# EU AI Act 2 Ağustos 2026: GPAI Yaptırımları ve Madde 50 Şeffaflık Yürürlükte

> Source: https://sukruyusufkaya.com/blog/eu-ai-act-gpai-yaptirim-madde-50-seffaflik-2026
> Updated: 2026-08-05T01:47:02.437Z
> Type: blog
> Category: yapay-zeka
**TLDR:** 2 Ağustos 2026 itibarıyla EU AI Act GPAI yaptırım yetkileri ve Madde 50 şeffaflık kuralları devrede. Türk şirketleri için ne değişti, kim kapsamda ve 90 günlük eylem listesi.

**TL;DR —** 2 Ağustos 2026, yapay zeka regülasyonunda "kağıt üstündeki kural" döneminin bittiği, "denetim ve para cezası" döneminin başladığı gündür. EU AI Act'in genel amaçlı yapay zeka (GPAI) modelleri için yaptırım yetkileri bu tarihte devreye girdi; Avrupa Komisyonu bünyesindeki AI Office artık dokümantasyon isteyebiliyor, teknik değerlendirme yapabiliyor, modeli piyasadan çekebiliyor ve küresel cironun %3'üne veya 15 milyon euroya kadar (hangisi yüksekse) ceza kesebiliyor. Aynı gün Madde 50 şeffaflık yükümlülükleri de yürürlüğe girdi: chatbot'lar konuşmanın başında kendini YZ olarak tanıtmak, üretilen içerik ise makine-okunur etiket taşımak zorunda. Türkiye'de yerleşik ama Avrupa'ya hizmet veren şirketler için bu, "beni ilgilendirmez" denilebilecek bir konu değil. Bu yazıda ne değiştiğini, kimin kapsamda olduğunu, GPAI sağlayıcılarının somut yükümlülüklerini ve önümüzdeki 90 gün için adım adım bir eylem listesini paylaşıyorum.

## 2 Ağustos 2026'da tam olarak ne oldu?

Sahada çok sık duyduğum bir cümle var: "AI Act zaten 2024'te çıkmadı mı, yeni bir şey mi oldu?" Evet, çıktı; ama bir yasanın metninin yayımlanması ile o yasanın sizi gerçekten bağlaması arasında ciddi bir fark var. EU AI Act kademeli bir takvimle yürürlüğe giriyor. GPAI modelleri için maddi yükümlülükler aslında 2 Ağustos 2025'ten beri geçerliydi; yani teknik dokümantasyon, telif ve eğitim verisi özeti, sistemik riskli modeller için ek değerlendirme gibi gereklilikler bir yıldır yazılıydı. Ancak AI Office'in bu yükümlülükleri zorlayacak yetkileri kasıtlı olarak bir yıl askıya alınmıştı. Amaç, hem sağlayıcılara hem de düzenleyici kuruma operasyonel hazırlık için zaman tanımaktı.

O bir yıllık nezaket dönemi 2 Ağustos 2026'da sona erdi. Artık AI Office resmi olarak soruşturma açabilir, teknik değerlendirme çalıştırabilir, uyum ve risk azaltma önlemleri talep edebilir ve gerekirse bir modeli Avrupa pazarından kısıtlayabilir veya çekebilir. Bir başka deyişle: kural değişmedi, kuralın arkasındaki güç değişti. Sahadan bir benzetmeyle anlatayım — trafik kuralları bir yıldır levhalarda asılıydı ama radar kapalıydı; 2 Ağustos'ta radar açıldı. Ve radar açıldığında, "biz bunu bilmiyorduk" savunması hukuken artık işe yaramıyor.

Bir de zamanlamanın psikolojik boyutu var. Regülasyonun yaptırımsız olduğu dönemde çoğu şirket işi "gelecek çeyreğe" erteler. Yaptırım tarihi geldiğinde ise bir anda herkes aynı hafta harekete geçmeye çalışır, danışmanlar dolar, hukuk ekipleri boğulur. Bu yüzden en akıllı hamle, dalganın gerisinde değil önünde olmaktır.

