AB Yapay Zekâ Yasası (AI Act): Fabrikada Kamera Analitiği

AI Act Türkiye'deki fabrikayı kapsar mı? Risk sınıfları, iş yerinde duygu tanıma yasağı, İSG kamera analitiği, KVKK ve hazırlanacak uyum belgeleri.

Yazar: CX Teknoloji Uzman Ekibi

AB Yapay Zekâ Yasası, yapay zekâ sistemlerini risk düzeyine göre sınıflandırır ve yükümlülüğü bu sınıfa bağlar: bazı uygulamalar yasaktır, yüksek riskli sistemler dokümantasyon, veri yönetişimi ve insan gözetimi ister, bir kısmı yalnız şeffaflık yükümlülüğü taşır. Yapay zekâ artık yalnızca teknik değil hukuki bir alan. AB Yapay Zekâ Yasası risk bazlı bir çerçeve kuruyor: yasak uygulamalar, yüksek riskli sistemler ve şeffaflık yükümlülüğü olan sistemler. İş yerinde kullanılan analitik, bu sınıflandırmadan bağımsız değil.

Bu yazı sahada kamera analitiği kuran bir mühendislik ekibinin mevzuatı nasıl okuduğunu anlatır; genel bilgi amaçlıdır, hukuki danışmanlık değildir. Somut bir proje için kendi hukuk biriminizin ya da danışmanınızın görüşü esastır.

Risk kademeleri nasıl işliyor?

Yasa sistemleri kademeli bir yapıda ele alır. En üstte kabul edilemez risk sayılan, yani yasaklanan uygulamalar vardır; kişileri sosyal davranışlarına göre puanlayan sistemler ve iş yeri ile eğitim kurumlarında duygu tanıma, tıbbi ve güvenlik amaçlı dar istisnalar dışında, bu gruptadır. İkinci kademe yüksek riskli sistemlerdir; kritik altyapı, eğitim, istihdam ve çalışan yönetimi gibi alanlarda kullanılan ya da düzenlenmiş bir ürünün güvenlik bileşeni olan sistemler bu gruba girebilir. Üçüncü kademede şeffaflık yükümlülüğü olan sistemler bulunur: kullanıcının bir yapay zekâyla etkileşimde olduğunu bilmesi ya da yapay olarak üretilmiş içeriğin işaretlenmesi gibi. Geri kalan uygulamaların büyük çoğunluğu minimal risklidir ve ek bir yükümlülük getirmez.

Hangi kullanım hangi sınıfta?

İş yerinde çalışan davranışını değerlendiren sistemler yüksek risk kategorisine yaklaşır; anonim sayım ve güvenlik ihlali tespiti ise daha hafif yükümlülüklerle çalışır. Duygu tanıma gibi uygulamalar iş yerinde yasaklı kategoriye girmektedir.

Ayrım çoğu zaman teknolojide değil, kullanım amacındadır. Aynı kamera ve aynı model, bir bölümün anonim KKD uyum oranını raporladığında bir şeydir; bu veriyi tek tek çalışanların performans değerlendirmesine ya da disiplin kararına bağladığında başka bir şey. Çalışanlarla ilgili karar almak, görev dağıtmak ya da performans ve davranışı izleyip değerlendirmek için kullanılan sistemler yasanın yüksek riskli alanları arasında sayılır. Bu yüzden bir İSG analitiği projesinde ilk soru “model neyi tespit ediyor?” değil, “çıktı kimin hakkında hangi karara girdi oluyor?” olmalıdır. Biyometrik tanımlama ve biyometrik sınıflandırma ayrıca sıkı kurallara tabidir; yüz tanıma kullanmayan ve kişiyi tanımlamayan bir mimari, bu alanın dışında kalmayı kolaylaştırır.

