EU AI Act'te Büyük Erteleme: Digital Omnibus Yüksek Riskli Yükümlülükleri 2027-2028'e Taşıdı

TL;DR — 7 Mayıs 2026'da AB kurumları arasında "Digital Omnibus on AI" düzenlemesi üzerine sağlanan geçici siyasi uzlaşı, EU AI Act'in en çok korkulan kısmını, yani yüksek riskli sistemlere ilişkin yükümlülükleri, önemli ölçüde erteledi. Bağımsız Annex III sistemleri için son tarih 2 Aralık 2027'ye, düzenlenmiş ürünlere gömülü YZ için ise 2 Ağustos 2028'e taşındı. Ama şunu net söyleyeyim: bu bir iptal değil, bir mühlet. Yasaklı uygulamalar hâlâ yasak, GPAI şeffaflık kuralları hâlâ yürürlükte ve 35 milyon euroya kadar çıkan cezalar masada duruyor. AB'ye satış yapan veya hizmet veren her Türk şirketi, KVKK'nın üzerine bu çerçeveyi de koymak zorunda. Bu yazıda ertelemenin neden olduğunu, kazandığınız zamanı nasıl değerlendireceğinizi ve özellikle Türk KOBİ ve ihracatçılar için somut bir yol haritasını paylaşıyorum.

Son haftalarda danışmanlık yaptığım şirketlerde aynı iki uç tepkiyi gördüm. Bir grup "oh be, kurtulduk, 2028'e kadar rahatız" diyerek dosyayı çekmeceye kaldırdı. Diğer grup ise "yasa değişti, bütün hazırlığımız çöpe gitti" paniğine kapıldı. İkisi de yanlış. Gerçek, her zaman olduğu gibi, ortada.

Önce bir zaman çizelgesi çıkaralım ki neyin nerede durduğunu net görelim. EU AI Act tek bir tarihte yürürlüğe giren monolitik bir yasa değil; kademeli olarak devreye giren bir mimari. Erteleme de bu mimarinin sadece bir katmanını etkiledi.

Yükümlülük katmanı	Durum	Tarih
Yasaklı uygulamalar (kabul edilemez risk)	Yürürlükte, yasak	Şubat 2025'ten beri
GPAI (genel amaçlı YZ) şeffaflık yükümlülükleri	Yürürlükte	Ağustos 2025'ten beri
Yüksek riskli — bağımsız Annex III sistemleri	Ertelendi	2 Aralık 2027
Yüksek riskli — Annex I ürünlerine gömülü YZ	Ertelendi	2 Ağustos 2028
Azami idari para cezası	Değişmedi	35 milyon € veya küresel cironun %7'si

Tablodaki ilk iki satır kritik. Sosyal puanlama, iş yerinde ve okulda duygu tanıma, biyometrik kategorizasyonla hassas veri çıkarımı gibi kabul edilemez riskli uygulamalar 2025 Şubat'ından bu yana yasak ve bu yasak ertelenmedi. Yani bir Türk yazılım firması AB pazarına duygu analizi yapan bir işe alım aracı satıyorsa, o araç bugün de hukuka aykırı, yarın da.

İkinci satır da en az onun kadar önemli. GPT, Claude, Gemini gibi büyük dil modellerini geliştiren sağlayıcılar için genel amaçlı YZ (GPAI) şeffaflık yükümlülükleri Ağustos 2025'ten beri yürürlükte. Eğitim verisi hakkında özet yayımlamak, telif hukukuna uyum politikası bulundurmak, teknik dokümantasyon tutmak gibi kurallar burada. Bu katman da ertelemenin dışında kaldı.

"

Ertelenen tek şey, yüksek riskli sistemlerin uyum yükümlülükleridir. Ve bu erteleme, "yapmayın" değil, "biraz daha geç yapın" demektir.

