EU AI Act: 2 Ağustos 2026'da Ne Ertelendi, Ne Yürürlükte?

Aylardır takvimlere "2 Ağustos 2026" diye yazılan tarih geldi ve beklenen şey olmadı. AB Yapay Zekâ Yasası'nın yüksek riskli sistemlere ilişkin yükümlülükleri o gün yürürlüğe girmedi — ertelendi.

Erteleme, Digital Omnibus on AI adıyla anılan (AB) 2026/1744 sayılı Tüzük ile yapıldı. Tüzük 8 Temmuz 2026 tarihli; AB Resmî Gazetesi'nde 24 Temmuz 2026'da yayımlandı ve yayımını izleyen üçüncü gün, 27 Temmuz 2026'da yürürlüğe girdi. Yani değişiklik, beklenen tarihten yalnızca bir hafta önce kesinleşti.

Ama buradan "2027'ye kadar yapacak bir şey yok" sonucu çıkmıyor. Şeffaflık yükümlülükleri ertelenmedi ve bugün yürürlükte. Aşağıda ikisini ayrı ayrı ele alıyoruz.

Bu yazı 2026 Ağustos ayı itibarıyla geçerlidir. Mevzuat takvimleri değişebiliyor — nitekim bu yazının konusu tam olarak böyle bir değişiklik.

Yasa, yapay zekâ sistemlerini risk seviyesine göre sınıflandırıyor. En ağır yükümlülükler yüksek riskli kabul edilen sistemlere ait: teknik dokümantasyon, risk yönetim sistemi, veri yönetişimi, insan gözetimi ve kayıt tutma gibi başlıklar.

Ertelenen tam olarak bu blok. Yeni takvim şöyle:

Burada gözden kaçan bir ayrıntı var ve pratikte en çok yanlış anlaşılan nokta bu: insan gözetimi (Madde 14) ve kayıt tutma / denetim izi (Madde 12) yükümlülükleri, ertelenen bölümün içinde yer alıyor.

Yani "Ağustos 2026'dan itibaren yüksek riskli sistemlerde insan gözetimi ve denetim izi zorunlu" cümlesi — ki bu tarihe kadar birçok yerde böyle yazıldı — tam olarak ertelenen iki maddeyi işaret ediyordu. Bugün itibarıyla o iki madde, Ek III kapsamındaki sistemler için 2 Aralık 2027'de devreye girecek.

Erteleme haberinin gölgede bıraktığı kısım burası. Madde 50 şeffaflık yükümlülükleri takvimde kaldı ve 2 Ağustos 2026'dan bu yana uygulanıyor.

Bu madde, "yüksek riskli" sınıfına hiç girmeyen, sıradan görünen sistemleri de kapsıyor — örneğin bir müşteri destek sohbet botu:

Yayımlanma tarihinden önce piyasaya sürülmüş sistemler için içerik işaretleme yükümlülüğüne dört aylık bir geçiş süresi tanındı. Bu süre 2 Aralık 2026'da doluyor.

Pratik sonuç şu: sitesinde yapay zekâ destekli bir sohbet botu çalıştıran ve AB'de müşterisi olan bir şirketin bugün yapması gereken bir iş var — 2027'yi beklemesi gereken bir iş değil.

Tüzük, sağlayıcının nerede kurulu olduğuna bakmıyor. Ölçüt, sistemin AB pazarına sürülmesi veya çıktısının AB içinde kullanılması. Dolayısıyla AB'ye yazılım, hizmet ya da yapay zekâ destekli bir ürün veren Türk şirketi için bu takvim doğrudan geçerli.

Türkiye tarafında ise yapay zekâya özgü, yürürlükte tek bir kanun henüz yok. Konu bugün KVKK, Türk Ceza Kanunu, 5651 sayılı Kanun ve genel sorumluluk hükümleri üzerinden yürüyor.

Yön belli olmaya başladı ama: TBMM 28. Dönem Yapay Zekâ Araştırma Komisyonu, Mart 2026 tarihli 260 sıra sayılı nihai raporunda çerçeve nitelikli bir Türk yapay zekâ kanunu, bir Türkiye Yapay Zekâ Kurumu, düzenleyici deneme alanları ve Avrupa Konseyi Yapay Zekâ Çerçeve Sözleşmesi'nin onaylanmasını önerdi.

Bu ikisi birlikte okunduğunda tablo şöyle: AB tarafında takvim ertelendi ama yön değişmedi; Türkiye tarafında ise düzenleme henüz yolda. İki taraf için de aynı hazırlık işe yarıyor.

