Şeffaflık Yükümlülüğü Türk Şirketine Nasıl Ulaşır?

Avrupa Komisyonu 20 Temmuz 2026’da, yapay zekâ sistemlerine ilişkin şeffaflık yükümlülüklerinin sağlayıcı (provider) ile kullanıma sunan (deployer) arasında nasıl dağıldığını gösteren bir rehber yayımladı; yükümlülükler 2 Ağustos 2026’da uygulanmaya başladı. Rehberi burada bir uyum listesi olarak değil, bir sıfat tespiti sorunu olarak ele alıyorum. Çünkü Türkiye’de yerleşik bir şirket bakımından ilk soru hangi maddeye uyulacağı değil, o maddenin muhatabının kim olduğudur; muhatap olunmadığı hâllerde bile aynı yükümlülüğün sözleşme yoluyla şirkete ulaşması mümkündür. Bu ikinci ihtimal meseleyi bir uyum işi olmaktan çıkarır ve sorumluluğun sözleşmeyle dağıtılması sorununa, dolayısıyla yönetim kurulunun önüne taşır.

Yükümlülüğün iki sıfat arasında dağılımı

Rehber, Tüzük’ün 50. maddesindeki yükümlülükleri iki sıfat arasında ayırıyor. Sağlayıcı, gerçek kişilerle doğrudan etkileşime giren sistemleri, muhatabın bir yapay zekâ ile konuştuğunu anlayabileceği biçimde tasarlamakla yükümlü (m. 50/1); sentetik içerik üreten sistemlerde ise çıktının makine tarafından okunabilir biçimde işaretlenmesi gerekiyor (m. 50/2). Dijital Omnibus bu ikinci yükümlülük bakımından geçiş tanıdı ve 2 Ağustos 2026’dan önce piyasaya sürülmüş sistemlerin işaretleme şartına uyumu için 2 Aralık 2026’ya kadar süre verdi. Kullanıma sunan ise üç hâlde bilgilendirme yükümlülüğü altında: duygu tanıma veya biyometrik sınıflandırma sistemleriyle veri işlendiğinde (m. 50/3), derin sahte içerik yayımlandığında ve kamuyu ilgilendiren konularda insan denetiminden veya editoryal sorumluluktan geçmemiş metin yayımlandığında (m. 50/4).

Ayrım teknik görünse de sonucu doğrudan belirliyor. Muhatabın ekranda gördüğü bilgilendirmenin kim tarafından, hangi anda ve hangi içerikle yapılacağı, sistemin nasıl çalıştığından çok tarafların hangi sıfatı taşıdığına bağlıdır.

Önce kapsam: piyasaya sürme ölçütü ile yerleşim ölçütü

Rehber yükümlülüğün içeriğini tarif ediyor, muhatabını değil. Muhatabı Tüzük’ün 2. maddesi belirliyor ve buradaki ölçüt farkı Türkiye’de yerleşik şirketler bakımından belirleyicidir. Sağlayıcılar bakımından ölçüt piyasaya sürmektir: sistemi Birlik’te piyasaya süren veya hizmete sunan sağlayıcı, nerede yerleşik olursa olsun kapsamdadır (m. 2/1-a). Kullanıma sunanlar bakımından ölçüt ise yerleşimdir; Tüzük, Birlik’te yerleşik veya Birlik’te bulunan kullanıma sunanları kapsar (m. 2/1-b). Üçüncü ülkede yerleşik bir kullanıma sunan ancak sistemin ürettiği çıktı Birlik’te kullanılıyorsa kapsama girer (m. 2/1-c).

Buradan çıkan sonuç açıktır. Türkiye’de yerleşik olan ve yalnızca Türkiye’deki müşterisine sohbet robotu işleten bir şirket, kural olarak Tüzük’ün kullanıma sunanlara ilişkin yükümlülüklerinin muhatabı değildir; muhatap hâline gelmesi için ya Birlik’te yerleşik olması ya da sistemin çıktısının Birlik’te kullanılması gerekir. Birlik’teki müşterilere yönelen bir hizmet, Birlik’te yerleşik bir iştirak üzerinden yürütülen bir süreç veya çıktısı Birlik’te kullanılan bir değerlendirme bunun tipik hâlleridir. Örneğin Türkiye’de yerleşik bir şirketin aday değerlendirmesinde kullandığı sistemin çıktısı Birlik’te yerleşik grup şirketinin işe alım kararında kullanılıyorsa, aynı şirket bakımından sonuç değişir; değişkeni yaratan şey sistemin kendisi değil, çıktının nerede hüküm doğurduğudur.

