AB Yapay Zeka Tüzüğü 2 Ağustos 2026 döneminde: YZ ajanlarında yetki, kayıt ve insan gözetimi

1. 2026 eşiği tek bir yürürlük tarihi değildir

AB Yapay Zeka Tüzüğü’nün (AI Act) 27 Temmuz 2026 tarihli konsolide m. 113 metni kademeli takvimi korur: genel uygulama tarihi 2 Ağustos 2026’dır; m. 6(2) ve Ek III kapsamındaki belirli yüksek risk sistemleri için ilgili hükümler 2 Aralık 2027’den, m. 6(1) ve Ek I bağlantılı yüksek risk sistemleri için 2 Ağustos 2028’den itibaren uygulanır. Daha erken başlayan yasaklar, yapay zeka okuryazarlığı ve genel amaçlı model yükümlülükleri ayrı izlenmelidir.

Bir kuruluşun yol haritası “AI Act yürürlükte mi?” sorusuyla kurulamaz. Her kullanım senaryosu için aktör sıfatı, sistem veya model niteliği, piyasaya arz veya kullanım tarihi, amaç, coğrafi bağ ve geçiş hükmü birlikte kaydedilmelidir. Yönetim kuruluna sunulan durum notu, bugün bağlayıcı olan yükümlülüklerle gelecek uyum hazırlıklarını açıkça ayırmalıdır.

2. “Ajan” etiketinden önce amaç, risk ve aktör rolünü sınıflandırın

Agentik bir arayüz AI Act bakımından kendiliğinden ayrı bir risk sınıfı değildir. Hukuki sonuç; sistemin amaçlanan kullanımına, m. 6 ve eklerdeki yüksek risk ölçütlerine, yasaklı uygulama bulunup bulunmadığına ve kuruluşun sağlayıcı, ürünü piyasaya sunan, ithalatçı, dağıtıcı veya deployer sıfatına göre doğar. Teknik isimlendirme yerine işe alım, kredi, kritik altyapı, kimlik doğrulama veya çalışan yönetimi gibi somut karar alanı esas alınmalıdır.

M. 25 uyarınca sisteme kendi adını koyan, esaslı değişiklik yapan veya amaçlanan kullanımı yüksek riskli hale getiren taraf belirli durumlarda sağlayıcı sayılabilir. Tedarik sözleşmesindeki “yalnızca müşteri sorumludur” hükmü bu sınıflandırmayı tek başına değiştirmez. Sistem kartı, model ve araç zinciri, veri kaynakları, değişiklik yetkisi ve üretimdeki kullanım amacı bu nedenle birlikte tutulmalıdır.

3. İşlem yetkisini Türk Borçlar Kanunu mantığıyla sınırlandırın

Bir yazılım bileşenine “ajan” denmesi onu bağımsız sözleşme tarafı veya TBK anlamında temsilci yapmaz. TBK m. 40’a göre yetkili temsilcinin başkası adına ve hesabına yaptığı işlem temsil olunanı doğrudan bağlayabilir. Yetkisiz temsil halinde m. 46 uyarınca bağlanma kural olarak onamaya bağlıdır; m. 47 belirli şartlarda güven zararını da gündeme getirir. Agentik sistemin eylemi, şirket içindeki hangi gerçek kişinin veya organın yetki zincirine bağlanıyorsa o zincir belgelenmelidir.

Yetki matrisi; ajan başına işlem türünü, tutar ve süre sınırını, veri kaynağını, karşı taraf sınıfını, coğrafyayı, izin verilen araçları, ikinci onayı ve acil durdurmayı göstermelidir. Yeni tedarikçi açma, fiyat değiştirme, ödeme emri, sözleşme kabulü, kişisel veri aktarımı ve güvenlik ayarı gibi geri döndürülmesi güç işlemler insan onayına bağlanmalıdır. Teknik erişim anahtarı hukuki yetki belgesi değildir.

4. Şeffaflık, log ve insan gözetimini aynı kontrol zincirine bağlayın

AI Act m. 50/1, gerçek kişilerle doğrudan etkileşime giren belirli sistemlerde, bunun koşullardan açıkça anlaşılmadığı hallerde kişiye yapay zeka ile etkileşimde bulunduğunun bildirilmesini öngörür. Yüksek risk rejiminde m. 12 otomatik olay kaydını, m. 13 deployer için anlaşılır kullanım bilgisini ve m. 14 etkili insan gözetimini birlikte ele alır. M. 26 ise deployer tarafında talimata uygun teknik-organizasyonel önlem ve yeterli, eğitimli, yetkili insan gözetimi bekler.

Uygulamada tek bir sohbet kaydı yeterli değildir. Girdi kaynağı, sistem talimatı, model ve sürüm, çağrılan araç, yetki kontrolü, ara karar, insan müdahalesi, çıktı, uygulanan işlem ve geri alma adımı ilişkilendirilmelidir. Sağlayıcının m. 19 kapsamındaki log saklama yükümlülüğü ile deployer’ın delil ve sektör mevzuatı ihtiyaçları aynı süre olmayabilir; sözleşme, erişim ve dışa aktarma biçimini ayrıca kurmalıdır.

