2026'da AB Dijital Uyumluluğu: Artık Kod Tabanınıza Uzanan Kurallar

Yaklaşık yedi yıl boyunca GDPR, her ürün ekibinin adını bildiği tek Avrupa düzenlemesiydi. Avrupalı kullanıcılara ulaşan bir web sitesi işletiyorsanız hukuki dayanakları öğrendiniz, bir çerez banner'ı kurdunuz, veri işleme sözleşmeleri imzaladınız ve yolunuza devam ettiniz.

O dönem sona erdi. Avrupa Birliği 2024 ile 2028 arasında, tek tek bakıldığında GDPR kadar talepkâr, birlikte bakıldığında ise çok daha müdahaleci bir dizi dijital düzenleme çıkarıyor. Fark şu: Bu yeni kurallar gizlilik politikasında durmuyor. Ödeme akışınıza, bileşen kütüphanenize, olay müdahale sürecinize, yazılım malzeme listenize ve ürün veri modelinize kadar uzanıyor.

Avrupa'da faaliyet gösteren şirketler için yazılım geliştiriyor ve bakımını yapıyoruz; haftamızın önemli bir kısmı da bu yükümlülükleri iş kayıtlarına (ticket) dönüştürmekle geçiyor. Bu yazı, şu anda nelerin geçerli olduğuna, sırada nelerin geldiğine ve bunların kod yazan insanlar için gerçekte ne anlama geldiğine dair çalışma haritamızdır.

Bu Dalga Neden Farklı Hissettiriyor

GDPR büyük ölçüde yataydı. Tek bir düzenleme, tek bir ilkeler seti; kişisel veri işleyen herkese uygulanıyordu. 2024-2028 dalgası ise dikey ve birbiriyle örtüşüyor. Almanya ve Fransa'da bağlantılı ev cihazları satan orta ölçekli tek bir e-ticaret şirketi, artık aynı anda en az sekiz ayrı düzenlemenin kapsamına girebiliyor; her birinin kendi denetim otoritesi, kendi son tarihi ve kimin sorumlu sayılacağına dair kendi tanımı var.

Bundan üç pratik sonuç çıkıyor.

Birincisi, uyumluluk artık lansmandan hemen önce sonradan eklenebilecek bir şey değil. Bu kuralların birçoğu tasarım kararları gerektiriyor ve ikinci ayda kötü verilmiş bir tasarım kararı, yirminci ayda baştan yazmaya mal oluyor.

İkincisi, teknik çıktılar evraktan daha önemli. Denetim otoriteleri giderek daha fazla makine tarafından okunabilir kanıt istiyor: bir yazılım malzeme listesi, bir uygunluk değerlendirmesi, bir erişilebilirlik beyanı, bir onay kaydı, bir olay zaman çizelgesi. Sistemde var olmayan bir kontrolü anlatan politika belgesinden kimse etkilenmiyor.

Üçüncüsü, son tarihler kademeli ve bazıları kaydı. Kasım 2025'te önerilen Digital Omnibus paketinin ardından AI Act'in bazı bölümleri ertelendi, diğer bölümleri ise tam olarak yerinde kaldı. Tek bir manşet okuyup duran ekipler şimdi yanlış tarihlere göre plan yapıyor.

Şu Anda Geçerli Olanlar

GDPR, hâlâ temel

Yeni dalgadaki hiçbir şey Genel Veri Koruma Tüzüğü'nün (GDPR) yerini almıyor. Temel katman olmaya devam ediyor ve en büyük para cezaları hâlâ oradan geliyor. Veri modeliniz, saklama süresi işleriniz ve ilgili kişi erişim talebi süreciniz zayıfsa, üzerine inşa edilen her şey bu zayıflığı devralır. Mühendislik odaklı ayrı bir anlatımı web siteleri için pratik GDPR rehberimizde yazdık.

