EU AI Act GPAI Denetimi Başladı: 2 Ağustos 2026'da Türk Şirketleri İçin Ne Değişti?

TL;DR — 2 Ağustos 2026, EU AI Act açısından sessizce geçilen ama aslında dişleri olan bir eşik: Avrupa Komisyonu'nun genel amaçlı yapay zeka (GPAI) sağlayıcılarına karşı denetim ve yaptırım yetkileri bu tarihte fiilen yürürlüğe girdi. Yani yükümlülükler 2025'ten beri kağıt üzerindeydi; artık Komisyon belge isteyebiliyor, değerlendirme yapabiliyor, düzeltme talep edebiliyor ve GPAI sağlayıcılarına küresel cironun %3'üne veya 15 milyon avroya kadar ceza kesebiliyor. Bu yazıda kimin kapsamda olduğunu, Türk şirketlerinin neden "biz model üretmiyoruz ki" diyerek rahatlayamayacağını, KVKK'nın 2026'da yayımladığı etken yapay zeka ve üretken yapay zeka rehberleriyle bu tablonun nasıl örtüştüğünü ve önümüzdeki 12 ayda somut olarak ne yapmanız gerektiğini sahadan anlatıyorum.

Son bir yıldır kurumsal müşterilerimle yaptığım toplantıların büyük çoğunluğunda EU AI Act tek bir cümleyle geçiştiriliyordu: "O Avrupa'nın meselesi, bizi ilgilendirmez." Bu cümleyi her duyduğumda içimden aynı şeyi geçiriyorum: GDPR'da da tam olarak böyle başlamıştık. 2018'de "biz Türkiye'deyiz, GDPR bizi bağlamaz" diyen firmaların çoğu, iki yıl içinde Avrupalı müşterileri sözleşme masasında "GDPR uyumlu musunuz?" diye sorunca panikledi. AI Act'te aynı filmi izliyoruz, sadece oyuncular biraz değişti.

İşin teknik tarafı şu: AI Act'in GPAI (general-purpose AI) sağlayıcılarına yönelik yükümlülükleri 2 Ağustos 2025'te devreye girmişti. Ancak yasa, sağlayıcılara bir yıllık bir "uyum penceresi" tanıdı. Komisyon'un bu sağlayıcılara karşı gözetim ve yaptırım yetkilerini kullanmaya başlaması 2 Ağustos 2026'ya bırakıldı. Yani geçtiğimiz yıl bir tür "ısınma turu"ydu; şimdi hakem düdüğü çaldı.

Bu yetkiler soyut değil. Komisyon artık şunları yapabiliyor:

• GPAI sağlayıcısından teknik dokümantasyon ve bilgi talep etmek.
• Modeller üzerinde değerlendirme (evaluation) yapmak veya yaptırmak.
• Tespit ettiği uyumsuzluklar için düzeltici önlem talep etmek.
• Sistemik risk taşıyan modellerde ek tedbirler dayatmak.
• Ve nihayetinde para cezası kesmek.

Ceza tarafı da caydırıcı: GPAI'ye özgü ihlallerde Madde 101 uyarınca 15 milyon avroya veya küresel yıllık cironun %3'üne kadar ceza söz konusu. AI Act'in genel ihlalleri için ise Madde 99 daha da sert: 35 milyon avro veya cironun %7'sine kadar. Rakamların büyüklüğünü bir kenara bırakın; asıl mesele, bunların artık "olabilir" değil "uygulanabilir" hale gelmesi.

"

Bir uyum yükümlülüğünün gerçek doğum günü, metnin Resmî Gazete'de yayımlandığı gün değildir. Regülatörün o metni size karşı kullanabileceği ilk gündür. GPAI için o gün 2 Ağustos 2026'ydı.

