EU AI Act 2 Ağustos 2026: GPAI Yaptırımları Başlıyor — Türk Şirketleri İçin Geri Sayım

TL;DR — 2 Ağustos 2026, EU AI Act için sadece bir takvim satırı değil; genel amaçlı yapay zekâ (GPAI) sağlayıcıları üzerindeki yaptırım makinesinin fiilen çalışmaya başladığı gün. Avrupa Komisyonu ve AI Office artık dokümantasyon isteyebilir, teknik değerlendirme yapabilir, riski azaltma tedbirleri dayatabilir, modeli piyasadan çekebilir ve küresel cironun %3'üne veya 15 milyon avroya kadar (hangisi yüksekse) ceza kesebilir. Aynı dönemde şeffaflık yükümlülükleri devreye giriyor; buna karşılık Digital Omnibus ile Annex III yüksek riskli sistemlerin takvimi 2 Ağustos 2026'dan Aralık 2027'ye ötelendi. Bu yazıda, sahadan bir danışman gözüyle, Türkiye'de iş yapan şirketler için bu geri sayımın ne anlama geldiğini, hangi belgeleri bugün hazırlamanız gerektiğini ve panik ile gevşeklik arasındaki doğru dengeyi anlatıyorum.

Uzun süredir müşterilerime "EU AI Act uzak bir Brüksel metni değil" diye anlatıyorum ve her seferinde biraz kuşkuyla karşılanıyordu. Artık kuşkuya yer yok. GPAI kurallarının kendisi ve GPAI Uygulama Kuralları (Code of Practice) Ağustos 2025'ten beri yürürlükteydi; ancak denetim ve yaptırım mekanizması bir yıl askıya alınmıştı. Bunun nedeni sağlayıcılara ve AI Office'e operasyonel hazırlık için zaman tanımaktı. O bir yıllık nefes alma süresi 2 Ağustos 2026'da sona eriyor.

Bu tarihten sonra tablo değişiyor. Komisyon ve AI Office'in eline geçen yetkiler somut: model hakkında teknik dokümantasyon talep etmek, modeli teknik olarak değerlendirmek, uyum ve risk azaltma tedbirleri istemek, gerektiğinde modeli AB pazarından kısıtlamak veya geri çektirmek ve para cezası kesmek. Ceza tavanı ise caydırıcı: 15 milyon avro ya da küresel yıllık cironun %3'ü — hangisi yüksekse o uygulanıyor.

"

Bir müşterime şunu söylemiştim: "Regülasyon, yürürlük tarihinde değil, ilk cezanın kesildiği gün gerçek olur." 2 Ağustos 2026, o gerçekliğin GPAI tarafında başladığı tarih.

Burada gözden kaçan bir nüans var. Çoğu Türk şirketi kendini "biz model üretmiyoruz, sadece kullanıyoruz" diye konumlandırıyor ve rahatlıyor. Oysa yükümlülük zinciri sağlayıcıyla sınırlı değil. Bir GPAI modelini kendi ürününüze gömdüğünüzde, dağıtıcı (deployer) ve kimi durumda alt-sağlayıcı sıfatıyla siz de zincirin bir halkası oluyorsunuz. Modelin şeffaflık dokümanları, telif ve eğitim verisi özetleri, kullanım kısıtları sizin sorumluluğunuza da yansıyor.

AI Act'in şeffaflık kuralları da aynı pencerede devreye giriyor. Pratikte bu üç somut zorunluluk demek. Birincisi, insanlarla etkileşen yapay zekâ sistemlerinin (chatbot, sesli asistan) kullanıcıya bir makineyle konuştuğunu açıkça bildirmesi gerekiyor. İkincisi, sentetik içerik — üretilen metin, görsel, ses, video — makine tarafından okunabilir biçimde işaretlenmeli; yani deepfake veya yapay üretim, teknik olarak tespit edilebilir bir etiket taşımalı. Üçüncüsü, GPAI sağlayıcıları eğitim verilerine dair yeterince ayrıntılı bir özet ve telif hakkı politikası yayımlamak zorunda.

