Yapay zekâ, bağımsız yazılımlardan hızla fiziksel ürünlerin içine taşınıyor. Makineler, tıbbi cihazlar, endüstriyel ekipmanlar, robotlar, araçlar, güvenlik sistemleri ve bağlantılı ürünler; algılama, tahmin etme, kontrol etme, sınıflandırma veya karar verme amacıyla giderek daha fazla yapay zekâ kullanıyor.
Avrupa Birliği Yapay Zekâ Tüzüğü — (AB) 2024/1689 sayılı Tüzük kapsamında bu gelişme, üreticiler açısından önemli bir mevzuat sorusu ortaya çıkarmaktadır:
Yapay zekâ ürününüzün içinde güvenlikle ilgili bir işlev gerçekleştiriyorsa, yapay zekâ sisteminin kendisi Avrupa Birliği’nin yüksek riskli yapay zekâ uygunluk gerekliliklerine tabi olabilir mi?
Bazı ürünler için yanıt evettir.
Yapay Zekâ Tüzüğü, yapay zekâ yönetişimi ile yerleşik Avrupa ürün uygunluğu çerçevesi arasında doğrudan bir bağlantı kurmaktadır. Bu nedenle üreticilerin, hâlihazırda yönettikleri ürün güvenliği gerekliliklerinin yanı sıra yapay zekâ risk yönetimini, teknik dokümantasyonu, veri yönetişimini, insan gözetimini, siber güvenliği ve piyasaya arz sonrası izlemeyi de dikkate almaları gerekebilir.
Bir Ürünün İçindeki Yapay Zekâ Ne Zaman Yüksek Riskli Hâle Gelir?
Avrupa Birliği Yapay Zekâ Tüzüğü, çeşitli yüksek riskli yapay zekâ sistemi kategorileri belirlemektedir.
Üreticiler açısından özellikle önemli kategorilerden biri, mevcut Avrupa ürün mevzuatı kapsamındaki ürünlerle ilişkili yapay zekâ sistemleridir.
Yapay Zekâ Tüzüğü’nün 6(1). maddesi uyarınca, iki koşulun karşılanması hâlinde bir yapay zekâ sistemi yüksek riskli olarak sınıflandırılabilir:
Yapay zekâ sisteminin bir ürünün güvenlik bileşeni olarak kullanılması amaçlanmaktadır veya yapay zekâ sisteminin kendisi ilgili Avrupa Birliği uyum mevzuatı kapsamındaki bir ürünü oluşturmaktadır.
Ürünün veya ürün niteliğindeki yapay zekâ sisteminin Avrupa Birliği pazarına arz edilmeden veya hizmete alınmadan önce üçüncü taraf uygunluk değerlendirmesinden geçmesi gerekmektedir.
Her iki koşul da karşılandığında yapay zekâ sistemi, Yapay Zekâ Tüzüğü kapsamında yüksek riskli kabul edilir.
Üreticiler, yalnızca bir ürünün yapay zekâ içerip içermediğine bakarak Yapay Zekâ Tüzüğü’nün uygulanabilirliğini belirleyemez. Yapay zekânın amaçlanan işlevi, ürün güvenliğiyle ilişkisi ve ürüne temel teşkil eden Avrupa Birliği ürün mevzuatı birlikte incelenmelidir.
Hangi Ürünler Etkilenebilir?
Yapay zekâ destekli ürünler endüstriyel ve tüketici pazarlarında hızla yaygınlaşmaktadır.
Uygulanabilir sektör mevzuatına ve yapay zekâ sisteminin üstlendiği role bağlı olarak, etkilenebilecek ürün kategorileri şunları içerebilir:
Avrupa Komisyonu, yüksek riskli sınıflandırma çerçevesini açıklarken robotları, insansız hava araçlarını ve tıbbi cihazları çalıştıran yapay zekâ sistemleri gibi ürünlerle ilgili örnekleri özellikle vurgulamıştır.