Türkiye'deki çoğu şirketin ilk refleksi şu: "Biz kendi temel modelimizi (foundation model) eğitmiyoruz, dolayısıyla GPAI sağlayıcısı değiliz, bu bizi bağlamaz." Teknik olarak GPAI sağlayıcısı tanımına girmiyor olabilirsiniz — doğru. Ama bu, AI Act'in sizi hiç ilgilendirmediği anlamına gelmiyor. İşte sahada en sık gördüğüm üç yanılgı:

Birincisi, tedarik zinciri etkisi. Siz GPT-5.6, Claude Opus 5 veya Gemini 3.6 üzerine kurumsal bir uygulama inşa ediyorsanız, "downstream deployer" (aşağı akış dağıtıcısı/kullanıcısı) konumundasınız. Sağlayıcının yükümlülükleri sizinkiyle aynı değil ama AI Act'in şeffaflık, dokümantasyon ve — özellikle yüksek riskli kullanım alanlarında — uygunluk değerlendirmesi yükümlülükleri sizin sisteminize de akıyor. Sağlayıcının size sunduğu teknik dokümantasyon, sizin kendi uyumunuzun temel taşı haline geliyor.

İkincisi, pazar erişimi etkisi. Ürününüzü ya da hizmetinizi AB pazarına sunuyorsanız — bir SaaS satıyor, bir mobil uygulama yayınlıyor, Avrupalı bir kuruma danışmanlık veriyorsanız — coğrafi olarak Türkiye'de olmanız sizi kapsam dışına çıkarmıyor. AI Act, tıpkı GDPR gibi, "yerleşim yeri" değil "pazara sunum" temelli çalışıyor.

Üçüncüsü, sözleşmesel baskı. Bu, en hızlı hissedeceğiniz etki. Avrupalı müşteriniz kendi AI Act uyumunu sağlamak zorunda olduğunda, bunu size sözleşme maddesi olarak geçirecek. "Sağladığınız AI bileşeni için teknik dokümantasyonu, risk sınıflandırmasını ve insan gözetimi mekanizmalarını temin edeceksiniz" cümlesini önümüzdeki aylarda çok daha fazla RFP'de göreceksiniz.

Ben bunu bir müşterime şöyle özetlemiştim: AI Act sizi doğrudan cezalandırmayabilir, ama Avrupalı müşteriniz sizi ihaleden eleyebilir. İkincisi çoğu KOBİ için birincisinden çok daha yakın ve gerçek bir tehdit.

AI Act, GPAI modellerini ikiye ayırıyor: sıradan GPAI modelleri ve "sistemik risk" taşıyan GPAI modelleri. Ayrımın teknik göstergesi, modelin eğitiminde kullanılan toplam hesaplama gücü. Eğitim için kullanılan kümülatif hesaplama 10^25 FLOP eşiğini aştığında, model sistemik risk taşıyan sınıfa giriyor ve ek yükümlülüklere tabi oluyor: model değerlendirmesi, adversarial test (red-teaming), sistemik risklerin izlenmesi ve ciddi olayların raporlanması.

Bu eşiği neden anlatıyorum? Çünkü Türkiye'de yerli ve açık kaynak temelli modelleri fine-tune eden, hatta sıfırdan görece küçük modeller eğiten ekipler artıyor. Eğer bir open-weight modeli önemli ölçüde yeniden eğitir ve dağıtırsanız, belirli koşullarda kendinizi "sağlayıcı" konumunda bulabilirsiniz. Fine-tuning'in ölçeği ve modelin dağıtım biçimi burada belirleyici. "Sadece fine-tune ettik" demek sizi otomatik olarak kapsam dışına çıkarmıyor; yaptığınız değişikliğin niteliği önemli.

Kategori	Kim kapsamda	Öne çıkan yükümlülükler
GPAI sağlayıcısı	Temel model eğiten/piyasaya sunan	Teknik dokümantasyon, telif özeti, şeffaflık
Sistemik riskli GPAI	~10^25 FLOP üstü eğitim	Ek: model değerlendirme, red-teaming, olay raporlama
Downstream deployer	Modeli ürününe gömen	Kullanım şeffaflığı, insan gözetimi, risk yönetimi
AB'ye sunan Türk firması	Ürünü/hizmeti AB pazarında	Pazara sunum temelli kapsam

Burada kritik bir noktaya geliyoruz. Türkiye'nin AB tarzı yatay bir yapay zeka yasası henüz yok, ama bu bir boşluk anlamına gelmiyor. KVKK 2026'da iki önemli rehber yayımladı ve bunlar denetim yaklaşımının nereye evrildiğini açıkça gösteriyor.

