Sektörde son haftalarda dolaşan bir rahatlama var: "AB AI Act'in şeffaflık kuralları Aralık ayına ertelendi, acele etmeye gerek yok." Bu algı yanlış ve bu yanlış anlama, AB pazarına yapay zeka çıktısı sunan her ajans için ciddi bir yükümlülük riskine dönüşüyor. Gerçek şu: AI Act Madde 50'nin genel şeffaflık yükümlülükleri 2 Ağustos 2026 itibarıyla yürürlüktedir ve ertelenmemiştir.

Bu makalede tam olarak neyin değiştiğini, hangi tek istisnanın gerçekten var olduğunu, Türkiye'deki bir ajansı neden doğrudan ilgilendirdiğini ve müşteriye AI teslim eden bir işletmenin bugün atması gereken somut adımları teknik ayrıntısıyla ele alıyoruz. Amaç panik yaratmak değil; "rahatlayın, ertelendi" tonunun yol açtığı gerçek uyum boşluğunu kapatmaktır.

Tarih çerçevesini net kuralım: neyin yürürlükte, neyin geçiş süresinde olduğu

Kafa karışıklığının kaynağı, iki farklı şeyin tek bir başlık altında birbirine karışmasıdır. Ayrımı net yapalım:

  • Genel Madde 50 yükümlülükleri — chatbot bildirimi, içerik işaretleme, duygu tanıma bilgilendirmesi, deepfake etiketleme — 2 Ağustos 2026 itibarıyla tam olarak yürürlüktedir. Bunlar ertelenmemiştir.
  • Tek istisna, yalnızca Madde 50(2)'deki filigran / makine-okunur işaretleme alt-yükümlülüğüdür ve yalnızca 2 Ağustos 2026'dan önce piyasaya çıkmış üretken (generatif) AI sistemleri için geçerlidir. Bu sistemler için işaretleme uyumunu tamamlamak üzere 2 Aralık 2026'ya kadar bir geçiş süresi tanınmıştır.

Dikkat: bu geçiş süresi 6 aydan 3 aya indirilmiştir. Yani "geçiş süresi var" demek "rahatça bekleyin" demek değildir; tam tersine takvim daralmıştır. Bu düzenleme Digital Omnibus paketiyle resmileşmiştir: Avrupa Parlamentosu 16 Haziran 2026'da, AB Konseyi ise 29 Haziran 2026'da onaylamıştır.

Kritik olan nokta şudur: 2 Ağustos 2026'dan sonra piyasaya çıkan her üretken AI sisteminde, filigran/işaretleme dahil tüm yükümlülükler ilk günden itibaren geçerlidir. Geçiş süresi yalnızca eski (grandfathered) sistemleri kapsar. Bugün yeni bir chatbot, yeni bir görsel üretim hattı ya da yeni bir sesli asistan devreye alıyorsanız hiçbir "grace period" sizi korumaz.

2 Ağustos'ta tam olarak ne değişti: dört yükümlülük alanı

Madde 50, dört ayrı senaryo için şeffaflık yükümlülüğü getirir. Müşterinize teslim ettiğiniz ürünlerin muhtemelen birden fazlası bu alanlara girer.

1. İnsanla doğrudan etkileşen AI sistemleri

Chatbot, sesli asistan, otomatik çağrı/arama sistemleri gibi bir kişiyle doğrudan etkileşen AI, o kişiye bir yapay zeka ile etkileşimde olduğunu bildirmek zorundadır. İstisna yalnızca durumun bağlamdan makul bir kişi için apaçık olduğu hallerdir; pratikte bu istisnaya güvenmek risklidir.

2. AI-üretimi veya manipüle edilmiş içerik

Metin, görsel, ses ve video dahil sentetik olarak üretilmiş ya da değiştirilmiş içerik, makine tarafından okunabilir biçimde işaretlenmeli ve yapay zeka tarafından üretildiği/değiştirildiği tespit edilebilir olmalıdır. Bu, sağlayıcı (provider) tarafındaki teknik yükümlülüktür.

3. Duygu tanıma ve biyometrik kategorizasyon

Bir duygu tanıma sistemi ya da biyometrik kategorizasyon sistemi kullanan kuruluş, bu sisteme maruz kalan gerçek kişileri sistemin işleyişi hakkında bilgilendirmek zorundadır. KVKK/GDPR yükümlülükleri de eşzamanlı olarak devam eder.

