YZ-REGÜLASYON İLİŞKİSİ: YZ ÇAĞINDA TUTUNMAK

Bir şirket yapay zeka destekli bir özellik ya da bir iş otomasyonu geliştirmeye karar verdiğinde genellikle önce teknik soru sorulur: “Hangi modeli kullanacağız, veriyi nereden çekeceğiz, otomasyon nasıl kurulacak?” Hukuki soru ise çoğu zaman ya çok geç sorulur ya da hiç sorulmaz: “Bu sistem bir hata yaptığında sorumlusu kim?”

Bu soru, göründüğünden daha çıplak bir gerçeği ortaya koyuyor. Yapay zekâ artık günlük iş pratiğinin bir parçası, ama bu sistemlerin ürettiği sonuçlardan kimin, hangi çerçevede sorumlu tutulacağı, imzayı kimin atacağı ve bir hata yapılırsa ne olacağı konusunda hem küresel hem yerel ölçekte net bir mutabakat yok. Avrupa Birliği, yıllarca üzerinde çalıştığı Yapay Zekâ Sorumluluk Direktifi’ni 2025’te tamamen masadan kaldırdı. Amerika Birleşik Devletleri’nde düzenleme eyalet bazında parçalı ilerliyor. Türkiye’de ise özel bir “Yapay Zekâ Kanunu” henüz yok.

Bu son cümleyi okuyup “o zaman Türkiye’de bir boşluk var” sonucuna varmak kolay, ama yanlış. Türk hukuku yapay zekâyı bekleyerek durmuyor; Kişisel Verilerin Korunması Kanunu (KVKK), Türk Borçlar Kanunu ve Tüketici Kanunu gibi mevcut çerçeveler, Kurul kararları ve mahkeme içtihatlarıyla şekillenerek bu alanı fiilen dolduruyor. Asıl risk kanunun olmaması değil; bu dolaylı çerçevenin nasıl işlediğini bilmeden yapay zekâ kullanan şirketlerin kör noktalarda kalması.

Bu makalede önce küresel manzarayı kısaca çizeceğiz, ardından regülasyonun gerçek bedelini ele alacağız. Ama asıl mesafeyi Türkiye özelinde katedeceğiz: veri işleme riskleri, yapay zekânın hukuki kişiliğinin bulunmayışı ve bunun sorumluluk zincirine etkisi, Avrupa’daki emsal kararlar ışığında Türk hukukunun nereye evrildiği. Kaynaklı tespitlerin yanında, bu tabloyu bir teknoloji şirketinde projeleri ve kurumsal raporlamayı yönetmenin içinden nasıl gördüğümüzü de paylaşacağız, çünkü bu boşluğun asıl hissedildiği yer mahkeme salonları değil, yönetim toplantılarıdır.

Küresel Manzara: Regülasyon Nerede Duruyor?

OECD’nin resmi AI Politikaları Gözlemevi verilerine göre, 69 ülke ve Avrupa Birliği, 800’den fazla ulusal yapay zekâ politikası girişimini bu ortak veritabanına bildirdi (OECD.AI, 2026a). Bu, küresel ölçekte bir farkındalığın göstergesi; ancak farkındalık ile bağlayıcı düzenleme arasındaki fark, bu makalenin ilerleyen bölümlerinde ele alacağımız asıl mesele.

Stanford Üniversitesi’nin Human-Centered AI Enstitüsü’nün 2026 AI Index Raporu, akademik camiada bu alandaki en kapsamlı ve en çok referans verilen bağımsız çalışma olarak kabul ediliyor. Raporun bulgusu net: yapay zekânın yetenekleri hızla ilerlerken bunu yönetecek düzenleme, değerlendirme ve şeffaflık mekanizmaları bu hızı yakalayamıyor, kısacası bir “yönetişim açığı” var (Stanford Institute for Human-Centered Artificial Intelligence, 2026).

AB’nin kendi bayrak taşıdığı düzenleme bile bu resme dahil. AI Act’in yüksek riskli sistemlere ilişkin tam uyum zorunluluğu başlangıçta 2 Ağustos 2026 tarihinde başlayacaktı; ama Avrupa Parlamentosu’nun resmi mevzuat takip platformuna göre Konsey ve Parlamento bu tarihi bağımsız sistemler için 2 Aralık 2027’ye, ürünlere gömülü sistemler için 2 Ağustos 2028’e çekti. Gerekçe teknik: uyumlaştırılmış standartlar ve ulusal denetim mekanizmaları henüz hazır değildi (European Parliament, 2026).

Bu tablo aslında korkulacak bir şey değil. Hukuk, doğası ve yapısı gereği olayların önünde değil arkasından gelir; önce teknoloji yaşanır, önce sorun ortaya çıkar, hukuk bunu gördükten sonra şekillenir. Hayatidir ama yavaştır; bu bir kusur değil, hukukun çalışma biçimidir. Hukuk henüz yetişmediği dönemlerde şirketler ve bireyler var olan genel çerçevelerle (Türkiye’de KVKK, Türk Borçlar Kanunu, Tüketici Kanunu gibi) ilerler. Hukuk geliştikçe de bu genel çerçeveler zamanla özelleşir, alana özgü ve daha keskin kurallara dönüşür; tam da AB’nin AI Act ve Digital Omnibus’la, Türkiye’nin ise mevcut mevzuatı yorumlayarak fiilen yaptığı gibi.

