Türkiye’de yapay zekâ düzenlemesi: bugün geçerli kurallar ve yapay zekâ kanunu çıkmadan şirketlerin yapması gerekenler

14 Ekim 2026 itibarıyla Türkiye Büyük Millet Meclisi (TBMM) internet sitesinde baktığım yapay zekâ kanun tekliflerinin hepsi “komisyonda” görünüyor.

Meclisteki yapay zekâ araştırma komisyonunun başkanı 26 Mart 2026’da, ülkenin kendine özgü bir yapay zekâ düzenlemesine ihtiyacı olduğunu söyledi. Hükûmetin Türkiye Yapay Zekâ Eylem Planı (2026-2030) da çerçevenin genel bir kanuni zemine oturacağını belirtiyor.

Meclisteki yapay zekâ kanun teklifleri

24 Haziran 2024’te sunulan 2/2234 esas numaralı teklif (“Yapay Zeka Kanun Teklifi”), yapay zekâ sistemleri için düzenleyici bir çerçeve kurmayı öngörüyor. Kasım 2025 ile Ekim 2026 arasında sunulanlardan bazıları şunlar:

• 7 Kasım 2025’te sunulan 2/3358 esas numaralı teklif, yapay zekâ sistemlerine ilişkin düzenlemeler yapmak üzere birkaç kanunda değişiklik öngörüyor.
• 3 Aralık 2025’te sunulan 2/3404 esas numaralı teklif, içerik sağlayıcılara yapay zekâyla üretilmiş tüm sesli, yazılı veya görüntülü iletileri 5651 sayılı Kanun kapsamında görünür biçimde işaretleme zorunluluğu getirmeyi öngörüyor. Uymayanlar ise halkı yanıltıcı bilgiyi alenen yayma suçunu düzenleyen Türk Ceza Kanunu’nun 217/A maddesine göre cezalandırılacak.
• 8 Ocak 2026’da sunulan 2/3465 esas numaralı teklif, 6698 sayılı Kanun’da değişiklik öngörüyor. Teklife göre, yapay zekâyla üretilmiş sesli, yazılı veya görüntülü iletilerin kişinin izni olmadan paylaşılmasına imkân veren sosyal medya aracı ya da dijital platform, bir önceki yıl cirosunun %5’i oranında idari para cezasıyla karşı karşıya kalacak; ceza her bir ileti için ayrı ayrı uygulanacak.
• 2 Ekim 2026’da sunulan 2/3909 esas numaralı teklif ise dijital telif haklarıyla ilgili.

Araştırma komisyonu (TBMM Yapay Zeka Araştırma Komisyonu), tekliflerin beklediği ihtisas komisyonlarından ayrı bir yapı. Komisyon raporunu 26 Şubat 2026’da TBMM Başkanına sundu. TBMM’nin aktardığına göre komisyon başkanı, raporda risk temelli bir düzenleme modeli de dâhil 100 öneri bulunduğunu söyledi.

Türkiye Yapay Zekâ Eylem Planı (2026-2030)

18 Ağustos 2026 tarihli ve 33344 sayılı Resmî Gazete’de yayımlanan 2026/9 sayılı Cumhurbaşkanlığı Genelgesi, kamu kurum ve kuruluşlarından plan kapsamındaki görevlerini yerine getirmelerini istiyor. Genelge, bugün için özel şirketleri bağlamıyor.

Eylem 4, AB’nin orantılı risk yaklaşımını dikkate alan ve yükümlülükleri risk düzeyine göre kademelendiren bir çerçeve öngörüyor:

• Düşük riskli uygulamalar kontrol listelerine dayanacak.
• Orta riskli uygulamalar kısa form Algoritmik Etki Değerlendirmesine dayanacak.
• Yüksek etkili uygulamalar ise genişletilmiş bir değerlendirmeye, kamuya açık bir model özetine (Model Kartı) ve denetleyici kurumlara sunulacak ayrıntılı bir teknik dosyaya dayanacak.

