Yapay Zekâ Hukuku

Bunların yanında sözleşme ve haksız fiil bakımından 6098 sayılı Türk Borçlar Kanunu uygulanır; sistemi ya da çıktısı Avrupa Birliği’ne ulaşan işletmeler bakımından ise AB Yapay Zekâ Tüzüğü ikinci ve doğrudan bağlayıcı bir katman ekler; Tüzüğün takvimi Temmuz 2026’da değiştirilmiştir.

Durum bundan ibarettir ve bunu açıkça söylemekte yarar vardır: “Türkiye’nin yapay zekâ kanunu” başlığıyla internette dolaşan içeriğin büyük bölümü, hiç kanunlaşmamış tekliflerdeki düzenlemeleri anlatmaktadır. Tek bir yapay zekâ kanununun bulunmaması, yapay zekânın düzenlenmediği anlamına gelmez. Aksine, aynı anda birden çok rejim uygulanır ve bunları bir araya getirme yükü işletmenin üzerindedir.

Türkiye’nin yapay zekâya ilişkin araçları yasama değil idare kaynaklıdır. 2021-2025 dönemi Ulusal Yapay Zekâ Stratejisi, 20 Ağustos 2021 tarihli ve 31574 sayılı Resmî Gazete’de yayımlanan Cumhurbaşkanlığı Genelgesi (Genelge No. 2021/18) ile yürürlüğe konulmuştur. Onu izleyen Türkiye Yapay Zekâ Eylem Planı (2026-2030), 17 Ağustos 2026 tarihli Cumhurbaşkanlığı Genelgesi (Genelge No. 2026/9) ile 18 Ağustos 2026 tarihli ve 33344 sayılı Resmî Gazete’de yayımlanmıştır; Strateji gibi o da politika belirler, özel işletmelere yükümlülük getirmez. TBMM’de süreç, yasalaşma değil araştırma aşamasındadır: Eskişehir Milletvekili Fatih Dönmez başkanlığındaki TBMM Yapay Zekâ Araştırma Komisyonu, raporunu 2026’nın ilk aylarında TBMM Başkanı Numan Kurtulmuş’a sunmuştur. Yapay zekâya ilişkin birden çok kanun teklifi verilmiştir. Teklif kanun değildir ve bunların hiçbiri kanunlaşmamıştır.

Pratikte bu şu demek: tek bir kontrol listesine bakıp kendinizi uyumlu ilan edemezsiniz; uyum programınızı da kanunlaşmamış bir teklif üzerine kuramazsınız. Tek bir yapay zekâ uygulaması aynı anda bir veri sorunu, bir fikri mülkiyet sorunu ve bir sorumluluk sorunu doğurabilir ve her biri kendi hukuk alanı içinde ayrı ayrı yanıtlanmalıdır.

Kapsamı ilk bakışta göründüğünden geniştir. Kredi başvurularını puanlayan bir finans kuruluşu, müşterilerini profilleyen bir perakendeci, poliçe fiyatlayan bir sigorta şirketi ya da özgeçmişleri algoritmayla eleyen bir insan kaynakları ekibi; hepsi kişisel veriyi otomatik analize tabi tutar ve sonuç kişi aleyhine ise hepsi bir itirazla karşılaşabilir. Buna verilecek pratik cevap hukuki olmaktan çok mimaridir: bir insanın modeli inceleyebileceği ve gerektiğinde kararı değiştirebileceği bir yol kurun; bu yolun var olduğunu ve fiilen işletildiğini gösteren kaydı tutun.

Bir yapay zekâ sisteminin veri tarafını düzenleyen geri kalan her şey olağan kişisel verilerin korunması hukukudur: her işleme faaliyeti için hukuka uygunluk sebebi, açık ve erişilebilir bir dille şeffaflık, veri minimizasyonu ve amaçla bağlılık, model veya bulut altyapısı yurt dışında olduğunda aktarım güvenceleri. KVKK ile GDPR arasındaki farklar burada önem kazanır; bunlar yabancı şirketler için KVKK rehberimizde ele alınmıştır.