Bu ayrımı en baştan içselleştirmeniz gerekiyor, çünkü sahada gördüğüm kafa karışıklığının kaynağı tam olarak bu. Bir şirket bana "bize erteleme geldi, artık yapay zekayı istediğimiz gibi kullanabiliriz" dediğinde, önce bir nefes alıp bu tabloyu birlikte okuyoruz. Çoğu zaman şirketin kullandığı sistemlerin bir kısmı zaten sınırlı risk kategorisinde ve o kategoriye ait şeffaflık yükümlülükleri ertelemeden hiç etkilenmiyor. Yani "erteleme" kelimesi, aslında sizin sistemlerinizin büyük çoğunluğu için hiçbir şey değiştirmemiş olabilir.

Şimdi işin en çok merak edilen kısmına gelelim: Avrupa Komisyonu neden geri adım attı? Regülasyonu hazırlayan kurumlar ilk baştaki tarihleri neden tutamadı? Sahadan gözlemlediğim üç ana sebep var.

Birincisi, teknik standartlar yetişmedi. Bir yasanın "yüksek riskli sistemler şu şartları sağlamalı" demesi yeterli değil; o şartların nasıl ölçüleceğini tanımlayan uyumlaştırılmış standartlar (harmonised standards) gerekiyor. Bunları CEN ve CENELEC gibi Avrupa standardizasyon kuruluşları hazırlıyor. 2 Ağustos 2026 son tarihi yaklaşırken bu standartların büyük kısmı hâlâ taslak hâlindeydi. Standart olmadan şirketten "uyumlu ol" demek, sınav sorularını vermeden öğrenciden geçer not istemek gibi bir şey. Şirketler neye göre uyum sağlayacaklarını bilmiyordu.

İkincisi, şirketler hazır değildi. Özellikle KOBİ'ler için yüksek riskli sistem yükümlülükleri ciddi bir yük: risk yönetim sistemi kurmak, veri yönetişimi süreçleri oluşturmak, teknik dokümantasyon üretmek, insan gözetimi mekanizmaları tasarlamak, uygunluk değerlendirmesinden geçmek. Avrupa sanayisinden gelen geri bildirim netti: "Bu tempoda yetişemeyiz." Rekabet gücü kaygısı, yani AB firmalarının ABD ve Çin karşısında regülatif yük altında ezilmesi endişesi de bu baskıyı artırdı.

Üçüncüsü, kurumsal kapasite eksikliği. Yasanın uygulanması için ulusal yetkili otoritelerin kurulması, AI Office'in tam kapasiteye ulaşması ve denetim mekanizmalarının hazır olması gerekiyordu. Bu ekosistem de henüz olgunlaşmamıştı. Denetleyecek merci hazır değilken denetlenecek yükümlülüğü dayatmak pratikte işlemiyor.

Bu üç sebep birleşince "Digital Omnibus on AI" adı verilen bir sadeleştirme ve erteleme paketi gündeme geldi ve 7 Mayıs 2026'da geçici siyasi uzlaşı sağlandı. Yani erteleme bir kaprisle değil, gerçek bir hazırlıksızlık tablosuyla geldi. Bunu bilmek önemli, çünkü aynı hazırlıksızlık tablosunun içinde olmak istemezsiniz.

Bir noktanın altını özellikle çizmek istiyorum: erteleme, regülasyonun içeriğini gevşetmedi. Yani 2 Aralık 2027'de yürürlüğe girecek yükümlülükler, 2 Ağustos 2026'da girecek olanlarla büyük ölçüde aynı. Değişen tek şey takvim. Dolayısıyla "belki geri çekilirken kuralları da yumuşatırlar" beklentisiyle beklemek riskli bir bahis. Benim gördüğüm kadarıyla AB'nin sorumlu YZ konusundaki temel felsefesi değişmedi; sadece uygulama zamanlaması gerçekçileştirildi.

Burada en sık yaşanan yanılgıyı düzeltmem lazım. "Biz Türkiye'deyiz, AB yasası bizi bağlamaz" cümlesini o kadar çok duydum ki. Bu, tehlikeli derecede yanlış bir varsayım.

