AB Yapay Zeka Yasası Siber Güvenlik Uyum Kontrol Listesi (2026)

AB’nin Yapay Zeka Yasası, yapay zeka için dünyanın ilk kapsamlı yasasıdır. Eylül 2026 itibarıyla, genel hükümleri ve şeffaflık kuralları halihazırda yürürlükte olup, 2026 “Yapay Zeka Omnibus” basitleştirme paketi, çoğu yüksek riskli sistem için uyum süresini 2 Aralık 2027’ye ertelemiştir. AB’de yapay zeka geliştiren, uygulayan veya yapay zeka çıktıları kullanılan herhangi bir kuruluş için, bu uzatılmış süre beklemek için değil, şimdi hazırlanmak için bir nedendir. Yasa, uyumsuzluk durumunda 35 milyon Euro’ya veya küresel yıllık cironun %7’sine kadar ulaşan cezalarla bağlayıcı yükümlülükler getirmektedir.

Bu sadece başka bir uyum engeli değil; akıllı sistemleri inşa etme ve güvence altına alma şeklimizde temel bir değişimdir. Çalışan yapay zeka ve siber güvenlik profesyonelleri için bu yeni kuralları anlamak isteğe bağlı değildir. Bu kılavuz, Eylül 2026 itibarıyla en önemli konulara odaklanarak, AB Yapay Zeka Yasası’nın siber güvenlik gereksinimlerini yönetmek için pratik, uygulanabilir bir kontrol listesi sunmaktadır.

Bu Gereksinimleri Nasıl Değerlendirdik?

ZEKAI, tüm uyum çerçevelerini ve araçlarını bağımsız olarak inceler. Tavsiyelerimiz, (AB) 2024/1689 Yönetmeliği’nin resmi metnine, Avrupa Komisyonu’ndan gelen ilgili rehberliğe ve bu yükümlülükleri karşılamaya yardımcı olabilecek araçlara ilişkin analizimize dayanmaktadır. Editöryal yerleşim için ödeme kabul etmiyoruz. Amacımız, doğrulanabilir gerçeklere dayalı olarak uyuma giden açık, uygulanabilir bir yol sunmaktır.

AB Yapay Zeka Yasası Nedir? Siber Güvenlik Odaklı Bir Genel Bakış

Yapay Zeka Yasası, yapay zeka sistemlerini dört kategoriye ayırarak risk tabanlı bir yaklaşım benimser. Sisteminizin hangi kategoriye girdiğini anlamak, ilk ve en kritik adımdır.

• Kabul Edilemez Risk: Bu sistemler tamamen yasaklanmıştır. Buna kamu otoriteleri tarafından sosyal puanlama için yapay zeka, kamusal alanlarda gerçek zamanlı uzaktan biyometrik tanımlama (dar istisnalar dışında) ve güvenlik açıklarını istismar eden manipülatif yapay zeka dahildir.
• Yüksek Risk: Bu, en sıkı düzenlenen kategori olup, bu kılavuzun odak noktasıdır. Bu sistemler yasaklanmamıştır ancak piyasaya sürülmeden önce ve sonra katı gereksinimleri karşılamalıdır. Genellikle iki gruba ayrılırlar:
• Mevcut AB güvenlik mevzuatı kapsamındaki ürünlerde (örn. tıbbi cihazlar, arabalar, oyuncaklar) güvenlik bileşeni olarak kullanılan yapay zeka sistemleri.
• Kritik altyapı yönetimi, eğitim, istihdam, temel hizmetlere erişim, kolluk kuvvetleri ve adalet yönetimi dahil olmak üzere Ek III’te listelenen sekiz belirli alanda kullanılan yapay zeka sistemleri.
• Sınırlı Risk: Bu sistemler şeffaflık yükümlülüklerine tabidir. Örneğin, kullanıcılar bir sohbet botuyla etkileşimde bulunduklarında veya içeriğin yapay zeka tarafından üretildiğini (“deep fake”) bilmelidir.
• Minimal veya Risksiz: Yapay zeka destekli video oyunları veya spam filtreleri gibi yapay zeka sistemlerinin büyük çoğunluğu bu kategoriye girer ve yeni yasal yükümlülüklere tabi değildir.

