AB AI Act 02.08.2026'dan itibaren.

AB AI Act nedir ve KOBİ'leri neden ilgilendirir?

AB AI Act (resmî adıyla: yapay zekâya ilişkin AB Yönetmeliği 2024/1689) 2 Ağustos 2024'ten beri yürürlüktedir ama aşama aşama devreye giriyor. AB'de yapay zekâ sistemlerinin kullanımını risk temelli bir yaklaşımla düzenler: yüksek riskli sistemler (örn. tıbbi tanıda, personel seçiminde, kredi tahsisinde yapay zekâ) kapsamlı uygunluk değerlendirmeleri gerektirir. Daha düşük risk (müşteri temasında yapay zekâ, sohbet botları, ses botları, pazarlama otomasyonu) 'yalnızca' şeffaflık yükümlülükleri gerektirir, ama bunlar 2 Ağustos 2026'dan itibaren katıdır. Çoğu KOBİ sahibinin bilmediği: yapay zekâyı kendiniz geliştirmeseniz de yalnızca kullansanız da (yönetmelikte 'deployer' terimi) işletmenizdeki yükümlülüklerden sorumlusunuz. Bir yapay zekâ telefon asistanı, sohbet botu veya pazarlama yapay zekâsı kullanan, son kullanıcıları bilgilendirmeli ve kullanımı kendi çalışanları için belgelemelidir. Yönetmelik AB genelinde geçerlidir, yapay zekâ sistemlerini AB'de sundukları sürece üçüncü ülke (ABD, İngiltere, İsviçre) sağlayıcıları için de. Yani bir ABD aracı veya başka bir üçüncü taraf sağlayıcı kullanan, sağlayıcının yükümlülükleri gerçekten destekleyip desteklemediğini kontrol etmelidir.

DACH KOBİ'leri için 2026'nın en önemli 4 yükümlülüğü

Birincisi, Madde 4 (yapay zekâ okuryazarlığı), 2 Şubat 2025'ten beri yürürlükte. İşletmede yapay zekâ kullanan, kullanım sınırlarının ve iletme mantığının asgari bir belgelendirmesini sunmalıdır. Pratikte: yapay zekânızın nasıl kullanıldığını, neyi yapamayacağını, ne zaman insanlara ileteceğini anlatan bir PDF. İkincisi, Madde 50 (şeffaflık yükümlülüğü), 2 Ağustos 2026'dan itibaren devreye giriyor. Yapay zekâ sisteminizle etkileşime giren her kişi (arayanlar, sohbet ziyaretçileri, e-posta temasları) ilk temasta açıkça bilgilendirilmelidir. Ses ajanlarında bu şu anlama gelir: karşılama anonsu yapay zekâ özelliğini açıklamalıdır. Sohbet widget'larında: kalıcı bir yapay zekâ rozeti. E-postalarda: başlık uyarısı. Üçüncüsü, GDPR Madde 28 (veri işleme), 2018'den beri zorunlu. Üçüncü taraf yapay zekâsı kullanımında, veri işlemeyi düzenleyen bir veri işleme sözleşmesi bulunmalıdır. Dördüncüsü, GDPR Madde 22 (otomatik kararlar), hukuken önemli yapay zekâ kararlarında bir insan iletmesi mümkün olmalıdır. Müşteri hizmetleri yapay zekâsı için bu pratikte şu demektir: şikayetlerde, iadelerde, fesihlerde yapay zekâ ajanı bir insana iletebilmelidir.

• Madde 4 yapay zekâ okuryazarlığı: kullanım sınırları + iletme mantığı belgelendirmesi (02.02.2025'ten beri)
• Madde 50 şeffaflık yükümlülüğü: ilk yapay zekâ temasında bildirim (02.08.2026'dan itibaren)
• GDPR Madde 28: her yapay zekâ sağlayıcısıyla veri işleme sözleşmesi
• GDPR Madde 22: hukuken önemli kararlarda insan iletmesi

