EU AI Act: 2 Ağustos 2026'dan itibaren KOBİ'ler için ne geçerli olacak

2 Ağustos 2026'da EU AI Act bir sonraki aşamaya ulaşıyor. Bu tarihten itibaren AB, yapay zeka modellerine ilişkin kuralları para cezalarıyla uygulatabilecek ve yapay zeka sistemleri için şeffaflık yükümlülükleri geçerli hale gelecek. KOBİ'lerdeki şirket yöneticileri için bu, çok pratik bir soruyu gündeme getiriyor: Bunlardan hangisi benim işletmemi ilgilendiriyor ve o tarihe kadar ne yapılmış olmalı? Önce iyi haber: KOBİ'lerin çoğu yapay zeka sağlayıcısı değil, kullanıcısıdır ve onlar için liste kısa ve uygulanabilir.

2 Ağustos 2026'da somut olarak ne oluyor?

2 Ağustos 2026'da iki şey devreye giriyor: genel amaçlı yapay zeka (GPAI) modeli sağlayıcılarına yönelik uygulama ve para cezası yetkileri ile Madde 50'deki şeffaflık yükümlülükleri. AB Yapay Zeka Ofisi bu tarihten itibaren belge talep edebilecek, modelleri bizzat inceleyebilecek, düzeltme isteyebilecek ve ciddi durumlarda bir modeli Avrupa pazarından kaldırabilecek.

Aynı zamanda para cezası hükümleri de uygulanabilir hale geliyor. Yasaklı uygulamalara yönelik ihlaller, hangisi daha yüksekse, 35 milyon avroya veya küresel yıllık cironun yüzde 7'sine kadar mal olabiliyor. Diğer yükümlülüklerin çoğunda üst sınır 15 milyon avro veya yüzde 3 (AI Act'in 99. Maddesi) olarak belirlenmiş durumda. Rakamlar zaten belli; bu tarihten itibaren yalnızca uygulanabilir hale geliyorlar.

Bir KOBİ olarak bu beni ilgilendiriyor mu?

KOBİ'lerin büyük çoğunluğu yapay zekayı üreten değil kullanan taraftır ve bu nedenle onlar için her şeyden önce üç şey önem taşır: yapay zeka yetkinliği, şeffaflık ve yasaklı uygulamalardan kaçınmak. 2 Ağustos'ta yürürlüğe girecek ağır GPAI yükümlülükleri, OpenAI, Google veya Anthropic gibi model sağlayıcılarını ilgilendiriyor, teklif metinleri için ChatGPT kullanan fırıncıyı değil. Somut kullanım durumunuzun yine de yüksek riskli sayılıp sayılmayacağı uygulama alanına bağlı. Bu konuda ilk değerlendirmeyi şirketinizin etkilenip etkilenmediğine dair yazımızda bulabilirsiniz.

Hangi yükümlülükler zaten uzun süredir geçerli?

İki yükümlülük 2 Şubat 2025'ten beri zaten geçerli ve yeni tarihler etrafındaki telaşta çoğu zaman gözden kaçıyor: belirli yapay zeka uygulamalarının yasaklanması ve Madde 4'te yer alan çalışanların yapay zeka yetkinliğine sahip olması yükümlülüğü.

• Yasaklı uygulamalar: Bunlar arasında sosyal puanlama, hedefli manipülasyon ve internetten yüz görüntülerinin hedefsiz biçimde toplanması yer alıyor. Sıradan bir işletme için bu nadiren gündeme gelir, yine de bir kez kontrol etmekte fayda var.
• Yapay zeka yetkinliği (Madde 4): Şirketinde yapay zeka kullanan herkes, onunla çalışan kişilerin bunu temel düzeyde anlamasını sağlamalıdır. Digital Omnibus, 2025 sonunda bu yükümlülüğü 'sağlamak'tan 'teşvik etmek'e yumuşattı, ancak tamamen kaldırmadı.

Ne ertelendi, neye güvenmemelisiniz?

Kasım 2025 tarihli sözde Digital Omnibus, yüksek riskli yapay zekaya ilişkin sıkı yükümlülükleri erteledi: bağımsız sistemler için 2 Aralık 2027'ye, düzenlenmiş ürünlere entegre edilmiş yapay zeka için ise 2 Ağustos 2028'e. Küçük şirketler için bazı kolaylıklar, yeni Small Mid-Cap kategorisine de genişletildi.

