EU AI Act Madde 50: AI İçerik Etiketleme, Filigran ve Chatbot Bildirimi Rehberi

Kısa özet

EU AI Act'in Madde 50'si, AI'ın en görünür kullanımlarına dokunur: sohbet botları, görsel/ses/video üreticileri, deepfake'ler ve AI ile yazılmış metinler. Yüksek riskli sistemlerin aksine burada uygunluk değerlendirmesi ya da kalite yönetim sistemi yok; ama insanlara AI ile karşı karşıya olduklarını söyleme yükümlülüğü var ve bu yükümlülük 2 Ağustos 2026'dan beri uygulanıyor.

Dört yükümlülük, iki rol:

SAĞLAYICI (sistemi geliştiren / kendi adıyla sunan)
  50(1) Kişiye AI ile etkileştiğini bildir         → sohbet botu, sesli asistan
  50(2) Sentetik içeriği makinece okunabilir işaretle → görsel, ses, video, metin üretimi

KULLANICI / DEPLOYER (sistemi işinde kullanan)
  50(3) Duygu tanıma / biyometrik kategorizasyonu bildir
  50(4) Deepfake'i ve kamuyu bilgilendiren AI metnini açıkla

Takvim, Ekim 2026 itibarıyla:

Önemli not: Bu rehber hukuki danışmanlık değildir. Bilgiler Ekim 2026 itibarıyla birincil kaynaklardan (AI Act'in AI Act Service Desk'teki konsolide metni, AB Komisyonu sayfaları) kontrol edildi; kaynaklar en sonda. Somut bir sistemin kapsamda olup olmadığı için metnin kendisine, Komisyon'un Madde 50 kılavuzuna ve bir hukukçuya başvur. Genel yönetişim kurulumu için AI yönetişimi rehberi'ne bak.

Tarihler ve geçiş dönemi

AI Act (Tüzük (AB) 2024/1689) 1 Ağustos 2024'te yürürlüğe girdi. Madde 113'e göre genel uygulama tarihi 2 Ağustos 2026; Madde 50 de bu genel tarihe tabi, yani ayrı bir erteleme yok.

Digital Omnibus'un etkisi. AI Act'i değiştiren Tüzük (AB) 2026/1744 ("Digital Omnibus on AI") 8 Temmuz 2026 tarihli; 24 Temmuz 2026'da AB Resmî Gazetesi'nde yayımlandı ve 27 Temmuz 2026'da yürürlüğe girdi (yayımdan sonraki üçüncü gün). Aşağıdaki hükümleri Resmî Gazete metniyle (Yayın Ofisi Cellar kopyası) ve Service Desk'teki konsolide metinle karşılaştırdık. Madde 50 açısından getirdiği değişiklik dar:

• Yeni Madde 111(4): Sentetik ses, görsel, video ya da metin üreten ve 2 Ağustos 2026'dan önce piyasaya sürülmüş AI sistemlerinin (genel amaçlı AI sistemleri dahil) sağlayıcıları, Madde 50(2)'ye 2 Aralık 2026'ya kadar uyum sağlayacak.
• Bu geçiş yalnızca 50(2) içindir. Sohbet botu bildirimi (50(1)), duygu tanıma bildirimi (50(3)) ve deepfake açıklaması (50(4)) için geçiş dönemi yok; hepsi 2 Ağustos 2026'dan beri geçerli.
• 2 Ağustos 2026'dan sonra piyasaya sürülen yeni bir üretken sistem için de geçiş yok.
• Komisyon önerisinde altı aylık bir geçiş (2 Şubat 2027'ye kadar) vardı; kabul edilen metin dört ay oldu (Cuatrecasas'ın yasama süreci notu ve AI Act Service Desk SSS'si).
• Omnibus ayrıca davranış kurallarını düzenleyen Madde 50(7)'yi değiştirdi (Tüzük 2026/1744, Madde 1(20)): Komisyon'un kuralları uygulama işlemiyle (implementing act) onaylama yetkisi kaldırıldı; yerine Komisyon'un, AI Kurulu'nun görüşünü dikkate alarak kurallara katılımın 50(2) ve 50(4) uyumu için yeterli olup olmadığını değerlendirmesi geldi. Kurallar yetersiz bulunursa ortak kurallar belirleyen bir uygulama işlemi çıkarma yetkisi duruyor. Omnibus'un 41. gerekçesi, bu kuralların sınırlı hukuki etkisi olduğunu ve uygunluk karinesi sağlamadığını açıkça yazıyor.