EU AI Act'in kapsamı, tıpkı GDPR gibi, coğrafi sınırlarla değil, etki ilkesiyle çizilir. Şu üç durumdan herhangi biri sizi doğrudan kapsama sokar:

• Sağlayıcı (provider) iseniz: AB pazarına bir YZ sistemi sürüyor veya AB'de hizmete sunuyorsanız, nerede kurulu olduğunuzun önemi yok. İstanbul'da geliştirdiğiniz yüksek riskli bir YZ ürününü Almanya'daki bir müşteriye satıyorsanız, sağlayıcı sıfatıyla kapsamdasınız.
• Dağıtıcı/kullanıcı (deployer) iseniz: AB'de yerleşik bir dağıtıcı sıfatıyla YZ sistemi kullanıyorsanız kapsamdasınız. Türk merkezli ama AB'de şubesi/iştiraki olan gruplar için bu kritik.
• Çıktı AB'de kullanılıyorsa: Sistemin ürettiği çıktı AB içinde kullanılıyorsa, sistemi Türkiye'de çalıştırıyor olsanız bile kapsama girebilirsiniz. Örneğin AB'deki müşterileriniz için Türkiye'deki sunucuda skorlama yapan bir kredi modeli.

Yani AB'ye ihracat yapan, AB'li şirketlere SaaS satan, AB pazarına yazılım geliştiren her Türk firması bu çerçevenin içinde. Erteleme size de nefes aldırdı ama muafiyet vermedi.

Bir de madalyonun öbür yüzü var: KVKK. Türkiye'de faaliyet gösteriyorsanız, YZ sistemleriniz zaten Kişisel Verilerin Korunması Kanunu kapsamında. KVKK, kişisel veri işleyen otomatik karar mekanizmaları için açık rıza, aydınlatma yükümlülüğü, veri minimizasyonu ve amaç sınırlaması gibi ilkeler getiriyor. EU AI Act'in veri yönetişimi ve şeffaflık gereklilikleriyle KVKK'nın ilkeleri büyük ölçüde örtüşüyor. Yani AB için yapacağınız hazırlık, aynı zamanda KVKK uyumunuzu da güçlendiriyor. İki cephede ayrı ayrı savaşmak yerine ortak bir yönetişim omurgası kurmak çok daha akıllıca.

Bu örtüşmeyi somutlaştırmak için sık kullandığım bir eşleştirme tablosu var. İki çerçevenin nasıl aynı omurgayı beslediğini görün:

EU AI Act gerekliliği	KVKK karşılığı	Ortak eylem
Veri yönetişimi ve kalite	Veri doğruluğu, güncelliği	Veri kalitesi sürecini bir kez kur
Şeffaflık ve bilgilendirme	Aydınlatma yükümlülüğü	Kullanıcı bilgilendirme metni
Kayıt tutma (logging)	İşleme faaliyeti kaydı	Merkezi kayıt disiplini
İnsan gözetimi	Otomatik karara itiraz hakkı	İnsan müdahale mekanizması
Risk yönetimi	Veri güvenliği tedbirleri	Ortak risk envanteri

Ayrıca unutmayalım: Türkiye kendi YZ mevzuatını hazırlıyor. Ulusal bir yapay zeka düzenlemesi geldiğinde, AB çerçevesine benzer kavramlarla karşılaşmanız çok olası. Bugün kuracağınız yönetişim yapısı, yarınki ulusal düzenlemeye de hazır olmanızı sağlar. Yani bu emek boşa gitmiyor; üç ayrı geleceğe (AB, KVKK, ulusal YZ mevzuatı) aynı anda yatırım yapmış oluyorsunuz.

