmasının teknik karşılığı büyük ölçüde bu seviyenin nerede sabitlendiğidir.
Doğrulanmış takvim
| Düzenleme | Kapsam | Tarih |
|---|---|---|
| KVKK Üretken Yapay Zekâ Rehberi | Üretken sistemlerde kişisel veri işleme | Kasım 2025'te yayımlandı, yürürlükte |
| KVKK Etken Yapay Zekâ (Agentic AI) Rehberi | Otonom ajan sistemleri, 46 sayfa | 12 Mart 2026'da yayımlandı, yürürlükte |
| AB Yasası — Ek III yüksek riskli | Bağımsız yüksek riskli sistemler | 2 Aralık 2027'ye ertelendi |
| AB Yasası — Ek I yüksek riskli | Regüle ürünlere gömülü sistemler | 2 Ağustos 2028 |
| AB Yasası — sentetik içerik şeffaflığı | Üretilen ses, görsel, video, metin etiketleme | Mevcut sistemler için 2 Aralık 2026 |
KVKK rehberleri bağlayıcı mevzuat değil, Kurum'un beklentilerini ve değerlendirme yaklaşımını gösteren referans metinlerdir. Ancak bir inceleme sırasında Kurum'un neye bakacağını en net gösteren kaynak da bunlardır; "rehber bağlayıcı değildi" savunması pratikte bir yere varmaz.
Türk şirketini AB Yasası neden ilgilendirir
Yasa yalnız AB'de kurulu şirketleri değil, sisteminin çıktısı AB'de kullanılan sağlayıcıları da kapsar. Avrupa'ya hizmet veren, AB'li müşterisi olan veya ürününü oraya satan bir Türk yazılım şirketi kapsam dışı değildir. Erteleme bu gerçeği değiştirmedi, yalnız hazırlık için süre tanıdı.
Hukuk metninin mimarideki karşılığı
Bu bölüm, rehberlerin "ne yapılmalı" dediği maddeleri "nasıl yapılır" karşılığına çeviriyor. Asıl boşluk burada: hukukçular gerekliliği tarif ediyor, teknik karşılığını kimse yazmıyor.
| Düzenlemenin istediği | Mimaride karşılığı |
|---|---|
| İnsan gözetimi | Ajanın eylemleri risk eşiğine göre ayrılır; eşik üstü eylemler doğrudan yürütülmez, onay kuyruğuna düşer. Her eylem için geri alma yolu tanımlanır. Onay isteyen ekran, ajanın gerekçesini ve kullandığı veriyi birlikte gösterir — yoksa onay biçimsel kalır. |
| Amaç sınırlaması | Ajanın çağırabileceği araçlar beyaz liste ile sabitlenir. Yeni araç eklemek kod değişikliği ve gözden geçirme gerektirir; çalışma anında kendi yetkisini genişletemez. |
| Veri minimizasyonu | Model sağlayıcısına giden yükte kişisel veri maskeleme katmanından geçer. Kimlik, iletişim ve finansal alanlar istem oluşturulmadan önce ayıklanır veya takma değerle değiştirilir. |
| İzlenebilirlik | Hangi ajanın hangi veriye eriştiği, hangi aracı çağırdığı ve hangi çıktıyı ürettiği zaman damgalı biçimde kaydedilir. Kayıtların saklama süresi ve erişim yetkisi ayrıca tanımlanır. |
| Yurt dışına aktarım | Model sağlayıcısı yurt dışındaysa istem içeriği de aktarımdır. Aktarımın hukuki dayanağı belirlenir; gerekiyorsa yurt içinde barındırılan model tercih edilir. |
| Şeffaflık | Kullanıcı, yapay zekâ ile etkileştiğini ve üretilen içeriğin makine çıktısı olduğunu görebilmelidir. Sentetik içerik üreten akışlarda etiketleme arayüz katmanına gömülür. |
| Doğruluk ve itiraz | Otomatik kararın gerekçesi kullanıcıya gösterilebilir olmalı ve itiraz yolu bulunmalıdır. Bu, kararı üreten girdilerin karar anında saklanmasını gerektirir. |
Sık yapılan üç mimari hata
- Otonomiyi sınırsız bırakıp sonradan kısıtlamaya çalışmak. Ajan mimarisi baştan yetki sınırıyla kurulmazsa, sonradan eklenen kontroller çoğu zaman aşılabilir kalır. Yetki sınırı bir özellik değil, temeldir.
- Loglamayı hata ayıklama aracı sanmak. İzlenebilirlik kaydı, bir inceleme sırasında "kim neye erişti" sorusunu geriye dönük cevaplayabilmek içindir. Yalnız hataları kaydeden bir sistem bu soruyu cevaplayamaz.
- Maskelemeyi arayüzde yapmak. Veri ekranda gizlenip modele ham gönderiliyorsa minimizasyon yapılmamıştır. Maskeleme, istemin oluşturulduğu sunucu katmanında olmalıdır.
Hangi durumda ne yapmalı
Senaryo 1 — İç süreçte özetleme ve taslak üretimi. Yapay zekâ yalnız kurum içi belgeleri özetliyor, kimse hakkında karar üretmiyorsa yükümlülük hafiftir. Burada maskeleme ve erişim kaydı yeterlidir; ağır bir uyum programı kurmak gereksiz maliyettir. Bu senaryoda danışmanlık almanıza gerek yok, kendi ekibiniz halleder.
Senaryo 2 — Müşteriye dönük, karar üreten sistem. Başvuru değerlendiren, önceliklendiren veya fiyat belirleyen bir akış varsa insan gözetimi, gerekçe gösterimi ve itiraz yolu artık isteğe bağlı değildir. Erteleme buraya süre kazandırdı; muafiyet getirmedi.
