Yapay Zekâ Etiği Neden Artık Bir Uyum Başlığı Değil

27 Temmuz 2026’da Brüksel’de, teknoloji çevreleri dışında çok da geniş yankı bulmayan bir tüzük yürürlüğe girdi. AI Omnibus (daha geniş Digital Omnibus sadeleştirme paketinin parçası) AI Act’in yüksek riskli sistemlere dair en ağır yükümlülüklerini Aralık 2027’ye erteledi.

O hafta Avrupa’daki birçok uyum ekibinin rahat bir nefes aldığını tahmin etmek zor değil. Sonuçta on altı ay az süre değil.

Ama ben bu rahatlığın içindeki varsayımı daha önemli buluyorum. Eğer erteleme haberine sadece “uyum için zaman kazandık” diye bakıyorsak, etiği hâlâ bir teslim tarihi meselesi olarak görüyoruz demektir. Oysa yapay zekâda etik artık sonradan kontrol edilen bir başlık değil; tasarımın, mimarinin ve karar mekanizmasının bir parçası.

Bugün birçok kurumda benzer bir sahne yaşanıyor olabilir. Masada gayet düzgün hazırlanmış bir “Yapay Zekâ Etik Politikası” vardır. İçinde önyargı testleri, veri minimizasyonu, şeffaflık taahhütleri, insan gözetimi gibi doğru başlıklar yer alır. Herkes metni makul bulur.

Sonra operasyon tarafından biri basit bir soru sorar: “Peki bu modeli kim seçti? Yarın yanlış karar üretirse kim durduracak? Fişi kim çekecek?”

İşte orada çoğu zaman sessizlik başlar. Politika vardır ama kontrol mimarisi konuşulmamıştır.

Bu yazının çıkış noktası tam olarak burası. Yapay zekâ etiğini artık sadece belgeye yazılan ilkeler üzerinden değil, kurumun kimde hangi kontrolü bıraktığı üzerinden konuşmak gerekiyor.

Sıralama tersine döndü

Eskiden teknoloji projelerinde etik ve hukuk çoğu zaman sona bırakılırdı. Ürün çıkar, süreç tamamlanır, hukuk ve uyum ekipleri son bir kontrol yapar, birkaç madde düzeltilir, sonra yayına çıkılırdı.

Yapay zekâ bu sırayı bozdu. Çünkü model seçimi, veri sınıflandırması, insan gözetimi, izleme metrikleri ve geri çekme prosedürü sonradan eklenebilecek süsler değil. Bunlar mimarinin içinde verilmesi gereken kararlar.

Bir modeli üretime aldıktan sonra “insan gözetimi de ekleyelim” demek, çoğu zaman tasarımı geriye doğru yamamak anlamına geliyor. Bazı şeyler baştan düşünülmediğinde, sonradan dokümana yazmak gerçek kontrol oluşturmuyor.

Uluslararası çerçevelerin ortak noktası da bu. OECD, güvenilir yapay zekâyı insan hakları ve demokratik değerler eksenine oturtuyor. NIST’in AI Risk Management Framework’ü ise “güven” dediğimiz şeyi tek bir başlığa indirgemiyor. Geçerlilik, güvenlik, mahremiyet, açıklanabilirlik, dayanıklılık ve hesap verebilirlik yan yana duruyor.

Bu başlıklar kulağa uyum dokümanı gibi gelebilir ama pratikte teknik karardır. Daha güvenli bir model bazı senaryolarda daha az isabetli olabilir. Daha açıklanabilir bir yapı, bazı veri mahremiyeti risklerini artırabilir. Stanford HAI’nin 2026 AI Index’i de bu gerilimlerin gerçek olduğunu gösteriyor: bir sorumluluk boyutunu iyileştiren teknikler, başka bir boyutta gerilemeye yol açabiliyor.

Bu yüzden etik, yalnızca hukuk ekibinin ya da yalnızca teknik ekibin verebileceği bir karar değil. İş birimi, hukuk, güvenlik, veri, mimari ve operasyon aynı masada değilse, alınan karar eksik kalıyor.

Tek kusur, onlarca ürüne yayılabilir

Yapay zekâdaki yeni risklerden biri de temel modellerin çok sayıda ürünün altında ortak katman hâline gelmesi. Stanford’un temel modeller üzerine çalışan araştırma merkezi CRFM bunu yıllar önce homojenleşme kavramıyla anlatmıştı.

Kavram akademik duruyor ama anlattığı şey çok pratik. Bugün farklı iş süreçleri, farklı ekranlar ve farklı ürünler aynı birkaç temel modelin üzerine kurulabiliyor. Bu büyük bir kaldıraç; küçük ekipler çok hızlı ürün çıkarabiliyor.

Ama aynı kaldıraç risk tarafında da çalışıyor. Temel modeldeki bir önyargı, şeffaflık eksikliği veya güvenlik açığı, o modelin üstüne kurulan birçok ürüne aynı anda taşınabiliyor.

Bu yüzden “model doğru cevap veriyor mu?” sorusu tek başına yetmiyor. Daha sıkıcı ama daha kritik sorular var: model kim tarafından seçildi, hangi veriyle test edildi, kim izliyor, hangi eşikte durdurulacak, geri dönüş planı nerede?

2026 AI Index’teki tablo da bu endişenin teorik olmadığını gösteriyor. Kurumsal benimseme yüzde 88’e ulaşmış durumda; buna karşılık belgelenen yapay zekâ olayları bir yılda 233’ten 362’ye çıktı, temel model geliştiricilerinin şeffaflık skoru ise 58’den 40’a geriledi. Yani kullanım koşuyor, sorumluluk pratikleri çoğu yerde arkadan geliyor.