## Para cezaları: rakamlar neden bu kadar önemli?

GPAI yükümlülüklerinin ihlali için üst sınır, küresel yıllık cironun %3'ü veya 15 milyon euro — hangisi yüksekse. Bu rakamı bir an için sindirin. Yasağa giren uygulamalar (örneğin sosyal skorlama, bilinçaltı manipülasyon, iş yerinde duygu tanıma gibi) için ceza tavanı daha da yüksek: cironun %7'sine veya 35 milyon euroya kadar çıkıyor. Yüksek riskli sistem yükümlülüklerinin ihlali ise %3 / 15 milyon euro bandında. Yetkiliye yanlış veya yanıltıcı bilgi vermek bile ayrı bir ceza kalemi.

Neden bu kadar üzerinde duruyorum? Çünkü GDPR deneyiminden biliyoruz ki ciro-bazlı ceza yapısı, uyumu bir "hukuk departmanı formalitesi" olmaktan çıkarıp yönetim kurulu gündemine taşıyor. %3'lük bir ceza, çoğu şirket için o yılki net kârın tamamını silip süpürebilecek büyüklükte. CFO'nun ve CEO'nun bu tabloyu görmesi, YZ yönetişimine ayrılan bütçenin bir anda ciddiye alınmasını sağlıyor. Bir başka deyişle, yaptırım yetkisi sadece bir hukuk konusu değil; kaynak tahsisini ve önceliklendirmeyi değiştiren bir kaldıraç.

> Uyum maliyeti her zaman ihlal maliyetinden ucuzdur; sorun şu ki uyum maliyeti bugün, ihlal maliyeti belirsiz bir gelecekte görünür. Yaptırım yetkisinin devreye girmesi, o "belirsiz gelecek"i "önümüzdeki denetim döngüsü"ne çeviriyor.

## GPAI sağlayıcılarının somut yükümlülükleri

Peki bir GPAI modelini Avrupa pazarına sunuyorsanız somut olarak ne yapmanız gerekiyor? Dört ana başlık var. Birincisi teknik dokümantasyon: modelin mimarisi, eğitim süreci, yetenekleri ve sınırlılıkları hakkında hem otoriteye hem de modeli entegre eden aşağı akış geliştiricilere sunulmak üzere hazırlanmış belgeler. İkincisi telif hakkı politikası: AB telif hukukuna, özellikle metin ve veri madenciliği istisnalarına uyum sağlayan yazılı bir politika. Üçüncüsü eğitim verisi özeti: modelin eğitiminde kullanılan içeriğin AI Office'in yayımladığı şablona uygun, yeterince ayrıntılı bir kamuya açık özeti. Dördüncüsü aşağı akış şeffaflığı: modeli kullanacak geliştiricilerin kendi uyumlarını sağlayabilmesi için gerekli bilgiyi paylaşmak.

Bu yükümlülükleri operasyonel hale getirmenin pratik yolu, AI Office'in koordine ettiği Genel Amaçlı YZ Uygulama Kuralları'na (Code of Practice) katılmaktır. Bu gönüllü kurallar, yasaya uyumun somut bir yolunu gösteriyor ve imzalayan sağlayıcılara denetimde daha öngörülebilir bir zemin sunuyor. İmzalamamak bir suç değil, ama o zaman uyumu başka bir yolla kanıtlamak size kalıyor — ki bu genellikle daha zahmetli.

## Sistemik riskli modeller: ek yük

Tüm GPAI modelleri aynı kefede değil. Belirli bir hesaplama eşiğini aşan (eğitimde kullanılan toplam işlem gücüyle ölçülen) veya AI Office tarafından öyle sınıflandırılan modeller "sistemik risk" taşıyan modeller kategorisine giriyor. Bunlar için ek yükümlülükler var: en gelişmiş yöntemlerle model değerlendirmesi ve saldırı testi (adversarial testing / red-teaming), sistemik risklerin belgelenip azaltılması, ciddi olayların AI Office'e raporlanması ve yeterli siber güvenlik koruması.

Türkiye'deki çoğu şirket bir "sistemik riskli temel model" geliştirmiyor olabilir; büyük ihtimalle bu modelleri kullanan taraftasınız. Ama bu ayrımı bilmek önemli, çünkü tedarikçinizin hangi kategoride olduğu, sizin ondan talep edebileceğiniz dokümantasyonu ve garantileri belirliyor. Bir modeli entegre ederken sağlayıcıdan "AI Act GPAI yükümlülüklerine uyum" taahhüdü istemek, artık sözleşme müzakerelerinin standart bir maddesi olmalı.

