# EU AI Act GPAI Yaptırımları 2 Ağustos 2026'da Başlıyor: Türk Şirketleri İçin Ne Değişiyor?

> Source: https://sukruyusufkaya.com/blog/eu-ai-act-gpai-yaptirimlari-2-agustos-2026
> Updated: 2026-07-24T16:46:30.017Z
> Type: blog
> Category: yapay-zeka
**TLDR:** 2 Ağustos 2026'da GPAI yaptırım yetkileri devreye giriyor. Türk şirketleri için kapsam, sağlayıcı-dağıtıcı ayrımı, şeffaflık ödevleri ve somut uyum kontrol listesi.

**TL;DR —** 2 Ağustos 2026'da Avrupa Komisyonu'nun genel amaçlı yapay zekâ (GPAI) sağlayıcıları üzerindeki denetim ve yaptırım yetkileri fiilen devreye giriyor. GPAI yükümlülükleri aslında 2 Ağustos 2025'ten beri yürürlükteydi; ama Komisyon'un belge isteme, değerlendirme yapma, önlem talep etme ve para cezası kesme gücü bu tarihte "uygulanabilir" hâle geliyor. Ceza tavanı ciddi: küresel yıllık cironun %3'ü veya 15 milyon avro (hangisi yüksekse). 16 Haziran 2026'da Avrupa Parlamentosu yüksek riskli sistemlerin çoğunu Aralık 2027 ve Ağustos 2028'e erteledi; fakat Madde 50 şeffaflık ödevleri (sohbet botu bildirimi, yapay içerik işaretleme, deepfake etiketleme) ertelenmedi. Bu yazıda GPAI sağlayıcı ile dağıtıcı ayrımını, Uygulama Kuralları'nı (Code of Practice), eğitim verisi özeti ve telif ödevlerini ve Türk şirketleri için somut bir uyum kontrol listesini sahadan gözlemlerimle anlatıyorum.

## Neden bu tarih önemli, neden şimdi yazıyorum

Son aylarda sahada en çok aldığım soru şu oldu: "Hocam biz Türkiye'deyiz, EU AI Act bizi neden ilgilendirsin?" Bu soruyu bir ihracatçı tekstil grubunun IT müdüründen de duydum, İstanbul'da bir SaaS kurucusundan da. Ben de her seferinde aynı cevabı veriyorum: Düzenleme coğrafi sınıra değil, pazara bakıyor. Ürününüz ya da modeliniz Avrupa Birliği pazarına giriyorsa, merkeziniz nerede olursa olsun kapsamdasınız. Tıpkı GDPR'da olduğu gibi, burada da "nerede kurulusunuz" değil "kime hizmet veriyorsunuz" sorusu belirleyici.

2 Ağustos 2026 bu yüzden bir dönüm noktası. Metnin kâğıt üstünde durduğu bir dönemden, Komisyon'un fiilen kapı çalabileceği bir döneme geçiyoruz. Gördüğüm kadarıyla Türkiye'deki çoğu şirket AI Act'i hâlâ "2027-2028 sorunu" olarak görüyor. Oysa GPAI cephesinde saat çoktan işlemeye başladı. Bu yazıyı, panik yaratmak için değil, önümüzdeki 12 ayda somut olarak ne yapmanız gerektiğini netleştirmek için yazıyorum.

## Kısa bir takvim: Neyin ne zaman yürürlüğe girdiğini karıştırmayalım

AI Act kademeli yürürlüğe giren bir metin. Sahada en çok kafa karışıklığı tam da bu kademelilikten çıkıyor, o yüzden önce net bir zaman çizelgesi koyalım.

