Yapay zekâ riski modelde değil, kullanımda yatar

Aynı model kurum içi taslak yazabilir, adayları sıralayabilir veya güvenlik açısından kritik süreci kontrol edebilir. Teknik benzerlik, kullanımın hukuken ve operasyonel olarak eşit risk taşıdığı anlamına gelmez.

Yapay zekâ envanterleri çoğu zaman ürün ve model adıyla başlar. Bu anlaşılırdır: ad görünür, satın alınabilir ve yapılandırılabilir. Fakat risk değerlendirmesinde yalnız bir girdidir. Genel amaçlı dil modeli bağlayıcı olmayan fikir atölyesinde kullanılabilir ya da eğitim, istihdam ve kamu hizmetlerine erişimi önemli ölçüde etkileyebilir. Temel teknoloji benzer kalırken amaç, etki ve sorumluluk tamamen değişir.

Sağlam yönetişim önce „Hangi modeli kullanıyoruz?" diye sormaz. Şunu sorar: Bütün sistem ne yapıyor, kimin için, kimin sorumluluğunda, hangi veriyle, karar üzerinde ne kadar etkiyle ve hata olduğunda hangi sonuçlarla? Hukuk rejimi, teknik kontrol ve kanıt ancak bundan sonra belirlenebilir.

Model henüz kullanım sistemi değildir

Model input'tan output üretir. Gerçek sistem daha büyüktür: arayüz, prompt, bilgi kaynakları, kurallar, veri hattı, tool, otomasyon, insan rolleri, eşikler ve sonraki kararlar. Organizasyon pratiği de sisteme dahildir. „Yalnız tavsiye" denilen skor, çalışanlar neredeyse her zaman ona uyuyor veya sapmayı özel olarak açıklamak zorunda kalıyorsa fiilen belirleyici olabilir.

Bu nedenle vendor listesi yapay zekâ envanteri değildir. Sistem kartı; owner, provider, version, intended purpose, gerçek kullanım, kullanıcı grupları, etkilenen kişiler, input-output, veri akışı, entegrasyon, karar noktası, insan müdahalesi ve öngörülebilir kötü kullanımı kaydeder.

Sınır somut olmalıdır. „Üretken yapay zekâ kullanıyoruz" sınıflandırılamaz. „Kurum içi asistan, kamuya açık ürün belgelerini editoryal kontrolden geçen taslağa dönüştürüyor" incelenebilir. „Sistem başvuruları değerlendirip mülakat için insanları önceliklendiriyor" aynı model endpoint'ini kullansa bile başka use case'tir.

Altı boyut bağlamı görünür yapar

İlk risk haritası altı soruyla kurulabilir.

1 · Amaç: Sistem hangi görevi yapacak, hangi görevi kesinlikle yapmayacak?

2 · Rol: Kim geliştiriyor, sağlıyor, ithal ediyor, dağıtıyor veya kullanıma alıyor? Amacı kim değiştiriyor?

3 · Etkilenenler: Sistemi hiç kullanmasa bile sonuçtan kim etkileniyor?

4 · Karar etkisi: Output yalnız bilgi mi veriyor, vakayı mı önceliklendiriyor, sonucu fiilen mi belirliyor?

5 · Veri ve ortam: Hangi veri nereye gidiyor, ne kadar hassas ve hangi diğer sistemler tetikleniyor?

6 · Özerklik ve sonuç: Etkili checkpoint olmadan hangi eylem çalışıyor, hata ne kadar geri alınabilir?

Bu boyutlar hukuk analizinin yerine geçmez; kestirme hataları önler. Hassas veri koruma ihtiyacını artırır fakat tek başına sistemi AI Act kapsamında yüksek riskli yapmaz. Tersine az kişisel veri işleyen kullanım temel hakları etkileyebilir. „Agentic" de kanuni risk sınıfı değildir. İşlev ve kullanım belirleyicidir.

AI Act basit dört renkli etiket değildir

Giriş şemaları AB AI Act'i kabul edilemez, yüksek, sınırlı ve asgari risk piramidi olarak gösterir. Bu yön bulmaya yardım eder fakat otomatik classifier değildir. Bağlayıcı metin farklı düzenleme yolları kullanır.

Madde 5, kendi koşulları altında yasak uygulamaları tanımlar. Madde 6 yüksek risk statüsünü bir yandan Ek I'deki düzenlenmiş ürün ve güvenlik bileşenlerine, diğer yandan Ek III'teki use case'lere bağlar. Alanlar arasında belirli biyometri, eğitim, istihdam, temel özel ve kamu hizmetleri, kolluk, göç ve adalet uygulamaları bulunur.

