Avrupa Birliği'nin Yapay Zeka Yasası artık yalnızca gelecekte uygulanacak bir düzenleme değil. Regulation (EU) 2024/1689 olarak yürürlüğe giren AI Act'in önemli bölümleri 2 Ağustos 2026 itibarıyla uygulanmaya başladı. Ancak şirketlerin özellikle İnsan ve Kültür, kredi değerlendirmesi, biyometri ve bazı kritik karar süreçlerinde kullandığı yüksek riskli sistemler açısından takvim, 2026 yazında önemli ölçüde değişti.
8 Temmuz 2026 tarihli Regulation (EU) 2026/1744 ile yapılan değişiklik sonrasında, Annex III kapsamında yüksek riskli kabul edilen kullanım alanlarına ilişkin temel yükümlülüklerin uygulama tarihi 2 Aralık 2027 olarak belirlendi. Düzenlenmiş ürünlere entegre edilen ve Annex I bağlantısıyla yüksek risk kapsamına giren sistemlerde ise kritik tarih 2 Ağustos 2028 oldu.
Bu değişiklik şirketlere zaman kazandırıyor. Fakat yönetim açısından doğru soru “Ne kadar daha bekleyebiliriz?” değil, “Bu süreyi hangi hazırlıkları tamamlamak için kullanacağız?” olmalı.
Çünkü AI Act'in bütün hükümleri ertelenmiş değil. Avrupa Komisyonu'nun uygulama takvimine göre bazı yasaklı yapay zeka uygulamaları daha önce devreye girdi; genel amaçlı yapay zeka modellerine ilişkin düzenlemelerin önemli bölümü 2025'ten itibaren uygulanmaya başladı ve belirli yapay zeka sistemlerine yönelik şeffaflık kuralları ile düzenleyici otoritelerin bazı denetim yetkileri 2 Ağustos 2026 itibarıyla devrede.
Dolayısıyla şirketlerin yapay zeka yönetişimini 2027 sonuna bırakabileceği düşüncesi yanıltıcı.
İK teknolojileri hâlâ en kritik alanlardan biri
AI Act'in Annex III bölümü, istihdam ve çalışan yönetiminde kullanılan bazı yapay zeka uygulamalarını açık biçimde yüksek risk kategorileri arasında sayıyor.
Bunlar arasında adayları analiz eden veya filtreleyen işe alım sistemleri, aday değerlendirme araçları ve çalışanlarla ilgili bazı yönetim kararlarını destekleyen yapay zeka sistemleri bulunuyor.
Ancak burada önemli bir ayrıntı var.
Annex III'te yer alan her yapay zeka uygulamasının her koşulda otomatik olarak yüksek riskli kabul edildiğini söylemek doğru değil. Article 6, sistemin kişilerin sağlık, güvenlik veya temel hakları açısından önemli bir risk oluşturmaması ve karar sonucunu maddi biçimde etkilememesi gibi belirli koşullarda istisnalara izin veriyor. Dar kapsamlı prosedürel görevler veya insan tarafından daha önce tamamlanmış bir faaliyetin sonucunu iyileştiren bazı sistemler bu değerlendirmeye girebilir.
Buna karşılık Annex III kapsamındaki bir sistem gerçek kişiler üzerinde profil oluşturuyorsa düzenleme onu yüksek riskli kabul ediyor.
Bu nedenle şirketlerin yapması gereken yalnızca “İK'da AI kullanıyor muyuz?” sorusunu sormak değil.
Asıl ihtiyaç, her uygulamanın:
- hangi kararı etkilediğini,
- ne kadar özerk çalıştığını,
- çalışan veya aday üzerinde ne tür bir etkisi olduğunu,
- profil oluşturup oluşturmadığını,
- insan kararını gerçekten destekleyip desteklemediğini
tespit etmek.
Bir CV özetleme aracıyla adayları otomatik olarak sıralayan ve işe alım sürecinden eleyen bir sistem aynı hukuki risk profiline sahip olmayabilir.
Bu ayrım, şirketlerin AI envanterini ürün adına göre değil kullanım senaryosuna göre oluşturmasını gerektiriyor.
İşveren sadece yazılımın müşterisi olmayabilir
Şirketlerin dikkat etmesi gereken diğer önemli konu, AI Act'teki provider ve deployer ayrımı.
Bir şirket piyasadan hazır bir yapay zeka ürünü satın alıp kendi süreçlerinde kullanıyorsa çoğu durumda sistemi kullanan taraf, yani deployer konumunda olabilir.