Türkiye bağlamında bu, göründüğünden daha yakın bir konu. İhracat yapan, AB'de müşterisi olan ya da AB'li bir platform üzerinden hizmet sunan her şirket bu şeffaflık kancasına takılıyor. Bir e-ticaret firmasının ürün açıklamalarını üreten modelden, bir bankanın müşteri hizmetleri botuna kadar geniş bir yelpaze. "Bize ne, biz Türkiye'deyiz" savunması, hizmetin AB'deki bir kullanıcıya dokunduğu anda çöküyor; çünkü AI Act'in kapsamı, tıpkı GDPR gibi, coğrafi değil etkiye dayalı (extraterritorial).

7 Mayıs 2026'da varılan geçici uzlaşıyla gelen Digital Omnibus, tabloyu biraz yumuşattı ama yanlış okunmaya çok müsait. Omnibus, Annex III kapsamındaki yüksek riskli yapay zekâ sistemleri için son tarihi 2 Ağustos 2026'dan 2 Aralık 2027'ye erteledi. Annex III; işe alım, kredi skorlama, eğitim, kritik altyapı, biyometrik tanımlama gibi alanlardaki sistemleri kapsıyor.

Buradaki en tehlikeli yanılgı, "erteleme geldi, o zaman hepsi ertelendi" diye düşünmek. Hayır. Ertelenen, yüksek riskli sistemlere ilişkin belirli yükümlülükler. GPAI sağlayıcıları üzerindeki yaptırım ve şeffaflık kuralları 2 Ağustos 2026'da başlıyor. Yani frontier model üretenler ve o modelleri gömen dağıtıcılar için saat işliyor; kredi skorlama gibi yüksek riskli bir uygulama kuranlar için ise 2027 sonuna kadar biraz daha alan var. İki takvimi birbirine karıştırmak, uyum planınızı baştan yanlış kurmanıza yol açar.

Yükümlülük kategorisi	Yürürlük	Kimi kapsıyor
GPAI yaptırım yetkileri (ceza, değerlendirme, geri çekme)	2 Ağustos 2026	Model sağlayıcıları ve entegre eden dağıtıcılar
Şeffaflık (chatbot bildirimi, sentetik içerik işareti)	Ağustos 2026	İnsanla etkileşen tüm sistemler
Annex III yüksek riskli sistem yükümlülükleri	2 Aralık 2027 (ertelendi)	İşe alım, kredi, biyometri, kritik altyapı
Yasak uygulamalar (sosyal skorlama vb.)	Zaten yürürlükte (Şubat 2025)	Herkes

"Küresel cironun %3'ü" ifadesi soğukkanlı okunması gereken bir cümle. Yıllık 500 milyon avro cirosu olan bir grup için bu, tek bir ihlalde 15 milyon avroya kadar potansiyel bir yaptırım anlamına geliyor — ki bu zaten sabit tavanla örtüşüyor. Daha büyük gruplar için ise %3, sabit tavanı çok aşabilir. Rakamın "hangisi yüksekse" mantığıyla kurgulanması, düzenleyicinin niyetini açık ediyor: küçük ihlalciyi sabit ceza, büyük ihlalciyi ciro yüzdesi vursun.

Buradan çıkardığım pratik sonuç şu: ceza riski, şirketin büyüklüğüyle orantılı olarak büyüyen bir değişken. Dolayısıyla uyum bütçesini "kaça mal olur" diye değil, "ihlalin bize maliyeti ne olur" diye kurmak gerekiyor. Sahada gördüğüm en sık hata, uyum yatırımını bir maliyet kalemi olarak görüp ertelemek; oysa doğru çerçeve, uyumu bir sigorta primi gibi düşünmek.

Türkiye'de faaliyet gösteren şirketler için tablo iki katmanlı. Bir yanda AB'ye dokunan işleriniz için AI Act, diğer yanda yurt içi işlemleriniz için KVKK var. İyi haber şu ki bu ikisi birbirini büyük ölçüde tamamlıyor. KVKK, 24 Kasım 2025'te "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi'ni (15 Soruda)" yayımladı; ardından 12 Mart 2026'da "Etken (Agentic) Yapay Zekâ" başlıklı bir rehber daha geldi.

