Yapay zeka yönetişimi, teknik değil yönetim kurulu düzeyinde bir sorumluluktur ve üç ayak üzerinde durur. Birincisi hesap verebilirlik. Yapay zekanızın söylediği ve yaptığı her şeyden hukuken siz sorumlusunuz; Air Canada davası bunu netleştirdi. İkincisi uyum. Kişisel veri işleyen her kullanım KVKK kapsamındadır ve çıktısı Avrupa'da kullanılan sistemler AB Yapay Zeka Yasası'na tabidir. Üçüncüsü sorumlu tasarım. Kullanımınızı riske göre sınıflayın, insan denetimini ve şeffaflığı baştan kurun. Bugün gönüllü kurduğunuz iyi bir düzen, yarın zorunlu olacak uyumun provasıdır. Kural henüz eksikse bile sorumluluk bugün sizde.
Ölçmek güvende olmak değildir. Risk ve uyum fazı
Serinin on birinci yazısında ölçümü ele aldım ve o yazıyı tek bir uyarıyla kapatmıştım. Bir sistemin değer ürettiğini ölçebilirsiniz, ama aynı sistem sizi bir veri ihlaline, bir hukuki sorumluluğa ya da bir itibar kaybına götürüyor olabilir. Ölçmek, güvende olmak değildir. Bu yazıyı tam da o güvenliğe, yani yönetişim, risk ve uyuma ayırdım.
Bu alanı çoğu yönetici en sona bırakır, çünkü kulağa hukukçuların ve uyum ekiplerinin işi gibi gelir. Bu, kurumsal yapay zekanın en pahalı yanılgılarından biridir. Yapay zeka yönetişimi bir bilgi işlem ya da hukuk departmanı konusu değil, doğrudan yönetim kurulunun konusudur. Çünkü bir yapay zeka yanlış bir karar verdiğinde, bir müşteriye yanlış söz verdiğinde ya da kişisel veriyi hatalı işlediğinde, faturayı ödeyen bilgi işlem değil, kurumun kendisi ve itibarıdır.
Bu yazının sonunda dört şeyi netleştirmiş olacaksınız. Yapay zekanızın söylediği ve yaptığı her şeyden neden hukuken sorumlu olduğunuzu. Türkiye'de KVKK'nın ve giderek yaklaşan Türk düzenlemesinin sizden ne beklediğini. AB Yapay Zeka Yasası'nın, Avrupa'da hiç ofisiniz olmasa bile sizi neden kapsayabileceğini. Ve bütün bunları somut bir sorumlu yapay zeka çerçevesine nasıl bağlayacağınızı. Baştan bir not. Bu yazı hukuki bilgi verir, hukuki tavsiye değildir; kurumunuza özel uyum için bir hukukçuyla çalışın.
Yapay zekanızın söylediği her şeyden siz sorumlusunuz
En önemli ilkeyi baştan, bir vakayla koyayım. 2024'te görülen bir dava bütün bu alanın özetidir. Bir havayolunun web sitesindeki sohbet botu, yakınını kaybeden bir yolcuya yas indirimi konusunda yanlış bilgi verdi; yolcu bu bilgiye güvenerek biletini aldı ve sonradan indirimin öyle işlemediğini öğrendi. Şirket mahkemede ilginç bir savunma yaptı. Sohbet botunun "ayrı bir hukuki varlık" olduğunu, dolayısıyla onun söylediklerinden kendisinin sorumlu tutulamayacağını ileri sürdü. Mahkeme bu savunmayı açıkça reddetti ve şirketi, botunun yaptığı hatalı beyandan sorumlu tuttu.
Tazminatın büyüklüğü küçüktü, birkaç yüz dolar. Ama ilkenin büyüklüğü devasadır. Yapay zekanız bir araç değil, sizin adınıza konuşan bir temsilcinizdir. Müşterinize ne söylerse, sanki bir çalışanınız söylemiş gibi bağlayıcıdır. "Bunu ben demedim, yapay zeka dedi" diye bir hukuki kaçış yolu yoktur. Kararı veren ve sorumluluğu taşıyan, her zaman insandır ve kurumdur. Otomasyon, sorumluluğu devretmez; yalnız işi devreder.
