Yapay Zeka Sistemleri İçin Bir İzin Rejimi Gerekli midir?

Yapay zeka sistemleri, bireylerin en yakınlarıyla dahi paylaşmaktan çekineceği bilgilere giderek daha sık muhatap olmaktadır. Bir evliliğin bitip bitmeyeceği, bir ebeveynle yaşanan kırgınlık, geceleri uyku kaçıran bir kaygı, cinsel hayata ilişkin bir soru, kaybedilen bir yakının ardından yaşanan yas ya da bir sözleşmenin imzalanıp imzalanmayacağı; bunların tamamı bugün sohbet tabanlı sistemlere olağan biçimde aktarılmakta, verilen cevaplar ise çoğu zaman gerçek kararları şekillendirmektedir. Bu yönüyle yapay zeka sağlayıcıları fiilen birer güven kurumu işlevi görmektedir. Bununla birlikte bu sağlayıcıların büyük bölümü, herhangi bir ön izne tabi olmaksızın kamuya hizmet sunabilmektedir.

Güvenin yoğunlaştığı yerde izin aranır

Hukuk düzenleri, kamu güveninin tek bir noktada toplandığı faaliyetleri sıradan ticari faaliyet olarak değerlendirmemektedir. Bunun en yerleşik örneği bankacılıktır. 5411 sayılı Bankacılık Kanunu uyarınca bir bankanın kurulması, Bankacılık Düzenleme ve Denetleme Kurulu'nun en az beş üyesinin aynı yöndeki oyuyla verilen kuruluş iznine bağlıdır; faaliyete geçilebilmesi için ayrıca faaliyet izni gerekmektedir. Kanun, iznin gerçeğe aykırı beyanlarla alınmış olması da dahil olmak üzere, iznin iptal edileceği halleri ayrıca düzenlemektedir.

İzin yalnızca başlangıçtır: ardından sermaye yeterliliği, ortak ve yöneticilerin uygunluk incelemesi, raporlama yükümlülükleri ve yerinde denetimler gelmekte; olumsuz bir durumda Tasarruf Mevduatı Sigorta Fonu mevduat sahipleri ile kayıp arasında güvence işlevi üstlenmektedir. Sermaye piyasasında aracı kurumların Sermaye Piyasası Kurulu'ndan izin alması ve yatırımcıların Yatırımcı Tazmin Merkezi'nin güvencesinden yararlanması da aynı mantığın ürünüdür.

Bu yapı, ilgili sektörde çalışanların kötü niyetli olduğu yönünde bir varsayıma dayanmamaktadır. Yapının varlık nedeni, faaliyetin kendisinin kamu güvenini tek bir noktada toplaması ve bu şekilde yoğunlaşan güvenin bir denge mekanizmasını gerektirmesidir.

Gelişmiş yapay zeka sistemlerinde yoğunlaşan unsurlar

Gelişmiş yapay zeka sistemleri üç unsuru aynı anda bünyesinde toplamaktadır. Bunlardan ilki veridir: ruh sağlığına ilişkin notlar, aile içi uyuşmazlıklar, cinsel yönelim ve ilişki bilgileri, sağlık geçmişi ve kimlik bilgileri, çoğu zaman gizlilik koşullarını hiç incelememiş kullanıcılar tarafından her gün bu sistemlere aktarılmaktadır. Bu bilgilerin önemli bir kısmı, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun özel nitelikli kişisel veri olarak ayrıca koruduğu sağlık ve cinsel hayat verilerinden oluşmaktadır. İkincisi etkidir: milyonlarca soruyu yanıtlayan bir sistem, sağlık, para, aile ve özel hayat alanlarında milyonlarca kararı biçimlendirmektedir. Üçüncüsü ise ölçekli hatadır: tek bir uzmanın hatası genellikle tek bir danışanı etkilerken, hatalı bir model güncellemesi aynı gün içinde tüm kullanıcılara ulaşabilmektedir.