Mart 2026'da KVKK "Etken Yapay Zeka Sistemleri"ne ilişkin bir rehber yayımladı. Bu rehber, ajan (agentic) sistemlerin ne olduğunu, bu sistemlerdeki yapay zeka ajanlarının işlevlerini, olası kullanım senaryolarını ve bunların kişisel veri koruması açısından risklerini ele alıyor. Bir ay önce, Mart 2026'nın başında, "İş Yerlerinde Üretken Yapay Zeka Araçlarının Kullanımı"na ilişkin bir rehber daha çıktı.

Bu rehberler bağlayıcı değil — bir yönetmelik değiller. Ama sahada bunları hafife alan her yöneticiye şunu söylüyorum: KVKK rehberleri, Kurul'un bir denetimde neye bakacağının önizlemesidir. KVKK'nın otomatik karar süreçlerine artan ilgisi, KVKK'nın 11. maddesindeki "ilgili kişinin otomatik sistemlerle alınan kararlara itiraz hakkı" ile birleştiğinde, çok net bir beklenti ortaya çıkıyor: yapay zekanın verdiği her karar insan tarafından denetlenebilir olmalı.

Yani AB'de "insan gözetimi" (human oversight) AI Act'in yüksek riskli sistemler için zorunlu kıldığı bir ilke; Türkiye'de ise KVKK 11. madde üzerinden benzer bir sonuç doğuyor. İki rejim farklı kapılardan giriyor ama aynı odada buluşuyor.

Bir ek not: 1 Ağustos 2026'da yürürlüğe giren, Ticari Reklam ve Haksız Ticari Uygulamalar kapsamında hedefli reklamcılık ve yapay zekaya ilişkin bir düzenleme değişikliği de var. Yani "Türkiye'de düzenleme yok" cümlesi 2026 itibarıyla ciddi ölçüde geçerliliğini yitirdi.

Rakamları tekrar hatırlayalım ama bu sefer arkasındaki mantığı konuşalım. GPAI'ye özgü ihlallerde 15 milyon avro veya cironun %3'ü; genel ihlallerde 35 milyon avro veya %7. Neden "veya" ve neden "hangisi yüksekse"? Çünkü yasa koyucu, cezanın küçük bir oyuncu için caydırıcı ama büyük bir oyuncu için "yuvarlama hatası" kalmasını istemedi. Küçük bir firmada sabit tutar ağır basar; dev bir sağlayıcıda ise ciro yüzdesi devreye girer.

Bunu Türk KOBİ'sine indirgeyince tablo değişiyor. Sizin doğrudan bu cezalarla karşılaşma ihtimaliniz düşük olabilir; ama sağlayıcınızın bir soruşturmaya girmesi, kullandığınız modelin AB'de erişime kapanması ya da yeniden yapılandırılması ihtimali sizin operasyonunuzu doğrudan etkiler. Yani asıl riskiniz "ceza" değil, "tedarik kesintisi" ve "sözleşme ihlali" olabilir. Bir müşterime bunu şöyle anlatmıştım: Yağmurdan korkmuyoruz, tedarikçimizin çatısının akmasından korkuyoruz.

Bir de itibar boyutu var. AI Act ihlalleri kamuya açık hale geliyor. Avrupa'da bir uyumsuzluk vakasına adınızın karışması, oradaki müşteri ilişkilerinizde yıllarca peşinizi bırakmaz. Regülasyon uyumu, giderek bir "güven sertifikası" işlevi görüyor; uyumlu olmak bir maliyet değil, bir satış argümanı.

Somutlaştıralım. Diyelim ki İzmir merkezli bir SaaS firmasısınız ve Alman perakendecilere yapay zeka destekli bir talep tahmini ve fiyatlandırma modülü satıyorsunuz. Kendi modelinizi eğitmiyorsunuz; altta bir GPAI sağlayıcısının API'sini kullanıyorsunuz ve üzerine kendi iş kurallarınızı ekliyorsunuz.

Bu senaryoda kapsam neyi kapsıyor? Fiyatlandırma önerileri "otomatik karar" niteliği taşıyabilir. Modülünüz bireysel tüketicileri etkileyen kararlar üretiyorsa (örneğin kişiselleştirilmiş fiyat), hem AI Act'in şeffaflık yükümlülükleri hem de KVKK'nın otomatik karar hükümleri devreye girer. Alman müşteriniz kendi AI Act uyumu için sizden şunları isteyecek: modülün ne yaptığına dair teknik açıklama, hangi verilerle çalıştığı, insan gözetiminin nasıl sağlandığı ve önyargı (bias) risklerinin nasıl yönetildiği.