Şimdi işin özüne geliyoruz. Ertelemeyi "rahatlama" olarak değil, "hazırlık penceresi" olarak okumalısınız. Danışmanlıkta sürekli söylediğim bir şey var: uyum bir tarih değil, bir olgunluktur. 2 Aralık 2027'ye kadar önünüzde yaklaşık bir buçuk yıl var; ama bu sürenin son üç ayında panikleyerek yapılan bir uyum, hem pahalı hem de kırılgan olur.

Kazandığınız zamanı doğru kullanmanız için, uyumu altı temel yapı taşına ayırıyorum. Bunları sırayla ele alalım.

1. YZ Envanteri: Neye Sahip Olduğunuzu Bilmiyorsanız Yönetemezsiniz

Her uyum çalışmasının ilk adımı envanterdir ve bu adım şaşırtıcı derecede ihmal ediliyor. Kurumunuzda kullanılan tüm YZ sistemlerini listelemeniz gerekiyor: satın alınan hazır çözümler, iç geliştirmeler, bir SaaS ürününe gömülü modeller, hatta departmanların IT'den habersiz kullandığı "gölge YZ" araçları.

Her sistem için şunları kayıt altına alın: sistemin amacı, kullandığı veri türleri, karar verme sürecindeki rolü, etkilediği kişiler ve sağlayıcı mı yoksa dağıtıcı mı olduğunuz. Bu envanter olmadan risk sınıflandırması yapamazsınız. Bir müşterimde bu envanteri çıkardığımızda, pazarlama ekibinin İK'ya sormadan kullandığı bir aday değerlendirme aracı ortaya çıkmıştı; kimse onun yüksek riskli kategoriye girdiğinin farkında bile değildi. Envanter işte tam bu yüzden hayat kurtarıyor.

2. Risk Sınıflandırması: Her Sistem Aynı Kefeye Konmaz

EU AI Act dört risk seviyesi tanımlıyor: kabul edilemez (yasak), yüksek, sınırlı ve minimal. Envanterinizdeki her sistemi bu piramitte konumlandırın.

• Kabul edilemez: Sosyal puanlama, manipülatif teknikler, iş yerinde duygu tanıma gibi uygulamalar. Bunlar zaten yasak; envanterinizde varsa hemen durdurun.
• Yüksek riskli: Annex III'te sayılan alanlar; işe alım, kredi skorlaması, eğitim değerlendirmesi, kritik altyapı, biyometrik tanımlama gibi. Ertelenen yükümlülükler bunlar için.
• Sınırlı risk: Chatbot'lar, deepfake üreten sistemler. Bunlar için temel şeffaflık yükümlülüğü var (kullanıcıya YZ ile etkileştiğini bildirmek).
• Minimal risk: Spam filtreleri, öneri motorları gibi çoğu uygulama. Buradaki sistemler için katı yükümlülük yok.

Pratik gözlemim: şirketler genellikle sistemlerinin risk seviyesini olduğundan yüksek sanıp gereksiz panik yapıyor ya da tam tersi, yüksek riskli bir işe alım aracını "sadece bir yazılım" diye küçümsüyor. Doğru sınıflandırma, kaynaklarınızı doğru yere yönlendirmenizi sağlar.

3. Veri Yönetişimi: Modelin Yakıtı Temiz mi?

Yüksek riskli sistemler için veri yönetişimi kalbin kalbidir. Eğitim, doğrulama ve test veri setlerinizin kalitesini, temsil gücünü ve önyargı (bias) durumunu belgelemeniz gerekiyor. Veri nereden geldi, nasıl etiketlendi, hangi popülasyonu temsil ediyor, hangi gruplar eksik kalmış olabilir?

KVKK ile kesişim tam burada: kişisel veri kullanıyorsanız hukuki dayanağınız (açık rıza veya meşru menfaat) net olmalı, veri minimizasyonu ilkesine uymalı ve saklama sürelerini tanımlamalısınız. Bir kez düzgün bir veri yönetişimi çerçevesi kurarsanız, hem AB hem KVKK cephesini aynı anda güçlendirirsiniz.