Söz konusu riskler yalnızca kuramsal nitelikte değildir. ABD'nin Illinois eyaleti Ağustos 2025'te, lisanslı bir uzmanın katılımı olmaksızın yapay zeka sistemlerinin terapi hizmeti vermesini veya terapiye ilişkin karar almasını yasaklayan Wellness and Oversight for Psychological Resources Act'i kabul etmiştir. Eyalet yasa koyucusu teknolojinin kendisini yasaklamamıştır. Bunun yerine, toplumun halihazırda izne bağladığı bir rolü üstlenen sistemin, yalnızca bir yazılım olması nedeniyle o rolün kurallarının dışında kalamayacağını ortaya koymuştur.

Cinsellik alanında da benzer bir eğilim gözlenmektedir: Avrupa Birliği, Yapay Zeka Tüzüğü'nde 2026 yılında yaptığı değişiklikle, kişilerin rızası dışında cinsel içerikli görüntü üreten uygulamalara yönelik yeni bir yasak getirmiştir; yasak 02.12.2026 tarihinden itibaren uygulanacaktır.

Düzenlemenin güncel görünümü

Avrupa Birliği, izin rejimi yerine risk temelli bir yaklaşımı benimsemiştir. Yapay Zeka Tüzüğü (2024/1689 sayılı AB Tüzüğü), belirli uygulamaları doğrudan yasaklamakta, yüksek riskli sistemleri ise uygunluk değerlendirmesine, belgelendirme ve insan gözetimi yükümlülüklerine tabi kılmaktadır. Bu çerçeve dahi uygulamaya geçiş için ek süreye ihtiyaç duymuştur: 2026/1744 sayılı AB Tüzüğü (Digital Omnibus on AI) ile yüksek riskli sistemlerin büyük bölümüne ilişkin yükümlülükler 02.12.2027 tarihine, düzenlenmiş ürünlere gömülü sistemlere ilişkin yükümlülükler ise 02.08.2028 tarihine ertelenmiştir.

ABD'de lisans veren bir kurumun oluşturulması, Mayıs 2023'te gerçekleştirilen bir Senato oturumunda, dikkat çekici biçimde önde gelen yapay zeka geliştiricilerinden birinin üst yöneticisi tarafından önerilmiştir. Ancak bugüne kadar federal düzeyde bir lisans makamı kurulmamıştır. Türkiye'de ise Türkiye Yapay Zeka Eylem Planı (2026-2030), 18.08.2026 tarihli Resmi Gazete'de yayımlanan 2026/9 sayılı Cumhurbaşkanlığı Genelgesi ile uygulamaya konulmuştur. Yapay zekaya özgü kanun teklifleri Türkiye Büyük Millet Meclisi'nde beklemekte olup yürürlükte müstakil bir yapay zeka kanunu henüz bulunmamaktadır.

Dolayısıyla temel soru pek çok hukuk düzeninde hala yanıt beklemektedir: belirli yapay zeka sistemlerinin kamuya hizmet sunmadan önce izin alması gerekli midir?

İzin, ancak hangi sistemler için?

İzin rejimleri ayrım gözetmeksizin uygulanmamaktadır; sınır, faaliyetin kamu üzerindeki etkisine göre çizilmektedir.

Yapay zeka bakımından bu sınırın üç soru üzerinden belirlenmesi mümkündür. İlk olarak, sistem ruh sağlığı, cinsel hayat, aile ilişkileri veya sağlık gibi hassas verileri büyük ölçekte işlemekte midir? İkinci olarak, hekimlik, psikoterapi, avukatlık veya yatırım danışmanlığı gibi insanlar için halihazırda izne bağlı bir alanda mı faaliyet göstermektedir? Üçüncü olarak, tek bir kuruluşun kendi denetimi altında kullanılmak yerine genel kamuya mı sunulmaktadır? Bir yazım denetleyicisi bu üç soruya da olumsuz yanıt verecektir. Milyonlarca kullanıcıyla ruh halleri, ilişkileri ve mahrem hayatları üzerine sohbet eden bir arkadaşlık uygulaması ise üç soruya da olumlu yanıt verecektir.