KVKK'nın etken yapay zekâ rehberinde altını çizdiği riskler, AI Act'in mantığıyla şaşırtıcı biçimde örtüşüyor: çok adımlı ve dağıtık yapıdan kaynaklanan öngörülemez veri işleme genişlemesi, amaç sınırlaması ve veri minimizasyonu ilkelerine uyumun zorlaşması, başlangıçta belirlenen hukuki sebeple örtüşmeyen yeni veri kullanımları ve "kara kutu" yapısının hesap verebilirliği zedelemesi. Bir de 8 Ocak 2026'da TBMM'ye sunulan KVKK değişiklik teklifi var; bu teklif, yapay zekâ ile üretilmiş ses, metin veya görselin rıza olmaksızın paylaşılmasına imkân veren platformlara idari para cezası öngörüyor.

"

Müşterilerime hep şunu söylüyorum: KVKK uyumunu ciddiye almış bir şirket, AI Act uyumunun yarısını zaten yapmış demektir. Veri envanteri, işleme amacı kaydı, DPIA disiplini ve hesap verebilirlik belgeleri her iki rejimde de aynı kasları çalıştırıyor.

Geri sayım metaforu insanı hemen paniğe itebilir; oysa doğru tepki panik değil, sıralı ve sakin bir hazırlık. Sahada uyguladığım pratik yol haritası şöyle.

1. Yapay zekâ envanteri çıkarın. Şirkette hangi modeller, hangi sağlayıcıdan, hangi süreçte kullanılıyor? Bu envanter olmadan hiçbir uyum çalışması başlamıyor. Shadow AI dediğimiz, ekiplerin habersizce kullandığı araçlar da bu envantere girmeli.

2. Her sistemi risk sınıfına oturtun. Yasak mı, yüksek riskli mi, sınırlı riskli mi, minimal riskli mi? Bu sınıflandırma, hangi takvime tabi olduğunuzu belirler. İşe alımda model kullanıyorsanız yüksek riskli; müşteri chatbotu işletiyorsanız şeffaflık yükümlüsü sınırlı risklisiniz.

3. Şeffaflık kancasını hemen kapatın. Chatbot ve sesli asistanlarınıza "yapay zekâ ile konuşuyorsunuz" bildirimini ekleyin. Ürettiğiniz görsel ve videolar için içerik işaretleme (content credentials / watermark) altyapısını devreye alın. Bu, düşük maliyetli ama yüksek görünürlüklü bir uyum adımı.

4. Sağlayıcı sözleşmelerinizi gözden geçirin. Kullandığınız GPAI modelinin sağlayıcısı, size gerekli teknik dokümantasyonu, eğitim verisi özetini ve telif politikasını sağlıyor mu? Sözleşmeye uyum garantisi ve sorumluluk paylaşımı maddeleri ekleyin.

5. DPIA ve model kartı disiplinini kurun. Her yüksek riskli sistem için bir Veri Koruma Etki Değerlendirmesi ve bir model kartı üretin. Bu belgeler denetim geldiğinde sizin ilk savunma hattınız.

6. İnsan gözetimi mekanizmasını tasarlayın. AI Act'in ruhu, kritik kararlarda insanın devrede kalmasını istiyor. Otonom bir kararın nerede durup insana devredileceğini süreç içine gömün.

7. Sorumluluk sahibi atayın. Uyum kimsenin işi değilse hiç kimsenin işi olmaz. Bir AI uyum sorumlusu (ya da mevcut DPO'ya bu görevi ekleyin) ve düzenli gözden geçirme ritmi belirleyin.

Sahada tekrar tekrar gördüğüm hataları paylaşmadan geçmeyeyim; çünkü çoğu şirket aynı tuzaklara düşüyor.

Birincisi, "biz kullanıcıyız, sorumlu sağlayıcı" yanılgısı. Dağıtıcının da yükümlülükleri var ve modelin kullanım bağlamını belirleyen sizseniz, riskin önemli bir kısmı size ait. İkincisi, erteleme haberini genelleştirmek. Digital Omnibus yalnızca Annex III yüksek riskli sistemleri erteledi; GPAI ve şeffaflık takvimi yerinde duruyor. Üçüncüsü, uyumu tek seferlik bir proje sanmak. AI Act, yaşayan bir uyum süreci istiyor; modeliniz güncellendiğinde, kullanım amacı değiştiğinde dokümantasyon da güncellenmeli.