AB AI Act'te para cezaları, gerçekte neyin tehlikede olduğu

AB AI Act kademeli para cezaları öngörür. En katı yükümlülüklere karşı ihlaller (Madde 5 uyarınca yasaklı yapay zekâ uygulamaları; sosyal puanlama, manipülasyon, biyometrik kitlesel gözetim) 35 milyon euroya veya dünya çapındaki yıllık cironun yüzde 7'sine kadar cezalandırılabilir; hangisi yüksekse. Yüksek riskli yapay zekâ sistemlerine ilişkin yükümlülük ihlalleri: 15 milyon euroya veya yüzde 3'e kadar. Şeffaflık yükümlülüklerine (Madde 50) ve çoğu diğer yükümlülüğe karşı ihlaller: 15 milyon euroya veya yüzde 3'e kadar. Makamlara yanlış veya yanıltıcı bilgi: 7,5 milyon euroya veya yüzde 1'e kadar. Yıllık cirosu 500 milyon euronun altındaki KOBİ'ler için para değerleri (cironun yüzdesi değil) bağlayıcı olur, ama 15 milyon euro bir DACH KOBİ'si için fiilen varlık tehdididir. Buna eklenir: tekrarlı ihlallerde yetkili piyasa gözetim makamı (Almanya'da: Bundesnetzagentur) yapay zekâ sistemini yasaklatabilir veya piyasadan çektirebilir. Yani para cezaları buzdağının yalnızca mali ucudur; bir ihlalde itibar ve iş kaybı zararı çoğu zaman daha yüksektir.

AB AI Act ile GDPR, yükümlülükler nerede örtüşür, nerede örtüşmez

Çoğu KOBİ AB AI Act ile GDPR'yi karıştırır. Aslında iki yönetmelik birbirini tamamlar: GDPR kişisel verilerin işlenmesini düzenler (gerçek bir kişiye atfedilebilen tüm veriler), AB AI Act ise kişisel veri işlenip işlenmediğinden bağımsız olarak yapay zekâ sistemlerinin kullanımını düzenler. Müşteri hizmetleri yapay zekâsı bağlamında ikisi aynı anda geçerlidir: GDPR arayan verilerinin ele alınmasını düzenler (Hetzner barındırması, AB dil modelleri, veri işleme sözleşmesi, GDPR Madde 13 uyarınca veri koruma uyarıları). AB AI Act ek olarak şeffaflık yükümlülüğünü (Madde 50, arayanlar bir yapay zekâyla konuştuklarını bilmelidir) ve yapay zekâ okuryazarlığını (Madde 4, yapay zekâyı kullanan kullanım sınırlarını bilmelidir) düzenler. DACH KOBİ'leri için bu pratikte şu demektir: GDPR uyumlu bir yapay zekâ sağlayıcısı otomatik olarak AI Act uyumlu değildir. İkisine de ihtiyacınız var; GDPR + Madde 50 + Madde 4. Rinqo üç yükümlülüğü tek platformda karşılar: Hetzner Almanya (GDPR), varsayılan bildirim anonsu (Madde 50), uyarlanabilir yapay zekâ okuryazarlığı şablonları (Madde 4). ABD sağlayıcılarında GDPR uyumunu ayrıca kontrol etmelisiniz (Cloud Act maruziyeti, DPF belirsizliği sürer) ve Madde 50 bildirimini kendiniz uygulamalısınız (bu teknik olarak çoğu zaman hiç mümkün değildir).

Rinqo AB AI Act'i nasıl karşılar, somut ve denetlenebilir

Rinqo tüm AB AI Act yükümlülüklerini DACH KOBİ'leri için 1. günden karşılar, kendi uyum çalışmanızı yapmanız gerekmez. Birincisi, Madde 50 varsayılan bildirim: her Rinqo yapay zekâ ajanı (telefon, sohbet, e-posta) ilk temasta bunun bir yapay zekâ olduğuna dair açık bir anons yapar, sözcük seçimi marka sesinize göre düzenlenebilir, bildirimin kendisi kapatılamaz. Seste: 'Merhaba, ben [Şirket]'in yapay zekâ asistanıyım. Bir yapay zekâyla konuşuyorsunuz, arama kalite güvencesi için işlenir.' Sohbette: başlıkta kalıcı yapay zekâ rozeti + giriş bannerı. E-postada: altbilgide 'Bu yanıt yapay zekâ desteğiyle oluşturuldu' uyarısı. İkincisi, Madde 4 yapay zekâ okuryazarlığı: Rinqo panosunda, kendi kullanım yapılandırmanıza uyarlayabileceğiniz şablonlar; hangi yapay zekâ modelleri kullanılıyor, hangi veriler işleniyor, hangi iletme eşikleri geçerli. Bir kez belgelersiniz, yapılandırma değişikliklerinde belgeyi güncel tutarsınız. Üçüncüsü, GDPR Madde 28: veri işleme sözleşmesi sözleşmede otomatik olarak sunulur, ayrı bir talep olmadan. Dördüncüsü, GDPR Madde 13: veri koruma uyarıları ses ajanında görüşmenin başında otomatik anons edilir. Beşincisi, AB barındırması: barındırma konumu olarak Hetzner Falkenstein ve Nürnberg, özel Microsoft Azure OpenAI (Microsoft Ireland Operations Ltd., Sweden Central, EU Data Boundary üzerinde AB dil modelleri – Microsoft Corp. ABD ana şirketidir; /security üzerinde şeffaf olarak belirtilir), müşteri verileriniz için AB veri ikametgâhı.