AB Yapay Zeka Yasası Türk şirketlerini de mi kapsıyor?

Bir Alman tedarikçi anketinde şirketinize AB Yapay Zeka Yasası'na uygunluk soruldu. Ya da mühendislik ekibiniz, üretim hattındaki kalite kontrol sistemine bir yapay zeka modülü ekledi ve bu modülün çıktısı doğrudan bir AB fabrikasında kullanılıyor. Ya da İstanbul merkezli SaaS ürününüzdeki puanlama veya öneri motoru, AB'deki B2B müşterilerinize hizmet veriyor. İlk refleks genelde şu oluyor: 'Türkiye'de yapay zekaya özgü bir kanun yok, bu bizi ilgilendirmez.' Bu doğru değil — Türkiye'nin kendi yapay zeka kanunu olmaması, AB Yapay Zeka Yasası'nın sizi kapsamayacağı anlamına gelmez.

Türkiye'de yapay zekaya özgü bir kanun yok — ama bu konuyu kapatmıyor

Türkiye'de şu an yapay zeka sistemlerini yatay olarak düzenleyen, AB Yapay Zeka Yasası'na benzer bağımsız bir kanun bulunmuyor. Yapay zeka kullanımınız KVKK kapsamında kişisel veri işleme içeriyorsa KVKK devreye girer, ama KVKK yapay zekaya özgü bir risk sınıflandırması, şeffaflık yükümlülüğü ya da yüksek riskli sistem rejimi öngörmez. Bu boşluk, AB Yapay Zeka Yasası'nın (Tüzük (AB) 2024/1689) Türk şirketleri için önemsiz olduğu anlamına gelmiyor — tam tersine, AB Yapay Zeka Yasası'nın kendi kapsamı, Türkiye'nin iç hukukundaki bu boşluktan bağımsız olarak işliyor.

Belirleyici olan, AB Yapay Zeka Yasası'nın coğrafi kapsamını düzenleyen Madde 2(1)(c)'dir — GDPR Madde 3(2)'nin popülerleştirdiği mantığa benzer bir prensiple: Yasa, üçüncü bir ülkede yerleşik sağlayıcı ve dağıtıcılara da uygulanır, eğer sistemin ürettiği çıktı AB'de kullanılıyorsa. Yani bir Türk şirketi, AB'de hiçbir şubesi veya fiziksel varlığı olmadan, belirli bir faaliyeti için AB Yapay Zeka Yasası kapsamına girebilir.

Kimler somut olarak etkileniyor

Pratikte kapsamı belirleyen şirketin merkezi değil, somut faaliyettir. AB-Türkiye Gümrük Birliği aracılığıyla AB tedarik zincirlerine derinlemesine entegre olan otomotiv yan sanayii, tekstil ve beyaz eşya ihracatçıları; parça kalitesini veya arıza tahminini yapay zekayla değerlendiren bir sistemi bir AB fabrikasına veya entegratöre satan ya da entegre eden bir Türk üretici, bu tekil faaliyeti için Madde 2(1)(c) kapsamına girer. Aynı şekilde, kredi skorlama, işe alım veya performans değerlendirmesi gibi işlevler sunan ve çıktısı AB'deki bir işverence veya finans kuruluşunca kullanılan İstanbul merkezli bir SaaS ürünü de kapsam içinde olabilir. AB'li tüketicilere doğrudan sevkiyat yapan Türk e-ticaret platformlarının ürün önerisi veya dolandırıcılık tespiti gibi yapay zeka destekli işlevleri, AB'li B2B müşterilere model veya API satan Türk yapay zeka/ML tedarikçileri de aynı testin kapsamına girebilir.

Buna karşılık, yalnızca Türkiye'deki ekipler tarafından Türkiye'deki müşteriler için kullanılan, çıktısı hiçbir zaman AB'ye ulaşmayan bir iç yapay zeka aracı, bu tüzüğün kapsamı dışında kalır. Belirleyici olan şirketin uyruğu değil, faaliyetin AB piyasasıyla gerçek bağlantısıdır.