Geçmiş içerik. Komisyon'un "Quick Facts" sayfasına göre 2 Ağustos 2026'dan önce üretilmiş deepfake'lerin geriye dönük etiketlenmesi zorunlu değil, ama teşvik ediliyor.

Destekleyici belgeler — durum:

Not: Davranış kurallarını imzalamak, Komisyon görüşüne göre uyumun kesin kanıtı değildir; ama AB genelinde tanınan bir uyum yoludur. İmzalamayan sağlayıcı ve kullanıcılar, işaretleme ve etiketleme yükümlülüklerine uyumu eşdeğer yeterlilikte başka yollarla göstermek zorunda.

Sağlayıcı mı, kullanıcı mı?

Madde 50'de yükümlülükler role göre bölünür. Tanımlar Madde 3'te:

• Sağlayıcı (provider, Madde 3(3)): Bir AI sistemini ya da genel amaçlı AI modelini geliştiren veya geliştirten ve kendi adı ya da markasıyla piyasaya süren veya hizmete sokan kişi ya da kurum; ücretli ya da ücretsiz.
• Kullanıcı / uygulayıcı (deployer, Madde 3(4)): Bir AI sistemini kendi yetkisi altında kullanan kişi ya da kurum; kişisel ve mesleki olmayan kullanım hariç.

Pratikte:

Komisyon'un Madde 50 kılavuzu, değer zinciri boyunca hangi tarafın hangi yükümlülüğü taşıdığını ayrıntılı örneklerle açıklıyor; sınırda bir durumdaysan önce oraya bak.

Recital 133, işaretleme tekniklerinin model düzeyinde de uygulanabileceğini, bunun da modeli kullanan alt sağlayıcının (downstream provider) işini kolaylaştıracağını söylüyor. Ama yükümlülük sistemin sağlayıcısında: model sağlayıcın filigran ekliyorsa bunu belgele, eklemiyorsa sorumluluk sana düşer.

Madde 50(1): AI ile konuştuğunu söylemek

Kimin yükümlülüğü: Sağlayıcının.

Ne istiyor: Doğrudan gerçek kişilerle etkileşmesi amaçlanan AI sistemleri, kişilere bir AI sistemiyle etkileştiklerinin bildirileceği şekilde tasarlanmalı ve geliştirilmeli.

İstisnalar:

• Durum, bağlam ve kullanım koşulları dikkate alındığında makul derecede bilgili, dikkatli ve temkinli bir kişi açısından açıksa bildirim gerekmez.
• Suç tespiti, önlenmesi, soruşturulması ya da kovuşturulması için yasayla yetkilendirilmiş sistemler (uygun güvencelerle), bu sistemler halkın suç bildirmesine açık değilse.

Nasıl ve ne zaman (Madde 50(5)): Bilgi açık ve ayırt edilebilir biçimde, en geç ilk etkileşim anında verilmeli ve erişilebilirlik gerekliliklerine uymalı. Ekran okuyucuyla okunamayan, gri ve küçük bir dipnot bu ölçüte uymaz.

Pratik yorum: "Açıkça belli" istisnası dar okunmalı. Bir müşteri destek penceresinde insan temsilci adı ve fotoğrafıyla konuşan bir bot "açıkça belli" sayılmaz. En güvenli yol, sohbetin başında kalıcı bir ifade:

Merhaba, ben [Ürün] Asistanı, bir yapay zekâ sistemiyim.
Bir insan temsilciyle görüşmek için "temsilci" yazabilirsin.

Sesli asistanlarda aynı bildirim konuşmanın ilk cümlesinde sesli verilmeli.