| Tarih | Ne oluyor |
|---|---|
| 1 Ağustos 2024 | AI Act yürürlüğe girdi (Official Journal'da yayımlandıktan sonra) |
| 2 Şubat 2025 | Yasaklı uygulamalar (kabul edilemez risk) ve yapay zekâ okuryazarlığı yükümlülükleri başladı |
| 2 Ağustos 2025 | GPAI sağlayıcıları için yükümlülükler yürürlüğe girdi; yönetişim yapısı (AI Office) kuruldu |
| 2 Ağustos 2026 | Komisyon'un GPAI üzerindeki denetim ve yaptırım yetkileri uygulanabilir hâle geliyor |
| 2 Ağustos 2027 | 2 Ağustos 2025'ten önce piyasaya sürülmüş GPAI modellerinin uyumlu olması için son tarih |
| Aralık 2027 / Ağustos 2028 | 16 Haziran 2026 değişikliğiyle yüksek riskli sistemlerin çoğu bu tarihlere ötelendi |

Bu tablodaki en kritik satır ortadaki. GPAI ödevleri bir yıldır kâğıt üzerinde vardı ama arkasında "diş" yoktu. 2 Ağustos 2026'dan itibaren o dişler takılıyor. Yani "yükümlülük vardı ama kimse denetlemiyordu" dönemi bitiyor.

## Komisyon 2 Ağustos 2026'dan sonra tam olarak ne yapabilecek?

Burada somut olalım, çünkü "yaptırım geliyor" cümlesi tek başına soyut kalıyor. AI Office üzerinden Komisyon'un eline geçen yetkiler şunlar:

- **Belge ve bilgi talep etme:** Sağlayıcıdan teknik dokümantasyon, model kartı, eğitim süreçlerine dair bilgi ve risk değerlendirmelerini isteyebilir. Bu, en sık kullanılacak yetki olacak.
- **Değerlendirme (evaluation) yapma:** Bağımsız uzmanlar aracılığıyla modeli test edebilir, kırmızı takım (red-teaming) çalışmaları yürütebilir. Sistemik riskli modeller için bu daha yoğun olacak.
- **Önlem talep etme:** Uyum sağlanmasını, riskin azaltılmasını, hatta gerekirse modelin pazardan kısıtlanmasını, geri çağrılmasını (recall) veya piyasadan çekilmesini (withdrawal) isteyebilir.
- **Para cezası kesme:** Madde 101 uyarınca GPAI sağlayıcıları için ceza tavanı, küresel yıllık cironun %3'ü veya 15 milyon avro; hangisi yüksekse o uygulanır.

Bu yetkiler yalnızca "sistemik riskli" büyük modellere değil, kural olarak tüm GPAI sağlayıcılarına dönük. Sistemik risk eşiğini aşan modeller (kabaca çok yüksek eğitim hesaplama gücüyle eğitilmiş amiral gemisi modeller) için ek yükümlülükler var; ama temel şeffaflık ve dokümantasyon ödevleri her GPAI sağlayıcısını bağlıyor.

Benim sahada gördüğüm en büyük yanlış anlama şu: İnsanlar cezanın yalnızca OpenAI, Google, Anthropic gibi dev laboratuvarlar için olduğunu sanıyor. Doğrusu şu ki, açık ağırlıklı (open-weight) bir modeli alıp ince ayar (fine-tuning) yaparak Avrupa pazarına kendi markanızla sunuyorsanız, belirli koşullarda siz de "sağlayıcı" konumuna geçebilirsiniz. Bu ayrımı bir sonraki başlıkta açayım, çünkü Türk şirketleri için asıl kritik nokta burası.

## GPAI "sağlayıcı" mı, "dağıtıcı" mı? En kritik ayrım

AI Act'in bütün yükümlülük mimarisi, sizin zincirin neresinde durduğunuza göre değişir. İki temel rol var ve aralarındaki fark, hangi ödevlerin size düştüğünü belirliyor.

**Sağlayıcı (provider):** Bir GPAI modelini geliştiren veya geliştirtip kendi adıyla/markası altında piyasaya süren taraf. Modeli sıfırdan eğiten laboratuvarlar buraya girer. Ama dikkat: Bir başkasının modelini alıp **kayda değer** bir değişiklik yapıp (örneğin ciddi bir yeniden eğitim, mimari değişiklik, önemli bir ince ayar) kendi markanızla sunarsanız, bu değişiklik açısından siz de sağlayıcı sayılabilirsiniz.