Her Yapay Zekâ Özelliği Bir Ürünü Yüksek Riskli Hâle Getirmez
Bir ürünün içinde yapay zekâ bulunması, ürünün kendiliğinden yüksek riskli yapay zekâ kategorisine girdiği anlamına gelmez.
Mevzuata ilişkin değerlendirme, yapay zekâ sisteminin amaçlanan kullanımına ve üstlendiği role bağlıdır.
Yapay zekâ ayarları en uygun hâle getirebilir, öneriler sunabilir, kullanıcı deneyimini kişiselleştirebilir veya ürün güvenliğini önemli ölçüde etkilemeyen işlevler gerçekleştirebilir.
Yapay zekâ, başarısızlığı kişilerin sağlığını veya güvenliğini etkileyebilecek bir işlevi etkiler veya gerçekleştirir ve ilgili ürün, ilgili üçüncü taraf uygunluk değerlendirmesi düzenine tabidir.
Ürünün Amaçlanan Kullanımı Kritik Hâle Gelir
Avrupa Birliği uygunluk değerlendirmesinin temel ilkelerinden biri, üreticinin ürünün amaçlanan kullanımını tanımlamasıdır.
Aynı ilke, yapay zekâ bir ürüne dâhil edildiğinde özellikle önem kazanır.
Üreticilerin şunları anlaması gerekir:
- yapay zekâ sisteminin hangi işlevi gerçekleştirdiğini;
- yapay zekâ işlevinin ürün güvenliğini etkileyip etkilemediğini;
- yapay zekânın kullanıcılar, operatörler ve diğer sistemlerle nasıl etkileşim kurduğunu;
- yapay zekânın hangi kararları veya çıktıları üretebildiğini;
- yapay zekâ hatalı davrandığında ne olacağını;
- insan müdahalesinin mümkün olup olmadığını;
- hangi Avrupa Birliği ürün mevzuatının uygulandığını; ve
- bu mevzuatın üçüncü taraf uygunluk değerlendirmesi gerektirip gerektirmediğini.
Yapay Zekâ Uygunluk Değerlendirmesi Ürün Uygunluğunun Bir Parçası Hâline Geliyor
Yapay Zekâ Tüzüğü’nün en önemli özelliklerinden biri, gereksiz mükerrer uygunluk değerlendirmesi sistemlerinin oluşturulmasını önlemeye çalışmasıdır.
Yüksek riskli bir yapay zekâ sistemi, ilgili Birlik uyum mevzuatı kapsamındaki bir ürüne dâhil edildiğinde, Yapay Zekâ Tüzüğü gereklilikleri o ürün için gerekli uygunluk değerlendirmesi prosedürüne dâhil edilir.
Bu, üreticilerin giderek aşağıdaki iki alana da uygunluğu göstermesi gerekebileceği anlamına gelir:
Uygulanabilir Avrupa Birliği ürün mevzuatı kapsamında belirlenen güvenlik, performans, mekanik, elektriksel, işlevsel veya sektöre özgü diğer gereklilikler.
Risk yönetimi, veri yönetişimi, teknik dokümantasyon, kayıtlar, şeffaflık, insan gözetimi, doğruluk, sağlamlık ve siber güvenlik.
Yüksek Riskli Yapay Zekâ Sistemleri Neleri Kanıtlamalıdır?
Yüksek riskli yapay zekâ sistemleri, yapay zekânın güvenilir ve kontrollü kullanımını desteklemek üzere tasarlanmış yapılandırılmış bir dizi gerekliliğe tabidir.
Böyle bir sistem Avrupa Birliği pazarına arz edilmeden veya hizmete alınmadan önce sağlayıcı, uygulanabilir gerekliliklerin karşılandığından ve ilgili uygunluk değerlendirmesi prosedürünün tamamlandığından emin olmalıdır.
Yapay zekâyla ilişkili risklerin belirlenmesi, değerlendirilmesi, kontrol edilmesi ve izlenmesi için sistematik bir süreç oluşturmak ve sürdürmek.
İlgili olduğu durumlarda eğitim, doğrulama ve test verileri için uygun yönetişim ve kalite kontrollerini sağlamak.