Amerika Birleşik Devletleri tarafında tablo daha da parçalı. Federal düzeyde kapsamlı bir yapay zekâ kanunu yok; bunun yerine eyaletler kendi başlarına ilerliyor. National Conference of State Legislatures verilerine göre 2025’te 38 eyalet yapay zekâya dair yaklaşık 100 düzenleme kabul etti ve bu sayı 2026’da da artmaya devam ediyor (NBC News, 2026). Üstüne, Beyaz Saray Mart 2026’da eyaletlerin yapay zekâ düzenlemelerini merkezi bir çerçeveyle sınırlamayı öneren bir girişim başlattı; yani ABD içinde federal-eyalet gerilimi de bu resme dahil (Wikipedia contributors, 2026).

Türkiye ise bu tabloda “henüz kanunu yok ama tam boşluk da yok” kategorisinde duruyor. TBMM’nin 28. Dönem Yapay Zeka Araştırma Komisyonu, Mart 2026’da 260 sıra sayılı raporunu yayımladı; bu, Türkiye’nin yapay zekâ hukuku tartışmasını bütüncül ele alan ilk kurumsal meclis belgesi (SETAV, 2026). Rapor, bir Türkiye Yapay Zeka Kurumu kurulmasını ve Avrupa Konseyi Yapay Zeka Çerçeve Sözleşmesi’nin onaylanmasını öneriyor. Ama bu bir yol haritası; kanunlaşması için ayrı bir teklifin TBMM Genel Kurulu’ndan geçmesi gerekiyor, kesin bir tarih yok (Sanal Hukuk, 2026).

Neden Düzenleniyor: İçtihatlardan Dersler

Regülasyonun neden var olduğunu en iyi anlatan şey, regülasyon boşluğunun bedelini gösteren somut davalar. Bu davalardan ikisi, insan gözetiminin nerede durması gerektiğini iki farklı açıdan gösteriyor.

Birinci örnek İtalya’dan. Deliveroo, İtalya’da yemek teslimatı yapan bağımsız çalışanların (rider) vardiya erişimini “Frank” adlı bir algoritmayla yönetiyordu. Bu algoritma, teslimatçıların önceden rezerve ettikleri teslimat vardiyalarını iptal etme sıklığına bakarak bir güvenilirlik puanı hesaplıyor ve bu puana göre teslimatçıların gelecekteki vardiyalara erişim önceliğini belirliyordu. Aralık 2019’da İtalya’nın en büyük işçi sendikası konfederasyonu CGIL’e bağlı üç yerel federasyon, bu sistemin ayrımcı olduğunu öne sürerek Deliveroo İtalya’ya karşı Bologna Mahkemesi’nde dava açtı. İddiaya göre algoritma, bir teslimatçının vardiyayı neden iptal ettiğini, hastalık, çocuk bakımı ya da bir grev hakkını kullanma gibi yasal olarak korunan bir neden mi yoksa sıradan bir isteksizlik mi, hiç ayırt etmiyor, hepsini aynı şekilde düşük puanla cezalandırıyordu (Pietrogiovanni, 2021).

Aralık 2020’de Bologna Mahkemesi sendikaların lehine karar verdi ve Deliveroo’yu tazminata mahkûm etti. Mahkemenin gerekçesi önemliydi: dava klasik bir “işçi mi bağımsız çalışan mı” sınıflandırma anlaşmazlığı olarak değil, doğrudan algoritmik yönetimden kaynaklanan bir ayrımcılık meselesi olarak ele alındı. Mahkemeye göre sorun, algoritmanın kötü niyetli olması değil körlüğüydü: sistem, yasal olarak korunan bir nedenle vardiyasını iptal eden bir teslimatçıyla sırf isteksizlik nedeniyle iptal eden bir teslimatçıyı ayırt etmiyor, ikisini de aynı şekilde cezalandırıyordu. Mahkeme ayrıca Deliveroo’nun algoritmayı bu ayrımı yapacak şekilde eğitmesinin teknik olarak mümkün olduğunu, ama bu seçimin yapılmadığını özellikle belirtti (Clifford Chance, 2021).

İkinci örnek Amerika Birleşik Devletleri’nden ve algoritmanın nerede durması gerektiğine dair neredeyse ters bir sonuca ulaşıyor. Wisconsin’de bir araçtan ateş açma olayına karışmakla suçlanan Eric Loomis, bazı suçlamaları kabul ederek mahkemeye çıktı. Mahkûmiyet öncesi hazırlanan rapora, Loomis’in COMPAS adlı özel bir yazılımla hesaplanan bir tekrar suç işleme riski skoru eklenmişti. Yargıç, Loomis’i şartlı tahliyeden men edip azami cezaya çarptırırken bu skora doğrudan atıfta bulundu. Loomis kararı temyiz etti ve algoritmanın nasıl çalıştığının ticari sır olarak gizli tutulmasının kendisinin bu skora itiraz edip sorgulama hakkını, yani adil yargılanma güvencelerini, ihlal ettiğini öne sürdü; ayrıca skorun hesaplanmasında cinsiyetin bir girdi olarak kullanılmasına da itiraz etti.

