AI Omnibus 2026: Kurumlar İçin Ne Değişti?

Olay özeti

AI Omnibus, 24 Temmuz 2026’da AB Resmî Gazetesi’nde yayımlandı ve Avrupa Komisyonu’nun duyurusuna göre 27 Temmuz 2026 tarihinde Avrupa Birliği genelinde yürürlüğe girdi. Düzenleme; AI kurallarını tamamen geri çekmek yerine uygulama takvimini, küçük ve orta ölçekli işletmeler için orantılılığı, test alanlarını ve idari süreçleri yeniden düzenliyor. En görünür değişiklik, yüksek riskli AI sistemlerine ilişkin bazı kuralların ileri tarihlere taşınmasıdır: Ek III kapsamındaki yüksek riskli kullanım alanları için 2 Aralık 2027, fiziksel ürünlere gömülü yüksek riskli AI için 2 Ağustos 2028 tarihi öne çıkıyor.

Bu gelişme iki farklı takvimin karıştırılmasına yol açabilir. Yüksek riskli sistem takvimi uzarken AI tarafından üretilen veya manipüle edilen içeriklere ilişkin şeffaflık kuralları 2 Ağustos 2026’da uygulanmaya başlıyor. Dolayısıyla bir kurumun “AI Act ertelendi” şeklinde tek cümlelik bir sonuç çıkarması hem hukuki hem operasyonel açıdan zayıf olur. Her AI sistemi; rol, kullanım amacı, kullanıcı etkisi, içerik üretimi, karar etkisi ve risk sınıfına göre ayrı ele alınmalıdır.

Kurumsal etki

Kurumsal etkiler dört katmanda görülür. İlk katman envanterdir. Kurum hangi AI sistemlerini kullandığını, hangi tedarikçinin modeline dayandığını, hangi veriyi işlediğini ve karar zincirinde ne rol oynadığını bilmeden hiçbir takvimi doğru uygulayamaz. İkinci katman şeffaflıktır. Chatbot, sentetik içerik, deepfake, kamu yararına ilişkin bilgilendirme metni veya kullanıcıyla etkileşen AI sistemi farklı bildirim gereksinimleri doğurabilir. Üçüncü katman tedarikçidir. Sağlayıcının teknik işaretleme, log, model bilgisi ve sözleşme taahhütleri kurumun kendi yükümlülüğünü doğrudan etkiler. Dördüncü katman yönetişimdir. AI kararı tek başına BT veya inovasyon ekibine bırakılamaz; hukuk, bilgi güvenliği, veri yönetişimi, iş birimi ve insan kaynakları rolleri kullanım alanına göre birlikte çalışmalıdır.

Hangi yükümlülük ne zaman?

Kurumlar tek bir “AI Act tarihi” yerine yükümlülük matrisi kullanmalıdır. Bir sistemin yüksek riskli olma ihtimali, şeffaflık yükümlülüğü, genel amaçlı model bağımlılığı ve sektör mevzuatı ayrı sütunlarda izlenmelidir. Omnibus ile uzayan tarihler hazırlık için fırsattır; ancak sınıflandırma ve kanıt üretme çalışmalarının son tarihe bırakılması, model ve tedarikçi portföyü hızla değiştiği için daha pahalı bir uyum projesi yaratır.

• 2 Ağustos 2026 şeffaflık yükümlülüklerini ayrı iş paketi olarak yönetin.
• Ek III yüksek risk ihtimali bulunan kullanım alanlarını 2 Aralık 2027’ye kadar bekletmeden sınıflandırın.
• Fiziksel ürüne gömülü AI için ürün güvenliği, yazılım sürümü ve uygunluk zincirini 2 Ağustos 2028 takvimine bağlayın.
• Küçük ve orta ölçekli şirketlere yönelik sadeleştirmeleri “muafiyet” olarak değil, orantılı uygulama olarak okuyun.
• Regulatory sandbox kullanımını pazara çıkış garantisi değil, denetimli test ve kanıt üretme alanı olarak değerlendirin.

Riskler ve belirsizlikler

En büyük risk yanlış rahatlamadır. Tarih uzaması, yönetim kurulunun AI gündemini kapatmasına yol açarsa kurum gölge AI kullanımını, kişisel veri sızıntısını, yanlış otomasyonu ve şeffaflık eksikliğini görmez. İkinci risk tek bir hukuk yorumuna aşırı bağımlılıktır. AI sistemi tanımı, sağlayıcı–deploy eden rolü ve yüksek risk sınıflandırması somut kullanım bağlamına göre değişir. Üçüncü risk tedarikçi takvimidir. Kurumun arayüzde etiket göstermesi gerekse bile sağlayıcının teknik işaretleme veya log kanıtı sunmaması uygulamayı zorlaştırabilir. Dördüncü risk, AB dışındaki kurumların düzenlemeyi kendileriyle ilgisiz sanmasıdır. AB pazarına sunulan hizmetler, AB kullanıcıları veya AB’deki grup şirketleri bakımından etki ayrıca değerlendirilmelidir.

90 günlük karar listesi

1. AI envanterinde üretim, pilot ve gölge kullanım ayrımını tamamlayın.
2. Her sistem için sağlayıcı, kurum rolü, veri sınıfı ve kullanıcı etkisini kaydedin.
3. 2 Ağustos 2026 şeffaflık kapsamına girebilecek arayüz ve içerikleri işaretleyin.
4. İnsan onayı ve itiraz kanalını karar etkisi yüksek kullanım alanlarında zorunlu kapı yapın.
5. Tedarikçi sözleşmelerine model değişikliği, veri kullanımı, log, olay bildirimi ve çıkış maddelerini ekleyin.
6. Yüksek risk ihtimali bulunan sistemler için hukuk, iş birimi, veri ve güvenlik ortak incelemesi yapın.
7. AI okuryazarlığını tek eğitim videosu yerine rol bazlı yetkinlik programına dönüştürün.
8. Yönetim kuruluna tarih değil, sistem–yükümlülük–kanıt matrisi raporlayın.

Güncelleme kaydı

İlk yayın: 28 Temmuz 2026. Bu analiz, ilgili resmî düzenleme, rehber veya standart değiştiğinde; kritik tarihten önce ve sonra yeniden gözden geçirilecektir. Değişen hükümler, önceki metin sessizce silinmeden güncelleme notuyla işlenecektir.