Sistem tasarımını, amaçlanan kullanımı, işleyişi ve uygunluğu kanıtlayabilecek dokümantasyonu sürdürmek.
Gerekli olduğu durumlarda yapay zekâ sistemi işleyişinin uygun biçimde kaydedilmesini ve izlenebilirliğini sağlamak.
Kullanıcı kuruluşların sistemi anlayabilmesi ve uygun biçimde kullanabilmesi için yeterli bilgi sağlamak.
İnsanların sistemin işleyişini gözetmesine, yorumlamasına veya müdahale etmesine olanak sağlayan uygun mekanizmalar tasarlamak.
Uygun performans, tutarlılık, dayanıklılık ve hata toleransı seviyeleri oluşturmak.
Yüksek riskli yapay zekâ sistemini ilgili siber güvenlik tehditlerine ve müdahalelere karşı korumak.
Risk Yönetimi Bir Yaşam Döngüsü Sürecine Dönüşüyor
Yapay zekâ risk yönetimi, belgelendirmeden hemen önce hazırlanan tek bir belge olarak ele alınamaz.
Yapay Zekâ Tüzüğü kapsamında risk yönetiminin, yüksek riskli yapay zekâ sisteminin yaşam döngüsü boyunca sürekli ve yinelemeli bir süreç olarak işlemesi amaçlanmaktadır.
Bu nedenle üreticiler ve yapay zekâ sağlayıcıları, geliştirme sırasında risklerin nasıl belirlendiğini, pazara arz öncesinde nasıl kontrol edildiğini ve ürünler kullanıma girdikten sonra yeni risklerin nasıl tespit edildiğini dikkate almalıdır.
Veri Kalitesi Bir Ürün Uygunluğu Konusu Hâline Gelebilir
Geleneksel ürün uygunluğu genellikle fiziksel ürünün özelliklerine ve performansına odaklanmıştır.
Yapay zekâ başka bir boyut getirir: sistemi geliştirmek, doğrulamak ve test etmek için kullanılan veriler, ürünün ne kadar güvenilir çalıştığını etkileyebilir.
Bu nedenle yüksek riskli yapay zekâ sistemlerinde veri yönetişimi mevzuat çerçevesinin bir parçası hâline gelir.
Bu nedenle harici olarak geliştirilmiş yapay zekâ sistemlerini ürünlerine dâhil eden üreticilerin, yazılım geliştiricilerden ve teknoloji tedarikçilerinden geleneksel olarak bileşen tedarikçilerinden talep ettiklerinden çok daha fazla bilgiye ihtiyaç duymaları gerekebilir.
İnsan Gözetimi Ürünün Tasarımına Dâhil Edilmelidir
Yüksek riskli yapay zekâ sistemleri uygun insan gözetimi düzenlemelerine ihtiyaç duyar.
Uygun gözetim seviyesi; amaçlanan kullanıma, otomasyon düzeyine, ilişkili risklere ve kullanıcıların veya operatörlerin sistem davranışını anlama ve etkileme yeteneğine bağlı olacaktır.
- operatörlerin yapay zekâ çıktılarını anlayıp anlayamadığını;
- uyarıların veya sınırlamaların açıkça bildirilip bildirilmediğini;
- insanların yapay zekâ işlevini geçersiz kılabilip kılamadığını veya durdurup durduramadığını;
- otomatik çıktılara aşırı güvenmenin risk oluşturup oluşturamayacağını;
- operatörlerin hangi yetkinliklere ihtiyaç duyduğunu; ve
- gözetim mekanizmalarının ürün testleri sırasında nasıl doğrulandığını.
Siber Güvenlik ile Yapay Zekâ Güvenliği Giderek Daha Fazla Birbirine Bağlanıyor
Yapay zekâ destekli ürünler, ürün davranışını doğrudan etkileyen siber güvenlik riskleri oluşturabilir.