Burada iki şey birbirine karıştırılmamalı. Birincisi: ertelenen, yüksek riskli yükümlülükler; şeffaflık yükümlülükleri ve GPAI uygulaması değil. İkisi de 2 Ağustos 2026 tarihine bağlı kalmaya devam ediyor. İkincisi: Omnibus hâlâ yasama sürecinde. Sürekli yeni ertelemelerle ilgili haber başlıklarına değil, resmi tarihlere göre planlama yapın.

Bir şirket yöneticisi son tarihe kadar ne yapmış olmalı?

2 Ağustos 2026'ya kadar dört şey tamamlanmış olmalı: bir envanter çıkarma, uygulanmış şeffaflık bildirimleri, kısa bir eğitim ve belirlenmiş bir sorumluluk.

• Envanter çıkarma: Microsoft Copilot'tan ChatGPT'ye, chatbotlardan otomasyonlara kadar şirket içinde fiilen hangi yapay zeka araçlarının kullanıldığını yazın. Bu liste olmadan hiçbir yükümlülük doğru şekilde ilişkilendirilemez.
• Şeffaflığı uygulamaya koyma: Chatbotlar ve sesli botlar, bir insanın bir yapay zekayla konuştuğunu anlaşılır kılmalıdır. Yapay zeka tarafından üretilen metinler, görseller ve sesler buna uygun şekilde işaretlenmelidir.
• Yapay zeka yetkinliği oluşturma: Yapay zeka kullanan çalışanlar için kısa, belgelenmiş bir eğitim Madde 4'ü karşılar ve günlük işlerdeki hatalardan korur.
• Sorumluluk belirleme: Genel bakışı elinde tutan tek bir kişi, çoğu KOBİ için tamamen yeterlidir.

Otomasyon ve yapay zeka ajanları projelerimizde şeffaflık bildirimi artık standart hale geldi: teslim ettiğimiz her sesli bot ve her web sitesi sohbeti, burada bir yapay zekanın yanıt verdiğini kendiliğinden belirtiyor. Bu büyük bir çaba gerektirmiyor, ancak baştan itibaren düşünülmesi gerekiyor.

Avrupa Komisyonu, GPAI sağlayıcıları için hazırladığı kılavuzlarda, bu son tarihin mevcut yükümlülükleri uygulanabilir hale getirdiğini, yeni yükümlülükler yaratmadığını açıkça belirtiyor. Kullanıcılar için bunun anlamı şu: şimdi düzeni sağlayan, 2 Ağustos'ta hiçbir şeyi aceleye getirmek zorunda kalmayacak.

EU AI Act hakkında 2 Ağustos 2026'dan itibaren sıkça sorulan sorular

EU AI Act küçük işletmeler için de geçerli mi?

Evet. AI Act, şirket büyüklüğünden bağımsız olarak geçerlidir, ancak yükümlülükleri role ve riske göre kademelendirir. KOBİ'lerin çoğu kullanıcı konumundadır ve her şeyden önce yapay zeka yetkinliği ile şeffaflığı sağlamalıdır. Yalnızca birkaç uygulama, sıkı yüksek riskli sınıfa girer.

2 Ağustos 2026'da tam olarak ne oluyor?

Bu tarihte, genel amaçlı yapay zeka modeli sağlayıcılarına yönelik uygulama ve para cezası yetkileri geçerli hale geliyor ve Madde 50'deki şeffaflık yükümlülükleri yürürlüğe giriyor. Yüksek riskli yükümlülükler bundan etkilenmiyor.

Web sitemdeki chatbotu işaretlemem gerekiyor mu?

Evet. Madde 50, kullanıcıların bir insanla değil bir yapay zekayla konuştuklarını anlayabilmelerini şart koşuyor. Genellikle sohbet penceresinde net bir uyarı yeterlidir.

Para cezaları ne kadar yüksek?

Yasaklı uygulamalar için 35 milyon avroya veya küresel yıllık cironun yüzde 7'sine kadar, diğer ihlallerin çoğu için ise 15 milyon avroya veya yüzde 3'e kadar. Küçük ve orta ölçekli işletmeler için bu iki tutardan düşük olanı üst sınır olarak geçerlidir.

Yüksek riskli kurallar gerçekten ertelendi mi?

Evet. 2025 sonundaki Digital Omnibus, yüksek riskli yükümlülükleri bağımsız sistemler için 2 Aralık 2027'ye, entegre sistemler için ise 2 Ağustos 2028'e erteledi. 2 Ağustos 2026 tarihli şeffaflık ve GPAI kuralları bundan etkilenmiyor.