AB Yapay Zeka Yasası Veri Tabanı Kaydı: Madde 49 Ne Gerektiriyor ve Ne Zaman Uygulanıyor

AI Act Madde 49, Ek III'te sayılan yüksek riskli bir yapay zeka sisteminin sağlayıcısının, sistemi piyasaya arz etmeden veya hizmete sunmadan önce hem kendisini hem de sistemi bir AB veri tabanına kaydetmesini zorunlu kılar. Ek III kapsamındaki sistemlerinin yüksek riskli olmadığı sonucuna varan sağlayıcılar da daha kısa bir kayıtla bu veri tabanına girer. Böyle bir sistemi kullanan kamu kurumları da öyle.

Veri tabanı henüz açık değil. Kayıt yükümlülüğünün başladığı tarih Temmuz 2026'da değişti ve değişiklik tüzüğünde kalan bir metin boşluğu, Madde 49'un ne zaman uygulanacağı konusunda iki farklı yorum doğurdu. Bu yazı 2 Ekim 2026 itibarıyla durumu yansıtıyor.

Kimler kayıt yaptırmak zorunda

Ek III kapsamındaki yüksek riskli sistemlerin sağlayıcıları: Madde 49(1)

Ek III sekiz alanı kapsar: biyometri; kritik altyapı; eğitim ve mesleki eğitim; istihdam, çalışan yönetimi ve serbest meslek faaliyetlerine erişim; temel özel ve kamu hizmetlerine ve yardımlara erişim; kolluk faaliyetleri; göç, iltica ve sınır kontrolü yönetimi; adaletin yönetimi ve demokratik süreçler. Bu başlıklar altında sayılan belirli kullanım senaryolarından biri için tasarlanmış bir sistem, Madde 6(3) onu kapsam dışına çıkarmadıkça Madde 6(2) uyarınca yüksek risklidir.

Sağlayıcı “veya uygun olduğu durumlarda yetkili temsilci”, böyle bir sistemi piyasaya arz etmeden veya hizmete sunmadan önce hem kendisini hem de sistemi kaydeder.

İki kategori Madde 49(1)'in dışında kalır. Ek III'ün 2. bendindeki kritik altyapı sistemleri, Madde 49(5) uyarınca ulusal düzeyde kaydedilir. Ek I kapsamındaki düzenlenmiş ürünlerde yer alan yüksek riskli yapay zeka ise Madde 49 kapsamında hiç kaydedilmez, çünkü Madde 49(1) yalnızca Ek III'ü sayar.

Sistemlerinin yüksek riskli olmadığı sonucuna varan sağlayıcılar: Madde 49(2)

Madde 6(3), Ek III kapsamındaki bir sistem sağlık, güvenlik veya temel haklar açısından önemli bir zarar riski taşımıyorsa (karar alma sürecinin sonucunu esaslı biçimde etkilememesi de buna dahildir) sağlayıcının bu sistemin yüksek riskli olmadığı sonucuna varmasına izin verir. Bunun için dört koşuldan birinin karşılanması gerekir. Sistem dar kapsamlı, usule ilişkin bir görevi yerine getirir. Daha önce tamamlanmış bir insan faaliyetinin sonucunu iyileştirir. Karar alma kalıplarını veya bu kalıplardan sapmaları tespit eder ve uygun bir insan incelemesi olmaksızın tamamlanmış insan değerlendirmesinin yerini almak ya da onu etkilemek amacı taşımaz. Ya da Ek III'teki bir kullanım senaryosuyla ilgili bir değerlendirmeye hazırlık niteliğinde bir görev üstlenir.

Gerçek kişilerin profilini çıkaran bir sistem, hangi koşulu karşılarsa karşılasın her zaman yüksek risklidir.

Madde 6(4) uyarınca sağlayıcı bu değerlendirmeyi sistem piyasaya arz edilmeden önce belgeler, yetkili bir ulusal makam talep ettiğinde belgeleri teslim eder ve Madde 49(2) uyarınca kayıt yaptırır.

