Rehber
GDPR ve AB Yapay Zekâ Yasası kapsamında şirketinizde yapay zekâ ajanları
GDPR ve AB Yapay Zekâ Yasası, yapay zekâ ajanları çalıştıran bir şirketten ne istiyor, şu an neler geçerli ve 2027'de neler geliyor, verileriniz nereye gidiyor ve uyumlu tutması daha kolay bir ajan nasıl tasarlanır.
Güncelleme: 2026-09-15
Bir yapay zekâ ajanı e-postalarınızı, destek taleplerinizi ve müşterilerinizin mesajlarını okur. Sistemlerinizi çağırır ve bazen kendi başına hareket eder. Avrupa Birliği'nde bu, iki yasayı devreye sokar: halihazırda tamamen uygulanan GDPR ve aşamalı olarak uygulanmaya başlayan Yapay Zekâ Yasası.
Bu rehber, her birinin ajan çalıştıran bir şirketten ne istediğini ve her ikisine de uygun kalmayı kolaylaştıran bir ajanın nasıl tasarlanacağını anlatıyor.
Yapay Zekâ Yasası: şu an neler geçerli
Eylül 2026'da kontrol edildi. Bu, hukuki tavsiye değil, pratik bir genel bakıştır. Önemli kararlar için bir avukatla ya da veri koruma görevlinizle görüşün.
Yapay Zekâ Yasası 2024'te yürürlüğe girdi ve aşamalı olarak uygulanıyor. Temmuz 2026'da Digital Omnibus on AI ((AB) 2026/1744 sayılı Tüzük) yüksek riskli sistemlere ilişkin son tarihleri erteledi. Bugünkü takvim:
| Başlangıç tarihi | Geçerli olan |
|---|---|
| Şubat 2025 | Yasaklı yapay zekâ uygulamalarına ilişkin yasak |
| Ağustos 2025 | Genel amaçlı yapay zekâ modeli sağlayıcılarına yönelik yükümlülükler |
| 2 Ağustos 2026 | Şeffaflık yükümlülükleri (madde 50) |
| 2 Aralık 2026 | Yapay zekâ tarafından üretilen içeriğin işaretlenmesi (Ağustos 2026'dan önce piyasaya sürülmüş sistemler için) |
| 2 Aralık 2027 | Yüksek riskli yapay zekâ sistemlerine yönelik yükümlülükler (Ek III) |
| 2 Ağustos 2028 | AB ürün güvenliği mevzuatı kapsamındaki ürünlerde yer alan yapay zekâya yönelik yükümlülükler (Ek I) |
Şeffaflık: bu bugün sizin için geçerli
İnsanlar ajanınızla konuşuyorsa, açıkça belli olmadığı sürece bir yapay zekâ ile konuştuklarını bilmeleri gerekir. Web sitenizdeki bir destek botu, WhatsApp'taki bir asistan, e-postaları yanıtlayan bir ajan: her biri ne olduğunu söylemeli.
Ajanınızın ürettiği içeriklerin (sentetik ses, görüntü ya da video ve bazı durumlarda kamuoyunu bilgilendirmek için yayımlanan metinler) kendine ait etiketleme yükümlülükleri vardır.
Ajanınız yüksek riskli mi?
İş amaçlı ajanların çoğu yüksek riskli değildir. Destek taleplerini önceliklendiren, testlerinizi çalıştıran, rapor taslakları hazırlayan ya da ürününüzle ilgili soruları yanıtlayan bir ajan yüksek risk listesinin dışındadır.
Ajan, insanların hayatını şekillendiren kararlara yardım ediyorsa durum değişir. Yüksek riskli alanlar şunları kapsar:
- İstihdam: özgeçmişleri elemek, adayları sıralamak, performans değerlendirmek, terfi ya da işten çıkarma kararları vermek
- Kredi: bir kişinin kredi değerliliğini değerlendirmek
- Sigorta: hayat ve sağlık sigortası için fiyatlandırma ya da risk değerlendirmesi
- Eğitim: kabul, notlandırma, sınav sırasında öğrencilerin izlenmesi
- Temel hizmetler: kamu yardımlarına ve benzer hizmetlere erişime karar vermek
Ajanınız bu alanlardan birinde çalışıyorsa, Aralık 2027 için şimdiden plan yapın. Risk yönetimi, veri yönetişimi, teknik dokümantasyon, kayıt tutma, insan gözetimi ve doğruluk gerekliliklerinin hepsinin hazırlanması zaman alır.
GDPR: ajanınız kişisel veri işler
Bir ajanla ilgili hiçbir şey GDPR'den muaf değildir. Bir isim, e-posta adresi, telefon numarası ya da müşteri kaydı okuyorsa kişisel veri işliyordur ve olağan kurallar geçerlidir.
Bunun bir ajan için anlamı
- Her kullanım için bir hukuki dayanak. Müşteri verilerini tutma nedeniniz, bu verileri yeni bir amaçla bir yapay zekâ modeline vermeyi otomatik olarak kapsamaz.
- Yalnızca görevin ihtiyaç duyduğu veriler. Fatura sorularını yanıtlayan bir ajanın her istemde müşterinin tüm geçmişine ihtiyacı yoktur.
- Her veri işleyenle bir veri işleme sözleşmesi. Yapay zekâ modeli sağlayıcınız, barındırma sağlayıcınız ve mesajlaşma platformunuz kişisel verileri sizin adınıza işler.
- AB dışına aktarımlar. Bir istek AB dışındaki bir model sağlayıcısına ulaşıyorsa, bu uluslararası bir aktarımdır ve geçerli bir dayanak gerektirir.
