Yapay zekâ mevzuatı 2026: Çin'den ürün tedarik eden şirketler için rehber.

Bu sayfa 31 Ekim 2026 itibarıyla derlendi ve hukuki tavsiye değildir. Amacım, Çin'den ürün ya da bileşen tedarik edip Türkiye, AB ya da ABD pazarında satan şirketlere, mevzuatın tedarik zincirine nasıl dokunduğunu tek sayfada göstermek. Uçtan uca süreç tarafı için Uçtan uca yapay zekâ otomasyonu sayfasına bakabilirsiniz.

AB Yapay Zekâ Yasası'nda son durum ne?

Yasa 1 Ağustos 2024'te yürürlüğe girdi ve aşamalı uygulanıyor. Yasaklı uygulamalar ve yapay zekâ okuryazarlığı 2 Şubat 2025'ten, genel amaçlı yapay zekâ modelleri için kurallar 2 Ağustos 2025'ten beri geçerli.

2026'da kabul edilen Dijital Omnibus düzenlemesi takvimi değiştirdi:

• Ek III'teki yüksek riskli sistemler (örneğin işe alım ve kredi değerlendirmesi): 2 Aralık 2027.
• Ürüne gömülü yüksek riskli sistemler (Ek I, örneğin makine ve tıbbi cihaz): 2 Ağustos 2028.
• Makine Yönetmeliği, Ek I'in daha hafif uygulanan bölümüne alındı; "güvenlik bileşeni" tanımı daraltıldı.
• Yapay zekâyla üretilen içeriğin işaretlenmesi (Madde 50): 2 Ağustos 2026 öncesinde piyasaya sürülen sistemlere 2 Aralık 2026'ya kadar süre tanındı.
• 750'den az çalışanı olan orta ölçekli şirketler için KOBİ'lere benzer kolaylıklar getirildi.

Çin'den ürün alan şirketleri AB'de başka hangi kurallar bekliyor?

Yapay Zekâ Yasası tek başına değil. Bağlantılı, yazılımlı ya da yapay zekâlı bir ürün ithal ediyorsanız şu kurallar da devrede:

• Siber Dayanıklılık Yasası (CRA): 11 Eylül 2026'dan beri aktif olarak istismar edilen açıklar ve ciddi olaylar 24 saat içinde erken uyarı, 72 saat içinde bildirim ile ENISA platformuna raporlanıyor. Ana yükümlülükler 11 Aralık 2027'de başlıyor. Ürünü kendi markanızla satıyorsanız üretici yükümlülüklerini siz taşırsınız. Cezalar küresel cironun %2,5'ine kadar çıkabiliyor.
• Genel Ürün Güvenliği Yönetmeliği (GPSR): 13 Aralık 2024'ten beri AB'de satılan ürün için AB'de yerleşik sorumlu bir ekonomik operatör gerekiyor.
• Yeni Ürün Sorumluluğu Direktifi: Yazılım ve yapay zekâ da "ürün" sayılıyor. Üye devletler 9 Aralık 2026'ya kadar iç hukuka aktarıyor. Üretici AB dışındaysa ithalatçı sorumlu tutulabiliyor.
• Makine Yönetmeliği: 20 Ocak 2027'de uygulanmaya başlıyor; kendi kendine gelişen davranış ve güvenlik fonksiyonları için yeni gereklilikler içeriyor.
• GDPR: Çin için AB'nin yeterlilik kararı yok. Çinli tedarikçinin uygulaması ya da bulutu kişisel veri işliyorsa standart sözleşme maddeleri ve aktarım değerlendirmesi gerekiyor.

Çin'de yapay zekâ mevzuatı nerede?

Çin'de tek bir kapsamlı yapay zekâ kanunu yok; ama hedefli kurallar sıkı uygulanıyor:

• Üretken yapay zekâ hizmetleri geçici önlemleri (2023): Kamuya hizmet veren sağlayıcılar için kayıt ve güvenlik değerlendirmesi.
• Yapay zekâ içeriği etiketleme önlemleri ve GB 45438-2025 standardı: 1 Eylül 2025'ten beri görünür etiket ve dosya meta verisine gömülü etiket zorunlu. Nisan 2026'da büyük uygulamalara karşı denetim işlemleri yapıldı.
• Kişisel Bilgilerin Korunması Kanunu (PIPL): Çin'den kişisel veri çıkışı için güvenlik değerlendirmesi, standart sözleşme ya da sertifikasyon gerekiyor.
• Yüksek Halk Mahkemesi'nin Eylül 2026 görüşü: Yapay zekâ kaynaklı zararda kusura dayalı sorumluluk; eğitim verisi kaynaklarının belgelenmesi davada belirleyici olabiliyor.

ABD'de durum ne?

Federal düzeyde kapsamlı bir yapay zekâ kanunu yok. 11 Aralık 2025 tarihli başkanlık kararnamesi eyalet yasalarına karşı federal bir çerçeve hedefliyor; ancak Eylül 2026 itibarıyla eyalet yasalarını geçersiz kılan bir federal kanun çıkmadı.

Eyaletler kendi kurallarını uyguluyor: Colorado yapay zekâ yasası yeniden yazıldı ve 1 Ocak 2027'de yürürlüğe giriyor (kullanıcı bilgilendirmesi ve anlamlı insan incelemesi gibi yükümlülükler). Kaliforniya'nın büyük modeller için şeffaflık yasası (SB 53) yürürlükte.