4. İnsan Gözetimi: Makine Karar Verir, İnsan Sorumludur

EU AI Act, yüksek riskli sistemlerde anlamlı insan gözetimi (human oversight) şart koşuyor. Bu "ekranın başında biri dursun" demek değil; kararı anlayabilen, gerektiğinde durdurabilen ve müdahale edebilen bir mekanizma tasarlamak demek.

Pratikte şunları sorun: Sistemin kararını bir insan geçersiz kılabiliyor mu? Otomasyon yanlılığına (insanın makineye körü körüne güvenmesi) karşı önlem var mı? Gözetimi yapan kişi bunun için eğitildi mi? Bu tasarım kararlarını şimdiden vermek, sonradan sisteme yamamaktan çok daha ucuzdur.

5. Dokümantasyon ve Şeffaflık: Yazılı Değilse Yok Sayılır

Denetimde en çok zorlanılan alan bu. Yüksek riskli sistemler için teknik dokümantasyon, kayıt tutma (logging), kullanım talimatları ve uygunluk beyanı gerekiyor. Buradaki altın kural şudur: yaptığınızı yazmadıysanız, hukuken yapmamış sayılırsınız.

Şimdiden bir dokümantasyon disiplini kurun. Her model kararının, her veri seçiminin, her risk değerlendirmesinin izlenebilir bir kaydı olsun. Bu, denetim geldiğinde sizi kurtaracak tek şeydir.

6. Yönetişim ve Sorumluluk: Kim Sorumlu?

Son olarak, bir YZ yönetişim yapısı kurun. Bir sorumlu (YZ uyum sorumlusu veya komite) belirleyin, politikalarınızı yazıya dökün, personeli eğitin ve düzenli gözden geçirme döngüleri oluşturun. Uyum bir kişinin yan görevi olmamalı; kuruma gömülü bir süreç olmalı.

Genel çerçeve güzel ama herkesin durumu farklı. Danışmanlıkta en çok karşılaştığım dört sektör üzerinden somutlaştırayım.

Finans ve sigorta. Kredi skorlaması, sigorta risk değerlendirmesi ve dolandırıcılık tespiti gibi uygulamalar tipik olarak yüksek riskli kategoriye giriyor. Bankalar ve fintech'ler için erteleme değerli bir hazırlık süresi; ama bu sektör zaten BDDK ve KVKK altında sıkı denetleniyor, dolayısıyla veri yönetişimi altyapınız muhtemelen kısmen hazırdır. Buradaki önerim: mevcut model risk yönetimi çerçevenizi EU AI Act gereklilikleriyle eşleyin, sıfırdan başlamayın.

Sağlık. Tanı destek sistemleri ve klinik karar araçları hem Annex III hem de tıbbi cihaz mevzuatı (Annex I) kapsamına girebilir; bu yüzden bazı sağlık YZ ürünleri için son tarih 2 Ağustos 2028'e kadar uzuyor. Ama sağlıkta hata maliyeti yüksek olduğu için erteleme sizi rehavete sürüklemesin; klinik doğrulama ve insan gözetimi tasarımına erken başlayın.

İnsan kaynakları. İşe alım, aday sıralama ve performans değerlendirme araçları yüksek riskli. Türkiye'den AB'ye uzaktan çalışan istihdam eden veya AB'li şirketlere İK teknolojisi satan firmalar için bu kritik. Aday önyargısı (bias) testleri ve adaylara yönelik şeffaflık bildirimleri, şimdiden çözmeniz gereken konular.

E-ticaret ve pazarlama. İyi haber: öneri motorları, arama sıralama, kişiselleştirme gibi uygulamaların çoğu minimal veya sınırlı risk kategorisinde. Yani e-ticaret firmalarının büyük kısmı için EU AI Act yükü sanıldığından hafif. Ama müşteri hizmetleri chatbot'unuz varsa, kullanıcıya bir YZ ile konuştuğunu açıkça bildirmeniz gereken sınırlı risk şeffaflık yükümlülüğüne dikkat edin; bu ertelenmedi.