Girdi verilerinin değiştirilmesi, modellere müdahale edilmesi, yetkisiz sistem erişimi veya güvenliği ihlal edilmiş yazılım bileşenleri yapay zekâ çıktılarını değiştirebilir ve dolayısıyla güvenliği veya performansı etkileyebilir.
Bu nedenle Yapay Zekâ Tüzüğü, siber güvenliği yüksek riskli yapay zekâ sistemleri için zorunlu gereklilikler arasında saymaktadır.
Belirli Avrupa Birliği siber güvenlik sistemleri kapsamında düzenlenen siber güvenlik belgeleri veya uygunluk beyanları, ilgili gerekliliklerin kapsam dâhilinde olması hâlinde Yapay Zekâ Tüzüğü’nün karşılık gelen siber güvenlik gerekliliklerine uygunluk varsayımı da oluşturabilir.
Teknik Dokümantasyon Yapay Zekâyı Açıklamalıdır
Yetkili makamların ve uygunluk değerlendirmesi kuruluşlarının yapay zekâ sisteminin nasıl tasarlandığını, doğrulandığını ve kontrol edildiğini anlaması gerektiğinden teknik dokümantasyon özellikle önem kazanmaktadır.
Sisteme ve uygulanabilir gerekliliklere bağlı olarak dokümantasyonun aşağıdaki alanları ele alması gerekebilir:
Bu, yapay zekâ geliştiricileri ile nihai ürünü pazara arz etmekten sorumlu üretici arasında yakın eşgüdüm gerektirir.
Kalite Yönetim Sistemleri Yapay Zekâ Uygunluğunun Bir Parçası Hâline Geliyor
Yüksek riskli yapay zekâ sistemlerinin sağlayıcılarının, Yapay Zekâ Tüzüğü’ne uygunluğu destekleyen bir kalite yönetim sistemi oluşturmaları gerekmektedir.
Bu durum, hâlihazırda yerleşik yönetim sistemleri işleten üreticiler açısından özellikle önemlidir; çünkü yapay zekâ yönetişiminin mevcut tasarım, geliştirme, tedarikçi, doğrulama, düzeltici faaliyet ve piyasaya arz sonrası süreçlere dâhil edilmesi gerekebilir.
Yapay zekâ gerekliliklerini ürün geliştirme ve değişiklik kontrolü süreçlerine dâhil etmek.
Harici olarak geliştirilen yapay zekâ sistemleri, modelleri ve yazılımları için teknik ve uygunluk gerekliliklerini tanımlamak.
Yapay zekâ işlevinin uygun koşullar altında amaçlandığı şekilde çalıştığına ilişkin kanıt oluşturmak.
Uygunluk değerlendirmesini destekleyen teknik, risk, test ve uygunluk kayıtlarını sürdürmek.
Geliştirme sırasında veya piyasaya arz sonrası işletimde belirlenen eksiklikleri, olayları ve uygunsuzlukları yönetmek.
Ürün hizmete girdikten sonra sistem performansını ve ortaya çıkan riskleri izlemek.
Onaylanmış Kuruluş Ne Zaman Sürece Dâhil Olur?
Tüm yüksek riskli yapay zekâ sistemleri aynı uygunluk değerlendirmesi yolunu izlemez.
Yapay Zekâ Tüzüğü’nün Ek I’inde listelenen Birlik uyum mevzuatı kapsamındaki ürünlerle bağlantılı yüksek riskli yapay zekâ sistemlerinde uygunluk değerlendirmesi prosedürü, uygulanabilir ürün mevzuatının gerektirdiği prosedürü izler. Yapay Zekâ Tüzüğü gereklilikleri bu değerlendirmenin bir parçası hâline gelir.
Temel ürün mevzuatının bir onaylanmış kuruluşun sürece katılımını gerektirdiği durumlarda, ilgili yapay zekâ gereklilikleri de bu üçüncü taraf uygunluk değerlendirmesinin bir parçası hâline gelebilir.
Üretici, ilgili Avrupa Birliği ürün mevzuatında belirlenen uygunluk değerlendirmesi prosedürünü izler.
