AB Data Act: Tasarımdan İtibaren Veri Erişimi ve Bulut Bağımlılığının Sonu

Data Act (Veri Yasası), güncel AB düzenlemelerinin en sessizi ve en yapısal olanlarından biri. Web sitenize bir banner ya da ürününüze bir etiket eklemiyor. Ürünlerinizin ürettiği verinin kime ait olduğunu değiştiriyor ve bulut sağlayıcısı değiştirmeyi ticari bir pazarlık konusu olmaktan çıkarıp yasal bir hakka dönüştürüyor.

(AB) 2023/2854 sayılı Tüzük 12 Eylül 2025'te uygulanmaya başladı. Gerçek mühendislik çalışması gerektiren yükümlülük, yani ürünleri varsayılan olarak veri erişimine göre tasarlamak, 12 Eylül 2026'dan beri bu tarihten sonra piyasaya sürülen bağlantılı ürünlere ve ilgili hizmetlere uygulanıyor. Geriye dönük değil. Bulut geçiş ücretleri yasağı ise 12 Ocak 2027'de tamamlanıyor.

Bağlantılı ürünler geliştiriyor ya da bir veri işleme hizmeti işletiyorsanız, yol haritanızda olsa da olmasa da bu konu yol haritanızda.

Bir Arada İki Düzenleme

Data Act birbirinden oldukça farklı iki şey yapıyor ve bunları ayrı ele almak işi kolaylaştırıyor.

Birinci bölüm, bağlantılı ürünlerin kullanıcılarına bu ürünlerin ürettiği veriler üzerinde bir hak ve bu verilerin kendi seçtikleri bir üçüncü tarafla paylaşılmasını isteme hakkı tanıyor.

İkinci bölüm, veri işleme hizmeti sağlayıcılarını, yani bulut ve uç (edge) hizmet sağlayıcılarını, rakip bir sağlayıcıya geçişi pratikte mümkün ve sonunda ücretsiz hâle getirmekle yükümlü kılıyor.

İkisi de aynı soruna yönelik: kullanıcıların ürettiği veri, onu toplayan tedarikçinin içinde kilitli kalıyor.

Bağlantılı Ürünler: Varsayılan Olarak Veri Erişimi

Bağlantılı ürün, kullanımı ya da çevresi hakkında veri elde eden, üreten ya da toplayan ve bu veriyi iletebilen her fiziksel üründür. Tanım bilinçli olarak geniş tutulmuş. Araçlar, endüstriyel makineler, tarım ekipmanları, tıbbi cihazlar, ev aletleri, giyilebilir cihazlar, akıllı sayaçlar, bina sistemleri ve tüketici elektroniği bunun içinde.

İlgili hizmet, ürünün amaçlandığı gibi çalışmasını sağlayan yazılımdır ve donanımla birlikte kapsamdadır.

Kullanıcılar ne elde ediyor

Kullanıcılar, kendi kullanımlarıyla oluşan ürün verilerine ve ilgili hizmet verilerine kolayca, güvenli şekilde, ücretsiz olarak ve kapsamlı, yapılandırılmış, yaygın kullanılan ve makine tarafından okunabilir bir formatta erişme hakkına sahip. Teknik olarak mümkün olduğu yerde bu erişim, dönemsel bir dışa aktarım değil, doğrudan ve sürekli olmalı.

Kullanıcılar ayrıca veri sahibinden bu verileri kendi belirledikleri bir üçüncü tarafla paylaşmasını da isteyebilir. Bu üçüncü taraf bir rakibin hizmeti, bir tamirhane, bir sigortacı ya da bir analiz sağlayıcısı olabilir. Veri sahibi bunu sözleşme hükümleriyle engelleyemez ve paylaşılan veriyi kullanıcıyla rekabet etmek için kullanamaz.

12 Eylül 2026'da ne değişti

O tarihten beri piyasaya sürülen bağlantılı ürünler ve bunların ilgili hizmetleri, ürün verileri ve ilgili hizmet verileri varsayılan olarak ve ilgili ve teknik olarak mümkün olduğu yerde doğrudan kullanıcının erişebileceği şekilde tasarlanmalı ve üretilmeli.

“Tasarlanmalı” kelimesi, bunu hukuki değil, mühendislikle ilgili bir son tarih yapan şey. Bir tasarım yükümlülüğünü bir destek süreciyle karşılayamazsınız. Ürünün içinde olması gerekir.

İş olarak nasıl görünüyor

Çoğu ekip için eksik olan API değil, altındaki her şey.

Veri modeli. Kullanıcının ürünü kullanmasıyla oluşan veriyi, sizin türettiğiniz, zenginleştirdiğiniz ya da çıkarımla elde ettiğiniz veriden ayırmanız gerekiyor. Kullanıcıların hakkı ilki üzerinde. Bu ayrım çoğu zaman mevcut şemalarda yoktur; telemetri, türetilmiş metrikler ve şirket içi analizler aynı tablolarda durur.

