İçindekiler
Türkiye yapay zekâ hukukunda hızla ilerliyor ve Türkiye pazarında faaliyet gösteren ya da bu pazara giren teknoloji şirketleri uyumu sonraya bırakılacak bir iş olarak göremez. Ülkenin yapay zekâ konusundaki düzenleyici tutumu, genel politika beyanlarından somut mevzuat hazırlığına geçti ve 2026, yükümlülüklerin gerçeğe dönüştüğü yıl olmaya aday. İster bir yazılım şirketi, ister bir finansal teknoloji platformu, ister Türkiye'de yapay zekâ tabanlı ürünler sunan çok uluslu bir şirket olun; hukukun nereye gittiğini anlamak, bugün nerede durduğunu anlamak kadar önemlidir.
Bu yazı Türkiye'nin yapay zekâ düzenleme yol haritasını ortaya koyuyor, temel çerçevelerin neler gerektirdiğini açıklıyor ve teknoloji şirketlerinin şimdiden atması gereken pratik adımları özetliyor.
2026'da Hızlanan Yapay Zekâ Düzenleme Gündemi
Türkiye'nin yapay zekâyı düzenleme girişimi bir boşlukta doğmadı. Ülke, Avrupa Birliği'nin Yapay Zekâ Tüzüğü'nün tekliften uygulamaya geçişini izledi ve bu süreçten somut dersler çıkardı. Bir AB aday ülkesi olarak Türkiye, Avrupa mevzuat çerçevelerini yakından takip etme eğilimindedir; bunları her zaman kelimesi kelimesine aktarmasa da yapılarından nadiren uzaklaşır.
Öte yandan Türkiye'nin kendi dijital ekonomi hedefleri de var. Hükümetin 2021-2025 Ulusal Yapay Zekâ Stratejisi, kamu hizmetleri, imalat ve finans alanlarında yapay zekânın benimsenmesine yönelik hedefler koydu. Bu bağlamda düzenleme büyümenin önünde bir fren değil, büyümenin bir koşuludur. Politika yapıcılar, Türk şirketlerinin ve yabancı yatırımcıların Türkiye'yi yapay zekâ kullanımı için güvenilir ve kurallara dayalı bir ortam olarak görmesini istiyor.
Sonuç olarak ortaya çıkan düzenleyici tablo hâlâ şekilleniyor, ancak gerçek bir ivmeyle ilerliyor. Harekete geçmek için nihai mevzuatı bekleyen şirketler kendilerini son dakikaya sıkışmış bulacaktır.
Şekillenen Mevzuat Çerçevesi
Kişisel Verilerin Korunması Kanunu ve Yapay Zekâ
Türkiye'nin Kişisel Verilerin Korunması Kanunu (KVKK) etrafında kurulu mevcut veri koruma çerçevesi, halihazırda çok sayıda yapay zekâ sistemine uygulanıyor. Türkiye'deki kişilerin kişisel verilerini işleyen her yapay zekâ uygulaması KVKK yükümlülüklerine tabidir; buna otomatik karar verme, profilleme ve kimliği belirlenebilir bilgiler içeren veri setleriyle model eğitimi de dahildir.
Kişisel Verileri Koruma Kurumu, kişiler üzerinde önemli etkiler doğuran otomatik işleme kararlarının açık bir hukuki dayanak ve çoğu durumda insan gözetimi gerektirdiğini rehberlerinde açıkça ortaya koymuştur. Teknoloji şirketleri için bu şu anlama gelir: Belgelenmiş bir hukuki dayanak ve insan incelemesi mekanizması olmadan kredi kararları, işe alım önerileri veya sağlık değerlendirmeleri yapan bir modeli kullanmak, yürürlükteki hukuka göre bugün zaten uyumsuzdur.
Taslak Yapay Zekâ Kanunu
Sanayi ve Teknoloji Bakanlığı, AB Yapay Zekâ Tüzüğü'nün risk temelli yapısından büyük ölçüde yararlanan özel bir yapay zekâ kanunu üzerinde çalışıyor. Bu yaklaşımda yapay zekâ sistemleri taşıdıkları risk düzeyine göre sınıflandırılır:
• Kabul edilemez risk: Davranışı manipüle eden, kırılganlıkları istismar eden veya kamu makamlarınca sosyal puanlamaya imkân veren sistemler. Bunlar doğrudan yasaklanacaktır.
