Türkiye'de Yapay Zeka Düzenlemeleri 2026
Mevcut Çerçeve ve Beklentiler

Mevcut Düzenleyici Çerçeve

Türkiye'de yapay zekayı doğrudan düzenleyen tek bir yasa yok; ancak mevcut mevzuatın pek çok parçası bu alana dolaylı yoldan uygulanıyor. Bu parçalar birlikte düşünüldüğünde, sanılandan çok daha kapsamlı bir hukuki çerçeve ortaya çıkıyor.

İlk sırada 6698 sayılı Kişisel Verilerin Korunması Kanunu yer alır; yapay zekayla kişisel veri işleme faaliyetinin temel hukuki zeminini oluşturur ve ayrı bir yazımızda detaylı olarak ele aldık. 5651 sayılı İnternet Kanunu, yapay zeka tabanlı içerik üretiminin ve yayımının düzenlenmesinde uygulanabilir. 5237 sayılı Türk Ceza Kanunu, deepfake ve yapay zeka destekli sahtekârlık gibi durumlarda bilişim suçları ve dolandırıcılık hükümlerini devreye sokar. 6502 sayılı Tüketicinin Korunması Hakkında Kanun, yapay zeka tabanlı ürün ve hizmetlerin tüketici hakları boyutuna uygulanır.

Bunların yanında 5846 sayılı Fikir ve Sanat Eserleri Kanunu yapay zekayla üretilmiş içeriklerin telif statüsünü düzenlemekte, 4054 sayılı Rekabetin Korunması Hakkında Kanun algoritmik fiyatlandırma gibi konularda devreye girmekte, İş Kanunu ise yapay zekayla yapılan işe alım kararları ve çalışan izleme süreçlerinde uygulanmaktadır. Bu çerçeve yapay zekaya özel olarak yazılmış değil; ancak her bir yasanın yapay zeka bağlamında nasıl uygulanacağı içtihat ve düzenleyici kurum tebliğleriyle şekilleniyor.

Ulusal Yapay Zeka Stratejisi

Cumhurbaşkanlığı Dijital Dönüşüm Ofisi ve Sanayi ve Teknoloji Bakanlığı tarafından yayımlanan Ulusal Yapay Zeka Stratejisi 2021-2025, Türkiye'nin bu alandaki ulusal vizyonunu ortaya koyar. Strateji altı temel öncelik etrafında şekillenir: yapay zeka uzmanlarının yetiştirilmesi ve istihdamın artırılması, araştırma ve girişimcilik kapasitesinin geliştirilmesi, kaliteli veriye ve teknik altyapıya erişimin genişletilmesi, sosyoekonomik uyumun hızlandırılması, uluslararası iş birliklerinin güçlendirilmesi ve işgücüne yönelik yapısal dönüşümün desteklenmesi.

Strateji kendi başına yasal bağlayıcılığı olan bir doküman değildir; bir politika çerçevesi olarak konumlanır. Ancak Cumhurbaşkanlığı kararnameleri ve bakanlık tebliğleri bu çerçeveyi referans aldığı için pratik etkisi az değildir. Yeni mevzuatın hangi yönde şekilleneceğini anlamak isteyen kurumlar için stratejinin başlıklarını takip etmek değerli bir gösterge sunar.

Sektörel Düzenlemeler

Yapay zekanın somut biçimde düzenlendiği yer çoğunlukla sektörel otoritelerin tebliğleridir. Aşağıda öne çıkan otoriteleri ve bu otoritelerin yapay zekaya bakış açısını özetliyoruz.

BDDK, bankacılık tarafında belirleyici rol oynar. Bankaların bilişim sistemleri ve elektronik bankacılık hizmetleri hakkındaki düzenlemeler, yapay zeka tabanlı sistemleri — kredi skorlama, dolandırıcılık tespiti, müşteri asistanları, yatırım danışmanlığı — kapsamına alır. Bilgi sistemleri yönetimi ve dış hizmet alımı düzenlemeleri yapay zeka sistemleri için de geçerlidir. TCMB ödeme hizmetlerinde yapay zeka kullanımını (dolandırıcılık tespiti, müşteri tanıma, risk skorlama) denetler; algoritmik finansal kararlarda şeffaflık ve insan denetimi vurgulanır.