Bu durum “yazılım üreticisi sorumlu, bizi ilgilendirmez” anlamına gelmiyor.
Annex III kapsamındaki yüksek riskli sistemlere ilişkin hükümler uygulanmaya başladığında deployer'ların sistemi sağlayıcının kullanım talimatlarına uygun kullanması, gerekli teknik ve organizasyonel tedbirleri alması ve insan gözetimini yeterli yetkinliğe ve yetkiye sahip kişilere vermesi gerekecek.
İşyerinde yüksek riskli bir sistem kullanılmadan önce etkilenecek çalışanların ve çalışan temsilcilerinin bilgilendirilmesine ilişkin yükümlülük de Article 26 içinde yer alıyor.
Fakat şirketin sistem üzerindeki rolü değişebilir.
Article 25 uyarınca bir deployer veya başka bir üçüncü taraf; mevcut yüksek riskli sisteme kendi adını veya markasını koyar, sistem üzerinde “substantial modification” niteliğinde önemli bir değişiklik yapar veya daha önce yüksek riskli olmayan bir sistemin kullanım amacını değiştirerek sistemi yüksek risk kategorisine sokarsa provider yükümlülükleriyle karşı karşıya kalabilir.
Bu nedenle yalnızca bir modeli şirket verileriyle uyarlamak veya teknik olarak fine-tuning yapmak, tek başına otomatik biçimde “provider oldunuz” sonucunu doğurmaz. Hukuki değerlendirmede değişikliğin niteliği, sistemin amaçlanan kullanımının değişip değişmediği ve AI Act'teki “substantial modification” ölçütleri önem taşır.
Bu ayrım özellikle hukuk, satın alma ve teknoloji departmanlarının aynı masada çalışmasını gerektiriyor.
CFO açısından asıl mesele cezanın manşet rakamından daha geniş
AI Act konuşulurken en fazla dikkat çeken rakam genellikle küresel cironun yüzde 7'sine ulaşabilen yaptırım seviyesi oluyor.
Ancak bütün AI Act ihlallerinin cezası yüzde 7 değil.
Mevcut düzenlemede Article 5 kapsamındaki yasaklanmış yapay zeka uygulamalarının ihlalinde üst sınır 35 milyon euro veya şirketler için önceki mali yıl toplam küresel cirosunun yüzde 7'sine kadar çıkabiliyor.
Provider, deployer ve bazı diğer operatör yükümlülüklerinin ihlalinde ise ayrı bir ceza seviyesi öngörülüyor: 15 milyon euro veya küresel cironun yüzde 3'üne kadar. KOBİ'ler bakımından düzenleme ayrıca tutar ile ciro yüzdesinden düşük olan üst sınırın uygulanmasına ilişkin koruma getiriyor.
Bu ayrım yönetim kurulu açısından önemli.
Fakat AI riskini yalnızca “en fazla ne kadar ceza öderiz?” sorusuna indirgemek de eksik kalır.
Yanlış sınıflandırılmış bir sistem; ürünün geri çekilmesi, kullanımının sınırlandırılması, süreçlerin yeniden tasarlanması, tedarikçi değişikliği, dokümantasyon yükü ve veri süreçlerinin yeniden yapılandırılması gibi operasyonel sonuçlar yaratabilir.
Bu nedenle CFO açısından yeni maliyet kalemi yalnızca hukuki yaptırım değildir. AI governance, denetim, veri yönetişimi, teknik dokümantasyon ve tedarikçi yönetiminin şirket bütçelerinde daha görünür hale gelmesi beklenmelidir.
Bu maliyet için bütün şirketlere uygulanabilecek güvenilir tek bir yüzde vermek ise doğru değildir. Maliyet; sistem sayısı, kullanım alanı, şirketin sağlayıcı mı yoksa kullanıcı mı olduğu ve mevcut risk yönetimi altyapısına göre ciddi biçimde değişebilir.
Türkiye'deki şirketler neden konuyu izlemeli
AI Act yalnızca Avrupa Birliği'nde kurulmuş şirketlerle sınırlı bir düzenleme değil.
Article 2 kapsamında AB dışında bulunan provider ve deployer'lar da belirli durumlarda kapsam içine girebiliyor. Özellikle üçüncü ülkedeki bir sistemin ürettiği çıktının Avrupa Birliği'nde kullanılması düzenlemenin coğrafi kapsamını genişletebilen unsurlardan biri. AB pazarına AI sistemi veya genel amaçlı AI modeli sunan üçüncü ülke sağlayıcıları açısından da kapsam ayrıca önem taşıyor.