• Yüksek risk: Kritik altyapı, eğitim, istihdam, temel hizmetler, kolluk ve göç alanlarında kullanılan sistemler. En ağır uyum gerekliliklerine bunlar tabidir.
• Sınırlı risk: Kullanıcılarla etkileşime giren sohbet robotları gibi sistemler. Şeffaflık yükümlülükleri uygulanır.
• Asgari risk: Gönüllü davranış kurallarına tabi olan yapay zekâ uygulamalarının büyük çoğunluğu.
Taslak kanunun yüksek riskli sistemler için uygunluk değerlendirmesi, zorunlu teknik belgelendirme, olay bildirim yükümlülükleri ve ulusal bir yapay zekâ sistemleri veri tabanına kayıt şartı getirmesi bekleniyor. Kanunlaşma takvimi değişmiş olsa da mevzuatın yönü konusunda bir belirsizlik yok.
Sektöre Özgü Kurallar
Genel yapay zekâ kanununun ötesinde sektör düzenleyicileri de bağımsız olarak harekete geçiyor. Bankacılık Düzenleme ve Denetleme Kurumu (BDDK), kredi skorlaması ve dolandırıcılık tespitinde kullanılan yapay zekâ modellerinde açıklanabilirlik ve adillik beklentilerine işaret etti. Sermaye Piyasası Kurulu (SPK) algoritmik işlemler konusunda benzer kaygıları dile getirdi. Bilgi Teknolojileri ve İletişim Kurumu (BTK) ise telekomünikasyon ve dijital platformlara yerleştirilen yapay zekâ sistemlerine yönelik kurallar geliştiriyor.
Teknoloji şirketlerinin yalnızca genel yapay zekâ kanununu değil, kendi kullanım bağlamlarıyla ilgili sektöre özgü çerçeveleri de takip etmesi gerekir.
Teknoloji Şirketlerinin Başlıca Uyum Yükümlülükleri
Risk Sınıflandırması ve Belgelendirme
İlk pratik adım, Türkiye'de işlettiğiniz veya kullanmayı planladığınız her yapay zekâ sistemini sınıflandırmaktır. Bu, her sistemi taslak kanunun risk kategorileriyle eşleştirmek ve bu sınıflandırmayı destekleyici kanıtlarla belgelemek demektir: sistemin amaçlanan kullanımı, işlediği veriler, etkilediği kararlar ve içerdiği güvenceler.
Bu bir defalık bir çalışma değildir. Bir sistem güncellendiğinde, kullanım bağlamı değiştiğinde veya yeni düzenleyici rehberler yayımlandığında risk sınıflandırmasının yeniden gözden geçirilmesi gerekir.
Şeffaflık ve Açıklanabilirlik
Türk düzenlemesi, örnek aldığı AB çerçevesi gibi, şeffaflığa önemli bir ağırlık veriyor. Yapay zekâ sistemleriyle etkileşime giren kullanıcılar bunu bilmelidir. Otomatik kararlardan etkilenen kişiler bu kararların dayanağını anlayabilmeli ve kararlara itiraz etmek için anlamlı bir yola sahip olmalıdır.
Teknoloji şirketleri için bu, açıklanabilirliği sonradan yapılan bir belgelendirme işi olarak görmek yerine sistem tasarımına yerleştirmek anlamına gelir. Yüksek riskli bağlamlarda kullanılan kara kutu modeller en sıkı denetimle karşılaşır.
Veri Yönetişimi
Yapay zekâ sistemleri, onları besleyen veri akışları kadar uyumludur. Şirketlerin eğitim ve çıkarım için kullanılan veri setlerini denetleyerek kişisel verilerin hukuka uygun toplandığını, geçerli bir hukuki dayanağın bulunduğunu ve veri minimizasyonu ilkelerine uyulduğunu teyit etmesi gerekir.
Yurt dışına veri aktarımı özellikle hassas bir noktadır. KVKK'nın kişisel verilerin yurt dışına aktarılmasına ilişkin kuralları, diğer tüm veriler gibi yapay zekâ eğitim verilerine de uygulanır. Modeliniz Türkiye'de yerleşik kişilerin bilgilerini içeren verilerle eğitildiyse, bu verilerin yurt dışındaki sunuculara aktarılması bir yeterlilik kararı, standart sözleşmeler veya açık rıza gerektirir. Sürekli veri aktarımlarında açık rıza yeterli olmayabilir. Bu bağlamda uygun güvenceler ve standart sözleşmeler önem taşır.