Yapay zekâ sisteminiz kişisel veriye dokunuyorsa, uyumu öncelikle bir veri koruma projesi, ikincil olarak bir “yapay zekâ projesi” gibi ele alın. Türkiye’de cezaya giden en hızlı yol yeni bir zarar teorisi değil, akıllı bir modelin içine gizlenmiş sıradan bir KVKK ihlalidir.

• Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler: geliştiricilere, üreticilere, hizmet sağlayıcılara ve karar alıcılara yöneliktir.
• Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda): Kurum tarafından Kasım 2025’te yayımlanmıştır. İçerik üretimini, üretken modellerin yaşam döngüsünü, kullanım senaryolarını ve riskleri ele alır; bu sistemler aracılığıyla gerçekleştirilen işlemeyi 6698 sayılı Kanun kapsamında değerlendirir; ayrıca bireylerin ve bu araçları kullanan çocukların ebeveynlerinin nelere dikkat etmesi gerektiğine yer verir.
• Etken Yapay Zekâ (Agentic AI): Mart 2026’da yayımlanan değerlendirme; etken yapay zekâ sistemlerinin ne olduğunu, yapay zekâ ajanlarının işlevlerini, kullanım senaryolarını, riskleri ve bu sistemlerin yaşam döngüsü boyunca kişisel verilerin korunmasına ilişkin hususları kapsar.

Bunların hiçbiri bağlayıcı değildir. Yine de her üçü de bir uygulamaya geçmeden önce okunmaya değer; çünkü Türkiye’de düzenleyici tutuma en yakın metinler bunlardır ve bunlara uygun biçimde alınmış, gerekçesi belgelenmiş bir kararı savunmak, aykırı alınmış bir kararı savunmaktan çok daha kolaydır.

Buna karşılık yapay zekâ altyapısı işleten herkesi yakından ilgilendirir; zira siber uzayda çalışan bir yapay zekâ sistemi tam anlamıyla kapsam içindedir ve yaptırımlar ağırdır. M. 16 uyarınca öngörülen cezalar arasında; yetkili birimlere veya denetim görevlilerine bilgi, belge, yazılım, veri ve donanımı vermeyenler için 1 yıldan 3 yıla kadar hapis ve 500 günden 1.500 güne kadar adli para cezası; gerekli onay, yetki veya izin olmaksızın faaliyet yürütenler için 2 yıldan 4 yıla kadar hapis ve 1.000 günden 2.000 güne kadar adli para cezası; gizlilik yükümlülüğünü ihlal edenler için 4 yıldan 8 yıla kadar hapis; sızdırılan kişisel verileri veya kritik kamu hizmeti veren kurumlara ait verileri rızaya aykırı biçimde erişilebilir kılan, paylaşan ya da satışa sunanlar için 3 yıldan 5 yıla kadar hapis; kamuda infial yaratmak ya da kurum veya kişileri hedef göstermek amacıyla gerçeğe aykırı veri sızıntısı iddiası üretenler ve yayanlar için 2 yıldan 5 yıla kadar hapis; siber uzayda Türkiye’nin millî gücünü oluşturan unsurlara yönelik siber saldırı yapanlar için 8 yıldan 12 yıla kadar hapis ve bu yolla elde edilen verileri yayan, başkalarına ileten veya satışa sunanlar için 10 yıldan 15 yıla kadar hapis bulunmaktadır. M. 16/7 uyarınca bu cezalar; suçun kamu görevlisi tarafından işlenmesi hâlinde üçte bir oranında, birden fazla kişiyle birlikte işlenmesi hâlinde yarı oranında, bir örgütün faaliyeti çerçevesinde işlenmesi hâlinde ise yarısından iki katına kadar artırılır.

