AB Yapay Zeka Yasası (EU AI Act), açıklandı.

AI Act nedir (ve ne değildir)

AI Act, AB pazarına sunulan veya çıktısı AB’de kullanılan yapay zeka sistemleri için ürün güvenliği tarzı bir düzenlemedir. “Yapay zekayı” bir teknoloji olarak düzenlemez — belirli kullanımları riske göre düzenler. Sağlık, güvenlik veya temel haklara yönelik risk ne kadar yüksekse, yükümlülükler o kadar ağırdır. Günlük yapay zekanın çoğu (spam filtreleri, öneri bileşenleri, yazım denetleyicileri, üretkenlik araçlarındaki yapay zeka özellikleri) asgari risklidir ve hiçbir yeni yükümlülük getirmez.

Dört risk seviyesi

Yasadaki her şey bu sınıflandırmaya dayanır:

• Kabul edilemez risk — 2 Şubat 2025’ten beri tamamen yasak: sosyal puanlama, istismarcı veya manipülatif teknikler, yüz görüntülerinin hedefsiz toplanması, iş yerlerinde ve okullarda duygu tanıma (dar güvenlik istisnaları), hassas özellikleri çıkarsamak için biyometrik kategorizasyon ve kolluk amacıyla kamusal alanlarda gerçek zamanlı uzaktan biyometrik kimlik tespiti (sınırlı istisnalar). 2 Aralık 2026’dan itibaren 2026 değişikliği, rıza dışı mahrem görüntüler veya CSAM üreten yapay zeka sistemlerini de açıkça yasaklıyor.
• Yüksek risk — izinli ama sıkı düzenlenmiş: düzenlemeye tabi ürünlerin güvenlik bileşeni olarak kullanılan yapay zeka (Ek I — makineler, tıbbi cihazlar, asansörler…) veya hassas kullanım alanları (Ek III — işe alım ve çalışan yönetimi, eğitimde değerlendirme, kredi puanlama, temel hizmetler, kolluk, göç, adalet). Yükümlülükler arasında risk yönetimi, veri yönetişimi, teknik dokümantasyon, kayıt tutma, insan gözetimi, doğruluk/sağlamlık testleri ve bir AB veritabanına kayıt yer alır.
• Sınırlı risk — şeffaflık yükümlülükleri (Madde 50): insanlara bir yapay zeka sistemiyle etkileşimde olduklarını söyleyin (sohbet botları), yapay zeka üretimi veya manipüle edilmiş görüntü/ses/video içeriğini etiketleyin (deepfake’ler), sentetik içeriği makine tarafından okunabilir şekilde işaretleyin ve kamu yararını ilgilendiren konularda halkı bilgilendirmek için yayımlanan yapay zeka üretimi metni açıklayın.
• Asgari risk — geri kalan her şey: yeni yükümlülük yok; gönüllü davranış kuralları teşvik edilir.

2026’da takvim — Digital Omnibus sonrası güncellendi

Yasa 1 Ağustos 2024’te yürürlüğe girdi ve 2 Ağustos 2026’da neredeyse tamamen uygulanmaya başlayacaktı. Kasım 2025’te Komisyon, bunu sadeleştirmek ve kademelendirmek için “Digital Omnibus on AI” paketini önerdi; Parlamento 16 Haziran 2026’da destekledi ve Konsey 29 Haziran 2026’da nihai onayı verdi. Güncel kilit tarihler:

• 2 Şubat 2025 — kabul edilemez riskli uygulamalara yönelik yasaklar ve yapay zeka okuryazarlığı yükümlülükleri uygulanmaya başladı.
• 2 Ağustos 2025 — genel amaçlı yapay zeka (GPAI) model sağlayıcılarının yükümlülükleri (teknik dokümantasyon, telif hakkı politikası, eğitim verisi özetleri; sistemik riskli modeller için ek yükümlülükler) ile AB Yapay Zeka Ofisi ve yönetişim yapıları.
• 2 Ağustos 2026 — yasa genel olarak uygulanabilir hale geliyor: şeffaflık yükümlülükleri (Madde 50), cezalar ve kalan hükümlerin çoğu. Sentetik içeriğin makine tarafından okunabilir işaretlenmesi, 2 Ağustos 2026’dan önce piyasada olan sistemler için 2 Aralık 2026’ya kadar geçiş süresi alıyor.
• 2 Aralık 2026 — rıza dışı mahrem görüntüler ve CSAM üreten yapay zekaya yönelik yeni yasaklar uygulanmaya başlıyor.
• 2 Aralık 2027 — Ek III kullanım alanları için yüksek risk yükümlülükleri (işe alım, kredi puanlama, eğitim…) — orijinal Ağustos 2026 tarihinden 16 ay ertelendi.
• 2 Ağustos 2028 — Ek I kapsamındaki ürünlere gömülü yapay zeka için yüksek risk yükümlülükleri (tıbbi cihazlar, makineler…) — Ağustos 2027’den bir yıl ertelendi. Ulusal düzenleyici deneme ortamlarının 2 Ağustos 2027’ye kadar kurulması gerekiyor.