2016’da Wisconsin Yüksek Mahkemesi, COMPAS’ın cezalandırma kararlarında kullanılmasının anayasaya aykırı olmadığına hükmetti, ama bunu belirli bir sınırla yaptı: mahkemeye göre algoritma kararı vermiyordu, yalnızca yargıca ek bir bilgi kaynağı sunuyordu; nihai kararı hâlâ yargıç veriyordu. Mahkeme, Loomis’in haklarının ihlal edilmediğine, çünkü kendisinin skorun sonucuna itiraz edebildiğine ve yargıcın bu aracın olası zayıflıklarını değerlendirebilecek konumda olduğuna dayanarak bu sonuca ulaştı (Fine, 2018).

Deliveroo ve Loomis davaları aynı ilkeyi tersten ve düzden gösteriyor. Deliveroo’da hata şuydu: sistem insanı devre dışı bırakıp otomasyonu son karara kadar götürmüştü. Loomis’te ise mahkemenin kabul edilebilir bulduğu yapı farklıydı; algoritma son noktaya kadar yaklaşıyor, bilgi sunuyor, ama son kararı hâlâ bir insan (yargıç) veriyor. Aradaki fark bir teknik detay değil, sorumluluğun nerede durduğunu belirleyen temel bir tasarım kararı.

Bu ilke, matematikteki limit kavramına benziyor: bir fonksiyon bir noktaya sonsuza kadar yaklaşabilir ama o noktaya hiç dokunmayabilir. Otomasyon da tam olarak bunu yapmalı; son karar noktasına olabildiğince yaklaşmalı, aradaki tüm işi devralmalı, ama son noktanın kendisine hiçbir zaman dokunmamalı. Çünkü hukuk herhangi bir sisteme kişilik tanımıyor ve kişiliği olmayan bir şey ne sorumlu tutulabilir ne de cezalandırılabilir. Bu yüzden son karar, son kontrol ve son değer noktası hep insanda kalmalı: asıl değeri yaratan da, imzayı atan da, sorumluluğu üstlenen de insan olmalı.

Maliyet Gerçeği: Rakamlarla Uyum Yükü

Regülasyonun bedelini duygusal değil, rakamsal olarak görmek gerekiyor; çünkü “uyum yükü” dediğimiz şey çoğu zaman abartılıyor ya da yeterince anlaşılmadan tekrarlanıyor. Brüksel merkezli düşünce kuruluşu CEPS’in AB Komisyonu’nun kendi etki değerlendirmesi üzerine yaptığı analiz net bir tablo çiziyor: yüksek riskli bir yapay zekâ sistemi için sıfırdan bir Kalite Yönetim Sistemi kurmanın maliyeti 193.000 ile 330.000 Euro arasında, üstüne senelik bakım maliyeti olarak da yaklaşık 71.400 Euro ekleniyor. CEPS, bu rakamların bazı basın ve düşünce kuruluşu raporlarında çarpıtılarak kullanıldığını, gerçek maliyetin öne sürülenden daha nüanslı olduğunu özellikle vurguluyor (Centre for European Policy Studies, 2021).

Önemli bir nüans var: bu maliyet, sadece şirketin hiç Kalite Yönetim Sistemi yoksa tam olarak ortaya çıkıyor. Zaten bir kalite ve uyum altyapısı olan şirketler için maliyet önemli ölçüde düşüyor; burada da tekrar eden bir tema karşımıza çıkıyor: kurumsal hazırlık, düzenlemenin şoku değil, düzenlemeyle uyumu belirleyen asıl faktör.

Bu rakamların büyüklüğü küçük ve orta ölçekli işletmeler için özellikle can yakıcı. İtalyan danışmanlık firması Intellera’nın, AB Komisyonu’nun resmi etki değerlendirme çalışmasını temel alarak hazırladığı analiz, küçük işletmelerin bu maliyetleri tek başına karşılamasının ölçek ekonomisi açısından dengesiz olduğunu, ancak ortak ve paylaşılan uyum çözümleriyle teknolojiye erken yatırımın bu dengesizliği azaltabileceğini öne sürüyor (Intellera Consulting, 2024). Yani maliyet gerçek, ama kaçınılmaz değil; doğru zamanlama ve doğru altyapı seçimiyle absorbe edilebilir.

Burada devreye tam olarak kaynak optimizasyonu mantığı giriyor: gereğinden fazla donanıma, gereğinden fazla karmaşık bir mimariye yatırım yapmak yerine işin gerçek ihtiyacına göre kaynak ayırmak. Nitekim biz de Arch’ta bu prensibi uyguluyoruz: yazılımın backend ve frontend’ini GPU’suz, sade RAM’li sunucularda tutup servis ediyor, buna karşılık kişisel veri işleyen yerel modelleri ve saklanması gereken kişisel verileri kendi fiziksel altyapımızda (on-premise donanımda) barındırıyor ve bu iki katmanın birbiriyle güvenli şekilde iletişim kurmasını sağlıyoruz. Bu yaklaşım donanım yatırım maliyetini minimize ederken veriyi maksimum güvenlikte tutmamıza imkân veriyor. Regülasyon uyumu böylece büyük ve tek seferlik bir yatırım olmaktan çıkıp doğru mimari kararlarının doğal bir sonucu hâline geliyor.

