Yapay Zekâ Okuryazarlığı Yükümlülüğü: Denetim Eşiği ve Kurumsal Eğitim Müfredatı
EU AI Act Madde 4, 2 Ağustos 2026 eşiği ve çalışanlar için modül-modül müfredat iskeleti
Yapay zeka okuryazarlığı artık bir "iyi olur" değil, EU AI Act Madde 4 ile yazılı bir yükümlülük. Bu rehber, yükümlülüğün gerçek hukuki çapasını netleştirir ve tüm çalışanlarınıza uygulanabilecek indirilebilir bir eğitim müfredatı iskeleti sunar.
Yapay Zekâ Okuryazarlığı Yükümlülüğü Nedir?
Yapay zeka okuryazarlığı yükümlülüğü, yapay zeka sistemlerini sağlayan (provider) veya işleten/kullanan (deployer) kuruluşların; bu sistemlerle çalışan personelinin ve adına iş gören kişilerin yeterli düzeyde yapay zeka okuryazarlığına sahip olmasını sağlamakla yükümlü tutulmasıdır. Buradaki okuryazarlık, teknik uzmanlık değil; bir çalışanın yapay zekanın nasıl çalıştığını, fırsat ve risklerini, verebileceği zararı ve çıktının nasıl doğrulanacağını anlayacak asgari yetkinliğidir. Yükümlülük teknoloji ekibiyle sınırlı değildir: müşteri temsilcisinden İK uzmanına, satış ekibinden hukuk birimine kadar YZ araçlarına dokunan herkesi kapsar.
Kısaca: bu bir araç yasağı değil, bir yetkinlik ödevidir. Kurum, çalışanına yapay zekayı elinden almak yerine, onu bilinçli ve güvenli kullanacak donanımı vermekle sorumludur. Bu rehber, bu yükümlülüğün hukuki temelini karışıklığa yer bırakmadan ayırır ve tüm çalışanlara uygulanabilir somut bir müfredat iskeleti verir. Güvenlik uzmanına yönelik kariyer yol haritası arıyorsanız, ayrı katmandaki AI güvenliği öğrenme rehberi yazımız o ihtiyaca odaklanır; burada odak, tüm çalışanların yasal okuryazarlığı ve müfredatıdır.
Hukuki Çapa: EU AI Act Madde 4 ve 2 Ağustos 2026 Eşiği
Yükümlülüğün somut hukuki kaynağı Avrupa Birliği Yapay Zeka Yasası'nın (EU AI Act) 4. maddesidir. Madde 4, yapay zeka sistemlerinin sağlayıcıları ve işletenlerine, kendi personeli ve adına iş gören diğer kişiler için yeterli düzeyde yapay zeka okuryazarlığı sağlamak üzere en iyi çabayı gösterme ödevi yükler. Bu ödev; kişilerin teknik bilgisi, deneyimi, eğitimi ve sistemin kullanılacağı bağlam gözetilerek ölçeklenir.
Takvim üç önemli tarihe oturur ve tam da bu noktada saha yaygın bir hataya düşer:
- 2 Şubat 2025: Madde 4 yürürlüğe girdi. Okuryazarlık ödevi bu tarihten itibaren uygulanabilir bir yükümlülüktür.
- 2 Ağustos 2026: Yasanın yönetişim, yetkili otoriteler ve yaptırım (idari para cezaları) çerçevesinin büyük bölümü işler hale geldi. Bu tarih, okuryazarlık ödevinin denetlenebilir bir zemine oturduğu pratik eşiktir.
Önemli düzeltme: Türkiye'de "1 Temmuz 2026" gibi ayrı ve bağımsız bir yapay zeka okuryazarlığı yükümlülüğü yoktur. Sahada dolaşan bu tarih hukuki bir dayanağa oturmaz. Doğru eşikler yukarıdaki iki AB tarihidir. Türk kuruluşları için yükümlülüğün nereden geldiğini bir sonraki bölümdeki tablo netleştirir.