Komisyon'un Digital Omnibus önerisi Madde 49(2)'yi yürürlükten kaldıracaktı. Bu kaldırma reddedildi; dolayısıyla kendini muaf tutan sağlayıcılar Ek VIII Kısım B'yi kullanarak kayıt yaptırmaya devam ediyor. Omnibus, Kısım B'yi yine de kısalttı: 7. ve 9. bentler (varılan sonucun gerekçelerinin kısa bir özeti ve sistemin sunulduğu Üye Devletler) kaldırıldı. Kayıtta hâlâ dayanılan Madde 6(3) koşulu belirtiliyor; gerekçenin kendisi ise yalnızca bir makamın talep edebileceği Madde 6(4) kaydında yer alıyor. Muafiyet sizi veri tabanının dışında tutmaz. Tutumunuzu kamuya açık bir sicile taşır ve arkasındaki yazılı değerlendirmenin sistem kullanıma sunulmadan önce hazır olması gerekir.

Yüksek riskli sistemleri kullanıma alan kamu kurumları: Madde 49(3)

Kamu kurumu niteliğindeki uygulayıcılar ya da Birlik kurumları, organları, ofisleri veya ajansları ya da bunlar adına hareket eden kişiler, Ek III'te sayılan yüksek riskli bir sistemi hizmete sunmadan veya kullanmadan önce kayıt yaptırır (2. bent yine hariçtir). Kendilerini kaydeder, veri tabanında sistemi seçer ve o sistemi kullandıklarını kaydederler.

Madde 26(8), tedarikçiler için en önemli kuralı ekler. Kullanmayı planladığı sistemin kaydedilmediğini fark eden bir kamu sektörü uygulayıcısı o sistemi kullanamaz ve durumu sağlayıcıya veya distribütöre bildirmek zorundadır. Ek VIII Kısım C kapsamındaki kendi kaydı, sağlayıcının kaydının URL'sini ister. Sizin kaydınız oluşmadan kamu sektöründeki bir müşteriniz kendi kaydını tamamlayamaz.

Özel sektördeki uygulayıcıların Madde 49 kapsamında bir kayıt yükümlülüğü yoktur.

Ek III'ün 1., 6. ve 7. bentlerinde yer alan kolluk, göç, iltica ve sınır kontrolü yönetimi alanlarındaki sistemler, veri tabanının güvenli ve kamuya kapalı bir bölümüne kaydedilir (Madde 49(4)). Madde 49 kapsamında kaydedilen diğer her şey, Madde 71(4) uyarınca kamuya açıktır.

AB dışındaki sağlayıcılar: Madde 22

Birlik dışında yerleşik bir sağlayıcı, yüksek riskli bir sistemi Birlik pazarında kullanıma sunmadan önce yazılı bir yetki belgesiyle Birlik'te yerleşik bir yetkili temsilci atamak zorundadır. Ek III sistemleri için bu yükümlülük 2 Aralık 2027'den itibaren geçerlidir. Temsilcinin bilgileri Kısım A veya B'nin 3. bendine yazılır ve Madde 22(3)(e) temsilciye kaydın kendisinde de bir görev verir.

Madde 22'nin ihlali, Madde 99(4)(b) uyarınca para cezasıyla yaptırıma bağlanır: 15 milyon avroya veya dünya genelindeki toplam yıllık cironun %3'üne kadar (hangisi daha yüksekse; KOBİ'ler ve küçük orta ölçekli şirketler için hangisi daha düşükse).

Bir sağlayıcı adına kayıt gönderen kişi, bu nedenle onun yetkili temsilcisi olmaz. Ek VIII, gönderen kişiyi (2. bent) ve temsilciyi (3. bent) ayrı ayrı sayar; birinin adına başvuru yapmak Madde 22'yi karşılamaz.

Kayıt yükümlülüğü ne zaman uygulanıyor

(AB) 2026/1744 sayılı Tüzük neleri değiştirdi

Yapay zekaya ilişkin Digital Omnibus, 8 Temmuz 2026 tarihli (AB) 2026/1744 sayılı Tüzük oldu; 24 Temmuz'da Resmî Gazete'de yayımlandı ve 27 Temmuz 2026'dan beri yürürlükte. Tüzük, Madde 6(1)'i 2 Ağustos 2027'den itibaren uygulayan Madde 113 üçüncü paragrafın (c) bendini değiştirdi. Yeni (c) bendi, Bölüm III'ün 1, 2 ve 3. kısımlarını (Madde 6(5) hariç) Ek III sistemleri için 2 Aralık 2027'den, Ek I sistemleri için 2 Ağustos 2028'den itibaren uygular.

Bunlar sabit tarihler. Öneri, yüksek risk kurallarının başlangıcını uyumlaştırılmış standartların hazır olmasına bağlamıştı; bu tetikleyici metinden çıkarıldı. Komisyon'un Madde 113 konsolide metni kabul edilen sürümü gösteriyor, ancak AI Act Service Desk'in sık sorulan sorular bölümünün bazı kısımları hâlâ eski mekanizmayı anlatıyor.