**Dağıtıcı / uygulayıcı (deployer):** Modeli kendi iş süreçlerinde kullanan taraf. Örneğin bir bankanın müşteri hizmetleri botunda hazır bir modeli kullanması. Deployer'ların ödevleri sağlayıcılara göre daha hafiftir ama sıfır değildir — özellikle şeffaflık (Madde 50) ve yüksek riskli kullanımlarda insan gözetimi ödevleri devreye girer.

Türk şirketlerinin çoğu ilk bakışta "biz sadece kullanıyoruz, dağıtıcıyız" diye rahatlıyor. Ama gördüğüm gerçek manzara daha karmaşık:

- Bir yazılım şirketi, açık kaynak bir modeli alıp kendi verisiyle ince ayar yapıp "kendi AI ürünümüz" diye Avrupalı müşterilere satıyorsa — burada sağlayıcı sorumluluğuna kayma riski yüksek.
- Bir startup, bir modeli API üzerinden çağırıp üstüne kendi katmanını koyup Avrupa'da SaaS olarak sunuyorsa — model açısından çoğunlukla dağıtıcı, ama sundukları AI sistemi açısından başka yükümlülükleri (özellikle şeffaflık) doğuyor.
- Sadece dahili kullanım için, Avrupa pazarına hiç dokunmadan bir modeli kullanan bir şirket — AI Act'in GPAI cephesinden büyük ölçüde uzakta; ama KVKK tarafını unutmamak lazım.

Sahada verdiğim tavsiye net: Rolünüzü varsayımla değil, hukuki görüşle netleştirin. "Biz dağıtıcıyız herhalde" cümlesi, denetimde işinize yaramaz.

## GPAI Uygulama Kuralları (Code of Practice) neden işinize yarar

2 Ağustos 2025 civarında yayımlanan GPAI Uygulama Kuralları (Code of Practice), gönüllü bir araç ama son derece pratik. Neden mi önemli? Çünkü bu kurallara uyum, yükümlülüklerinizi yerine getirdiğinizi göstermenin en kolay yolu olarak konumlandırıldı — bir tür "güvenli liman" mantığı. Kurallar üç ana başlıkta ilerliyor:

1. **Şeffaflık:** Model hakkında standart bir dokümantasyon seti (model kartı benzeri) hazırlamak; modelin yeteneklerini, sınırlarını ve amaçlanan kullanımını açıklamak.
2. **Telif hakkı:** AB telif mevzuatına uyum için bir politika benimsemek; metin ve veri madenciliği (TDM) istisnalarındaki "opt-out" haklarına saygı göstermek.
3. **Güvenlik ve emniyet:** Yalnızca sistemik riskli modeller için — sistemik risklerin değerlendirilmesi, azaltılması ve raporlanması.

Benim önerim şu: Kendi modelinizi üretiyorsanız veya kayda değer ince ayar yapıyorsanız, Code of Practice'i bir kontrol listesi gibi kullanın. İmzalamasanız bile içindeki dokümantasyon şablonları, işinizi denetim anında ciddi biçimde kolaylaştırır.

## Şeffaflık ödevleri ertelenmedi — Madde 50'yi hafife almayın

16 Haziran 2026 değişikliğinin en çok yanlış okunan tarafı bu. Evet, Parlamento yüksek riskli sistemlerin çoğunu Aralık 2027 ve Ağustos 2028'e öteledi. Ama Madde 50 şeffaflık ödevleri bu ertelemenin **dışında** kaldı. Yani bunlar ötelenmedi, yürürlükte.