Türkiye Perspektifi: EU AI Act ve Yerel Zemin Karşılaştırması
Türkiye'de EU AI Act Madde 4'ün bir kopyası olan doğrudan bir kanun bulunmuyor. Buna rağmen yükümlülük Türk kuruluşlarına üç ayrı kanaldan yansıyor: AB pazarına hizmet eden şirketlere ülke-dışı (extraterritorial) etkiyle, tüm kuruluşlara KVKK kaynaklı veri koruma ödevleriyle ve ulusal yapay zeka eğitim seferberliğinin yarattığı beklentiyle. Aşağıdaki tablo iki zemini yan yana koyar.
| Boyut | EU AI Act (Madde 4) | Türkiye Yerel Zemini |
|---|---|---|
| Bağlayıcı kaynak | Doğrudan kanun (Madde 4) | Bağımsız okuryazarlık kanunu yok; dolaylı ödevler |
| Kime uygular | YZ sağlayıcıları ve işletenleri | AB'ye hizmet veren TR şirketleri (dışa etki) + KVKK yükümlüleri |
| Zorunlu eşik | 2 Şubat 2025 yürürlük · 2 Ağustos 2026 denetim | KVKK için süreklilik; ulusal strateji hedefleri |
| Yaptırım | İdari para cezaları çerçevesi | KVKK idari yaptırımları (veri ihlali bağlamında) |
| Yumuşak itki | Uygulama kılavuzları | Ulusal YZ eğitim seferberliği (5 milyon kişi hedefi) |
Türkiye tarafındaki hızlanmayı ulusal seferberlik besliyor: kamu tarafından açıklanan hedeflere göre iki yıl içinde yaklaşık 5 milyon kişiye yapay zeka eğitimi ve yaklaşık 100.000 uygulama profesyoneli yetiştirilmesi amaçlanıyor. Bu bir kanuni yükümlülük değil, bir kapasite ve farkındalık politikasıdır; ancak kurumsal beklenti çıtasını gözle görülür biçimde yükseltir. Regülasyon çerçevesinin bütünü için EU AI Act uyum rehberi ve Türkiye yapay zeka düzenlemeleri 2026 yazılarımıza bakabilirsiniz.
Kimi Kapsar ve Neden Şimdi?
Yükümlülüğün en sık yanlış anlaşılan yanı kapsamıdır. Okuryazarlık ödevi yazılım geliştiricileriyle sınırlı değildir; "yapay zeka sistemine dokunan herkes" ilkesiyle işler. Pratikte bu, üç geniş grubu içine alır:
- Doğrudan kullanıcılar: Kurumsal sohbet asistanları, kod yardımcıları veya RAG tabanlı arama araçlarını günlük işinde kullanan tüm personel.
- Karar sahipleri: Bir YZ çıktısına dayanarak müşteriye, çalışana veya sürece dair karar veren yöneticiler ve uzmanlar.
- Tedarik ve entegrasyon: Üçüncü taraf YZ hizmetlerini seçen, sözleşen veya sistemlerine bağlayan satın alma ve teknoloji ekipleri.
"Neden şimdi?" sorusunun cevabı hem hukuki hem operasyoneldir. Hukuki tarafta 2 Ağustos 2026 denetim eşiği çizgiyi belirginleştirdi. Operasyonel tarafta ise gölge-YZ (shadow AI) kullanımı kurumların çoğunda envanterin önüne geçti: çalışanlar araçları benimsedi, ancak güvenli kullanım bilgisi aynı hızda yayılmadı. Bu makas, veri sızıntısı ve manipülasyon riskinin en yoğun olduğu yerdir. Kurumsal yönetişimi bir komiteyle çerçevelemek isterseniz, AI yönetişim komitesi kurulması yazımız bu okuryazarlık programının sahibini tanımlamanıza yardımcı olur.
Kurumsal Eğitim Müfredatı İskeleti (Modül-Modül)
Gözlemimiz şu: yükümlülük yeni ve Türkçe'de modül-modül, uygulanabilir müfredat örnekleri henüz yaygın değil. Aşağıdaki iskelet, tüm çalışanlara uyarlanabilecek asgari bir çerçeve sunar. Üç kritik farkındalık ekseni değişmez omurgayı oluşturur: güvenli kullanım, KVKK ve prompt injection farkındalığı.
| Modül | Hedef kitle | Kazanım |
|---|---|---|
| M0 · YZ Temelleri ve Terminoloji | Tüm çalışanlar | Model, prompt, halüsinasyon, güven sınırı kavramları |
| M1 · Güvenli Kullanım | Tüm çalışanlar | Hangi veri girilmez, çıktı nasıl doğrulanır, halüsinasyon nasıl yakalanır |
| M2 · KVKK ve Kişisel Veri | Tüm çalışanlar | Kişisel veriyi araca girmeme, maskeleme, veri sorumlusu ödevleri |
| M3 · Prompt Injection Farkındalığı | Tüm çalışanlar | Dolaylı enjeksiyon, sosyal mühendislik, şüpheli çıktıyı tanıma |
| M4 · Role Özel Derinleşme | Geliştirici / hukuk / İK | Bağlama özgü riskler, sözleşme ve tedarik denetimi |
| M5 · Olay Bildirimi | Tüm çalışanlar | Şüpheli durumu kime, nasıl bildireceğini bilme |
Üç omurga modülünün içeriğini biraz açalım:
- Güvenli kullanım (M1): Çalışan, bir dil modelinin kendinden emin ama yanlış (halüsinasyon) üretebileceğini bilir; ticari sır, müşteri verisi veya kimlik bilgisini kamuya açık araçlara girmez; çıktıyı ikinci bir kaynakla doğrulama refleksini kazanır.