SPK, robo-danışmanlar, algoritmik ticaret ve yapay zeka tabanlı portföy yönetimi gibi uygulamaları yatırım kuruluşları ve sermaye piyasası araçları düzenlemeleri kapsamında değerlendirir. Sağlık Bakanlığı, tıbbi cihaz statüsündeki yapay zeka yazılımlarını (teşhis destek araçları, görüntüleme analiz sistemleri) ilgili yönetmelikler altında düzenler; CE ve TÜRK belgelendirme süreçleri devreye girer. BTK, telekom servis sağlayıcılarının yapay zeka kullanımını, içerik filtreleme ve smishing önleme gibi başlıklarda denetler. RTÜK, deepfake video ve sentetik medya içerikleri başta olmak üzere dijital yayıncılıkta yapay zeka tarafıyla ilgilenir.

KVKK Kurumu ise henüz yapay zekaya özgü bir tebliğ yayımlamamış olsa da kararları ve rehberleri bu alana emsal teşkil ediyor. Profilleme, otomatik karar verme ve yurt dışı veri aktarımı konularındaki kararlar yapay zeka uygulamalarına doğrudan uygulanabilir niteliktedir.

Yapay Zeka Kanun Teklifi

TBMM'de farklı dönemlerde Yapay Zeka Kanun Teklifi süreçleri başlatılmıştır. Görüşmelerde tartışılan ana başlıklar genellikle aynı temalar etrafında toplanıyor: yapay zekanın yasal tanımı ve kapsamı, risk tabanlı bir sınıflandırma yaklaşımı (EU AI Act'e yakın bir model), yüksek riskli sistemler için zorunlu denetim mekanizmaları, otomatik karar sistemlerine itiraz hakkı, deepfake gibi yapay zeka üretimi içeriğin etiketlenmesi, veri setlerinin şeffaflığı ve önyargı denetimi, idari-cezai yaptırımlar ve EU AI Act ile uyum.

Teklif metinleri ve hangi versiyonun yasalaşacağı bu yazının yayım tarihi itibarıyla kesinleşmiş değil; süreç hareketli ilerliyor. Bu sebeple kurumların TBMM gündemini ve düzenleyici otoritelerin görüşlerini düzenli takip etmesi öneriliyor.

EU AI Act'in Türkiye Üzerindeki Etkisi

EU AI Act, AB sınırlarını aşan bir etkiye sahiptir ve Türk şirketlerini iki ayrı kanaldan etkiler. Birincisi doğrudan yükümlülüktür; AB pazarına dokunan Türk yapay zeka sağlayıcıları ya da kullanıcıları zaten EU AI Act yükümlüsüdür. Bu boyutu EU AI Act Uyum Rehberi'nde ayrıntılı ele aldık. İkincisi dolaylı standart belirlemedir; Türkiye'nin kendi yapay zeka mevzuatının büyük olasılıkla EU AI Act çerçevesine yakın bir şekilde inşa edileceği bekleniyor — KVKK ile GDPR arasındaki ilişkiye benzer biçimde. Bu yüzden bugünden EU AI Act'e hazır olmak, yarın gelecek yerli mevzuata da büyük ölçüde hazır olmak anlamına geliyor.

Beklenen Gelişmeler

2026-2028 dönemi Türkiye yapay zeka mevzuatı için kritik bir pencere sunuyor. Bu dönemde birkaç başlıkta somut adımların beklendiğini söyleyebiliriz.

Birincisi Yapay Zeka Kanunu'nun kendisidir; risk tabanlı bir yaklaşımla, mevcut sektörel düzenlemelerle entegre çalışacak bir çerçeve bekleniyor. İkincisi KVKK Kurumu'nun yapay zeka işleme faaliyetlerine özgü rehberler yayımlamasıdır. Üçüncüsü sektörel tebliğlerin yapay zekaya ayrı bölümler ayırmasıdır; BDDK, TCMB ve SPK'nın bu yönde adımlar atması muhtemel görünüyor. Dördüncüsü deepfake ve sentetik içerik için etiketleme zorunluluğunun gelmesidir.

Bunlara ek olarak algoritmik şeffaflık başlığı netleşmeye başlayacak; otomatik karar mekanizmalarının kullanıcıya açıklanması, kamu kurumlarının yapay zeka alımlarında özel denetim kriterleri uygulaması ve EU AI Act'in Madde 4'üne paralel bir yapay zeka okuryazarlığı yükümlülüğünün getirilmesi de gündemde olan başlıklar arasında.

Kurumsal Hazırlık

Düzenleme henüz kesinleşmemiş olsa bile kurumların erken hareket etmesi maliyet açısından akıllıcadır. Aşağıda on adımlık pratik bir hazırlık planı sunuyoruz.