4. Deepfake ve kamu yararına yayımlanan AI-metni

Deepfake oluşturan bir uygulayıcı (deployer), içeriğin yapay olarak üretildiğini veya manipüle edildiğini açıkça ifşa etmek zorundadır. Benzer şekilde, kamuoyunu ilgilendiren konularda halkı bilgilendirmek amacıyla yayımlanan AI-üretimi metin de açıkça etiketlenmelidir (editöryal insan kontrolü gibi sınırlı istisnalar dışında).

Chatbot ve sesli asistan bildirimi: nereye, nasıl konur ve T&C neden geçersiz

Ajansların en sık yaptığı hata burada başlıyor. Bir chatbot devreye alıyorsunuz, kullanım koşullarına (T&C) veya gizlilik politikasına "hizmetlerimizin bir kısmı yapay zeka ile sağlanabilir" cümlesini ekliyorsunuz ve uyumu tamamladığınızı düşünüyorsunuz. Bu yetersizdir.

Madde 50'nin ruhu şudur: bildirim, etkileşimin kendisinde ve o anda algılanabilir olmalıdır. Somut kriterler:

  • Sözleşmeye veya T&C'ye gömülü bir madde yetmez. Kimsenin okumadığı bir belgeye saklanan ifşa, "kullanıcının bilgilendirilmesi" sayılmaz.
  • Belirsiz "asistan" ibaresi yetmez. Sohbet penceresinde yalnızca "Destek Asistanı" yazması, karşıdakinin bir AI ile konuştuğunu net biçimde bildirmez. İbare, otomatik/yapay zeka temelli olduğunu açıkça ifade etmelidir.
  • Bildirim etkileşimin başında, kullanıcının ilk mesajından önce ya da onunla eş zamanlı görünmelidir; sesli asistanlarda çağrının başında sesli olarak verilmelidir.

Pratikte doğru mimari, chatbot arayüzüne kalıcı ve görünür bir bildirim katmanı yerleştirmektir: "Bu sohbet yapay zeka tarafından yürütülmektedir" türünde, sohbet başlığında sabit ve karşılama mesajında tekrarlanan bir ibare. Bu katman kanaldan bağımsız olmalıdır; web widget'ı, WhatsApp ve sesli hatta ayrı ayrı uygulanmalıdır.

WhatsApp üzerinden Claude tabanlı bir destek akışı çalıştıran ajanslar için bu bildirim katmanı, mevcut altyapıya eklenmesi gereken küçük ama zorunlu bir uyum parçasıdır. Bu mimarinin teknik temellerini WhatsApp Business Cloud API ve Claude ile müşteri desteği makalesinde ele alıyoruz; oradaki akışa AI Act bildirim katmanını eklemek, uyumu görünmez biçimde teslim etmenin somut bir örneğidir.

AI-üretimi içeriğin makine-okunur işaretlenmesi: filigran neden tek başına yetmez

İkinci büyük yanlış anlama içerik işaretlemesindedir. Birçok ekip görselin köşesine görünür bir "AI ile üretildi" ibaresi koyup ya da dosyaya bir metadata etiketi ekleyip işi bitmiş sayar. Madde 50(2)'nin talep ettiği daha derindir.

  • Tek başına metadata watermark yeterli değildir. Basit metadata alanları kopyalama, ekran görüntüsü, yeniden kodlama veya platform yüklemesi sırasında kolayca kaybolur. Yükümlülük, işaretlemenin güvenilir, birlikte çalışabilir ve etkili olmasını ister.
  • Yükümlülüğün ölçütü teknik fizibilite ve sektör standartlarıdır. Bu nedenle uygulamada C2PA / içerik kaynağı (provenance) temelli, kriptografik olarak imzalanmış, dosyaya bağlı ve doğrulanabilir işaretleme yaklaşımı benimsenir.
  • İşaretleme üretim hattının içine gömülmelidir; teslimattan sonra elle etiketlemeye bırakılmamalıdır. Görsel, video ve ses üreten her pipeline, çıktı üretildiği anda provenance verisini otomatik olarak eklemelidir.

Doğru çözüm, içerik üretim akışınıza bir C2PA/makine-okunur işaretleme pipeline'ı yerleştirmektir: her sentetik çıktı, üreten model, üretim zamanı ve düzenleme geçmişini içeren imzalı bir manifest ile birlikte çıkar. Bu, hem AI Act uyumunu sağlar hem de içerik kaynağını ispatlanabilir kılarak marka güvenilirliğini artırır.