Bu ilkeyi kavramak, yönetişimin neden bir lüks değil zorunluluk olduğunu da açıklar. Bir yapay zekayı müşterinizle, çalışanınızla ya da kamuyla konuşacak şekilde devreye aldığınız anda, onun her çıktısı için hukuken siz kefil oluyorsunuz. Yönetişim, bu kefaleti yönetilebilir kılmanın adıdır. Ne söyleyebileceğini sınırlamak, söylediğini denetlemek ve bir şey ters gittiğinde sorumluluğun kimde olduğunu önceden bilmek.
Herkes kullanıyor, çok azı yönetiyor
Bu sorumluluk bu kadar ağırken, kurumlar buna hazırlıklı mı? Rakamlar tersini söylüyor. McKinsey'nin 2025'te 105 ülkeden 1.993 üst düzey yöneticiyle yaptığı küresel ankete göre kurumların %88'i en az bir iş biriminde yapay zeka kullanıyor; bir yıl önce bu oran %78'di. Yani kullanım neredeyse evrensel hale geldi. Dikkat edin, bu "işlerin %88'i yapay zekayla yapılıyor" demek değil; "kurumların %88'i en az bir yerde yapay zekaya dokundu" demek. Ama aynı kurumların çok azında bu kullanımı yöneten bir kural ve sorumluluk düzeni var. Kullanım hızla yayıldı, onu güvenli kılan çerçeve ise geride kaldı.
Bu boşluğun bedeli soyut değil, ölçülmüş. Danışmanlık firması EY'nin 2025'in ağustos ve eylül aylarında 21 ülkeden 975 üst düzey yöneticiyle yaptığı Sorumlu Yapay Zeka araştırması çarpıcı bir tablo veriyor. Kurumların %99'u yapay zeka kaynaklı risklerden bir tür mali kayıp yaşadığını söyledi; her üç kurumdan ikisi bu kaybın bir milyon doları aştığını bildirdi ve şirket başına ortalama kayıp, ihtiyatlı bir tahminle 4,4 milyon dolar olarak hesaplandı. En sık görülen riskin de tam bu yazının konusu olması manidar; düzenlemelere uyumsuzluk, katılımcıların %57'sinde ilk sırada.
Aynı araştırmanın belki en düşündürücü bulgusu şu. Üst düzey yöneticilere beş temel yapay zeka riskine karşı doğru kontrolleri sorduklarında, yalnızca %12'si hepsini doğru işaretleyebildi. Yani sorun yalnız kural eksikliği değil, kuralın ne olduğunu bilme eksikliği. Buradaki asıl mesele bir zihniyet meselesidir. Risk ve uyum çoğu kurumda en sona, iş büyüdükten ve bir kaza olduktan sonraya bırakılıyor. Oysa doğru sıra tersidir. Bir yapay zekayı devreye almadan önce, onun hangi kararları verebileceği, hangi veriye dokunabileceği ve bir hata durumunda kimin sorumlu olacağı yazılmış olmalı. İyi bir yönetişim, hızın freni değil güvenlik kemeridir. Kemer olmadan da hızlı gidebilirsiniz, ta ki ilk kazaya kadar.
KVKK. Kişisel veri kullanan her yapay zeka kapsamda
Türkiye'de yapay zeka uyumunun ilk ve en somut ayağı kişisel verilerin korunmasıdır. Buradaki temel gerçek şudur. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun yapay zeka için bir istisnası yoktur. Kişisel veri işleyen bir yapay zeka, tıpkı bir insan ekibi gibi kanunun tüm kurallarına tabidir. Açık rıza ya da başka bir hukuki dayanak, amaçla sınırlılık, veri güvenliği; hepsi aynen geçerlidir. Bir modeli müşteri verinizle eğitmek ya da çalışan verinizi bir yapay zeka aracına girmek, veri işleme faaliyetidir ve sorumluluğu kurumdadır.
