AB’ye hizmet veren Türk SaaS şirketi AI Act kapsamında mı?

Kısa cevap: Evet, Türkiye merkezli bir SaaS şirketi AI Act kapsamına girebilir. AB’de ofisinin veya iştirakinin bulunmaması tek başına muafiyet sağlamaz. Şirketin bir yapay zekâ sistemini AB pazarına sunması ya da sistem çıktısının AB’de kullanılması, Türkiye’deki şirket bakımından kapsam bağlantısı kurabilir.

Sonuç yalnızca müşterinin fatura adresine bakılarak verilemez. Ürünü kimin geliştirdiği veya geliştirilmesini sağladığı, hangi ad ya da marka altında sunduğu, çıktının nerede kullanıldığı ve şirketin sağlayıcı, dağıtıcı veya kullanan taraf rollerinden hangisini üstlendiği birlikte incelenmelidir. Aşağıdaki test, resmî metne dayalı bir ön değerlendirmedir; belirli bir ürün, sözleşme veya kullanım için hukuki görüş yerine geçmez.

Türkiye’de kurulmuş olmak neden muafiyet sağlamıyor?

AI Act’ın 2. maddesi, sistemi veya genel amaçlı yapay zekâ modelini AB pazarına sunan sağlayıcıları, AB’de mi yoksa üçüncü bir ülkede mi kurulduklarına bakmaksızın kapsıyor. AB dışında bulunan sağlayıcılar ve kullanan taraflar da yapay zekâ sisteminin ürettiği çıktı Birlik içinde kullanılıyorsa kapsama girebiliyor.

Bu nedenle İstanbul’daki bir şirketin kendi markasıyla sunduğu yapay zekâ destekli ürünü Almanya’daki bir işletmeye açması, “ürünü Türkiye’den işletiyoruz” gerekçesiyle kapsam dışında kalmaz. Sistem Türkiye’de çalışsa bile ürettiği sınıflandırma, öneri veya içerik Fransa’daki bir kurumsal süreçte kullanılıyorsa çıktı ölçütü ayrıca değerlendirilir.

Bununla birlikte bir internet sitesine AB’den erişilebilmesi, tek başına her ürün için kesin bir sonuç doğurmaz. Hangi pazarın hedeflendiği, ürünün AB’de dağıtım veya kullanım için sunulup sunulmadığı, sözleşme tarafları ve çıktının fiilî kullanım yeri somut kayıtlarla belirlenmelidir.

Rol ayrımı: sağlayıcı, dağıtıcı ve kullanan taraf

Sağlayıcı, bir yapay zekâ sistemini geliştiren veya geliştirilmesini sağlayan ve onu kendi adı ya da markası altında pazara sunan veya hizmete alan taraftır. Türk SaaS şirketinin üçüncü taraf bir modeli API üzerinden kullanması, sağlayıcı ihtimalini kendiliğinden ortadan kaldırmaz. Şirket, modeli kendi ürün işlevine dönüştürüp ayrı bir sistemi kendi markasıyla sunuyorsa model sağlayıcısı ile SaaS katmanının sağlayıcısı farklı yükümlülüklere tabi olabilir.

Kullanan taraf, sistemi kendi yetkisi altında mesleki veya kurumsal amaçla kullanan kişi ya da kuruluştur. Türk şirketin hazır ürününü kendi müşteri hizmetlerinde veya iş süreçlerinde işleten AB müşterisi bu rol bakımından değerlendirilir. Türk şirket de başka bir yapay zekâ sistemini kendi operasyonunda kullanıyorsa aynı değer zincirinde ayrıca kullanan taraf olabilir.

Dağıtıcı, sağlayıcı veya ithalatçı dışında kalan ve sistemi AB pazarında erişilebilir kılan tedarik zinciri aktörüdür. Türk şirketin ürününü değiştirmeden müşterilere ulaştıran bir AB iş ortağı dağıtıcı olabilir; üçüncü ülkedeki şirketin adını veya markasını taşıyan sistemi AB pazarına ilk kez sunan AB’deki taraf için ise ithalatçı rolü ayrıca kontrol edilmelidir. Yüksek riskli bir sistemde kendi adını koymak veya önemli bir değişiklik yapmak, bazı durumlarda tarafın sağlayıcı yükümlülüklerini üstlenmesine yol açabilir.

Evet–hayır kapsam testi

1. Ürün, AI Act’taki tanıma göre bir yapay zekâ sistemi içeriyor mu? Hayırsa bu düzenleme bakımından inceleme sona erebilir; veri koruma, tüketici ve sektör kuralları yine uygulanabilir. Evetse sonraki soruya geçin.
2. Sistem veya genel amaçlı model AB pazarına sunuluyor ya da AB’de hizmete alınıyor mu? Evetse Türkiye’de kurulmuş olmak kapsam bağlantısını ortadan kaldırmaz.
3. Bu bağlantı yoksa sistem çıktısı AB’de kullanılıyor mu? Evetse üçüncü ülkedeki sağlayıcı veya kullanan taraf yine kapsamda olabilir. Çıktının yalnızca iletildiği yeri değil, hangi iş sürecinde kullanıldığını belirleyin.
4. Şirket sistemi kendi adı veya markasıyla mı sunuyor? Evetse sağlayıcı rolünü; yalnızca tedarik zincirinde erişilebilir kılıyorsa dağıtıcı rolünü; sistemi kendi faaliyeti için işletiyorsa kullanan taraf rolünü inceleyin.
5. Somut kullanım hangi kategoriye giriyor? Yasaklı uygulama, yüksek riskli kullanım ve özel şeffaflık yükümlülüğü aynı hukuki sonucu doğurmaz. Kapsama girmek, bütün yükümlülüklerin her ürüne uygulanacağı anlamına gelmez.
6. Bir istisna mevcut mu? Tamamen kişisel ve mesleki olmayan kullanım ile düzenlemede belirtilen askerî, savunma, ulusal güvenlik ve belirli araştırma faaliyetleri ayrı kurallara tabidir. Ticari bir SaaS hizmeti için istisna, somut dayanak olmadan varsayılmamalıdır.

