AB Yapay Zekâ Yasası nedir? Türkiye’deki oteller için ne anlama gelir?

AB Yapay Zekâ Yasası, (AB) 2024/1689 sayılı Tüzüktür; 1 Ağustos 2024'te yürürlüğe girdi ve aşamalı istisnalarla 2 Ağustos 2026'dan itibaren uygulanıyor. Yasaklar, risk düzeyleri ve şeffaflık yükümlülükleri belirliyor. Türkiye'deki bir otele uzanıp uzanmadığı hukuki danışmanlık sorusudur. Türkiye’nin ise bir eylem planı var, işletmelere yükümlülük getiren bir yapay zekâ yasası yok.

Avrupa merkezli bir tur operatörü bir tedarikçi anketi gönderiyor: yapay zekâ kullanıyor musunuz ve AB Yapay Zekâ Yasası'na uyumlu musunuz? İlk sorunun yanıtı kısadır. İkincisinin ardında ise bir tarih, bir risk düzeyi ve bir hukukçu vardır; "evet" ya da "hayır" yoktur. Bu yazının sonunda takvimi, risk bantlarını, bir otelin ilk karşılaşacağı iki yükümlülüğü ve kapsamın netleşmesini beklerken yapılabilecekleri bileceksiniz.

AB Yapay Zekâ Yasası nedir ve her bölüm ne zaman uygulanıyor?#

Avrupa Birliği'nin, Birlik içinde satılan ya da kullanılan yapay zekâ sistemlerine kurallar getiren bir tüzüğüdür: (AB) 2024/1689. 1 Ağustos 2024'te yürürlüğe girdi, ancak aşamalı olarak uygulanıyor ve takvim son hükümlerinin içine yazılmış durumda.

Tüzük 13 Haziran 2024'te kabul edildi ve 12 Temmuz 2024'te AB Resmî Gazetesi'nde yayımlandı; yayımı izleyen yirminci gün olan 1 Ağustos 2024'te yürürlüğe girdi. Yürürlük, uygulama ile aynı şey değildir. Takvim 113. maddede yer alır ve bu madde, 8 Temmuz 2026'da kabul edilen, 24 Temmuz 2026'da yayımlanan ve 27 Temmuz 2026'dan beri yürürlükte olan (AB) 2026/1744 sayılı "Yapay Zekâya İlişkin Dijital Omnibus" Tüzüğü ile değiştirildi (kaynak: EUR-Lex birleşik metin, 27 Temmuz 2026 (yeni sekmede açılır)).

Bölüm I, kapsam maddesini içerir ve Birlik dışındaki bir okur için diğer her maddeden daha önemlidir; 2 Şubat 2025'ten beri uygulanıyor. Arada kalan ve kolaylıkla gözden kaçan iki tarih var: 2 Aralık 2026, hem 5(1)(ba) ve (bb)'deki yeni yasakları hem de 2 Ağustos 2026'dan önce piyasaya sürülmüş sistemlerin işaretlenmesi için son tarihi getiriyor.

Risk düzeyleri düz bir dille ne demek?#

Yasa, yapay zekâyı tek bir şey olarak düzenlemez. Sistemleri dört banda ayırır ve bant, yasal belge, test ve insan gözetimi konularında ne kadar yük isteyeceğini belirler.

Yasaklı uygulamalar, Bölüm II'de yer alır ve Birlik'in hiç izin vermediği kısa bir listedir: sosyal puanlama ya da kişilerin zaaflarından yararlanma gibi. 2 Şubat 2025'ten beri uygulanıyor. 2 Aralık 2026'dan itibaren liste genişliyor: 5(1)(ba) ve (bb) maddeleri, kimliği belirlenebilir kişilerin rızası olmadan gerçekçi mahrem ya da cinsel içerikli görüntü üreten ya da değiştiren sistemleri ve çocuk cinsel istismarı materyalini kapsıyor.

Yüksek riskli sistemler, yapay zekânın güvenlik kurallarına tabi bir ürünün içinde yer aldığı Ek I yoluyla ya da işe alım veya temel hizmetlere erişim gibi belirli alanları listeleyen Ek III yoluyla belirlenir. Bunlar risk yönetimi, veri yönetişimi, teknik dokümantasyon, kayıt tutma ve insan gözetimi yükümlülükleri taşıyor. 50. maddedeki şeffaflık yükümlülükleri ise insanlarla doğrudan etkileşime giren sistemler ve üretilen içerik için daha hafif yüklerdir. Diğer her şey, 4. maddedeki yapay zekâ okuryazarlığı yükümlülüğü dışında özel bir yükümlülük taşımıyor.

Bir otel önce yasayla nerede karşılaşır?#

İki yerde: insanlara bir makineyle muhatap olduklarını söyleme yükü ve makinenin ürettiği içeriği işaretleme yükü. İkisi de 50. maddede ve ikisi de 2 Ağustos 2026'dan itibaren geçerli.