Bu alan artık tahmin işi de değil, çünkü düzenleyici çerçeveyi somutlaştırdı. Kişisel Verileri Koruma Kurumu, yani KVKK, 24 Kasım 2025'te "Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi" başlıklı, yaklaşık altmış dört sayfalık bir rehber yayımladı. Bu rehber, 6698 sayılı Kanun'un üretken yapay zekanın tüm yaşam döngüsüne nasıl uygulandığını anlatıyor. Modelin eğitilmesi ile günlük kullanımı arasındaki farkı, şeffaflık yükümlülüğünü, hangi hukuki dayanakların geçerli olduğunu, verinin yurt dışına aktarımını, deepfake gibi üretilmiş içerikleri ve çocukların korunmasını ele alıyor. Türkiye'de faaliyet gösteren bir kurum için bu rehber, en güçlü ve en somut yol gösterici birincil kaynaktır.
Pratik karşılığı basittir. Bir yapay zeka aracını devreye almadan önce sorun. Bu araç hangi kişisel veriye dokunuyor, bu veriyi işlemek için hukuki dayanağım ne, veri nereye gidiyor ve orada güvende mi, kişilere bu işlemeyi şeffaf biçimde anlattım mı? Özellikle yurt dışı merkezli bir yapay zeka hizmetine kurum verisi girmek, çoğu zaman bir yurt dışına veri aktarımıdır ve kendi kurallarına tabidir. Bu soruları yanıtlamadan atılan her adım, ölçülebilir bir uyum riskidir.
AB Yapay Zeka Yasası. Avrupa'da ofisiniz olmasa bile kapsayabilir
Sıradaki katman, çoğu Türk yöneticinin kendisini muaf sandığı ama sanmaması gereken bir düzenlemedir. Avrupa Birliği'nin Yapay Zeka Yasası, yani EU AI Act, dünyanın ilk kapsamlı yapay zeka kanunudur ve kritik bir özelliği vardır. Etkisi Avrupa sınırlarında bitmez. Yasa, çıktısı Avrupa Birliği içinde kullanılan yapay zeka sistemlerini, o sistemi işleten kurum nerede olursa olsun kapsar. Bu, kişisel veride alışık olduğumuz "Avrupalıyı hedefliyor musun" ölçütünden daha düşük bir eşiktir. Ürettiğiniz bir skor, bir karar ya da bir metin bir Avrupalı kullanıcıya ulaşıyorsa, Avrupa'da hiç ofisiniz olmasa bile kapsama girebilirsiniz.
Yasa riski dört kademeye ayırır ve yükümlülüğü riske göre ağırlaştırır. Bu kademeleri aşağıdaki görselde topladım. En üstte, tümüyle yasaklı uygulamalar var; örneğin sosyal puanlama ya da işyerinde duygu tanıma gibi. Altında, insanların hakları üzerinde ciddi etkisi olan yüksek riskli sistemler; bunlar en ağır yükümlülüklere tabi. Sonra yalnız şeffaflık isteyen sınırlı riskli sistemler; bir sohbet botuyla konuştuğunu ya da bir içeriğin yapay zeka ürünü olduğunu kullanıcıya bildirmek gibi. En altta ise kurumsal kullanımın büyük çoğunluğunu oluşturan minimal riskli sistemler.
Takvim konusunda 2026'da önemli bir gelişme oldu ve bunu doğru okumak gerekiyor. Yasa 2024'te yürürlüğe girdi; yasaklı uygulamalar ve yapay zeka okuryazarlığı 2025 başında, genel amaçlı modellere ilişkin kurallar ve cezalar ise 2025 ortasında uygulanmaya başladı. Cezalar caydırıcı düzeyde; yasaklı uygulamalarda küresel cironun %7'sine kadar. 2026'da yürürlüğe giren "Digital Omnibus" düzenlemesiyle yüksek riskli sistemlerin en ağır yükümlülükleri 2026 Ağustosundan 2027 sonuna ertelendi. Ama buradaki incelik kritiktir. Ertelenen yalnız yüksek-risk yükümlülükleridir; yasaklar, okuryazarlık, genel amaçlı model kuralları ve cezalar bugün yürürlüktedir. Erteleme bir rahatlama daveti değil, hazırlık için verilmiş bir zamandır.
