Birincil kaynaklar
Mevzuat ve birincil kaynaklar
Bu sitedeki her hukuki iddia aşağıdaki kaynaklara dayanır. Bağlantılar yayımlayan makamın kendi sitesine gider; ikincil yorumlara değil. Bağlayıcı olan ile tavsiye niteliğinde olan ayrı gösterilmiştir.
“Bağlayıcı” sütunu kritiktir. Kişisel Verileri Koruma Kurumunun yapay zekâ konulu üç yayını bağlayıcı değildir; bunlar Kurumun konuya bakışını ve denetimde neye ağırlık vereceğini gösteren metinlerdir. Buna karşılık Kanun, Yönetmelik ve Kurul kararları bağlayıcıdır. Bu ayrımı yapmayan içerikler, tavsiye niteliğindeki bir rehberi yükümlülük gibi sunarak yanlış aciliyet yaratır.
Türkiye — bağlayıcı mevzuat
| Kaynak | Yayım | Niteliği | Not | Bağlantı |
|---|---|---|---|---|
| 6698 sayılı KVKK Kişisel Verilerin Korunması Kanunu (Kanun No. 6698) | Resmî Gazete, 7 Nisan 2016, sayı 29677 24 Mart 2016 (7499 sayılı Kanun değişiklikleri işlenmiş hâli) | Bağlayıcı | Teknolojiden bağımsızdır; kişisel verinin işlendiği her yapay zekâ kullanımında doğrudan uygulanır. | Metin |
| Yurt Dışına Aktarım Yönetmeliği Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik | Resmî Gazete, 10 Temmuz 2024, sayı 32598 10 Temmuz 2024 | Bağlayıcı | Kanun md.9 uyarınca yurt dışı aktarımın usulünü belirler: yeterlilik kararı, uygun güvenceler (standart sözleşme, bağlayıcı şirket kuralları) veya md.16'daki arızi istisnalar. | Metin |
| Kurul kararı 2019/10 Kişisel Veri İhlali Bildirim Usul ve Esaslarına İlişkin Kişisel Verileri Koruma Kurulunun 24.01.2019 tarih ve 2019/10 sayılı Kararı | Kişisel Verileri Koruma Kurumu 24 Ocak 2019 | Bağlayıcı | Kanun md.12(5)'teki “en kısa sürede” ifadesini 72 saat olarak yorumlar: veri sorumlusu ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirir. | Metin |
| Kurul kararı 2019/271 Veri sorumlusu tarafından ilgili kişiye yapılan veri ihlali bildiriminde yer alması gereken asgari unsurlara ilişkin 18.09.2019 tarih ve 2019/271 sayılı Karar | Kişisel Verileri Koruma Kurumu 18 Eylül 2019 | Bağlayıcı | İlgili kişiye yapılacak bildirimin asgari unsurlarını sayar: ihlalin zamanı, etkilenen veri kategorileri, olası sonuçlar, alınan tedbirler ve irtibat bilgileri. | Metin |
Türkiye — politika belgeleri
| Kaynak | Yayım | Niteliği | Not | Bağlantı |
|---|---|---|---|---|
| Türkiye Yapay Zekâ Eylem Planı Türkiye Yapay Zekâ Eylem Planı (2026-2030) ile İlgili 2026/9 Sayılı Cumhurbaşkanlığı Genelgesi | Resmî Gazete, 18 Ağustos 2026, sayı 33344 18 Ağustos 2026 | Bağlayıcı değil (özel sektör bakımından) | Genelge, kamu kurum ve kuruluşlarına görev yükler. Özel sektöre doğrudan yükümlülük getirmez; “Fark Et, İstifade Et, Üret, Yönet” eksenleri politika yönünü gösterir. | Metin |
Türkiye — KVKK rehberleri (bağlayıcı değil)
| Kaynak | Yayım | Niteliği | Not | Bağlantı |
|---|---|---|---|---|
| KVKK Üretken YZ Rehberi (15 Soruda) Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda) | Kişisel Verileri Koruma Kurumu, Yayın No. 113 24 Kasım 2025 | Bağlayıcı değil | Kurumun üretken yapay zekâya bakışını ortaya koyan ilk kapsamlı metin. Kanunun teknolojiden bağımsız uygulandığını açıkça teyit eder. | Metin · PDF |
| KVKK İş Yerlerinde Üretken YZ İş Yerlerinde Üretken Yapay Zekâ Araçlarının Kullanımı | Kişisel Verileri Koruma Kurumu 5 Mart 2026 | Bağlayıcı değil | Üçüncü taraf, kamuya açık üretken yapay zekâ araçlarının iş yerinde kullanımını konu alır ve “Gölge Yapay Zekâ” başlığını doğrudan kavramsallaştırır. | Metin · PDF |