Madde 50(2): Sentetik içeriği makinece okunabilir işaretlemek

Kimin yükümlülüğü: Sentetik ses, görsel, video ya da metin üreten AI sistemlerinin (genel amaçlı AI sistemleri dahil) sağlayıcısının.

Ne istiyor: Sistemin çıktıları makinece okunabilir bir biçimde işaretlenmeli ve yapay olarak üretildiği ya da değiştirildiği tespit edilebilir olmalı. Teknik çözümler, teknik olarak mümkün olduğu ölçüde etkili, birlikte çalışabilir, sağlam ve güvenilir olmalı; içerik türlerinin özellikleri ve sınırları, uygulama maliyeti ve ilgili teknik standartlara yansıyan genel kabul görmüş teknolojik durum dikkate alınır.

İstisnalar:

• Sistem standart düzenleme için yardımcı bir işlev görüyorsa (ör. yazım denetimi),
• Kullanıcının verdiği girdiyi ya da anlamını esaslı biçimde değiştirmiyorsa,
• Suçla mücadele amacıyla yasayla yetkilendirilmişse.

Metin de dahil. 50(2) yalnızca görseli değil, metni de kapsıyor. Bir LLM tabanlı yazı asistanı sunuyorsan, çıktılarının makinece okunabilir işaretlenmesi senin sorunun. Metin için filigranlama teknik olarak en zayıf alan; aşağıdaki "Teknik uygulama" bölümüne bak.

Görünür bir "AI ile üretildi" yazısı tek başına 50(2)'yi karşılamaz; 50(2) makinece okunabilir işaret istiyor. Görünür etiket ayrı bir yükümlülüktür (50(4)) ve genellikle başka bir tarafın (deployer) işidir.

Madde 50(3): Duygu tanıma ve biyometrik kategorizasyon

Kimin yükümlülüğü: Deployer'ın.

Ne istiyor: Duygu tanıma ya da biyometrik kategorizasyon sistemi kullanan, sisteme maruz kalan kişileri sistemin çalıştığı konusunda bilgilendirmeli ve kişisel verileri GDPR (2016/679), (AB) 2018/1725 ve (AB) 2016/680 sayılı düzenlemelere uygun işlemeli.

İstisna: Suçları tespit, önleme ya da soruşturma için yasayla izin verilen kullanımlar, uygun güvencelerle.

Önce yasak kontrolü: 50(3) yalnızca izin verilen kullanımlar içindir. İş yerinde ve eğitim kurumlarında duygu tanıma (tıbbi ve güvenlik amaçları hariç) Madde 5 kapsamında yasak; orada bildirim yapmak sistemi meşrulaştırmaz. Ayrıca bazı biyometrik sistemler Ek III'te yüksek riskli sayılır; o yükümlülükler 2 Aralık 2027'den itibaren ayrıca gelir.

Madde 50(4): Deepfake ve kamuyu bilgilendiren metin

Kimin yükümlülüğü: Deployer'ın.

Deepfake'in tanımı (Madde 3(60)): Var olan kişilere, nesnelere, yerlere, kuruluşlara ya da olaylara benzeyen ve bir kişiye yanlış biçimde gerçek ya da doğru gibi görünecek, AI ile üretilmiş ya da değiştirilmiş görsel, ses ya da video içerik.

Ne istiyor (birinci kısım): Deepfake oluşturan ya da değiştiren bir AI sistemini kullanan deployer, içeriğin yapay olarak üretildiğini ya da değiştirildiğini açıklamalı.

İstisnalar ve hafifletmeler:

• Suçla mücadele amacıyla yasayla yetkilendirilmiş kullanım.
• İçerik açıkça sanatsal, yaratıcı, hiciv, kurgu ya da benzeri bir eser veya programın parçasıysa, yükümlülük eserin gösterimini ya da keyfini engellemeyecek uygun bir şekilde üretilmiş içeriğin varlığını açıklamakla sınırlıdır. Yani film jeneriğinde ya da açıklama metninde bir not yeterli olabilir; her karede etiket gerekmez.