Madde 49 etrafındaki metin boşluğu

Madde 49, Bölüm III'ün standartları, uygunluk değerlendirmesini, sertifikaları ve kaydı düzenleyen 5. kısmında yer alır. Yeni (c) bendi yalnızca 1 ile 3. kısımları sayar. Lafzen okunduğunda 5. kısım, 2 Ağustos 2026 genel uygulama tarihinde kalmıştır.

Bu yorumun dayanağı zayıf. Madde 49(1), Ek III'te sayılan yüksek riskli sistemlere uygulanır; onları yüksek riskli yapan Madde 6 ise ertelenmiştir. Kayıt yükümlülüğünü bir işletmeciye yükleyen hükümler de ertelenmiştir: sağlayıcınınki Madde 16(i)'de, yetkili temsilcininki Madde 22(3)(e)'de, kamu sektörü uygulayıcısınınki Madde 26(8)'de. Madde 99(4)'teki para cezaları tek başına Madde 49'a değil, bu maddelere bağlıdır. Üstelik kayıt yapılacak bir veri tabanı da yok.

Yorumcular ikiye ayrılmış durumda. En az bir yorum metnin lafzını esas alıp 2 Ağustos 2026 tarihini veriyor; Euractiv'in aktardığı bir Komisyon yardım masası yanıtı ise Aralık 2027'yi işaret ediyor. Biz 2 Aralık 2027'yi esas alıyoruz, yine de bu boşluğu uyum dosyasına not düşmenizi öneriyoruz.

Halihazırda piyasada olan sistemler: Madde 111(2)

Değiştirilmiş hâliyle Madde 111(2), Bölüm III tarihinden önce piyasaya arz edilmiş yüksek riskli bir sistemi ancak tasarımı sonradan önemli ölçüde değişirse kapsama alır; bu değerlendirme tip ve model bazında yapılır. Aktif olarak geliştirilmekte olan bir sistem için bu muafiyet yalnızca tasarımdaki ilk önemli değişikliğe kadar sürer. Kamu kurumlarınca kullanılması amaçlanan yüksek riskli sistemlerin sağlayıcıları ve uygulayıcıları her durumda 2 Ağustos 2030'a kadar uyum sağlamak zorundadır.

Tarihler

Kayıt nereye yapılıyor: Madde 71 kapsamındaki veri tabanı

Madde 71, AB veri tabanını Üye Devletlerle iş birliği içinde kurma ve işletme görevini Komisyon'a verir. Veri tabanı henüz çalışmıyor. Euractiv'in aktardığı, AI Act Service Desk'in 9 Temmuz 2026 tarihli bir yanıtında şöyle deniyordu: “Bu veri tabanı henüz açık ve faal değildir”. Yanıt, beklenen açılışı 2027'nin üçüncü çeyreğine yerleştiriyordu (yanıtla ilgili haber). Bu ikincil bir kaynak. Komisyon bir açılış tarihi yayımlamadı.

Bugün hiç kimse bir sistemi kaydedemez. Biri bunu yapmayı teklif ederse tam olarak neyi ve nereye başvuracağını sorun.

Kayıtta neler yer alıyor: Ek VIII

• Kısım A'nın çoğu, zaten sahip olmanız gereken belgeleri tekrarlar. Kullanım talimatları (Madde 13) ve AB uygunluk beyanı (Madde 47) aynı sistemi ve aynı kullanım amacını anlatır; kayıt da sistemi farklı biçimde anlatmamalıdır.
• Ek III sağlayıcılarının çok azı onaylanmış kuruluş belirtecektir. Madde 43(2) uyarınca 2 ile 8. bentler, Ek VI kapsamındaki iç kontrol prosedürünü izler. 1. bentteki biyometrik sistemler onaylanmış kuruluşa ihtiyaç duyabilir.
• Veriler ve çalışma mantığına ilişkin açıklama kamuya açık olacak. Bunu rakipleriniz dahil herkesin okuyacağını varsayarak yazın.
• Durum alanı, başvurudan daha uzun yaşar. Bir sistem piyasadan çekildiğinde veya geri çağrıldığında kaydın sorumluluğunu birinin üstlenmesi gerekir.