Türkiye'de durum ne?

Türkiye'de yapay zekâyı bütünüyle düzenleyen bir kanun henüz yok. TBMM'ye yapay zekâ içeriklerinin etiketlenmesi gibi konularda teklifler sunuldu, ancak yasalaşmadı.

Bugün fiilen geçerli olanlar:

• KVKK: Kurum, Kasım 2025'te "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması" rehberini yayımladı. Yurt dışına veri aktarımında 2024 değişikliğiyle gelen standart sözleşme düzeni geçerli.
• Türkiye Yapay Zekâ Eylem Planı (2026-2030): 18 Ağustos 2026'da Resmî Gazete'de yayımlandı; kamu kurumlarına yönelik bir politika belgesi, AB'nin risk temelli yaklaşımını dikkate alıyor.
• AB pazarı: AB'ye ürün ya da hizmet satan Türk şirketleri için AB kuralları doğrudan geçerli. Gümrük Birliği ve CE işareti nedeniyle üreticilerin çoğu fiilen AB mevzuatına göre çalışıyor.

Çin'den tedarik eden bir şirket bugün ne yapmalı?

Uygulamada en çok işe yarayan altı adım:

• Rolünüzü netleştirin: Her ürün için üretici, ithalatçı, marka sahibi ve AB'deki sorumlu kişiyi yazılı belirleyin. Kendi markanızla satıyorsanız üretici sizsiniz.
• Ürün envanteri çıkarın: Hangi ürünlerde yazılım, bağlantı, radyo modülü ya da yapay zekâ bileşeni var?
• Tedarikçi sözleşmesini güncelleyin: Yazılım güncellemesi, açık bildirimi (CRA'nın 24 saati için), teknik dosyaya erişim ve yapay zekâ bileşeninin tanımı sözleşmede olsun.
• Veri akışını çizin: Ürünün ya da tedarikçi uygulamasının verisi nereye gidiyor? GDPR ve KVKK aktarım şartlarını buna göre kurun.
• Tek teknik dosya tutun: CE, GPSR, CRA ve Yapay Zekâ Yasası belgelerini tek yerde, sürüm takibiyle saklayın.
• Olay bildirimini prova edin: ENISA platformuna kaydolun; 24 ve 72 saatlik bildirim akışını kimin yürüteceğini önceden belirleyin.

Yapay zekâ otomasyonu bu uyum işinde nasıl yardımcı olur?

Uyum işinin büyük kısmı belge toplamak, eksik kontrol etmek ve tedarikçiyi takip etmektir. Bunlar tam olarak yapay zekâ ajanlarının iyi yaptığı işler: tedarikçiden gelen test raporlarını ve sertifikaları kontrol listesine göre okuyup eksikleri listelemek, takip e-postalarının taslağını hazırlamak, teknik dosyanın sürümünü izlemek, olay bildirimi için ilk taslağı çıkarmak.

Karar ve imza her zaman yetkili kişide kalır. Ajan hazırlar, insan onaylar.

Bana göre regülasyonlarda neler olmalı?

Sahada hem üretici hem ithalatçı tarafında çalışmış biri olarak, kuralların şu yöne gitmesi gerektiğini düşünüyorum:

• Tedarik zinciri boyunca izlenebilirlik: Bir üründeki yapay zekâ bileşeninin kaynağı, modeli ve sürümü, ürün belgelerinde ve dijital ürün pasaportunda görünmeli.
• Tek dosya, çok mevzuat: Yapay Zekâ Yasası, CRA, Makine Yönetmeliği ve GDPR için ortak standart ve tek teknik dosya. Omnibus düzenlemesindeki ortak standart hükmü doğru yönde bir adım.
• Orantılılık: Taslak hazırlayan ve kararı insana bırakan iç verimlilik ajanları, insan hayatını ya da hakkını etkileyen sistemlerle aynı yükü taşımamalı.
• Kritik kararlarda insan onayı: İşe alım, kredi, güvenlik ve kalite onayı gibi kararlarda son sözün insanda olması açıkça güvence altına alınmalı.
• Öngörülebilir veri aktarımı: AB, Türkiye ve Çin arasındaki veri akışı için açık, uygulanabilir ve KOBİ'lerin de kullanabileceği kurallar.
• Birlikte çalışabilir etiketleme: Çin'in görünür ve gömülü etiketleri ile AB'nin işaretleme kuralı aynı teknik standartla karşılanabilmeli; aksi hâlde aynı ürün için iki ayrı iş yapılıyor.
• Tek bildirim kanalı: CRA'nın tek platform yaklaşımı Türkiye dahil diğer pazarlarda da örnek alınmalı.

Kaynaklar ve not

Bu derlemeyi, AB pazarı için CE, FDA ve GDPR yol haritaları hazırlamış ve Çin'de kalite güvence ekibini yönetmiş biri olarak, tedarik zincirine etkisine odaklanarak yaptım. Mevzuat hızla değişiyor; karar vermeden önce resmî metinleri ve bir hukukçunun görüşünü kontrol edin.

Kaynaklar: Orrick, AB Yapay Zekâ Yasası ve Dijital Omnibus (Temmuz 2026) · Kirkland & Ellis, Siber Dayanıklılık Yasası (Eylül 2026) · China Briefing, Çin yapay zekâ düzenlemeleri 2026 · CASRAI, ABD federal ve eyalet düzenlemeleri (2026) · Türkiye'de yapay zekâ kanunu: 2026 durumu