GPAI Code of Practice Nedir?
EU AI Act genel amaçlı YZ kuralları, imzacı haritası ve 2026 yaptırımları

GPAI Code of Practice nedir? (Tek paragraflık tanım)

GPAI Code of Practice (Genel Amaçlı Yapay Zeka Uygulama Kuralları), Avrupa Birliği Yapay Zeka Yasası'nın (EU AI Act) genel amaçlı yapay zeka modeli sağlayıcılarına getirdiği yükümlülükleri pratikte nasıl yerine getirebileceklerini gösteren, gönüllü olarak imzalanan bir uyum çerçevesidir. Avrupa Komisyonu koordinasyonunda, bağımsız uzmanlar ve paydaşların katkısıyla hazırlanan metin; sağlayıcılara yasal metnin soyut maddelerini somut, denetlenebilir taahhütlere çeviren bir yol haritası sunar. Kurallar üç bölüme ayrılır: Şeffaflık (Transparency), Telif (Copyright) ve Güvenlik & Emniyet (Safety & Security). Bir sağlayıcı Kuralları imzaladığında, Komisyon nezdinde yükümlülüklerini yerine getirdiğine dair "varsayılan uyum" (presumption of conformity) avantajı elde eder; imzalamayanlar ise aynı yükümlülükleri kendi başlarına, daha ağır ispat yüküyle kanıtlamak zorunda kalır.

Kısaca: Code of Practice bir yasa değildir, ancak AI Act'in Bölüm V'te (Chapter V) tanımlanan GPAI yükümlülüklerine uyumun en pratik ve Komisyon tarafından tanınan yoludur. Yasal zemini AI Act olduğu için, imzalamak gönüllü olsa da altında yatan yükümlülükler bağlayıcıdır.

Üç bölüm: Şeffaflık, Telif, Güvenlik & Emniyet

Kuralların gücü, AI Act'in genel yükümlülüklerini üç ayrı ölçülebilir alana bölmesinden gelir. Aşağıdaki Türkçe özet, her bölümün sağlayıcıdan pratikte ne beklediğini güvenlik ve model-değerlendirme perspektifinden çerçeveler.

1. Şeffaflık (Transparency)

Bu bölümün merkezinde Model Dokümantasyon Formu (Model Documentation Form) yer alır. Sağlayıcı; modelin mimarisi, eğitim verisinin genel özellikleri, hesaplama kaynağı, yetenekleri ve sınırlamaları hakkında standart bir bilgi setini hazırlayıp hem AI Office'e hem de modeli entegre eden aşağı akış (downstream) geliştiricilere sunmak zorundadır. Amaç, modeli kendi ürününe gömen bir kurumun neyi entegre ettiğini bilmeden risk üstlenmesini önlemektir. Güvenlik açısından bu form, bir modelin bilinen zayıflıklarının ve değerlendirme sonuçlarının izlenebilir bir kaydını oluşturur.

2. Telif (Copyright)

Telif bölümü, sağlayıcıların bir AB telif politikası benimsemesini, metin ve veri madenciliği (TDM) sırasında hak sahiplerinin "ayrılma" (opt-out) tercihlerine saygı göstermesini ve eğitim verisinin yasa dışı kaynaklardan toplanmamasını taahhüt etmesini ister. Bu, doğrudan bir siber güvenlik başlığı olmasa da veri kaynağı (provenance) disiplini kurar; bu disiplin veri zehirleme ve tedarik zinciri risklerinin de zeminini oluşturur.

3. Güvenlik & Emniyet (Safety & Security)

En teknik ve güvenlik ekipleri için en kritik bölüm budur. Yalnızca sistemik risk taşıyan modeller (belirli hesaplama eşiğinin üzerindeki, geniş etki potansiyeli olan modeller) için geçerlidir. Sağlayıcıdan; sistemik risklerin sürekli değerlendirilmesini ve azaltılmasını, ileri düzey (state-of-the-art) model değerlendirmeleri ve düşmanca testler (adversarial testing / red teaming) yürütmesini, ciddi olayları AI Office'e bildirmesini ve yeterli siber güvenlik korumaları uygulamasını bekler. Model-değerlendirme beklentisinin ne anlama geldiğini ilerideki bölümde iç ölçümlerimizle somutlaştırıyoruz.

İmzacı haritası: kim tam imzaladı, kim ayrıştı?

Kurallar 2025 ortasında yayımlandıktan sonra büyük sağlayıcıların büyük bölümü kısa sürede imzaladı. Aşağıdaki tablo, 4 Ağustos 2025 itibarıyla kamuya açık imzacı listesine dayanan ve güvenlik ekiplerinin "hangi sağlayıcı hangi taahhüdü verdi?" sorusuna hızlı yanıt bulmasını sağlayan bir matristir.