Madde 50 pratikte şunları istiyor:

- **Sohbet botu bildirimi:** Kullanıcı bir yapay zekâ sistemiyle etkileşimde olduğunu bilmeli. "Karşınızda bir insan var" izlenimi vermek yasak; botun bot olduğu açıkça belirtilmeli.
- **Yapay içerik işaretleme:** Yapay zekâ tarafından üretilen metin, görsel, ses ve video makine tarafından okunabilir biçimde işaretlenmeli (örneğin filigran / meta veri).
- **Deepfake etiketleme:** Gerçek kişilere, yerlere veya olaylara benzeyen sentetik içerik açıkça "yapay olarak üretilmiş/değiştirilmiş" diye etiketlenmeli.

Bunlar Türk şirketlerini doğrudan ilgilendiriyor, çünkü çoğu şirketin Avrupa'ya dokunan ilk yapay zekâ ürünü tam olarak bir sohbet botu ya da içerik üretim aracı oluyor. Gördüğüm kadarıyla en çok atlanan nokta deepfake ve sentetik içerik etiketlemesi — pazarlama ekipleri yapay görsel üretiyor ama işaretleme adımını hiç düşünmüyor. Bu, düşük asılı bir meyve gibi görünüyor ama denetimde ilk bakılacak yerlerden biri olacak.

## Piyasada zaten olan modeller ne olacak? 2 Ağustos 2027

Bir başka sık soru: "Biz zaten 2025'ten önce bir model kullanmaya başladık, geriye dönük sorumlu muyuz?" Cevap nüanslı. 2 Ağustos 2025'ten önce piyasaya sürülmüş GPAI modelleri için uyum son tarihi 2 Ağustos 2027. Yani bu modellerin sağlayıcılarına iki yıllık bir geçiş penceresi tanındı. Bu, kullanıcı tarafındaki sizi de dolaylı etkiliyor: Tedarikçinizin bu tarihe kadar uyumlu hâle geleceğinden emin olmalısınız. Sözleşmelerinize bunu bir taahhüt olarak eklemenizi öneririm.

## Türkiye bağlamı: KVKK'nın iki rehberi ve neden okumalısınız

AI Act'i konuşurken Türkiye tarafını atlamak büyük hata olur. KVKK (Kişisel Verileri Koruma Kurumu) son dönemde iki önemli rehber yayımladı ve ben bunları sahada mutlaka masaya koyuyorum:

- **Üretken Yapay Zekâ Rehberi (24 Kasım 2025):** Üretken yapay zekâ sistemlerinde kişisel veri işlenirken dikkat edilmesi gereken ilkeleri açıklıyor — veri minimizasyonu, aydınlatma yükümlülüğü, amaçla bağlılık, otomatik karar verme.
- **Agentic (Etmen Tabanlı) Yapay Zekâ Rehberi (12 Mart 2026):** Otonom kararlar alıp eyleme geçen ajan sistemlerinde sorumluluk, denetlenebilirlik ve insan gözetimi konularını ele alıyor.

Bu rehberler **bağlayıcı mevzuat değil**; Kurum'un beklentilerini ve yorumunu yansıtan yol gösterici belgeler. Ama benim tecrübem şu: Kurum bir rehber yayımladığında, ilerideki denetimlerin çerçevesini de büyük ölçüde çizmiş oluyor. Yani bugün "tavsiye" olan, yarın fiili beklenti hâline geliyor. O yüzden bu iki rehberi "opsiyonel okuma" değil, "uyum yol haritanızın parçası" olarak görün.

İki mevzuatı üst üste koyduğumuzda çıkan resim şu: AI Act ürün güvenliği ve pazar erişimi eksenli; KVKK kişisel veri koruması eksenli. Bir Avrupa'ya satan Türk şirketi için ikisi aynı anda geçerli. AI Act şeffaflık istiyor, KVKK aydınlatma ve hukuki dayanak istiyor. İyi haber: İki çerçeve büyük ölçüde örtüşüyor. Bir kez düzgün bir yönetişim kurarsanız, her iki tarafı da büyük ölçüde karşılarsınız.

## Türk şirketleri için somut uyum kontrol listesi

Şimdi işin en pratik kısmına gelelim. Aşağıdaki adımları, sahada birlikte çalıştığım ekiplere verdiğim sırayla dizdim. Bunu önümüzdeki 12 aya yaymanız mümkün, ama başlamak için doğru zaman şu an.

