EU AI Act Kapsamında Yüksek Riskli Yapay Zekâ Sistemleri ve Uyum Şartları

Avrupa Birliği'nin resmî gazetesinde 12 Temmuz 2024 tarihinde yayımlanan ve 1 Ağustos 2024'te yürürlüğe giren Yapay Zekâ Yasası (Regulation EU 2024/1689 - EU AI Act), küresel teknoloji sektöründe yapay zekâ regülasyonunun benchmark standardı haline gelmiştir.

Yasa, yapay zekâ uygulamalarını oluşturdukları risk seviyesine göre dört kategoriye ayırır: Kabul Edilemez Risk (Yasaklı), Yüksek Risk, Şeffaflık Riski ve Düşük/Minimal Risk. Bu yapı içinde en kapsamlı teknik, hukuki ve operasyonel yükümlülükler Yüksek Riskli Yapay Zekâ Sistemleri için getirilmiştir.

---

1. Yürürlük ve Güncel Konsolide Uygulama Takvimi (Madde 113)

EU AI Act, kademeli bir geçiş takvimi öngörmüştür. İlk kabul edilen metindeki genel takvim ile Avrupa Birliği'nin güncel konsolide mevzuat metni (CELEX: 02024R1689-20260727) ve Madde 113 uygulama hükümleri doğrultusunda geçerli takvim netleştirilmiştir:

• 2 Şubat 2025 (Yürürlükte): Sosyal puanlama, bilişsel/bilinçaltı manipülasyon, iş yeri ve eğitim kurumlarında duygu tanıma ve hedefsiz yüz tanıma veri tabanı oluşturma gibi yasaklı yapay zekâ uygulamalarına dair genel yasaklar yürürlüğe girmiştir (Bölüm I ve II).
• 2 Ağustos 2025 (Yürürlükte): Genel Amaçlı Yapay Zekâ (GPAI) modelleri, yönetişim yapıları, Yapay Zekâ Ofisi yetkileri ve onaylanmış kuruluşlara dair kurallar devreye girmiştir (Bölüm III Kısım 4, Bölüm V ve VII).
• 2 Aralık 2027 (Ek III Yüksek Riskli Sistemler): İlk taslaklarda 24 aylık (Ağustos 2026) genel bir geçiş öngörülmüş olmakla birlikte, konsolide düzenleme ve uygulama çerçevesi uyarınca Ek III kapsamındaki bağımsız Yüksek Riskli Yapay Zekâ Sistemleri için zorunlu uygulama tarihi 2 Aralık 2027'dir. 2026 yılı, sağlayıcı ve dağıtıcı kurumlar için risk yönetim sistemi, veri yönetişimi ve teknik dosya hazırlıklarının tamamlanması gereken kritik intibak dönemidir.
• 2 Ağustos 2028 (Ek I Kapsamındaki Regüle Ürünler): Ek I kapsamındaki AB uyumlaştırılmış ürün güvenliği mevzuatına (tıbbi cihazlar, in-vitro tanı araçları, makineler, asansörler, sivil havacılık) tabi ürünlerin güvenlik bileşeni niteliğindeki yüksek riskli yapay zekâ sistemleri için son uygulama tarihi 2 Ağustos 2028 olarak belirlenmiştir.

---

2. Yüksek Riskli Sistemler Nasıl Belirlenir? (Ek I vs. Ek III)

Yasa, yüksek risk sınıflandırmasını iki farklı hukuki dayanak üzerinden yapar:

``mermaid flowchart TD AI["Yapay Zekâ Sistemi"] AI --> Q1{"Mevcut AB Ürün Güvenliği<br/>Kapsamında Güvenlik Bileşeni mi?<br/>(Ek I: Tıbbi Cihaz, Otomotiv vb.)"} Q1 -- Evet --> HighRisk1["YÜKSEK RİSK (Ek I)<br/>Uygulama Tarihi: 2 Ağustos 2028<br/>CE İşareti & Üçüncü Taraf Denetimi"] Q1 -- Hayır --> Q2{"Ek III Kapsamındaki 8 Alandan<br/>Birinde mi Kullanılıyor?"} Q2 -- Evet --> Exemption{"Önemli Bir Zarar Riski Taşımayan<br/>Dar Kapsamlı Görev mi?<br/>(Madde 6(3) İstisnası)"} Exemption -- Hayır --> HighRisk2["YÜKSEK RİSK (Ek III)<br/>Uygulama Tarihi: 2 Aralık 2027<br/>Zorunlu 7 Teknik Uyum Şartı"] Exemption -- Evet --> LowRisk["Minimal / Şeffaflık Riski"] Q2 -- Hayır --> LowRisk ``

Ek I: Regüle Ürünlerin Güvenlik Bileşenleri

Tıbbi cihazlar, in-vitro tanı araçları, makineler, asansörler, sivil havacılık ekipmanları ve motorlu araçlarda güvenlik bileşeni olarak kullanılan yapay zekâ modelleri (uygulama: 2 Ağustos 2028).