AB Yapay Zeka Yasası’nın yasaklanmış yapay zeka uygulamalarına ilişkin kurallarını ihlal etmenin azami cezası, hangisi daha yüksekse, 35 milyon Euro’ya veya bir şirketin dünya çapındaki toplam yıllık cirosunun %7’sine kadar çıkabilir.

Yüksek Riskli Yapay Zeka İçin Temel Siber Güvenlik Gereksinimleri (Madde 15)

Siber güvenlik profesyonelleri için Yapay Zeka Yasası’nın 15. Maddesi en önemli bölümdür. Yüksek riskli yapay zeka sistemlerinin yaşam döngüleri boyunca uygun düzeyde “doğruluk, sağlamlık ve siber güvenlik” sağlamak üzere tasarlanması ve geliştirilmesini zorunlu kılar. Bu belirsiz bir öneri değil; somut teknik ve organizasyonel yükümlülükler bütünüdür.

İşte 15. Maddenin temel sütunları:

• Doğruluk: Sağlayıcılar, sistemin doğruluk seviyelerini ve bunu ölçmek için kullanılan belirli metrikleri kullanım talimatlarında tanımlamalı ve beyan etmelidir. Bu, kullanıcıların ve düzenleyicilerin performansı net bir kıyaslamaya göre doğrulamasına olanak tanır.
• Sağlamlık: Sistemler hatalara, arızalara veya tutarsızlıklara karşı dayanıklı olmalıdır. Buna yedekleme veya arıza emniyetli planlar gibi teknik yedekliliğe sahip olmak ve insanlarla veya diğer sistemlerle etkileşimlerden kaynaklanan riskleri ele almak dahildir. Dağıtımdan sonra öğrenen sistemler için sağlayıcılar, yanlı geri bildirim döngüleri riskini azaltmalıdır.
• Siber Güvenlik: Sistemler, yetkisiz üçüncü tarafların güvenlik açıklarını istismar etme girişimlerine karşı dayanıklı olmalıdır. Teknik çözümler risklere uygun olmalı ve veri zehirlenmesi, model zehirlenmesi ve düşmanca saldırılar gibi yapay zeka güvenlik açıklarını özel olarak ele almalıdır.

Bu gereksinimler, yalnızca temel modele değil, yapay zeka sisteminin bütününe uygulanır. Bu, sistemle bağlantılı tüm altyapının, veri işlem hatlarının ve API’lerin kapsam dahilinde olduğu anlamına gelir.

Pratik Bir Siber Güvenlik Uyum Kontrol Listesi

Uyum, tek seferlik bir görev değil, sürekli bir süreçtir. Çabalarınıza rehberlik edecek adım adım bir kontrol listesi aşağıdadır.

1. Yapay Zeka Sisteminizi Sınıflandırın: Öncelikle, sağladığınız veya uyguladığınız herhangi bir yapay zeka sisteminin, Madde 6 ile Ek I ve III’teki kriterlere göre “yüksek riskli” kategoriye girip girmediğini belirleyin. Avrupa Komisyonu, bu sınıflandırmaya yardımcı olmak için pratik örnekler içeren yönergeler yayınlamıştır.
2. Bir Risk Yönetim Sistemi Kurun (Madde 9): Yapay zeka sisteminin tüm yaşam döngüsü boyunca işleyen bir risk yönetim sistemi uygulayın ve belgeleyin. Bu süreç, sağlık, güvenlik ve temel haklara yönelik öngörülebilir riskleri tanımlamalı, tahmin etmeli ve değerlendirmeli, ardından bunları yönetmek için önlemler almalıdır.
3. Veri Yönetişimini Sağlayın (Madde 10): Yüksek riskli sistemi eğitmek, doğrulamak ve test etmek için kullanılan tüm veriler için, bunların ilgili, temsili ve mümkün olduğunca hatasız ve eksiksiz olduğundan emin olmalısınız. Buna veri kümelerindeki olası yanlılıkları incelemek ve azaltmak da dahildir.
4. Sağlamlık ve Siber Güvenliği Uygulayın (Madde 15):
5. Tüm yapay zeka sistemi için bir güvenlik risk değerlendirmesi yapın.
6. Düşmanca saldırılara, veri zehirlenmesine ve diğer yapay zekaya özgü güvenlik açıklarına karşı dayanıklılık sağlamak için teknik önlemler uygulayın.
7. Hataları ve arızaları gidermek için arıza emniyetli planlar ve teknik yedeklilikler geliştirin.
8. Öğrenen sistemler için, geri bildirim döngülerini ele almak ve azaltmak için önlemler uygulayın.
9. İnsan Gözetimini Sağlayın (Madde 14): Sistemi etkili insan gözetimine izin verecek şekilde tasarlayın. Buna, insan denetçinin sistemin yeteneklerini ve sınırlamalarını anlamasına ve ne zaman müdahale edeceğine veya sistemin çıktısını ne zaman reddedeceğine karar vermesine olanak tanıyan net arayüzler sağlamak dahildir.
10. Teknik Dokümantasyon ve Logları Tutun (Madde 11, 12, 19): Sistemi piyasaya sürmeden önce, uyumu gösteren ayrıntılı teknik belgeler oluşturun. Sistem ayrıca, sistemin işleyişinin izlenebilirliğini sağlamak için çalışırken olayları (“loglar”) otomatik olarak kaydetme yeteneğine sahip olmalıdır.
11. Uygunluk Değerlendirmesi Yapın ve Kaydedin: Çoğu yüksek riskli sistem için sağlayıcılar, uyumu belgelemek üzere bir öz değerlendirme yapmalıdır. Uygunluk beyan edildikten sonra, sistemi Komisyon tarafından yönetilen halka açık AB veri tabanına kaydetmelisiniz.