Senaryo 3 — Otonom eylem alan ajan. Sistem e-posta gönderiyor, kayıt güncelliyor veya ödeme başlatıyorsa risk sınıfı yükselir. Bu mimaride yetki beyaz listesi, onay eşiği ve geri alma yolu üçü birden kurulmadan üretime çıkılmamalıdır.
Erteleme neyi değiştirmeli
Ek III yükümlülüklerinin Aralık 2027'ye kaymasının doğru okunuşu "iki yıl daha bekleyelim" değil, "aceleyle yapılacak bir uyum projesini planlı bir mimari çalışmaya dönüştürelim" olmalıdır. Uyumun pahalı kısmı doküman üretmek değil, mimariyi sonradan değiştirmektir. Yetki sınırı, izlenebilirlik ve maskeleme katmanı bugün kurulursa maliyeti düşüktür; sistem büyüdükten sonra eklenmesi çok daha pahalıya gelir. KVKK tarafı zaten beklemiyor.
Bugün başlanabilecek altı iş
Aşağıdaki sıralama maliyet ve etkiye göre yapıldı: üsttekiler ucuz ve hemen yapılabilir, alttakiler daha fazla emek ister. Hiçbiri Aralık 2027'yi beklemeyi gerektirmiyor.
- Envanter çıkarın. Kurumda hangi süreçte hangi yapay zekâ kullanılıyor, hangi veri gidiyor, hangi sağlayıcıya? Çoğu kurumda bu listenin kendisi sürpriz üretir; ekiplerin habersiz başlattığı kullanımlar buradan görünür. Envanter olmadan diğer beş madde havada kalır.
- Her kullanım için otonomi seviyesini yazın. Sistem öneri mi üretiyor, karar mı veriyor, eylem mi alıyor? Üçü çok farklı yükümlülük doğurur ve çoğu ekip bunu hiç ayırmadan konuşur. Tek cümlelik bir tanım bile tartışmayı netleştirir.
- Maskeleme katmanını sunucuya taşıyın. Modele giden istemde kimlik, iletişim ve finansal alanlar ayıklanıyor mu? Bu, genellikle birkaç günlük iştir ve en yüksek riski en düşük maliyetle azaltır.
- Erişim kaydını denetime uygun hale getirin. Mevcut loglarınız "kim, ne zaman, hangi veriye, hangi amaçla erişti" sorusunu geriye dönük cevaplayabiliyor mu? Cevap hayırsa elinizdeki hata ayıklama logudur, izlenebilirlik kaydı değil.
- Yetki beyaz listesi tanımlayın. Ajanın çağırabileceği araçlar sabit bir listede mi, yoksa çalışma anında genişleyebiliyor mu? Bu karar mimarinin temelindedir; sonradan eklenen kısıtlar genellikle aşılabilir kalır.
- Onay ve geri alma yolunu kurun. Risk eşiğini aşan eylemler onaya düşsün ve her eylemin geri alınabilir bir karşılığı olsun. Onay ekranı, ajanın gerekçesini ve kullandığı veriyi birlikte göstermelidir; aksi hâlde onaylayan kişi neyi onayladığını bilmez ve insan gözetimi kâğıt üzerinde kalır.
Bu altı madde tamamlandığında hem KVKK rehberlerinin beklentilerinin önemli bölümü karşılanmış olur hem de Aralık 2027 geldiğinde yapılacak iş bir uyum projesi değil, mevcut mimarinin belgelenmesi haline gelir. Aradaki maliyet farkı büyüktür.
Bu konuda ne yapıyoruz
Yapay zekâ destekli sistemleri kurum içi süreçlere bağlarken bu kararların tamamı önümüze geliyor: ajanın hangi aracı çağırabileceği, hangi eylemin onaya düşeceği, hangi verinin modele hiç gitmeyeceği ve hangi kaydın ne kadar saklanacağı. Yaklaşımımızı hizmetlerimiz sayfasında, ürettiğimiz sistemleri projelerimiz sayfasında görebilirsiniz. Mevcut yapınızın bu başlıklar karşısında nerede durduğunu konuşmak isterseniz bize ulaşın; kapsam dışı olduğunuzu düşünürsek bunu da açıkça söyleriz.
Sıkça sorulan sorular
AB Yapay Zekâ Yasası ertelendiğine göre hiçbir şey yapmama gerek var mı?
Erteleme yalnız Ek III yüksek riskli yükümlülükleri kapsıyor ve 2 Aralık 2027'ye taşındı. KVKK'nın üretken ve etken yapay zekâ rehberleri yürürlükte; Türkiye'de faaliyet gösteren şirketleri bugün ilgilendiren çerçeve bunlar.
KVKK rehberleri bağlayıcı mı?
Rehberler bağlayıcı mevzuat değildir, ancak Kurum'un değerlendirme yaklaşımını gösterir. Bir inceleme sırasında hangi kriterlere bakılacağını en net anlatan kaynak olduğu için pratikte bağlayıcı gibi ele alınmalıdır.
Türkiye'deki bir şirket AB Yasası kapsamına girer mi?
Sistemin çıktısı AB'de kullanılıyorsa girer. AB'li müşteriye hizmet veren veya ürününü oraya satan şirketler kapsam dışı değildir.
Hazır bir model sağlayıcısı kullanıyorsak sorumluluk onlarda mı?
Hayır. İşleme amacını ve yöntemini belirleyen taraf veri sorumlusudur; bu sıfat hizmet satın alarak devredilmez. Sağlayıcı seçimi sorumluluğu ortadan kaldırmaz, aksine aktarım ve barındırma sorularını gündeme getirir.