Karşı Model: Regülasyon Sandbox’ları

Regülasyonun her zaman kısıtlayıcı bir duvar olmadığını en iyi gösteren araç, regülasyon sandbox’ları, yani düzenleyici deneme alanları. Bu model önce finans sektöründe ortaya çıktı, şimdi yapay zekâya uyarlanıyor: bir düzenleyici kurum, şirketlerin yeni bir teknolojiyi kontrollü ve gözetim altında bir ortamda test etmesine izin veriyor, bazı kuralları geçici olarak gevşetiyor ya da uygulamıyor, buna karşılık riskleri yakından izliyor. Akademik tanımıyla düzenleyici sandbox’lar, düzenleyicilerin katılımcılara destek sağladığı, ama aynı zamanda yeniliklerin kontrollü testini kolaylaştırmak için kuralları geçici olarak gevşettiği veya uygulamadığı deneysel yönetişim rejimleri olarak tarif ediliyor (Papageorgiou, 2026).

İngiltere’de bu modelin öncüsü, sekiz yıldan uzun süredir faaliyette olan Bilgi Komiserliği Ofisi’nin (ICO) Düzenleyici Sandbox’ı. Bunun yanına finansal düzenleyici FCA’nın kendi sandbox’ı ve 2024’te kurulan “AI Lab” girişimi eklendi. Akademik incelemeye göre ICO ile FCA arasında personel değişimi gibi somut iş birliği mekanizmaları kuruldu; bu da kara para aklamayla mücadele ve anonimleştirme gibi çakışan konularda ortak çalışmayı mümkün kıldı (Papageorgiou, 2026).

Singapur ise farklı bir felsefeyle ilerliyor: sert kural koymak yerine “hafif dokunuş” yaklaşımıyla yinelemeli rehberlik sunuyor. Ülke, Üretken Yapay Zekâ Değerlendirme Sandbox’ı, küçük işletmeler için AI Verify Sandbox’ı ve Veri Koruma Güven Damgası gibi birden fazla mekanizmayı aynı anda işletiyor. Kalkınma bankası ADB’nin karşılaştırmalı analizine göre bu araçların bir kısmı klasik anlamda “düzenleyici sandbox” değil, daha çok “teknoloji sandbox’ı” olarak tanımlanabilir; kural muafiyeti değil, deneme ve öğrenme alanı sunuyorlar. Buna karşılık Singapur’un finansal düzenleyicisi MAS, klasik anlamda denetimli test imkânı veren kendi sandbox’ını da yürütüyor. Bu ikili yapı akademik literatürde “yarı düzenleyici” bir yaklaşım olarak adlandırılıyor (Asian Development Bank, 2026).

Brezilya örneği özellikle çarpıcı, çünkü bu ülke henüz kapsamlı bir yapay zekâ kanunu yokken ulusal bir sandbox kurmayı seçen az sayıdaki ülkeden biri. Brezilya’nın Ulusal Veri Koruma Otoritesi (ANPD), 2021 tarihli Tamamlayıcı Kanun No. 182 kapsamında yetkilendirilmiş bir Düzenleyici Sandbox işletiyor; bu ortamda ANPD, düzenlemeye tabi kurumlar ve ilgili taraflar yapay zekâ ve makine öğrenmesi teknolojilerini test ediyor, odak algoritmik şeffaflık ve Brezilya’nın genel veri koruma kanunuyla uyum (OECD.AI, 2026b). Future of Privacy Forum’un karşılaştırmalı analizi bu noktayı özellikle vurguluyor: Brezilya düzenlemeyi beklemek yerine önce öğrenmeyi seçti, kanunu yazmadan önce pratikte ne işe yaradığını görmek istedi (Future of Privacy Forum, 2025).

Üç örneğin ortak noktası şu: hiçbiri “kuralları kaldıralım” demiyor, üçü de “önce anlayalım, sonra doğru kuralı koyalım” diyor. Bu, hukukun olayların arkasından geldiği gerçeğiyle çelişmiyor, tam tersine bu gerçeği kabul edip ona göre bir mekanizma kuruyor. Sandbox, hukukun henüz yetişemediği alanda tam bir boşluk bırakmak yerine gözetimli ve geri döndürülebilir bir ara adım sunuyor. Türkiye için de bu model, TBMM raporunun önerdiği yol haritasının bir parçası olarak değerlendirilmeye açık; nitekim komisyon raporu da düzenleyici deneme alanlarına atıfta bulunuyor.

Türkiye Özelinde Durum

Veri Konusu

Türkiye’de yapay zekâ kullanan bir şirketin karşılaştığı ilk ve en somut hukuki soru neredeyse her zaman veriyle ilgili. Kişisel Verileri Koruma Kurumu bu konuda artık resmi ve doğrudan bir rehberlik sunuyor. Kurum’un yayımladığı Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, yapay zekânın insan merkezli, güvenli, sorumlu ve toplumsal faydayı gözeten bir yaklaşımla ele alınması gerektiğini, bu sistemlerin kullanımının etik ve hukuki sorunları da beraberinde getirdiğini net bir dille ifade ediyor. Rehber ayrıca kullanıcıyla doğrudan etkileşim kuran sohbet botu gibi sistemlerin üretken yapay zekâ temelli olduklarını açıkça belirtmesi gerektiğini ve veri sorumlularının istem enjeksiyonu gibi üretken yapay zekâya özgü zafiyetlere karşı teknik kontroller uygulaması gerektiğini şart koşuyor (Kişisel Verileri Koruma Kurumu, 2026; Zümbül Avukatlık Bürosu, 2026).

