2026 AB Genel Amaçlı Yapay Zeka Denetim Rehberi: Model Erişimi, Ticari Sırlar ve AI Office Süreci

1. Neden şimdi: yükümlülükten yaptırıma geçiş

AB Yapay Zeka Tüzüğü’nün genel amaçlı yapay zeka modeli sağlayıcılarına ilişkin yükümlülükleri 2 Ağustos 2025 tarihinden beri yürürlüktedir; ancak Tüzüğün 101. maddesindeki para cezası yetkisi ile Komisyonun ilgili yaptırım araçları 2 Ağustos 2026 tarihinde uygulanmaya başladı. 20 Temmuz 2026 tarihli 2026/1755 sayılı Uygulama Tüzüğü, 92. madde kapsamındaki model değerlendirmeleri ile 101. madde kapsamındaki ceza süreçlerinin usulünü belirledi. Bu nedenle uyum artık yalnız politika metni hazırlama işi değildir. Sağlayıcı; modelin nasıl sınıflandırıldığını, hangi sürümün AB pazarına sunulduğunu, istenen teknik erişimin nasıl güvenli verileceğini ve ticari sır iddiasının hangi kayıtla desteklendiğini denetlenebilir biçimde gösterebilmelidir.

2. Türkiye’deki hangi şirketler kapsamda olabilir?

Tüzüğün 2. maddesi, sağlayıcının AB’de veya üçüncü bir ülkede yerleşik olmasına bakılmaksızın AB pazarına genel amaçlı yapay zeka modeli sunan sağlayıcılara uygulanır. Bu nedenle Türkiye’de geliştirilen bir temel modelin AB müşterilerine API, indirme, lisans, açık kaynak deposu veya grup şirketi üzerinden sunulması kapsam analizi doğurabilir. İnce ayar yapan, modeli kendi markasıyla yeniden sunan, önceki bir modeli önemli ölçüde değiştiren veya modeli farklı bir ürün içinde ticarileştiren şirketin yalnız “kullanıcı” olduğunu varsayması güvenli değildir. Dosya; sağlayıcı, alt sağlayıcı, dağıtıcı, ithalatçı, yetkili temsilci ve aşağı yönlü sağlayıcı rollerini sözleşme, teknik kontrol ve pazara sunma biçimi üzerinden ayrı ayrı belirlemelidir.

3. İlk hukuki karar: model, sağlayıcı ve sistemik risk sınıflandırması

Denetim hazırlığı üç bağlantılı sınıflandırmayla başlar. Önce sunulan bileşenin çok çeşitli görevleri yerine getirebilen genel amaçlı bir yapay zeka modeli olup olmadığı belirlenir. Sonra şirketin bu model bakımından sağlayıcı sayılıp sayılmadığı ve varsa önceki sağlayıcının hangi yükümlülükleri üstlendiği incelenir. Son olarak modelin yüksek etki kapasitesi veya Komisyon kararı nedeniyle sistemik risk taşıyan model sayılıp sayılmadığı değerlendirilir. Açık kaynak istisnası sınırsız değildir: Tüzüğün 53. maddesindeki bazı belge ve bilgi yükümlülükleri bakımından koşullu kolaylık sağlasa da telif politikası ve eğitim içeriği özeti yükümlülüklerini ortadan kaldırmaz; sistemik risk taşıyan modeller bakımından bu kolaylık uygulanmaz.

4. Eski dönem ile yeni denetim dönemi arasındaki fark

2 Ağustos 2025 sonrasında odak, sağlayıcının teknik belgeyi, aşağı yönlü sağlayıcı bilgisini, telif politikasını ve eğitim içeriği özetini hazırlamasıydı. 2 Ağustos 2026 sonrasında aynı belgeler yaptırım dosyasının başlangıç deliline dönüştü. Komisyon, 91. madde kapsamında alınan bilgi yeterli değilse uyumu değerlendirmek veya sistemik riskleri araştırmak için 92. madde uyarınca model değerlendirmesi yapabilir; 93. madde uyarınca uygunluk veya risk azaltma tedbirleri isteyebilir. 2 Ağustos 2025 tarihinden önce AB pazarına sunulan modeller için 111. maddenin üçüncü fıkrasındaki geçiş tarihi 2 Ağustos 2027 olsa da şirket, hangi model sürümünün hangi tarihte sunulduğunu ve sonraki değişikliklerin yeni bir pazara sunma oluşturup oluşturmadığını bugünden kanıtlamalıdır.

