Kamu kurumları için AB Yapay Zekâ Yasası: Aralık 2027’ye kadar neler hazırlanmalı

012026 sonbaharında durum

(AB) 2024/1689 sayılı Tüzük, yani Yapay Zekâ Yasası (harici bir site açılır), 1 Ağustos 2024’te yürürlüğe girdi ve aşamalı olarak uygulanıyor. AB, Temmuz 2026’da yapay zekâya ilişkin Dijital Omnibus’u, yani (AB) 2026/1744 sayılı Tüzüğü (harici bir site açılır) kabul etti; bu tüzük yüksek riskli sistemlere ilişkin kuralları erteledi ve bir dizi başka hükmü değiştirdi. Tüzük, yüksek risk kurallarının ilk öngörülen uygulama tarihinden birkaç gün önce, 27 Temmuz 2026’da yürürlüğe girdi.

Sonuç olarak bazı yükümlülükler hâlihazırda uygulanıyor, bazıları bu yılın sonunda geliyor; kamu kurumlarındaki uygulayıcılar için en ağır olanlar ise Aralık 2027’de başlıyor.

Omnibus, yapay zekâ okuryazarlığına ilişkin 4. maddeyi de yeniden yazdı. Sağlayıcılar ve uygulayıcılar artık personelinin yeterli düzeyde okuryazarlığa sahip olmasını sağlamak yerine, bu okuryazarlığı desteklemek için önlem almakla yükümlü. Yükümlülük sürüyor; göstermeniz gereken şey değişti. Her role uygun bir eğitim ve bunun kaydı hâlâ akılcı bir yanıttır.

02Sağlayıcı mısınız, uygulayıcı mı?

Kamu kurumlarının çoğu uygulayıcıdır (deployer): bir yapay zekâ sistemini kendi yetkisi altında kullanır. Bir yapay zekâ sistemi geliştirdiğinizde ya da geliştirttiğinizde ve onu kendi adınızla hizmete sunduğunuzda sağlayıcı (provider) olursunuz. Kurum içinde ya da sizin şartnamenize göre bir yüklenici tarafından geliştirilen sistemler de buna dâhildir.

Roller değişebilir de. 25. maddeye göre yüksek riskli bir sistemde esaslı değişiklik yapan ya da sistemin kullanım amacını yüksek riskli hâle gelecek biçimde değiştiren bir uygulayıcı, sağlayıcı yükümlülüklerini üstlenir. Öngörülen rolleri ihale dokümanlarına ve sözleşmelere yazın; böylece kimse bunları bir denetim sırasında fark etmez.

03Hangi kullanım senaryo­larınız yüksek riskli?

Ek III, yapay zekâ sistemlerinin yüksek riskli sayıldığı alanları listeler. Kamu kurumları için en önemlileri şunlardır:

• Temel kamu hizmetlerine ve sosyal yardımlara erişim: uygunluğun değerlendirilmesi; yardım ve hizmetlerin verilmesi, azaltılması, iptali ya da geri istenmesi.
• Göç, iltica ve sınır kontrolü yönetimi, kolluk ve yargı yönetimi.
• Eğitim ve mesleki eğitim: kabul, öğrenme çıktılarının değerlendirilmesi, sınavlar sırasında gözetim.
• İstihdam: işe alım, terfi, görev dağılımı ve personelin izlenmesi. Kamu kurumları da işverendir.
• Kritik altyapı: dijital altyapının, karayolu trafiğinin ve kamu hizmet şebekelerinin yönetimindeki güvenlik bileşenleri.

Bir Ek III alanında bulunmak analizin sonu değildir. 6(3). maddeye göre böyle bir alandaki bir sistem, önemli bir zarar riski oluşturmuyorsa yüksek riskli sayılmaz; örneğin dar bir usul görevini yerine getiriyorsa, bir kişinin önceden tamamladığı bir işin sonucunu iyileştiriyorsa, insan değerlendirmesinin yerini almadan örüntüleri tespit ediyorsa ya da hazırlık niteliğinde bir görev yapıyorsa. Kişilerin profilini çıkaran bir sistem her zaman yüksek risklidir. Bu istisnaya dayanıyorsanız gerekçenizi belgeleyin.