Ne istiyor (ikinci kısım): Kamuyu ilgilendiren konularda kamuoyunu bilgilendirmek amacıyla yayımlanan metni AI ile üreten ya da değiştiren deployer, metnin yapay olarak üretildiğini açıklamalı.

Bu kısmın istisnası: AI ile üretilen içerik insan incelemesinden ya da editoryal kontrolden geçmişse ve bir gerçek ya da tüzel kişi yayının editoryal sorumluluğunu taşıyorsa açıklama gerekmez. Yani editörün okuyup sorumluluğunu üstlendiği bir haber metni bu kapsamda değil; otomatik yayımlanan AI haber özetleri kapsamda.

Görünür etiket nasıl olmalı: Madde 50(5) burada da geçerli: açık, ayırt edilebilir, en geç ilk maruz kalma anında ve erişilebilir. Komisyon'un AB simge seti için özet kurallar: simge açıkça algılanabilir olmalı, üzerine başka öğe binmemeli ve (yaratıcı eserler hariç) deepfake'e ya da metne doğrudan gömülmeli. Ayrıntılı yerleşim kuralları davranış kurallarının 2. bölümünde. Simgeleri imzacı olmayanlar da kullanabilir, ama bu kullanım kurallara katılım olarak yorumlanmamalı.

Cezalar ve denetim

• Madde 99(4)(g): Madde 50 yükümlülüklerinin ihlali 15 milyon avroya ya da dünya çapındaki yıllık cironun %3'üne kadar idari para cezasına tabi; hangisi yüksekse.
• Madde 99(5): Yetkililere yanlış, eksik ya da yanıltıcı bilgi vermek 7,5 milyon avro ya da %1.
• Madde 99(6) ve 99(6a): KOBİ'lerde (girişimler dahil) tutar ile yüzdeden düşük olan üst sınırdır; Omnibus bunu 99(4) ve (5) için küçük orta ölçekli şirketlere (SMC) de genişletti.
• Kim denetliyor: Ulusal piyasa gözetim otoriteleri; denetimi altındaki sistemler için AI Ofisi; AB kurumları sağlayıcı ya da deployer olduğunda Avrupa Veri Koruma Denetçisi (Komisyon "Quick Facts" sayfası).

Uygulamada ilk aşamada en olası senaryo para cezasından önce bilgi talebi ve düzeltme istemidir; ama bu bir tahmin, metinde böyle bir kademelendirme yok. Kanıt dosyanı (hangi işaretleme, hangi bildirim, ne zaman, kim onayladı) baştan tut.

Genel amaçlı AI (GPAI) kurallarıyla ilişkisi

Madde 50 ve GPAI kuralları farklı şeyleri düzenler:

Kesişim noktaları:

• Madde 50(2) açıkça genel amaçlı AI sistemlerini de kapsıyor. Kendi modelini bir sohbet uygulamasıyla sunan bir şirket hem GPAI model sağlayıcısı hem de Madde 50 kapsamında sistem sağlayıcısıdır.
• Recital 133'e göre işaretleme model düzeyinde yapılabilir. Bir model sağlayıcısı filigranı modele gömüyorsa, o modeli kullanan sistem sağlayıcısı bundan yararlanabilir; ama bunu sözleşme ve dokümantasyonla doğrulamalı.
• GPAI Davranış Kuralları (2025) ile içerik şeffaflığı Davranış Kuralları (2026) ayrı belgelerdir; birini imzalamak diğerini kapsamaz.

Teknik uygulama: seçenekler ve dürüst sınırlar

Madde 50(2) belirli bir teknoloji saymıyor. Recital 133 örnek olarak filigranları, meta veri tanımlamalarını, kökeni kanıtlayan kriptografik yöntemleri, loglama yöntemlerini ve parmak izlerini sayıyor ve bunların birleşimine izin veriyor. Kavramların ayrıntısı için AI filigranlama ve içerik etiketleme sayfasına bak.

