Cloud and AI Development Act: Avrupa Aslında Neyi Düzeltmeye Çalışıyor

Cloud and AI Development Act (Bulut ve Yapay Zeka Geliştirme Yasası), Avrupa teknoloji politikasının bugün neye dönüştüğünü şimdiye kadarki en açık şekilde gösteriyor. Bu bir tüketiciyi koruma yasası değil, bir güvenlik yasası da değil. Tek bir soruna yönelik bir sanayi politikası: Avrupa, dijital ekonomisinin büyük kısmını kontrol etmediği bir altyapı üzerinde yürütüyor.

Bu, GDPR'den ya da AI Act'ten farklı türde bir düzenleme ve size farklı bir mekanizma üzerinden ulaşacak. Hangi mekanizma olduğunu anlamak, gerekçe bölümlerini okumaktan daha önemli.

Yanıt verdiği sorun

Bunun arkasındaki rakamlara kimse itiraz etmiyor. Avrupa'daki bulut altyapısı harcamalarının ezici çoğunluğu Avrupalı olmayan sağlayıcılara gidiyor. Avrupalı şirketlerin kullandığı en büyük yapay zeka modelleri Avrupa dışında eğitiliyor ve barındırılıyor. Avrupa'nın işlem kapasitesi, küresel toplamın küçük bir kısmı.

On yıl boyunca bu bir piyasa sonucu olarak görüldü. 2022'den beri ise teknolojiyle hiçbir ilgisi olmayan nedenlerle stratejik bir zafiyet olarak görülüyor: ticari gerilimler, ihracat kontrolleri ve altyapı bağımlılığının bir koz olduğunun fark edilmesi.

Cloud and AI Development Act, bu yeniden değerlendirmenin yasama ayağı. AI Continent Action Plan, InvestAI girişimi, yapay zeka gigafabrikaları programı ve Draghi raporundan çıkan daha geniş rekabetçilik gündemiyle yan yana duruyor.

Teklif ne yapıyor

Komisyon teklifi 3 Haziran 2026'da, bir Chips Act 2.0 ile birlikte COM(2026) 502 numarasıyla yayımladı. Üç hedef ve bir dizi kamu sektörü tedbiri etrafında kurulmuş bir Tüzük (Regulation):

Araştırma ve inovasyon. Sektörler arası büyük projeler için Cloud and AI Leadership Initiatives, European Digital Innovation Hubs üzerine kurulu bir AI Experience and Acceleration Centres ağı, öncü yapay zeka öncelikli projelerine ayrılan işlem kapasitesi ve yürürlüğe girişten itibaren bir yıl içinde her üye devlette ulusal bir bulut ve yapay zeka stratejisi.

Veri merkezi kapasitesi. Üye devletler, tek bir bilgi noktası ve daha hızlı izin süreçleri olan veri merkezi hızlandırma bölgeleri belirler; Komisyon da stratejik veri merkezi projeleri belirleyebilir. Açıklanan hedef, AB'nin veri merkezi kapasitesini 2030'a kadar en az üç katına çıkarmak ve yeni bir veri merkezi için gereken her iznin 18 aydan kısa sürede alınabilmesini sağlamak.

Bulut için bir egemenlik çerçevesi. Dört Birlik güvence seviyesi. 1. seviye bir öz değerlendirme; 2 ile 4 arasındaki seviyeler üçüncü taraflarca denetleniyor. 3. seviye, Komisyon o ülkenin yeterli güvence sunduğunu tanımadığı sürece sağlayıcının üçüncü bir ülkeden kontrol edilmemesini şart koşuyor. Tanınan hizmetler merkezi bir AB kayıt sistemine giriyor.