Bu rehberin en kritik hükmü veri yerelleştirmesiyle ilgili: yurt dışında yerleşik hizmet sağlayıcılar aracılığıyla üretken yapay zekâ sistemlerinin kullanılması durumunda, kişisel verilerin yurt dışına aktarımı faaliyetinin KVKK’nın 9. maddesi ve ilgili yönetmelik hükümlerine uygun şekilde gerçekleştirilmesi gerekiyor. Kurumun kendi resmi Yurt Dışına Aktarım Rehberi’ne göre bu maddenin işleyiş mantığı üç kademeli: önce aktarımın yapılacağı ülke için bir yeterlilik kararı olup olmadığına bakılıyor, yoksa uygun güvenceler (standart sözleşme, bağlayıcı şirket kuralları gibi) aranıyor, bunlar da yoksa ancak sınırlı ve istisnai hallerde veri çıkışı mümkün oluyor (Kişisel Verileri Koruma Kurumu, 2024). Türkiye veri yerelleştirme eğiliminin yüksek olduğu ülkeler arasında sayılıyor; bu da global bulut altyapılarına dayanan yapay zekâ araçlarını kullanan şirketler için pratikte önemli bir sürtünme noktası oluşturuyor (Genesis Hukuk, 2025).

Bu çerçeveyi soyut bir hukuk metni olarak bırakmamak gerekiyor. Pratikte işe yarayan yaklaşım, önce verinin türünü ve hangi rejime tabi olduğunu doğru sınıflandırmaktan geçiyor. Uygulamada üç kademe ayırt edilebilir. Birincisi, veri önemsiz ve anonimleştirilmişse yurt dışında saklanmasında hukuki bir sakınca yok; Kurumun kendi rehberinde de anonimleştirme, önerilen önleyici tedbirlerin başında geliyor. İkincisi, veri anlamlıysa ama Türkiye’nin güvenli gördüğü bir yeterlilik kararı veya standart sözleşme gibi uygun bir güvence varsa, veri yurt dışındaki büyük ve güvenilir bir kurumla paylaşılabilir; burada şirketin yapması gereken bu aktarımı KVKK madde 9 çerçevesinde usulüne uygun bildirmek. Üçüncüsü, veri Türkiye’de kalması gereken bir hassasiyet seviyesindeyse, endüstri standartlarında, hem teknolojik hem fiziksel olarak güvenli bir sunucu merkezi tercih edilmeli; bu merkezin düzenli yedekleme ve anlık görüntü alma, kayıt tutma gibi endüstri kurallarına uygun çalışması gerekiyor. Verinin kurum dışına hiç çıkmaması gereken en yüksek gizlilik seviyesinde olduğu durumlarda ise işin ihtiyacına özel bir donanım yatırımı, doğru ağ prosedürleri ve sıfır güven politikaları gibi çekirdek seviyesinde güvenlik önlemleri devreye giriyor.

Burada dikkat edilmesi gereken bir denge var: veri hiçbir zaman ihtiyacından fazla değer görmemeli. Veriye duygusal yaklaşmak yanlış bir refleks; gereğinden fazla önem gösterilen, aslında anlamsız veriler için ciddi depolama ve güvenlik maliyetleri ortaya çıkabiliyor. Nitekim biz de Arch’ta bu prensibi somut bir mimariye çevirdik: yazılımın backend ve frontend katmanlarını GPU’suz, sade RAM’li sunucularda tutup servis ediyor, buna karşılık kişisel veri işleyen yerel modelleri ve saklanması gereken kişisel verileri kendi fiziksel altyapımızda barındırıyor, bu iki katmanın birbiriyle güvenli şekilde iletişim kurmasını sağlıyoruz. Bu yaklaşım donanım yatırım maliyetini minimize ederken veriyi maksimum güvenlikte tutmamıza imkân veriyor: regülasyon uyumu burada büyük, tek seferlik bir yük değil, doğru mimari kararlarının doğal bir sonucu hâline geliyor.

Hukuki Kişilik ve Sorumluluk Zinciri

Veri meselesini çözdükten sonra karşımıza daha temel bir soru çıkıyor: bir yapay zekâ sistemi bir hata yaptığında sorumlusu kim olacak? Bu sorunun cevabı önce yapay zekânın hukuk karşısında “kim” olduğuna bağlı, ve cevap net: hiç kimse. Avrupa Parlamentosu’nun bu konudaki pozisyonu yıllar içinde belirgin bir şekilde değişti. 2017’de Parlamento’nun Hukuk İşleri Komitesi, otonom robotlar için “elektronik kişilik” kavramını öneren bir rapor hazırlamıştı. Ama 20 Ekim 2020 tarihli kararında Parlamento bu çizgiden geri adım attı ve yapay zekâ sistemlerine tüzel kişilik verilmesinin gerekli olmadığını, bunun yerine yaygın kabul gören sorumluluk kavramlarına uygun şekilde sistemle ilişkili riski yaratan, sürdüren veya kontrol eden kişilerin sorumlu tutulabileceğini net bir şekilde ortaya koydu (İstanbul Okan Üniversitesi Hukuk Fakültesi, 2022).