Birinci adım yapay zeka envanteri çıkarmaktır; kurum bünyesinde hem geliştirilen hem satın alınan yapay zeka sistemlerinin tamamı listelenmelidir. İkinci adım her sistem için risk haritalaması yapmaktır: hangi veri, hangi karar, hangi etki, hangi kullanıcı grubu? Üçüncü adım KVKK kayıt sisteminin (VERBİS) güncellenmesi; yapay zeka işleme faaliyetlerinin VERBİS kayıtlarına doğru biçimde yansıtılıp yansıtılmadığı kontrol edilmelidir. Dördüncü adım EU AI Act çift uyum kontrolü; AB pazarına dokunma durumunuz varsa hazırlık takvimi netleştirilmelidir.

Beşinci adım bir yapay zeka yönetişim komitesi kurmaktır; bilgi güvenliği, hukuk, etik ve iş birimleri ortak karar mekanizmasında bulunmalıdır. Altıncı adım kabul edilebilir kullanım politikasını yazılı hale getirmektir — çalışan yapay zeka kullanımının çerçevesini somutlaştıran bir doküman olarak (detay: ChatGPT Kurumsal Kullanım). Yedinci adım teknik tedbirlerin devreye alınması: AI gateway, runtime guardrails, KVKK uyumlu kişisel veri maskelemesi ve AI SOC (detay: AI SOC Mimarisi).

Sekizinci adım tedarikçi sözleşmelerini gözden geçirmek; veri işleme sözleşmeleri, denetim hakları ve ihlal bildirim süreleri yazılı olarak güvenceye alınmalıdır. Dokuzuncu adım personel eğitimi: yapay zeka okuryazarlığı, etik kullanım, sınırlar ve hata yönetimi gibi başlıklar kapsanmalıdır. Onuncu adım düzenleyici takip sistemi kurmak: TBMM gündemi, KVKK Kurumu kararları ve sektörel düzenleyici tebliğleri sürekli izlenmelidir.

Sık Yapılan Hatalar

Yapay zeka uyumu çalışmalarında karşılaştığımız en yaygın yanılgıların başında "Türkiye'de henüz yapay zeka yasası yok, bekleyelim" yaklaşımı gelir. Oysa mevcut çerçeve dağınık olsa da fiilen uygulanıyor; yasanın kesinleşmesini beklemek iki-üç yıllık bir gecikmeye dönüşür.

Bir başka klasik hata, EU AI Act'in yalnızca AB şirketlerini ilgilendirdiğini varsaymaktır; AB pazarına dolaylı biçimde dokunan Türk şirketler de doğrudan yükümlüdür. Bazı kurumlar sektörel düzenlemeleri görmezden gelir; oysa BDDK, TCMB ve SPK tebliğleri kendi alanlarında bağlayıcıdır. KVKK'yı tek başına yeterli sanmak, yapay zekaya özgü boşlukları kapatmaz; ek tedbirler şarttır.

Süreç tarafında en kritik hata yapay zeka envanteri çıkarmamaktır; hangi sistemin nerede çalıştığını bilmeyen bir kurum hiçbir uyum sürecini yürütemez. Tedarikçinin uyumluluk iddiasına sorgusuz inanmak, sözleşmeli teminat ve bağımsız denetim raporu olmadan boş bir kabul olur. Son olarak insan denetim mekanizmasını "kullanıcı zaten denetler" diyerek geçiştirmek, otomatik karar süreçlerinde kurum sorumluluğunun kullanıcıya devredilemeyeceğini gözden kaçırmak demektir.

Sonuç

Türkiye'de yapay zeka düzenlemesi 2026 itibarıyla dağınık ama gelişen bir manzara sunuyor. KVKK temel çatıyı oluştururken sektörel düzenleyiciler somut hükümleri ekliyor, Ulusal Yapay Zeka Stratejisi politik vizyonu çiziyor, Yapay Zeka Kanunu süreci ilerliyor ve EU AI Act zaten AB pazarına dokunan kurumlar için doğrudan geçerli halde. "Yasayı bekleyelim" stratejisi maliyetlidir, çünkü düzenleyici çerçeve fiilen mevcuttur ve uygulanmaktadır.

AltaySec olarak Türk kurumlarına yapay zeka yönetişim yapılarının kurulması, KVKK ile EU AI Act çift uyum boşluk analizleri, AI gateway entegrasyonu ve AI SOC mimarisi alanlarında çalışıyoruz.

Not: Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş niteliği taşımaz. Spesifik hukuki sorular için lütfen hukuk müşaviriniz ile çalışın.