Plan, yüksek etkili sistemleri şu alanları kapsayacak şekilde tanımlayacak:

• Sağlık
• Eğitim
• İstihdam
• Sosyal yardım
• Kredi değerlendirme
• Biyometrik tanıma
• Kolluk ve adalet süreçleri
• Çocukları ve hassas grupları doğrudan etkileyen uygulamalar

Ulusal Yapay Zekâ Etik Kurulu rehberlik edecek, etik değerlendirme yapacak ve başvuruları yönlendirecek. Bağlayıcı denetim ve yaptırım yetkisi ise sektörel düzenleyici kurumlarda kalacak.

Yapay zekâ araçlarında kişisel veriler ve 6698 sayılı Kanun

6698 sayılı Kişisel Verilerin Korunması Kanunu, kişisel veri işleyen yapay zekâ araçlarına bugün de uygulanıyor. Kişisel Verileri Koruma Kurumunun (KVKK) 24 Kasım 2025 tarihli “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)” başlıklı yayını, Kurumun bu Kanunu üretken yapay zekâ açısından nasıl okuduğunu gösteriyor:

• Rehbere göre, herkese açık kişisel verilerle yapılan eğitim kişi açısından olumsuz bir sonuç doğurabilecekse meşru menfaat şartına dayanılamaz; bir kişinin yüzünü, sesini veya yazışma tarzını taklit eden bir model buna örnek.
• Rehber, “ÜYZ sistemlerimizde kullanmak” gibi muğlak bir amaç tanımının, Kanun’un 4. maddesindeki “belirli, açık ve meşru amaçlar için işlenme” ilkesine aykırı düşebileceği konusunda uyarıyor.

Kişisel veriler Türkiye dışına çıkıyorsa 6698 sayılı Kanun’un 9. maddesi uygulanır. Usulü ise 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete’de yayımlanan yönetmelik belirliyor. Aktarım yolları bir sıra izler ve ilk ikisinde ayrıca 5. veya 6. maddedeki işleme şartlarından birine dayanmak gerekir:

• İlk olarak, Kişisel Verileri Koruma Kurulunun yeterlilik kararı;
• İkinci olarak, standart sözleşme gibi 9. maddenin 4. fıkrasında sayılan uygun güvencelerden biri. Bunun için ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi şart. Standart sözleşmenin imzadan itibaren beş iş günü içinde KVKK’ya bildirilmesi gerekir;
• Üçüncü olarak, arızi aktarım için 9. maddenin 6. fıkrasındaki hâllerden biri.

KVKK, Mart 2026’da iki belge daha yayımladı:

• “İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı” (5 Mart): Belge, “Gölge YZ” (shadow AI) kavramını şöyle tanımlıyor: çalışanların üretken yapay zekâ araçlarını işte kurumun bilgisi, onayı veya kurumsal kontrolü dışında kullanması. İş yeri belgesine göre tümden yasak koymak gerçekçi sonuç vermez; yasaklar çalışanları bu araçları gözden uzak kullanmaya itebilir.
• “Etken Yapay Zekâ (Agentic AI)” (12 Mart): Belge, otonomi arttıkça insan müdahalesi olmadan eylem başlatabilen sistemleri ele alıyor ve insan gözetiminin ne zaman devreye gireceğinin tanımlanması üzerinde duruyor.