İnsan Gözetimi Mekanizmaları
Yüksek riskli yapay zekâ sistemleri için şekillenmekte olan Türk çerçevesi, yalnızca göstermelik bir inceleme adımı değil, anlamlı bir insan gözetimi öngörüyor. Bu, yetkin bir kişinin yapay zekâ sisteminin çıktısını sonuç doğurmadan önce gerçekten değerlendirebileceği, geçersiz kılabileceği veya durdurabileceği iş akışları tasarlamak demektir. Şirketler bu gözetim mekanizmalarını belgelemeli ve düzenleyicilere gösterebilecek durumda olmalıdır.
Olay Bildirimi
Taslak yapay zekâ kanunu, yapay zekâ sistemlerini içeren ciddi olayların zorunlu olarak bildirilmesini öngörüyor. Teknoloji şirketleri, bu yükümlülükler hukuken bağlayıcı hale gelmeden önce yapay zekâ ile ilgili olayları tespit etmek, üst kademeye iletmek ve bildirmek için iç süreçler kurmalıdır. Bu altyapıyı bugün kurmak, düzenleyici baskı altında sonradan eklemekten çok daha kolaydır.
Uygulamada Yüksek Riskli Yapay Zekâ
Risk temelli sınıflandırma, gerçek ürünlerle eşleştirilene kadar soyut görünebilir. Aşağıdakiler, Türkiye'de şekillenen çerçevede büyük olasılıkla yüksek risk kategorisine girecek yapay zekâ kullanımlarına örnektir:
• Özgeçmişleri taramak ve adayları sıralamak için yapay zekâ kullanan bir işe alım platformu
• Kredi başvurularını onaylamak veya reddetmek için makine öğrenmesi kullanan bir finansal teknoloji uygulaması
• Tedavi önermek veya sağlık durumlarını işaretlemek için yapay zekâ kullanan bir sağlık uygulaması
• Çalışan performansını değerlendirmek için yapay zekâ kullanan bir insan kaynakları sistemi
• Fiziksel giriş kontrolünde kullanılan bir yüz tanıma sistemi
Şirketiniz bunlardan herhangi birini işletiyorsa, bunları şimdiden yüksek riskli olarak ele almalı ve uyum yapınızı buna göre kurmalısınız.
AB Yapay Zekâ Tüzüğü'nün Türkiye'deki Uyuma Etkisi
AB Yapay Zekâ Tüzüğü'ne uyum çalışmasını tamamlamış şirketler daha güçlü bir başlangıç noktasındadır. Ancak iki çerçeve arasındaki uyum kusursuz değildir ve AB'ye uyumun Türkiye'ye uyum anlamına geldiğini varsaymak bir hatadır.
Türkiye'nin kendi veri koruma kuralları, kendi sektör düzenleyicileri ve kendi yaptırım mekanizmaları vardır. Takvimler farklıdır. Nihai Türk kanunu yürürlüğe girdiğinde tanımlar önemli noktalarda ayrışabilir. Türkiye'deki uyum, mevcut bir AB uyum programının türevi olarak değil, ona paralel yürütülen ayrı bir çalışma olarak ele alınmalıdır.
Yaptırımlar: Cezaların Boyutu
KVKK, veri koruma ihlalleri için halihazırda milyonlarca Türk lirasına ulaşabilen idari para cezaları dahil önemli yaptırımlar öngörüyor. Taslak yapay zekâ kanununun, yasaklanmış sistemler ve uygunluk değerlendirmesi yapılmadan kullanılan yüksek riskli sistemler için daha yüksek cezalar içeren kendi yaptırım yapısını getirmesi bekleniyor.
Mali cezaların ötesinde uyumsuzluk operasyonel risk de yaratır. Düzenleyiciler şirketlerden yapay zekâ sistemlerini askıya almalarını veya değiştirmelerini isteyebilir. Bankacılık ve sermaye piyasaları gibi sektörlerde düzenleyici tespitler lisans incelemelerine yol açabilir. Güvenin gerçek bir rekabet avantajı olduğu bir pazarda itibar riski de önemlidir.
