AB Yapay Zekâ Yasası Yürürlükte: ISO/IEC 42001 Uyum Sağlar mı?

Piyasada sık duyulan bir cümle var: "ISO/IEC 42001 alın, AB Yapay Zekâ Yasası'na uyumlu olun." Bu cümle olduğu gibi doğru değil ve yanlış beklenti üretiyor. Doğrusunu ve neden yine de 42001'in en pratik başlangıç olduğunu yazalım.

Kısa cevap

ISO/IEC 42001 sertifikası, AB Yapay Zekâ Yasası'na uygunluk karinesi sağlamaz. Uygunluk karinesi (presumption of conformity) yalnızca, Avrupa Komisyonu'nun standardizasyon talebi üzerine hazırlanan ve AB Resmî Gazetesi'nde atıf yapılan uyumlaştırılmış Avrupa standartlarına uyulduğunda doğar. ISO/IEC 42001 uluslararası bir standarttır, bu sürecin parçası değildir.

Yapay zekâ yönetim sistemleri için AB'ye özgü uyumlaştırılmış standart çalışması (prEN 18286) sürüyor; Resmî Gazete'de atıf yapıldığında karineyi doğuracak metin o olacak.

Yani 42001, hukuki bir kalkan değil. Peki ne?

Takvim Temmuz 2026'da değişti

Yasanın yüksek riskli sistemlere ilişkin takvimi, Regulation (EU) 2026/1744 ("Digital Omnibus on AI") ile ertelendi. Bu düzenleme 24 Temmuz 2026'da AB Resmî Gazetesi'nde yayımlandı ve 27 Temmuz 2026'da yürürlüğe girdi.

Yükümlülük	Uygulanma tarihi
Yasak uygulamalar ve YZ okuryazarlığı	2 Şubat 2025 (yürürlükte)
Genel amaçlı YZ modelleri (GPAI)	2 Ağustos 2025 (yürürlükte)
Şeffaflık yükümlülüklerinin büyük bölümü (Md. 50)	2 Ağustos 2026
Ek III — bağımsız yüksek riskli sistemler	2 Aralık 2027 (eski tarih 2 Ağustos 2026)
Ek I — ürüne gömülü yüksek riskli sistemler	2 Ağustos 2028

Erteleme yüksek riskli sistemlerle ilgili. Şeffaflık yükümlülüklerinin çoğu ertelenmedi: AB'ye dönük bir sohbet robotu işletiyor, sentetik medya üretiyor veya duygu tanıma/biyometrik sınıflandırma kullanıyorsanız 2 Ağustos 2026 sizin için hâlâ geçerli tarihtir.

Düzenleyici takvim değişebiliyor — nitekim bir kez değişti. Kurumsal karar alırken tarihleri EUR-Lex üzerinden birincil metinden teyit edin.

Türkiye'deki bir kuruma bu neden lazım?

AB Yapay Zekâ Yasası'nın kapsamı coğrafi değil, pazara erişim temelli: sistemi AB pazarına sunuyorsanız veya çıktısı AB'de kullanılıyorsa kapsamdasınız. Türkiye'deki bir yazılım firması, AB'li bir müşteriye yapay zekâ bileşeni satıyorsa zincirin içindedir.

Pratikte baskı çoğu zaman düzenleyiciden değil gelir: AB'li alıcı, tedarikçisinden yönetişim kanıtı ister. Sorulan şey genelde "uyumlu musunuz" değil, "nasıl yönetiyorsunuz, gösterebilir misiniz" olur.