Türkiye’de reklam ve rekabet kuralları

1 Temmuz 2026 tarihli ve 33297 sayılı Resmî Gazete’de yayımlanan bir yönetmelik, Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliğini değiştirdi; değişiklik 1 Ağustos 2026’dan beri yürürlükte. Reklamlarda yapay zekâ kullanımını düzenleyen iki hüküm var:

• 18. maddenin 8. fıkrası, bir reklamda yapay zekâ ya da başka bir yazılım tüketicilerin bir mal veya hizmete ilişkin ekonomik davranışını önemli ölçüde etkileyecek şekilde kullanılıyorsa ya da reklamda yapay zekâyla oluşturulmuş ve insandan ayırt edilemeyen dijital karakterler yer alıyorsa, bunun açık, anlaşılır ve ayırt edilebilir biçimde belirtilmesini şart koşuyor.
• 27. maddenin 12. fıkrasına göre reklamlarda, gerçek bir kişinin yapay zekâyla üretilmiş dijital kopyası kullanılarak o kişinin bir mal veya hizmeti bizzat deneyimlediği ya da kullandığı veya önerdiği yönünde gerçeğe aykırı bir izlenim yaratılamaz.

Rekabet Kurumu 7 Nisan 2026’da temel modelleri, veri ve hesaplama gücüne erişimi ve büyük dijital platformlara entegrasyonu ele alan kapsamlı bir sektör incelemesini duyurdu.

AB Yapay Zekâ Tüzüğü Türk şirketlerine nasıl uzanıyor?

Yapay Zekâ Tüzüğü, yani (AB) 2024/1689 sayılı Tüzük, AB sınırlarının ötesinde de uygulanır. Madde 2(1)’e göre kapsama girenlerden bazıları şunlar:

• Madde 2(1)(a): nerede yerleşik olursa olsun, yapay zekâ sistemlerini veya genel amaçlı yapay zekâ modellerini AB’de piyasaya arz eden ya da yapay zekâ sistemlerini AB’de hizmete sunan sağlayıcılar;
• Madde 2(1)(b): AB’deki uygulayıcılar;
• Madde 2(1)(c): çıktının AB’de kullanıldığı durumlarda üçüncü ülkelerdeki sağlayıcılar ve uygulayıcılar;
• Madde 2(1)(d): ithalatçılar ve dağıtıcılar.

Bunu bir Türk şirketine ya da şirketler grubuna uyarlarsak:

• Türkiye’de geliştirilmiş bir aracı kullanan AB’deki bir bağlı şirket genellikle uygulayıcı konumunda olur.
• Türk şirketi, aracı kendisi geliştirmiş ya da geliştirtmişse ve kendi adı veya ticari markasıyla AB’de piyasaya arz ediyor ya da hizmete sunuyorsa, o aracın sağlayıcısıdır.
• Çıktısı AB’de kullanılan bir yapay zekâ sisteminin Türk sağlayıcısı veya uygulayıcısı Madde 2(1)(c) kapsamına girebilir.

AB Yapay Zekâ Tüzüğü takvimi: 2025-2028

Yapay zekâya ilişkin Dijital Omnibus, yani (AB) 2026/1744 sayılı Tüzük, 27 Temmuz 2026’da yürürlüğe girdi. Yasaklar ve şeffaflık tarafında takvim şöyle:

• 2 Şubat 2025: Tüzüğün ilk hâlindeki yasaklar uygulanmaya başladı.
• 2 Ağustos 2026: Madde 50’deki şeffaflık yükümlülükleri uygulanmaya başladı.
• 2 Aralık 2026 (çıktı işaretleme): 2 Ağustos 2026’dan önce piyasaya arz edilmiş üretken sistemlerin sağlayıcıları, Madde 50(2)’ye, yani yapay zekâyla üretilmiş veya manipüle edilmiş çıktıyı makinece okunabilir ve tespit edilebilir biçimde işaretleme yükümlülüğüne bu tarihe kadar uymak zorunda.
• 2 Aralık 2026 (yasaklar): Madde 5(1)(ba) ve (bb) ile Madde 5(1a) ve (1b) bu tarihten itibaren uygulanacak. (ba) bendi, kimliği belirlenebilir bir kişinin mahrem bölgelerine veya açık cinsel faaliyetine ilişkin gerçekçi görüntü, video, ses ya da benzeri materyali, özgür iradeyle verilmiş, belirli bir konuya ilişkin, bilgilendirmeye dayanan, tereddüde yer bırakmayan ve açık bir rıza olmaksızın üreten veya manipüle eden yapay zekâ sistemlerini kapsıyor. (bb) bendi ise ulusal hukuktaki “hak olmaksızın” (without right) savunmaları saklı kalmak üzere çocuk cinsel istismarı materyalini kapsıyor.