5. AI Office değerlendirmesini ne tetikler?

92. madde iki temel değerlendirme nedeni öngörür: 91. madde kapsamında toplanan bilgilerin sağlayıcının uyumunu değerlendirmek için yetersiz kalması ve sistemik risk taşıyan modellerin Birlik düzeyindeki risklerinin, bilimsel panelden gelen nitelikli uyarı dahil, araştırılması. 2026/1755 sayılı Tüzük, Komisyonun ceza süreci açmadan önce de bilgi ve erişim yetkilerini kullanabileceğini; acil ve ciddi kamu yararı riski varsa ilk bakışta ihlal bulgusuna dayanarak modelin piyasada bulundurulmasını engelleyen geçici tedbir kararı verebileceğini düzenler. Aşağı yönlü sağlayıcının 53 ila 55. maddelerdeki yükümlülüklere ilişkin şikayeti de AI Office’in dikkatini çekebilir. Bu nedenle ticari sözleşmelerdeki dokümantasyon ve işbirliği hükümleri yalnız tedarik konusu değil, düzenleyici risk kontrolüdür.

6. Model erişimi ne kadar ileri gidebilir?

Tüzüğün 92. maddesi Komisyonun genel amaçlı yapay zeka modeline API veya kaynak kodu dahil diğer uygun teknik araçlarla erişim isteyebilmesini sağlar. 2026/1755 sayılı Uygulama Tüzüğü erişimin kapsamını somutlaştırır: API erişimi, sağlayıcının iç arayüzleri, kaynak kodu, model ağırlıkları, barındırma altyapısı ve etkileşim sırasında sistem durumunu inceleme veya değiştirme imkanları değerlendirme tasarımının parçası olabilir. Talep; hukuki dayanağı, amacı ve gerekçeyi, erişim süresini ve uyulmaması halinde 101. madde kapsamındaki para cezasını belirtmelidir. Şirketin cevabı yalnız kullanıcı adı göndermekten ibaret olmamalıdır; erişim kapsamı, ortam, veri seti, loglama, kişisel veri, siber güvenlik, fikri hak ve hizmet sürekliliği kontrolleri yazılı bir protokole bağlanmalıdır.

7. Bağımsız uzman, erişim ekibi ve çıkar çatışması

Komisyon, 92. madde değerlendirmesi için bilimsel panel üyeleri dahil bağımsız uzmanlar atayabilir. 2026/1755 sayılı Tüzük, sürekli bir uzman listesi oluşturulmasına ve belirli uzmanların ilgili AB mali kuralları uyarınca seçilmesine imkan verir. Sağlayıcı, bu ihtimali olay çıktıktan sonra değil denetim protokolünde ele almalıdır. Erişim alacak kişinin kimliği ve görevi, gerekli teknik yetkinlik, önceki müşteri veya rakip ilişkisi, veri ve sır erişim seviyesi, uzaktan veya yerinde erişim şartı, kopyalama kısıtı ve erişim kapanış tutanağı belirlenmelidir. Çıkar çatışması itirazı varsa, iddia soyut rekabet kaygısıyla değil, kişi, ilişki, erişilecek varlık ve doğabilecek somut zarar üzerinden gerekçelendirilmelidir.

8. Ticari sır ve gizlilik iddiası nasıl hazırlanır?

Tüzüğün 78. maddesindeki gizlilik çerçevesi ile 2026/1755 sayılı Uygulama Tüzüğündeki usul birlikte ele alınmalıdır. Belgeyi yalnız “gizli” olarak işaretlemek yeterli değildir. Şirket; kaynak kodu modülü, ağırlık dosyası, eğitim verisi açıklaması, güvenlik mimarisi, fiyat veya müşteri bilgisi gibi her varlık için sır sahibini, bilginin kamuya açık olup olmadığını, ekonomik değerini, mevcut koruma tedbirlerini, açıklamanın doğuracağı zararı ve daha dar bir erişim yolunun mümkün olup olmadığını kaydetmelidir. Talep edilirse gizli kısımlar tek tek gösterilmeli, iddia özel olarak gerekçelendirilmeli ve anlaşılır bir gizli olmayan sürüm hazırlanmalıdır. Avukat-müvekkil yazışmaları ile teknik delil deposunun ayrılması da savunma hakkı ve kontrollü açıklama bakımından önemlidir.