Erişim arayüzleri. Kimlik doğrulama, yetkilendirme, sayfalama ve istek sınırlaması olan gerçek bir API, ayrıca teknik bilgisi olmayan kullanıcılar için bir self servis yolu. Talep üzerine e-postayla gönderilen bir CSV, “kolayca ve ilgili ve teknik olarak mümkün olduğu yerde doğrudan” şartını karşılamaz.

Üçüncü taraf yetkilendirmesi. Kullanıcı bir alıcı belirleyebilir. Bu, kullanıcının sizinle hiçbir ilişkisi olmayan bir tarafa kapsamı sınırlı erişim verebildiği ve bunu geri alabildiği bir onay ve yetkilendirme modeli demek. Platformunuzda devredilmiş erişim diye bir kavram yoksa işin en büyük tek parçası budur.

Ticari sırların korunması. Yasa, veri erişimini ticari sırların korunmasıyla dengelemeye çalışıyor. Gizliliği korumak için orantılı önlemler talep edebilir ve dar koşullarda paylaşımı reddedebilir ya da askıya alabilirsiniz. Bunun topyekün bir ret değil, belgelenmiş ve savunulabilir bir tutum olması gerekir; hukuk danışmanınızı erkenden sürece dahil etmeye değer.

Sözleşme öncesi bilgilendirme. Satıştan önce alıcıya ürünün hangi verileri ürettiğini, bunlara nasıl erişildiğini, erişimin sürekli ve gerçek zamanlı olup olmadığını ve verileri kendiniz kullanmayı düşünüp düşünmediğinizi bildirmeniz gerekiyor. Bu, ürün sayfası ve dokümantasyon içeriği demek ve Eylül 2026'da yürürlüğe giren ürün bilgilendirme yükümlülükleriyle aynı incelemeye dahil edilmeli.

Bulut Geçişi: Bağımlılığın Sonu

Data Act'in ikinci yarısı IaaS, PaaS ve SaaS'ı kapsayan veri işleme hizmetlerini hedefliyor.

Sağlayıcıların yapması gerekenler:

• Geçişin önündeki ticari, teknik, sözleşmesel ve organizasyonel engelleri kaldırmak.
• Geçişi azami bir geçiş süresi içinde tamamlamak: genellikle en fazla iki aylık bir bildirim süresinin ardından 30 gün; teknik olarak mümkün olmadığı durumlarda uzatılabilir.
• Dışa aktarılabilir tüm verilerin ve dijital varlıkların yapılandırılmış, yaygın kullanılan, makine tarafından okunabilir bir formatta dışa aktarılmasını desteklemek.
• Açık arayüzler ve altyapı hizmetleri için geçişten sonra işlevsel eşdeğerlik sağlamak.
• Sözleşme sona erdikten sonra en az 30 günlük bir veri geri alma süresi sunmak.

Ücretler konusunda, geçiş maliyetleri uygulama tarihinden itibaren düşürüldü ve 12 Ocak 2027'den itibaren tamamen kaldırılıyor. Bu tarihten sonra sağlayıcı geçiş süreci için hiçbir ücret talep edemez.

Sözleşme hükümlerinin de bunu yansıtması gerekiyor: geçiş prosedürü, geçiş süresi, dışa aktarılabilir veri kategorilerinin eksiksiz listesi ve sunulan destek dahil.

Bulut hizmeti satın alıyorsanız

Bu gerçekten işe yarayan bir koz ve alıcıların çoğu bunu kullanmıyor.

Bir sonraki sözleşme yenilemenizde geçiş hükmünü, dışa aktarılabilir veri kategorilerini ve çıkış desteği taahhütlerini isteyin. Bunlara hakkınız var. Yanıt belirsizse bu, bir çıkışın gerçekte ne kadar zor olacağı hakkında size bilgi verir.

Bir dokümantasyon sayfasına güvenmek yerine bir dışa aktarım testi yapmaya da değer. Her şeyi dışa aktarın, anlamlandırmaya çalışın ve hizmetinizi başka bir yerde gerçekten yeniden kurup kuramayacağını görün. Bir sağlayıcının dışa aktarılabilir dediği ile gerçekten kullanılabilir olan arasındaki boşluk, bağımlılığın genellikle yaşadığı yerdir.

Bulut hizmeti satıyorsanız

Sözleşmelerinizde geçiş hükmüne, belgelenmiş bir geçiş prosedürüne, gerçekten kullanılabilir bir çıktı üreten bir dışa aktarım mekanizmasına ve şu an veri çıkışı (egress) ya da çıkış ücreti alıyorsanız Ocak 2027'deki sıfır ücret noktası için bir plana ihtiyacınız var.

Özellikle egress fiyatlandırması dikkat gerektiriyor. Dışarıya veri aktarımı için ücret almak sektörde uzun süredir yerleşik bir uygulama ve olağan egress ücretleri ile geçiş ücretleri arasındaki ayrım, düzenleyicilerin inceleyeceği bir konu.