Regülasyon beklenenden daha hızlı işin içine girdi

Bir noktayı açık söylemek lazım: kurumlar bu konuyu sadece iyi niyetle çözmeye çalışsaydı, muhtemelen daha yavaş ilerlerdi. Regülasyon burada ciddi bir hızlandırıcı oldu.

AI Act’in yasaklı uygulamaları ve yapay zekâ okuryazarlığı yükümlülükleri Şubat 2025’ten beri yürürlükte. Genel amaçlı model kuralları Ağustos 2025’te devreye girdi. Şeffaflık yükümlülükleri ve Komisyon’un yaptırım yetkileri 2 Ağustos 2026’da başladı. AI Omnibus yüksek riskli sistemlerdeki bazı kapsamlı yükümlülükleri ertelemiş olsa da yön değişmedi.

Buna ek olarak, imzacı sayısı 230’u aşan AI Pact gibi gönüllü girişimler de şirketleri resmî takvim gelmeden hazırlık yapmaya zorluyor. Çünkü mesele artık “bir gün regülasyon gelir mi?” değil. Regülasyon geldi; sadece bazı başlıkların tam uygulanma tarihi değişti.

Bu da etik tartışmasının karakterini değiştiriyor. “Etik bizim için önemli” cümlesi artık tek başına yeterli değil. Eğitim kayıtları, model envanteri, veri sınıflandırması, insan gözetimi tasarımı, denetim izi ve olay müdahale süreci gibi somut kanıtlar gerekiyor.

Türkiye açısından da tablo farklı değil. KVKK rehberlerinde veri minimizasyonu, amaçla sınırlılık ve farkındalık vurgusu yapıyor. TÜİK verileri ise bireylerin üretken yapay zekâyı kurumlara göre daha hızlı benimsediğini gösteriyor: bireylerde kullanım yüzde 19,2’ye ulaşmışken girişimlerde yüzde 7,5’te kalıyor. Bu ikisi yan yana gelince açık bir sonuç çıkıyor: çalışan zaten kullanıyor; kurumun görevi bunu görmezden gelmek değil, güvenli ve denetlenebilir hâle getirmek.

İnsan gözetimi kâğıt üzerinde kalmamalı

Yapay zekâ projelerinde en çok rahatlatıcı görünen ifadelerden biri “son kararı insan veriyor” cümlesi. Bu cümle doğru olabilir; ama tek başına hiçbir şey garanti etmez.

Eğer insan sadece sistemin önerisini onaylayan son klik ise, orada gerçek gözetim yoktur. Eğer çalışanın modeli sorgulayacak zamanı, yetkisi ve bilgisi yoksa, insan onayı sadece formaliteye dönüşür.

Benim burada önemsediğim ayrım şu: insan gözetimi bir imza noktası değil, bir karar tasarımıdır. İnsan hangi durumda devreye girer? Hangi çıktıyı reddedebilir? Reddettiğinde süreç yavaşlar mı, yoksa cezalandırılır mı? Modelin önerisine itiraz ettiğinde bu itiraz sistematik olarak kayda geçer mi?

Bu soruların cevabı yoksa “human-in-the-loop” ifadesi kulağa iyi gelen ama pratikte zayıf kalan bir etiket olur.

Kriz günü her şeyi gösterir

Bir yapay zekâ sisteminin ne kadar kontrollü olduğu, genellikle normal günde değil kriz gününde anlaşılır. Kriz de artık uzak bir ihtimal değil; belgelenen olay sayısının bir yılda 233’ten 362’ye çıkması bunu söylüyor.

Model yanlış bir karar verdiğinde ilk soru çoğu zaman teknik olur: “Neden böyle cevap verdi?” Ama kurum açısından asıl soru daha geniştir: bunu kim fark etti, kim eskalasyon yaptı, kim durdurdu, kullanıcıya ne söylendi, regülatöre bildirim gerekip gerekmediğine kim karar verdi?

Eğer bu akış önceden tanımlı değilse, kriz anında herkes iyi niyetle bir şey yapmaya çalışır ama kurum tek sesle hareket edemez. Yapay zekâda etik dediğimiz şey biraz da bu yüzden operasyonel bir konu. Sadece değerlerden değil, olay anında çalışacak kaslardan bahsediyoruz.

Toparlarken

Yapay zekâ etiği artık “politika dokümanımız var mı?” sorusuyla ölçülecek bir konu değil. Daha net sorular sormak gerekiyor.

Modeli kim seçiyor? Kim izliyor? Hangi veriyle test ediliyor? Hangi eşikte durduruluyor? İnsan hangi noktada gerçekten karar verebiliyor? Kriz gününde kim konuşuyor?

Bu soruların cevabı yoksa etik dokümanı düzgün olabilir ama sistem hâlâ zayıftır. Kurumsal benimsemenin yüzde 88’e dayandığı bir ortamda bu zayıflık da artık küçük bir azınlığın sorunu değil.

Benim bu yazıdaki ana derdim şu: etik, hukukun son imzası değil; kurum mimarisine gömülmesi gereken bir yönetişim işlevi. Bunu baştan tasarlayan kurumlar sadece regülasyona değil, hataya, krize ve tedarikçi baskısına karşı da daha dayanıklı olacak.

Serinin bir sonraki yazısında bu dayanıklılığın başka bir yüzüne bakacağım: yapay zekâ projelerinde ucuz başlayan tedarik kararları, üretimde nasıl pahalı bağımlılıklara dönüşüyor?