Sağlayıcı adına başvuru

Ek VIII, başvuruyu sağlayıcıdan başka birinin yapabileceğini öngörür. Kısım A ve B'nin 2. bendi, “bilgilerin sağlayıcı adına başka bir kişi tarafından sunulduğu durumlarda” o kişinin adını, adresini ve iletişim bilgilerini ister; Kısım C'nin 2. bendi de uygulayıcılar için aynısını yapar. Madde 71(5), veri tabanının kayıttan sorumlu olan ve sağlayıcıyı veya uygulayıcıyı “temsil etmeye yasal olarak yetkili” gerçek kişilerin adlarını ve iletişim bilgilerini tutmasını öngörür.

Dolayısıyla Tüzük, sağlayıcının yetkisi altında üçüncü bir tarafın başvuru yapmasına imkân tanır. Ancak işleyişi netleştirmez. Komisyon, portalın başvuru yapan kişiyi nasıl tanımlayacağını, başvuru yetkisinin nasıl kanıtlanacağını ya da bir kuruluşun kendi erişimi üzerinden başka bir kuruluş adına başvuru yapıp yapamayacağını açıklamadı. Bunların hiçbiri henüz doğrulanmış değil.

Akıllıca bir plan iki ihtimali de karşılar: sağlayıcıyı temsil etme yetkisine sahip, adı belirtilmiş bir gerçek kişiyi içeren yazılı bir yetki belgesi ve kendi çalışanlarınızın sıfırdan başlamadan başvurabileceği kadar eksiksiz bir dosya.

Portal açılmadan önce yapılması gerekenler

1. Envanter çıkarın ve sınıflandırın. Her yapay zeka sistemi için varsa hangi Ek III bendine girdiğini ve sağlayıcısı mı yoksa uygulayıcısı mı olduğunuzu kaydedin.
2. Yüksek riskli saymadığınız her sistem için Madde 6(4) kaydını şimdi yazın. Madde 6(3) koşulunu belirtin, sistemin kararların sonucunu neden esaslı biçimde etkilemediğini açıklayın ve profil çıkarma konusunu açıkça ele alın.
3. Sürümlerinizi 2 Aralık 2027'ye göre planlayın. Bu tarihten itibaren ilk kez piyasaya arz edilen bir sistemin ya da tasarımı önemli ölçüde değişen eski bir sistemin, kullanıma sunulmadan önce kaydının yapılmış olması gerekir.
4. Ek VIII içeriğinin taslağını hazırlayın ve kullanım talimatları ile uygunluk beyanıyla uyumlu hâle getirin. Uygunluk çalışmaları devam ediyorsa taslak, belgelerin nerede çeliştiğini erkenden gösterir.
5. AB dışındaysanız yetkili temsilcinizi seçin. Onun bilgileri kayda girer.
6. Kamu sektöründeki müşterilerinize kaydınızın ne zaman hazır olacağını bildirin. Onların Kısım C kaydı sizin URL'nize ihtiyaç duyar ve Madde 26(8), kaydedilmemiş bir sistemi kullanmalarını yasaklar.
7. Kişileri belirleyin: sizi temsil etmeye yasal olarak yetkili kişi, farklıysa başvuruyu yapacak kişi ve sonrasında kaydın sorumluluğunu üstlenecek kişi.

Kaydın arkasında teknik dokümantasyon, kayıt tutma (loglama) ve uygunluk kanıtları yer alır: mühendislik projeleri olarak yürüttüğümüz AI Act uyum çalışmaları tam olarak bunu kapsar. Madde 50 ayrı bir başlıktır ve şeffaflık yükümlülükleri rehberimizde ele alınmaktadır.

Dosyayı şimdiden hazırlamak

Her yapay zeka sistemi için sabit bir ücret karşılığında sınıflandırmayı Ek III ve Madde 6(3)'e göre kontrol ediyor, gerektiği yerde Madde 6(4) kaydının taslağını hazırlıyor ve eksiksiz bir Ek VIII dosyasını şimdiden hazırlıyoruz; veri tabanı açıldığında da başvuruyu sizin yetki belgenize dayanarak yapıyoruz. Veri tabanı sağlayıcı adına yapılan başvuruları kabul etmezse ücretin başvuruya karşılık gelen kısmını iade ediyor ve başvuruyu kendiniz yapmanız için size adım adım yol gösteriyoruz. Madde 22 kapsamında yetkili temsilciniz olarak hareket etmek bu hizmetin parçası değildir. Ayrıntılar kayıt dosyası hizmeti sayfamızda; dilerseniz bir görüşme planlayabilirsiniz.