AB AI Act: 50. madde 02.08.2026'dan beri uygulanıyor.

AB AI Act nedir ve KOBİ'leri neden ilgilendirir?

AB AI Act, resmî adıyla yapay zekâya ilişkin (AB) 2024/1689 sayılı Tüzük, 1 Ağustos 2024'te yürürlüğe girdi ve aşamalı olarak uygulanıyor. Yapay zekâ sistemlerini riske göre sınıflandırır: Belirli uygulamalar yasaktır, örneğin personel seçiminde veya kredi tahsisinde kullanılan yüksek riskli sistemler uygunluk değerlendirmesi gerektirir, müşteri iletişimindeki yapay zekâ için ise şeffaflık yükümlülükleri geçerlidir. Tüzük iki rolü birbirinden ayırır. Sağlayıcı, bir yapay zekâ sistemini geliştirir ve piyasaya sunar. Uygulayıcı (İngilizce deployer) ise sistemi kendi şirketinde kullanır. Bir yapay zekâ telefon asistanı veya sohbet ajanı kullanan, uygulayıcıdır. Bir yapay zekânın konuştuğu veya yazdığı bildirimini Madde 50 fıkra 1 uyarınca sağlayıcı yapmakla yükümlüdür. Uygulayıcı, Madde 4 uyarınca personelinin yapay zekâ okuryazarlığını sağlar ve özel durumlarda kendi yükümlülüklerine sahiptir; örneğin deepfake'lerde veya kamuyu ilgilendiren konularda yayımladığı yapay zekâ metinlerinde (Madde 50 fıkra 4). Tüzük, yapay zekâ sistemlerini AB'de sunan üçüncü ülke sağlayıcıları için de geçerlidir. Bu nedenle ABD'li bir sağlayıcının aracını kullananlar, yapay zekâ bildiriminin orada gerçekten uygulanıp uygulanmadığını kontrol etmelidir.

DACH KOBİ'leri için 2026'nın en önemli 4 yükümlülüğü

Birincisi, Madde 4 (yapay zekâ okuryazarlığı), 2 Şubat 2025'ten beri. İşletmede yapay zekâ kullanan, onunla çalışan personelin yapay zekâ okuryazarlığını geliştirir. Tüzük belirli bir biçim veya sertifika öngörmez, ancak kısa bir iç açıklama işe yarar: yapay zekânın nasıl kullanıldığı, neyi yapamayacağı, ne zaman bir insana devrettiği. İkincisi, Madde 50 (şeffaflık), 2 Ağustos 2026'dan beri. Bir yapay zekâ sistemiyle konuşan veya yazışan kişi, bunu en geç ilk temasta açıkça öğrenmelidir. Telefonda bu, karşılamanın bir yapay zekânın konuştuğunu açıklaması demektir. Sohbette görünür bir bildirim, e-postalarda metin içinde bir bildirim. Madde 50 fıkra 1 uyarınca bu yükümlülük sağlayıcıya aittir. Üçüncüsü, GDPR Madde 28 (veri işleyen). Kişisel verileri bir hizmet şirketine işleten, bir veri işleme sözleşmesine ihtiyaç duyar. Dördüncüsü, GDPR Madde 22 (otomatik kararlar). Hukuki sonuç doğuran kararlar yalnızca otomatik işlemeye dayanamaz. Müşteri hizmetlerindeki bir yapay zekâ ajanı için bu şu demektir: Şikâyetlerde, iade taleplerinde veya fesihlerde bir insana devreder.

• Madde 4 yapay zekâ okuryazarlığı: yapay zekâyla çalışan personeli yetkin kılmak (02.02.2025'ten beri)
• Madde 50 şeffaflık: en geç ilk temasta yapay zekâ bildirimi (02.08.2026'dan beri)
• GDPR Madde 28: yapay zekâ sağlayıcısıyla veri işleme sözleşmesi
• GDPR Madde 22: hukuki sonuç doğuran kararlarda insana devir

AB AI Act'te para cezaları, tutarlara genel bakış

AI Act'in 99. maddesi üç kademe öngörür. Madde 5 uyarınca yasaklı uygulamalara ilişkin ihlaller, 35 milyon euroya veya dünya çapındaki yıllık cironun yüzde 7'sine kadar para cezasıyla cezalandırılabilir; büyük şirketlerde yüksek olan tutar geçerlidir. Madde 50 dahil diğer yükümlülüklerin çoğuna ilişkin ihlaller 15 milyon euroya veya yüzde 3'e kadar cezaya yol açar. Makamlara yanlış veya yanıltıcı bilgi verilmesi 7,5 milyon euroya veya yüzde 1'e kadar. Küçük ve orta ölçekli işletmelerde Madde 99 fıkra 6 uyarınca her durumda iki tutardan düşük olanı geçerlidir. Digital Omnibus bunu Madde 99 fıkra 6a ile küçük ölçekli orta büyüklükteki şirketlere (small mid-caps) genişletti, ancak orada yasaklı uygulamalar için değil. Ayrıca üye devletler KOBİ'lerin ekonomik durumunu dikkate almalıdır ve para cezası yerine uyarı da verebilir.

