Türkiye'nin Yapay Zeka Yasası: Kurum Modeli, Cezalar ve AB Uyumu Netleşiyor

Ankara — Türkiye'nin yapay zeka (YZ) ekosistemini yasal bir çerçeveye oturtma süreci, 2026-2030 Yapay Zeka Eylem Planı'nın Haziran'da yürürlüğe girmesi ve TBMM Özel Komisyonu'nun son haftalarda taslağını bitirmesiyle somut bir meşreye ulaştı. Cumhurbaşkanlığı Dijital Dönüşüm Ofisi (CDDO), Endüstri ve Teknoloji Bakanlığı ile KVKK'nın ortak koordinasyonunda hazırlanan tasarı; AB Yapay Zeka Yasası (AI Act) ile uyumlu, risk tabanlı bir yaklaşım benimserken, "ulusal güvenlik" ve "veri egemenliği" istisnalarıyla yerel farklılıklarını da koruyor.

Kurum modeli: "Müsteşarlık" mı, "Müstaçil Kurum" mu?

En kritik tartışma konusu olan denetim organının statüsü, komisyon raporunda "bağımsız idari otorite" niteliğinde, Cumhurbaşkanlığına bağlı ama işleyişte özerk bir "Türkiye Yapay Zeka Kurumu" olarak önerildi. Bu model, KVKK ve Rekabet Kurumu'ndaki bağımsızlık ilkelerini referans alıyor. Kurum; yüksek riskli sistemlerin piyasa öncesi uyum değerlendirmesini (CE markası eşdeğeri), algoritmik denetimleri, şikayet mekanizmalarını ve cezai yaptırımları tek çatı altında toplayacak. Bakanlık yetkileri ise strateji, teşvik ve altyapı (ulusal çip, bulut, veri merkezi) alanlarında kalarak "oyuncu-hakem" ayrımı netleştirilmesi hedefleniyor.

Risk piramidi ve sektörel yansımalar

Tasarı, AB yönetmeliğindeki dörtlü sınıflandırmayı (yasaklı, yüksek risk, sınırlı risk, minimal risk) neredeyse birebir benimsiyor. Ancak "yasaklı uygulamalar" listesine; biyometrik uzaktan kimlik doğrulama (kamu alanında gerçek zamanlı), sosyal skorlama ve altbilinç manipülasyonu yanında, "ulusal güvenlik ve istihbarat faaliyetlerinde kullanılan sistemler" için geniş bir istisna kapısı açılıyor. Bu madde, sivil toplum kuruluşları tarafından "denetimsiz gözetim" riski taşıdığı gerekçesiyle eleştirilirken, resmi çevreler "egemenlik alanı" argümanıyla savunuyor.

Yüksek riskli kategoriye giren; sağlık (teşhis sistemleri), finans (kredi notu hesaplama), eğitim (sınav değerlendirme), işe alım (CV tarama) ve kritik altyapı sistemleri; piyasaya sürülmeden önce "Uyum Değerlendirmesi Raporu" sunmak zorunda kalacak. Bankacılıkta BRSA, sağlıkta Bakanlık, medyada RTÜK/TİMBİR koordinasyonunda sektörel denetim rehberleri hazırlanıyor.

Cezalar global ciroya endeksli, KOBİ'ler için "kum havuzu"

Tasarının en sert olduğu nokta cezai yaptırımlardır. Yasaklı sistemler için global yıllık cironun %7'sine (AB'de %7), yüksek riskli sistemlerde uyumsuzluk için %3'üne (AB'de %3) kadar idari para cezası öngörülüyor. Küçük ve orta ölçekli girişimlerin (KOBİ) bu maliyetin altına girmemesi için tasarıda "Kum Havuzu (Sandbox)" mekanizması yer alıyor. Belirli bir süre (ilk taslakta 12 ay, uzatılabilir) denetimden muaf tutulan bu test ortamında; veri anonimizasyonu, model doğruluğu ve önyargı testleri Kurum gözetiminde gerçekleştirilebilecek. Ayrıca KOBİ'ler için uyum geçiş süresi 24 ay olarak uzatıldı.

AB uyumu: İhracat kapısı ve veri serbest dolaşımı

Türkiye'nin AB'ye YZ tabanlı yazılım, sağlık cihazı ve otomotiv bileşeni ihracat yapan firmaları için bu yasa "uyum belgesi" niteliğinde. AB AI Act'in 2 Ağustos 2026 tam uygulama tarihi, Türkiye tasarısının Meclis'ten geçme hızını belirleyen dış bir dinamik oldu. KVKK'nın "yeterlilik kararı" süreciyle paralel giden bu harmonizasyon; Avrupa pazarına girişte "CE markası" zorunluluğunu karşılayan yerli sertifikasyon altyapısının (TSE, ULUSAL YZ Standartları) kurulmasını da zorunlu hale getiriyor.

Medya ve içerik: TİMBİR "Anayasası" yasa taslağını tetikledi

Geçen ay TİMBİR'in yayımladığı "Yapay Zeka Anayasası" (Son Söz İnsanda), medya sektörünün kendi iç dinamiklerle çizdiği kırmızı çizgiler, yasa taslağının "sınırlı risk" kategorisindeki şeffaflık yükümlülüklerini (içerik üretiminde YZ kullanımının bildirilmesi, derin sahte tespiti) güçlendirdi. Sinem Uğrarlı raporlarının da işaret ettiği "ajanik yayıncılık" dönüşümünde; algoritmik kuratörlük, otomatik haber yazımı ve kişiselleştirme algoritmaları için "insan denetiminde karar" ilkesi yasal garanti altına alınıyor.

Yerli LLM ve veri egemenliği teşvikleri

Eylem Planı'nın "Yerli ve Milli" başlığı altındaki en somut adım; BERTurk, GPT-TR gibi büyük dil modellerinin (LLM) geliştirilmesi için TÜBİTAK BİLGEM ve üniversite laboratuvarlarına (ODTÜ, Boğaziçi, İTÜ) ayrılan özel fon ve hesaplama kapasitesi (TRUBA Gen2) teşvikleri. Tasarı, yüksek riskli kamusal sistemlerde (e-Devlet, MHHS, UYAP) "yerli model kullanımını tercih edici" bir madde taşıyor. Veri yerelleştirme zorunluluğu ise KVKK ile uyumlu olarak; hassas veri işleyen YZ sistemlerinin eğitim verilerinin Türkiye sınırları içinde kalması yönünde bir "veri egemenliği" maddesiyle destekleniyor.

İlerleyen süreç: Meclis gündemi ve sandık sonrası

Komisyon raporu Genel Kurul'a taşındı. Resmi kaynakların aktardığına göre tasarının, Meclis'in açılış yılı gündeminin yoğunluğuna göre sonbahar oturumunda (Kasım-Aralık 2026 aralığı) görüşülmesi bekleniyor. Eğer bu takvim tutarsa yasa 2027 yılı başında Resmi Gazete'de yayımlanabilir. Ancak seçim yılı (2028) yaklaştıkça "geçiş süreleri" ve "ceza üst sınırları" üzerinde son dakika uzlaşımları (özellikle KOBİ ceza indirimi ve güvenlik istisnalarının kapsamı) gündeme gelebilir. Ekosistem için kritik olan; Kurum başkanının kim olacağı ve personel kadrosunun (uzman personel ihracı) ne zaman tamamlanacağı olacak. Çünkü yasa çıkarınca, denetim başlar.