## Madde 50: şeffaflık artık opsiyonel değil

2 Ağustos'un ikinci büyük başlığı Madde 50 şeffaflık yükümlülükleri. Bu madde doğrudan son kullanıcıyla temas eden ürünleri ilgilendirdiği için, teknik ekiplerin en hızlı aksiyon alması gereken alan burası. Üç temel gereklilik var.

Birincisi, doğrudan insanlarla etkileşen YZ sistemleri — yani chatbot'lar, sesli asistanlar — kullanıcıya bir YZ ile konuştuğunu açıkça bildirmek zorunda. "Açık şekilde belli olduğu" durumlar istisna; ama pratikte çoğu üründe bir açılış bildirimi eklemek en güvenli yol. İkincisi, YZ tarafından üretilen veya değiştirilen görsel, ses ve video içerik — deepfake'ler dahil — makine-okunur bir formatta işaretlenmeli. Bu, watermark ve içerik kimlik bilgisi (content credentials, C2PA benzeri) standartlarının neden bu yıl bu kadar önem kazandığını açıklıyor. Üçüncüsü, kamuyu ilgilendiren konularda yayımlanan YZ-üretimi metinler için de benzer açıklama yükümlülükleri geliyor.

Bir sinevizyon örneği düşünün: müşteri hizmetleri chatbot'unuz, kullanıcı "sen insan mısın?" diye sormadan önce kendini tanıtmıyorsa, artık bu bir uyum açığı. İyi haber şu ki bu maddeyi karşılamak teknik olarak en kolay iş; kötü haber şu ki denetimde en görünür olan da bu. Bir müfettiş sizin karmaşık model dokümantasyonunuzu incelemeden önce, chatbot'unuzu açıp ilk ekranda bir bildirim olup olmadığına bakar.

### Madde 50'nin pratik karşılığı

| Ürün bileşeni | Eski durum | 2 Ağustos 2026 sonrası |
|---|---|---|
| Müşteri chatbot'u | Bildirim opsiyonel | Açılışta "YZ asistanı" bildirimi zorunlu |
| Üretilen görsel/video | Etiket keyfi | Makine-okunur etiket zorunlu |
| Sesli asistan | Ses uyarısı yok | YZ olduğu bilgisi verilmeli |
| Otomatik içerik üretimi | Açıklama yok | Kamuya açık içerikte açıklama |
| Deepfake içerik | Kısıtsız | İşaretleme ve ifşa zorunlu |

## Kim kapsamda? "Türkiye'de yerleşiğim" bahane değil

En çok karıştırılan nokta bu. EU AI Act'in kapsamı coğrafi olarak nerede kurulu olduğunuzla değil, çıktınızın Avrupa Birliği'nde kullanılıp kullanılmadığıyla belirleniyor — tıpkı GDPR'daki gibi. Yani İstanbul'da bir SaaS şirketiyseniz ve ürününüz bir Alman müşterinin çalışanları tarafından kullanılıyorsa, kapsamdasınız. Bir GPAI modelini Avrupa pazarına sunuyorsanız sağlayıcı (provider); başkasının modelini kendi ürününüzde kullanıyorsanız dağıtıcı/uygulayıcı (deployer) rolündesiniz ve her rolün ayrı yükümlülükleri var.

Türk ihracatçılar, özellikle Avrupa'ya yazılım ve hizmet satan teknoloji şirketleri için pratik sonuç şu: müşteri sözleşmelerinde artık "AI Act uyumu" bir tedarikçi değerlendirme kriteri haline geliyor. Avrupalı alıcı, kendi uyum zincirini koruyabilmek için sizden dokümantasyon, şeffaflık taahhüdü ve risk sınıflandırması isteyecek. Yani ceza riski doğrudan size gelmese bile, ticari baskı tedarik zinciri üzerinden ulaşıyor. Bir Avrupalı bankaya yazılım satan bir Türk fintech'i düşünün: alıcının satın alma ekibi, uyum dokümantasyonunuz olmadan sözleşmeyi hukuk onayından geçiremiyor. İşte regülasyonun ticari gerçekliğe dönüştüğü an tam olarak burası.

## Sıkça yapılan beş yanlış

Sahada aynı yanlış anlamaları defalarca duyuyorum, kısaca düzeltelim. Birinci yanlış: "Biz sadece hazır modeli kullanıyoruz, yükümlülük sağlayıcıda." Kısmen doğru; ama dağıtıcı olarak sizin de şeffaflık ve amaca uygun kullanım yükümlülükleriniz var. İkinci yanlış: "Küçük şirketiz, muaf sayılırız." KOBİ'ler için bazı hafifletmeler var ama tam muafiyet yok. Üçüncü yanlış: "Modelimiz açık kaynak, kapsam dışıyız." Açık kaynak modeller için bazı istisnalar var, ama sistemik risk taşıyan modeller ve Madde 50 için bu istisnalar geçerli değil.