Sıfat şirkete değil, kullanıma bağlanır

Kapsam sorusu cevaplandığında sıra sıfata gelir; ancak sıfat şirketin kendisine değil, her bir kullanıma bağlanır. Aynı şirket satın aldığı bir sistemde kullanıma sunan, kendi geliştirip müşterilerine sunduğu başka bir sistemde sağlayıcı olabilir. Grup içi yapılarda ve beyaz etiket ilişkilerinde ayrım daha da kayar; zira sistemi kendi adı ve markasıyla sunan tarafın konumu, aynı sistemi yalnızca kullanan tarafın konumundan farklıdır. Tüzük bunu yüksek riskli sistemler bakımından açıkça düzenliyor ve sistemi kendi adıyla piyasaya süren tarafın sağlayıcı sıfatını üstlendiğini kabul ediyor (m. 25). Şeffaflık yükümlülükleri bakımından ise böyle açık bir hüküm bulunmuyor.

Kanaatimce bu boşluk sonucu değiştirmez. Çünkü sıfatlar Tüzük’te işlevsel ölçütlerle tanımlanmıştır; sistemi kendi adıyla sunan taraf, muhatabıyla temas kuran ve onu bilgilendirebilecek konumda fiilen bulunan taraftır. Bilgilendirme yükümlülüğünün, muhatapla arasında hiçbir temas bulunmayan tarafa bırakılması, yükümlülüğün amacıyla bağdaşmaz.

Yükümlülük Tüzük’ten değil sözleşmeden geliyorsa

Asıl mesele bu noktadan sonra başlıyor. Kapsam dışında kalan bir Türk şirketi yükümlülükten kurtulmuş olmuyor; yükümlülük ona çoğu zaman doğrudan Tüzük’ten değil sözleşmeden geliyor. Birlik’te yerleşik sağlayıcı kendi yükümlülüğünü tedarik sözleşmesine yazarak aşağı aktarıyor, Birlik’teki müşteri aynı şeyi hizmet sözleşmesinde yapıyor ve kamu hukukundan doğan bir yükümlülük böylece taraflar arasında sözleşmeyle dağıtılan bir borca dönüşüyor. Sorulması gereken soru da budur: sıfat kimde ve o sıfatın getirdiği yük sözleşmede kime bırakılmış.

Bu dağıtımın bir sınırı var ve sınır Türk hukukundan geliyor. Taraflar hangi işin kime düştüğünü serbestçe kararlaştırabilir; ancak sözleşme, yönetim kurulunun kendi şirketi bakımından taşıdığı gözetim görevini karşı tarafa devretmez. Anonim ortaklıkta, yönetimle görevli kişilerin kanunlara, esas sözleşmeye, iç yönergelere ve yönetim kurulunun yazılı talimatlarına uygun hareket edip etmediklerinin üst gözetimi TTK m. 375 uyarınca devredilemez ve vazgeçilemez görevler arasındadır; limited şirkette müdürler bakımından benzer bir gözetim görevi TTK m. 625’te düzenlenmiştir. Kanunun izin verdiği yetki devri ile tedarikçiyle kurulan ilişki aynı şey değildir. TTK m.367 uyarınca yönetim, esas sözleşmeye konulacak bir hükme ve buna dayanan bir iç yönergeye göre kısmen veya tamamen devredilebilir; devir üçüncü kişiye de yapılabilir. Ancak bu devir kanunun aradığı biçim şartlarına uyularak yönetim yetkisini nakleder ve nakletse dahi m.375’teki üst gözetim görevini ortadan kaldırmaz. Tedarik sözleşmesi ise böyle bir devir değildir; yalnızca borç ilişkisi doğurur, organ yetkisinde bir değişiklik yaratmaz. Bu nedenle tedarikçinin taahhüdü, kurulun görevini tedbirli bir yöneticinin özeniyle yerine getirdiğini (TTK m. 369) kendiliğinden göstermez; olsa olsa kurulun kendi gözetim düzenini kurarken dayandığı unsurlardan biri olur.