Bir parantez daha açmam lazım, çünkü bu nokta sürekli gözden kaçıyor. Eğer siz büyük dil modellerini bir ürüne entegre ediyorsanız (ki bugün neredeyse herkes yapıyor), kullandığınız temel modellerin sağlayıcıları GPAI yükümlülükleri altında. Bu, dolaylı olarak sizi de ilgilendiriyor.

Kullandığınız modelin sağlayıcısının eğitim verisi özeti, telif politikası ve teknik dokümantasyon sağlayıp sağlamadığını sorgulamak, sizin kendi tedarik zinciri sorumluluğunuzun bir parçası. Cohere, OpenAI, Anthropic, Google gibi sağlayıcıların bu yükümlülüklere uyum belgelerini talep edin. Bir denetimde "hangi modeli kullandığınızı ve o modelin uyumlu olup olmadığını biliyor musunuz" sorusuna hazır olun. Bu katman ertelemeden hiç etkilenmedi ve Ağustos 2025'ten beri yürürlükte.

"Ceza büyük ama uygulanır mı?" sorusunu çok duyuyorum. GDPR deneyiminden öğrendiğimiz şu: başlangıçta denetim yavaş başlar, sonra ciddi cezalarla ivmelenir. EU AI Act'te azami idari para cezası 35 milyon euro veya küresel cironun %7'si; bu GDPR'ın üst sınırından bile yüksek. Yasaklı uygulamalar için en ağır dilim geçerli.

Benim gördüğüm gerçek risk sadece para cezası değil. Bir AB müşterisi sizinle sözleşme yaparken artık uyum belgesi istiyor; uyumsuzsanız ihale dışı kalıyorsunuz. Yani asıl yaptırım pazara erişim kaybı. Erteleme bu ticari baskıyı ertelemiyor; büyük alıcılar tedarikçilerinden hazırlık kanıtı istemeye şimdiden başladı. Ceza korkusundan önce ticari gerçeklik sizi harekete geçirmeli.

Sahada en çok karşılaştığım soruları kısaca yanıtlayayım.

"Sadece açık kaynak model kullanıyoruz, muaf mıyız?" Hayır. Modeli nasıl kullandığınız ve hangi risk kategorisinde bir amaca hizmet ettiği önemli, kaynağı açık ya da kapalı olması değil.

"Erteleme kesinleşti mi?" 7 Mayıs 2026'da geçici siyasi uzlaşı sağlandı; nihai metnin resmi yayımına kadar takip etmek gerekir, ama yön nettir: yüksek riskli yükümlülükler 2027-2028'e taşındı.

"KVKK uyumlu olmam yeterli değil mi?" Değil. KVKK kişisel veri odaklı; EU AI Act ise sistemin risk ve güvenliğine odaklanıyor. Örtüşürler ama biri diğerinin yerine geçmez.

"Küçük bir KOBİ'yiz, bize gelmezler." GDPR döneminde de bu düşünülüyordu, sonra KOBİ'lere de cezalar geldi. Boyut sizi kapsam dışında bırakmaz; sadece bazı yükümlülüklerde orantılılık sağlar.

Şimdi teoriyi bir kenara bırakıp, sahada uygulanabilir bir plana dökelim. AB'ye iş yapan orta ölçekli bir Türk şirketiyseniz, önümüzdeki 18 ayı şöyle bölmenizi öneriyorum.

İlk 3 ay — Görünürlük. YZ envanterinizi çıkarın. Kabul edilemez riskli hiçbir şey kullanmadığınızdan emin olun; kullanıyorsanız hemen durdurun. Her sistem için sağlayıcı mı dağıtıcı mı olduğunuzu netleştirin. Bu aşama düşük maliyetli ama yüksek getirili; çünkü çoğu şirket neye sahip olduğunu bile bilmiyor.