- KVKK farkındalığı (M2): Kişisel verinin bir prompt'a girildiği anda işlenmiş sayılabileceğini kavrar; maskeleme ve en-az-veri ilkesini uygular. Derinlik için KVKK ve LLM güvenliği yazımız referans niteliğindedir.
- Prompt injection farkındalığı (M3): Bir belgeye, web sayfasına veya e-postaya gizlenmiş talimatların modeli kandırabileceğini anlar. Mekanizmayı en yalın haliyle anlatan prompt injection nedir yazımız bu modülün temel okumasıdır.
Bu iskeleti sıfırdan içerik üretmeden hayata geçirmek isteyen kurumlar için AltaySec'in açık LLM Security Akademi müfredatı 14 modül ve 35 laboratuvarla bu üç ekseni uygulamalı olarak karşılar; iskeleti bir başlangıç noktası, akademiyi ise derinleşme katmanı olarak konumlandırabilirsiniz.
Uygulamaya Geçiş: Denetlenebilir Bir Program Kurmak
Madde 4 "en iyi çaba" ölçütü koyar; bir denetimde bu çabayı kanıtlayabilmek gerekir. Dolayısıyla eğitim, tek seferlik bir sunumdan çok, izi tutulan bir program olarak tasarlanmalıdır. Pratik adımlar:
- Rol-risk haritası çıkarın: Hangi rol hangi YZ aracına dokunuyor ve hangi veriye erişiyor? Müfredat yoğunluğunu bu haritaya göre ölçekleyin.
- Asgari omurgayı herkese verin: M0-M3 tüm personel için zorunlu taban olsun; M4 role göre eklensin.
- Katılım ve kavrayışı kaydedin: Tamamlama, tarih ve kısa bir değerlendirme; "en iyi çaba"nın kanıtı budur.
- Politikayla eşleyin: Kabul edilebilir kullanım politikası, gölge-YZ kuralları ve olay bildirim kanalı eğitimle aynı dili konuşsun.
- Yıllık tazeleyin: Modeller ve tehditler değişir; müfredat canlı bir doküman olmalıdır.
Eğitim insan katmanını güçlendirir; ancak tek başına yeterli değildir. Farkındalık ile teknik kontrol birbirini tamamlar: çalışan prompt injection'ı tanısa bile, üretimdeki sistemleri bir çalışma-zamanı katmanıyla korumak gerekir. AltaySec'in Guardian LLM güvenlik duvarı, eğitimin kapatamayacağı otomasyon açıklarını (zararlı girdi, veri sızıntısı denemeleri) sistem düzeyinde ele almak için bu insan katmanının yanına yerleşir. İkisi birlikte savunulabilir bir uyum duruşu oluşturur.
Yaygın Hatalar ve Kapanış
Programı çürüten en sık hatalar üç başlıkta toplanır:
- Yanlış tarihe uyum kurmak: "1 Temmuz 2026" gibi dayanaksız eşiklere göre plan yapmak. Doğru çapa Madde 4'tür (2 Şubat 2025 yürürlük, 2 Ağustos 2026 denetim).
- Kapsamı BT'ye daraltmak: Okuryazarlığı yalnızca geliştiricilere vermek. Yükümlülük araca dokunan herkesi kapsar.
- Kanıtsız eğitim: İz bırakmayan tek seferlik sunumlar. Denetimde "en iyi çaba" belgelenemezse yapılmamış sayılır.
Özetle: yapay zeka okuryazarlığı yükümlülüğü, teknik bir seçkinin değil tüm iş gücünün ödevidir. Hukuki çapayı doğru koyan, üç omurga eksenini herkese ulaştıran ve çabasını kanıtlayan kuruluş, 2 Ağustos 2026 denetim eşiğinin karşısına hazır çıkar. Kurumunuza özel bir müfredat uyarlaması veya Guardian ile teknik katman değerlendirmesi için bizimle iletişime geçebilirsiniz.