Mühendislik Ekipleri İçin AB Yapay Zeka Yasası (EU AI Act) Rehberi
- Risk katmanı model mimarisine veya sağlayıcıya göre değil, yapay zeka sisteminin kullanım senaryosuna göre belirlenir.
- Çoğu B2B SaaS AI özelliği sınırlı veya minimal risktedir; kamuya açık karar sistemleri ise çoğunlukla yüksek risk katmanına girer.
- Yüksek risk yükümlülükleri risk yönetimi, veri yönetişimi, teknik dokümantasyon ve pazar sonrası izlemeyi kapsar.
- Genel amaçlı model sağlayıcılarının yükümlülükleri ayrıdır; entegratörler sözleşme yoluyla kendi kullanım sorumluluklarını taşır.
AB Yapay Zeka Yasası (EU AI Act), yapay zeka sistemlerini özel kurallara tabi ayrı bir kategori olarak düzenleyen ilk kapsamlı regülasyondur. Birçok mühendislik ekibi bu yasayla ilk kez kurumsal bir müşterinin satın alma sürecinde “AI Act uyumlu musunuz?” sorusuyla karşılaştığında tanışmaktadır.
Yasa, sistemleri kullanılan teknolojiye göre değil kullanım senaryosuna göre dört risk katmanına ayırır:
- Kabul Edilemez Risk (Yasaklı): Kamu kurumlarınca sosyal skorlama, iş yeri veya eğitimde duygu çıkarımı, hassas özelliklere göre biyometrik sınıflandırma. Şubat 2025’ten beri tamamen yasaktır.
- Yüksek Risk (Ek III): İşe alımda özgeçmiş sıralama, kredi uygunluk skorlaması, tıbbi triyaj, kritik altyapı ve eğitim değerlendirme sistemleri.
- Sınırlı Risk: İnsanlarla etkileşime giren sohbet botları ve sentetik içerik üreten sistemler. Temel yükümlülük şeffaflıktır: kullanıcı yapay zeka ile konuştuğunu veya içeriğin AI tarafından üretildiğini bilmelidir.
- Minimal Risk: Kod tamamlama, e-posta konu önerisi, iç bilgi araması gibi çoğu kurumsal yazılım özelliği. Yasa kapsamında ek yükümlülük yoktur (GDPR geçerliliğini korur).
Yüksek Risk Katmanında Mühendislik Ne Yapmalı?
Ürününüz yüksek risk katmanına giriyorsa (Madde 9 ila 15), lansman öncesinde 3 ila 6 mühendis-aylık uyum altyapısı gerekir. Sürekli çalışan bir risk yönetim süreci (Madde 9), eğitim ve test verilerinde önyargı ve temsil kontrolü (Madde 10), Ek IV şablonuna uygun güncel teknik dokümantasyon (Madde 11), adli analize imkan tanıyan otomatik olay loglama (Madde 12) ve insan operatörün kararları ezebileceği veya sistemi durdurabileceği insan gözetimi arayüzleri (Madde 14) zorunludur.
Sınırlı Risk, Takvim ve Yaptırımlar
Sınırlı riskteki bir ürün için teknik iş genellikle bir haftalık arayüz (“Bu bir AI asistanıdır” etiketi ve içerik meta verisi) ve kısa dokümantasyon çalışmasıdır. Ağustos 2026 itibarıyla yüksek risk kuralları bağlayıcı hale gelirken, yasaklı uygulamalarda küresel cironun %7’sine (veya 35 milyon Euro), diğer yükümlülük ihlallerinde ise %3’üne (veya 15 milyon Euro) varan cezalar uygulanmaktadır. İlk adım her zaman dürüst bir sınıflandırma denetimi yapıp bunu belgelemektir.
Sıkça sorulan sorular
AB'de ofisi olmayan ABD veya Türkiye merkezli bir şirket için bu yasa geçerli mi?
Sistem veya ürettiği çıktı AB içindeki kişiler tarafından kullanılıyorsa evet. Yasa tıpkı GDPR gibi sınır ötesi etkiye sahiptir ve uyumsuzluk cezaları küresel ciro üzerinden hesaplanır.
Hangi sistemler yüksek riskli yapay zeka sayılır?
Ek III (Annex III) sekiz alanı listeler: biyometrik tanımlama, kritik altyapı, eğitim, istihdam ve işe alım, temel özel ve kamu hizmetlerine erişim (kredi skorlama, sigorta), kolluk kuvvetleri, göç yönetimi ve adalet. Bu alanlarda karar mekanizmasına doğrudan etki eden sistemler yüksek risklidir.
Yükümlülükler ne zaman yürürlüğe girdi?
Yasa Ağustos 2024'te yürürlüğe girdi. Yasaklı uygulamalar Şubat 2025'te, genel amaçlı AI yükümlülükleri Ağustos 2025'te başladı. Yüksek riskli sistem kuralları Ağustos 2026'da devreye giriyor ve Ağustos 2027'de tam kapsam uygulanacak.