Uyum Sürecini Otomatikleştirmeye ve Yönetmeye Yardımcı Araçlar

Hiçbir araç tek başına uyumu garanti edemez, ancak modern güvenlik platformları Yapay Zeka Yasası’nın teknik gereksinimlerini karşılamak için kritik yetenekler sağlayabilir. Anahtar, tüm yapay zeka sistemi ve ortamı genelinde görünürlük, izleme ve koruma sağlayan araçlardan yararlanmaktır.

Tabloyu yana kaydırın →

Yapay Zeka Yasası’nın Ötesinde: NIST AI RMF ve OWASP LLM Top 10

Yapay Zeka Yasası’na uyum boşlukta gerçekleşmez. Yapay zeka ile çalışan her siber güvenlik profesyoneli için iki başka çerçeve kritiktir:

• NIST AI Risk Yönetim Çerçevesi (AI RMF): ABD Ulusal Standartlar ve Teknoloji Enstitüsü’nün bu gönüllü çerçevesi, yapay zeka risklerini Yönetmek, Haritalamak, Ölçmek ve Yönetmek için yapılandırılmış bir süreç sağlar. AB Yapay Zeka Yasası bağlayıcı bir yasa iken NIST AI RMF gönüllü bir rehberlik olsa da, hedefleri uyumludur. AI RMF’yi kullanmak, Yapay Zeka Yasası’nın 9. Maddesi’nin gerektirdiği risk yönetim sistemini uygulamak için pratik, operasyonel bir plan sağlayabilir.
• OWASP Büyük Dil Modelleri İçin En İyi 10 (LLM Top 10): Open Web Application Security Project’in bu projesi, LLM’leri kullanan uygulamalardaki en kritik güvenlik açıklarını listeler. Prompt Enjeksiyonu, Eğitim Verisi Zehirlenmesi ve Hassas Bilgi Açığa Çıkarma gibi yapay zekaya özgü riskleri içerir. Güvenlik testlerinizi OWASP LLM Top 10 ile hizalamak, Yapay Zeka Yasası’nın 15. Maddesi’nde belirtilen yapay zekaya özgü siber güvenlik tehditlerini ele almanın somut bir yoludur.

Bu çerçeveleri uyum stratejinize entegre etmek, yasal gereksinimleri karşılayan ve gerçekten güvenilir yapay zeka sistemleri oluşturan kapsamlı, derinlemesine bir savunma yaklaşımı sağlar. Yapay zeka düzenlemesinin yeni çağına hazırlanırken, amacın sadece bir kutuyu işaretlemek değil, sürdürülebilir bir yapay zeka güvenliği ve yönetişim kültürü oluşturmak olduğunu unutmayın. Daha fazla kaynak için, yapay zeka ve siber güvenlik profesyonelleri için merkezimizi ziyaret edin.