Kamu Sektörünün Erişimi ve B2B Hükümler

Bilmeye değer iki küçük parça daha var.

Yasa, kamu sektörü kurumlarına olağanüstü ihtiyaç durumlarında, öncelikle kamusal acil durumlarda, özel şirketlerden veri talep etme hakkı tanıyor. Kapsamı dar, ancak kamusal önemi olan veriler tutuyorsanız böyle bir sürecin var olduğunu bilmelisiniz.

Yasa ayrıca, veri erişimi ve kullanımıyla ilgili olarak başka bir işletmeye tek taraflı dayatılan sözleşme hükümleri için bir haksızlık testi getiriyor. İyi ticari uygulamadan ağır şekilde sapan bir hüküm bağlayıcı değil. Bu, tedarikçi sözleşmelerindeki “kabul et ya da vazgeç” türü veri hükümlerine karşı faydalı bir denge.

Neler Değişebilir: Digital Omnibus

Komisyon 19 Kasım 2025'te, Data Governance Act'i, Open Data Directive'i ve Free Flow of Non-Personal Data Regulation'ı yeniden yapılandırılmış bir Data Act içinde birleştirecek ve küçük işletmeleri bazı bulut geçiş kurallarından muaf tutacak bir Digital Omnibus (2025/0360(COD) sayılı usul) teklif etti. Bu bir teklif, yasa değil. 10 Ekim 2026 itibarıyla Parlamento'nun sorumlu komiteleri taslak raporlarına yönelik 1.750'den fazla değişiklik önergesi üzerinde çalışmayı sürdürüyordu ve Konsey'in bir müzakere yetkisi yoktu: büyükelçilerin 7 Ekim'deki oylaması, aktarılanlara göre Fransa ve Almanya'nın Data Act'te daha güçlü bir ticari sır koruması istemesi nedeniyle ertelendi ve 11 Ekim'de yeni bir deneme bekleniyordu. Bir metin kabul edilene kadar planlarınızı, geçiş ücretleri için Ocak 2027 tarihi de dahil, Data Act'in mevcut hâline göre yapın.

Şimdi Ne Yapardık

Bağlantılı ürünler üretiyorsanız, Eylül 2026 tarihi geçti. Tasarım yükümlülüğü bu tarihten sonra piyasaya sürülen ürünlere uygulanıyor; dolayısıyla şimdi piyasaya sürdüğünüz ve şu anda geliştirmekte olduğunuz her şey kapsamda. İşe veri modelindeki ayrımla başlayın, çünkü geri kalan her şey ona bağlı.

Bir veri işleme hizmeti işletiyorsanız, sözleşmelerinizi, dışa aktarım araçlarınızı ve ücret yapınızı gözden geçirin. Ocak 2027'deki sıfır ücret noktası çok uzakta değil ve gelir üzerindeki etkileri mühendislik ekibinde değil, yönetim düzeyinde karara bağlanmalı.

Bulut hizmeti satın alıyorsanız, yenileme sırasında kozunuzu kullanın ve dışa aktarım yolunuzu test edin. Bu bir gününüzü alır ve size gerçek riskiniz hakkında değerli bir şey söyler.

Diğer herkes de kapsamı yine kontrol etmeli. Bağlantılı ürün tanımı, ifadenin çağrıştırdığından daha geniş ve kendini yazılım şirketi olarak gören şirketler bazen bunu şirket içinde fark etmeden donanım satıyor.

Büyük Resim

Data Act, Avrupa yazılımının üzerine kurulduğu varsayımları birlikte yeniden şekillendiren bir kurallar bütününün parçası. 2026 AB dijital uyum rehberi, bununla birlikte gelen son tarihler dahil tüm alanın haritasını çıkarıyor.

Değerlendirilmeye değer gerçek örtüşmeler var. Data Act için geliştirilen veri erişim API'leri, GDPR kapsamındaki taşınabilirlik talepleriyle aynı altyapıyı paylaşıyor. Cyber Resilience Act için hazırlanan bileşen envanterleri, ürün verilerinin gerçekte nerede durduğunu gösteriyor. Bunları üç ayrı proje yerine tek bir platform yeteneği olarak geliştirmek, bir çeyrek ile bir yıl arasındaki fark demek.

Avrupa'da faaliyet gösteren şirketler için veri platformları, API'ler ve bulut altyapısı tasarlıyor ve geliştiriyoruz; bu düzenlemenin varsaydığı devredilmiş erişim ve dışa aktarım mekanizmaları da buna dahil. Eylül 2026 tasarım yükümlülüğünün belirli bir ürün için ne anlama geldiğinin kapsamını çıkarmak için destek istiyorsanız office@c9group.dev adresine yazın ya da AWS altyapısı ve Avrupa pazarına giriş alanındaki çalışmalarımız hakkında daha fazla bilgi edinin.

Biz hukuki tavsiye vermiyor, sistem geliştiriyoruz. Kapsam belirleme ve ticari sır tutumları hukuk danışmanınızın işidir.