Ek III'teki bazı sistemler için Madde 6(3), sağlık, güvenlik veya temel haklar açısından önemli risk yoksa ve özellikle karar sonucunu maddi biçimde etkilemiyorsa yüksek risk dışında değerlendirme yolu verir. Gerçek kişilerin profiling'i bu bağlamda özel ele alınır. İstisnayı kullanan provider, sistemi piyasaya sunmadan veya hizmete almadan önce değerlendirmeyi belgelemelidir.

Madde 50 ayrıca insanla doğrudan etkileşim, sentetik içerik, deepfake ve belirli emotion recognition veya biometric categorisation sistemleri için şeffaflık yükümlülükleri getirir. General-purpose AI model kuralları başka bir düzenleme hattıdır. Tek deployment aynı anda birkaç yükümlülük yoluna dokunabilir.

Kişisel veri ve yüksek risk ayrı testlerdir

Yaygın hata şudur: „Kişisel veya hassas veri varsa yapay zekâ yüksek risktir." Sınıflandırma böyle çalışmaz. AI Act ile GDPR farklı koşul, rol ve sonuçlara sahiptir. Paralel incelenmeli, birbirine dönüştürülmemelidir.

GDPR; hukuki dayanak, amaç sınırlaması, veri minimizasyonu, şeffaflık, güvenlik, ilgili kişinin hakları ve gerektiğinde veri koruma etki değerlendirmesini sorar. Madde 22, yalnız otomatik işleme dayanan ve hukuki ya da benzer derecede önemli etki doğuran kararları kendi koşul ve istisnalarıyla ele alır. Her yapay zekâ yardımı buna girmez. Fakat insan katkısı fiilen etkisizse dekoratif Human-in-the-Loop da uygulamayı otomatik olarak engellemez.

AI Act yüksek risk analizinde intended purpose ile Madde 6 ve eklerdeki sınıflandırma kurallarına odaklanır. Özel nitelikli kişisel veri riski ağırlaştırabilir ve başka görevler doğurabilir, fakat bu testi değiştirmez. Operasyonda tek etiket değil hukuk haritası gerekir.

Aktör rolü yükümlülüğü değiştirir

Aynı kurum bir sistemde deployer, diğerinde provider olabilir. Hazır tool'u amaçlanan kapsamda kullanmak; kendi adıyla sunmaktan, esaslı biçimde değiştirmekten veya amaç değişikliğiyle yeni sınıflandırma yaratmaktan farklıdır. Madde 25 değer zinciri sorumluluklarını ve rol değişebilen durumları düzenler.

Teknik değişiklik yalnız release management değildir. Yeni veri kaynağı, başka karar noktası, daha fazla özerklik veya repurposing sistem kartını ve hukuk analizini değiştirebilir. Her release şu kaydı taşımalıdır: Ne değişti? Amaç aynı mı? Etkilenen grup değişti mi? Yeni maddi etki var mı? Hangi eski değerlendirme geçersiz kaldı?

Sözleşme ve operasyon rolü uyuşmalıdır. Incident'ı kim izler? Teknik kanıtı kim tutar? Etkilenen kişiyi kim bilgilendirir? Sistemi kim durdurabilir? Sorumluluğu genel ifadeyle vendor'a atan sözleşme gerçek rolü kendiliğinden değiştirmez.

Risk sınıflandırması kanıt isteyen iddiadır

„Yüksek risk değil" açıklamasız dropdown değeri olamaz. Sınıflandırma gerekçeli iddiadır ve kanıt ister: tanımlı amaç, süreç diyagramı, kullanıcı ve etkilenen gruplar, karar etkisi, veri kaynakları, model-tool sınırı, insan kontrolü, test, bilinen hata türleri ve uygulanan hükümler.

Yararlı kayıt üç katmanı ayırır: sistem hakkındaki olgular, hukuki veya mesleki kriterler ve sonuçlar. Olgular teknik olarak doğrulanır. Kriterler versioned tutulur ve birincil kaynağa bağlanır. Sonuç; yazar, tarih, scope, belirsizlik ve sonraki review'u taşır.

Otomatik compliance checker soruları düzenleyebilir ve açık boşlukları gösterebilir. Triage aracıdır, onay damgası değildir. Eksik input veya yanlış kavram, güven veren yanlış output üretir. Sonuç doğuran ya da belirsiz vaka nitelikli uzman incelemesi ister.

Sandbox öğrenme ortamıdır, evrensel sertifika değildir

Regulatory sandbox yenilikçi yapay zekâ sistemini geliştirmek, eğitmek, test etmek ve doğrulamak için denetimli kontrollü ortamdır. AI Act kapsamında üye devletler en az bir ulusal sandbox'ı işler hâle getirmelidir; resmî takvim bu kilometre taşı için 2 Ağustos 2027'yi gösterir.