Risk seviyeleri ve yaptırımlar: neyin tehlikede olduğu

AB Yapay Zeka Yasası her yapay zeka uygulamasına aynı muameleyi göstermiyor. Kabul edilemez risk (yaygın sosyal puanlama gibi yasak uygulamalar), yüksek risk (Ek III'te sayılan, işe alım, performans değerlendirmesi, kredi skorlaması gibi alanlar), sınırlı risk (yapay zeka üretimi içerik veya sohbet botu gibi durumlarda şeffaflık yükümlülükleri) ve çoğu yaygın aracın düştüğü minimal risk kategorileri arasında ayrım yapıyor. AB'li bir finans kuruluşuna kredi skorlama API'si sunan bir Türk fintech için, tam olarak bu faaliyete daha sıkı yüksek riskli rejim uygulanabilir.

Madde 99'daki yaptırım rejimi, yasak uygulamalar için 35 milyon avroya veya küresel yıllık cironun %7'sine kadar, diğer çoğu ihlal için ise 15 milyon avroya veya %3'e kadar idari para cezası öngörüyor. Madde 99(6), KOBİ'ler ve girişimler için daha düşük, orantılı üst sınırlar öngörüyor — rahatlatıcı bir nokta, ama kendi durumunuzu değerlendirmenin yerine geçmiyor. AB'de varlığı olmayan bir Türk sağlayıcıya karşı fiili uygulamanın nasıl işleyeceği, bilgimiz dahilinde pratikte henüz yeterince test edilmiş değil.

Yüksek riskli sistemler için: AB yetkili temsilcisi

AB'de yerleşik bir kuruluşu bulunmayan ve yüksek riskli bir yapay zeka sistemini ya da genel amaçlı bir yapay zeka modelini AB piyasasına süren Türk sağlayıcılar, Madde 22 uyarınca AB içinde yazılı yetki verilmiş bir temsilci atamakla yükümlü olabilir. Bu, KVKK'nın hiçbir şekilde talep etmediği ve GDPR Madde 27'deki veri koruma temsilciliğinden de ayrı, AB Yapay Zeka Yasası'na özgü bağımsız bir yükümlülüktür — GDPR temsilciniz varsa bile, ayrıca değerlendirilmesi gerekir.

Şirketinizin somut olarak kontrol etmesi gerekenler

• Geliştirdiğiniz veya kullandığınız bir yapay zeka sistemi, AB'de bir müşteri, iş ortağı veya kullanıcı tarafından kullanılan bir çıktı (puan, tahmin, karar, içerik) üretiyor mu?
• Bir yapay zeka sistemini, bir distribütör üzerinden de olsa, doğrudan AB piyasasına satıyor, lisanslıyor veya entegre ediyor musunuz?
• Bir AB müşterisi veya iş ortağı sizi tedarikçi anketi veya denetim yoluyla AB Yapay Zeka Yasası uygunluğu konusunda sorguladı mı?
• AB'ye bağlantılı kullanımınız varsa, bu Ek III kapsamında yüksek riskli bir alanı mı ilgilendiriyor — örneğin kredi skorlaması, işe alım veya kalite/güvenlik kontrolü?
• Yüksek riskli bir sistemi AB piyasasına sunuyorsanız, Madde 22 uyarınca bir AB yetkili temsilcisi atamanız gerekip gerekmediğini değerlendirdiniz mi?

Genel bilgilendirme, hukuki tavsiye değildir

Yukarıdakiler genel bilgilendirme amaçlıdır ve somut durumunuza ilişkin hukuki tavsiye yerine geçmez — özellikle AB'de varlığı olmayan Türk sağlayıcılara karşı fiili uygulamanın nasıl işleyeceği gibi henüz netleşmemiş noktalarda. Komplya bu tür içerikleri yayınlarken hukuken gözden geçirilmiş olanla çalışma taslağı niteliğinde olanı açıkça ayırır.

Şirketinizin AB Yapay Zeka Yasası kapsamına girip girmediğini öğrenmenin en hızlı yolu, gerçek yapay zeka kullanımınızı ve bunun AB'yle bağlantı noktalarını tek tek gözden geçirmektir. Kısa bir anketi yanıtlayın ve muhtemel durumunuza dair sade bir değerlendirme alın.