3-6 ay — Sınıflandırma ve boşluk analizi. Envanterdeki her sistemi risk seviyesine göre sınıflandırın. Yüksek riskli olanlar için mevcut durumunuz ile hedef arasındaki boşluğu (gap analysis) çıkarın. Hangi dokümantasyon eksik, hangi veri yönetişimi süreci yok, insan gözetimi nasıl tasarlanmalı?

6-12 ay — İnşa. Öncelik sırasına göre boşlukları kapatın. Veri yönetişimi çerçevesini kurun, dokümantasyon şablonlarını oluşturun, insan gözetimi mekanizmalarını sisteme entegre edin. KVKK uyumunuzla bunları hizalayın ki iki kez iş yapmayın.

12-18 ay — Test ve olgunlaştırma. İç denetim yapın, süreçlerinizi bir kez baştan sona çalıştırın, personeli eğitin. 2027 sonuna doğru panikleyerek değil, hazır olarak yaklaşın.

Bu yol haritasında bütçe konusunda gerçekçi olmanızı öneririm. Yüksek riskli olmayan sistemler için minimal yatırım yeterli; enerjinizi ve paranızı gerçekten yüksek riskli olan bir veya iki sisteme odaklayın. Herkesin her şeyi aynı anda yapmaya çalışması, en sık gördüğüm kaynak israfı.

Bir de sağlayıcılarınızla olan sözleşmelere dikkat edin. Eğer AB pazarına yüksek riskli bir sistem satan bir sağlayıcının ürününü kullanıyorsanız, uyum sorumluluğunun sözleşmede nasıl dağıtıldığını kontrol edin. Sağlayıcının size sağlaması gereken dokümantasyonu talep edin. Tedarik zincirindeki uyum, kendi uyumunuzun bir parçası.

Yüksek riskli bir YZ sistemi sağlayıcısıysanız, işin bir de teknik onay boyutu var. Sistemin AB pazarına sürülmeden önce bir uygunluk değerlendirmesinden (conformity assessment) geçmesi ve buna dayanarak CE işaretini taşıması gerekiyor. Yani YZ ürününüz, tıpkı bir elektronik cihaz gibi, uygunluk beyanıyla piyasaya çıkacak.

Bu değerlendirme çoğu Annex III sistemi için sağlayıcının kendi iç kontrolüyle (öz-değerlendirme) yapılabiliyor; ama bazı durumlarda onaylanmış kuruluş (notified body) devreye giriyor. Buradaki püf noktası şu: öz-değerlendirme "istediğimizi yazarız" demek değil. Teknik dokümantasyonunuz, risk yönetim kayıtlarınız ve veri yönetişimi belgeleriniz, bir denetimde bu beyanı destekleyecek nitelikte olmak zorunda. Erteleme, bu değerlendirme altyapısını sakin sakin kurmanız için size zaman veriyor. Son ay telaşla hazırlanan bir teknik dosya, denetimde ilk çatlayan yer olur.

Bir de "önemli değişiklik" (substantial modification) kavramına dikkat edin. Yüksek riskli sisteminizde ciddi bir güncelleme yaptığınızda uygunluk değerlendirmesini tazelemeniz gerekebilir. YZ sistemleri sürekli yeniden eğitilen, güncellenen ürünler olduğu için bu, tek seferlik değil, süreklilik gerektiren bir yükümlülük. Bunu bir kültür meselesi olarak kurgulayın.

Teknik dokümantasyon ve risk sınıflandırması işin görünen yüzü. Ama benim sahada defalarca gördüğüm gerçek şu: en iyi hazırlanmış uyum çerçevesi bile, onu uygulayacak insanlar anlamıyorsa kağıt üstünde kalıyor. Bir işe alım aracını kullanan İK uzmanı otomasyon yanlılığının ne olduğunu bilmiyorsa, yazdığınız insan gözetimi politikası hiçbir işe yaramaz.