Not: Bir sistemin "yüksek riskli" sınıfına girip girmediği hukuki bir değerlendirme ve bu yazının konusu değil. Bizim alanımız teknik taraf: hangi yapay zekâ sistemlerinin kullanıldığı, kimin sahibi olduğu, hangi veriye eriştiği ve bunun kanıtlanabilir biçimde kaydedilip kaydedilmediği.

Ertelemeyi "baskı kalktı" diye okumak cazip. Sayılar bunun riskli bir okuma olduğunu gösteriyor.

Bulut Güvenliği Birliği'nin (Cloud Security Alliance) 16 Nisan 2026'da yayımladığı, 445 BT ve güvenlik profesyoneliyle Eylül ve Kasım 2025'te yapılan araştırmasına göre — araştırma Zenity sponsorluğunda yürütüldü — katılımcıların yalnızca %13'ü yaklaşan yapay zekâ düzenlemelerine karşı kendini yüksek düzeyde hazır hissediyor.

Aynı araştırmadan iki sayı daha, hazırlığın neden zor olduğunu açıklıyor:

• %53 — yapay zekâ ajanlarının amaçlanan izinlerini aştığını bildiriyor
• %31 — resmî olarak benimsenmiş bir yönetişim politikası olduğunu söylüyor

Yani sorun çoğu şirkette "mevzuata uygun muyuz" sorusundan önce geliyor: hangi sistemlerin çalıştığı ve neye eriştiği bilinmiyor. Envanteri olmayan bir şirket için 16 ay, sanıldığı kadar uzun değil.

Bu tablo bize yabancı değil — Shadow AI yazımızda anlattığımız "kimsenin haberi olmadan kullanılan yapay zekâ" sorunu ile aynı kökten geliyor: görünürlük olmadan yönetişim olmuyor.

Ertelemenin yarattığı zamanı değerlendirmek isteyen bir şirket için sıra şu şekilde işliyor:

1. Bugünkü yükümlülüğü kapatın. Müşteriyle konuşan bir sohbet botunuz veya yapay zekâ ile üretilmiş içerik yayınınız varsa, şeffaflık bildirimi 2026 Ağustos itibarıyla zaten gerekli. Piyasadaki sistemler için işaretleme geçişi 2 Aralık 2026'da doluyor.
2. Yapay zekâ envanteri çıkarın. Hangi araç, hangi departmanda, hangi veriye erişerek çalışıyor? Onaylanmamış eklentiler ve kendi kendine kurulmuş ajanlar dahil. Envanteri olmayan hiçbir uyum çalışması ilerlemiyor.
3. Sahiplik atayın. Her sistemin bir sahibi olsun. "BT'nin haberi yok" cevabı, denetimde en pahalı cevaptır.
4. Kayıt ve izlenebilirliği erken kurun. Denetim izi 2027'de isteniyor olabilir; ama geriye dönük üretilemez. Bugün kaydedilmeyen şey, 2027'de kanıt olarak sunulamaz.
5. İnsan onayı sınırını yazılı hale getirin. Hangi kararı sistem tek başına veriyor, hangisi insana geliyor? Bu ayrım, ertelenen Madde 14'ün de özü.

Bu adımların çoğu yalnızca mevzuat için yapılmıyor. Microsoft 365 ve Copilot tarafında aynı envanter ve izin disiplini, veri sızıntısını da önlüyor — Copilot güvenlik ve AI Governance rehberimiz bu tarafı adım adım ele alıyor.

Gibibyte olarak AI Governance değerlendirmemizde tenant'ınızı salt okunur bağlantıyla tarıyor, kullanılan yapay zekâ servislerini ve izin yüzeyini Türkçe bir raporla çıkarıyoruz. Altyapınızda değişiklik yapılmıyor; çıktı, uyum çalışmasında kullanabileceğiniz bir envanter oluyor.

• (AB) 2026/1744 sayılı Tüzük — "Digital Omnibus on AI", 8 Temmuz 2026 tarihli, AB Resmî Gazetesi 24 Temmuz 2026 — EUR-Lex
• (AB) 2024/1689 sayılı Tüzük — AB Yapay Zekâ Yasası — EUR-Lex
• Cloud Security Alliance, "Enterprise AI Security Starts with AI Agents", 445 katılımcı, saha çalışması Eylül-Kasım 2025, yayım 16 Nisan 2026, Zenity sponsorluğunda — CSA
• TBMM 28. Dönem Yapay Zekâ Araştırma Komisyonu, 260 sıra sayılı nihai rapor, Mart 2026