Taahhüt ve gönüllü araçların ispat değeri

Yukarıdaki ayrım, Komisyon’un yeterli kabul ettiği gönüllü araçlar bakımından da geçerlidir. Rehber, bağımsız kişilerce hazırlanan Uygulama Kuralları’nı tamamlıyor; rehbere göre Komisyon ve Yapay Zekâ Kurulu bu kuralların uyumu göstermek bakımından yeterli ve gönüllü bir araç olduğunu teyit etmiş durumda. Kanaatimce bu, kurallara uyan teşebbüse denetimde kullanılabilecek bir delil sağlar; bir muafiyet veya güvenli liman sağlamaz. Çünkü gönüllü bir aracın izlenmesi, kanunun aradığı sonucun elde edildiğini göstermeye yarar; sonucun elde edilmediği hâlde koruma vermez. Yönetim kurulu bakımından pratik karşılığı şudur: dosyada tedarikçi taahhüdünün ve gönüllü araca uyum beyanının bulunması yeterli değildir, kurulun bu beyanları hangi bilgiyle denetlediğinin de görünür olması gerekir.

Aynı ekranda iki ayrı yükümlülük

Muhatabın bir makineyle konuştuğunun bildirilmesi ile kişisel veri işlemenin aydınlatılması aynı hukuki temele dayanmaz; biri Tüzük’ün 50. maddesinden, diğeri KVKK m. 10’dan doğar ve şartları farklıdır. Buna karşılık ikisi de aynı anda, aynı ekranda ve aynı muhataba karşı yerine getirilir. Bu nedenle metinlerin ayrı ayrı değil birlikte kurgulanması, iş yükünü azalttığı gibi ikisi arasında çelişkili ifade doğmasını da önler. Tüzük kapsamına girmeyen ancak sözleşmeyle bilgilendirme borcu altına giren bir şirkette ise aynı ekranda hukuki temeli farklı iki metin bulunur; bunların hangisinin hangi kaynaktan geldiğini bilmek, ihtilaf hâlinde kimin neyi ispat edeceğini de belirler.

Sonuç

Rehber yükümlülüğün içeriğini netleştiriyor, muhatabını değil. Türkiye’de yerleşik bir şirket işe yükümlülük listesinden başlarsa yanlış uçtan başlamış olur. Sıralama şudur: önce Tüzük’ün uygulanıp uygulanmadığı, sonra hangi kullanımda hangi sıfatın taşındığı, ardından o sıfatın getirdiği yükün sözleşmede nerede durduğu ve en sonda yönetim kurulunun devredemediği gözetim görevinin bu dağıtımın neresinde kaldığı. Envanter çalışması bu sıranın sonunda değil ikinci basamağında işe yarar; çünkü listelenmesi gereken sistemler değil, sıfatlardır.

Atıf yapılan mevzuat. 6102 sayılı Türk Ticaret Kanunu m.367, m.369, m.375, m.625 · 6698 sayılı Kişisel Verilerin Korunması Kanunu m.10 · (AB) 2024/1689 sayılı Tüzük m.2, m.25, m.50 · (AB) 2026/1744 sayılı Tüzük

Alan haritasındaki yeri. Bu yazı, alan haritasında şu soruya cevap veriyor:

• Sözleşmeyle dağıtılan sorumluluk, yönetim kurulunun TTK m.375 uyarınca devredilemeyen üst gözetim görevini hangi noktada sınırlar?
• Sağlayıcı, kullanıma sunan, entegratör ve dağıtıcı sıfatları grup içi ve beyaz etiket yapılarda nasıl belirlenir?

Bu sitede yayımlanan değerlendirmeler genel niteliktedir ve somut bir olaya ilişkin hukuki görüş oluşturmaz.