European Accessibility Act

2019/882 sayılı Direktif 28 Haziran 2025'te uygulanmaya başladı ve denetimler 2026 boyunca giderek yoğunlaştı. Tüketiciye yönelik e-ticareti, bankacılığı, ulaşım biletlemesini, telekomünikasyonu, e-kitapları ve daha fazlasını kapsıyor. Teknik ölçüt EN 301 549. Eylül 2026'da yayımlanan 4.1.1 sürümü bu standardı WCAG 2.2'ye taşıyor; ancak Komisyon onu Resmî Gazete'de atıf olarak yayımlayana kadar uygunluk karinesi için referans, WCAG 2.1 AA Düzeyi'ne karşılık gelen v3.2.1 olarak kalıyor.

Bu düzenleme insanları şaşırtıyor, çünkü bir belgeleme çalışması değil. İşaretlemede, odak yönetiminde, renk kontrastında, form hata işlemede ve klavyeyle gezinmede gerçek değişiklikler gerektiriyor. Bir Fransız mahkemesi Carrefour'a günlük para cezası yaptırımı altında uyumu sağlama emri bile verdi. Ayrıntılar European Accessibility Act rehberimizde.

Data Act

2023/2854 sayılı Tüzük 12 Eylül 2025'te uygulanmaya başladı. Kullanıcılara bağlantılı ürünlerinin ürettiği veriler üzerinde hak tanıyor ve bulut sağlayıcılarını, sağlayıcı değiştirmeyi teoride değil gerçekte mümkün kılmaya zorluyor. 12 Eylül 2026'dan bu yana piyasaya yeni sürülen bağlantılı ürünler ve ilgili hizmetler, verilere varsayılan olarak erişilebilecek şekilde tasarlanmak zorunda; bu da hukuki değil mimari bir gereklilik. Data Act anlatımımıza göz atın.

NIS2

Üye Devletler NIS2'yi çok farklı hızlarda iç hukuka aktarıyor. Almanya kayıt portalını 6 Ocak 2026'da açtı, Hollanda yasasını 15 Ağustos 2026'da yürürlüğe koydu, diğer ülkeler ise hâlâ yetişmeye çalışıyor. Kapsamdaysanız 24 saatlik bir süre içinde olay bildirimi yapmak ve müşterilerinize tedarik zinciri riskini yönettiğinize dair kanıt sunmak zorundasınız. NIS2 saha rehberimiz işin pratik tarafını ele alıyor.

Verification of Payee

9 Ekim 2025'ten bu yana avro bölgesindeki ödeme hizmeti sağlayıcıları, bir havale onaylanmadan önce alıcı adının IBAN ile eşleştiğini kontrol eden ücretsiz bir doğrulama sunmak zorunda. Ödeme veya para çıkışı akışları geliştiren herkes için bu, arayüzde ele alınması gereken yeni bir ön onay adımı ve yeni bir “yakın eşleşme” durumları seti ekledi. Bunu anlık ödemeler ve Verification of Payee yazımızda ele aldık.

2026 Kilometre Taşları

2 Ağustos 2026: AI Act şeffaflık yükümlülükleri

Madde 50 kapsamındaki yükümlülükler artık yürürlükte. Ürününüz kullanıcılarla bir sohbet robotu aracılığıyla konuşuyorsa onlara bir makineyle konuştuklarını söylemeniz gerekiyor. Sentetik ses, görüntü, video veya metin üretiyorsa çıktının makine tarafından okunabilir biçimde işaretlenmesi gerekiyor. Filigran ayrıntılarını ve çıplaklaştırma (nudification) araçlarına yönelik yasağı içeren bir sonraki kısım 2 Aralık 2026'da geliyor.

Daha ağır yüksek riskli sistem yükümlülükleri ileri bir tarihe kaydı. Bağımsız Ek III sistemlerinin artık 2 Aralık 2027'ye, düzenlemeye tabi ürünlere gömülü yapay zekanın ise 2 Ağustos 2028'e kadar süresi var. Bu gerçek bir erteleme, ama yalnızca yüksek risk kategorisi için. Ayrıntılı döküm AI Act şeffaflık yazımızda.

