AB Yapay Zeka Tüzüğü: Eğitim yükümlülüğü başladı, denetim de başlıyor
Madde 4 değişti ama ortadan kalkmadı. Peki bir şirket çalışanlarını neye göre eğitecek ve yaptığı çalışmayı nasıl gösterecek?
Son aylarda aynı sahne tekrar ediyor. Şirkete AB Yapay Zeka Tüzüğü hakkında bir bilgilendirme notu geliyor. Yönetici notu okuyor, “Bu bizi gerçekten ilgilendiriyor mu?” diye soruyor ve çoğu zaman dosya orada kalıyor.
Haksız da sayılmaz. Tüzüğün takvimi birkaç kez değişti, kullanılan dil oldukça teknik ve Türkiye’deki bir şirketin nerede devreye girdiği ilk bakışta pek açık değil.
Yine de o dosyayı uzun süre masada bırakmamakta fayda var. Çünkü Yapay Zeka okuryazarlığıyla ilgili Madde 4, gelecekte uygulanacak bir hüküm değil. Bir süredir yürürlükte.
Takvim: Neredeyiz, ne geliyor?
AB Yapay Zeka Tüzüğü, resmî adıyla [(AB) 2024/1689 sayılı Tüzük], 1 Ağustos 2024’te yürürlüğe girdi. Yasaklı uygulamalar ve Yapay Zeka okuryazarlığına ilişkin hükümler 2 Şubat 2025’ten beri uygulanıyor. Ulusal piyasa gözetim otoritelerinin gözetim ve uygulama dönemi de Ağustos 2026 itibarıyla başlıyor.
Tam bu sırada Madde 4’ün metni değişti.
24 Temmuz 2026’da yayımlanan [(AB) 2026/1744 sayılı Digital Omnibus düzenlemesi, eski metindeki “yeterli düzeyde Yapay Zeka okuryazarlığı sağlama” ifadesini yumuşattı. Yeni düzenleme, çalışanların okuryazarlığını geliştirmesini destekleyecek önlemler alınmasını istiyor. Ayrıca şirketlerin her bir çalışan için belirli bir seviyeyi garanti etmek zorunda olmadığını da söylüyor.
Bence burada yapılabilecek en büyük hata, “Demek ki eğitim konusu kapandı” sonucuna varmak.
Kapanmadı. Sadece yükümlülüğün sınırı daha gerçekçi tarif edildi.
Yüksek riskli sistemlerin ayrıntılı yükümlülükleri için takvim daha ileri bir tarihe taşındı. Ek III kapsamındaki belirli sistemlerde 2 Aralık 2027, düzenlenmiş ürünlere gömülü sistemlerde ise 2 Ağustos 2028 tarihleri geçerli. Bu erteleme ile okuryazarlık konusunu birbirine karıştırmamak gerekiyor.
Türkiye’deki şirketleri ilgilendirir mi?
“Türkiye’deyiz, dolayısıyla bizi ilgilendirmez” demek kolay. Ne yazık ki konu şirket merkezinin adresinden ibaret değil.
Bir şirket AB pazarına Yapay Zeka sistemi veya modeli sunuyorsa, AB’deki birimi bu sistemleri kullanıyorsa ya da AB dışında çalışan bir sistemin çıktısı AB içinde kullanılıyorsa Tüzükle bağlantı kurulabilir. Fakat sadece AB’de müşterinizin veya iştirakinizin bulunması da her faaliyetin otomatik olarak kapsamda olduğu anlamına gelmez.
Bu yüzden ilk görüşmede kesin bir hukuk cümlesi kurmayı doğru bulmuyorum. Önce sistemlere, kullanım biçimine ve olası role bakmak gerekiyor. Kuruluş sistemi geliştiren taraf mı? Hazır bir aracı kullanan taraf mı? Aynı şirket, farklı uygulamalarda iki ayrı role mi giriyor?
Bunlar eğitim kapsamını belirlemek için sorulması gereken sorular. Kesin hukuki sonuç gerektiğinde ise hukuk danışmanının görüşü alınmalı.
Bir de sözleşmeler var. Tüzük doğrudan uygulanmasa bile AB’li bir müşteri, tedarikçisinden eğitim ve kayıt talep edebilir. Hukuki kapsam ile müşterinin sözleşmesel beklentisini aynı şeymiş gibi değerlendirmemek lazım.
Madde 4 ne istiyor, ne istemiyor?
Ben Madde 4’ü şöyle okuyorum: Çalışanların kullandıkları sistem hakkında yeterli bilgiye ulaşmasını destekle, bunu yaparken de gerçek kullanım koşullarını dikkate al.
Buradaki “gerçek kullanım koşulları” önemli. Muhasebe ekibinin belge özetlemek için kullandığı bir araçla, işe alım sürecinde adayları değerlendiren bir sistem aynı eğitimle ele alınamaz. Yönetim kurulunun bilmesi gerekenlerle teknik ekibin bilmesi gerekenler de aynı değil.
Avrupa Komisyonu’nun soru ve cevap sayfası, genel temeli, kuruluşun rolünü, kullanılan sistemlerin risklerini ve çalışanların teknik düzeyi ile kullanım bağlamını öne çıkarıyor. Tek tip bir eğitim formatı tarif etmiyor. Kurum içi rehber, politika, uygulamalı eğitim ve farklı öğrenme çalışmaları birlikte kullanılabilir.
Bu da bana oldukça makul geliyor. Çünkü çalışanlara bir kullanım kılavuzu gönderip “Okudunuz kabul ediyoruz” demekle davranış değişmiyor.