İdari para cezası bantları m. 16/10 ve m. 16/11’de yer alır. 19 Mart 2025’te kanunlaştığı hâliyle bu bantlar, m. 7/1-(b) ve (c)‘deki yükümlülüklerin yerine getirilmemesi hâlinde 1.000.000 TL ile 10.000.000 TL arasında, m. 18’deki yükümlülüklerin yerine getirilmemesi hâlinde 10.000.000 TL ile 100.000.000 TL arasındadır. M. 8/4 hükmünün ihlali 100.000 TL ile 1.000.000 TL arasında bir cezayı gerektirir; ihlalin bir ticaret şirketi tarafından gerçekleştirilmesi hâlinde ceza, bağımsız denetime tabi yıllık finansal tablolardaki brüt satış hasılatının yüzde beşine kadar ve her hâlükârda 100.000 TL’den az olmamak üzere uygulanır. 31 Temmuz 2026’dan bu yana 7590 sayılı Kanun, m. 16/10’daki ilk bandı m. 7/1-(a) bendindeki yükümlülüklere de genişletmiştir. M. 17/2, bir kişinin Kanun’daki kabahatlerden birden fazlasını yaptırım kararı verilmeden önce işlemiş olması hâlinde tek bir idari para cezasının iki katına kadar artırılarak uygulanacağını; menfaat temin edilmiş ya da zarar doğmuşsa cezanın bu menfaat veya zararın üç katından az, beş katından çok olamayacağını öngörür.

Bu Türk lirası tutarlar güncel yıl tutarları olarak okunmamalıdır. 5326 sayılı Kabahatler Kanunu m. 17/7 uyarınca maktu idari para cezaları, her takvim yılı başından geçerli olmak üzere 213 sayılı Vergi Usul Kanunu’na göre tespit ve ilan edilen yeniden değerleme oranında artırılarak uygulanır; dolayısıyla ilgili yılda geçerli bant o yıl için ayrıca kontrol edilmelidir. Brüt satış hasılatına bağlı ceza ise nispi nitelikte olduğundan bu yıllık artışın dışındadır.

Yapıya ilişkin iki nokta daha: Kanun’un geçici maddesi, Kanun’un uygulanmasına ilişkin düzenlemelerin bir yıl içinde, yani 19 Mart 2026’ya kadar, yürürlüğe konulacağını, o tarihe kadar Kanun’a aykırı olmayan mevcut kuralların uygulanmaya devam edeceğini hükme bağlar. Ayrıca 5651 sayılı Kanun’un m. 10’unu 19 Mart 2025 itibarıyla değiştiren düzenleme, 7545 sayılı Kanun’un m. 19/3 hükmüdür.

7545 sayılı Kanun’u yapay zekâ mevzuatı gibi okumayın. Onu, yapay zekâ altyapınızın da geri kalan sistemleriniz gibi güvenlik, izin ve olay yönetimi disiplinine ihtiyaç duymasının sebebi olarak okuyun, üstelik yalnızca idari değil, cezai sonuçlarıyla birlikte.

Temel tarihler şunlardır: Tüzük 1 Ağustos 2024’te yürürlüğe girmiştir. Yasak uygulamalar ile yapay zekâ okuryazarlığına ilişkin hükümler 2 Şubat 2025’ten itibaren uygulanmıştır. Yönetişim kuralları ile genel amaçlı yapay zekâ modeli yükümlülükleri 2 Ağustos 2025’ten itibaren uygulanmıştır. Genel uygulama tarihi 2 Ağustos 2026’dır. (AB) 2026/1744 sayılı Tüzükle eklenen m. 5/1-(ba) ve (bb) bentlerindeki iki yeni yasak 2 Aralık 2026’dan itibaren uygulanır.

Yüksek riskli sistemlere ilişkin takvim ise değişmiştir. 8 Temmuz 2026 tarihli (AB) 2026/1744 sayılı Tüzük, (AB) 2024/1689, (AB) 2018/1139 ve (AB) 2023/1230 sayılı Tüzükleri, yapay zekâya ilişkin uyumlaştırılmış kuralların uygulanmasının basitleştirilmesi bakımından değiştiren “Yapay Zekâya İlişkin Dijital Omnibus”, 24 Temmuz 2026’da AB Resmî Gazetesi’nde yayımlanmış olup yayımını izleyen üçüncü günde yürürlüğe girer. Tüzük, III. Bölüm’ün 1, 2 ve 3. Kısımlarının uygulanmasını şu şekilde erteler:

• Ek III’te sayılan kullanım alanı bakımından yüksek riskli sistemler için 2 Aralık 2027’ye;
• m. 6/1 uyarınca yüksek riskli sayılan, yani Ek I kapsamındaki ürüne gömülü sistemler için 2 Ağustos 2028’e.