Kimler uymak zorunda

Yükümlülükler değer zincirindeki rollere bağlanır: sağlayıcılar (bir yapay zeka sistemini kendi adıyla geliştiren veya AB pazarına sunanlar), kullanıcılar (bir yapay zeka sistemini profesyonel olarak kullananlar) ile ithalatçılar ve dağıtıcılar. Kapsam sınır ötesidir — yapay zeka çıktısı AB içinde kullanılan bir ABD veya Birleşik Krallık SaaS’i kapsama girer. KOBİ’lere bazı kolaylıklar tanınır: sadeleştirilmiş dokümantasyon, deneme ortamlarına öncelikli erişim ve iki tutardan yükseği yerine düşüğüyle sınırlanan cezalar.

AI Act web siteniz için ne anlama geliyor

Çoğu şirket için ilk gerçek temas noktaları, Ağustos 2026’dan itibaren geçerli olan şeffaflık kuralları — bunlar ziyaretçilerin sitenizde gördükleriyle ilgilidir:

• Sitenizdeki yapay zeka sohbet botları ve asistanları, ziyaretçinin bir makineyle konuştuğunu açıkça belirtmelidir (bağlamdan bariz değilse).
• Yayımladığınız yapay zeka üretimi veya yapay zekayla manipüle edilmiş görüntüler, sesler ve videolar (deepfake’ler), yapay olarak üretildiği veya manipüle edildiği görünür şekilde etiketlenmelidir.
• Sentetik medya makine tarafından okunabilir işaret taşımalıdır (ör. meta veri/filigran) — Ağustos 2026 öncesi sistemler için işaretleme yükümlülüğü 2 Aralık 2026’dan itibaren geçerlidir.
• Kamu yararını ilgilendiren konularda halkı bilgilendirmek için yayımlanan yapay zeka yazımı metin, sorumluluğu üstlenen bir insan editoryal incelemesinden geçmedikçe yapay zeka üretimi olarak açıklanmalıdır.
• İşe alım, kredi veya diğer Ek III kullanım alanlarında yapay zeka kullanıyorsanız, 2 Aralık 2027’den itibaren geçerli olan yüksek risk rejimi için plan yapın.
• Yapay zeka okuryazarlığı: yapay zekayı profesyonel olarak kullanan kuruluşlar, personelin işlettikleri sistemleri anlaması için önlem almalıdır.

Cezalar

Ceza yapısı bilinçli olarak GDPR benzeridir: yasaklı uygulamalar için 35 milyon €’ya veya dünya çapındaki yıllık cironun %7’sine kadar (hangisi yüksekse); yüksek risk ve GPAI yükümlülükleri dahil diğer ihlallerin çoğu için 15 milyon €’ya veya %3’e kadar; yetkililere yanlış veya yanıltıcı bilgi vermek için 7,5 milyon €’ya veya %1’e kadar. KOBİ’lerde her üst sınır, iki tutardan düşük olanıdır. Uygulama, ulusal piyasa gözetim otoriteleri ile GPAI modelleri için AB Yapay Zeka Ofisi arasında paylaşılır.

Beacon bu tabloya nasıl oturuyor

Beacon zaten arama motorlarının ve yapay zeka tarayıcılarının web sitenizde gerçekte ne gördüğünü tarıyor — robots.txt politikaları, render edilmiş içerik, yapılandırılmış veri ve açıklamalar. Bu temelin üzerine bir AI Act hazırlık taraması inşa ediyoruz: web sitenizin ziyaretçiye dönük şeffaflık sinyallerinin (sohbet botu açıklaması, yapay zeka içerik etiketleme, makine tarafından okunabilir işaretleme ve ilgili meta veriler) önceliklendirilmiş bir düzeltme listesiyle otomatik kontrolü. Hukuki danışmanlık olmayacak — ama sitenizin bugün neyi açığa çıkardığını ve önce neyi düzeltmeniz gerektiğini somut olarak gösterecek.