Bir çalışan üretken Yapay Zeka aracına müşteri bilgisi giriyorsa veri sınırını bilmeli. Hazırladığı raporda uydurma bir kaynak varsa bunu nasıl kontrol edeceğini bilmeli. Bir çıktının karar yerine geçmediğini, gerektiğinde insan kontrolünün devreye girmesi gerektiğini de bilmeli.
Bunlar sunum başlığı değil. Günlük işin kendisi.
Resmî bir sertifika gerekiyor mu?
Bu konuda sık sık kafa karışıklığı görüyorum.
Komisyon, Madde 4 için özel bir sertifika gerekmediğini açıkça söylüyor. Devlet tarafından onaylanan bir “Yapay Zeka okuryazarlığı sertifikası” mekanizması yok. Kuruluşlar yaptıkları eğitimlerin ve diğer okuryazarlık çalışmalarının kurum içi kayıtlarını tutabiliyor.
Dolayısıyla “AB onaylı Madde 4 sertifikası” gibi bir ifade gördüğünüzde temkinli olmakta fayda var.
Öte yandan, sertifika gerekmemesi kayıt gereksiz demek değil. Benim için iyi bir kanıt dosyası yalnızca katılımcı listesinden oluşmaz. Hangi sistemlerin ele alındığını, eğitimin kimlere göre uyarlandığını, hangi risklerin konuşulduğunu ve sonrasında ne yapılacağını da göstermeli.
Ön test ve son test de burada işe yarıyor. Mevzuat bunu zorunlu tutmuyor. Ben, eğitimin etkisini görebilmek ve geride kalan boşlukları anlayabilmek için kullanıyorum.
Kısacası dosya konuşur. Ama dosyanın içinde gerçekten yapılan iş olmalı.
Ben teklif hazırlarken 8 soruya bakıyorum.
K1-K8, Tüzükte yayımlanmış resmî bir sekiz maddelik liste değil. Benim, Madde 4’ün beklentilerini eğitim tasarımında görünür hale getirmek için kullandığım çerçeve.
Teklif hazırlarken şu soruların cevabını arıyorum:
Katılımcılar Yapay Zekanın ne yaptığını, neyi yapamadığını ve neden yanılabildiğini anlayacak mı?
Eğitimde şirketin gerçekten kullandığı sistemler var mı, yoksa örnekler genel mi kalıyor?
Kuruluşun sağlayıcı veya kullanıcı rolü, en azından bir ön değerlendirme düzeyinde ele alınıyor mu?
Halüsinasyon, gizli veri, fikri mülkiyet, önyargı ve aşırı güven gibi riskler somut örneklerle işleniyor mu?
Üretken Yapay Zeka kullanılırken doğrulama, kaynak kontrolü ve çıktı inceleme alışkanlığı kazandırılıyor mu?
Yönetici, teknik ekip ve son kullanıcı için farklı derinlikte içerik hazırlanıyor mu?
Yasaklı uygulamalar, risk sınıfları, şeffaflık ve insan gözetimi güncel takvimle birlikte anlatılıyor mu?
Vaka ve uygulamalar şirketin sektörüne ve sistemden etkilenebilecek kişilere uyarlanıyor mu?
Bu soruların yarısına bile net cevap verilemiyorsa ortada bir eğitimden çok, genel bir sunum olma ihtimali yüksek.
Benim programlarımda ne farklı?
Önce şirkette fiilen kullanılan araçların envanterini çıkarıyorum. Burada yalnızca kurumun resmen onayladığı araçlar değil, günlük işte kullanılanlar da önemli. Çünkü asıl risk bazen politika dokümanında değil, kimsenin yüksek sesle konuşmadığı kullanımda ortaya çıkıyor.
Sonra hedef kitleye bakıyorum. Yönetici için karar ve gözetim tarafı öne çıkarken, son kullanıcının veri sınırını ve çıktı kontrolünü uygulaması gerekiyor. Teknik ekipte ise sistemin yapısı, kontroller ve rol dağılımı daha fazla derinlik istiyor.
Bunların hangisinin hangi modülde ele alınacağını teklifte yazıyorum. Eğitim tamamlandığında da katılım, müfredat, ölçme özeti ve K1-K8 eşlemesi kurum içi kanıt dosyasında bir araya getirilebiliyor.
Bu dosya resmî AB onayı değil. Hukuki uygunluk garantisi de değil. Yapılan çalışmanın sonradan hatırlanabilir ve gösterilebilir olmasını sağlıyor.
Bu yaklaşım, Andersen, PwC, Vodafone, IBM ve Ericsson’da geçen 25 yılı aşkın kurumsal teknoloji deneyiminden ve 78 kurumda 4.550’den fazla katılımcıyla yaptığım eğitimlerden süzüldü. Her kurumda aynı şey çalışmıyor. Zaten Madde 4’ün temel mesajı da biraz bu.
Nereden başlamalı?
İlk adımın eğitim satın almak olduğunu düşünmüyorum.
Önce şu üç sorunun cevabını bulmak lazım:
Hangi Yapay Zeka sistemlerini gerçekten kullanıyoruz?
Bu sistemleri kim, hangi iş ve kararlar için kullanıyor?
Yanlış bir çıktı olduğunda kim etkileniyor?
Ben çalışmaya 12 soruluk bir ön değerlendirmeyle başlıyorum. Yarım saat içinde bütün hukuki soruları çözdüğümüzü iddia etmiyorum. Fakat nerede boşluk olduğunu, kimlerin ne tür bir eğitime ihtiyaç duyduğunu ve bir sonraki adımın ne olması gerektiğini görmeye başlıyoruz.
Bilgilendirme notu hâlâ masanızda duruyorsa, bana “Madde 4” yazın. İlk üç sorudan başlayalım.
Bu yazı genel bilgilendirme amacı taşır. Hukuki görüş veya mevzuata uygunluk garantisi değildir.