Bu sayfa, bir yapay zekâ sistemini işinde kullanan şirket ve kurumların Avrupa Birliği'nin (AB) 2024/1689 sayılı Yapay Zekâ Tüzüğü (AB Yapay Zekâ Tüzüğü) ve 6698 sayılı Kişisel Verilerin Korunması Kanunu bakımından gözetmesi gereken başlıca hususları sıralar. Sayfanın dayanağı, sonda listelenen Prof. Dr. Murat Volkan Dülger'in yayınlarıdır. Anılan mevzuat 1 Kasım 2026 tarihinde resmî kaynaklardan kontrol edilmiştir. Yapay Zekâ Tüzüğü'nün kapsamı ve veri koruma hukukuyla ilişkisi, sonda bağlantısı verilen ayrı sayfada ele alınmıştır.

1. Rolünüzü belirleyin

Yapay Zekâ Tüzüğü'nün yükümlülükleri role göre değişir. Bir yapay zekâ sistemini kendi yetkisi altında kullanan gerçek veya tüzel kişi, kamu kurumu ya da başka bir kuruluş, Yapay Zekâ Tüzüğü'nün dilinde kullanıcıdır (deployer) (m. 3/4). Hazır bir sistemi iş süreçlerinde kullanan şirket kural olarak kullanıcıdır. Yapay zekâyı yalnızca kişisel ve mesleki olmayan bir faaliyet için kullanan gerçek kişiler, kullanıcı yükümlülüklerine tabi değildir (m. 2/10).

Kullanıcı bazı hâllerde sağlayıcı sayılır ve sağlayıcının yükümlülüklerini üstlenir (m. 25/1): piyasaya sürülmüş yüksek riskli bir sisteme kendi adını veya markasını koyması, sistemde esaslı değişiklik yapması ya da genel amaçlı sistemler dâhil yüksek riskli olmayan bir sistemin kullanım amacını onu yüksek riskli hâle getirecek biçimde değiştirmesi. Genel amaçlı bir dil modelini işe alımda aday elemek için kullanmaya başlamak, son duruma bir örnektir.

2. Kullanımı sınıflandırın

Her kullanım için dört soru sorulmalıdır: Kullanım yasak mı (m. 5)? Ek III'te sayılan yüksek riskli alanlardan birine giriyor mu? Şeffaflık yükümlülüğü doğuruyor mu (m. 50)? Bunların hiçbiri söz konusu değilse, Yapay Zekâ Tüzüğü bakımından yapay zekâ okuryazarlığına ilişkin yükümlülük kalır (m. 4). Veri koruma hukuku her durumda ayrıca uygulanır. İşe alım ve çalışanlara ilişkin kararlar, kredi değerliliği, hayat ve sağlık sigortası fiyatlandırması, eğitimde kabul ve değerlendirme ile uzaktan biyometrik tanımlama, yüksek riskli sayılan kullanımlara örnektir.

3. Yasak uygulamalardan kaçının

Yasaklar 2 Şubat 2025'ten beri uygulanmaktadır ve kullanıcıları da bağlar. Şirketler bakımından en çok önem taşıyanlar; işyerinde ve eğitim kurumlarında duygu tanıma (tıbbi ve güvenlik amaçlı kullanım hariç), biyometrik verilerden ırk, siyasi görüş, sendika üyeliği, dinî inanç veya cinsel yönelim çıkarımı yapan sınıflandırma ve internetten ya da kamera kayıtlarından ayrım gözetmeksizin yüz görüntüsü toplanmasıdır. Çalışanların duygu durumunu kamera görüntüsü veya ses analiziyle ölçen bir yazılım bu nedenle kullanılamaz. Dijital Omnibus ile eklenen, rıza olmadan cinsel içerikli gerçekçi görüntü üretilmesine ve çocukların cinsel istismarı niteliğindeki içeriğe ilişkin yasaklar 2 Aralık 2026'dan itibaren uygulanacaktır.