Kamu sektöründe kullanım. Gerçekten bağlayıcı olan kısım bu. Kamu alıcıları en az 1. seviyede tanınmış bulut hizmetleri satın almak zorunda. Bir risk değerlendirmesi, bir faaliyetin kamu düzenine katkıda bulunduğunu tespit ettiğinde (diğerlerinin yanı sıra NIS2 sektörleri, ulusal güvenlik, savunma, adalet ve kolluk alanlarında) yalnızca 2., 3. ya da 4. seviyelere izin veriliyor. Üye devletler bulut ve yapay zeka satın alırken Birlik katma değeri kriterlerini de uygulamak zorunda; bir EuroCloud Federation, kamu kurumlarının bulut hizmetlerini paylaşmasına imkân veriyor ve kamu kurumları tescilli yazılım yerine açık kaynak kullanımını teşvik etmek ve kolaylaştırmak zorunda.

Özel sektör alıcılarını bağlayan pek az şey. NIS2 sektörlerindeki şirketler aynı risk değerlendirmesini gönüllü olarak yapabilir ve Komisyon bunu yüksek kritiklikteki sektörler için bir yetki devrine dayalı tasarrufla (delegated act) zorunlu hâle getirebilir. Teklif edildiği şekliyle Tüzük, yürürlüğe girişinden bir yıl sonra uygulanacak; ancak önce Parlamento'dan ve Konsey'den geçmesi gerekiyor.

Size gerçekten ulaşacak mekanizma

Bu dosyada anlaşılmaya değer nokta şu. Teknoloji düzenlemelerinin çoğu özel şirketlere doğrudan ulaşır: kişisel veri işliyorsunuz, dolayısıyla GDPR size uygulanır. Cloud and AI Development Act'in ise çoğu şirkete dolaylı yoldan, kamu alımları üzerinden ulaşması çok daha olası.

AB'de kamu sektörünün teknoloji harcaması devasa. Üye devletlerin kamu kurumlarının Avrupa bulutunu satın almaları zorunlu tutulur ya da güçlü şekilde teşvik edilirse bu, kamu sektörüne satış yapan her tedarikçinin hitap edebileceği pazarı değiştirir ve ana yükleniciler üzerinden onların tedarikçilerine kadar iner.

Bu örüntü erişilebilirlikten tanıdık. Avrupa Erişilebilirlik Yasası'nın (European Accessibility Act) doğrudan yükümlülükleri var, ancak pratikte erişilebilirlik çalışmalarının büyük kısmını, direktif uygulanmaya başlamadan çok önce uyumsuz tedarikçileri dışarıda bırakan kamu alım kuralları yönlendirdi.

Burada da aynısını bekleyin. Avrupalı kamu alıcılarına yazılım satıyorsanız, altyapınızın nerede çalıştığı, onu kimin kontrol ettiği ve taşınıp taşınamayacağı soruları güvenlik anketinden çıkıp yeterlilik kriterlerine girecek.

Bunun mimari açısından anlamı

Bir egemenlik politikası okunduğunda ilk refleks ya onu görmezden gelmek ya da panikle taşınmaya başlamaktır. İkisi de doğru değil. Makul olan, sorunun yanıtlanabilir olduğundan emin olmak.

Verilerinizin ve işlem gücünüzün gerçekte nerede olduğunu bilin

Kulağa basit geliyor ama değil. Olgun bir sistemde “bu nerede çalışıyor” sorusunun dürüst yanıtı çoğu zaman bir birincil bölge, bir yedek bölge, uç konumları belirsiz bir CDN, yönetilen bir veritabanı, kendi alt işleyicileri olan üç SaaS bağımlılığı, bir gözlemlenebilirlik sağlayıcısı ve çıkarım (inference) konumu belgelenmemiş bir yapay zeka API'sini içerir.

Doğru bir harita çıkarmak gerçek işin ilk parçası ve bu, GDPR kapsamındaki veri aktarımı analizi ve NIS2 tedarik zinciri soruları için de ihtiyaç duyduğunuz haritanın aynısı. Bunu bir kez yapın.