Aynı uygunluk çerçevesi, yüksek riskli yapay zekâ sistemiyle ilgili uygulanabilir Yapay Zekâ Tüzüğü gerekliliklerini de kapsar.
CE İşareti İki Mevzuat Dünyasını Birbirine Bağlıyor
Yapay Zekâ Tüzüğü’ne tabi yüksek riskli yapay zekâ sistemlerinin sağlayıcıları, pazara arzdan önce uygulanabilir uygunluk değerlendirmesini tamamlamalı ve Avrupa Birliği Uygunluk Beyanı düzenlemelidir.
Ürünlerle ilişkili yüksek riskli yapay zekâ açısından bu çerçeve, yerleşik Avrupa CE işaretleme sistemiyle bütünleşir.
Sonuç, üreticinin tek bir genel pazara erişim stratejisi kapsamında hem geleneksel ürün uygunluğunu hem de yapay zekâ sistemi uygunluğunu göstermesinin gerekebileceği, giderek daha bütünleşik bir uygunluk modelidir.
Artık soru yalnızca bir makinenin veya cihazın Avrupa ürün güvenliği gerekliliklerine uygun olup olmadığı değildir. Üreticilerin, ürünü kontrol eden zekânın kendine özgü mevzuat yükümlülükleri oluşturup oluşturmadığını da giderek daha fazla anlaması gerekmektedir.
Esaslı Değişiklik Yeniden Değerlendirmeyi Tetikleyebilir
Yapay zekâ sistemleri hızla gelişebilir.
Yazılım güncellemeleri, model değişiklikleri, yeniden eğitim, değiştirilmiş veri kümeleri veya amaçlanan kullanımdaki değişiklikler sistem davranışını değiştirebilir.
Yapay Zekâ Tüzüğü kapsamında esaslı bir değişiklik, değiştirilmiş sistem pazara arz edilmeden veya hizmete alınmadan önce uygunluk değerlendirmesinin yenilenmesini gerektirebilir.
Tedarik Zinciri Daha Karmaşık Hâle Geliyor
Birçok üretici her yapay zekâ sistemini kendi bünyesinde geliştirmeyecektir.
Ürünler; üçüncü taraf modelleri, harici olarak geliştirilmiş yazılımları, yapay zekâ destekli bileşenleri, bulut hizmetlerini veya uzman teknoloji şirketleri tarafından sağlanan sistemleri içerebilir.
Bu durum tedarik zincirinde yeni sorular ortaya çıkarır.
- hukuken yapay zekâ sağlayıcısı olarak kimin hareket ettiğini;
- yapay zekâ sisteminin amaçlanan kullanımını kimin kontrol ettiğini;
- yapay zekâ geliştiricisinin hangi teknik bilgileri sağlaması gerektiğini;
- üreticinin yapay zekâ teknolojisini inceleme veya denetleme konusunda hangi haklara sahip olduğunu;
- model veya yazılım değişikliklerinin nasıl bildirildiğini;
- olayları ve düzeltici faaliyetleri kimin yönettiğini;
- siber güvenlik sorumluluklarının nasıl paylaştırıldığını; ve
- uygunluk kanıtlarının tedarik zinciri boyunca nasıl muhafaza edildiğini.
Üreticiler Şimdi Ne Yapmalı?
Yapay zekâyı ürünlerine dâhil eden üreticiler, öncelikle ürün portföylerinde yapay zekânın tam olarak nerede bulunduğunu ve hangi rolü üstlendiğini anlamalıdır.
Yapay zekâ içeren ürünleri belirleyin ve bu sistemlerin gerçekleştirdiği işlevleri belgelendirin.
Her yapay zekâ destekli ürüne uygulanabilir Avrupa Birliği uyum mevzuatını belirleyin.
Yapay zekânın bir güvenlik işlevi gerçekleştirip gerçekleştirmediğini ve ürünün üçüncü taraf uygunluk değerlendirmesi gerektirip gerektirmediğini belirleyin.