4. Yüksek riskli bir sistem kullanıyorsanız

Ek III'teki sistemlere ilişkin yükümlülükler, Dijital Omnibus ile yapılan değişiklik sonucunda 2 Aralık 2027'den itibaren uygulanacaktır. Kullanıcı bu tarihten itibaren sistemi sağlayıcının kullanım talimatlarına uygun kullanmalı, insan gözetimini gerekli yetkinlik, eğitim ve yetkiye sahip kişilere vermeli, kontrolündeki girdi verilerinin amaca uygun ve yeterince temsil edici olmasını sağlamalı, sistemin işleyişini izlemeli, risk fark ettiğinde kullanımı durdurup sağlayıcıyı ve piyasa gözetim makamını bilgilendirmeli ve sistemin otomatik olarak ürettiği kayıtları en az altı ay saklamalıdır (m. 26).

İşveren olan kullanıcı, yüksek riskli bir sistemi işyerinde kullanmaya başlamadan önce çalışan temsilcilerini ve etkilenecek çalışanları bilgilendirmelidir (m. 26/7). Kişiler hakkında karar veren ya da karara yardımcı olan sistemlerde ilgili kişiler sistemin kullanıldığı konusunda bilgilendirilmelidir (m. 26/11); bu kişiler, sistemin karardaki rolü hakkında açıklama isteyebilir (m. 86). Kamu hukuku tüzel kişileri, kamu hizmeti sunan özel kişiler ile kredi değerliliği ve hayat-sağlık sigortası alanında sistem kullananlar, kullanımdan önce temel haklar etki değerlendirmesi yapmalıdır (m. 27). Kişisel veri işleniyorsa, sağlayıcının verdiği bilgiler (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü (GDPR) m. 35 uyarınca yapılacak veri koruma etki değerlendirmesinde kullanılır (m. 26/9).

5. Şeffaflık yükümlülükleri

Şeffaflık yükümlülükleri 2 Ağustos 2026'dan beri uygulanmaktadır (m. 50). Duygu tanıma veya biyometrik sınıflandırma sistemi kullanan kullanıcı, buna maruz kalan kişileri bilgilendirmelidir. Derin sahte (deepfake) görüntü, ses veya video üreten ya da değiştiren kullanıcı, içeriğin yapay olarak üretildiğini veya değiştirildiğini açıklamalıdır; açıkça sanatsal, yaratıcı veya hiciv niteliğindeki eserlerde bu yükümlülük sınırlıdır. Kamuoyunu kamu yararını ilgilendiren konularda bilgilendirmek amacıyla yayımlanan yapay zekâ üretimi metinlerde de aynı açıklama gerekir; metin insan denetiminden geçmiş ve yayının editoryal sorumluluğunu bir kişi üstlenmişse bu yükümlülük doğmaz.

Kişilerle doğrudan etkileşen sistemlerin, örneğin müşteri hizmetleri sohbet robotlarının, kişiye yapay zekâyla etkileşimde olduğunu bildirecek biçimde tasarlanması sağlayıcının yükümlülüğüdür. Hazır bir sohbet robotu kullanan şirket, bu bildirimin kendi kullanımında da işlediğini kontrol etmelidir. Sentetik içeriğin makinece okunabilir biçimde işaretlenmesi de sağlayıcının yükümlülüğüdür; 2 Ağustos 2026'dan önce piyasaya sürülmüş sistemler için süre 2 Aralık 2026'da dolmaktadır.

6. Yapay zekâ okuryazarlığı

Sağlayıcılar ve kullanıcılar, sistemleri kendi adlarına kullanan çalışanlarının ve diğer kişilerin yapay zekâ okuryazarlığının gelişmesini destekleyecek tedbirler almalıdır (m. 4). Dijital Omnibus ile değiştirilen hüküm, herhangi bir kişi için belirli bir okuryazarlık düzeyinin güvence altına alınmasını gerektirmez. Tedbirler, kişilerin teknik bilgisi, deneyimi ve eğitimi ile sistemin kullanılacağı bağlam gözetilerek belirlenir.