5. Kişisel veri dosyasını ajan tasarımının içine yerleştirin

6698 sayılı Kanun bakımından ajan, ayrı bir veri sorumlusu yaratmaz; işleme faaliyetinin amaç ve araçlarını belirleyen aktörler üzerinden rol analizi yapılır. KVKK m. 4’teki hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve güncellik, belirli amaç, ölçülülük ve gerekli süre kadar saklama ilkeleri her araç çağrısında geçerlidir. M. 5 ve 6 hukuki sebebi, m. 10 aydınlatmayı, m. 12 güvenliği; yurt dışı servis kullanımı varsa m. 9 aktarım mekanizmasını ayrıca gerektirir.

KVKK’nın 2026 tarihli Etken Yapay Zeka çalışması bağlayıcı düzenleme değil, kurumsal bir risk çalışmasıdır; buna rağmen otonomi, çok adımlı hareket ve farklı veri kaynaklarına erişimin mahremiyet ve güvenlik etkilerini görünür kılar. Veri envanteri; istemleri, bağlam penceresini, bellekleri, vektör veritabanını, araç çıktılarını, insan notlarını ve sağlayıcının telemetri kullanımını kapsamalıdır.

6. Tedarik sözleşmesini model erişimi değil sonuç sorumluluğu üzerinden kurun

Sözleşmede sistemin amaçlanan kullanımı, yasaklı kullanım, rol dağılımı, veri ve alt işleyen listesi, model değişikliği, performans eşiği, güvenlik testi, log erişimi, insan gözetimi, olay bildirimi ve mevzuat değişikliği yönetilmelidir. M. 25 kapsamındaki değer zinciri sorumlulukları nedeniyle sağlayıcı, entegratör ve müşteri arasındaki teknik bilgi paylaşımı ve gerekli dokümana erişim somut teslim kalemi yapılmalıdır.

Tazmin ve sorumluluk rejimi; hatalı ödeme, yetkisiz sözleşme, veri ihlali, ayrımcılık, fikri hak iddiası ve regülasyon cezasını tek bir genel sınır altında eritmemelidir. Hangi kontrolün kimin alanında olduğu, müşterinin talimata aykırı kullanımının etkisi, model güncellemesinin yeniden kabulü ve kritik olayda hizmetin durdurulması açıkça düzenlenmelidir.

7. Yönetim ve olay müdahalesi için isimli sahipler belirleyin

Her ajan için bir iş sahibi, teknik sahibi, veri koruma teması, güvenlik teması ve nihai insan onay makamı atanmalıdır. Değişiklik kurulu; yeni araç, yeni veri kaynağı, daha geniş yetki, model değişikliği ve başarı eşiği düşüşünü yeniden sınıflandırma tetikleyicisi saymalıdır. Kırmızı ekip testi yalnızca zararlı içerik değil, yetki aşımı, talimat enjeksiyonu, gizli veri sızması, döngüsel işlem ve geri alma başarısızlığını da kapsamalıdır.

Olay planı; ajanı durdurma, kimlik bilgisini iptal etme, işlemi geri alma, delili dondurma, etkilenen kişiyi ve otoriteyi değerlendirme, karşı tarafla iletişim ve yeniden devreye alma onayını sıralamalıdır. Yönetim raporu başarı oranının yanında insan müdahalesi, reddedilen işlem, yanlış pozitif, mali etki ve açık olay süresini göstermelidir.

8. Canlıya geçiş dosyasında asgari olarak ne bulunmalı?

Canlıya geçişten önce kullanım senaryosu ve yasaklar, AI Act rol ve risk notu, TBK yetki matrisi, kişisel veri envanteri ve aktarım haritası, tedarikçi durum tespiti, etki ve güvenlik testleri, insan gözetimi prosedürü, log şeması, olay planı, kullanıcı bildirimi ve fesih-çıkış planı imzalı onaya bağlanmalıdır. Yüksek riskli olmayan bir ajan için de bu kayıtlar sorumluluk ve delil yönetimi bakımından değerlidir.

Dosya statik kalmamalıdır. Model, veri kaynağı, araç, amaç veya yetki değiştiğinde yeniden değerlendirme; düzenli erişim gözden geçirmesi; örneklem bazlı karar kontrolü ve kapanmayan olayların yönetime eskalasyonu takvime bağlanmalıdır.

Aktay Hukuk ve ayrı DETAI modülü nasıl destek olur?

Aktay Hukuk; kullanım senaryosunu AI Act rol ve risk haritasına, Türk temsil ve sözleşme hukukuna, KVKK yükümlülüklerine ve sektörel kurallara bağlar. Yetki matrisi, tedarik ve veri işleme sözleşmeleri, insan gözetimi, olay prosedürü ve yönetim raporlamasını birlikte tasarlar; teknik logun hukuki delil zincirine dönüşmesi için sorumluluk ve saklama noktalarını belirler.

DETAI ayrı ve isteğe bağlı bir teknoloji modülü olarak ajan envanteri, yetki değişikliği, onay kaydı ve log bütünlüğündeki sapmaları hukuk ve uyum ekibine gösterebilir. Sistemi kendi başına “uyumlu” ilan etmez; sınıflandırma, hukuki yorum ve yüksek etkili işlem onayı insanlarda kalır.