Regülasyonu yalnızca bir yük olarak görmek, işin yarısını kaçırmak demek. Bir müşterimde yaşadığımız şu deneyimi anlatayım: AI Act uyumu için kurduğumuz envanter ve risk sınıflandırması çalışması, aslında şirketin hangi yapay zekâ yatırımlarının değer ürettiğini, hangilerinin sadece "denedik kaldı" halinde olduğunu ilk kez net biçimde ortaya koydu. Uyum çalışması, farkında olmadan bir portföy temizliğine dönüştü. Denetlenebilir, belgelenmiş, insan gözetimli sistemler; hem regülatöre hem de müşterinize güven veriyor. AB'li bir alıcıya "sistemlerimiz AI Act uyumlu ve belgeli" diyebilmek, giderek bir satış argümanına dönüşüyor.

2 Ağustos 2026'a sayılı günler kaldığında, hazır olan şirketlerle olmayanlar arasındaki fark yalnızca ceza riskinde değil, pazara erişimde de belirginleşecek. Bugün envanterinizi çıkarıp risk sınıflandırmanızı yaptıysanız, geri sayımın sizin için bir tehdit değil, rakiplerinizin önüne geçme fırsatı olduğunu göreceksiniz. Sıradaki adımınız net: takvimi masaya koyun, sorumluyu atayın ve envanterin ilk satırını bu hafta yazmaya başlayın.

Genel amaçlı yapay zekâ sağlayıcıları için Komisyon'un hazırladığı gönüllü ama fiilen standart hâline gelen Uygulama Kuralları (Code of Practice) üç ana sütun üzerinde duruyor: şeffaflık, telif hakkı ve güvenlik. Bu üçlüyü anlamak, hem sağlayıcıysanız hem de bir sağlayıcının modelini gömüyorsanız sizin için kritik.

Şeffaflık sütununda, modelin ne olduğu, hangi verilerle eğitildiği, hangi yeteneklere ve sınırlara sahip olduğu belgelenmeli. Sağlayıcının hazırlaması gereken bir "model dokümantasyonu formu" var; dağıtıcı olarak sizin de bu formu talep etme ve arşivleme sorumluluğunuz doğuyor. Telif hakkı sütununda, eğitim verisindeki telifli içeriğe dair bir politika ve makul bir "opt-out" mekanizmasına saygı bekleniyor. Güvenlik sütunu ise özellikle sistemik risk taşıyan büyük modeller için geçerli; burada model değerlendirmesi, kırmızı takım (red-teaming) testleri ve olay bildirim süreçleri devreye giriyor.

Türkiye'deki bir dağıtıcı için bunun pratik karşılığı şu: kullandığınız modelin sağlayıcısı bu üç sütunu karşılıyorsa, sizin işiniz büyük ölçüde bu belgeleri toplamak ve kendi kullanım bağlamınıza uyarlamak. Karşılamıyorsa — özellikle daha küçük veya niş sağlayıcılarda bu boşluk sık görülüyor — riski üstlenmiş oluyorsunuz. Bu yüzden sağlayıcı seçimini artık yalnızca fiyat ve performansla değil, uyum olgunluğuyla da değerlendirmek gerekiyor.

Danışanlarıma soyut korkular yerine somut senaryolar anlatmayı tercih ediyorum. Şöyle düşünün: AB'de faaliyet gösteren bir sivil toplum kuruluşu, sizin ürününüzdeki sentetik içeriğin işaretlenmediğine dair bir şikâyet gönderiyor. AI Office bu şikâyeti değerlendiriyor ve size resmi bir bilgi talebi (request for information) yazıyor. Bu noktada sizden istenen şey teknik dokümantasyon, risk değerlendirmesi ve şeffaflık kanıtları.