Teknoloji Şirketlerinin Şimdi Atması Gereken Adımlar
Harekete geçmek için yapay zekâ kanununun çıkmasını beklemeniz gerekmiyor. Şirketlerin 2026'da yapması gerekenler şunlardır:
Yapay zekâ envanteri çıkarın. Türkiye'de geliştirdiğiniz, kullandığınız veya sunduğunuz her yapay zekâ sistemini, güvendiğiniz üçüncü taraf araçlara yerleştirilmiş sistemler dahil, listeleyin.
Risk düzeyine göre sınıflandırın. Taslak kanunun risk kategorilerini her sisteme uygulayın ve gerekçenizi belgeleyin.
Veri akışlarınızı denetleyin. Eğitim ve çıkarım verilerinin KVKK'ya uygun olduğunu kontrol edin. Yurt dışına aktarımla ilgili sorunları belirleyin.
Şeffaflık bildirimlerinizi gözden geçirin. Kullanıcıların yapay zekâ ile etkileşimde olduklarını bildiklerinden ve etkilenen kişilerin otomatik kararları anlamak ve bunlara itiraz etmek için açık bir yolu olduğundan emin olun.
Gözetimi iş akışlarınıza yerleştirin. Yüksek riskli sistemler için gerçek insan incelemesi mekanizmaları oluşturun ve bunları usulüne uygun belgeleyin.
Bilişim hukukunda uzman bir hukuk danışmanıyla çalışın. Yapay zekâ, veri koruma, sektörel düzenleme ve şirket sorumluluğunun kesiştiği alan karmaşıktır. Bu alanda uzman desteği olmadan ilerlemeye çalışan şirketler, yalnızca kanun metnini okuyarak fark edilmeyen yükümlülükleri gözden kaçırma eğilimindedir.
Miran Legal, teknoloji şirketlerine Türk bilişim hukuku, veri koruma uyumu ve yapay zekâ kullanımına uygulanan düzenleyici gereklilikler konusunda danışmanlık verir. Büronun çalışmaları hem genel KVKK çerçevesini hem de finans, sağlık ve dijital platformlarda uygulanan sektöre özgü kuralları kapsar.
Yabancı Teknoloji Şirketleri İçin Türkiye'de Yapay Zekâ Uyumu
Yabancı şirketler çoğu zaman Türkiye'deki yapay zekâ düzenlemesinin yalnızca yerel bir şirketleri varsa kendilerine uygulanacağını varsayar. Bu varsayım yanlıştır. KVKK, veri sorumlusunun nerede kurulu olduğuna bakılmaksızın Türkiye'de yerleşik kişilerin kişisel verilerinin her türlü işlenmesine uygulanır. Taslak yapay zekâ kanununun da AB Yapay Zekâ Tüzüğü'nün yaklaşımıyla tutarlı biçimde benzer bir ülkesel kapsam izlemesi bekleniyor.
Yapay zekâ ürününüz Türkiye'deki kullanıcılara sunuluyorsa, Türkiye'de yerleşik kişilere ait verileri işliyorsa veya Türkiye'deki kişileri etkileyen kararlar veriyorsa, büyük olasılıkla kapsam dahilindesiniz. Bu; SaaS platformları, mobil uygulamalar ve uzaktan sunulan yapay zekâ destekli hizmetler için de geçerlidir.
Yabancı şirketler Türkiye'de yerel bir temsilci atamalı, KVKK kapsamında veri işleme için hukuki dayanak oluşturmalı ve yapay zekâ kanununun yasama sürecindeki ilerleyişini izlemelidir. Yaptırımların başlamasını beklemek uygulanabilir bir strateji değildir.
Büyük Resim: Bir Yapay Zekâ Pazarı Olarak Türkiye
Türkiye genç ve dijital olarak aktif bir nüfusa, büyüyen bir teknoloji sektörüne ve yapay zekâ altyapısına yönelik önemli kamu yatırımına sahiptir. Bu, Türkiye'yi teknoloji şirketleri için cazip bir pazar yapıyor. Düzenleyici ortam daha talepkâr hale geliyor, ancak aynı zamanda daha öngörülebilir oluyor; ciddi yatırımcıların ve işletmecilerin ihtiyaç duyduğu da tam olarak bu.
Uyumu yapay zekâ ürünlerine en baştan yerleştiren şirketler, Türkiye'de büyümeyi ve benzer çerçevelere sahip diğer pazarların gerekliliklerini karşılamayı daha kolay bulacaktır. Ana pazarınız başka bir yerde olsa bile Türkiye için yaptığınız uyum çalışması boşa gitmez.