Deepfake: "niyet olmadan bile" etiketleme

Deepfake yükümlülüğünde ajansların gözden kaçırdığı incelik şudur: etiketleme yükümlülüğü yanıltma niyetine bağlı değildir. Bir kampanya için tamamen meşru, mizahi ya da yaratıcı amaçla ürettiğiniz gerçekçi bir sentetik görsel/video da, gerçek bir kişiye/mekâna/olaya benziyorsa deepfake tanımına girer ve içeriğin yapay olduğu açıkça ifşa edilmelidir.

Bu, reklam ve içerik ajanslarını doğrudan etkiler: AI ile üretilmiş "gerçekçi" reklam görselleri, ürün demolarında sentetik sunucular, sesli klonlama ile hazırlanan seslendirmeler — hepsi kapsam içindedir. İfşa, içeriğin ilk gösteriminde ve algılanabilir biçimde yapılmalıdır. Ayrıca vurgulanmalı: açık kaynak modeller istisna değildir ve sistemin yüksek-riskli olmaması sizi Madde 50 kapsamından çıkarmaz. Şeffaflık yükümlülükleri, risk sınıflandırmasından bağımsız olarak sentetik içerik üreten hemen herkesi kapsar.

Türkiye'deki ajansı neden ilgilendiriyor: coğrafi-üstü kapsam

En yaygın ve en tehlikeli varsayım: "Biz Türkiye'deyiz, AB düzenlemesi bizi bağlamaz." Bu yanlıştır. AI Act coğrafi-üstü (extraterritorial) etkiye sahiptir. Belirleyici olan şirketinizin nerede kurulu olduğu değil, AI çıktısının nerede kullanıldığıdır.

  • AB pazarında hizmet veren müşterileriniz için chatbot, AI içerik veya deepfake üretiyorsanız kapsamdasınız.
  • Özellikle Almanya (DE) pazarına hizmet veren Türkiye merkezli ajanslar tipik örnektir: müşteri AB'de, son kullanıcı AB'de, çıktı AB'de kullanılıyor. Ajansın İstanbul'da olması muafiyet sağlamaz.
  • Çıktının veya sistemin çıktısı AB içindeki kişilerce kullanılıyorsa, üretimin Türkiye'de yapılması yükümlülüğü ortadan kaldırmaz.

Yani "AB'de değiliz" cümlesi bir savunma değil, bir risk göstergesidir. Bugün AB pazarına AI çıktısı sunan bir Türk ajansı, uyum sorumluluğunu ya kendisi ya da müşterisiyle paylaşarak taşımak zorundadır.

Sağlayıcı mı, uygulayıcı mı? Provider vs deployer ayrımı sözleşmede netleşmeli

AI Act yükümlülükleri iki role dağıtır ve ajans-müşteri ilişkisinde bu rollerin kime düştüğü çoğu zaman belirsizdir. Bu belirsizlik, bir denetim ya da şikâyet anında en pahalı boşluktur.

  • Sağlayıcı (provider): AI sistemini geliştiren/piyasaya süren taraf. İçeriğin makine-okunur işaretlenmesi gibi teknik/üretim tarafı yükümlülükler ağırlıklı olarak buradadır.
  • Uygulayıcı (deployer): AI sistemini kendi sorumluluğunda kullanan taraf. Kullanıcıya chatbot bildirimi yapmak, deepfake'i ifşa etmek, duygu tanıma bilgilendirmesi vermek gibi kullanım tarafı yükümlülükler ağırlıklı olarak buradadır.

Ajans bir chatbot'u geliştirip müşteriye teslim ediyorsa, çoğu senaryoda ajans sağlayıcı, müşteri uygulayıcı konumundadır; ancak ajans sistemi kendi adına işletiyorsa roller değişebilir. Bu nedenle her ajans-müşteri sözleşmesinde kimin hangi Madde 50 yükümlülüğünden sorumlu olduğu açıkça yazılmalıdır. Kime çözüm sunacağınızı seçerken bu rol dağılımı, teknik mimariyi ve sorumluluk sınırlarını birlikte belirler; benzer bir karar çerçevesini özel yazılım ile hazır yazılım karşılaştırmasında ele aldığımız yaklaşım gibi düşünebilirsiniz.

Ceza tablosu: uyumsuzluğun bedeli

Madde 50 şeffaflık ihlallerinde öngörülen idari para cezası ciddidir:

  • 15 milyon euro veya küresel yıllık cironun %3'ü — hangisi yüksekse.