Birçok yararlı araç hiç yüksek riskli değildir: yazım desteği, kurum içi bilgi araması, çeviri, özetleme. Bunlara şeffaflık yükümlülükleri ve Genel Veri Koruma Tüzüğü (GDPR) yine uygulanır, ancak yüksek risk rejimi uygulanmaz.

04Yüksek riskli sistemlerde uygulayı­cıların görevleri

2 Aralık 2027’den itibaren Ek III’teki yüksek riskli bir sistemi kullanan bir kamu kurumu, 26. madde (harici bir site açılır) kapsamında yükümlülükler taşır. Başlıcaları:

• Sistemi, sağlayıcının kullanım talimatlarına uygun olarak ve uygun teknik ve organizasyonel önlemlerle kullanın.
• İnsan gözetimini gerekli yetkinliğe, eğitime ve yetkiye sahip kişilere verin ve onları destekleyin.
• Kontrolünüzdeki girdi verilerinin kullanım amacı açısından ilgili ve yeterince temsil edici olmasını sağlayın.
• Sistemin işleyişini izleyin; riskleri ve ciddi olayları gecikmeksizin sağlayıcıya ve makamlara bildirin.
• Başka bir AB ya da ulusal hukuk kuralı aksini öngörmedikçe, otomatik oluşturulan kayıtları en az altı ay saklayın.
• Yüksek riskli bir sistemi iş yerinde kullanmadan önce çalışan temsilcilerini ve etkilenen personeli bilgilendirin.
• Kamu makamı olarak, sistemi kullanmaya başlamadan önce kullanımınızı AB veri tabanına kaydedin (26(8). ve 49. madde). Kaydedilmemiş bir sistem kullanılamaz.
• Yüksek riskli bir sistem kişiler hakkında karar vermek ya da karara yardımcı olmak için kullanıldığında bu kişileri bilgilendirin (26(11). madde). Kişilerin bireysel kararların açıklanmasını isteme hakkı da vardır (86. madde).

Temel haklar etki değerlen­dirmesi

27. madde (harici bir site açılır) uyarınca kamu hukukuna tabi kuruluşlar ve kamu hizmeti sunan özel kuruluşlar, Ek III sistemlerinin çoğunu ilk kez kullanmadan önce bir temel haklar etki değerlendirmesi yapar. Kritik altyapıya yönelik sistemler bunun dışındadır. Değerlendirme şunları açıklar:

1. 01sistemin, kullanım amacına uygun olarak kullanılacağı süreçler;
2. 02kullanım süresi ve sıklığı;
3. 03etkilenmesi muhtemel kişi ve grup kategorileri;
4. 04bu kişiler için belirli zarar riskleri;
5. 05insan gözetiminin nasıl uygulandığı;
6. 06riskler gerçekleşirse ne olacağı, iç yönetişim ve şikâyet mekanizmaları dâhil.

Sonuçları piyasa gözetim makamına bildirirsiniz. Değerlendirme, GDPR 35. madde kapsamındaki veri koruma etki değerlendirmesini (DPIA) tamamlar ve onun üzerine kurulabilir; bu nedenle ikisini birlikte yürütün. 27(5). madde, Yapay Zekâ Ofisinden bir şablon anket hazırlamasını ister; kendi şablonunuzu tasarlamadan önce bu şablonun durumunu kontrol edin. Bazı ülkelerde hazır yöntemler var; örneğin Hollanda hükümetinin Impact Assessment Mensenrechten en Algoritmes (IAMA) yöntemi.

05Şimdiden uygulanan şeffaflık yükümlü­lükleri

2 Ağustos 2026’dan bu yana 50. madde uygulanıyor. Sağlayıcılar, kişilerle etkileşen sistemleri bu kişilere bir yapay zekâ sistemiyle muhatap olduklarını bildirecek şekilde tasarlamalı (bu zaten açık değilse) ve sentetik içeriği makinece okunabilir biçimde işaretlemelidir. Uygulayıcılar derin sahteleri (deepfake) açıklamalı; kamuoyunu kamu yararını ilgilendiren konularda bilgilendirmek için yayımlanan, yapay zekâ ile üretilmiş ya da değiştirilmiş metinleri de açıklamalıdır. Metni bir kişi incelemiş ve birisi editoryal sorumluluğu üstlenmişse bu son yükümlülük doğmaz.