Hazırlıklı firma bu belgeleri bir "AI fact sheet" olarak hazır tutar ve satış sürecinde bir farklılaştırıcı olarak kullanır. Hazırlıksız firma ise ihale sürecinin ortasında bu belgeleri aceleyle üretmeye çalışırken hem zaman kaybeder hem de müşterinin gözünde amatör görünür. Aradaki fark, birkaç haftalık ön hazırlıktır.

Danışmanlık yaptığım ihracatçı firmalarda en çok işe yarayan yaklaşım, iki rejimi ayrı ayrı iki proje gibi ele almamak. Çünkü örtüşen alan çok geniş. Her iki rejim de şunları istiyor:

• Kullandığınız yapay zeka sistemlerinin bir envanterini çıkarmanızı.
• Her sistem için risk sınıflandırması yapmanızı.
• İnsan gözetimi ve itiraz mekanizmaları kurmanızı.
• Veri yönetişimi ve şeffaflık sağlamanızı.
• Kararların açıklanabilir ve denetlenebilir olmasını.

Ben bu ortak çekirdeğe "tek envanter, iki çıktı" diyorum. Tek bir yapay zeka sistem envanteri tutarsınız; bu envanterden hem AI Act risk sınıflandırmasını hem de KVKK açısından kişisel veri işleme envanterini/VERBİS kaydını besleyebilirsiniz. ISO/IEC 42001 (yapay zeka yönetim sistemi standardı) tam da bu noktada bir çatı olarak çok işe yarıyor: her iki rejimin de ortak beklediği yönetişim disiplinlerini tek bir yönetim sistemi altında topluyor.

"

İki ayrı uyum ekibi kurarsanız iki katı maliyet ve iki katı çelişki elde edersiniz. Ortak çekirdeği bir kez inşa edin, rejime özgü kenarları sonra ekleyin.

Teoriyi bir kenara bırakıp, önümüzdeki üç aya sığdırabileceğiniz somut bir plan vereyim. Bunu birçok kurumla adım adım uyguladım; işe yarıyor.

İlk 30 gün — Görünürlük. Amaç, "elimizde ne var" sorusuna dürüst bir cevap vermek. Kullandığınız tüm yapay zeka bileşenlerini listeleyin: üçüncü taraf API'ler (OpenAI, Anthropic, Google), gömülü SaaS özellikleri (CRM'inizdeki AI asistan, çağrı merkezi botu), kendi geliştirdiğiniz modeller ve — en çok atlananı — çalışanların resmî izin olmadan kullandığı araçlar. Her kalem için üç soruya cevap arayın: Hangi veriyi işliyor? Kim adına karar veriyor? AB pazarına dokunuyor mu?

30-60 gün — Sınıflandırma. Her sistemi AI Act risk katmanlarına göre etiketleyin: kabul edilemez risk (yasak), yüksek risk, sınırlı risk (şeffaflık yükümlülüğü) ve minimal risk. Aynı anda KVKK açısından her sistemin kişisel veri işleyip işlemediğini, otomatik karar üretip üretmediğini işaretleyin. Bu ikili etiketleme, kaynaklarınızı nereye yoğunlaştıracağınızı netleştirir. Genellikle sistemlerin %70'i minimal/sınırlı riskte çıkar; enerjinizi geri kalan %30'a saklayın.

60-90 gün — Boşluk kapatma. Yüksek riskli veya otomatik karar üreten sistemler için insan gözetimi mekanizmalarını, teknik dokümantasyonu ve — tedarikçiden alıyorsanız — sağlayıcı dokümantasyonunu toplayın. Sözleşmelerinize AI Act ve KVKK maddeleri ekleyin. Bir olay müdahale (incident response) prosedürü tanımlayın: model beklenmedik bir çıktı ürettiğinde kim, ne zaman, nasıl müdahale edecek?