7. Kişisel veriler

Yapay zekâ sistemine kişisel veri girilmesi, 6698 sayılı Kanun anlamında veri işlemedir. Her işleme faaliyetinin m. 5'teki ya da özel nitelikli veriler için m. 6'daki şartlardan birine dayanması, ilgili kişilerin aydınlatılması (m. 10) ve gerekli teknik ve idari tedbirlerin alınması (m. 12) gerekir. Sağlayıcı yurt dışında yerleşikse ve veriler yurt dışındaki sunuculara gidiyorsa, aktarım m. 9'a ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'e uygun olmalıdır. Kişisel Verileri Koruma Kurumu'nun rehberi, bu sistemlere ad-soyad, adres, telefon numarası ve kimlik bilgisi gibi kişiyi tanımlamaya elverişli veriler girilmesinden kaçınılmasını önermektedir (Rehber, s. 57).

Çalışanları izlemeye veya değerlendirmeye yönelik uygulamalarda ölçülülük ayrıca önem taşır. Prof. Dr. Murat Volkan Dülger'in işverenin çalışan iletişimini gözetlemesine ilişkin çalışması, bu tür gözetimin kişisel verilerin korunması hakkı karşısındaki sınırlarını ele almaktadır.

8. Sırlar ve gizli bilgiler

Genel kullanıma açık bir yapay zekâ aracına müşteri bilgisi, ticari sır veya meslek sırrı kapsamındaki bir bilgi girilmeden önce sağlayıcının sözleşme ve kullanım koşulları incelenmelidir: Girdiler modelin eğitiminde kullanılıyor mu, ne kadar süre saklanıyor, hangi ülkede işleniyor ve kimler erişebiliyor? Avukatlar bakımından sır saklama yükümlülüğü (1136 sayılı Avukatlık Kanunu m. 36) bu değerlendirmenin merkezindedir. Hangi araçların hangi verilerle ve kimler tarafından kullanılabileceğini gösteren yazılı bir kurum içi politika, bu kontrolün sürekliliğini sağlar.

9. Çıktıyı denetleyin

Yapay zekâ sistemlerinin ürettiği metin ve öneriler hatalı olabilir; üretken modeller var olmayan kaynaklara ve kararlara atıf yapabilir. Çıktıya dayanılarak verilen kararın sorumluluğu sistemi kullanan kişi ve kurumdadır. Prof. Dr. Murat Volkan Dülger'in yargıda yapay zekâ kullanımına ilişkin yazısında belirttiği gibi, hukukta önemli yer tutan takdir yetkisi bu sistemlere bırakılamaz; sistemler insan kararına yardımcı olarak kullanılmalıdır.

10. Yaptırımlar

Yasak uygulamalara aykırılık 35 milyon avroya veya dünya çapındaki yıllık cironun %7'sine kadar; kullanıcı yükümlülüklerine (m. 26) ve şeffaflık yükümlülüklerine (m. 50) aykırılık 15 milyon avroya veya cironun %3'üne kadar; yetkili makamlara yanlış, eksik veya yanıltıcı bilgi verilmesi 7,5 milyon avroya veya cironun %1'ine kadar idari para cezası gerektirir (m. 99). Teşebbüsler için tutar ile oran arasından yüksek olanı, KOBİ'ler için düşük olanı esas alınır.

Değerlendirme

Prof. Dr. Murat Volkan Dülger'e göre yapay zekâ teknolojilerinin taşıdığı riskler gelişmeyi durdurmanın gerekçesi yapılmamalı; riskler önceden belirlenmeli ve gerekli tedbirler alınarak ilerlenmelidir. Bu yaklaşım kullanım aşaması için de geçerlidir: Kurum, hangi sistemi hangi amaçla kullandığını, sistemin hangi verileri işlediğini ve çıktının kimin denetiminden geçtiğini bilmelidir. Dülger'in 2020 tarihli ortak görüşünde vurgulandığı gibi, yapay zekânın veri işlediği her aşamada hesap verebilirliği sağlayacak bir yapı kurulmalı ve sorumluluğun kime ait olacağı baştan belirlenmelidir.