Bir kamu kurumu için en yaygın durum, bir web sitesindeki ya da bir hizmet kanalındaki sohbet asistanıdır. Kıbrıs Cumhuriyeti’nde CY Login, kamu hizmetlerine tek giriş noktasıdır ve ulusal elektronik kimlikle (eID) kullanılabilir. Bir asistan bu tür bir hizmet kanalına bağlandığında da kural aynıdır: bunun bir yapay zekâ sistemi olduğunu açıkça söyleyin, nelere yardımcı olabileceğini ve olamayacağını açıklayın ve bir kişiye ulaşma yolu sunun.

062026 ve 2027 için hazırlık planı

1. 01Envanter, hemen şimdi. Kullanımdaki ya da ihale aşamasındaki her yapay zekâ sistemini, zaten lisansladığınız platformların içindeki yapay zekâ özellikleri dâhil listeleyin. Sahibini, amacını, sağlayıcısını, kullanılan verileri ve etkilenen kişileri kaydedin.
2. 02Sınıflandırma, 2027 başına kadar. Yasaklı, yüksek riskli (6(3). madde gerekçesi belgelenmiş olarak), yalnızca şeffaflık yükümlülüğü olan ya da asgari riskli. Her sistem için sağlayıcı mı, uygulayıcı mı olduğunuzu kaydedin.
3. 03Sözleşmeler, 2027 içinde. Sağlayıcılardan kullanım talimatlarını, uygunluk belgelerini ve kayıtlara erişimi isteyin. Etki değerlendirmenize ve olay bildirimine destek vermeyi bir sözleşme şartı yapın.
4. 04Gözetimi tasarlayın. Rolleri belirleyin, eğitin, sistemi geçersiz kılma yetkisi ve bir üst kademeye aktarma yolu verin. Otomasyon yanlılığına karşı tasarım yapın; yapay zekâ ajanlarında insan onayı üzerine makalemiz bunun nasıl yapılacağını gösterir.
5. 05Kayıt ve izlemeyi kurun. Kayıtları en az altı ay saklayın; neyin ciddi olay sayılacağını ve bunu kimin bildireceğini tanımlayın.
6. 06İlk kullanımdan önce. Temel haklar etki değerlendirmesini DPIA ile birlikte yürütün, AB veri tabanına kayıt yaptırın, personeli ve etkilenen kişileri bilgilendirin.
7. 07Okuryazarlığı sürdürün. Kullanıcılar, inceleyenler ve karar verenler için role göre eğitim verin; sistemler değiştiğinde eğitimi yenileyin ve kimin eğitim aldığını kaydedin.

07Yaptırımlar ve uygulama

Yaptırım kurallarını üye devletler belirler. 99(8). madde, o üye devlette kurulu kamu makamlarına ve kuruluşlarına idari para cezası verilip verilemeyeceğine ve ne ölçüde verilebileceğine her üye devletin kendisinin karar vermesine imkân tanır. Bu, beklemek için bir neden değildir. Piyasa gözetim makamları yine de düzeltici önlem isteyebilir; bir kamu kararının meşruiyeti de açıklanabilir ve itiraz edilebilir olmasına bağlıdır.

08Önümüzdeki aylarda izlenecekler

• Komisyonun yüksek riskli sistemlerin sınıflandırılmasına ilişkin kılavuzları (6(5). madde) ve yayımlanmış olan yasaklı uygulamalara ilişkin kılavuzları (harici bir site açılır).
• Sağlayıcıların uygunluğu göstermek için kullanacağı, yüksek risk gerekliliklerine ilişkin uyumlaştırılmış standartlar.
• Kıbrıs Cumhuriyeti’nde piyasa gözetim makamlarının belirlenmesi ve bu makamların kamu kurumlarındaki uygulayıcılara yönelik ilk yönlendirmeleri. Kıbrıs Cumhuriyeti’nde Yapay Zekâ Yasası kapsamındaki ulusal görevlendirmeler henüz kesinleşmedi (2026 sonbaharı itibarıyla).
• Yapay Zekâ Ofisinin temel haklar etki değerlendirmesi şablonu.

Avrupa Komisyonunun AI Act Service Desk (harici bir site açılır) hizmeti, resmîtakvimi ve madde madde açıklamaları güncel tutar. Sayfayı yer imlerinize ekleyin ve Yapay Zekâ Yasası hakkında yazdığınız her iç notu tarihleyin: bu metin hâlâ değişiyor.