Eğer bu belgeler hazırsa, süreç bir bilgi alışverişiyle kapanabilir. Hazır değilse, işte o zaman değerlendirme, tedbir dayatması ve nihayetinde ceza basamakları devreye giriyor. Gördüğünüz gibi, denetimin ilk anı genellikle bir kapı çalması değil, bir belge talebi. Ve o belge talebine 48 saatte hazırlıksız yanıt vermek ile önceden hazırlanmış bir dosyayı sunmak arasındaki fark, cezayla temiz çıkış arasındaki fark kadar büyük.

Bu senaryo bana hep şunu hatırlatıyor: uyum, denetim gelmeden yapılan bir yatırımdır. Denetim geldiğinde başlanan uyum, uyum değil hasar kontrolüdür.

Bankacılık ve finans. BDDK'nın yürüttüğü yapay zekâ düzenleme çalışmaları ve KKB iş birliğiyle planlanan "Yapay Zeka Sandbox" girişimi, AB'nin yüksek riskli sistem yaklaşımını yakından izliyor. Kredi skorlama ve dolandırıcılık tespiti gibi uygulamalar hem AI Act'in Annex III'ünde hem de BDDK'nın radarında. Bu sektörde çift uyum — yerel ve AB — kaçınılmaz.

Sağlık. Klinik karar destek sistemleri, tıbbi görüntü analizi ve tanı destek araçları yüksek riskli kategoride. Türkiye'de bir sağlık kuruluşu AB'li bir teknoloji sağlayıcısıyla çalışıyorsa ya da AB pazarına yazılım sunuyorsa, tıbbi cihaz mevzuatıyla AI Act'in kesişimini yönetmek zorunda. Burada erteleme (2027) biraz nefes veriyor ama hazırlık bugünden başlamalı.

E-ticaret ve perakende. Ürün önerisi, kişiselleştirme ve giderek yaygınlaşan otonom alışveriş ajanları çoğunlukla sınırlı riskli; asıl yükümlülük şeffaflık. Müşteriye yapay zekâ ile etkileşimde olduğunu bildirmek ve üretilen içeriği işaretlemek yeterli olabiliyor. Yine de kişiselleştirmede kullanılan profil verisi KVKK kapsamına girdiği için ihmal edilmemeli.

Üretim ve sanayi. Kestirimci bakım, kalite kontrol ve süreç optimizasyonu genellikle düşük riskli. Ancak kritik altyapı bileşenlerini yöneten sistemler yüksek riskli sayılabiliyor; bu ayrımı doğru yapmak, gereksiz uyum yükünden kaçınmanın anahtarı.

"Sadece OpenAI/Anthropic/Google API'si kullanıyorum, yine de sorumlu muyum?" Evet, dağıtıcı olarak belirli yükümlülükleriniz var; özellikle şeffaflık ve kullanım bağlamının uygunluğu. Sağlayıcının uyumu sizi tamamen muaf tutmuyor.

"Modeli yalnızca iç süreçlerde kullanıyorum, müşteriye açık değil. Fark eder mi?" İç kullanım riski azaltır ama sıfırlamaz; özellikle çalışan verisiyle ilgili işe alım ve performans değerlendirme senaryolarında yüksek risk devreye girebilir.

"Türkiye'deyim, AB'de hiç müşterim yok. Bu beni bağlar mı?" Doğrudan bağlamayabilir; ancak tedarik zincirinizde AB'li bir alıcı ya da ortak varsa, sözleşme yoluyla bu yükümlülükler size yansıyabilir. Ayrıca KVKK'nın kendi yapay zekâ rehberleri zaten yürürlükte.

"Uyum ne kadar sürer?" Tipik bir orta ölçekli şirkette envanter ve risk sınıflandırması birkaç hafta, tam bir uyum çerçevesinin kurulması üç ila altı ay sürüyor. Bu yüzden bugün başlamak, Ağustos'ta panik yaşamamanın tek yolu.

Regülasyonun getirdiği disiplin, aslında iyi mühendisliğin ve iyi yönetişimin zaten istediği disiplin. Envanteriniz temiz, sistemleriniz belgeli, insan gözetiminiz tasarlanmış ve sorumlunuz belliyse, 2 Ağustos 2026 sizin için bir kriz değil, sadece takvimde geçilen bir eşik olacak. Şimdi yapılacak iş belli: masaya takvimi koyun, ekibi toplayın ve ilk envanter satırını bu hafta yazın.