Sıkça Sorulan Sorular
Türkiye'nin henüz özel bir yapay zekâ kanunu var mı? 2026 itibarıyla Türkiye'de tamamen yürürlüğe girmiş özel bir yapay zekâ kanunu bulunmuyor; ancak AB Yapay Zekâ Tüzüğü'nün risk temelli yapısıyla uyumlu bir taslak kanun ileri bir hazırlık aşamasında. KVKK dahil mevcut kanunlar, birçok yapay zekâ uygulamasına halihazırda uygulanıyor.
Türkiye'de şekillenen çerçevede hangi yapay zekâ sistemleri yüksek riskli sayılıyor? İstihdam, kredi kararları, sağlık, kritik altyapı, kolluk ve eğitim alanlarında kullanılan sistemlerin yüksek risk kategorisine girmesi bekleniyor. Uygunluk değerlendirmesi ve insan gözetimi yükümlülükleri dahil en ağır uyum gereklilikleri bu sistemler için geçerli.
Türkiye'deki yapay zekâ düzenlemesi yabancı şirketlere uygulanır mı? Evet. Türkiye'nin veri koruma kanunu, şirketin nerede kurulu olduğuna bakılmaksızın Türkiye'de yerleşik kişilerin kişisel verilerinin her türlü işlenmesine uygulanır. Taslak yapay zekâ kanununun da benzer bir ülkesel yaklaşım izlemesi bekleniyor.
Uyumsuzluğun yaptırımları nelerdir? KVKK ihlalleri halihazırda milyonlarca Türk lirasına ulaşabilen idari para cezalarına konu oluyor. Taslak yapay zekâ kanununun, yasaklanmış sistemler ve usulüne uygun uygunluk değerlendirmesi yapılmadan kullanılan yüksek riskli sistemler için ek yaptırımlar getirmesi bekleniyor.
Türkiye'nin yapay zekâ düzenlemesi AB Yapay Zekâ Tüzüğü ile nasıl ilişkili? Türkiye'nin taslak yapay zekâ kanunu, AB Yapay Zekâ Tüzüğü'nün risk temelli sınıflandırma sisteminden büyük ölçüde yararlanıyor. Ancak iki çerçeve aynı değil. Türkiye'deki uyum ayrı bir analiz gerektirir; yalnızca AB'ye uyumdan hareketle varsayılamaz.
Teknoloji şirketleri şu anda ne yapmalı? Şirketler bir yapay zekâ sistemleri envanteri çıkarmalı, sistemleri risk düzeyine göre sınıflandırmalı, veri akışlarını KVKK uyumu açısından denetlemeli, şeffaflık bildirimlerini gözden geçirmeli ve yüksek riskli kullanımlara insan gözetimi mekanizmaları yerleştirmelidir. Düzenleyici tablonun karmaşıklığı göz önüne alındığında uzman bir hukuk danışmanıyla çalışılması kuvvetle tavsiye edilir.
Teknoloji şirketleri Türkiye'deki yapay zekâ düzenlemesi konusunda nereden hukuki danışmanlık alabilir? Miran Legal, Türkiye'de bilişim hukuku, veri koruma ve yapay zekâ uyumu konularında hukuki danışmanlık vermektedir.
Önümüzdeki Dönem
Türkiye'nin yapay zekâ düzenleme yol haritası uzak bir gelecek meselesi değil. Mevzuatın parçaları hareket halinde, sektör düzenleyicileri şimdiden harekete geçiyor ve veri koruma çerçevesi bugünden gerçek yükümlülükler doğuruyor. 2026'yı bir bekleme yılı değil bir hazırlık yılı olarak gören teknoloji şirketleri, yapay zekâ kanunu nihai halini aldığında çok daha güçlü bir konumda olacaktır.
Bunu doğru yapan şirketler; uyum çalışmasına zorunlu hale gelmeden başlayan, ölçeklenebilir belgelendirme uygulamaları kuran ve hem Türkiye'deki düzenleyici ortamı hem de yapay zekâ kullanımının teknik gerçeklerini anlayan hukuk danışmanlarıyla çalışan şirketlerdir. Yapay zekâ düzenlemesini yöneten şirketleri, onun tarafından yönetilen şirketlerden ayıran da bu birlikteliktir.