Davranış kurallarının nihai metni (10 Haziran 2026), 1. bölüm sağlayıcılar için şu teknik taahhütleri içeriyor:

• Çok katmanlı işaretleme (Tedbir 1.1): Ses, görsel, video ve kapsayıcı (container) içindeki metin için en az iki makinece okunabilir katman: dijital olarak imzalanmış ve (mümkünse) zaman damgalı meta veri + görünmez filigran. Meta veri taşıyamayan serbest metinde tek katman (filigran) yeterli. Dışarı çıkışı teknik olarak engellenmiş kapalı ortamlardaki fiziksel ürünler için de tek katman kabul ediliyor.
• Çok kısa metin: 200 token'dan kısa metin filigran yükümlülüğünden muaf (sözlükteki "very short text" tanımı); daha uzun serbest metin, güvenilirliği düşük olsa da filigranlanmalı.
• Parmak izi / loglama (Alt tedbir 1.1.3): İsteğe bağlı; tek başına yeterli sayılmıyor.
• İşaretleri silmeme (Tedbir 1.2): Girdideki mevcut meta veri işaretlerini koruma ve kasıtlı silmeyi engellemeye çalışma.
• Tespit (Taahhüt 2): Tespit aracı, içeriğe maruz kalan kitleye uygun bir arayüzle (kamuya açık içerikte kamuya) sunulmalı; serbest metin filigranı dedektörüne erişim doğrulanmış uzmanlarla (otoriteler, araştırmacılar, doğrulama kuruluşları vb.) sınırlandırılabilir.
• Birlikte çalışabilirlik (Tedbir 3.4): Meta veri için yerleşik standartlar benimsenecek; filigran dedektörleri için 2 Şubat 2027'ye kadar ortak bir erişim yöntemi, kamuya okunabilir bir işaret (signpost) ya da ortak bir tespit hizmeti kurulacak.
• Kurallar C2PA'yı adıyla anmıyor; "yerleşik standartlar" diyor. Bugün imzalı meta veri için en yaygın standart C2PA olduğu için pratikte akla ilk o geliyor, ama bu bizim yorumumuz.

Bu taahhütler yalnızca imzacıları bağlar; Madde 50(2)'nin kendisi belirli bir katman sayısı istemez. İmzalamayan bir sağlayıcı için de bu liste, "teknolojik durum" ölçütünün pratikte nereye konduğunu gösteren iyi bir referanstır.

Dürüst sınırlar:

• "Filigran bulunamadı" sonucu "insan üretti" demek değildir; dedektör yalnızca kendi şemasını tanır.
• Filigran dışı "AI dedektörleri" bir işaret okumaz, tahmin eder; bir çalışanı ya da öğrenciyi bunlarla suçlamak yanlıştır.
• Akademik literatürde güçlü filigranların belirli varsayımlar altında silinebileceğini savunan çalışmalar var (ör. arXiv 2311.04378). Madde 50(2) bu yüzden "teknik olarak mümkün olduğu ölçüde" diyor.
• Kendi yayın hattın meta veriyi silebilir: görsel optimizasyon eklentileri, CDN dönüşümleri, sosyal medya otomasyonları. Test et.

Basit bir uygulama hattı:

üretim isteği
  → model / API (sağlayıcının filigranı açık mı? belgele)
  → çıktı
  → C2PA manifesti ekle ve imzala (generator, "AI ile üretildi", tarih)
  → parmak izini kaydet (isteğe bağlı)
  → kullanıcıya teslim
  → yayın hattında: manifest korunuyor mu? (CDN, sıkıştırma testi)
  → doğrulama: içerik → dedektör / manifest okuyucu