- Risk yüksekse bir DPIA. Büyük ölçekte kullanılan yeni teknoloji, hassas veriler ya da sistematik izleme genellikle bir veri koruma etki değerlendirmesi (DPIA) gerektirir.
- Önemli kararlarda insan. İnsanlar, kendileri hakkında hukuki ya da benzer şekilde önemli sonuçlar doğuran ve yalnızca otomatik işlemeye dayanan kararlara tabi olmama hakkına sahiptir.
- Konuşma kayıtları ve bellek için saklama kuralları. Ajanlar konuşma günlükleri ve bellek dosyaları tutar. Bunların da diğer kayıtlar gibi bir saklama süresi olmalıdır.
- İlgili kişi hakları ajanı da kapsar. Biri verilerine erişmek ya da verilerinin silinmesini istediğinde, ajanın günlükleri ve belleği de yanıtın parçasıdır.
Verinin izini sürün
Her şeyden önce, tek bir isteğin hangi yolu izlediğini çizin. WhatsApp'ta müşterileri yanıtlayan bir ajan için şöyle görünebilir:
One request, end to end
- The customer sends a messageAnother company
The messaging platform
- It reaches the agentYour hosting, EU
The machine the agent runs on
- A routine request is handled locallyNobody else
A local model on the same machine
- A hard request goes to a cloud modelMay leave the EU
The provider's servers
- The agent acts in your applicationYou
Your application and database
- The conversation is storedNeeds a retention period
Logs and agent memory
Every step with another company in it needs a processing agreement. Every step that can leave the EU needs a transfer basis.
İçinde başka bir şirket olan her satır bir veri işleme sözleşmesi gerektirir. AB dışındaki her satır bir aktarım dayanağı gerektirir. Veri saklayan her satır bir saklama süresi gerektirir.
Uyumu kolaylaştıran tasarım tercihleri
- Kişisel verileri önce yerel bir model görsün. Kendi makinenizdeki küçük bir model, herhangi bir şey bulut modeline gönderilmeden önce istekleri sınıflandırabilir, alanları çıkarabilir ve isimleri ya da kimlik numaralarını kaldırabilir.
- Ajanı AB'de barındırın. Konuşma kayıtlarını, belleği ve kimlik bilgilerini tutan makine AB hukukuna tabi kalır.
- İş verilerine uygun API koşulları seçin. Her sağlayıcının API kullanımına ilişkin veri saklama ve eğitim koşullarını ve AB'de veri işlemenin mümkün olup olmadığını kontrol edin.
- Sonuç doğuran işlemler için onay isteyin. Fatura göndermek, bir kaydı değiştirmek, bir şikâyeti yanıtlamak: ajan hazırlasın, bir insan onaylasın.
- Denetim kaydı tutun. Her işlem için: onu hangi isteğin tetiklediği, ajanın neye karar verdiği, hangi aracı çağırdığı, neyin değiştiği ve kimin onayladığı.
- Ajana kapsamı sınırlı kimlik bilgileri verin. Mümkünse salt okunur, işin gerektirdiği sistemlerle sınırlı, kolayca iptal edilebilir.
- Mac mini'de yerel yapay zekâ modelleri: her bellek boyutunda neler çalışır, bunlardan ilki için
Kontrol listesi
Yapay Zekâ Yasası
- Kullanıcılara ajanla etkileşimde oldukları bildiriliyor
- Yapay zekâ tarafından üretilen içerik, gereken yerlerde etiketleniyor
- Herhangi bir kullanımın yüksek riskli bir alana girip girmediğini kontrol ettiniz
- Giriyorsa, Aralık 2027 için bir planınız var
GDPR
- Ajanın hangi kişisel verileri okuduğunu, sakladığını ve gönderdiğini biliyorsunuz
- Her kullanımın bir hukuki dayanağı var
- Her veri işleyenle veri işleme sözleşmesi imzalandı
- AB dışına aktarımların dayanağı var
- Riskin gerektirdiği yerde DPIA yapıldı
- Önemli sonuçlar doğuran kararlarda süreçte bir insan var
- Konuşma kayıtlarının ve belleğin bir saklama süresi var
- Erişim ve silme talepleri ajanın verilerini de kapsıyor
Operasyon
- Ajanın her işlemi kayda alınıyor
- Sonuç doğuran işlemler onay gerektiriyor
- Kimlik bilgileri kapsamı sınırlı ve iptal edilebilir
- Gizlilik politikanız kullandığınız yapay zekâ sağlayıcılarını belirtiyor
Neden MacDuty
- AB'de barındırılır. Mac'iniz ve üzerindeki her şey, bir AB şirketi tarafından işletilerek Avrupa Birliği'nde kalır.
- Talep üzerine veri işleme sözleşmesi.
- Her Mac'te tek müşteri. Ajanınızın konuşma kayıtları, belleği ve kimlik bilgileri başka kimsenin kullanmadığı donanımda durur.
- Aynı makinede yerel modeller. Rutin istekleri ve içlerindeki kişisel verileri üçüncü taraf yapay zekâ hizmetlerinden uzak tutun.
Kaynaklar
Bugün stokta
Bunlar şu anda kabinde. Birini seçin, neyle geldiğine bakın ve hesabınızı yalnızca sipariş verirken oluşturun.
Kabinler kontrol ediliyor
Size ait bir Mac mini
Bir yapılandırma seçin. Stokta yoksa e-postanızı bırakın, kabine girdiği gün size yazalım.
Yıllık: aylık ödemeye göre en az %19 daha az
Sıradaki