50(1) maddesi, gerçek kişilerle doğrudan etkileşime giren sistemleri tasarlayan sağlayıcılardan, kişilerin bir yapay zekâ sistemiyle etkileşimde olduklarını öğrenmelerini sağlamalarını ister; koşullar ve kullanım bağlamı göz önüne alındığında makul ölçüde bilgili, dikkatli ve temkinli bir kişi için bu durum açıkça belliyse yükümlülük uygulanmaz. 50(2) maddesi, sentetik ses, görüntü, video ya da metin üreten sistemlerin sağlayıcılarının, çıktının makinelerin okuyabileceği biçimde işaretlenmesini ve yapay olarak üretildiğinin tespit edilebilmesini sağlamasını ister; 2 Ağustos 2026'dan önce piyasaya sürülen sistemler için 111(4). madde uyarınca son tarih 2 Aralık 2026'dır. 50(4) maddesi, derin sahte niteliğinde içerik üreten sistemleri kullanan uygulayıcılara ve kamuoyunu kamu yararını ilgilendiren konularda bilgilendirmek amacıyla metin yayımlayan uygulayıcılara açıklama yükü getirir; metin insan incelemesinden geçmişse ve editoryal sorumluluğu bir gerçek ya da tüzel kişi taşıyorsa yükümlülük uygulanmaz (kaynak: EUR-Lex, 4. ve 50. maddelerin birleşik metni, 2 Ağustos 2026 (yeni sekmede açılır)).

1. madde, yapay zekâ okuryazarlığı yükü, (AB) 2026/1744 ile 27 Temmuz 2026'dan geçerli olacak biçimde yeniden yazıldı. Sağlayıcılar ve uygulayıcılar, çalışanlarının ve sistemleri kendi adlarına kullanan kişilerin yapay zekâ okuryazarlığının gelişmesini desteklemek için önlem alır; kişilerin teknik bilgisi, kullanım bağlamı ve etkilenenler dikkate alınır. Madde, kimseden belirli bir okuryazarlık düzeyi garanti etmesini istemez ve Komisyon uyuma ilişkin pratik örnekler yayımlar.

Bir otelde bu yükler tanıdık yüzeylere denk düşer: web sitesindeki sohbet penceresi, misafir uygulaması, yapay zekâyla yazılmış oda tanıtımları, üretilmiş fotoğraflar ve yanıtları taslaklamak için yapay zekâ aracı kullanan personel. Rol ayrımı da önemlidir: bazı yükler sistemi geliştiren şirkete, yani sağlayıcıya, bazıları sistemi kullanan kuruluşa, yani uygulayıcıya düşer. Araç satın alan bir otelle araç geliştiren bir otel farklı konumdadır. Makine yanıtının nerede kişiye devredilmesi gerektiği için misafir mesajlarında yapay zekâ: ne zaman personele devredilmeli yazısına bakabilirsiniz.

AB Yapay Zekâ Yasası Türkiye'deki bir otele uzanır mı?#

İlke olarak uzanabilir ve metin bunu 2(1)(c) maddesinde söyler: Tüzük, sistemin ürettiği çıktının Birlik'te kullanıldığı durumlarda üçüncü bir ülkede yerleşik ya da bulunan sağlayıcılara ve uygulayıcılara uygulanır. Sizin otelinize uzanıp uzanmadığı ise olgu ve hukuki danışmanlık sorusudur; "evet" ya da "hayır" sorusu değil.

3(4) maddesi, uygulayıcıyı, bir yapay zekâ sistemini kendi yetkisi altında kullanan gerçek ya da tüzel kişi, kamu makamı ya da diğer kuruluş olarak tanımlar; sistemin kişisel ve mesleki olmayan bir faaliyette kullanılması bunun dışındadır. Rezervasyonunda ya da misafir mesajlaşmasında bir araç kullanan otel bu istisnada değildir (kaynak: EUR-Lex, 2. madde kapsam metni, 12 Temmuz 2024 (yeni sekmede açılır)). Analiz bu yüzden olgulara döner: çıktı gerçekte nerede kullanılıyor, sağlayıcı kim, uygulayıcı kim ve aralarındaki sözleşme ne diyor.

Almanya'daki bir misafirin asistanınızın yanıtını okumasıyla, aynı yanıtı Antalya'daki lobinizde okuyan misafir, 2(1)(c) maddesi karşısında farklı vakalardır. Bunu kendiniz karara bağlamayın. İki rolün yükümlülükleri de aynı değildir: sağlayıcı tasarım ve işaretleme yüklerini taşır; uygulayıcı açıklama yüklerini ve yüksek riskli kullanımlarda gözetim yüklerini. Birlik dışındaki bir şirkete karşı yaptırım ve yetkili temsilcinin rolü ise ayrı sorulardır ve yanıtları hukuk danışmanınıza yazılı olarak sorun.

Başlamak için iki soru yeterlidir: bu sistemin çıktısı Birlik'te kullanılıyor mu ve biz hangi roldeyiz, sağlayıcı mı uygulayıcı mı?