Kontrol listesi: sohbet botu olan şirket

• Bot bizim adımızla mı sunuluyor? (Evet ise 50(1) bizim yükümlülüğümüz.)
• Sohbetin ilk mesajında ve sesli kanalda ilk cümlede "AI sistemiyim" bildirimi var mı?
• Bildirim ekran okuyucuyla okunabiliyor mu, yeterli kontrastta mı? (Madde 50(5))
• Bot insan adı, fotoğrafı ya da "temsilciniz Ayşe" gibi bir kimlikle mi sunuluyor? Varsa bildirim daha da belirgin olmalı.
• E-posta, WhatsApp, telefon gibi diğer kanallarda da aynı bildirim var mı?
• Bot görsel ya da uzun metin üretip kullanıcıya veriyorsa 50(2) işaretlemesi de gerekiyor mu?
• Bildirim metni ve ekran görüntüsü, tarihli olarak kanıt dosyasında mı?
• Botun duygu analizi yapıp yapmadığı kontrol edildi mi? (50(3) ve Madde 5)

Kontrol listesi: görsel üretim özelliği sunan şirket

• Özellik 2 Ağustos 2026'dan önce mi piyasaya sürüldü? Evet ise 50(2) son tarihi 2 Aralık 2026; hayır ise zaten geçerli.
• Model sağlayıcısı filigran ekliyor mu? Sözleşmede ya da dokümantasyonda yazılı mı? Kapatılabiliyor mu?
• Her çıktıya imzalı C2PA manifesti ekleniyor mu?
• İndirme, paylaşma ve API yanıtı akışlarında manifest korunuyor mu? (Yeniden sıkıştırma, boyutlandırma testi)
• Bir doğrulama yolu var mı (dedektör, manifest okuyucu, destek süreci)?
• "Standart düzenleme" istisnasına giren işlevler (ör. renk düzeltme) ile girmeyenler (ör. arka planı değiştirme, yüz üretme) ayrıldı mı ve gerekçe belgelendi mi?
• Davranış kurallarını imzalayacak mıyız? İmzalamıyorsak eşdeğer uyumu nasıl gösteriyoruz?
• Kullanıcı sözleşmesi, gerçek kişilere benzeyen içerik yayımlayan kullanıcıları 50(4) açıklama yükümlülüğü hakkında bilgilendiriyor mu?
• Rıza dışı mahrem görüntü ve çocuk istismarı materyali üretimini engelleyen önlemler var mı? (Omnibus ile eklenen yasak, 2 Aralık 2026)

Kontrol listesi: üretken AI kullanan pazarlama ekibi

• Kampanyada gerçek bir kişiye, yere ya da olaya benzeyen, gerçekmiş gibi görünen AI görseli, sesi ya da videosu var mı? Varsa görünür açıklama zorunlu (50(4)).
• İçerik açıkça yaratıcı ya da hiciv niteliğindeyse açıklama, eserin keyfini bozmayacak uygun bir yerde mi? (Ör. video açıklaması, jenerik)
• Ünlü ya da çalışan yüzü/sesi kullanılıyorsa açıklamadan ayrı olarak kişinin izni ve kişilik hakları kontrol edildi mi? (Bu Madde 50'nin değil, diğer hukukun konusu.)
• Blog yazıları, basın bültenleri gibi kamuyu bilgilendiren metinler bir editörün incelemesinden geçiyor ve editoryal sorumluluk üstleniliyor mu? Geçmiyorsa açıklama gerekli.
• Kullanılan araçların ürettiği meta veri ve filigranlar yayın sırasında siliniyor mu? Silinmesi yasak değil ama sağlayıcının işaretini bilerek temizlemek kötü bir sinyaldir.
• Etiket için AB simge seti mi, kendi etiketimiz mi? Seçim ve yerleşim kuralı yazılı mı?
• Tüm AI üretimi kampanya varlıkları envanterde ve onay kaydında mı? (Bkz. AI yönetişimi rehberi, Adım 1.)

AB'ye satan Türk şirketleri için notlar

Ülke dışı kapsam. Madde 2(1)(a), AI Act'i AB'de sistem piyasaya süren sağlayıcılara nerede kurulu olurlarsa olsun uygular. Madde 2(1)(c), üçüncü ülkedeki sağlayıcı ve deployer'ları da, sistemin ürettiği çıktı AB'de kullanılıyorsa kapsar. Yani:

• AB'deki müşterilere sohbet botu ya da görsel üretim aracı sunan bir İstanbul SaaS şirketi, 50(1) ve 50(2) bakımından sağlayıcıdır.
• Türkiye'den yönetilen ama AB'deki kitleye yayın yapan bir kampanyada deepfake kullanan bir ajans, 50(4) bakımından deployer olarak kapsama girebilir.
• AB pazarına AI sistemi sunan AB dışı sağlayıcılar için yetkili temsilci (authorised representative) kuralları da var; bunlar ağırlıklı olarak yüksek riskli sistemler ve GPAI modelleri içindir. Kendi durumunu bir hukukçuyla netleştir.