Tabloda öne çıkan iki ayrışma dikkat çekicidir. xAI, yalnızca Güvenlik & Emniyet bölümünü imzaladı; şirket diğer iki bölümü (özellikle telif ve şeffaflık yaklaşımını) inovasyona zararlı bulduğunu gerekçe gösterdi. Bu, bir sağlayıcının Kuralları "paketten seçmeli" biçimde ele alabildiğini gösteren nadir bir örnektir. Meta ise Kuralları tümüyle imzalamayı reddetti ve gerekçe olarak metnin yarattığı "yasal belirsizlikleri" öne sürdü. İmzalamamak yükümlülükten muafiyet anlamına gelmez; yalnızca uyumu kanıtlama yükünü sağlayıcının üstünde bırakır.

Toplamda 20'den fazla sağlayıcı listeye katıldı; yukarıdaki tablo en çok bilinenleri özetler. Kurumsal alıcılar için pratik çıkarım şudur: bir modeli tedarik ederken sağlayıcının hangi bölümleri imzaladığını sözleşme öncesi doğrulamak, uyum riskini erken görmenin en ucuz yoludur.

2 Ağustos 2026: Komisyon'un yaptırım yetkileri devrede

Kuralların "gönüllü" niteliği, arkasındaki yaptırımın da gönüllü olduğu anlamına gelmez. 2 Ağustos 2026 itibarıyla, AI Act'in Bölüm V'inde tanımlanan GPAI yükümlülüklerinin Komisyon (AI Office) eliyle denetim ve yaptırım yetkileri yürürlüğe girmiştir. Bu tarihten sonra AI Office; sağlayıcılardan bilgi talep edebilir, model değerlendirmeleri yürütebilir, uyumsuzluk halinde düzeltici tedbir isteyebilir ve nihayetinde para cezası uygulayabilir.

GPAI yükümlülüklerinin ihlalinde ceza tavanı, ilgili maddede (Art. 101) sağlayıcının bir önceki mali yıldaki küresel cirosunun %3'ü ya da 15 milyon avro — hangisi yüksekse — olarak belirlenmiştir. Bu, AI Act'in yasak uygulamalar için öngördüğü daha yüksek tavandan (ciro %7'si) ayrı, GPAI'ye özgü bir ölçektir. Yine de küresel ölçekli bir sağlayıcı için %3, milyarlarca avroya karşılık gelebilir; dolayısıyla "gönüllü" çerçevenin ekonomik gerçekliği hiç de gönüllü değildir.

Kurumsal alıcı açısından tarih şu nedenle önemlidir: 2 Ağustos 2026 sonrası, bir GPAI sağlayıcısının uyumsuzluğu yalnızca sağlayıcının değil, o modeli üretimde kullanan kurumun risk profilini de etkiler. Bu nedenle tedarik ve uyum ekiplerinin sözleşmelere Model Dokümantasyon Formu talebini ve sağlayıcının imzacı durumunu yazması gerekir.

Güvenlik & Emniyet'in model-değerlendirme beklentisi ne demek?

Güvenlik & Emniyet bölümünün en somut talebi, sistemik risk taşıyan modellerin ileri düzey değerlendirmelerden ve düşmanca testlerden geçirilmesidir. Bu, pratikte modelin jailbreak (kısıt aşımı), prompt injection ve zararlı çıktı üretimi karşısında nasıl davrandığının ölçülmesi demektir. Ancak burada Türkçe konuşan kurumlar için metinlerde nadiren konuşulan bir kör nokta vardır: değerlendirme araçlarının çoğu İngilizce merkezli tasarlanır.

AltaySec'in kendi ölçüm ortamı guardrail-arena ile yürüttüğümüz iç değerlendirmede, hazır güvenlik korumalarının dil bağımlılığı belirgindir. AltaySec'in kendi ölçümüne göre (guardrail-arena iç verisi, dış literatürde yer almayan bir bulgu), yaygın jailbreak sınıflandırıcıları aynı saldırının Türkçe varyantlarının önemli bir bölümünü — ölçümümüzde yaklaşık %83'ünü — kaçırmaktadır. Yani bir model İngilizce test setinde "güvenli" görünürken, aynı saldırı kalıbı Türkçeye çevrildiğinde koruma katmanını aşabilmektedir. Bu ölçüm bir dış-genel gerçek değil, kendi kontrollü deney ortamımızın çıktısıdır; ancak Code of Practice'in "ileri düzey değerlendirme" beklentisinin neden çok-dilli olmak zorunda olduğunu somutlaştırır.