Üç koşullu Türk SaaS senaryosu

AB müşterisine sunulan chatbot

Koşullu ilk senaryoda İstanbul’daki şirket, kendi markası altında geliştirdiği destek chatbotunu Hollanda’daki e-ticaret işletmelerine sunuyor. Türk şirket sistem sağlayıcısı, Hollandalı müşteri ise sistemi kendi müşteri hizmetlerinde işleten kullanan taraf olabilir. İlk şeffaflık kontrolü, durum kullanıcı açısından zaten açık değilse, insanların bir insanla değil yapay zekâ sistemiyle etkileştiklerinin bildirilmesidir.

Üretken içerik hizmeti

Koşullu ikinci senaryoda Ankara’daki şirket, Belçika’daki ajanslara sentetik metin, ses veya görsel üreten bir servis sağlıyor. Ürünün AB pazarına sunulması sağlayıcı yönünden kapsam bağlantısı kurabilir. Sağlayıcının, ilgili istisnalar saklı kalmak üzere, üretilen veya değiştirilen çıktının makine tarafından okunabilir biçimde işaretlenmesini ve yapay üretim ya da değişiklik olarak tespit edilebilmesini ürün düzeyinde değerlendirmesi gerekir.

Kurumsal otomasyon

Koşullu üçüncü senaryoda İzmir’deki şirket, İspanya’daki müşterinin faturalarını sınıflandıran bir otomasyon sunuyor. Sistem Türk şirketin markası altında pazarlanıyorsa şirket sağlayıcı, ürünü kendi sürecinde işleten müşteri ise kullanan taraf olabilir. Aynı teknik sistem işe alım başvurularını elemek veya çalışan performansını değerlendirmek için yapılandırılırsa kullanım amacı değişir; bu alanlar yüksek risk sınıflandırması bakımından ayrıca incelenmelidir.

Kapsamdan sonra hangi yükümlülükler kontrol edilmeli?

İlk dosya, şirketin rolünü ve AB bağlantısını kanıtlayabilmelidir. Müşteri ülkeleri, satış ve lisans koşulları, ürünün hangi marka altında sunulduğu, üçüncü taraf model sözleşmeleri, amaçlanan kullanım, çıktı alıcıları ve çıktının kullanıldığı ülkeler kayda geçirilmelidir. Aynı ürün farklı müşterilerde farklı amaçlarla kullanılıyorsa sınıflandırma kullanım senaryosu bazında ayrılmalıdır.

Uygulama takvimi tek bir tarihten oluşmuyor. Avrupa Komisyonu’nun uygulama takvimi, belirli yapay zekâ sistemlerine ilişkin şeffaflık yükümlülüklerinin 2 Ağustos 2026’dan itibaren uygulanıp yaptırıma konu olduğunu; bu tarihten önce pazara sunulan sistemlerin Article 50(2) kapsamındaki işaretleme ve tespit yükümlülüğü için 2 Aralık 2026’ya kadar süreye sahip olduğunu belirtiyor. Annex III kapsamındaki yüksek riskli sistem kuralları için 2 Aralık 2027, düzenlemeye tabi ürünlere yerleştirilen yüksek riskli sistemler için 2 Ağustos 2028 tarihleri gösteriliyor.

Chatbot bildirimi ile sentetik içerik kontrolü aynı yükümlülük değildir. Komisyonun şeffaflık açıklaması, chatbot ve diğer etkileşimli sistemlerde kullanıcıya yapay zekâyla karşı karşıya olduğunun bildirilmesini; yapay zekâyla üretilen veya değiştirilen içerikte ise uygulanabildiği ölçüde etiketleme ve makine tarafından okunabilir işaretler kullanılmasını özetliyor. Hangi görevin sağlayıcıya, hangisinin sistemi kullanan kuruluşa ait olduğu Article 50’deki yükümlülük ve istisnalara göre ayrı değerlendirilmelidir.

Kararı belirleyen üç kayıt

Türk SaaS şirketi için başlangıç noktası kuruluş ülkesi değil, AB pazarına ne sunduğu, çıktının nerede kullanıldığı ve hangi rolü üstlendiğidir. Bu üç başlık kapsam bağlantısını gösterir; kullanım amacı, risk sınıfı ve sistemin işlevi ise hangi yükümlülüklerin uygulanacağını belirler.

Ürün ekibi ile hukuk ve uyum ekibinin aynı kayıt setini kullanması bu nedenle önemlidir. Sözleşmede “yazılım hizmeti” yazması, yapay zekâ sistemi sağlayıcısı rolünü tek başına ortadan kaldırmadığı gibi, bir modeli entegre etmek de şirketi otomatik olarak genel amaçlı model sağlayıcısı yapmaz.