AB AI Act: Şeffaflık Yükümlülükleri 2 Ağustos'ta Başlıyor

İzmir'den Almanya pazarına satış yapan bir e-ticaret yazılımcısı düşünün. Sitesinde müşteri sorularını cevaplayan bir chatbot, ürün görsellerini üreten bir yapay zeka aracı var. Bu hafta AB Resmî Gazetesi'nde yayımlanan değişiklik paketi, onun uyum takvimini iki yönde birden değiştirdi: en ağır yükümlülükler yıllarca ertelendi, şeffaflık kuralları ise bu pazar, 2 Ağustos'ta kesin olarak başlıyor.

"Dijital Omnibus" adıyla anılan tüzük 24 Temmuz'da AB Resmî Gazetesi'nde yayımlandı, 27 Temmuz'da yürürlüğe girdi. Paketin en büyük değişikliği, AI Act'in yüksek riskli sistem yükümlülüklerinin ertelenmesi: işe alım, kredi skorlama ve biyometri gibi alanları kapsayan Ek III sistemleri için tarih 2 Ağustos 2026'dan 2 Aralık 2027'ye, ürünlere gömülü Ek I sistemleri içinse 2 Ağustos 2028'e kaydı.

Ertelenmeyen kısım: Madde 50 ve ceza yetkisi

2 Ağustos 2026'da üç şey devreye giriyor: Madde 50 şeffaflık yükümlülükleri, Avrupa Komisyonu'nun genel amaçlı yapay zeka (GPAI) sağlayıcılarına ceza kesme yetkisi ve ulusal piyasa gözetim otoritelerinin tam soruşturma ve yaptırım yetkisi. Şeffaflık tarafının somut karşılığı şu: kullanıcı bir chatbot'la konuştuğunu bilmeli, deepfake içerik etiketlenmeli ve yapay zeka üretimi içerik makine tarafından okunabilir biçimde işaretlenmeli.

Baştaki yazılımcı için somutlaştıralım: Berlin'deki müşteriye açılan destek chatbot'u 2 Ağustos'tan itibaren kendini insan gibi tanıtamaz; ürün fotoğrafı yerine kullanılan yapay zeka görseli de işaretsiz kalamaz. Sorumluluk yalnız model üreticisinde değil; sistemi kullanıcıya sunan taraf da yükümlülüğün muhatabı. Makine okunur işaretleme ihtiyacı ise pratikte filigran (watermark) ya da içerik kimlik standartlarıyla karşılanıyor; kendi araç zincirini kuranların bu katmanı kendilerinin eklemesi gerekiyor.

Yani ertelemeyi "AB vazgeçti" diye okumak yanlış olur. Brüksel, uygulaması en pahalı olan kısmı geciktirirken günlük hayatta en görünür olan kısmı, yani "karşınızdaki bir yapay zeka" bildirimini takvime sadık biçimde başlatıyor.

İstanbul'dan yönetilen ürün neden kapsamda?

AI Act, şirketin nerede kurulduğuna değil sistemin kime hizmet ettiğine bakıyor. AB'deki kullanıcılara ulaşan bir Türk SaaS ürünü, chatbot veya içerik aracı, İstanbul'dan ya da İzmir'den yönetiliyor olsa da kapsama giriyor. Takvim yerli mevzuatla da üst üste bindi: Türkiye'de yapay zeka kullanılan reklamlarda ifşa zorunluluğu 1 Ağustos'ta, yani AB eşiğinden bir gün önce başlıyor. İki düzenlemenin aynı hafta sonuna denk gelmesi tesadüf olabilir ama mesajı ortak: yapay zekayı gizleyerek kullanma dönemi kapanıyor.

Baştaki yazılımcıya dönersek, yol haritası bizce şöyle sıralanmalı: önce envanter çıkarın (hangi üründe hangi yapay zeka özelliği hangi AB kullanıcısına dokunuyor); chatbot'lara açık bir "yapay zeka ile görüşüyorsunuz" bildirimi ekleyin; ürettiğiniz yapay zeka içeriklerine işaretleme altyapısını şimdiden kurun. Ertelenen yüksek risk kuralları içinse ne rehavete kapılın ne panik yapın: Aralık 2027 uzak görünür ama kurumsal satışta topu topu iki bütçe dönemi eder.

Kaynaklar: Freshfields, Avrupa Komisyonu