Taşınabilir parçaları taşınamayanlardan ayırın

Hemen her sistemin taşınabilir bir çekirdeği ve sağlayıcıya özgü bir dizi bağımlılığı vardır. Taşınabilir çekirdek genellikle uygulamanın kendisidir. Taşınamayan parçalar genellikle yönetilen servislerdir: tescilli veritabanları, sunucusuz çalışma ortamları, kuyruklama, kimlik yönetimi ve giderek artan şekilde model API'leri.

Bunları ortadan kaldırmak zorunda değilsiniz. Ama hangileri olduklarını bilmek zorundasınız; çünkü bu liste, bir taşımanın ne kadar zor olacağı sorusunun dürüst yanıtıdır ve bir kamu alım anketinin aslında sorduğu da budur.

Model sağlayıcılarını bir soyutlama sınırı olarak ele alın

En yenisi ve en sık atlananı bu. Tek bir sağlayıcının model API'sini doğrudan çağıran, sağlayıcıya özgü istem formatları ve yanıt işleme mantığı kod tabanının her yerine dağılmış uygulamalar, farkına varmadan bir bağımlılık kararı vermiş olur.

Model çağrılarının üzerine kurulan ince bir soyutlama katmanı, geliştirirken çok az maliyet getirir ve size istekleri Avrupalı bir sağlayıcıya, Avrupa altyapısı üzerindeki açık ağırlıklı (open-weights) bir modele ya da tamamen farklı bir sağlayıcıya yönlendirebilme imkânı kazandırır. Model ortamının ne kadar hızlı değiştiği düşünülürse, bunu yapmak yalnızca ticari gerekçelerle bile değer.

Çıkışı yalnızca belgelemeyin, test edin

Data Act size zaten bulut sağlayıcısı değiştirme hakkı tanıyor ve geçiş ücretleri 12 Ocak 2027'den itibaren tamamen ortadan kalkıyor. Bu hakkı kullanan alıcı çok az; hak kazandıkları dışa aktarımın hizmetlerini gerçekten yeniden kurmaya yetip yetmediğini test eden ise daha da az.

Dışa aktarımı çalıştırın. Onu yorumlamayı deneyin. Bir sağlayıcının dışa aktarılabilir dediği ile gerçekten kullanılabilir olan arasındaki boşluk, bağımlılığın (lock-in) yaşadığı yerdir ve aynı zamanda bir egemenlik sorusunun da dürüst yanıtıdır.

Ne olmadığı

Biraz sağduyulu şüphecilik yerinde ve şimdi gerçekçi olmak, sonradan şaşırmaktan iyidir.

Bu, Amerikan bulutuna bir yasak değil. Teklifteki hiçbir şey özel şirketlerin Avrupalı olmayan sağlayıcıları kullanmasını yasaklamıyor. Mekanizma yasak değil, kamu alımlarında tercih ve kapasite inşası.

Kapasite, bir yasa öyle dediği için ortaya çıkmaz. Avrupa'nın bulut kapasitesi sınırlı; çünkü veri merkezi inşa etmek ve öncü modeller eğitmek yoğun sermaye gerektiriyor ve Avrupa yakın zamana kadar gereken ölçekte sermaye taahhüt etmedi. Burada asıl araç, AB teknoloji fonları rehberimizde ele aldığımız finansman programları. Yasa, bunların etrafındaki çerçeve.

Egemenlik etiketi egemenlik değildir. Birçok düzenleme, kendini egemen bulut olarak pazarlarken lisans altında Avrupalı olmayan teknoloji üzerinde, farklı derecelerde operasyonel bağımsızlıkla çalışıyor. Teklifin buna yanıtı güvence seviyeleri: üçüncü bir ülkeden kontrol, Komisyon o ülkeyi tanımadığı sürece bir hizmeti 3. seviyenin ve üstünün dışında tutuyor. 2. ve 3. seviyeler arasındaki çizginin sonunda nereye çekileceğine müzakereler karar verecek.

Bu bir teklif. Artık bir metin var, ancak 10 Ekim 2026 itibarıyla ne Konsey'in ne de Parlamento'nun bu konuda bir tutumu var; Parlamento'da dosya hâlâ ITRE ve IMCO komitelerinde. Değişmesi en olası kısım güvence seviyeleri. Yön ise Komisyon'un üç yıllık iletişimi boyunca tutarlı oldu.