Bu durum Türkiye'deki teknoloji şirketleri, yazılım sağlayıcıları ve AB operasyonu bulunan gruplar açısından doğrudan önem taşıyabilir.
Ancak burada da aşırı geniş yorumdan kaçınmak gerekiyor.
Bir Türk şirketinin yalnızca Avrupa'daki bir müşteriye ürün veya parça satması, kullandığı her yapay zeka sistemini otomatik olarak AI Act kapsamına sokmaz. Sistemin rolü, çıktının nerede kullanıldığı, şirketin AI değer zincirindeki hukuki konumu ve ilgili kullanım senaryosu ayrı ayrı incelenmelidir.
Sanayi şirketleri açısından buna iyi bir örnek kalite kontrol sistemleridir.
2026 değişikliğiyle Article 6'ya eklenen hükümler, yalnızca kalite kontrolü, performans optimizasyonu, hizmet verimliliği veya kolaylık gibi güvenlikle doğrudan ilgili olmayan amaçlarla kullanılan AI sistemlerinin sırf bu nedenle “safety component” kabul edilmeyeceğini açıklaştırdı.
Buna karşılık sistemin arızası veya hatalı çalışması insanların sağlık ve güvenliğini tehlikeye atıyorsa değerlendirme değişebilir.
Bu ayrım, özellikle üretim şirketleri için “fabrikada AI kullanıyorum, o halde yüksek riskliyim” veya tam tersine “sadece kalite kontrol yapıyorum, beni ilgilendirmez” şeklindeki iki uç yaklaşımın da hatalı olabileceğini gösteriyor.
Ek süreyi bekleme süresine çevirmemek gerekiyor
Yüksek risk kurallarının tarihinin 2 Aralık 2027'ye taşınması şirketler açısından gerçek bir ek hazırlık zamanı yarattı.
Fakat büyük şirketlerde yüzlerce SaaS uygulaması, çalışanların bireysel kullandığı üretken AI araçları, CRM sistemlerine gömülü modeller, insan kaynakları yazılımları ve departman bazlı otomasyonlar bulunduğu düşünüldüğünde ilk sorun mevzuata uygunluk belgesi almak değil.
İlk sorun çoğu şirkette hangi AI sistemlerinin kullanıldığının tam olarak bilinmemesi olabilir.
“Shadow AI” bu nedenle yalnızca bilgi güvenliği konusu değildir. Şirketin kendi AI envanterini bilmiyor olması, gelecekte sistemlerin risk sınıflandırmasını ve provider–deployer sorumluluklarını doğru belirlemesini de zorlaştırabilir.
Kurumsal hazırlığın başlangıç noktası teknoloji satın alımlarını durdurmak değil; kullanılan sistemleri görünür hale getirmektir.
Yönetici için çıkarım
Şirketlerin 2 Aralık 2027'yi yalnızca bir hukuk departmanı takvimi olarak görmemesi gerekiyor. Yönetim açısından bugün yapılabilecek en değerli çalışma, şirket genelindeki yapay zeka kullanımını merkezi bir envanterde toplamak ve her sistemi kullanım amacı, etkilediği kişiler, veri türü, tedarikçisi ve şirketin değer zincirindeki rolü açısından sınıflandırmaktır.
Özellikle işe alım, çalışan değerlendirmesi, biyometri, kredi ve diğer önemli bireysel karar süreçlerinde kullanılan sistemler öncelikli inceleme alanı olmalı.
Ardından hukuk, teknoloji, bilgi güvenliği, İnsan ve Kültür, satın alma ve finans fonksiyonlarının birlikte çalışacağı bir yönetişim modeli kurulmalı. Tedarikçi sözleşmelerinde dokümantasyon, denetim desteği, sistem değişikliklerinin bildirilmesi, veri kullanımı ve düzenleyici sorumlulukların paylaşımı açıklaştırılmalı.
Takvim uzadı. Regülasyon ortadan kalkmadı.
Şirketler açısından farkı yaratacak olan, 2027 sonunda uyum projesi başlatmak değil; 2026 ve 2027'yi kurumsal yapay zeka kullanımını ilk kez gerçekten görünür ve yönetilebilir hale getirmek için kullanmak olacak.