Bu ceza, küçük bir ajans için de büyük bir kurumsal müşteri için de caydırıcıdır; ve ciro temelli hesaplama, büyük işletmelerde 15 milyon euroyu kolayca aşabilir. Uyum, "iyi olur" değil, ticari bir zorunluluktur.

Acil uyum checklist'i: envanter + boşluk analizi

Bugün başlanacak somut adımlar:

  1. AI ürün envanteri çıkarın. Müşterilere teslim ettiğiniz ve kendi içinizde kullandığınız tüm AI sistemlerini listeleyin: chatbot'lar, sesli asistanlar, görsel/video/ses üretim hatları, deepfake içeren kampanyalar, duygu tanıma/biyometri araçları.
  2. Her ürünü dört yükümlülük alanına eşleyin. Hangi ürün insanla etkileşiyor, hangisi sentetik içerik üretiyor, hangisi deepfake içeriyor, hangisi biyometrik işliyor?
  3. Tarih testi yapın. Ürün 2 Ağustos 2026'dan önce mi piyasaya çıktı? Yalnızca eski üretken sistemler için 50(2) işaretlemesinde 2 Aralık 2026'ya kadar geçiş süresi var; gerisi bugün geçerli.
  4. Boşluk analizi yapın. Chatbot bildirimi etkileşimde görünür mü, yoksa T&C'ye mi gömülü? İçerik işaretlemesi C2PA temelli ve kalıcı mı, yoksa kaybolan metadata mı? Deepfake'ler ifşa ediliyor mu?
  5. Sözleşmeleri güncelleyin. Provider/deployer rollerini ve yükümlülük dağılımını her müşteri sözleşmesine yazın.
  6. Denetim izi kurun. Kim, ne zaman, hangi bildirimi gördü; hangi içerik nasıl işaretlendi — bunu KVKK/GDPR ile uyumlu bir denetim izinde (audit trail) tutun.

Not: Bu makale genel bilgilendirme amaçlıdır ve yasal tavsiye niteliği taşımaz. Kendi özel durumunuz için bir hukuk danışmanından bireysel değerlendirme almanız gerekir.

Uyumu görünmez teslim etme mimarisi

Buradaki temel mesaj tek cümleyle özetlenebilir: AI'yı çalıştırmak yetmez; 2 Ağustos 2026'dan itibaren onu yasaya uygun teslim etmek gerekir. Ve bunu, otonom iş akışlarınızı büyütürken yapmak zorundasınız. Bir AI ajanı ya da otomasyon akışı devreye alırken şeffaflık katmanını mimarinin doğal bir parçası hâline getirmek, sonradan yamalamaktan çok daha sağlıklıdır; bu mantığı AI agent nedir ve otonom iş akışları yazımızda tartıştığımız tasarım disiplininin bir uzantısı olarak düşünebilirsiniz.

Uyumu görünmez biçimde teslim eden bir mimari şu köprüleri içerir:

  • Chatbot bildirim katmanı — web, WhatsApp ve sesli kanallarda etkileşimin kendisinde görünür AI ifşası.
  • C2PA/makine-okunur içerik işaretleme pipeline'ı — her sentetik çıktıya imzalı, kalıcı provenance manifesti.
  • Mevcut WhatsApp + Claude desteğine uyum katmanı — çalışan akışları bozmadan eklenen bildirim ve kayıt.
  • KVKK/GDPR denetim izi — bildirim ve işaretleme olaylarının doğrulanabilir kaydı.

Partnerfy: uyumlu AI'yı sizin markanızla, sizin adınıza teslim eder

Partnerfy, ajansların ve büyük işletmelerin görünmez teknoloji ortağıdır. AI Act uyumlu chatbot bildirim katmanını, C2PA temelli içerik işaretleme hattını, WhatsApp + Claude destek akışlarının uyum güncellemesini ve KVKK/GDPR denetim izini biz white-label olarak inşa ederiz; ürün sizin markanızla, sizin müşteri ilişkinizin içinde kalır. Siz müşteriyle kalırsınız, uyum yükünü biz taşırız. AI'yı çalıştırmak yetmez; 2 Ağustos'tan itibaren yasaya uygun teslim etmek gerekir — ve bunu sizin adınıza yaparız.

Teslim ettiğiniz AI ürünlerinin AI Act uyumunu birlikte gözden geçirmek için bir görüşme planlayın. Envanterinizi çıkarıp boşluk analizini birlikte yapalım ve uyumu markanıza görünmez biçimde ekleyelim.