Türkçe'de bu konu güvenlik ve model-değerlendirme açısından az işlenmiştir: mevcut Türkçe hukuk ve uyum kaynakları (KPMG, çeşitli hukuk blogları) Kuralları genel hatlarıyla ele alsa da, Güvenlik & Emniyet bölümünün dil-bağımlı değerlendirme boşluğuna odaklanan Türkçe kaynak neredeyse yoktur. Buradaki pratik ders açıktır: bir GPAI değerlendirmesini yalnızca İngilizce yapmak, Türkçe pazara açılan bir kurum için eksik bir uyum kanıtıdır.

Türkiye'deki kurumlar için pratik çıkarımlar

GPAI Code of Practice doğrudan Türkiye'yi bağlamaz; ancak AB pazarına ürün/hizmet sunan ya da AB merkezli bir GPAI modeli kullanan her Türk kurumunu dolaylı olarak etkiler. Aşağıdaki maddeler, uyum ve güvenlik ekiplerinin bugün atabileceği adımlardır.

• Sağlayıcı imza durumunu doğrulayın: Kullandığınız temel modelin sağlayıcısı hangi bölümleri imzaladı? Özellikle Güvenlik & Emniyet bölümü, üretimde risk taşıyan senaryolar için kritik.
• Model Dokümantasyon Formu'nu isteyin: Aşağı akış geliştirici olarak bu form sizin hakkınız; tedarik sözleşmelerine ekleyin.
• Değerlendirmeyi Türkçeleştirin: Sağlayıcının İngilizce güvenlik testlerine güvenmek yeterli değil. Türkçe düşmanca test kapasitesini kendi tarafınızda kurun ya da bir çalışma zamanı koruma katmanıyla telafi edin.
• Yaptırım tarihini takvime alın: 2 Ağustos 2026 sonrası uyumsuz bir sağlayıcı, sizin risk profilinizi de yükseltir.

Çalışma zamanında bu boşluğu kapatmanın bir yolu, model çıktısını ve girdisini Türkçe saldırı kalıplarına duyarlı bir katmandan geçirmektir. AltaySec'in LLM güvenlik duvarı (Guardian) yaklaşımı tam olarak bu amaca hizmet eder: sağlayıcının modeline dokunmadan, Türkçe dahil çok-dilli saldırı yüzeyini üretim öncesi ve çalışma anında filtrelemek. Konu hakkında daha geniş bir uyum çerçevesi için EU AI Act uyum rehberimizi ve Türkiye özelinde 2026 düzenlemeleri yazımızı inceleyebilirsiniz. Kurumsal değerlendirme için bizimle iletişime geçebilirsiniz.

Sonuç: gönüllü çerçeve, bağlayıcı sonuç

GPAI Code of Practice, EU AI Act'in soyut yükümlülüklerini üç ölçülebilir bölüme çeviren pragmatik bir uyum aracıdır. İmzalamak gönüllü olsa da altındaki yükümlülükler bağlayıcıdır ve 2 Ağustos 2026 itibarıyla Komisyon'un para cezası yetkisi devrededir. İmzacı matrisi, sağlayıcıların birbirinden ayrıştığı noktaları — xAI'ın seçmeli imzası, Meta'nın reddi — açığa çıkararak kurumsal alıcıya tedarik öncesi net bir risk haritası sunar.

Güvenlik ekipleri için asıl ders, Güvenlik & Emniyet bölümünün istediği "ileri düzey model değerlendirmesi"nin dilden bağımsız olamayacağıdır. Kendi guardrail-arena ölçümümüz, hazır korumaların Türkçe saldırılara karşı gösterdiği açığı somutlaştırıyor. Uyum kağıt üstünde İngilizce test sonuçlarıyla sağlanmış görünse bile, gerçek koruma çok-dilli değerlendirme ve çalışma zamanı filtreleme olmadan eksiktir.

Kaynaklar

• European Commission — The General-Purpose AI Code of Practice
• The GPAI Code of Practice — Final Version
• artificialintelligenceact.eu — The General-Purpose AI Code of Practice
• EU AI Act Article 101 — Fines for providers of general-purpose AI models
• Dastra — GPAI Code of Practice signatories (xAI, Meta positions)
• OWASP Top 10 for LLM Applications (2025)

İlgili Yazılar

• EU AI Act Uyum Rehberi
• Türkiye Yapay Zeka Düzenlemeleri 2026
• LLM Güvenlik Duvarı (LLM Firewall) Nedir?
• Çalışma Zamanı LLM Guardrail'leri