Bu yüzden kazandığınız zamanın bir kısmını mutlaka eğitime ayırın. Yöneticilere yükümlülüklerin ne olduğunu, teknik ekibe dokümantasyon disiplinini, son kullanıcı çalışanlara ise sistemin sınırlarını ve müdahale noktalarını anlatın. AB düzenlemesi zaten "YZ okuryazarlığı" (AI literacy) yükümlülüğü de getiriyor; yani çalışanlarınızın kullandıkları sistemleri anlaması artık yasal bir beklenti. Bunu bir zorunluluk değil, bir yatırım olarak görün: YZ okuryazarlığı yüksek bir ekip, hem daha az hata yapar hem de yeni fırsatları daha hızlı yakalar.

Benim önerim, altı ayda bir kısa bir "YZ yönetişim tazeleme" oturumu yapmanız. Regülasyon değişiyor, sistemleriniz değişiyor, ekibiniz değişiyor; kültürünüz de bu değişimle birlikte nefes almalı. Uyumu bir proje gibi başlatıp bitiren şirketler değil, onu bir alışkanlığa dönüştüren şirketler kazanıyor.

Son bir bakış açısı sunmak istiyorum, çünkü bu genelde gözden kaçıyor. Uyumu sadece bir savunma, bir "başımız derde girmesin" faaliyeti gibi görürseniz, potansiyelinin yarısını kaçırırsınız. Sahada gördüğüm en akıllı şirketler, sorumlu YZ uyumunu bir satış argümanına çeviriyor.

Düşünün: AB'li bir alıcı, biri belgelenmiş bir uyum çerçevesi sunan, diğeri "biz Türkiye'deyiz, bize gelmez" diyen iki Türk tedarikçi arasında seçim yapacak. Hangisini tercih eder? Uyum, artık bir güven sinyali; tıpkı ISO sertifikaları gibi. "YZ sistemlerimiz EU AI Act ve KVKK ile uyumlu" cümlesini teklif dosyanıza koyabilmek, sizi rakiplerinizden ayıran bir fark yaratıyor.

Benim önerim, uyum çalışmanızı bir maliyet kalemi olarak değil, bir pazar konumlandırması olarak bütçelendirmeniz. Kazandığınız bir buçuk yılı bu farkı inşa etmek için kullanın; çünkü herkes son ay panikleyip aynı belgeleri aynı anda hazırlamaya çalışırken, siz çoktan hazır ve referanslı olacaksınız. Bir müşterime bu yaklaşımı önerdiğimde, önce tereddüt etti; altı ay sonra ise uyum belgelerini bir Alman zincir mağazasıyla yaptığı sözleşmede belirleyici avantaj olarak kullandığını söyledi. Uyum, doğru anlatıldığında bir yük değil, bir anahtardır.

Benim gözlemim şu: regülasyonu bir engel gibi görenler her ertelemeyi bir kaçış fırsatı olarak okuyor, regülasyonu bir olgunluk göstergesi gibi görenler ise her ertelemeyi bir avantaj penceresi olarak kullanıyor. İkinci grup, AB pazarında güven inşa ediyor, müşterilerine "biz sorumlu YZ yapıyoruz" diyebiliyor ve rakipleri son dakikada paniklerken sakince yola devam ediyor.

Ertelemenin size verdiği en değerli şey para değil, zaman. Ve zaman, sadece onu bir plana dönüştürenler için değerlidir. Bugün envanterinizi çıkarmaya başlarsanız, 2027 sonunda uyum sizin için bir kriz değil, bir rutin olacak. Benim önerim net: dosyayı çekmeceye kaldırmayın, bir sonraki adımınızı bu hafta atın. Küçük ama düzenli adımlarla ilerleyen bir şirketin, son ay her şeyi yetiştirmeye çalışan bir şirkete kıyasla hem daha ucuza hem daha sağlam bir uyum inşa ettiğini defalarca gördüm. Karar sizin: bu bir buçuk yılı ya bir avantaja ya da bir borca çevireceksiniz.