Ticari açıdan asıl önemli olan, ertelenmeyen kısımdır. Belirli yapay zekâ sistemlerinin sağlayıcı ve uygulayıcılarına, yapay zekâ üretimi veya manipüle edilmiş içeriğin işaretlenmesi dâhil şeffaflık yükümlülükleri getiren m. 50, asıl uygulama tarihini korumaktadır. Değiştiren Tüzük, m. 50/7’yi yeniden yazarak Komisyon’un uygulama tasarrufuyla uygulama kurallarını onaylama yetkisinin yerine bir yeterlilik değerlendirmesi koymakta, uygulama kuralı yetersiz bulunursa ortak kurallar belirleyen uygulama tasarrufu kabul etme yetkisini korumaktadır; ayrıca yeni m. 111/4 ile, 2 Ağustos 2026’dan önce piyasaya sunulmuş ve sentetik ses, görüntü, video veya metin içeriği üreten yapay zekâ sistemlerinin sağlayıcılarının m. 50/2’deki işaretleme yükümlülüğüne 2 Aralık 2026’ya kadar uyması öngörülmektedir. Omnibus’u genel bir erteleme sayıp bilgilendirme ve içerik işaretleme çalışmasını durduran bir Türk şirketi metni yanlış okumuş olur. Değiştiren Tüzük ayrıca m. 5/1’e (ba) ve (bb) bentleriyle iki yeni yasak uygulama ekler: tanınabilir bir kişinin rızası olmaksızın mahrem görüntüsünü üreten ve çocuk istismarı materyali üreten yapay zekâ sistemleri; bu yasaklar 2 Aralık 2026’dan itibaren uygulanır.

Bir Türk işletmesi için pratik ilk adım değişmemiştir: bir yapay zekâ sisteminin çıktısının bir AB kullanıcısına ulaşabileceği her ürün ve hizmeti listeleyin, ardından her birini Tüzüğün kademelerine göre sınıflandırın. Sistemlerin çoğu asgari risk kategorisine girecek ve iyi bir belgelemeden fazlasını gerektirmeyecektir. Öne çıkan bir ürünün AB kuralları uyarınca yüksek riskli olduğunu geç fark etmek ise, erken sınıflandırmanın önleyebileceği pahalı bir yeniden tasarımı zorunlu kılar, ertelenen tarihler bir iptal değil, bir planlama fırsatıdır.

• Uygunluk. M. 4/1 uyarınca ürünlerin teknik düzenlemesine uygun olması zorunludur; teknik düzenlemesine uygun olmayan ürünler, uygunsuzlukları giderilmeden piyasaya arz edilemez, piyasada bulundurulamaz veya hizmete sunulamaz.
• Belge ve test. M. 7/1-(b) uyarınca imalatçı, mevzuatın gerektirdiği hâllerde teknik dosyayı tanzim eder, uygunluk değerlendirme işlemini yapar veya yaptırır, uygunluk beyanını düzenler ve uygunluk işaretini ürüne koyar. M. 7/1-(c) uyarınca teknik dosya ve belgeler, teknik düzenlemede belirtilen süre, süre belirtilmemişse ürünün piyasaya arz edildiği tarihten itibaren en az on yıl boyunca muhafaza edilir. M. 7/1-(d) riskle orantılı numune testini ve şikâyetler, uygun olmayan ve geri çağrılan ürünler için kayıt tutmayı ekler.
• Denetim. Piyasa gözetimi ve denetimini, o ürünün teknik düzenlemesini hazırlayan, yürüten veya ürünü denetleyen “yetkili kuruluş” yapar (m. 3/1-ş ve m. 15); bir yapay zekâ kurumu değil. Ürünün uygunluk belgesine veya işaretine sahip olması, yetkili kuruluşun ürünü denetlemesine ve önlem almasına engel değildir (m. 15/6).
• Zarar. M. 6/1 uyarınca ürünün bir kişiye veya bir mala zarar vermesi hâlinde imalatçı veya ithalatçı zararı gidermekle yükümlüdür; zarar gören, zararı ve uygunsuzluk ile zarar arasındaki nedensellik bağını ispat eder (m. 6/2); bu sorumluluğu kaldıran ya da azaltan sözleşme hükümleri hükümsüzdür (m. 6/4); tazminat talebi için zamanaşımı süresi, zarar görenin zararı ve tazminat yükümlüsünü öğrendiği tarihten itibaren üç yıl ve her hâlde zararın doğduğu tarihten itibaren on yıldır (m. 6/6).