KVKK açısı. Türkiye'de Madde 50'ye doğrudan karşılık gelen, yürürlükte bir AI içerik etiketleme kuralı tespit etmedik. Kişisel Verileri Koruma Kurumu'nun bu konuyla ilgili iki doğrulanabilir belgesi var, ikisi de bağlayıcı bir düzenleme değil, rehber niteliğinde:

• Deepfake Bilgi Notu (19 Ocak 2024): Deepfake'in tanımı, kişisel veriler açısından tehditleri, tespit yolları ve kişilerin ve kurumların alabileceği önlemler.
• Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda) (24 Kasım 2025).

Bir kişinin yüzü ya da sesi kişisel veridir; onu kullanarak deepfake üretmek KVKK (6698 sayılı Kanun) kapsamında bir işleme faaliyetidir ve AI Act'teki açıklama yükümlülüğü bu işlemenin hukuki dayanağı yerine geçmez. Kanun teklifleri. TBMM'ye 24 Haziran 2024'te sunulan 2/2234 esas numaralı Yapay Zekâ Kanun Teklifi'nin TBMM sayfasındaki son durumu Ekim 2026 itibarıyla "KOMİSYONDA" (esas komisyon: Sanayi, Ticaret, Enerji, Tabii Kaynaklar, Bilgi ve Teknoloji Komisyonu). Basında, deepfake içeriklere "yapay zekâ tarafından üretilmiştir" ibaresi zorunluluğu ve platformlara ceza öngören başka tekliflerin de 2025 ve 2026'da sunulduğu haberleri var; bunların metnini ve TBMM'deki durumunu birincil kaynaktan doğrulamadık. Hiçbiri kanunlaşmış değil gibi görünüyor, ama teklifler üzerinden uyum planı yapma. Genel çerçeve için AI yönetişimi rehberinin KVKK bölümüne bak.

Kaynaklar

Birincil kaynaklar (Ekim 2026 itibarıyla kontrol edildi)

• AI Act Service Desk: Madde 50 (konsolide metin, 27 Temmuz 2026 itibarıyla)
• AI Act Service Desk: Madde 111 (geçiş hükümleri, 111(4))
• AI Act Service Desk: Madde 113 (uygulama tarihleri)
• AI Act Service Desk: Madde 99 (cezalar)
• AI Act Service Desk: Madde 2 (kapsam) ve Madde 3 (tanımlar)
• AI Act Service Desk: Recital 133 ve Recital 134
• Regulation (EU) 2024/1689 (AI Act), EUR-Lex
• Regulation (EU) 2026/1744 (Digital Omnibus on AI), EUR-Lex
• AB Komisyonu: Code of Practice on Transparency of AI-generated Content
• AB Komisyonu: Nihai davranış kurallarının yayımlanması (10 Haziran 2026)
• AB Komisyonu: Davranış kurallarının yeterlilik değerlendirmesi
• AB Komisyonu: Madde 50 kılavuzu (20 Temmuz 2026)
• AB Komisyonu: Quick Facts — Transparency rules for AI systems
• AB Komisyonu: EU icons for labelling AI-generated content
• AB Komisyonu: Davranış kurallarının nihai metni (PDF, 10 Haziran 2026)
• TBMM: 2/2234 Yapay Zekâ Kanun Teklifi
• KVKK: Deepfake Bilgi Notu
• KVKK: Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)

