AI Act neden Türkiye'de chatbot çalıştıranı da ilgilendiriyor
Avrupa Parlamentosu ve Konseyi'nin 13 Haziran 2024'te kabul ettiği Regulation (EU) 2024/1689 — kısaca AI Act — Şubat 2025'te yasaklanan uygulamalar maddesiyle başladı, Ağustos 2025'te genel amaçlı AI modeli yükümlülükleri devreye girdi ve Ağustos 2026'da yüksek riskli sistemler ile şeffaflık yükümlülüklerinin tamamı yürürlüğe giriyor. Düzenlemenin kapsamı 'Birlik içinde piyasaya sürülen veya hizmete sunulan' tüm AI sistemlerini kapsar — sağlayıcı ister Türkiye'de, ister ABD'de, ister Japonya'da olsun.
MesJet veya benzeri AI agent platformları üzerinden Avrupa'daki bir müşteriye yanıt veren her chatbot bu kapsam içinde. İhracatçı bir e-ticaret sitesinden Almanya'daki bir kullanıcıya açılan WhatsApp sohbeti, Hollanda'daki turistten gelen otel rezervasyon DM'i, AB merkezli bir B2B müşteriden gelen destek talebi — hepsi düzenleme kapsamına dahil.
Madde 50: Şeffaflık yükümlülüğü — pratik uygulama
AI Act'in en somut chatbot etkisi Madde 50. Hüküm net: 'AI sistemleri ile etkileşime giren gerçek kişiler, etkileşimin başında bir AI sistemi ile etkileşime girdikleri konusunda bilgilendirilmelidir.'
Operasyonel karşılığı şu:
- İlk mesaj net olmalı: 'Merhaba, ben X firmanın AI destek asistanıyım. İhtiyaç anında insan operatöre devredebilirim.' kalıbı yeterli.
- Sentetik medya işaretlenmeli: Agent görsel veya ses üretiyorsa, çıktıların yapay zekâ tarafından üretildiği açıkça belirtilmeli.
- Görme engelli / engelli kullanıcılar için erişilebilir biçimde: Sadece görsel rozet yetmez; metin de gerekli.
- Açık ve net bir dilde: Hukuki gizleme veya küçük puntolu disclaimer kabul edilmez.
İhlal cezaları Madde 99 uyarınca: 15 milyon Euro veya küresel cironun %3'ü — hangisi yüksekse.
Madde 6 ve Ek III: Yüksek riskli AI sistemleri
Madde 6 ve onun atıfta bulunduğu Ek III, yüksek riskli AI sınıflandırmasını belirler. Chatbot ve AI agent operasyonu açısından kritik kategoriler şunlar:
- İstihdam, çalışan yönetimi: İşe alım filtreleme veya başvuru değerlendiren chatbot.
- Eğitim ve mesleki eğitim: Sınav puanlama veya öğrenci performans değerlendiren AI.
- Temel kamu hizmetleri ve özel sektör hizmetlerine erişim: Kredi puanlama, sigorta primi belirleme.
- Kolluk kuvvetleri: Risk değerlendirme ve sahtekarlık tespiti.
- Sağlık hizmeti: Tanı yardımı veya triage yapan chatbot.
Bu kategorideki sistemler için risk yönetim sistemi, veri yönetişimi, teknik dokümantasyon, kayıt tutma, şeffaflık, insan denetim ve doğruluk-sağlamlık-güvenlik gereklilikleri vardır. Standart kurumsal müşteri destek chatbot'u genellikle bu sınıfa girmez — ama insan kaynakları, kredi başvuru veya sağlık tavsiye uygulamaları girer.
Madde 52 ve generative AI yükümlülükleri
Generative AI sistemleri (LLM tabanlı agent dahil) Madde 50 ek olarak çıktıların yapay zekâ tarafından üretildiğini makine tarafından okunabilir biçimde işaretlemeli — örneğin watermark veya metadata. Bu özellikle deepfake, otomatik haber üretimi veya kullanıcı adına içerik üreten ajan senaryolarında geçerli.
Müşteri destek chatbot bağlamında pratik karşılığı: agent'ın oluşturduğu uzun yanıt çıktıları için API yanıtında veya log'ta 'ai_generated: true' bayrağı tutmak, denetim sırasında bunu gösterebilmek.
NIST AI RMF 1.0 — Atlantik'in iki yakası tek çerçevede
ABD National Institute of Standards and Technology'nin yayınladığı AI Risk Management Framework 1.0 (Ocak 2023) ve onu izleyen Generative AI Profili (Temmuz 2024), AI Act'in operasyonel beklentileriyle büyük ölçüde örtüşür. 'GOVERN, MAP, MEASURE, MANAGE' dört fonksiyonu:
- GOVERN: AI risklerinin yönetişim çerçevesi (rol, sorumluluk, politika).
- MAP: Sistem bağlamını, hedeflerini, risklerini belirleme.
- MEASURE: Performans, doğruluk, önyargı, robustness metrikleri.