Bu, Türk hukukunun kişi kavramıyla da tam örtüşüyor. Türk hukuk sisteminde hak ve yükümlülüklerin öznesi olabilmek, yani “kişi” sayılabilmek, hukuken tanımlı ve sınırlı bir kategori: gerçek kişi ya da tüzel kişi. Bir yapay zekâ sistemi ne bir insan ne de bir şirket gibi organlara sahip bir yapı; bu nedenle mevcut kişilik kategorilerinin hiçbirine tam olarak girmiyor.

Kişiliği olmayan bir şey ne sorumlu tutulabilir ne de cezalandırılabilir. Bu ilke basit görünse de pratikte işin en ince noktası burada gizli: eğer sorumluluk hep bir insanda kalacaksa, o insanın kararını anlamlı şekilde verebileceği bir sistem tasarlamak gerekiyor. Burada devreye “doğru aracı seçmek” meselesi giriyor. Bugün herkes yapay zekâdan bahsediyor ve her sorunu büyük dil modellerine havale etmeye çalışıyor, ama asıl değer her parçaya aynı çekiçle vurmaktan gelmiyor. Aralarında kurulması gereken ilişki net ve deterministik olan bir veri noktası ile bir girdi arasında bir büyük dil modeline “eşleştir” demek yerine, örneğin bir OCR aracıyla doğrudan deterministik bir eşleştirme kurmak hem daha az maliyetli hem daha güvenilir bir sonuç veriyor. Bunun hukuki karşılığı da açık: deterministik bir sistemin nasıl bir sonuca ulaştığı açıklanabilir ve denetlenebilir; bu da insan gözetiminin gerçek anlamda mümkün olmasını sağlıyor, Bologna Mahkemesi’nin Deliveroo kararında tam olarak eksik bulduğu şey de buydu.

Yapay zekâ da kendi içinde çok geniş bir tanım. Büyük dil modeli mi, klasik bir makine öğrenmesi modeli mi, OCR mı, yoksa görsel-dil modeli mi konuştuğumuzu netleştirmeden “yapay zekâ” demek hem teknik hem hukuki tartışmayı bulanıklaştırıyor. Sonuçta amaç şu: otomasyonun son karara olabildiğince yaklaşmasını sağlamak, ama son noktanın kendisine hiçbir zaman dokunmamasını garantilemek. Aradaki tüm iş otomasyona bırakılıyor; karar veren ve imzayı atan insan ise asıl değer yarattığı noktaya odaklanarak kararını veriyor.

Bu ilkenin ihlal edildiği ya da göz ardı edildiği durumlarda ne olduğunu Avrupa’daki iki emsal karar çok iyi gösteriyor. Almanya’da CJEU’nun SCHUFA kararı (C-634/21, 7 Aralık 2023), bir kredi kuruluşunun oluşturduğu kredi skorlarının, üçüncü taraf borç verenler bu skorlara ağırlıklı olarak dayandığında GDPR madde 22 kapsamında “otomatik karar verme” sayıldığına hükmetti; bu sorumluluk sadece krediyi veren bankaya değil, skoru üreten kuruluşa da yükleniyor (Matheson, 2024). Hollanda’da ise Lahey Bölge Mahkemesi’nin SyRI kararı (Şubat 2020), düşük gelirli nüfusu hedef alan bir dolandırıcılık tahmin algoritmasını, sistemin aşırı opak olması ve toplanan verinin amacının yeterince belirli olmaması nedeniyle durdurdu (International Association of Privacy Professionals, 2026). İki kararın da ortak mesajı aynı: bir sistemin insan gözetimine ve denetime açık olması, süslü bir ilke değil, hukuki geçerliliğin ön koşulu.

Şirketlere Öneriler

Bütün bu hukuki tabloyu bir şirket için işe yarar hâle getirmenin ilk adımı envanterden geçiyor. Bir kurumun hangi süreçlerinde yapay zekâ kullandığını, bu süreçlerin hangi veri türlerine dokunduğunu ve bu verilerin hangi rejime (anonim ve aktarılabilir, Türkiye’de kalması gereken, kurum dışına çıkmaması gereken) girdiğini bilmeden atılan hiçbir adım güvenilir değil. Kurumun kendi rehberi de bunu örtük biçimde doğruluyor: veri sorumlularının kişisel verilerin hukuka aykırı işlenmesini önlemek amacıyla uygun teknik ve idari tedbirleri alması gerektiği, bunun da veri koruma etki değerlendirmesiyle başladığı belirtiliyor (Kişisel Verileri Koruma Kurumu, 2026). Pratikte bu, bir defalık bir denetim değil, yeni bir yapay zekâ özelliği devreye alınmadan önce rutin hâle gelmesi gereken bir kontrol noktası olmalı; tam olarak bir proje yönetimi disiplini gibi işlemesi gereken bir adım.