Türkiye'nin kendi düzenlemesi de yolda
Şu ana kadar Türkiye'de yürürlükte olan çerçeve, ağırlıkla mevcut kişisel veri kanunu ve KVKK rehberidir; Türkiye'nin yapay zekaya özel, yürürlükte bir kanunu henüz yoktur. Ama bu boşluk kapanıyor ve yönü şimdiden bellidir. Kasım 2025'te Türkiye Büyük Millet Meclisi'ne sunulan bir kanun teklifi, yapay zekayı ayrı bir kanunla değil, mevcut kanunları değiştirerek düzenlemeyi öneriyor. İnternet kanunundan Türk Ceza Kanunu'na, kişisel veri kanunundan siber güvenliğe kadar birçok metne dokunuyor.
Teklifin getirdikleri, yaklaşan düzenleyici havayı gösteriyor. Bir yapay zeka sistemi tanımı, sivil ve cezai sorumluluk, yapay zekayla üretilmiş ve deepfake içeriğin zorunlu etiketlenmesi, deepfake içerik için çok kısa bir kaldırma süresi ve veri kümelerinde ayrımcılığı önleyen kurallar. Yürütme yeni bir yapay zeka kurumuna değil, mevcut kurumlara, yani Bilgi Teknolojileri ve İletişim Kurumu ile KVKK'ya bırakılıyor. Dikkat çeken bir başka nokta, öngörülen cezaların doğrudan Avrupa Yasası'nı örnek almasıdır; ciroya oranlı ve benzer oranlarda. Türkiye, düzenlemesini bilinçli olarak Avrupa'yla uyumlu kurmaya çalışıyor.
Bu, tek tek maddeleri ezberlemeniz gerektiği anlamına gelmez; teklif hâlâ mecliste ve değişebilir. Anlamı şudur. Yapay zeka için "kural yok, o yüzden serbest" dönemi kapanıyor. Türkiye'nin de, Avrupa'nın da yönü aynı; şeffaflık, hesap verebilirlik ve insan sorumluluğu. Bugün gönüllü olarak kurduğunuz iyi bir düzen, yarın zorunlu olacak uyumun provasıdır. Emsal de oluşmaya başladı; Reklam Kurulu daha 2023'te, bir markayı yapay zeka çıktısına dayalı doğrulanmamış bir iddia için cezalandırmış ve bu çıktıların güvenilir sayılamayacağını belirtmişti.
Sorumlu yapay zeka. Kuraldan pratiğe
Kuralları saydık. Şimdi bunları bir kurumun gerçekten uygulayabileceği bir çerçeveye indirgeyeyim. Sorumlu yapay zeka, kulağa soyut gelen bir slogan değil, birkaç somut alışkanlığın toplamıdır. Bunları bir sıra olarak düşünebilirsiniz.
Birincisi, envanter. Kurumunuzda hangi yapay zeka araçlarının, kim tarafından, hangi veriyle kullanıldığını bilmeden hiçbir şeyi yönetemezsiniz; görmediğiniz gölge kullanım en büyük risktir. İkincisi, risk sınıflaması. Her kullanımı yukarıdaki kademelere yerleştirin; müşteriyle konuşan ya da bir insan hakkında karar veren bir sistem, iç bir özet aracıyla aynı kefeye konmaz. Üçüncüsü, insan hesap verebilirliği. Her önemli yapay zeka kullanımının bir insan sahibi olmalı; sistemin çıktısından o kişi sorumludur ve yüksek etkili kararlarda insan denetimi zorunludur. Karar veren insandır; yapay zeka öneri getirir, sorumluluğu taşımaz.
Dördüncüsü, şeffaflık. Kullanıcı bir yapay zekayla konuştuğunu ya da bir içeriğin yapay zeka ürünü olduğunu bilmeli; bu hem yaklaşan kuralın gereği hem de güvenin temelidir. Beşincisi, tedarikçi denetimi. Bir çözüm sağlayıcının aracını devralırken, onun veriyi nasıl işlediğini, nerede sakladığını ve hangi uyum taahhütlerini verdiğini sorun; sorumluluk sizde kaldığına göre, sağlayıcının iddialarını sağlıklı bir şüpheyle sınamak sizin işinizdir. Bu beş alışkanlık, en gelişmiş uyum ekibine sahip olmayan bir kurumun bile bugün kurabileceği asgari sorumlu yapay zeka zeminidir.