Böyle bir sistemin piyasaya arzı veya hizmete sunulması yalnızca şu durumlarda yasaktır: bu çıktı sistemin amaçlanan kullanımıysa ya da sistemde yeterli koruyucu önlemler yoksa ve bu çıktı, önemli bir teknik değişiklik yapılmadan ortaya çıkabilecek, makul ölçüde öngörülebilir ve tekrarlanabilir bir sonuçsa. Sistemin kullanımı ise yalnızca uygulayıcının amacı buysa yasaktır.

Mahrem bölgelerin teşhirini artırmayan ve tasvir edilen açık cinsel faaliyetin niteliğini de değiştirmeyen müdahaleler manipülasyon sayılmaz.

Başlıca yüksek riskli sistem yükümlülükleri (Bölüm III, Kısım 1 ila 3, Madde 6(5) hariç) şu tarihlerde uygulanmaya başlayacak:

• Madde 6(2) ve Ek III uyarınca yüksek riskli sayılan sistemler için 2 Aralık 2027;
• Madde 6(1) ve Ek I uyarınca yüksek riskli sayılan sistemler için 2 Ağustos 2028.

Ek I Kısım B’deki ürünler ile hâlihazırda piyasada bulunan yüksek riskli sistemler daha dar kapsamlı kurallara tabi.

Şirketler şimdi ne yapmalı?

• Envanter. Kullanılan yapay zekâ araçlarını listeleyin; çalışanların kendi başına kullanmaya başladıklarını da unutmayın. Her aracın sorumlusunu, eriştiği verileri ve bu verilerin nereye gittiğini yazın. Çalışanlara hangi araçları, hangi işlerde ve hangi girdilerle kullanabileceklerini söyleyin ve onları eğitin.
• Kişisel veriler. Dayanacağınız işleme şartını belirleyin ve belirli bir amaç tanımlayın. Kişisel veriler Türkiye dışına çıkacaksa 9. maddedeki yollardan birini seçin; standart sözleşme kullanıyorsanız beş iş günlük KVKK bildirimini takviminize işleyin.
• Sözleşmeler. Bir yapay zekâ tedarikçisiyle imza atmadan önce ona verilerinizi model eğitiminde kullanıp kullanmadığını, istemleri ne kadar süre sakladığını ve verileri başka hangi tedarikçilerin işlediğini sorun.
• AB boyutu. Madde 2 uyarınca rolünüzü ve çıktının AB’de kullanılıp kullanılmadığını belirleyin. Çalışanların yapay zekâ okuryazarlığını düzenleyen Madde 4, Madde 50’deki şeffaflık kuralları ve genel amaçlı yapay zekâ modellerine ilişkin kurallar gibi hâlihazırda yürürlükte olan yükümlülükleri kontrol edin; sonraki tarihleri de takviminize işleyin.
• Kontroller. İş yeri belgesinin önerdiği gibi, çıktılara dayanılmadan önce bunları bir kişinin kontrol etmesini sağlayın ve nihai kararları insanlara bırakın. Etken yapay zekâ araçlarında insan gözetiminin ne zaman devreye gireceğini tanımlayın. Türkiye’de bir kampanyaya çıkmadan önce reklam kurallarını gözden geçirin.
• İzleme listesi. Yukarıdaki kanun tekliflerini, KVKK’nın yeni belgelerini, rekabet incelemesini ve eylem planının risk rehberi, sektör ekleri ve etik kurul için koyduğu ilk yıl hedeflerini takip edin.

Sonraki yazı: AB Yapay Zeka Tüzüğü: 2 Ağustos 2026’da uygulanmaya başlayanlar →