Yükümlülük kimde: sağlayıcı ve kullanan kuruluş

Yasa, sistemi geliştirip piyasaya süren sağlayıcı ile sistemi kendi faaliyetinde kullanan kuruluşu ayırır. Yüksek riskli bir sistemde teknik dokümantasyon, uygunluk değerlendirmesi ve kalite yönetimi ağırlıklı olarak sağlayıcıya düşer. Kullanan kuruluş ise sistemi kullanım talimatına uygun çalıştırmak, insan gözetimini yetkin kişilere vermek, girdi verisinin amaca uygun olmasını sağlamak, kayıtları saklamak ve çalışanları bilgilendirmekle yükümlüdür. Yasanın etkisi AB sınırlarıyla da sınırlı değildir: sistem AB pazarında sunuluyorsa ya da çıktısı AB'de kullanılıyorsa Türkiye'deki bir sağlayıcı da bu kurallarla karşılaşabilir. Avrupa'da tesisi olan ya da Avrupa'ya ürün satan sanayi firmaları için bu, doğrudan bir tedarik zinciri sorusudur.

Uygulama takvimi

Yasa 12 Temmuz 2024'te AB Resmî Gazetesi'nde yayımlandı ve 1 Ağustos 2024'te yürürlüğe girdi; hükümleri kademeli olarak uygulanıyor. Yüksek riskli sistemlere ilişkin tarihler, 24 Temmuz 2026'da yayımlanıp 27 Temmuz 2026'da yürürlüğe giren Dijital Omnibus düzenlemesiyle, (AB) 2026/1744, ertelendi. Aşağıdaki tablo iki metnin uygulama maddesine (Madde 113) göre hazırlandı ve fabrika uygulamalarını ilgilendiren tarihleri içeriyor.

Bölüm ya da vardiya bazında anonim rapor üreten bir İSG analitiği için AI Act açısından bugün uygulanan başlıca hükümler yasaklar ve okuryazarlık hükmüdür. Tek tek çalışanlar hakkında karara girdi üreten bir sistemde yüksek risk yükümlülükleri 2 Aralık 2027'de başlar. Takvim AB düzeyinde yeniden değişebilir; bir projede “hangi hüküm bugün geçerli?” sorusu yine güncel resmî metne bakılarak cevaplanmalıdır. Mühendislik tarafında takvimi beklemeden yapılabilecek çok şey var: aşağıdaki belgeler zaten iyi bir projenin çıktısıdır ve bugün hazırlanırsa, ileride uyum çoğu zaman mevcut dosyayı güncellemek anlamına gelir.

Türkiye'de durum

Türkiye'de yapay zekâya özgü, AB Yasası'na denk kapsamlı bir kanun bu yazının güncellendiği tarihte (Ekim 2026) yürürlükte değil; konu kanun teklifleri düzeyinde gündemde. Politika tarafında Türkiye Yapay Zekâ Eylem Planı (2026-2030), 2026/9 sayılı Cumhurbaşkanlığı Genelgesi olarak 18 Ağustos 2026'da Resmî Gazete'de yayımlandı. Kamera görüntüsü kişisel veri olduğu için bugün uygulanan temel çerçeve 6698 sayılı Kişisel Verilerin Korunması Kanunu'dur: aydınlatma yükümlülüğü, işlemenin hukuki sebebi, amaçla sınırlılık, saklama süresi ve veri güvenliği tedbirleri. İş yerinde kamera analitiği için ayrıca iş sağlığı ve güvenliği mevzuatı ile çalışanların bilgilendirilmesine ilişkin iş hukuku kuralları devreye girer. Ayrıntılar için görüntü işlemede KVKK yazısına bakılabilir.

Uyumun pratik karşılığı

Risk değerlendirme dokümanı, veri yönetişimi kaydı, insan gözetimi tanımı, doğruluk ve sağlamlık raporu, kullanıcı bilgilendirmesi. Bunların hepsi zaten iyi mühendislik pratiğidir; mevzuat bunları belgelemeyi zorunlu kılıyor.

Pratikte bu belgeler proje dosyasının parçası olarak üretilir. Risk değerlendirmesi sistemin amacını, kimin hakkında hangi çıktıyı ürettiğini ve olası zararları yazar. Veri yönetişimi kaydı eğitim verisinin nereden geldiğini, nasıl etiketlendiğini ve hangi saha koşullarını temsil ettiğini gösterir. İnsan gözetimi tanımı, hangi alarmın bir insan onayı olmadan işleme alınmayacağını belirler. Doğruluk raporu sahada ölçülmüş kesinlik ve duyarlılığı, bilinen sınırlarla birlikte verir. Kayıt tutma ise her otomatik olayın zaman damgası ve model sürümüyle izlenebilmesidir; sıfır güven yaklaşımıyla görüntüye kimin, ne zaman eriştiği de bu kayda eklenir.