| KVKK Etken Yapay Zekâ Rehberi Etken Yapay Zekâ (Agentic AI) | Kişisel Verileri Koruma Kurumu 12 Mart 2026 | Bağlayıcı değil | Değerlendirmenin tek tek işleme faaliyetleri değil, sistemin bütüncül işleyişi üzerinden yapılması gerektiğini söyler. Otonom aracıların yetki sınırlarının baştan tanımlanmasını ve insan gözetiminin tasarıma gömülmesini bekler. | Metin · PDF |
| KVKK Yurt Dışına Aktarım Rehberi Kişisel Verilerin Yurt Dışına Aktarılması Rehberi | Kişisel Verileri Koruma Kurumu 2024 | Bağlayıcı değil | Yönetmeliğin uygulamasını örneklerle açıklar; standart sözleşme bildirimi ve arızi aktarım değerlendirmesi için başvuru metnidir. | Metin |
Avrupa Birliği
| Kaynak | Yayım | Niteliği | Not | Bağlantı |
|---|---|---|---|---|
| AB Yapay Zekâ Yasası Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act) | Avrupa Birliği Resmî Gazetesi, 12 Temmuz 2024 13 Haziran 2024 (yürürlük 1 Ağustos 2024) | Bağlayıcı (AB hukuku) | Resmî Türkçe sürümü yoktur; 24 AB dilinde yayımlanmıştır. Güncel konsolide metin 27 Temmuz 2026 tarihlidir. | Metin |
| Digital Omnibus on AI Regulation (EU) 2026/1744 amending Regulations (EU) 2024/1689, (EU) 2018/1139 and (EU) 2023/1230 as regards the simplification of the implementation of harmonised rules on artificial intelligence (Digital Omnibus on AI) | Avrupa Birliği Resmî Gazetesi, 24 Temmuz 2026 8 Temmuz 2026 (yürürlük 27 Temmuz 2026) | Bağlayıcı (AB hukuku) | Yüksek riskli sistem yükümlülüklerini erteler: Ek III için 2 Aralık 2027, Ek I için 2 Ağustos 2028. Madde 50 şeffaflık yükümlülüğünü ERTELEMEZ; yalnızca 2 Ağustos 2026'dan önce piyasaya sürülmüş üretken sistemler için md.50(2) işaretlemesine 2 Aralık 2026'ya kadar geçiş süresi tanır. | Metin |
Standartlar ve akreditasyon
| Kaynak | Yayım | Niteliği | Not | Bağlantı |
|---|---|---|---|---|
| ISO/IEC 42001:2023 ISO/IEC 42001:2023 — Information technology, Artificial intelligence, Management system | Uluslararası Standardizasyon Örgütü (ISO/IEC) Aralık 2023 | Gönüllü standart | Yapay zekâ yönetim sistemi (AIMS) standardıdır. Bir Avrupa harmonize standardı DEĞİLDİR ve AB Yapay Zekâ Yasası bakımından uygunluk karinesi sağlamaz. | Metin |
| ISO/IEC 17021-1 ISO/IEC 17021-1 — Conformity assessment, Requirements for bodies providing audit and certification of management systems | Uluslararası Standardizasyon Örgütü (ISO/IEC) 2015 | Belgelendirme kuruluşları için bağlayıcı | Danışmanlık veren tarafın aynı yönetim sistemini belgelendirmesini engelleyen tarafsızlık şartını içerir. Bu nedenle belgelendirme hizmeti sunulmaz. | Metin |
| TÜRKAK Türk Akreditasyon Kurumu — Akredite Kuruluş Sorgulama | Türk Akreditasyon Kurumu sürekli güncellenir | — | Belgelendirme kuruluşunun ISO/IEC 42001 kapsamında akredite olup olmadığı yalnızca buradan doğrulanmalıdır. | Metin |
DEĞERLENDİRMESık karşılaşılan altı yanlış bilgi
Aşağıdaki tespitler, Türkçe kaynaklarda en sık rastladığımız hatalı veya güncelliğini yitirmiş bilgilerdir. Her biri yukarıdaki birincil kaynaklardan doğrulanabilir.
1. “AB Yapay Zekâ Yasası 2027'ye ertelendi, acele etmek gerekmiyor.”
Erteleme yalnızca yüksek riskli sistem yükümlülüklerini kapsar: Ek III sistemleri için 2 Aralık 2027, ürüne gömülü Ek I sistemleri için 2 Ağustos 2028. Madde 50 şeffaflık yükümlülüğü ertelenmemiştir ve 2 Ağustos 2026'dan beri uygulanmaktadır. Madde 4 okuryazarlık ve madde 5 yasak uygulamalar ise 2 Şubat 2025'ten beri yürürlüktedir.