İkinci adım, doğru aracı doğru işe seçmek. Bir şirketin her sorunu büyük dil modeline havale etme refleksi, hem maliyet hem hukuki açıklanabilirlik açısından yanlış bir varsayım. Deterministik ilişkiler kurulabilecek yerlerde klasik, deterministik yöntemleri tercih etmek, yapay zekâyı gerçekten belirsizliğin ve yorumun gerekli olduğu yerlerde kullanmak hem maliyeti düşürüyor hem de sistemin nasıl bir sonuca ulaştığını açıklanabilir kılıyor. Bu açıklanabilirlik sadece teknik bir tercih değil, doğrudan hukuki bir güvence: bir sistemin kararını açıklayamaması tam olarak Bologna Mahkemesi’nin Deliveroo’nun algoritmasında cezalandırdığı türden bir körlük riski taşıyor.

Üçüncü adım, insan gözetimini soyut bir ilke olarak bırakmamak, somut bir iş akışına dönüştürmek. Otomasyonun görevi son karara olabildiğince yaklaşmak: verinin toplanması, sınıflandırılması, ön analizin yapılması, olası seçeneklerin sunulması gibi bütün ara adımları üstlenmek. Ama son noktanın kendisi, yani onay, imza, yayına alma kararı, hep açıkça tanımlanmış bir insanda kalmalı. Bu ayrımın belirsiz olduğu kurumlarda bir hata çıktığında “kimin karar verdiği” sorusu cevapsız kalıyor; bu da hem hukuki hem operasyonel açıdan en kırılgan nokta.

Dördüncü adım, kurumsal raporlama ve dokümantasyon tarafı: bu, avukatların değil, projeyi yönetenlerin asıl sahip olduğu alan. Bir yapay zekâ özelliği devreye alınırken hangi veri türünün işlendiği, hangi güvencenin uygulandığı ve son karar noktasının kimde olduğu proje dokümantasyonunun standart bir parçası hâline gelmeli. Burayı bir yük olarak değil, projenin olgunluğunu gösteren bir gösterge olarak konumlandırmak hem denetim süreçlerini hem de kurum içi karar alma hızını iyileştiriyor.

Beşinci adım, maliyeti erkenden ve gerçekçi planlamak. CEPS’in AB Komisyonu’nun etki değerlendirmesine dayanan analizi, sıfırdan kurulan bir kalite yönetim sisteminin maliyetinin önemli bir yük olduğunu, ama bu maliyetin büyük ölçüde şirketin zaten sahip olduğu uyum altyapısına bağlı olarak değiştiğini gösteriyor (Centre for European Policy Studies, 2021). Doğru zamanlama, uyum yükünü tek seferde değil mimari kararlara yayarak üstlenmek, maliyeti dramatik biçimde azaltabiliyor. Kaynak optimizasyonu mantığıyla kurulan bir mimari, işin ihtiyacına göre donanım ayırmak, her şeyi tek bir pahalı altyapıda toplamamak, burada hem teknik hem hukuki bir avantaja dönüşüyor.

Son adım, sandbox mantığını şirket içine taşımak. Brezilya’nın ANPD’si ya da İngiltere’nin ICO ve FCA modeli, kuralı koymadan önce anlamayı seçiyor; şirketler de yeni bir yapay zekâ özelliğini doğrudan üretime almadan önce sınırlı, gözetimli bir pilot aşamasından geçirebilir. Bu, hem teknik hem hukuki riskleri erken aşamada, düşük maliyetle görünür kılıyor; tam olarak sandbox’ların kamu düzenleyicileri için yaptığı şeyi şirket kendi içinde küçük ölçekte tekrarlıyor.

Kapanış

Bu makalenin başında sorduğumuz soruya geri dönelim: regülasyon bir engel mi, yoksa oyunun yeni kuralları mı? Cevap tek bir cümleye sığmıyor ama net bir yöne işaret ediyor. Regülasyonlar çoğu zaman şirketler ve kişiler için korkutucu, yorucu ve sınırlayıcı görünse de aslında herkesin çıkarına işleyen yapılar. Doğru oyuncular, doğru seçimlerle, yasaları çiğnemeden işlerini otomatize edebiliyor; mesele regülasyondan kaçmak değil, onu doğru okumak.

Hukuk, doğası gereği olayların arkasından gelir; hayatidir ama yavaştır. Hukuk henüz yetişmediği dönemlerde şirketler mevcut genel çerçevelerle ilerler, hukuk geliştikçe bu çerçeveler zamanla özelleşir. Türkiye’de bugün yaşanan da tam olarak bu: özel bir Yapay Zekâ Kanunu henüz yok, ama KVKK, Türk Borçlar Kanunu ve Tüketici Kanunu gibi mevcut çerçeveler, TBMM’nin Mart 2026 raporuyla çizilen yol haritası ışığında bu boşluğu fiilen dolduruyor.

Şirketler için asıl fark yaratan şey, bu geçiş dönemini bir tehdit olarak değil bir tasarım fırsatı olarak görmek. Veriyi doğru sınıflandırmak, doğru aracı doğru işe seçmek, son karar noktasını her zaman insanda tutmak ve bütün bunları kurumsal hafızaya ve dokümantasyona işlemek: bunlar hukuki bir zorunluluk olmanın ötesinde, uzun ömürlü ve güvenilir bir teknoloji şirketi kurmanın da temel taşları.