Mevcut geliştirme, test, risk ve kalite kontrollerini uygulanabilir Yapay Zekâ Tüzüğü gereklilikleriyle karşılaştırın.
Yapay zekâ tasarımının, amaçlanan kullanımın, verilerin, risk yönetiminin, doğrulamanın ve gözetim düzenlemelerinin kanıtlanabilir olmasını sağlayın.
Yapay zekâ teknolojisi tedarikçilerinden gerekli teknik bilgilere ve değişiklik bildirimlerine erişimi güvence altına alın.
Yapay zekâ yönetişimini tasarım kontrolü, tedarikçi yönetimi, doğrulama, düzeltici faaliyet ve piyasaya arz sonrası izleme ile bütünleştirin.
Yapay Zekâ Tüzüğü gerekliliklerinin mevcut ürün belgelendirme ve onaylanmış kuruluş süreciyle nasıl bütünleştiğini belirleyin.
Yüksek Risk Sınıflandırması Kritik Bir Karar Hâline Geliyor
Doğru sınıflandırma, Yapay Zekâ Tüzüğü kapsamındaki en önemli erken aşama kararlarından biridir.
Mayıs 2026’da Avrupa Komisyonu, sağlayıcıların, kullanıcı kuruluşların ve yetkili makamların yapay zekâ sistemlerinin 6. maddede belirlenen yüksek risk kategorilerine girip girmediğini belirlemelerine yardımcı olmayı amaçlayan taslak kılavuzlar yayımladı. Kılavuz, hem mevzuata tabi ürünlere dâhil edilen yapay zekâyı hem de Ek III kapsamındaki kullanım alanlarına giren yapay zekâ sistemlerini özellikle ele almaktadır.
Bu nedenle üreticiler yalnızca “yapay zekâ destekli” veya “akıllı ürün” gibi resmî olmayan tanımlamalara dayanmaktan kaçınmalıdır.
Sınıflandırma; Yapay Zekâ Tüzüğü’ne, sistemin amaçlanan kullanımına, uygulanabilir ürün mevzuatına ve yapay zekânın ürün içindeki gerçek rolüne dayanmalıdır.
Ürün Güvenliğinden Akıllı Ürün Güvencesine
Avrupa Birliği Yapay Zekâ Tüzüğü, ürün uygunluğunda önemli bir gelişimi temsil etmektedir.
Geleneksel ürün mevzuatı öncelikle fiziksel, mekanik, elektriksel ve işlevsel özelliklere odaklanmıştır.
Yapay zekâ destekli ürünler yeni bir katman eklemektedir: üreticilerin, ürünün içindeki karar verme teknolojisinin de uygun biçimde yönetildiğini, test edildiğini, belgelendirildiğini ve izlendiğini giderek daha fazla göstermesi gerekebilir.
Bu durum ürün belgelendirmesi, yazılım güvencesi, yapay zekâ yönetişimi, siber güvenlik, kalite yönetimi ve pazara erişim arasında yeni bir kesişim alanı oluşturmaktadır.
Ürününüzdeki Yapay Zekâ Uygunluk Değerlendirmesine Hazır mı?
Üreticiler, ürüne yerleştirilmiş bir yapay zekâ sisteminin ilave mevzuat yükümlülükleri oluşturup oluşturmadığını belirlemek için nihai belgelendirme aşamasını beklememelidir.
Erken aşamada yapılacak bir inceleme; yüksek risk sınıflandırmasını, uygulanabilir ürün mevzuatını, yapay zekâ dokümantasyon gerekliliklerini, test ihtiyaçlarını, tedarikçi sorumluluklarını ve uygun uygunluk değerlendirmesi yolunu açıklığa kavuşturabilir.
Birçok üretici açısından Yapay Zekâ Tüzüğü kapsamındaki en zor soru, yapay zekâ kullanıp kullanmadıkları olmayabilir. Asıl zorluk, bu zekânın ne zaman ürünün mevzuata tabi güvenlik mimarisinin bir parçası hâline geldiğini belirlemek olacaktır.