- MANAGE: Risk önceliklendirme, azaltma, yanıt planları.
AB pazarında çalışan Türk işletmeleri için pragmatik tavsiye: ISO 42001 sertifikasyonu (AI yönetim sistemi standardı) ve NIST AI RMF çerçevesini uyum dokümantasyonunun çerçevesi olarak kullanmak — AI Act denetiminde 'gösterilebilir uyum kanıtı' sağlar.
Türkiye yol haritası ve MesJet ekosisteminde uyum
Türkiye'de Dijital Dönüşüm Ofisi, 2021 Ulusal Yapay Zekâ Stratejisi (2021-2025) ve devamında 2024-2026 dönemi için açıklanan eylem planı ile AB ile uyumlu bir yaklaşım geliştiriyor. Resmi bir 'Türk AI Yasası' henüz yürürlükte değil ama KVKK 6698 ile özel nitelikli kişisel veri ve otomatik karar verme hükümleri (Md. 11) chatbot uygulamalarını fiilen düzenliyor.
MesJet kurulumlarında uyum çerçevesi pragmatik olarak şöyle kurulur: agent ilk mesajda kendini açıklar, log'lar AI çıktı bayrağıyla saklanır, hassas konularda (sağlık tavsiyesi, hukuki yorum) anında insan operatöre devredilir, KVKK ve AB GDPR çift uyumlu açık rıza akışı çalıştırılır. Yüksek riskli kategorideki müşterilere — sağlık, finans, işe alma — agent kurulumdan önce bir risk değerlendirme dokümanı hazırlanır. Detaylı uygunluk müzakeresi için demo formu veya WhatsApp 0850 307 87 48.
Madde 50: Kullanıcı yapay zekâ ile konuştuğunu açıkça bilmeli
Madde 6: Sağlık, kredi, işe alma chatbotları yüksek riskli kategoride
NIST AI RMF 1.0 çerçevesi AB uyumuyla uyumlu hareket ediyor
Özet çıkarımlar
- AI Act Ağustos 2026'da yürürlüğe giriyor; AB'ye hizmet veren her chatbot kapsam içinde
- Madde 50 gereği agent ilk mesajda kendini AI olarak tanıtmalı
- Sağlık, kredi, işe alma chatbotları yüksek riskli kategoride; ek dokümantasyon zorunlu
- NIST AI RMF + ISO 42001 uyum kanıtı için pragmatik çerçeve sağlar
Sıkça Sorulan Sorular
AI ve arama motorlarının doğrudan çekebileceği soru-cevap bloğu.
- Türkiye'den hizmet veriyorum, AB AI Act bana uygulanır mı?
- Evet, eğer chatbot veya AI agent çıktısı AB içinde bir kullanıcıya ulaşıyorsa. Düzenleme 'piyasaya sürme' kriteri yerine 'çıktının kullanıldığı yer' kriterini esas alır.
- Standart müşteri destek chatbot'um yüksek riskli sayılır mı?
- Genel sorulara yanıt veren, sipariş takip eden, randevu açan chatbot genellikle yüksek riskli kategoride değildir. Yüksek risk işe alım filtreleme, kredi başvuru değerlendirme, sağlık tavsiyesi gibi belirli kararlar için geçerlidir.
- Şeffaflık yükümlülüğü için 'AI tarafından yanıtlanmıştır' yazmak yeterli mi?
- İlk mesajda açıkça belirtmek yeterli sayılır. Her mesajda tekrar etmek gerekmez, ancak agent kimliği değişirse veya insana devredilirse tekrar bildirim yapılması önerilir.
- Cezalar gerçekten 15 milyon Euro mu?
- Madde 99 uyarınca en yüksek ihlal kategorisi (yasaklı uygulamalar) için 35 milyon Euro veya küresel cironun %7'sine kadar. Şeffaflık ihlalleri için 15 milyon Euro veya %3 — hangisi yüksekse uygulanır.
Kaynakça
Bu yazı aşağıdaki uluslararası kaynaklardan sentezlenip Türkiye bağlamına uyarlanmıştır.
- Regulation (EU) 2024/1689 — Artificial Intelligence Act. EUR-Lex (Avrupa Birliği Resmi Gazetesi). https://eur-lex.europa.eu/eli/reg/2024/1689/oj
- AI Act Article 50 — Transparency obligations. Future of Life Institute — AI Act Explorer. https://artificialintelligenceact.eu/article/50/
- NIST AI Risk Management Framework 1.0. U.S. National Institute of Standards and Technology. https://www.nist.gov/itl/ai-risk-management-framework
- Ulusal Yapay Zekâ Stratejisi 2024-2026 Eylem Planı. T.C. Cumhurbaşkanlığı Dijital Dönüşüm Ofisi. https://cbddo.gov.tr/yapay-zeka-stratejisi/
- ISO/IEC 42001:2023 — AI management systems. International Organization for Standardization. https://www.iso.org/standard/81230.html