Ek III: Bağımsız Yüksek Riskli Kullanım Alanları (Uygulama: 2 Aralık 2027)

1. Biyometrik Tanıma: Gerçek zamanlı ve sonradan uzaktan biyometrik kimlik tespiti, duygu tanıma sistemleri.
2. Kritik Altyapı: Su, gaz, elektrik ve dijital trafik yönetimi gibi kamu altyapılarında güvenlik bileşenleri.
3. Eğitim ve Mesleki Eğitim: Sınav değerlendirme, kabul kriterleri belirleme algoritmaları.
4. İstihdam ve İK Yönetimi: İşe alım, CV eleme, terfi, görev dağılımı ve performans izleme araçları.
5. Temel Özel ve Kamu Hizmetlerine Erişim: Kredi puanlama, risk analizi, acil çağrı ve ambulans yönlendirme sistemleri.
6. Kolluk Kuvvetleri: Suç analizi, delil güvenilirliği değerlendirmesi.
7. Göç ve Sınır Kontrolü: İltica başvurularının incelenmesi, vize değerlendirme sistemleri.
8. Adalet ve Demokratik Süreçler: Yargı kararlarının araştırılması veya mahkeme kararlarına etki eden modeller.

---

3. Sağlayıcı (Provider) ve Dağıtıcı (Deployer) Ayrımı

Yasa, sorumlulukları sistemin üreticisi ile kullanan kuruluş arasında net biçimde ayırır:

---

4. Yüksek Riskli Sistemler İçin Zorunlu 7 Teknik Şart (Madde 9–15)

Yüksek riskli yapay zekâ modelleri piyasaya sürülmeden önce şu teknik kapılardan geçmek zorundadır:

1. Risk Yönetim Sistemi (Madde 9): Sistemin tüm yaşam döngüsü boyunca öngörülebilir risklerin ve makul kötüye kullanım senaryolarının sürekli değerlendirilmesi.
2. Veri ve Veri Yönetişimi (Madde 10): Eğitim, doğrulama ve test veri setlerinin temsil kabiliyeti yüksek, istatistiksel hatalardan ve ayrımcılık yaratan yanlılıklardan (bias) arındırılmış olması.
3. Teknik Dokümantasyon (Madde 11): Sistemin algoritmik mantığını, model mimarisini ve test sonuçlarını içeren teknik dosyanın yetkili makamlara sunulabilir halde olması.
4. Kayıt Tutma (Madde 12): Sistemin çalışması esnasında oluşan olayların, veri akışlarının ve kararların geriye dönük izlenebilirliği sağlayacak otomatik log mekanizması.
5. Şeffaflık ve Bilgilendirme (Madde 13): Dağıtıcıların sistemin çıktısını doğru yorumlamasını sağlayacak açık, sade ve net kullanım kılavuzları.
6. İnsan Gözetimi (Madde 14): İnsanın sistemi geçersiz kılabilmesini (override), kararları düzeltebilmesini veya sistemi anında durdurabilmesini sağlayacak kontrol mekanizmaları.
7. Doğruluk, Dayanıklılık ve Siber Güvenlik (Madde 15): Modelin manipülasyonlara (adversarial attacks), veri zehirlenmesine ve beklenmeyen girdilere karşı teknik dayanıklılığı.

---

Sıkça Sorulan Sorular (FAQ)

Ek III yüksek riskli yapay zekâ sistemleri için son uyum tarihi ne zamandır?

Konsolide Regulation (EU) 2024/1689 Madde 113 takvimi uyarınca Ek III kapsamındaki yüksek riskli sistemlerin zorunlu uygulama tarihi 2 Aralık 2027'dir. Ancak teknik dosya hazırlığı, veri seti temizliği ve CE işaretleme süreçleri 12–18 ay sürdüğünden kurumların 2026 yılından itibaren uyum çalışmalarına başlaması esastır.

Türkiye'deki bir yazılım şirketi AB vatandaşına hizmet veren bir model geliştirirse EU AI Act'e tabi midir?

Evet. EU AI Act, GDPR gibi genişletilmiş bölgesel yetkiye (extraterritorial effect) sahiptir. Şirket Türkiye'de mukim olsa dahi, ürettiği yapay zekâ sisteminin çıktısı AB pazarında kullanılıyorsa yasanın tüm hükümlerine uymak zorundadır.

Açık kaynaklı (open-source) yapay zekâ modelleri yüksek risk yükümlülüklerinden muaf mıdır?

Genel açık kaynaklı modeller için belirli istisnalar bulunmakla birlikte; eğer bir açık kaynak model Ek III kapsamındaki yüksek riskli bir alanda (örneğin İK işe alımı veya kredi puanlama) ticarileştirilir veya dağıtılırsa, sağlayıcı ve dağıtıcı tüm yüksek risk şartlarına uymak zorundadır.

ISO/IEC 42001 sertifikası EU AI Act uyumu için yeterli midir?

ISO/IEC 42001 (Yapay Zekâ Yönetim Sistemi), EU AI Act gereksinimlerinin kurumsal yönetim altyapısını kurmak için mükemmel bir çerçevedir. Ancak standart tek başına bir CE belgesi değildir; teknik dosya ve yasal AB uygunluk değerlendirmesi ayrıca tamamlanmalıdır.

---