Kaynakça

Asian Development Bank. (2026, Ocak 28). Let AI Developers Play in the Regulatory Sandbox. Asian Development Blog. https://blogs.adb.org/blog/let-ai-developers-play-regulatory-sandbox
Centre for European Policy Studies. (2021). Clarifying the costs for the EU’s AI Act. CEPS. https://www.ceps.eu/clarifying-the-costs-for-the-eus-ai-act/
Clifford Chance. (2021, Haziran). The Italian courts lead the way on explainable AI. https://www.cliffordchance.com/insights/resources/blogs/talking-tech/en/articles/2021/06/the-italian-courts-lead-the-way-on-explainable-ai.html
European Parliament. (2026). Legislative Train Schedule: Digital Omnibus on AI. https://www.europarl.europa.eu/legislative-train/package-digital-package/file-digital-omnibus-on-ai
Fine, S. (2018). Does the use of risk assessments in sentences respect the right to due process? A critical analysis of the Wisconsin v. Loomis ruling. Law, Probability and Risk, 17(1), 45-53. https://doi.org/10.1093/lpr/mgy001
Future of Privacy Forum. (2025, Ağustos 4). Balancing Innovation and Oversight: Regulatory Sandboxes as a Tool for AI Governance. https://fpf.org/blog/balancing-innovation-and-oversight-regulatory-sandboxes-as-a-tool-for-ai-governance/
Genesis Hukuk. (2025, Aralık). Yapay Zeka Hukuku: ZKP ile KVKK İhlalsiz Veri Kullanımı. https://www.genesishukuk.com/tr/yayinlar/yapay-zeka-hukuku-zkp-kvkk-veri-gizliligi
Intellera Consulting. (2024). An analysis of the cost of compliance with the AI Act for SMEs. https://www.intelleraconsulting.com/wp-content/uploads/2024/07/AIactpaper_v16_singola_web.pdf
International Association of Privacy Professionals. (2026). Digital welfare fraud detection and the Dutch SyRI judgment. IAPP. https://iapp.org/news/a/digital-welfare-fraud-detection-and-the-dutch-syri-judgment
İstanbul Okan Üniversitesi Hukuk Fakültesi. (2022). Yapay Zeka Sistemlerinin Hukuki Kişiliği. Hukuk Bülteni. https://www.okan.edu.tr/hukuk/sayfa/8088/yapay-zeka-sistemlerinin-hukuki-kisiligi/
Kişisel Verileri Koruma Kurumu. (2024). Kişisel Verilerin Yurt Dışına Aktarılması Rehberi (KVKK Yayınları No: 48). https://www.kvkk.gov.tr/Icerik/8142
Kişisel Verileri Koruma Kurumu. (2026). Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda). https://www.kvkk.gov.tr/Icerik/8547
Matheson. (2024, Ocak 16). CJEU Delivers Important Decision on Automated Decision-making Under the GDPR. https://www.matheson.com/insights/cjeu-delivers-important-decision-on-automated-decision-making-under-the-gdpr
NBC News. (2026, Ocak 6). New laws in 2026 target AI and deepfakes, paid leave and rising Obamacare premiums. NBC News. https://www.nbcnews.com/politics/politics-news/2026-new-laws-states-elections-midterms-ai-obamacare-aca-paid-leave-rcna247602
OECD.AI. (2026a). OECD.AI Policy Observatory: National AI policies & strategies. https://oecd.ai/en/dashboards/national
OECD.AI. (2026b). Regulatory Sandbox (Brazil’s ANPD). https://oecd.ai/en/dashboards/policy-initiatives/regulatory-sandbox
Papageorgiou, A. (2026). Getting Regulatory Sandboxes Right: Design and Governance Under the AI Act. European Journal of Risk Regulation. https://www.cambridge.org/core/journals/european-journal-of-risk-regulation/article/getting-regulatory-sandboxes-right-design-and-governance-under-the-ai-act
Pietrogiovanni, V. (2021). Deliveroo and Riders’ Strikes: Discriminations in the Age of Algorithms. International Labor Rights Case Law, 7(3), 317-322. https://brill.com/view/journals/ilrc/7/3/article-p317_317.xml
Sanal Hukuk. (2026). Yapay Zeka Hukuku 2026: Türkiye’de Güncel Durum ve Kapsamlı Rehber. https://sanalhukuk.org/yapay-zeka-hukuku-rehber
SETAV. (2026). Türk Yapay Zeka Kanununa Doğru: TBMM Raporunun Hukuki Değerlendirmesi. Siyaset, Ekonomi ve Toplum Araştırmaları Vakfı. https://www.setav.org/turk-yapay-zeka-kanununa-dogru-tbmm-raporunun-hukuki-degerlendirmesi
Stanford Institute for Human-Centered Artificial Intelligence. (2026). The 2026 AI Index Report. Stanford University. https://hai.stanford.edu/ai-index/2026-ai-index-report
Zümbül Avukatlık Bürosu. (2026). Üretken Yapay Zeka Rehberi KVKK Yayınlanmıştır. https://www.zumbul.av.tr/tr/duyurular/uretken-yapay-zeka-rehberi-kvkk-yayinlanmistir