**1. Kapsam tespiti (bu ay yapın).**
- Avrupa Birliği pazarına dokunuyor musunuz? Müşteriniz, kullanıcınız ya da veri özneleriniz AB'de mi?
- Zincirdeki rolünüz ne: Sağlayıcı mı, dağıtıcı mı, yoksa duruma göre ikisi de mi?
- Hangi modelleri kullanıyorsunuz ve bunlar GPAI mı? Bir envanter çıkarın.

**2. Rol netleştirme (hukuki görüş alın).**
- İnce ayar yapıyorsanız, "kayda değer değişiklik" eşiğini aşıp aşmadığınızı değerlendirin.
- Kendi markanızla sunuyorsanız sağlayıcı sorumluluğu riskini masaya yatırın.

**3. Dokümantasyon setini hazırlayın.**
- Kullandığınız/geliştirdiğiniz her model için bir **model kartı** oluşturun: yetenekler, sınırlar, amaçlanan kullanım, bilinen riskler, değerlendirme sonuçları.
- Sağlayıcıysanız teknik dokümantasyonu ve **eğitim verisi özetini** (training data summary) hazırlayın — AI Office'in yayımladığı şablona uygun biçimde.
- Telif politikanızı yazılı hâle getirin; TDM opt-out süreçlerini nasıl yönettiğinizi belgeleyin.

**4. Şeffaflık kontrollerini bugün devreye alın (Madde 50 ertelenmedi).**
- Sohbet botlarınıza "yapay zekâ ile konuşuyorsunuz" bildirimini ekleyin.
- Yapay içerik üreten tüm akışlara makine-okunur işaretleme koyun.
- Deepfake / sentetik medya etiketleme sürecini pazarlama ve içerik ekiplerine benimsetin.

**5. Olay bildirimi (incident reporting) sürecini kurun.**
- Ciddi olayları ve arızaları tespit edip raporlayacak bir iç süreç tanımlayın.
- Kimin, hangi sürede, kime bildireceğini yazılı hâle getirin. Denetimde "süreciniz var mı?" sorusuna "evet, şurada" diyebilmelisiniz.

**6. AB yetkili temsilcisi (authorized representative) atayın.**
- AB'de yerleşik olmayan GPAI sağlayıcılarının, Birlik içinde yetkili bir temsilci ataması gerekiyor. Avrupa'ya model sunuyorsanız bunu erkenden çözün; son ana bırakılan temsilci ataması sözleşmesel gecikmelere yol açıyor.

**7. Sözleşmelerinizi güncelleyin.**
- Tedarikçi (upstream model sağlayıcısı) sözleşmelerine uyum taahhütleri ve dokümantasyon paylaşımı maddeleri ekleyin.
- Müşteri sözleşmelerinde rol ve sorumluluk dağılımını netleştirin.

**8. Yapay zekâ okuryazarlığı (AI literacy) yükümlülüğünü unutmayın.**
- Şubat 2025'ten beri yürürlükte olan bu ödev, personelinizin yapay zekâ sistemlerini yeterli bilgiyle kullanmasını gerektiriyor. Basit ama düzenli bir eğitim programı bunu karşılar.

## Sık yapılan hatalar: Sahadan gözlemlerim

Aynı hataları farklı şirketlerde tekrar tekrar görüyorum. Sizinle paylaşayım ki tuzağa düşmeyin:

- **"Biz Türkiye'deyiz, kapsamda değiliz" rahatlığı.** Pazar odaklı düzenlemede coğrafya sizi kurtarmaz. Avrupa'ya satıyorsanız kapsamdasınız.
- **Erteleme haberini yanlış okumak.** "Yüksek riskli sistemler ertelendi" haberini görüp "her şey ertelendi" diye anlamak. GPAI yaptırımları ve Madde 50 şeffaflığı ertelenmedi.
- **Rolü varsayımla belirlemek.** "Herhalde dağıtıcıyız" demek. İnce ayar yapan çok sayıda şirket farkında olmadan sağlayıcı konumuna kayıyor.
- **Dokümantasyonu sona bırakmak.** Model kartı ve eğitim verisi özeti, denetim geldiğinde bir gecede hazırlanamaz. Bunları şimdiden düzenli tutun.
- **Şeffaflığı "sonra hallederiz" diye ötelemek.** Oysa bu, en görünür ve en kolay denetlenecek ödev. Botunuz kendini bot olarak tanıtmıyorsa, bu ilk bakışta yakalanır.
- **KVKK rehberlerini görmezden gelmek.** Bağlayıcı değil diye atlamak, gelecekteki denetim çerçevesini kaçırmak demek.

## Maliyet ve öncelik: Nereden başlamalı?

Sık aldığım bir itiraz: "Bunların hepsi maliyet, bütçemiz kısıtlı." Haklısınız, hepsini aynı anda yapmak gerekmiyor. Ben önceliklendirmeyi şöyle yapıyorum:

| Öncelik | Aksiyon | Neden şimdi |
|---|---|---|
| Yüksek | Kapsam ve rol tespiti | Diğer her şeyin temeli; yanlış varsayım pahalıya patlar |
| Yüksek | Madde 50 şeffaflık kontrolleri | Ertelenmedi, görünür, kolay denetlenir, ucuz |
| Orta | Model kartı ve dokümantasyon | Zaman alır, önceden başlamak şart |
| Orta | AB yetkili temsilcisi | Sağlayıcıysanız kritik; sözleşmesel süre gerekir |
| Orta | Olay bildirimi süreci | Süreç kurmak zaman ister ama teknik yatırım küçük |
| Sürekli | AI okuryazarlığı eğitimi | Zaten yürürlükte; düşük maliyet, yüksek koruma |

Bu tabloyu bir başlangıç yol haritası gibi kullanabilirsiniz. Yüksek öncelikli iki satırı önümüzdeki birkaç haftada halledin; gerisini çeyreklere yayın.

## Sistemik riskli modeller: Ek yükümlülükler kimi bağlıyor?

GPAI ödevlerinin bir de ağırlaştırılmış katmanı var: "sistemik risk" taşıyan modeller. Bu kategori, kabaca çok yüksek eğitim hesaplama gücüyle (compute) eğitilmiş amiral gemisi modelleri hedefliyor. Ölçek bir eşiği aştığında, model artık sadece tek tek kullanıcıları değil, geniş toplumsal sistemleri etkileyebilecek kapasitede kabul ediliyor. Bu modellerin sağlayıcılarına ek olarak şunlar düşüyor:

- **Model değerlendirmesi ve kırmızı takım:** Standartlaştırılmış protokollerle modelin yeteneklerini ve risklerini test etmek, saldırgan (adversarial) testler yürütmek.
- **Sistemik risk değerlendirmesi ve azaltımı:** Modelin yanlış kullanım, biyogüvenlik, siber güvenlik, dezenformasyon gibi geniş etkili risklerini değerlendirip azaltıcı önlemler almak.
- **Ciddi olay takibi ve raporlaması:** Ciddi olayları AI Office'e ve ilgili ulusal otoritelere bildirmek.
- **Siber güvenlik koruması:** Model ağırlıklarının ve altyapının yeterli düzeyde korunması.

Türkiye'deki şirketlerin büyük çoğunluğu sıfırdan bu ölçekte model eğitmiyor; dolayısıyla bu ek katman çoğunuzu doğrudan bağlamayacak. Ama dolaylı olarak ilgilendiriyor: Kullandığınız amiral gemisi modelin sağlayıcısı bu yükümlülüklere tabiyse, onun yayımladığı güvenlik dokümantasyonu ve değerlendirme sonuçları sizin kendi risk değerlendirmenizin girdisi olur. Yani "benim modelim değil ki" demek yerine, tedarikçinizin bu belgelerini isteyip kendi dosyanıza koymanızı öneririm. Denetimde "bu riski nasıl değerlendirdiniz?" sorusuna, sağlayıcının yayımladığı değerlendirmeye atıf yaparak cevap verebilmek işinizi çok kolaylaştırır.