9. Ceza süreci, savunma hakkı ve süreler

101. madde uyarınca Komisyon; ilgili yükümlülüğü ihlal eden, belge veya bilgi talebine uymayan ya da yanlış, eksik veya yanıltıcı bilgi veren, 93. madde tedbirine uymayan veya 92. madde değerlendirmesi için model erişimi sağlamayan genel amaçlı model sağlayıcısına, önceki mali yıldaki dünya çapındaki toplam yıllık cironun yüzde 3’ünü veya 15 milyon avroyu aşmayan, hangisi yüksekse o tavana kadar ceza verebilir. İhlalin kasıt veya ihmal ile işlenmesi gerekir. Komisyon önce ön bulgularını bildirir ve sağlayıcıya dinlenilme imkanı verir. 2026/1755 sayılı Tüzük kural olarak davranış tarihinden itibaren beş yıllık ceza süresi öngörür; devam eden ihlalde süre sona ermeden başlar ve bilgi, belge veya erişim talepleri ile sürecin açılması süreyi kesebilir. İlk cevap bu nedenle hem teknik hem usuli savunmanın temelidir.

10. Yönetim kurulu için otuz günlük hazırlık planı

İlk hafta ürün, model, sürüm, sunum tarihi, pazar, müşteri ve grup şirketi haritası çıkarılır; sağlayıcı ve sistemik risk sınıflandırması yönetim onayına sunulur. İkinci hafta 53 ila 55. madde belgeleri, telif politikası, eğitim içeriği özeti, yetkili temsilci, olay bildirimi ve aşağı yönlü sağlayıcı bilgi paketi için eksik analizi yapılır. Üçüncü hafta kontrollü API ve iç erişim ortamı, kaynak kodu ve ağırlık erişim seviyeleri, loglama, veri minimizasyonu, ticari sır çizelgesi ve bağımsız uzman kontrolü tasarlanır. Dördüncü hafta örnek bir AI Office talebi üzerinden masa başı tatbikat yapılır; hukuk, mühendislik, güvenlik, ürün, iletişim ve yönetim kurulu sorumluları aynı olay kaydında çalışır. Her karar resmi kaynak, belge sürümü, sorumlu kişi ve insan onayıyla saklanır.

11. İlk ücretli iş: AB GPAI Denetim Hazırlık ve Model Erişim Dosyası

Hedef müşteri; Türkiye’den AB’ye model sunan yapay zeka geliştiricisi, temel model girişimi, modelini ince ayar veya yeniden markalama ile pazarlayan teknoloji şirketi, genel hukuk müşaviri, ürün ve güvenlik yöneticisi, yatırımcı veya satın alma adayının inceleme ekibidir. Tetikleyici olay; AB müşterisine ilk sunum, yeni model sürümü, yüksek işlem gücü eşiği, yatırım turu, birleşme-devralma incelemesi, aşağı yönlü sağlayıcı şikayeti, Komisyon bilgi talebi veya API erişim talebidir. Aktay’ın on beş iş günlük sabit kapsamlı ilk işi; kapsam ve rol görüşü, model-sürüm-pazar haritası, 53 ila 55. madde boşluk matrisi, erişim cevap protokolü, ticari sır çizelgesi, güvenli veri odası planı, uzman çıkar çatışması matrisi ve yönetim kurulu olay kitabı teslim eder. Yetkili temsilcilik, EU SEND bildirimi, AI Office yazışması ve sözleşme düzeltmesi ayrıca kapsamlanır.

12. Aktay ve DETAI’ın ayrı rolleri

Aktay; kapsam, sağlayıcı niteliği, sistemik risk, yükümlülük, ticari sır, savunma hakkı, sözleşme ve AI Office iletişimini hukuki danışmanlık kapsamında değerlendirir; görüş, cevap, başvuru ve müzakereyi yürütür. DETAI, ayrı ve isteğe bağlı bir teknoloji projesi olarak model sürümlerini, resmi kaynak bağlantılarını, belge özetlerini, dosya karmalarını, erişim loglarını, son tarihleri ve insan onaylarını değiştirilemez denetim izi mantığıyla bir çalışma alanında birleştirebilir. DETAI, modelin hukuki sınıfını, hangi belgenin açıklanacağını veya savunma stratejisini kendi başına belirlemez. Bu rehber genel bilgilendirmedir; belirli model veya olay için hukuki görüş değildir.