Bu, her yüksek riskli sistemin sandbox'a girmesi gerektiği anlamına gelmez. Katılım evrensel yeşil ışık, tam uygunluk garantisi veya otomatik sigorta şartı değildir. Hukuki kesinlik ve compliance öğrenmesini destekler; sorumluluk ile denetim sürer. Sandbox dışındaki gerçek ortam testlerinin ayrı koşulları vardır.

Bu ayrım önemlidir. Aksi hâlde yönetişim tek seferlik sertifika projesine dönüşür. Risk veri, kullanıcı, version ve organizasyon pratiğiyle değişir. Tek inceleme post-market monitoring, incident yönetimi ve düzenli reclassification'ın yerini tutmaz.

Tarih sistem kaydının parçasıdır

AI Act kademeli uygulanır. Yasaklar ve AI literacy yükümlülüğü 2 Şubat 2025'ten; başka governance ve GPAI hükümleri 2 Ağustos 2025'ten beri uygulanmaktadır. Madde 50 şeffaflık görevleri dahil düzenlemenin büyük bölümü 2 Ağustos 2026'dan itibaren uygulanır. Bazı yüksek risk durumları için daha geç tarihler ve önceden piyasaya sunulan sistemler için geçiş kuralları vardır.

Yürürlük tarihi olmayan sınıflandırma eksiktir. Register; değerlendirme tarihi, ilgili hukuk sürümü, planlanan deployment, geçiş durumu ve sonraki kontrolü kaydetmelidir. Sistem bugün hazırlanabilir, ağustosta farklı açıklama gerektirebilir ve daha sonra ek yüksek risk yükümlülüklerine girebilir.

Rehber ve uygulama düzenlemeleri de gelişir. Yönetişim birincil hukuk ile resmî açıklamayı izlemeli, her yeni özeti körü körüne almamalıdır. Değişiklik veri migration gibi yönetilir: kaynak kaydedilir, etki analiz edilir, ilgili sistem kartları bulunur, karar güncellenir, kanıt korunur.

Sınıflandırma kontrol planına dönüşmelidir

Etiket nihai ürün değildir. Hangi kontrolün uygulanıp kanıtlanacağını yönlendirir. Veri yönetişimi, teknik dokümantasyon, logging, şeffaflık bildirimi, insan gözetimi, robustness ve security testleri, temel hak veya veri koruma etki değerlendirmesi, vendor kontrolü ve incident süreci bunlara dahil olabilir.

Pratik workflow şöyledir:

1. Sistem ve süreç sınırını tanımla.

2. Amaç, rol, etkilenen kişi ve karar etkisini kaydet.

3. AI Act, veri koruma ve sektörel kuralları ayrı haritala.

4. Sınıflandırmayı birincil kaynak ve belirsizlikle gerekçelendir.

5. Kontrolü owner, tarih ve evidence'a bağla.

6. Go-live öncesi test ve etkili insan müdahalesini göster.

7. Kullanım, değişiklik, incident ve drift'i izle.

8. Amaç, rol veya etki değişince yeniden sınıflandır.

Böylece compliance belge mezarlığı olmaz. Sınıflandırma mimariyi, veri erişimini, onayı ve operasyonu yönetir. Ait olduğu yer tam olarak burasıdır: sistem yaşam döngüsü.

Çalışma kâğıdı: Model adını değil use case'i sınıflandır

Planlanan yapay zekâ sistemini, bağımsız uzmanın gerçek kullanımı anlayacağı somutlukta anlat.

1. Amaç, amaç dışı kullanım ve sistem sınırını yaz.

2. Provider, deployer ve olası diğer rolleri belirle.

3. Veri akışı, tool eylemi ve sonraki kararları çiz.

4. Kullanıcı, etkilenen kişi ve olası zararı tanımla.

5. Yasak, yüksek risk, şeffaflık ve GPAI bağlantısını ayrı incele.

6. Veri koruma ve sektör kurallarını ayrı hatlarda değerlendir.

7. Kanıt, belirsizlik, reviewer ve tarihi kaydet.

8. Kontrol, stop kriteri ve reclassification trigger çıkar.

İndirilecek tüm materyaller — konu özeti ve çalışma kâğıdı:

Kapsam: Bu makale teknik ve organizasyonel sınıflandırma yöntemi öğretir; hukuki danışmanlık değildir. „Asgari" veya „sınırlı risk" gibi etiketler iletişimde yararlı olsa da eksiksiz hukuki karar mantığı değildir. Yükümlülük; kapsam, aktör rolü, amaçlanan kullanım, somut use case, tarih ve diğer hukuk rejimlerine bağlıdır. Editoryal inceleme tarihi: 16 Temmuz 2026.