Dördüncü yanlış: "Chatbot'a bir satır 'bu bir YZ' yazınca iş biter." Şeffaflık maddesi bir başlangıç; asıl yük, yüksek riskli kullanımlarda dokümantasyon ve yönetişimde. Beşinci yanlış: "Yaptırım büyük Amerikan şirketlerini hedefler, bizi değil." AI Office'in ilk hedefleri büyük sağlayıcılar olabilir, ama tedarik zinciri denetimleri ve Avrupalı müşterilerin sözleşme talepleri, baskıyı hızla küçük tedarikçilere de yayıyor.

## Bir e-ticaret senaryosu: baştan sona

Somutlaştıralım. Diyelim ki Avrupa'ya da satış yapan bir Türk e-ticaret şirketisiniz ve sitenizde üç YZ bileşeni var: bir ürün-öneri chatbot'u, YZ ile üretilen ürün görselleri ve otomatik yazılan ürün açıklamaları. 2 Ağustos sonrası her biri için ne yapmanız gerekir?

Chatbot için: açılışta net bir "YZ asistanıyla konuşuyorsunuz" bildirimi ve insana devir seçeneği. Üretilen görseller için: makine-okunur içerik kimlik etiketi ve, eğer gerçek bir kişinin görüntüsü işleniyorsa, hem AI Act hem de 1 Ağustos'ta yürürlüğe giren Türk reklam mevzuatı gereği ifşa. Otomatik açıklamalar için: yanıltıcı iddialardan kaçınma ve gerektiğinde YZ-üretimi olduğunun belirtilmesi. Bir de bunların hepsinin bir envanterde kayıtlı, sorumlusu belli ve gözden geçirme döngüsüne bağlı olması gerekiyor. Görüldüğü gibi tek bir "uyum projesi" değil; ürünün DNA'sına işlenmiş bir çalışma biçimi.

## Ölçüm: uyumu nasıl takip edersiniz?

"Ölçemediğiniz şeyi yönetemezsiniz" klişesi burada da geçerli. Uyumu bir kerelik proje değil, sürekli izlenen bir durum olarak ele almalısınız. İzlemenizi öneririm: envanterdeki YZ sistemlerinin yüzde kaçı risk-sınıflandırılmış, yüzde kaçının güncel teknik dokümantasyonu var, Madde 50 gerektiren yüzeylerin yüzde kaçında bildirim uygulanmış, tedarikçilerin yüzde kaçından uyum taahhüdü alınmış, ciddi olay raporlama süreci tanımlı mı. Bu birkaç metrik, yönetim kuruluna tek bir slaytta uyum olgunluğunuzu gösterir.

## Bu tablo aslında bir fırsat

Yıllardır kurumlarla çalışırken gördüğüm en tutarlı örüntü şu: regülasyonu bir maliyet merkezi olarak gören şirketler ile bir güven avantajı olarak gören şirketler arasındaki fark, birkaç yıl içinde ölçülebilir bir pazar payı farkına dönüşüyor. Avrupalı bir alıcı iki tedarikçi arasında seçim yaparken, biri "AI Act uyumunu belgeleyebiliyorum, şeffaflık taahhüdüm hazır, denetim izim tam" diyorsa, diğeri "biz henüz bakmadık" diyorsa — sözleşmenin kime gideceği bellidir.

2 Ağustos 2026 sadece bir yaptırım tarihi değil; aynı zamanda YZ'de güveni ticari bir diferansiyatöre çeviren eşiğin adı. Envanterinizi bu hafta çıkarmaya, Madde 50 hızlı kazanımlarını bu ay uygulamaya ve tedarikçi taahhütlerini bir sonraki sözleşme döngüsünde talep etmeye başlarsanız, önümüzdeki denetim döngüsüne hazırlıklı girer, hatta bunu bir satış argümanına dönüştürürsünüz. Regülasyon dalgası geliyor; sörf tahtasına çıkmak ile dalganın altında kalmak arasındaki fark, bugün attığınız adımlarda gizli.