AB AI Act ile GDPR, yükümlülükler nerede örtüşür, nerede örtüşmez

GDPR, kişisel verilerin nasıl işlendiğini düzenler. AI Act ise, kişisel veri söz konusu olmasa bile yapay zekâ sistemlerinin hangi koşullarda kullanıldığını düzenler. Müşteri hizmetlerindeki bir yapay zekâ ajanında ikisi aynı anda geçerlidir. GDPR'den veri işleme sözleşmesi, Madde 13 uyarınca aydınlatma bilgileri ve verilerin nerede işlendiği sorusu gelir. AI Act'ten Madde 50 uyarınca yapay zekâ bildirimi ve Madde 4 uyarınca yapay zekâ okuryazarlığı gelir. GDPR'yi eksiksiz uygulayan bir sağlayıcı, bununla yapay zekâ bildirimini henüz halletmiş olmaz; tersi de geçerlidir. İkisi rinqo'da iç içe işler: Almanya'da Hetzner'de barındırma, veri işleme sözleşmesi, her kanalda yapay zekâ bildirimi, kullanım açıklaması için şablonlar. Merkezi veya barındırması ABD'de olan sağlayıcılarda buna üçüncü ülkelere veri aktarımı sorusu eklenir; bu konu ABAD'ın Schrems II kararından beri özellikle dikkatle incelenmelidir.

rinqo AB AI Act'i nasıl uygular, somut ve denetlenebilir

Birincisi, Madde 50 uyarınca yapay zekâ bildirimi. Sohbette bir yapay zekâ ajanının yanıt verdiği sürekli görünür, ayrıca karşılamadan önce de belirtilir. E-postalarda mesajın otomatik bir asistanla oluşturulduğuna dair bir bildirim yer alır; ikisi de kapatılamaz. Telefonda standart karşılama yapay zekâ bildirimini içerir. Metni siz uyarlarsınız, bildirim ise kalmalıdır. İkincisi, Madde 4: kendi yapılandırmanıza göre uyarladığınız kısa bir kullanım açıklaması için şablonlar. Üçüncüsü, GDPR Madde 28: veri işleme sözleşmesi sözleşme imzalanırken hazırdır. Dördüncüsü, GDPR Madde 13: telefondaki standart karşılama aydınlatma bilgilerini içerir. Beşincisi, barındırma ve veri işleme: Falkenstein ve Nürnberg'de Hetzner, verileri sözleşmeyle garanti altına alınmış şekilde AB'de işleyen dil modelleri, müşteri verileriyle eğitim yok. Alt işleyicilerin tam listesi müşteri hesabınızda yer alır.

AI Act sade bir anlatımla

(AB) 2024/1689 sayılı AI Act, Avrupa'nın yapay zekâ yasasıdır. “AI Act”, “AB Yapay Zekâ Tüzüğü” veya “yapay zekâ yasası” diye aradığınızda kastedilen hep aynı yasadır. Yapay zekâ sistemlerini riske göre sınıflandırır: Yasaklı uygulamalara izin verilmez, yüksek riskli sistemler kapsamlı kanıtlar gerektirir, müşteri iletişimindeki yapay zekâ ise şeffaflık yükümlülüklerine tabidir. Çoğu KOBİ için iki madde önemlidir. Madde 4, 02.02.2025'ten beri şirketlerin yapay zekâyla çalışan personelin yapay zekâ okuryazarlığını geliştirmesini gerektirir. Zorunlu olmasa da kısa bir açıklama işe yarar: Yapay zekâyı kim, hangi amaçla kullanıyor, sınırlar nerede, ne zaman bir insan devralıyor. Madde 50, 02.08.2026'dan beri insanların bir yapay zekâyla konuştuklarını öğrenmesini gerektirir. Bu yükümlülük yapay zekâ sisteminin sağlayıcısına aittir. Yapay zekâyı yalnızca kullanan, Tüzük'te “uygulayıcı” olarak adlandırılır ve öncelikle kendi ekibindeki yapay zekâ okuryazarlığından sorumludur. Bir yapay zekâ telefon asistanı, bir sohbet widget'ı veya bir e-posta ajanı bu kapsama girer. Telefon, sohbet ve e-posta ajanı rinqo'da kendini varsayılan olarak yapay zekâ olarak tanıtır. Sohbette ve e-postalarda bildirim kapatılamaz; telefonda ise metnini sizin uyarladığınız karşılamada yer alır.