Bizim yaklaşımımız

Sistemlerimizi tasarım aşamasında bu çerçeveye göre kuruyoruz: kişi puanlama yok, anonim raporlama esas, her otomatik karar için insan gözetimi tanımlı ve her modelin doğruluk raporu belgeli. Uyum sonradan eklenen bir katman değil, mimarinin parçası.

Varsayılan kurulumda görüntü tesis içindeki edge sunucuda işlenir, buluta ham video gönderilmez ve yüz tanıma kullanılmaz. Satın alma aşamasında herhangi bir tedarikçiye sorulacak sorular da buradan çıkar: model hangi veriyle eğitildi, sahada doğruluk nasıl ölçüldü, alarm hangi insan onayından geçiyor, veri nerede işleniyor, çıktı bireysel mi anonim mi? Bu soruların yazılı cevabı olmayan bir sistem, mevzuat netleştiğinde yeniden tasarım gerektirebilir.

Sık sorulan sorular

Türkiye'deki bir fabrika AB Yapay Zekâ Yasası'na tabi mi?

Duruma bağlıdır. Yasa, sistem AB pazarında sunuluyorsa ya da çıktısı AB'de kullanılıyorsa AB dışındaki sağlayıcı ve kullanıcılara da uygulanabilir. Yalnız Türkiye'deki tesiste, Türkiye'deki çalışanlar için kullanılan bir sistemde temel çerçeve bugün 6698 sayılı KVKK ve iş mevzuatıdır. AB'de tesisi ya da müşterisi olan firmalar için durum ayrıca değerlendirilmelidir. Bu genel bilgidir, hukuki danışmanlık değildir.

KKD ve İSG kamera analitiği yüksek riskli sistem sayılır mı?

Belirleyici olan kullanım amacıdır. Bölüm ya da vardiya bazında anonim uyum oranı raporlayan ve alarmı insan onayına bırakan bir sistem ile tek tek çalışanların performans veya disiplin kararına girdi üreten bir sistem farklı değerlendirilir. İkincisi, yasanın çalışan yönetimine ilişkin yüksek riskli alanına yaklaşır. Kesin sınıflandırma için güncel resmî metin ve hukuk görüşü esas alınmalıdır.

Kamera analitiğinde çalışanların duygu durumu analiz edilebilir mi?

AB Yapay Zekâ Yasası, iş yerinde duygu tanımayı tıbbi ve güvenlik amaçlı dar istisnalar dışında yasaklı uygulamalar arasında sayar. Yorgunluk ya da dikkat gibi konularda bile yöntemin duygu çıkarımına dönüşüp dönüşmediği dikkatle değerlendirilmelidir. Bizim sistemlerimizde duygu tanıma ve yüz tanıma kullanılmaz; analitik, KKD, bölge ihlali ya da düşme gibi gözlemlenebilir olaylara odaklanır.

AI Act'in yüksek riskli sistem kuralları ne zaman uygulanacak?

(AB) 2026/1744 sayılı Dijital Omnibus düzenlemesiyle ertelendi: Ek III'teki yüksek riskli sistemler, yani istihdam ve çalışan yönetimi gibi alanlarda kullanılanlar için 2 Aralık 2027; Ek I'deki ürün güvenliği mevzuatı kapsamındaki sistemler için 2 Ağustos 2028. İş yerinde duygu tanıma yasağı dahil yasak uygulamalar 2 Şubat 2025'ten beri uygulanıyor. Bu genel bilgidir, hukuki danışmanlık değildir.

Uyum için hangi belgeleri hazırlamak gerekir?

Genel olarak: sistemin amacını ve olası zararları anlatan risk değerlendirmesi, eğitim verisinin kaynağını ve temsil gücünü gösteren veri yönetişimi kaydı, insan gözetimi tanımı, sahada ölçülmüş doğruluk raporu, olay ve erişim kayıtları ile çalışan bilgilendirmesi. Bu belgelerin çoğu iyi yürütülmüş bir projenin doğal çıktısıdır; eksik olanlar kurulumdan önce tamamlanmalıdır.