Yönetişimi karar belgesine bağlamak
Serinin boyunca her fazın sonunda bir karar belgesi kurduk; hazırlık, süreç, temin, maliyet, kültür ve ölçüm. Şimdi bu belgeye risk ve uyum sütununu ekliyoruz. Bu sütun, bir yapay zeka girişiminin yalnız değer üretmesini değil, kurumu bir hukuki ya da itibar felaketine sürüklememesini güvenceye alır.
Bu sütunu birkaç soruyla doldurabilirsiniz. Bu kullanım hangi kişisel veriye dokunuyor ve KVKK açısından hukuki dayanağım net mi? Çıktısı Avrupa'daki bir kullanıcıya ulaşıyor mu, yani AB Yasası kapsamına girer miyim? Bu kullanımı risk kademelerine yerleştirdim mi ve yüksek etkili kararlarda insan denetimi var mı? Kullanıcılar bir yapay zekayla muhatap olduğunu biliyor mu? Ve bir şey ters gittiğinde, bu sistemin çıktısından hangi insan sorumlu? Bu soruların cevabı boşsa, o girişim değer üretse bile güvenli değildir.
Buradaki çerçeveyi bir cümlede toplayayım. Uyum, yeniliğin düşmanı değildir; kontrolsüz riskin panzehiridir. En hızlı büyüyen kurumlar, kuralları görmezden gelenler değil, kuralları erken içselleştirip onu bir rekabet avantajına çevirenlerdir. Müşterinin, düzenleyicinin ve çalışanın güvenini kazanmak, uzun vadede herhangi bir kısa yoldan daha değerlidir. Yönetişim, bu güveni sistemli biçimde üretmenin adıdır.
Kural çerçeveyi verir, sahne dersi verir. Sıradaki adım
Bu yazıyı üç cümlede toplayayım. Yapay zekanızın söylediği ve yaptığı her şeyden hukuken siz sorumlusunuz ve bu sorumluluk, yönetişimi bir bilgi işlem değil yönetim kurulu meselesi yapar. Türkiye'de KVKK ve onun yeni üretken yapay zeka rehberi bugünün çerçevesini, yaklaşan Türk kanunu ile çıktısı Avrupa'ya ulaşan kurumlar için AB Yapay Zeka Yasası ise yarının çerçevesini çiziyor. Ve sorumlu yapay zeka, envanterden risk sınıflamasına, insan hesap verebilirliğinden tedarikçi denetimine uzanan birkaç somut alışkanlıkla bugün kurulabilir.
Karar belgenize bu fazın risk ve uyum sütununu ekleyin. Hangi kişisel veriye dokunuyoruz ve dayanağımız ne? AB kapsamına giriyor muyuz? Kullanımı risk kademesine yerleştirdik mi, insan denetimi var mı? Kullanıcı yapay zekayla konuştuğunu biliyor mu? Ve çıktıdan hangi insan sorumlu?
Kurallar çerçeveyi verir, ama gerçek dersler sahada öğrenilir. Bir kuralı okumak başka şey, onu görmezden gelen bir kurumun başına geleni görmek başka şeydir. Serinin son yazısını, yani bu on üç parçalık yolculuğun kapanışını, tam da buna ayırdım. Dünyadan somut vakalara bakacağım; yapay zekayı gerçekten işe yaratan kurumlara ve pahalı biçimde başarısız olanlara. Başkalarının milyon dolarlık hatalarından bedavaya öğrenmenin tam zamanı.
Sıkça Sorulan Sorular
Yapay zeka botumuzun müşteriye söylediği yanlış bir şeyden hukuken sorumlu muyuz?
Kısa cevap, evet. 2024'te görülen Air Canada davasında şirket, sohbet botunun "ayrı bir hukuki varlık" olduğunu ve söylediklerinden sorumlu olmadığını savundu; mahkeme bu savunmayı reddetti ve şirketi botunun yanlış beyanından sorumlu tuttu. İlke nettir. Yapay zekanız sizin adınıza konuşan bir temsilcinizdir ve müşterinize söylediği bağlayıcıdır. "Bunu yapay zeka dedi" bir hukuki kaçış yolu değildir. Bu yüzden botunuzun ne söyleyebileceğini sınırlamak, çıktısını denetlemek ve sorumlusunu önceden belirlemek zorunludur.