Bu üç ayın sonunda mükemmel bir uyum elde etmezsiniz — kimse etmez. Ama bir denetim ya da müşteri sorgusu geldiğinde "biz bu işi ciddiye alıyoruz, şu adımları attık" diyebilecek bir konuma gelirsiniz. Regülatör karşısında en kötü pozisyon, hiçbir şey yapmamış olmaktır; iyi niyetli ve belgelenmiş bir çaba, tonu tamamen değiştirir.

AI Act ekosisteminde 2025'te ortaya çıkan ve 2026'da olgunlaşan bir araç var: GPAI Uygulama Kuralları (Code of Practice). Bu, sağlayıcıların yükümlülüklerini nasıl karşılayacaklarını gösteren gönüllü bir çerçeve. Büyük sağlayıcıların çoğu bu kurallara imza attı; imzalamayanlar ise uyumu kendi yöntemleriyle kanıtlamak zorunda.

Downstream tarafta olan bir Türk firması olarak bunu neden önemsemelisiniz? Çünkü sağlayıcınızın bu kurallara uyup uymadığı, size akan dokümantasyonun kalitesini doğrudan etkiliyor. Uygulama Kuralları'na imza atmış bir sağlayıcı size daha standart, daha eksiksiz teknik belgeler sunuyor; bu da sizin kendi uyumunuzu kolaylaştırıyor. Tedarikçi seçerken artık sadece fiyat ve performansa değil, "bu sağlayıcı bana AI Act dokümantasyonu sağlıyor mu?" sorusuna da bakmalısınız.

Sahadan üç hatayı özellikle vurgulamak istiyorum, çünkü bunları neredeyse her projede görüyorum.

Birinci hata: uyumu hukuk departmanına hapsetmek. AI Act uyumu bir hukuk projesi değil; hukuk, teknik, ürün ve veri ekiplerinin ortak işi. Risk sınıflandırmasını yapabilmek için modelin ne yaptığını teknik olarak anlamanız gerekir. Sadece avukatların yürüttüğü uyum projeleri kağıt üzerinde kalıyor.

İkinci hata: shadow AI'ı görmezden gelmek. Çalışanlarınız çoktan ChatGPT'ye, Claude'a, Gemini'ye şirket verisi yapıştırıyor. Bunu envanterinize almazsanız, en büyük riskiniz gözünüzün önünde ama radarınızın dışında kalıyor. KVKK'nın üretken yapay zeka rehberi de tam olarak bu senaryoyu hedefliyor.

Üçüncü hata: "bir kez uyum sağlarız, biter" sanmak. AI Act ve KVKK rehberleri yaşayan belgeler. Modeliniz güncelleniyor, kullanım senaryonuz değişiyor, regülasyon olgunlaşıyor. Uyum bir proje değil, bir süreç. Yılda en az iki kez envanterinizi ve risk sınıflandırmanızı gözden geçirin.

Uyumu tek tek gerekliliklerin peşinden koşarak yönetmek yorucu ve dağınık. İşte bu yüzden birçok kuruma bir yönetim sistemi standardını çatı olarak öneriyorum: ISO/IEC 42001, yani yapay zeka yönetim sistemi standardı. Bu standart, "her yeni regülasyon için sıfırdan başlayan" bir yapıdan, "bir kez kurulan ve sürekli iyileştirilen" bir yönetişim disiplinine geçmenizi sağlıyor.

Mantığı şu: ISO 42001, yapay zeka sistemlerinizin yaşam döngüsü boyunca risk değerlendirmesi, rol ve sorumluluk tanımı, dokümantasyon, izleme ve sürekli iyileştirme gerektiriyor. Bu gereklilikler, AI Act'in de KVKK rehberlerinin de beklediği yönetişim davranışlarıyla büyük ölçüde örtüşüyor. Yani standardı kurarken aslında iki regülatif rejimin ortak çekirdeğini de kurmuş oluyorsunuz.

Ayrıca sertifikasyonun ticari bir yüzü var. Bir Avrupalı müşteri "yapay zeka yönetişiminiz var mı?" diye sorduğunda, ISO 42001 sertifikanızı göstermek, uzun uzun açıklama yapmaktan çok daha güçlü. Sertifika, güveni standartlaştırıyor. Küçük ekipler için tam sertifikasyon başta ağır gelebilir; o durumda standardın çerçevesini bir yol haritası olarak kullanmak, sertifikayı sonraya bırakmak da tamamen makul bir yaklaşım.