## Küçük bir vaka: İstanbul'daki bir SaaS ekibiyle nasıl ilerledik

Somut olması için anonimleştirilmiş bir örnek paylaşayım. Geçen dönem İstanbul merkezli, Avrupalı KOBİ'lere fatura ve gider yönetimi yazılımı satan bir ekiple çalıştım. Ürünlerine bir "akıllı asistan" eklemişlerdi: Kullanıcı doğal dille soru soruyor, asistan hazır bir büyük dil modelini API üzerinden çağırıp faturaları özetliyordu. İlk oturumda ekibin ilk cümlesi klasikti: "Biz modeli eğitmiyoruz ki, sadece kullanıyoruz."

Beraber şu adımları izledik:

1. **Kapsam:** Müşterilerinin çoğu Almanya ve Hollanda'daydı. Yani AB pazarındaydılar, kapsam netti.
2. **Rol:** Modeli değiştirmiyor, sadece çağırıyorlardı. Model açısından dağıtıcıydılar. Ama sundukları asistan bir "AI sistemi"ydi; bu da Madde 50 şeffaflık ödevini doğuruyordu.
3. **İlk açık:** Asistan, kendini bir yapay zekâ olarak tanıtmıyordu. Arayüze net bir "Bu asistan yapay zekâ ile çalışır" bildirimi ekledik. Yarım günlük bir işti.
4. **İkinci açık:** Asistanın ürettiği özetlerde ara sıra sentetik grafikler oluşuyordu; bunların işaretlenmesi gerekiyordu. Meta veriye üretim etiketi eklettik.
5. **KVKK katmanı:** Fatura verisi kişisel veri içeriyordu. Aydınlatma metnini ve modele giden veride minimizasyonu gözden geçirdik; hassas alanları modele göndermeden önce maskeleme kuralı koyduk.
6. **Sözleşme:** Model sağlayıcısıyla olan sözleşmelerine, sağlayıcının AI Act uyum taahhüdünü ve dokümantasyon paylaşımını eklettik.

Bütün bu iş, panik gerektiren dev bir proje değildi; birkaç haftalık odaklı bir çalışmaydı. Çıkardığım ders şu: Erken başlayan şirket için AI Act uyumu bir yük değil, bir düzen kurma fırsatı. Geç kalan şirket içinse aynı işler, denetim baskısı altında ve pahalıya yapılıyor.

## Sık sorulan sorular

Sahada tekrar tekrar gelen soruları kısa kısa cevaplayayım:

- **"Açık kaynak model kullanırsak muaf mıyız?"** Hayır. Açık kaynak/açık ağırlık modeller için bazı istisnalar var ama sistemik risk ve temel şeffaflık ödevleri ortadan kalkmıyor. Üstelik ince ayar yapıp markanızla sunarsanız sağlayıcı sorumluluğuna kayabilirsiniz.
- **"Sadece dahili kullanıyoruz, Avrupa'ya satmıyoruz."** O hâlde AI Act'in GPAI cephesinden büyük ölçüde uzaksınız. Ama KVKK yükümlülükleriniz devam ediyor; iç kullanımda bile kişisel veri işliyorsanız aydınlatma ve hukuki dayanak gerekir.
- **"Ceza gerçekten kesilir mi, yoksa kâğıt üstünde mi kalır?"** GDPR deneyimi gösterdi ki bu tür rejimlerde ilk yıl uyarı ve rehberlik ağırlıklı geçse de, ceza mekanizması işliyor. Cezayı beklemek yerine belgeli uyumu hedefleyin.
- **"Küçük bir startup'ız, bize de mi uygulanır?"** Ölçekten bağımsız olarak kapsamdaysanız yükümlülük geçerli. İyi haber: Küçük ölçekte dokümantasyon ve şeffaflık kontrolleri düşük maliyetle kurulabilir.
- **"Model kartını kim hazırlar, hukuk mu teknik mi?"** İkisi birlikte. Teknik ekip yetenek ve sınırları yazar, hukuk uyum ve sorumluluk dilini ekler. Tek başına birine bırakırsanız eksik kalıyor.