KVKK yapay zeka için özel kurallar mı getiriyor?
6698 sayılı Kanun'un yapay zeka için bir istisnası yoktur; kişisel veri işleyen her yapay zeka kullanımı, tıpkı bir insan ekibi gibi kanunun tüm kurallarına tabidir. Bunun üstüne KVKK, 24 Kasım 2025'te üretken yapay zekaya özel yaklaşık altmış dört sayfalık bir rehber yayımladı. Bu rehber, kanunun modelin eğitilmesinden günlük kullanımına, şeffaflıktan yurt dışına veri aktarımına ve deepfake içeriğe kadar nasıl uygulandığını açıklıyor. Türkiye'de faaliyet gösteren bir kurum için bu rehber, uyumun en somut yol göstericisidir.
Türkiye'deyiz ve Avrupa'da ofisimiz yok. AB Yapay Zeka Yasası bizi neden ilgilendirsin?
Çünkü yasanın etkisi Avrupa sınırlarında bitmez. AB Yapay Zeka Yasası, çıktısı Avrupa Birliği içinde kullanılan yapay zeka sistemlerini, o sistemi işleten kurum nerede olursa olsun kapsar. Bu, kişisel verideki "Avrupalıyı hedefliyor musun" ölçütünden daha düşük bir eşiktir. Ürettiğiniz bir skor, bir karar ya da bir içerik bir Avrupalı kullanıcıya ulaşıyorsa, Avrupa'da hiç ofisiniz olmasa bile kapsama girebilirsiniz. Avrupalı müşteriye ya da kullanıcıya dokunan bir yapay zeka hizmetiniz varsa, bu yasayı ciddiye almanız gerekir.
AB yüksek riskli kuralları 2027'ye erteledi; o zaman uyumu erteleyebilir miyiz?
Hayır, ve bu yaygın bir yanlış okumadır. 2026'da yürürlüğe giren düzenlemeyle ertelenen yalnız yüksek riskli sistemlerin en ağır yükümlülükleridir. Yasaklı uygulamalar, yapay zeka okuryazarlığı yükümlülüğü, genel amaçlı modellere ilişkin kurallar ve cezalar bugün yürürlüktedir. Dahası, erteleme uyumu iptal etmez, yalnız ona hazırlanmak için zaman tanır. Yükümlülük geldiğinde uyumlu olmak, aylar süren bir hazırlık ister; o hazırlığı son aya bırakmak, en pahalı seçenektir.
Küçük bir şirketiz, kapsamlı bir uyum ekibimiz yok. Nereden başlamalıyız?
Büyük bir bütçe değil, birkaç somut alışkanlıkla başlayın. Önce bir envanter çıkarın; kurumda hangi yapay zeka aracının, kim tarafından, hangi veriyle kullanıldığını yazın. Sonra her kullanımı riske göre sınıflayın; müşteriyle konuşan ya da insan hakkında karar veren bir sistem, iç bir özet aracından çok daha fazla dikkat ister. Ardından her önemli kullanıma bir insan sahip atayın ve yüksek etkili kararlarda insan denetimini zorunlu kılın. Kullanıcıya yapay zekayla muhatap olduğunu bildirin ve tedarikçinizin veri taahhütlerini sorgulayın. Bu beş adım, en küçük kurumun bile bugün kurabileceği zemindir.
Yapay zeka yönetişimi yeniliği ve hızı yavaşlatmaz mı?
Kısa vadede işleri biraz yavaşlatır, ama bunu bir maliyet değil sigorta olarak düşünmek gerekir. Yönetişimsiz hız, ilk ciddi kazaya kadar sürer; bir veri ihlali, bir hukuki dava ya da bir itibar krizi, kazanılan bütün hızı bir anda geri alabilir. İyi yönetişim, hızın freni değil güvenlik kemeridir; asıl işi, kurumu felakete sürükleyecek birkaç kararı engellemek ve gerisini serbest bırakmaktır. Uzun vadede en hızlı büyüyen kurumlar, kuralı görmezden gelenler değil, onu erken içselleştirip müşteri ve düzenleyici güvenine çevirenlerdir.