En sık aldığım sorulardan biri şu: "Bu iş bize kaça patlar?" Cevabım hep aynı: yanlış soru. Doğru soru, "uyumsuzluğun bize maliyeti ne olur?" Yine de bütçeyi somutlaştırmak gerekiyor, çünkü onaylanmayan bir bütçe hiçbir zaman harcanamaz. Orta ölçekli bir şirkette uyum bütçesini üç kalemde topluyorum: insan, süreç ve teknoloji.

İnsan kalemi, uyum sorumlusunun zamanı ve gerekirse dış danışmanlık. Süreç kalemi, envanter çıkarma, risk sınıflandırması, DPIA ve model kartı üretme gibi çalışmaların iş gücü maliyeti. Teknoloji kalemi ise içerik işaretleme altyapısı, dokümantasyon yönetim aracı ve gözlemlenebilirlik yatırımları. Deneyimime göre bu üç kalemin toplamı, olası bir ceza riskinin yanında çok küçük kalıyor; ama daha önemlisi, bu yatırım aynı zamanda operasyonel olgunluğunuzu da yükseltiyor.

"

Bir CFO'ya şöyle demiştim: "Bu bütçeyi uyum için değil, denetlenebilir bir yapay zekâ operasyonu için istiyorum. Uyum, onun yan ürünü." Bu çerçeveleme, bütçenin onaylanmasını kolaylaştırdı; çünkü kimse "ceza kaçırma" için para vermek istemez, herkes "daha iyi operasyon" için ister.

Elinizde somut bir takvim olsun diye 90 günlük bir plan öneriyorum. İlk 30 gün: envanter ve risk sınıflandırması. Bu dönemde tüm yapay zekâ kullanımlarını haritalayın, shadow AI'ı ortaya çıkarın ve her sistemi risk kategorisine oturtun. İkinci 30 gün: şeffaflık ve dokümantasyon. Chatbot bildirimlerini, içerik işaretlemeyi devreye alın; her yüksek riskli sistem için DPIA ve model kartını üretin. Son 30 gün: yönetişim ve sürdürülebilirlik. Sorumluyu atayın, gözden geçirme ritmini kurun, sağlayıcı sözleşmelerini güncelleyin ve bir olay müdahale planı hazırlayın.

Bu planın güzelliği, 90 günün sonunda yalnızca "uyumlu" olmanız değil; aynı zamanda yapay zekâ operasyonunuzu ilk kez uçtan uca görebiliyor olmanız. Çoğu şirket bu haritayı hiç çıkarmadığı için nerede değer ürettiğini, nerede risk biriktirdiğini bilmiyor. Uyum, bu görünürlüğü zorunlu kılıyor ve bu görünürlük başlı başına bir kazanç.

Geri sayımın sonunda kazanan, en çok korkýan değil, en erken başlayan olacak. Takvimi masaya koyun, ilk 30 günün envanter çalışmasını bu hafta başlatın ve Ağustos'a hazırlıklı girin. Yapay zekânın getirdiği değeri kaybetmeden, riski yönetmenin yolu tam olarak bu disiplinli hazırlıktan geçiyor.

Bir regülasyona uyum sağlamanın en sağlam yolu, o metnin harfini ezberlemek değil, ardındaki niyeti kavramaktır. AI Act'in GPAI tarafındaki niyeti oldukça net: pazara sürülen güçlü modellerin, arkasında hesap verebilir bir aktör olsun isteniyor. Avrupa, "modeli üreten kim, hangi veriyle eğitti, hangi riskleri değerlendirdi, sorun çıktığında kime gidilir" sorularının cevapsız kalmasını istemiyor. Bu niyeti kavradığınızda, hangi belgeyi neden hazırladığınız da anlam kazanıyor; dokümantasyon artık bürokratik bir angarya değil, "biz ne yaptığımızı biliyoruz" beyanının kanıtı hâline geliyor.