İkincil ve teknik kaynaklar

• Cuatrecasas: Digital Omnibus on AI has been published
• Cooley: Digital AI Omnibus delays key deadlines
• C2PA Specifications
• Google: SynthID Text belgeleri
• Dathathri vd., "Scalable watermarking for identifying large language model outputs", Nature (2024)
• Gowal vd., "SynthID-Image: Image watermarking at internet scale" (arXiv 2510.09263)
• Kirchenbauer vd., "A Watermark for Large Language Models" (arXiv 2301.10226)
• Zhang vd., "Watermarks in the Sand" (arXiv 2311.04378)

Bu sitede

• EU AI Act, AI Risk Sınıflandırma, AI Yönetişimi — yasal çerçeve.
• AI Filigranlama ve İçerik Etiketleme, Görsel Üretimi, Difüzyon Modeli — teknik taraf.
• AI Yönetişimi: Pratik Başlangıç Rehberi — envanter, politika ve kontrollerin tamamı.

Sık sorulan sorular

AI Act Madde 50 ne zaman yürürlüğe giriyor?

Madde 50, AI Act'in genel uygulama tarihi olan 2 Ağustos 2026'dan beri uygulanıyor (Madde 113). Tek geçiş istisnası, 2 Ağustos 2026'dan önce piyasaya sürülmüş üretken AI sistemlerinin Madde 50(2) makinece okunabilir işaretleme yükümlülüğü içindir; bu sistemler için son tarih 2 Aralık 2026'dır (Madde 111(4)).

AI ile üretilen içerik etiketlenmek zorunda mı?

Her içerik için görünür etiket zorunlu değil. Üretken AI sistemi sağlayıcıları tüm sentetik ses, görsel, video ve metin çıktısını makinece okunabilir biçimde işaretlemek zorunda; görünür açıklama ise kullanıcı (deployer) için yalnızca deepfake'lerde ve insan editör kontrolünden geçmeden kamuyu bilgilendirmek amacıyla yayımlanan AI metinlerinde zorunlu.

Sohbet botunda 'AI ile konuşuyorsunuz' uyarısı zorunlu mu?

Evet, Madde 50(1) gereği doğrudan insanlarla etkileşen AI sistemlerinin sağlayıcısı, kişilere bir AI ile etkileştiklerini bildirmek zorunda. Makul derecede bilgili ve dikkatli bir kişi için bağlamdan açıkça anlaşılıyorsa istisna var, ama bunu varsaymak risklidir; bildirim en geç ilk etkileşimde açık ve ayırt edilebilir biçimde yapılmalı.

Madde 50'ye uymamanın cezası ne kadar?

Madde 99(4)(g) uyarınca 15 milyon avroya ya da şirketin dünya çapındaki yıllık cirosunun %3'üne kadar, hangisi yüksekse. KOBİ'ler ve Omnibus ile tanımlanan küçük orta ölçekli şirketler (SMC) için tutar ile yüzdeden düşük olanı üst sınırdır.

AB'de olmayan bir Türk şirketi Madde 50'ye tabi mi?

Olabilir. AI Act, AB pazarına sistem sunan sağlayıcılara nerede kurulu olurlarsa olsun uygulanır; üçüncü ülkedeki sağlayıcı ve kullanıcılara da sistemin çıktısı AB'de kullanılıyorsa uygulanır (Madde 2(1)(a) ve (c)).

İşaretleme davranış kurallarını (Code of Practice) imzalamak zorunlu mu?

Hayır, kurallara katılım gönüllüdür; ama Madde 50 yükümlülükleri bağlayıcıdır. Komisyon ve AI Kurulu kuralları Temmuz 2026'da yeterli bulmuştur; imzalamayanlar uyumu eşdeğer yeterlilikte başka yollarla göstermek zorundadır.

C2PA ya da filigran tek başına yeterli mi?

Madde 50(2) belirli bir teknoloji saymaz; çözümün teknik olarak mümkün olduğu ölçüde etkili, birlikte çalışabilir, sağlam ve güvenilir olmasını ister. Meta veri ekran görüntüsüyle kaybolabildiği, filigran da yeniden yazım ve çeviriyle zayıflayabildiği için pratikte katmanlı bir yaklaşım kullanılır.