Şunu net söyleyeyim: sertifika bir amaç değil, araç. Amaç, yapay zeka kullanımınızı denetlenebilir, açıklanabilir ve tekrar edilebilir bir düzene sokmak. Sertifika bunu kanıtlamanın kolay bir yolu, ama kanıtlanacak bir düzeniniz yoksa sertifikanın da anlamı olmaz.

Uyumun aciliyeti her sektörde aynı değil. Sahada gördüğüm tabloyu paylaşayım, çünkü kaynaklarınızı doğru yere yönlendirmek için bu ayrım kritik.

Finans ve sigorta en ön saftaki sektörler. Kredi skorlama, sigorta fiyatlandırması, dolandırıcılık tespiti — bunların hepsi hem AI Act'in yüksek riskli kullanım alanlarına yakın hem de KVKK'nın otomatik karar hükümlerinin tam merkezinde. Bu sektörlerdeyseniz, uyum bir "ne zaman" meselesi değil, "hemen" meselesi. Üstelik BDDK'nın kendi beklentileri de bu tablonun üzerine biniyor.

Sağlık ikinci en hassas alan. Tanı desteği, hasta triyajı, görüntü analizi gibi uygulamalar yüksek riskli kategoriye giriyor. Bir hastanenin ya da sağlık teknolojisi firmasının yapay zeka kullanımı, insan hayatına doğrudan dokunduğu için hem etik hem regülatif çıta en yüksekte.

Perakende ve e-ticaret orta bantta. Öneri sistemleri ve kişiselleştirilmiş fiyatlandırma çoğunlukla sınırlı risk kategorisinde kalıyor ama kişiselleştirme tüketici davranışını manipülasyona yaklaştığında dikkat gerekiyor. 1 Ağustos 2026'da yürürlüğe giren hedefli reklamcılık düzenlemesi de tam burayı işaret ediyor.

Üretim ve lojistik çoğunlukla daha rahat. Kestirimci bakım, kalite kontrol, rota optimizasyonu gibi uygulamalar genelde minimal riskte. Ama insan kaynakları, işe alım ve çalışan izleme tarafına geçtiğinizde her sektör aynı yüksek riskli bölgeye giriyor — çünkü bu, kişilerin haklarını doğrudan etkiliyor.

Bu tablodan çıkan pratik ders şu: sektörünüz ne olursa olsun, İK ve müşteriye dönük otomatik karar üreten sistemleriniz en önce ele almanız gereken alan. Üretim hattındaki bir optimizasyon modeli beklemeyi kaldırır; işe alımda özgeçmiş eleyen bir model kaldırmaz.

Diyelim ki ideal senaryoda değilsiniz ve bir gün Avrupalı bir iş ortağınız ya da bir müşteri, kullandığınız yapay zeka bileşenine dair resmî bir bilgi talebi gönderdi. Panik en kötü tepkidir. İyi haber şu: bilgi talebine verilen ölçülü, dürüst ve belgeli bir yanıt, çoğu zaman durumu lehinize çevirir.

Önce talebin kapsamını netleştirin: tam olarak hangi sistem, hangi kullanım, hangi veri soruluyor? Ardından envanterinizden ilgili sistemi bulun ve elinizdeki dokümantasyonu derleyin. Eksik bir şey varsa, bunu gizlemeye çalışmak yerine "şu alanda iyileştirme çalışmamız sürüyor, tahmini tamamlanma tarihi şudur" demek çok daha sağlıklı. Regülatörler ve kurumsal denetçiler, mükemmelliği değil, olgun ve iyi niyetli bir süreci ödüllendirir.

Bu yüzden envanter ve dokümantasyon bu kadar önemli. Bir bilgi talebi geldiğinde sıfırdan malzeme üretmeye çalışan firma haftalarca boğuşur; hazırlıklı firma ise mevcut belgelerini birkaç günde derleyip gönderir. Aradaki fark, bir krizle rutin bir iş arasındaki farktır. Uyum çalışmasının asıl getirisi de tam olarak budur: kötü günü sıradan bir güne çevirmek.