Aynı mantık şeffaflık kuralları için de geçerli. Sentetik içeriğin işaretlenmesi, kullanıcıyı aptal yerine koymama ilkesinin teknik karşılığı. Bir kullanıcı, karşısındaki metnin ya da videonun makine ürünü olduğunu bilme hakkına sahip. Bu, sansür değil; bilgiye dayalı güven inşa etmenin yolu. Sahada gördüğüm kadarıyla, bu şeffaflığı erken benimseyen markalar, müşteri güvenini kaybetmiyor, aksine pekiştiriyor. "Bu içeriği yapay zekâ ile ürettik" demek, dürüstlük sinyali veriyor.

Türkiye'nin regülasyon yaklaşımı, AB'yi birebir kopyalamak yerine kendi bağlamına uyarlama yönünde ilerliyor. KVKK'nın üretken ve etken yapay zekâ rehberleri, BDDK'nın bankacılığa özgü çalışmaları ve TBMM'ye sunulan değişiklik teklifleri, parça parça ama tutarlı bir çerçevenin oluştuğunu gösteriyor. Bu, Türk şirketleri için aslında bir avantaj: AB kadar keskin bir yaptırım baskısı henüz yokken uyum kaslarını çalıştırma fırsatı var. Bugün KVKK rehberlerine göre kendini düzenleyen bir şirket, yarın hem olası yerel yaptırımlara hem de AB'ye dokunan işlerindeki AI Act yükümlülüklerine büyük ölçüde hazır olacak.

Bu ikili hazırlığın sırrı, iki rejimi ayrı ayrı kovalamak değil, ortak paydayı görmektir. Veri envanteri, işleme amacının kaydı, etki değerlendirmesi disiplini, insan gözetimi ve hesap verebilirlik belgeleri — bunlar hem KVKK'nın hem AI Act'in temel taşları. Bir kez sağlam kurulduğunda, hangi düzenleyici kapıyı çalarsa çalsın, dosyanız hazır oluyor.

Son olarak şunu vurgulamak isterim: 2 Ağustos 2026 bir bitiş çizgisi değil, bir başlangıç. Yaptırım yetkilerinin devreye girmesi, uyumun bir kereye mahsus bir proje değil, sürekli bir işletim disiplini olduğu gerçeğini pekiştiriyor. Modeliniz güncellendiğinde, yeni bir kullanım senaryosu eklediğinizde, yeni bir sağlayıcıya geçtiğinizde dokümantasyonunuz da nefes almalı. En sağlıklı yaklaşım, uyumu üç ayda bir gözden geçirdiğiniz canlı bir sürece dönüştürmek; tıpkı finansal raporlama ya da bilgi güvenliği denetimi gibi.

Bu alışkanlığı kuran şirketler, her yeni regülasyon dalgasında sıfırdan başlamıyor; sadece mevcut çerçevelerini güncelliyor. Yapay zekâ düzenlemesi hızla evrilen bir alan ve önümüzdeki yıllarda daha fazla kural, daha fazla eşik göreceğiz. Bugün sağlam bir uyum kültürü kuran, yarının sürprizlerine karşı da dirençli olacak. Geri sayımı bir tehdit olarak değil, operasyonel olgunluğa geçişin tetikleyicisi olarak okuyun; envanterin ilk satırını bu hafta yazın ve hazırlığı ekibinizin ritmi hâline getirin.

Pratikte bu disiplini kuran ekiplerde ortak bir refleks gelişiyor: yeni bir yapay zekâ aracı denemeden önce "bunu envantere ekledik mi, risk sınıfı ne, hangi veriyle besleniyor, çıktısını işaretliyor muyuz?" sorularını otomatik olarak soruyorlar. Bu refleks bir kez yerleştiğinde, uyum ayrı bir iş olmaktan çıkıp günlük çalışma biçiminin parçası hâline geliyor. İşte asıl hedef bu: geri sayımı, ekibinizin doğal çalışma ritmine gömülmüş kalıcı bir alışkanlığa dönüştürmek. Bu hafta atacağınız ilk adım, önümüzdeki yılların düzenleme dalgalarında sizi ayakta tutacak kültürün temelini atıyor.