## Denetim veya bilgi talebi gelirse: İlk temasta ne yapmalı

Diyelim ki bir gün AI Office'ten ya da yetkili bir ulusal otoriteden bir bilgi talebi geldi. Sahada gördüğüm en büyük hata, bu tür bir yazıya panikle ve dağınık biçimde cevap vermek. Oysa hazırlıklı bir şirket için bu bir kriz değil, sadece dosyayı açıp sunma meselesidir. Size önerdiğim ilk temas refleksi şu:

- **Talebi doğru okuyun.** Ne isteniyor: Dokümantasyon mu, belirli bir modelin değerlendirmesi mi, yoksa bir olaya dair açıklama mı? Kapsamı net anlamadan cevap yazmayın.
- **Süreyi not edin.** Bu tür taleplerin bir yanıt süresi olur. Takvimi ilk gün belirleyin ve içeride sahibini atayın.
- **Rol dosyanızı açın.** "Biz sağlayıcı mıyız, dağıtıcı mıyız?" sorusunun cevabını daha önce hukuki görüşle netleştirdiyseniz, cevabın yarısı zaten hazır demektir.
- **Model kartını ve envanteri sunun.** Güncel tuttuğunuz model kartı, eğitim verisi özeti ve model envanteri, talebin büyük kısmını tek klasörde karşılar.
- **Tek ağızdan konuşun.** Teknik, hukuk ve yönetim arasında koordinasyonu tek bir kişi yürütsün; otoriteye çelişkili bilgi gitmesi en kötü senaryodur.
- **Kayıt tutun.** Ne istendi, ne cevap verdiniz, hangi belgeleri paylaştınız — hepsini tarihli biçimde arşivleyin. İleride bir tartışma çıkarsa bu kayıt sizi korur.

Bu refleksi bir kez prosedür hâline getirdiğinizde, denetim korkusu büyük ölçüde kayboluyor. Çünkü korku çoğu zaman hazırlıksızlıktan besleniyor. Dosyası düzenli olan şirket, kapı çaldığında telaşlanmıyor; sadece dolabı açıyor.

## Bundan sonrası: Nasıl bir hazırlık pozisyonu almalısınız

Gördüğüm en sağlıklı yaklaşım, uyumu bir "korku projesi" değil, bir olgunluk göstergesi olarak ele almak. Avrupalı müşteriniz zaten size "AI Act'e uyumlu musunuz?" diye soracak — çoğu şimdiden soruyor. Bu soruya net, belgelenmiş bir "evet" diyebilmek, ceza riskinden kaçınmanın ötesinde bir satış avantajı. Dokümantasyonu düzenli tutan, botunu dürüstçe etiketleyen, rolünü netleştirmiş bir Türk şirketi, Avrupa'daki rakiplerinin çoğundan daha hazırlıklı olabilir.

Somut olarak önümüzdeki 12 ay için önerim: Bu çeyrekte kapsam-rol tespitini ve Madde 50 kontrollerini bitirin. Üçüncü çeyrekte dokümantasyon setini ve olay bildirimi sürecini kurun. Sağlayıcıysanız yetkili temsilci ve eğitim verisi özetini paralel yürütün. Yıl sonuna doğru sözleşmelerinizi güncelleyip iç eğitimleri tamamlayın. Bu ritmi tutturursanız, 2 Ağustos 2026 sizin için bir kriz değil, sadece takvimde işaretlenmiş bir gün olur — ve asıl olgunluk sınavını, denetim geldiğinde değil, ondan çok önce vermiş olursunuz.