Yapay zekâ için bildirim yükümlülüğü: Art. 50 tam olarak ne gerektiriyor

AI Act'in Madde 50 fıkra 1'i sağlayıcıları, insanlarla doğrudan etkileşime giren yapay zekâ sistemlerini bu kişilerin bir yapay zekâyla muhatap olduklarını öğrenecekleri şekilde tasarlamakla yükümlü kılar; bu durum zaten açıkça belli değilse. Madde 50 fıkra 5 uyarınca bilgi açık ve ayırt edilebilir olmalı, en geç ilk temasta verilmeli ve erişilebilir olmalıdır. Bu, 02.08.2026'dan beri bağlayıcıdır. KOBİ istisnası yoktur. Telefonda bu, görüşmenin başında bir anons; sohbette görünür bir bildirim; e-postalarda metin içinde bir bildirim demektir. Uygulayıcıların Madde 50 fıkra 3 ve 4 uyarınca kendi yükümlülükleri vardır; örneğin duygu tanıma sistemlerinde, deepfake'lerde veya kamuyu ilgilendiren konulardaki yapay zekâ metinlerinde. Madde 50 ihlalleri 15 milyon euroya veya dünya çapındaki yıllık cironun yüzde 3'üne kadar para cezasıyla cezalandırılabilir; KOBİ'lerde düşük olan tutarla. Bildirim rinqo'da her müşteri kanalında varsayılan olarak etkindir. Sohbette ve e-postalarda kapatılamaz; telefonda ise metnini sizin uyarladığınız karşılamada yer alır. Buna ek olarak, GDPR Madde 28 uyarınca veri işleme sözleşmesi sözleşme imzalanırken hazırdır.

Yüksek riskli yapay zekâ: Şirketimi ilgilendiriyor mu?

Müşteri hizmetleri ajanları kural olarak yüksek riskli yapay zekâ değildir. AI Act'in Ek III'ü yüksek riskli alanları listeler ve olağan müşteri iletişimi bunlara dahil değildir. Yüksek risk örneğin adayları seçen veya çalışanları değerlendiren, kredi değerliliği hakkında karar veren ya da kritik altyapıyı yöneten yapay zekâ olurdu. Bu tür sistemler uygunluk değerlendirmesi, risk yönetimi ve belgelenmiş insan gözetimi gerektirir; Digital Omnibus uyarınca 2 Aralık 2027'den itibaren. Aramaları karşılayan, soruları yanıtlayan, randevu oluşturan ve karmaşık vakaları insanlara aktaran bir yapay zekâ ajanı bu kategorilere girmez. Onun için Madde 50'deki şeffaflık yükümlülükleri geçerlidir. Nitekim rinqo ajanları yanıtlar, yönlendirir ve devreder. İstihdam, kredi veya diğer Ek III alanlarında karar vermezler. İki dürüst kısıtlama var. Sınıflandırma ürün adına değil, somut kullanıma bağlıdır: Aynı ajanı personel seçimi için kullanan, yüksek risk alanına girer. Ayrıca bu sayfa bir yol göstericidir, hukuki danışmanlık değildir. Sınırda kalan durumları hukuken değerlendirtmelisiniz.

AI Act özeti: 2026 takvimi ve yükümlülükler

KOBİ'ler için iki tarih önemlidir: Madde 4, 02.02.2025'ten; Madde 50 ise 02.08.2026'dan beri geçerlidir. Şubat 2025'ten beri yapay zekâyla çalışan personelinizin yapay zekâ okuryazarlığını geliştirirsiniz. Sabit bir belgelendirme zorunluluğu yoktur, yine de kullanım sınırlarının ve devir kurallarının kısa bir açıklaması işe yarar. Ağustos 2026'dan beri müşteri iletişimindeki yapay zekâ, yapay zekâ olarak tanınabilir olmalıdır; yükümlülük sağlayıcıya aittir, yine de kullandığınız her araç için bunu kontrol etmelisiniz. Madde 50 ihlalleri 15 milyon euroya veya dünya çapındaki yıllık cironun yüzde 3'üne kadar cezaya yol açar; KOBİ'lerde düşük olan tutar geçerlidir. Şimdi yapmanız gerekenler: Birincisi, müşteri iletişiminde kullandığınız tüm yapay zekâ araçlarını kayıt altına alın. İkincisi, ekibinizin yapay zekânın neyi yapıp neyi yapamayacağını bilmesini sağlayın. Üçüncüsü, her araç için yapay zekâ bildiriminin etkin olup olmadığını kontrol edin. Dördüncüsü, GDPR Madde 28 uyarınca bir veri işleme sözleşmesinin bulunup bulunmadığını kontrol edin. Yapay zekâ bildirimi ve veri işleme sözleşmesi rinqo'da ilk günden mevcuttur. Barındırma Falkenstein ve Nürnberg'de Hetzner'dedir (ISO 27001:2022); dil modelleri verileri sözleşmeyle garanti altına alınmış şekilde AB'de işler, müşteri verilerinizle eğitim yapılmaz. Aylık iptal edilebilir.

• 02.02.2025: Madde 4 yapay zekâ okuryazarlığı, yapay zekâ kullanan tüm şirketler için geçerli
• 02.08.2026: Müşteri iletişiminde Madde 50 yapay zekâ bildirimi
• Madde 50 için ceza çerçevesi: 15 milyon euroya veya dünya çapındaki yıllık cironun yüzde 3'üne kadar, KOBİ'lerde düşük olan tutar
• Şimdi yapılacaklar: yapay zekâ araçlarını kayıt altına almak, ekibi yetkin kılmak, yapay zekâ bildirimini ve veri işleme sözleşmesini kontrol etmek