11 Eylül 2026: Cyber Resilience Act bildirimleri

11 Eylül 2026'dan bu yana dijital unsurlar içeren ürünlerin üreticileri, aktif olarak istismar edilen güvenlik açıklarını ve ciddi olayları tek bir AB bildirim platformu üzerinden bildirmek zorunda. 24 saat içinde erken uyarı, 72 saat içinde tam bildirim, 14 gün içinde nihai rapor. Ürününüzün içinde ne olduğunu bilmeden 24 saatlik bir süreye uyamazsınız; ekiplerin resmi SBOM zorunluluğundan bir yıl önce SBOM pipeline'ları kurmasının nedeni de bu. CRA rehberine göz atın.

12 Eylül 2026: Data Act tasarım yükümlülükleri

Erişime göre tasarım gerekliliği artık piyasaya yeni sürülen ürünler için geçerli.

27 Eylül 2026: Empowering Consumers Directive

27 Eylül 2026'dan bu yana genel çevresel beyanlar yasal korumalarını kaybetti, sürdürülebilirlik etiketleri doğrulama gerektiriyor ve ticari garantiler için uyumlaştırılmış bir bildirim ile etiketin satın alma akışında yer alması gerekiyor. Bu, ürün sayfalarında, kategori sayfalarında ve ödeme adımında bir içerik ve şablon değişikliği demek. Konuyu yeşil beyanlar ve ürün verisi uyumluluğu yazımızda ele aldık.

24 Aralık 2026: European Digital Identity Wallet

Her Üye Devlet en az bir cüzdanı kullanıma sunmak zorunda. Bankalar, ulaşım, enerji, sağlık ve telekomünikasyon dahil olmak üzere yükümlü güvenen taraflar (relying parties), cüzdanı Aralık 2027'den itibaren kabul etmek zorunda. Erken kabul edenlerden biri olmak istiyorsanız güvenen taraf olarak kaydolmanız ve cüzdanın kimlik bilgisi formatlarını desteklemeniz gerekiyor. EUDI Wallet entegrasyon rehberimiz bunun neleri içerdiğini açıklıyor.

Hâlâ Değişmekte Olanlar

İki dosyayı, etraflarında aşırı plan yapmadan izlemeye değer.

Digital Omnibus, Komisyon'un önerdiği hâliyle, çerez onayı kurallarını önerilen 88a ve 88b maddeleri aracılığıyla doğrudan GDPR'nin içine alacak. Öne çıkan değişiklikler şunlar: tek tıkla kabul veya ret, reddeden kullanıcılara altı ay boyunca yeniden sorulmasını yasaklayan bir kural ve hukuken bağlayıcı, makine tarafından okunabilir onay sinyalleri. Konsey'in 2 Ekim 2026 tarihli uzlaşı metni bundan ayrılıyor: çerez kurallarını ePrivacy Direktifi'nde tutuyor, bağlayıcı tarayıcı sinyallerini çıkarıyor ve bekleme süresini dört aya indiriyor. 10 Ekim 2026 itibarıyla Konsey müzakere yetkisini kabul etmemişti, Parlamento'nun bir tutumu yoktu ve üçlü müzakereler başlamamıştı. Hiçbir şey kesinleşmiş değil ve değişmeden geçeceği varsayımıyla bir onay platformunu yeniden kurmayız; ancak yön, bir onay platformunun mimarisini nasıl kurgulayacağınızı etkileyecek kadar net. Görüşümüzü Digital Omnibus sonrasında çerez onayı yazımızda okuyabilirsiniz.

Digital Fairness Act hâlâ öneri aşamasında; 2026'nın sonlarında bekleniyor ve doğrudan karanlık kalıpları (dark patterns), kişiselleştirilmiş fiyatlandırmayı ve bağımlılık yaratan tasarımı hedef alıyor. Gerçekçi olmak gerekirse 2028 ile 2030 arasında bir yerde uygulanmaya başlayacak. Şu an önemli olmasının tek nedeni, hangi arayüz kalıplarının ödünç zamanda yaşadığını size söylemesi.

Kimsenin Planlamadığı Ödeme Katmanı

Hiç de bir düzenleme olmayan, ancak Avrupa'daki ödeme sayfalarına ne kadar hızlı yayıldığı nedeniyle bir düzenleme gibi davranan bir değişim daha var.