Diğer her şeyle nasıl bağlantılı

Cloud and AI Development Act, koordineli bir hamlenin parçalarından biri ve tek başına okunduğunda olduğundan daha zayıf görünüyor.

AI Act, yapay zeka sistemlerinin nasıl davrandığını düzenliyor. Data Act, bulut bağımlılığına sözleşme yoluyla saldırıyor. NIS2, tedarik zinciri denetimini tedarikçiler üzerinden aşağıya doğru yayıyor. Cyber Resilience Act, ürünlere güvenlik yükümlülükleri getiriyor. InvestAI ve gigafabrikalar programı işlem kapasitesine para yatırıyor. Cloud and AI Development Act ise bunlara kamu alımı ve egemenlik katmanını ekliyor.

Her biri tek başına küçük adımlarla artan bir yük gibi görünüyor. Birlikte ise oldukça tutarlı bir bahsi tarif ediyorlar: Avrupa'nın, pazara erişim kurallarını kamu parasıyla birleştirerek düzenleme yoluyla yerli bir teknoloji tabanına ulaşabileceği bahsi.

Bu bahsin tutup tutmayacağı meşru bir soru. Bahsin oynandığı ise soru değil.

Önümüzdeki on iki ayda ne yapmalı

Altyapı haritasını çıkarın. Her şey nerede çalışıyor, onu kim işletiyor, sözleşmeye dayalı çıkış yolu ne. Bu haritanın dört başka kullanım alanı daha var.

Gerçekten taşınamayan bağımlılıklarınızı belirleyin ve hiç yapmayacak olsanız bile taşımanın maliyetini dürüstçe hesaplayın. Bu, kamu alımı sorusunun yanıtı ve aynı zamanda iyi bir mimari hijyen.

Henüz yapmadıysanız model sağlayıcılarının üzerine bir soyutlama katmanı koyun. Şimdi ucuz, sonra pahalı ve politikayla ilgisi olmayan nedenlerle de faydalı.

Avrupalı kamu alıcılarına satış yapıyorsanız hizmetinizin hangi güvence seviyesine ulaşabileceğini çıkarın. Gerekliliğin bir yeterlilik kriteri olarak ilk ortaya çıkacağı yer, Yasa'daki kamu alım kuralları; 9 Eylül 2026'da teklif edilen Public Procurement Act ise bunun üzerine genel bir Avrupa tercihi çerçevesi ekliyor.

Spekülasyona dayanarak taşınmayın. Henüz kimsenin müzakere etmediği bir teklif yüzünden altyapı taşımak, kuruluşların bir yılı ve büyük bir bütçeyi sonunda gerekli olmadığı anlaşılan bir şeye harcamasının yoludur.

Destek almak

Avrupa'da faaliyet gösteren şirketler için bulut altyapısı, veri platformları ve yapay zeka entegrasyonları tasarlıyor ve geliştiriyoruz; bir sistemi kâğıt üzerinde değil, gerçekten taşınabilir hâle getirmek gibi gösterişsiz işler de buna dahil.

Bir altyapı ve bağımlılık haritasına, mevcut sağlayıcınıza karşı bir çıkış testine ya da model sağlayıcıları üzerinde bir soyutlama katmanına ihtiyacınız varsa office@c9group.dev adresine yazın. Altyapı çalışmalarımız hakkında daha fazla bilgi AWS maliyet optimizasyonu sayfasında, Avrupa'ya yönelik çalışmalarımız ise AB pazarına giriş sayfasında.

Daha geniş yasama tablosu AB dijital mevzuat takvimimizde, bu gündemin arkasındaki para ise AB teknoloji fonları rehberimizde yer alıyor.

Biz politika danışmanı değil, mühendisiz. Bu yazı bir teklife planlama açısından bakıyor; hukuki tavsiye değildir.