Bu, Dülger'in yapay zekâ hukukuna ilişkin genel yaklaşımının kurum içindeki karşılığıdır: Yapay zekâyı yasaklamak yerine kontrollü ve denetime açık biçimde kullanmak. Kurum içinde bu yaklaşım; hangi aracın hangi işte kullanılabileceğini gösteren bir izin listesi, kullanımın kaydı, çıktıya itiraz imkânı ve düzenli iç denetimle uygulanabilir.

Anılan düzenleme ve kaynakların Türkiye bakımından durumu

Bu sayfada anılan düzenleme ve kaynaklar, tam adları ve Türkiye bakımından hukuki durumlarıyla aşağıda gösterilmiştir. Türkiye'de yürürlükte olmayan metinlerin neden anıldığı ve hangi hâllerde Türkiye'deki kişileri bağlayabileceği de belirtilmiştir.

  • Türk mevzuatı: 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK; RG 7.4.2016, S. 29677) ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (RG 10.7.2024, S. 32598). Türkiye'de yürürlüktedir ve bağlayıcıdır.
  • 1136 sayılı Avukatlık Kanunu (RG 7.4.1969, S. 13168): Türkiye'de yürürlüktedir ve bağlayıcıdır.
  • AB Yapay Zekâ Tüzüğü: Avrupa Parlamentosu ve Konseyinin 13 Haziran 2024 tarihli ve (AB) 2024/1689 sayılı Tüzüğü. AB'de 1 Ağustos 2024'ten beri yürürlüktedir. Türkiye AB üyesi olmadığından Türkiye'de yürürlükte değildir; Türk makamlarını ve mahkemelerini bağlamaz. Ancak sistemini AB'de piyasaya süren veya hizmete sokan ya da sisteminin çıktısı AB'de kullanılan Türkiye'deki sağlayıcı ve kullanıcılar için bağlayıcıdır (m. 2/1-a, c). Türkiye'nin AB'ye aday ülke olması ve Gümrük Birliği çerçevesinde ürünlere ilişkin teknik mevzuatı uyumlaştırma yükümlülüğü nedeniyle, Türk düzenlemeleri için de örnek olarak anılmaktadır.
  • Dijital Omnibus: Avrupa Parlamentosu ve Konseyinin 8 Temmuz 2026 tarihli ve (AB) 2026/1744 sayılı Tüzüğü. AB Yapay Zekâ Tüzüğü'nü değiştirir; AB'de 27 Temmuz 2026'dan beri yürürlüktedir. Türkiye bakımından durumu AB Yapay Zekâ Tüzüğü ile aynıdır.
  • Genel Veri Koruma Tüzüğü (GDPR): Avrupa Parlamentosu ve Konseyinin 27 Nisan 2016 tarihli ve (AB) 2016/679 sayılı Tüzüğü. AB'de 25 Mayıs 2018'den beri uygulanır; Türkiye'de yürürlükte değildir. AB'deki kişilere mal veya hizmet sunan ya da onların AB'deki davranışlarını izleyen Türkiye'deki şirketler için bağlayıcıdır (m. 3/2). KVKK AB veri koruma hukuku örnek alınarak hazırlandığından, GDPR ve AB içtihadı karşılaştırma ölçüsü olarak anılmaktadır.
  • Kişisel Verileri Koruma Kurumu, Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda), Yayın No. 113, Kasım 2025; Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler, 2021: Türkiye'deki veri koruma otoritesinin yorumunu yansıtır. Kanun veya yönetmelik niteliğinde olmadığından bağlayıcı değildir; Kanun'un Kurul uygulamasında nasıl yorumlandığını göstermesi bakımından yol göstericidir.

İlgili yayınlar ve sayfalar

Mevzuat durumu: 1 Kasım 2026. Bu sayfa genel bilgi amaçlıdır; somut bir olaya ilişkin hukuki değerlendirmenin yerini tutmaz.