European Payments Initiative'in geliştirdiği cüzdan Wero, 2025 ve 2026 boyunca kişiden kişiye havalelerden e-ticarete geçti. Yaklaşık on saniyede SEPA Instant Credit Transfer üzerinden mutabakat sağlıyor ve kart şemalarını tamamen devre dışı bırakıyor. Lidl, Temmuz 2026'da lidl.de'de desteği duyurdu; mağaza içi kabul ile Belçika ve Fransa mağazaları yılın ilerleyen aylarında geliyor. Decathlon, Rossmann, Hornbach, Eventim ve diğerleri zaten canlıda.

Kimse yasal olarak Wero'yu kabul etmek zorunda değil. Ama Lidl ölçeğinde bir indirim zinciri bir ödeme yöntemi eklediğinde pazarın geri kalanı genellikle takip eder ve entegrasyon bedava bir iş değildir: ödeme adımınıza, sipariş durum makinenize, iade mantığınıza ve mutabakatınıza dokunur. Bunu Wero entegrasyon rehberinde yazdık.

Bir Çeyreği Kaybetmeden Bunları Nasıl Sıralarsınız

İlk refleks bir uyumluluk çalışma kolu açıp her şeyi kapatmaya çalışmaktır. Bu genellikle bir tablo ve çok az yayına alınmış kod üretir. Deneyimimize göre daha iyi işleyen yol şu:

Kapsamla, dürüstçe başlayın. Bu kuralların çoğunda ne borçlu olduğunuzu esaslı biçimde değiştiren eşikler, muafiyetler ve tanımlar var. Hizmet sunan bir mikro işletme, Accessibility Act'in büyük bölümünün dışında kalır. Dijital unsurlar içeren ürün üretmeyen bir şirket CRA'nın dışındadır. Asıl kapsam maddeleriyle geçirilen yarım saat aylar kazandırır.

Örtüşmeleri bulun ve bir kez geliştirin. EAA kapsamındaki erişilebilirlik çalışmaları, AI Act'in şeffaflık kurallarındaki anlaşılırlık gerekliliklerini de karşılamaya yardımcı olur. GDPR için kurulan onay altyapısı, Digital Omnibus değişikliklerinin yükünün büyük kısmını taşır. CRA için kurulan bir SBOM pipeline'ı, NIS2 tedarik zinciri sorularının önemli bir bölümünü yanıtlar. Bunları on iki ayrı proje olarak değil, ortak platform çalışması olarak ele alın.

Önce tasarım kararı gerektiren şeyleri çözün. Varsayılan veri erişimi, kimlik bilgisi kabulü, erişilebilirlik semantiği ve onay mimarisini sonradan eklemek pahalıdır. Bildirim iş akışları ve belgeler öyle değildir. Sıralamayı buna göre yapın.

Neye karar verdiğinizi ve nedenini yazın. Bu rejimlerin çoğu, yalnızca yeşil bir onay işareti göstermenizi değil, gerekçenizi açıklayabilmenizi bekler. Kısa bir mimari karar kaydı, uzun bir politika PDF'inden iyidir.

Biz Nerede Duruyoruz

Biz bir hukuk bürosu değil, bir yazılım şirketiyiz ve bunu her müşterimize açıkça söylüyoruz. Hukuki görüş vermiyoruz. Yaptığımız şey, hukuk ekibinizin vardığı yorumu alıp çalışan sistemlere dönüştürmek: onay platformları, erişilebilir bileşen kütüphaneleri, veri erişim API'leri, SBOM pipeline'ları, cüzdan entegrasyonları, ödeme akışları ve hepsinin altında yatan sıkıcı altyapı.

Ekiplerimiz Ljubljana ve Novi Sad'dan, yani anlattığımız düzenleyici ortamın tam içinden çalışıyor; bu da bu son tarihlerle kendi ürünlerimizde de uğraştığımız anlamına geliyor.

Bunlardan hangilerinin sizin için gerçekten geçerli olduğunu anlamaya çalışıyorsanız ya da takvimde bir tarihiniz var ama arkasında bir planınız yoksa office@c9group.dev adresinden bize ulaşın. Avrupa'ya giren ya da Avrupa'da büyüyen şirketleri nasıl desteklediğimiz hakkında daha fazlasını Avrupa pazarına giriş sayfamızda okuyabilirsiniz.