Cihaz tüketiciye satıldığında 6502 sayılı Kanun ayrı bir katman ekler. Ambalajında, etiketinde, tanıtma ve kullanma kılavuzunda, internet portalında ya da reklamında yer alan özelliklerden birini taşımayan veya teknik düzenlemesinde tespit edilen niteliğe aykırı olan mal ayıplıdır (m. 8/2); ayıplı maldan sorumluluk, kanunda veya sözleşmede daha uzun süre belirlenmedikçe teslimden itibaren iki yıllık zamanaşımına tabidir (m. 12/1). Bu cihazları e-posta veya kısa mesajla pazarlayan satıcı, 6563 sayılı Kanun m. 6/1 uyarınca alıcının önceden onayını almak zorundadır. Geri çağırma yükümlülükleri 7223 sayılı Kanun’a göre ürün geri çağırma yazımızda, çevrim içi satış ise e-ticaret ve pazaryeri hukuku sayfamızda ele alınmıştır.

• Sözleşme: geliştirici, işletmeci ve kullanıcılar arasındaki ilişkiler çoğunlukla sözleşmeseldir; iyi kaleme alınmış hükümler ilk savunma hattıdır.
• Ürün sorumluluğu: imalatçı veya ithalatçı, ürünün verdiği zararı 7223 sayılı Kanun m. 6 uyarınca giderir; tüketici alıcı ayrıca 6502 sayılı Kanun’daki ayıplı mal haklarına sahiptir.
• Haksız fiil: 6098 sayılı Türk Borçlar Kanunu kapsamında kusura dayalı talepler; ancak otonom bir sisteme kusur atfetmek zordur.
• Mevzuata aykırılık: çoğunlukla veri koruma ya da fikri mülkiyet ihlalleri.

İspat yükü, otonom sistemlerde kusurun atfı ve uygulanacak özen standardı bakımından belirsizlikler sürmektedir. Bir davacı, şeffaf olmayan bir modelin zararlı çıktıyı tam olarak nasıl ürettiğini ispatlamakta zorlanabilir; Türkiye’de yapay zekâya özgü bir sorumluluk kanunu bulunmadığından bu sorular genel hükümlerle, yani 6098 sayılı Türk Borçlar Kanunu, ürünün verdiği zararda 7223 sayılı Kanun m. 6 ve tüketici işlemlerinde 6502 sayılı Kanun çerçevesinde cevaplanır. Bu sorular mevzuatla netleşene kadar işletmeler arasında sorumluluğun gerçekte belirlendiği yer sözleşmedir; sözleşme uyuşmazlığını belirleyen ise kayıtlardır. Sözleşmenin bir sınırı vardır: imalatçı veya ithalatçının zarar görene karşı sorumluluğunu kaldıran hüküm hükümsüzdür; bunu ürün sorumluluğunu sınırlayan sözleşme hükmünün neden hükümsüz olduğunu anlattığımız yazıda ayrıntılı olarak ele aldık.

Bir mahkemenin yapay zekâ sorumluluğunu sizin için çözeceğini varsaymayın. Sözleşmeleriniz, model yanıldığında riski kimin taşıyacağı konusunda sessizse, soruyu ortadan kaldırmış değil, yalnızca aleyhinize yanıtlanmasına bırakmış olursunuz.