Sınırın öbür tarafında kalan sistemler için bir izin rejimi, düzenleyici hukukun tanıdığı unsurlardan oluşacaktır. Giriş izni aşamasında sağlayıcının ortaklık ve yönetim yapısı, verilerin tutulduğu yer ve olay bildirim usulü incelenecektir. Sürekli denetim; bağımsız denetimleri, denetim makamının fiilen inceleyebileceği kayıtları ve önemli model değişikliklerinin bildirilmesi yükümlülüğünü kapsayacaktır. Mali dayanıklılık, zarar görenler için sigorta ya da tazmin mekanizması biçiminde kurgulanacaktır. Son olarak gerçek bir yaptırım öngörülecektir: sınırlandırılabilen veya geri alınabilen bir izin.

İtirazların ciddiyetle değerlendirilmesi gerekmektedir

En güçlü itiraz, izin rejimlerinin piyasadaki büyük oyuncuların konumunu pekiştirme eğiliminde olduğudur. Pazar liderleri izin rejimi talep ettiğinde, daha küçük rakiplerin ve açık kaynak projelerin, kapının kendilerini dışarıda bırakmak amacıyla inşa edildiği yönünde haklı bir kaygı duyması anlaşılırdır. İkinci itiraz hıza ilişkindir: izin süreçleri aylar içinde ilerlerken modeller haftalar içinde değişmektedir. Üçüncü itiraz ise yetki alanına ilişkindir: İstanbul'da indirilen bir uygulama, başka bir kıtadaki sunucudan işletiliyor olabilir.

Bu itirazlar fikri çürütmekten ziyade rejimin tasarımına yön vermektedir. Şirket büyüklüğüne değil faaliyetin niteliğine bağlı eşikler, küçük ve düşük riskli araçları izin kapsamının dışında tutacaktır. AB çerçevesinin üye devletlerden kurmalarını talep ettiği düzenleyici deney alanları (regulatory sandbox), yeni girişimlere gözetim altında deneme imkanı sunacaktır. Sınır ötesi tanıma da emsalsiz değildir: finans alanındaki denetim otoriteleri onlarca yıldır farklı ülkeler arasında koordinasyon içinde çalışmaktadır ve yapay zeka denetimi sıfırdan başlamak yerine bu birikimden yararlanabilecektir.

Şirketler ve bireyler açısından güncel yansımalar

Halihazırda bir izin zorunluluğu bulunmamakla birlikte, düzenlemenin yönü belirgin hale gelmektedir. Yapay zeka araçları tedarik eden veya geliştiren şirketler, ileride bir denetim makamının inceleyeceği tercihleri bugünden yapmaktadır: hangi verinin hangi sisteme aktarıldığı, çıktıların kim tarafından kontrol edildiği ve aracın hata yapması halinde nasıl hareket edileceği. Bu tercihlerin şirket içi bir yapay zeka politikasında yazılı hale getirilmesi kendi başına değer taşımakta, ileride yürürlüğe girebilecek bir rejime uyumu da önemli ölçüde kolaylaştırmaktadır.

Bireyler açısından ise mesele daha basittir: bugün bir sohbet penceresine yazılan en mahrem cümle, henüz hiçbir izin makamının denetlemediği bir sistemde saklanmaktadır.

Toplum, güvenin hesap verebilirlikle birlikte var olması gerektiğine finans alanında uzun zaman önce karar vermiştir. Bazı yapay zeka sistemleri bugün benzer nitelikte bir güveni, üstelik çok daha mahrem bir alanda taşımaktadır. Asıl soru, hesap verebilirliğin gelip gelmeyeceği değil, özenle mi tasarlanacağı yoksa ilk büyük krizin ardından aceleyle mi kaleme alınacağıdır.

Şirketlerin yapay zeka kullanımına ilişkin iç politika çerçevesi, Şirketlerde Yapay Zeka Kullanım Politikası başlıklı yazımızda ele alınmaktadır. Teknoloji hukukuna ilişkin diğer içerikler Fikri Mülkiyet ve Teknoloji Hukuku sayfamızda yer almaktadır.

Bu yazı genel bilgilendirme amaçlıdır.