Bir toplantı öncesi hızlı kontrol için kullandığım kısa listeyi paylaşıyorum:

• Kullandığımız tüm yapay zeka sistemlerinin güncel bir envanteri var mı?
• Her sistem AI Act risk katmanına göre etiketlendi mi?
• Kişisel veri işleyen sistemler KVKK envanterimize/VERBİS'e yansıdı mı?
• Otomatik karar üreten her sistemde insan gözetimi ve itiraz yolu tanımlı mı?
• Tedarikçilerimizden AI Act dokümantasyonu talep ettik mi?
• Sözleşmelerimizde yapay zeka uyum maddeleri var mı?
• Çalışanların shadow AI kullanımına dair bir politikamız var mı?
• Bir yapay zeka olay müdahale prosedürümüz var mı?

Bu sekiz sorunun çoğuna "hayır" diyorsanız endişelenmeyin — çoğu firma bugün oradan başlıyor. Önemli olan, altı ay içinde bu listeyi "evet"lere çevirecek bir planınızın olması.

"Sadece dahili kullanım için yapay zeka kullanıyoruz, AB'ye bir şey satmıyoruz. Yine de mi?" AI Act açısından doğrudan pazara sunum yoksa yüksek riskli sistem yükümlülükleri sizi zorlamayabilir. Ama KVKK tarafı devrede: çalışan verisi, müşteri verisi işleyen her dahili yapay zeka aracı KVKK kapsamında. Ayrıca dahili sistemler de otomatik karar üretiyorsa (örneğin İK'da özgeçmiş eleme), KVKK 11. madde ve ayrımcılık riskleri gündeme gelir.

"Açık kaynak bir modeli fine-tune ediyoruz. Sağlayıcı mı olduk?" Duruma bağlı. Yaptığınız değişikliğin ölçeği, modeli yeniden piyasaya sunup sunmadığınız ve dağıtım biçiminiz belirleyici. Sadece kendi içinizde kullanmak için hafif bir fine-tune ile, modeli yeni bir GPAI olarak topluluğa dağıtmak çok farklı şeyler. Şüpheye düşerseniz, değişikliğinizin niteliğini bir hukukçuyla birlikte değerlendirin.

"KVKK rehberleri bağlayıcı değilse neden umursayayım?" Çünkü rehber, Kurul'un denetimde neye bakacağının haritasıdır. Bağlayıcı olmaması, "görmezden gelebilirsiniz" demek değil; "henüz ceza maddesi değil ama beklenti bu yönde" demek. Rehbere uygun davranan firma, bir denetimde iyi niyet ve özen göstermiş sayılır.

"Bütçemiz kısıtlı, nereden başlamalıyız?" Envanterden. Hiçbir şeye para harcamadan, sadece "elimizde hangi yapay zeka sistemleri var, hangi veriyi işliyor, hangi karar alıyor" sorusunu cevaplayın. Görünürlük, uyumun en ucuz ve en yüksek getirili ilk adımıdır.

2 Ağustos 2026'da değişen şey, regülasyonun metni değil; regülatörün elindeki araçlardı. GPAI sağlayıcılarına karşı denetim ve ceza yetkileri artık aktif ve bu, tedarik zinciri boyunca sizin masanıza da yansıyacak. Türk şirketleri için doğru okuma şu: doğrudan GPAI sağlayıcısı olmasanız bile, AB pazarına dokunduğunuz her noktada ve her Avrupalı müşteri sözleşmesinde bu çerçeve karşınıza çıkacak. Buna ek olarak KVKK, kendi rehberleriyle otomatik karar süreçlerine ve üretken yapay zeka kullanımına giderek daha net bir çerçeve çiziyor.

En pratik hamle, iki rejimi ortak bir yönetişim çekirdeği altında birleştirip önümüzdeki 90 günde görünürlük-sınıflandırma-boşluk kapatma döngüsünü tamamlamak. Bunu bugün başlatan firma, altı ay sonra Avrupalı müşterisinin uyum sorusuna hazırlıksız yakalanmayacak; başlatmayan ise ya ihaleyi kaybedecek ya da son dakikada çok daha pahalıya telafi etmeye çalışacak. Regülasyonun dişleri artık gerçek; ama iyi haber şu ki, ne yapmanız gerektiği de artık gerçekten net.