• Belgeleme: sistemin nasıl kurulduğunu, test edildiğini ve doğrulandığını kayıt altına alarak, uyuşmazlık hâlinde girdi ve çıktıların doğruluğunu ve bütünlüğünü kanıtlayabilmek.
• İnsan gözetimi: m. 11/1-(g)‘nin varsaydığı inceleme yolunu kurmak ve sonuçları ağır kararlarda bir insanın fiilen müdahale edebilmesini sağlamak.
• Yönetişim: şeffaf ve hesap verebilir yapay zekâ kullanımına ilişkin iç politikalar benimsemek ve yapay zekâ riskinden kurum içinde kimin sorumlu olduğunu açıkça belirlemek.
• Sözleşmeler: sorumluluğu, fikri hakları ve tazminat taahhütlerini her tedarikçi ve müşteri ilişkisinde, yapay zekâya özgü sözleşmelerin yanı sıra ticari sözleşmelerinizde de açıkça paylaştırmak.
• Sektörel kurallar: sağlık gibi düzenlenmiş alanların kendi izin ve kayıt tutma yükümlülükleri, bir yapay zekâ aracına da diğer araçlara uygulandığı gibi uygulanır.
• Sigorta: hata, yanlılık veya ayrımcılıktan doğan zararlar için özel sorumluluk teminatını değerlendirmek.

Bir arada ele alındığında bu önlemler yalnızca sorumluluğu azaltmakla kalmaz. Savunulabilir bir kararı ispat edilebilir bir karara dönüştüren belge düzenini kurar; bu da çoğu zaman bir uyuşmazlığı hızla çözmekle onu yıllarca dava etmek arasındaki farktır.

• Yapay zekâ yönetişimi ve KVKK uyumu: politikalar, veri koruma etki değerlendirmeleri, otomatik karar inceleme yolları ve gizlilik güvenceleri.
• Fikri mülkiyet: modellerin, veri kümelerinin ve yapay zekâ çıktısının korunması ve uyuşmazlık doğmadan mülkiyetin belirlenmesi.
• AB Yapay Zekâ Tüzüğü’ne hazırlık: sistemlerin kademelere göre sınıflandırılması, m. 50 şeffaflık işi ile ertelenen yüksek riskli işin doğru tarihlere göre planlanması.
• Siber güvenlik uyumu: siber uzayda çalışan yapay zekâ altyapısı bakımından 7545 sayılı Kanun kapsamındaki yükümlülüklerin ve risklerin değerlendirilmesi.
• Sözleşmeler ve lisanslama: riski paylaştıran geliştirme, veri paylaşımı ve hizmet sözleşmelerinin hazırlanması.
• Sorumluluk ve uyuşmazlık çözümü: risk değerlendirmesi ve yapay zekâ kaynaklı uyuşmazlıklarda müvekkillerin temsili.

Türkiye’de yapay zekâ düzenlemesi hareket etmeye devam edecek ve bu hareketin biçimi artık makul ölçüde belirgindir: Meclis’e sunulmuş bir araştırma raporu, yasama organının kanun çıkarmasından daha hızlı rehber yayımlayan bir düzenleyici ve Avrupa’ya satış yapan herkesi hâlihazırda bağlayan bir AB rejimi. Uyumu en baştan kurgusuna yerleştiren işletmeler, bir kanun çıktıktan sonra tepki vermek zorunda kalanlara kıyasla çok daha az maliyetle uyum sağlar.

• Gayrimenkul Hukuku: Yabancılar için taşınmaz edinimi, tapu iptal ve tescil davaları ve kira uyuşmazlıkları.
• Fikri Mülkiyet ve Marka Hukuku: TÜRKPATENT tescilleri, marka hükümsüzlük ve tecavüz davaları (FSHHM).
• Kişisel Verilerin Korunması (KVKK): VERBİS kaydı, veri envanteri ve sınır ötesi veri aktarım uyumu.
• İstanbul’da Yabancı Müvekkil ve Şirketler İçin Dava ve İşlem Rehberi: İstanbul adliyelerinde mülkiyet, marka ve ticari dava yönetimi.