Türkiye’nin kendi yapay zekâ yasası var mı?#

Bir işletmenin yapay zekâ kullanımını düzenleyen bir yasa yok. Türkiye'de olan şey bir ulusal eylem planıdır ve otellere yükümlülük getiren bir yasa değil, bir politika belgesidir.

Türkiye Yapay Zekâ Eylem Planı 2026-2030 dönemini kapsıyor. 13 Haziran 2026'da İstanbul'daki Türkiye AI Summit'te duyuruldu ve 18 Ağustos 2026'da 33344 sayılı Resmî Gazete'de yayımlanan 2026/9 sayılı Cumhurbaşkanlığı Genelgesi ile yürürlüğe kondu. Dört eksenden oluşuyor, Fark Et, İstifade Et, Üret ve Yönet, ve 16 öncelikli eylem listeliyor; turizm bunların arasında adı geçmiyor. Ayrıntı için Yapay Zekâ Eylem Planı 2026-2030: oteller ve turizm işletmeleri için ne anlama geliyor? yazımıza bakabilirsiniz.

Bir plan kamu kurumlarına yön verir. Bir otelin bir yapay zekâ sistemini belgelemesini, test etmesini ya da açıklamasını gerektiren bir yükümlülük yaratmaz ve misafir sohbetiniz için bir düzenleyici kurmaz. Burada hiçbir Türk yapay zekâ yasası taslağı anlatılmıyor; bir tasarı sunulursa okunacak kaynak resmî parlamento kaydıdır, bir özet değil. Bir oteli bugün veri tarafında bağlayan, kişisel verilerin korunması kanunu olan KVKK ile konaklamaya uygulanan sektör kurallarıdır; ayrıntıyı danışmanınızla teyit edin.

AB metninin Antalya'dan bile önemli olmasının nedeni bu: bağlayıcı olsun ya da olmasın, Avrupa'daki iş ortaklarınızın sözleşmelerde ve anketlerde kullandığı referans noktası odur. Eylem planını bağlam olarak, Tüzüğü sözleşme ve uyum sorusu olarak ele alın. İkisi farklı türde belgedir.

Kapsam sorusu hangi yöne sonuçlanırsa sonuçlansın, bir otel şimdi ne yapabilir?#

Yasanın tarif ettiği uygulamaları benimseyin, çünkü bunlar başlı başına iyi pratiktir: insanları bilgilendirin, kayıt tutun ve hassas konularda kararı belirli bir kişiye bırakın.

İnsanlara düz biçimde söyleyin. Sohbet penceresinin ve misafir uygulamasının üstünde, yanıtın bir makine tarafından yazıldığını ve personelin devralabileceğini söyleyen tek bir satır, 50(1) maddesindeki fikrin en yalın halidir. Yapay zekâ araçlarının bir kaydını tutun: her biri ne yapıyor, sahibi kim, ne zaman onaylandı, neye dokunuyor. Bir kayıt, tedarikçi anketini bir bakışta yanıtlamaya çevirir.

Kararı verecek kişiyi adlandırın. Rutin yanıtlar çıkabilir; şikâyetler, iadeler, güvenlik konuları ve misafirin kimliğine dair her şey bir kişiyi bekler. Bu çizgiyi yazılı hale getirin ki vardiyada kim olduğuna bağlı kalmasın; bir başlangıç noktası için otelde yapay zekâ: hangi eylemler bir kişinin onayını gerektirir? yazısına bakın. Personeli göreve göre, kısa ve tekrarlı biçimde eğitin: 4. madde önlem ister, sertifika değil ve işyeri içi makul bir program için de aynı şey geçerlidir; örnek bir yapı için otel çalışanlarına yapay zekâ eğitimi: göreve göre kısa bir iç eğitim programı yazısına bakabilirsiniz.

Personelin yapay zekâ araçlarına neyi kopyalayıp yapıştırabileceğine dair kısa bir politika yazın, çünkü misafir verisinin binadan çıkması, yapay zekâ sorusu olmadan önce bir veri sorusudur. Her tedarikçiye yazılı olarak üç şey sorun: sistem ne yapıyor, çıktıları üretilmiş olarak işaretli mi ve kim neyden sorumlu. Üç ayda bir gözden geçirin: 113. maddedeki tarihler sabittir, ama araçlarınız, pazarlarınız ve sözleşmeleriniz değil.

Şimdi ne yapmalı#

Kapsam sorusunu bir hukuk danışmanına yazılı olarak, iki cümleyle sorun: yapay zekâ sistemlerimizin çıktıları Avrupa Birliği'ndeki misafirler tarafından kullanılıyor olabilir ve hangi rolde hareket ettiğimizi bilmemiz gerekiyor. Yanıt beklerken, avukata ihtiyaç duymayan kısmı yapın: bir bilgilendirme satırı, araçların bir kaydı, adı konmuş bir karar verici ve kısa bir personel politikası. 113. maddedeki tarihler, Tüzük tesisinizi bağlasa da bağlamasa da gelecek ve bu pratikler hangi durumda olursa olsun az maliyetlidir.