AB Yapay Zeka Yasası (EU AI Act) Uyumluluğu ve Yüksek Riskli AI Sistemleri İçin ISO 42001

Regülasyon Özeti: Avrupa Birliği Yapay Zeka Yasası (EU AI Act — Tüzük AB 2024/1689), merkezi AB dışında (örneğin Türkiye'de) olsa dahi çıktıları Avrupa Birliği içinde kullanılan tüm yapay zeka sağlayıcılarını ve dağıtıcılarını kapsar; uyumsuzluk halinde 35 milyon Euro'ya veya küresel cironun %7'sine varan idari para cezaları öngörür. ISO/IEC 42001:2023 (AIMS); risk yönetim sistemi, veri yönetişimi, teknik dokümantasyon, kayıt tutma, şeffaflık ve insan gözetimi şartlarını tek bir denetlenebilir çerçevede karşılayan temel uluslararası uyum köprüsüdür.

AB Yapay Zeka Yasası (EU AI Act) Türkiye'deki Şirketleri Hangi Durumlarda Bağlar?

Ankara veya İstanbul'daki bir teknoloji firmasının EU AI Act kapsamına girmesi için Avrupa'da fiziksel şubesinin bulunması şart değildir. Aşağıdaki üç senaryodan biri mevcutsa şirketiniz doğrudan AB Yapay Zeka Yasası yükümlüsüdür:

• Avrupa Birliği pazarında yapay zeka tabanlı bir yazılım, SaaS platformu, mobil uygulama veya gömülü donanım (CE işaretli tıbbi cihaz, makine, otomotiv bileşeni) piyasaya sürüyorsanız,
• Türkiye'de çalışan yapay zeka sisteminizin ürettiği çıktılar (örneğin kredi/risk skoru, aday değerlendirme raporu, yazılım analizi, müşteri etkileşimi) AB sınırları içindeki kurum veya kişiler tarafından kullanılıyorsa,
• Avrupalı bir ana sanayi veya teknoloji grubunun (OEM / Enterprise) onaylı yazılım ve veri tedarik zincirinde yer alıyorsanız.

EU AI Act 4 Kademeli Risk Piramidi ve ISO/IEC 42001 Eşleştirme Tablosu

EU AI Act tüm yapay zeka uygulamalarını aynı kefeye koymaz; risk temelli dört kademeli bir sınıflandırma uygular ve en ağır mühendislik yükümlülüklerini Yüksek Riskli (High-Risk) AI Sistemleri ile Genel Amaçlı AI (GPAI) modellerine getirir:

EU AI Act Madde 8–17 Zorunluluklarının ISO/IEC 42001 Maddeleriyle Bire Bir Örtüşmesi

Yüksek riskli bir yapay zeka ürünü geliştiren veya kullanan firmalar için ISO/IEC 42001 kurulumu, AB denetçilerinin aradığı 7 temel yasal şartı doğrudan karşılar:

• Madde 9 Risk Yönetim Sistemi: ISO 42001 Madde 6.1 ve Ek-A.5 ile yaşam döngüsü boyunca sürekli ve yinelemeli AI risk analizi kurulur.
• Madde 10 Veri ve Veri Yönetişimi: ISO 42001 Ek-A.7 kontrolleriyle eğitim, doğrulama ve test veri setlerinin temsiliyeti, hatasızlığı ve önyargı (bias) arındırması belgelendirilir.
• Madde 11 & 12 Teknik Dokümantasyon ve Kayıt Tutma: Ek-A.6 yaşam döngüsü kontrolleriyle mimari tasarım kararları ve otomatik olay/çıktı logları muhafaza edilir.
• Madde 13 & 14 Şeffaflık ve İnsan Gözetimi (Human Oversight): Ek-A.8 ve Ek-A.10 ile dağıtıcılara kullanım kılavuzu sunulur, insan müdahalesi (override / stop) mekanizmaları tanımlanır.
• Madde 15 Doğruluk, Sağlamlık ve Siber Güvenlik: ISO/IEC 27001:2022 entegrasyonu ile veri zehirlenmesi ve model tersine mühendislik saldırılarına karşı savunma kurulur.
• Madde 17 Kalite Yönetim Sistemi: Yasanın açıkça şart koştuğu yazılı kalite ve yönetişim sistemi, doğrudan akredite ISO/IEC 42001 AIMS yapısıdır.

Türkiye'de Beklenen Ulusal Yapay Zeka Düzenlemeleri ve KVKK Üretken AI Rehberi

Avrupa Birliği'nin yanı sıra Türkiye'de de Ulusal Yapay Zeka Stratejisi, Kişisel Verileri Koruma Kurumunun üretken yapay zeka tavsiyeleri ve sektörel düzenleyicilerin (BDDK, SPK, Sağlık Bakanlığı) algoritmik denetim beklentileri hızla olgunlaşmaktadır. Bugünden ISO/IEC 42001 kuran kuruluşlar hem AB ihracat pazarını güvenceye alır hem de ulusal mevzuata proaktif uyum sağlar.

AB Pazarına Açılan Teknoloji Şirketleri İçin EU AI Act Uyum Kontrol Listesi

Avrupa'daki müşterilerinizle sözleşme imzalarken veya yatırımcı teknik incelemesine (Technical Due Diligence) girerken elinizi güçlendiren beş adımlı uyum doğrulaması:

• 1. Ürün ve Özellik Bazlı Risk Sınıflandırma Raporu: Yazılımınızdaki her AI özelliğinin EU AI Act Madde 5, Madde 6 (Ek-I / Ek-III) ve Madde 50 karşısındaki hukuki ve teknik statüsünün yazılı olarak belirlenmesi.
• 2. GPAI ve Alt Model Tedarikçi Dosyası: Kullandığınız temel model (OpenAI, Anthropic, Mistral, Meta Llama vb.) sağlayıcılarının AB şeffaflık, telif ve veri koruma taahhütlerinin arşivlenmesi.
• 3. Kullanım Talimatları ve Şeffaflık Bildirimi (Instructions for Use): Müşterilerinize modelin amaçlanan kullanımını, bilinen kısıtlarını, doğruluk metriklerini ve insan gözetimi gereksinimlerini açıklayan standart teknik bülten sunulması.
• 4. Otomatik Olay Loglama ve Ciddi Olay Bildirim Prosedürü: Yüksek riskli sistemlerde karar izlenebilirliğini sağlayan log saklama süresi ve olası ciddi arızalarda bildirim eskalasyonunun tanımlanması.
• 5. Uluslararası Akredite ISO/IEC 42001 Sertifikası: Tüm bu süreçlerin bağımsız üçüncü taraf denetiminden geçtiğini gösteren küresel AIMS belgesinin Güven Merkezinizde (Trust Center) yayınlanması.