Dayanak: Regulation (EU) 2026/1744, md.113'ü değiştiren hükümler.
2. “Sentetik içeriğe görünür bir etiket koymak yeterli.”
Madde 50(2) makine tarafından okunabilir işaretleme arar; görünür ibare tek başına bu şartı karşılamaz. Digital Omnibus, 2 Ağustos 2026'dan önce piyasaya sürülmüş üretken sistemler için bu yükümlülüğe uyum tarihini 2 Aralık 2026 olarak belirlemiştir. Bu, takvimdeki en yakın somut son tarihtir.
Dayanak: Regulation (EU) 2026/1744, md.113'e eklenen dördüncü fıkra.
3. “ISO/IEC 42001 belgesi AB Yapay Zekâ Yasası uyumunu sağlar.”
ISO/IEC 42001 bir yönetim sistemi standardıdır ve Avrupa harmonize standardı değildir. Bu nedenle Tüzük bakımından uygunluk karinesi doğurmaz. Belgelendirme, kurumsal olgunluğu göstermek ve müşteri taleplerini karşılamak bakımından değerlidir; hukuki uygunluk yerine geçmez.
4. “Temel hak etki değerlendirmesi (FRIA) yapay zekâ kullanan herkes için zorunlu.”
Madde 27, yükümlülüğü kamu hukukuna tabi kuruluşlar, kamu hizmeti sunan özel kuruluşlar ve Ek III 5(b)-(c) sistemlerini (kredi değerlendirme ile hayat ve sağlık sigortası risk değerlendirmesi ve fiyatlaması) kullanan uygulayıcılar bakımından öngörür. Digital Omnibus, temel hak etki değerlendirmesi ile veri koruma etki değerlendirmesi arasında çapraz atıf yapılmasına açıkça izin vermiştir.
5. “Türkiye'de yapay zekâ kanunu çıktı.”
Yapay zekâya özgü yürürlükte bir kanun bulunmamaktadır. Türkiye Yapay Zekâ Eylem Planı (2026-2030), 18 Ağustos 2026 tarihli ve 33344 sayılı Resmî Gazete'de yayımlanan 2026/9 sayılı Cumhurbaşkanlığı Genelgesi ile yürürlüğe girmiştir. Genelge, kamu kurum ve kuruluşlarına görev yükler; özel sektöre doğrudan yükümlülük getirmez. Özel sektör bakımından bağlayıcı çerçeve 6698 sayılı Kanundur.
6. “Veri ihlali bildirimi için 72 saatlik süre Kanunda yazıyor.”
Kanun md.12(5) “en kısa sürede” ifadesini kullanır. 72 saatlik süre, bu ifadenin Kişisel Verileri Koruma Kurulunun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararıyla yorumlanmasından doğar. Haklı bir gerekçeyle süreye uyulamaması hâlinde gecikmenin nedenleri bildirimle birlikte Kurula açıklanır. İlgili kişiye yapılacak bildirimin asgari unsurları ise 2019/271 sayılı kararda düzenlenmiştir.
KAPSAMBu listede olmayanlar
Dürüstlük gereği, kapsam dışı bıraktığımız başlıkları da belirtiyoruz:
- Sektörel düzenlemeler. Bankacılık, sigortacılık, sermaye piyasası, ilaç ve tıbbi cihaz alanlarındaki sektörel düzenlemelerin yapay zekâ ile kesişimi bu listede yer almaz. Bu başlıklar kuruluşa özgü olarak ayrıca değerlendirilir.
- Fikrî mülkiyet. Üretken yapay zekâ çıktısının eser niteliği ve eğitim verisinin telif durumu, ayrı ve henüz yerleşmemiş bir tartışma alanıdır.
- İş hukuku. Çalışan izleme, performans değerlendirmesi ve fesih kararlarında yapay zekâ kullanımının iş hukuku boyutu bu listenin dışındadır.
- TBMM'de bekleyen teklifler. Yapay zekâya ilişkin kanun teklifleri komisyon aşamasındadır. Yürürlükte olmayan metinleri yükümlülük gibi sunmuyoruz.
Mevzuatı takip etmek ayrı bir iş yükü
Bu sayfayı güncel tutuyoruz çünkü kendi işimizin gereği. Kuruluşunuz için aynı takibi yürütmemizi isterseniz, Yönetilen Yapay Zekâ Yönetimi hizmeti bu takibi ve kanıt paketinin güncellenmesini kapsıyor.