Yapay Zekâ Ürünü Satan Şirketler Müşteri Sözleşmelerinde Nelere Dikkat Etmeli? AI SaaS, KVKK ve Sorumluluk

Bir teknoloji şirketi, geliştirdiği yapay zekâ destekli yazılımı kurumsal müşterilerine abonelik modeliyle sunuyor olabilir.

Örneğin şirket, müşterilerin sisteme yüklediği sözleşmeleri analiz eden, belgeleri sınıflandıran, önemli riskleri tespit eden ve otomatik raporlar hazırlayan bir AI SaaS ürünü geliştirmiş olsun.

Bu yazılımın arayüzü, müşteri paneli ve veri tabanı şirket tarafından geliştirilmiştir. Ancak yapay zekâ işlemleri, başka bir teknoloji sağlayıcısının büyük dil modeli (LLM) API'si aracılığıyla gerçekleştirilmektedir.

Bir kurumsal müşteri bu ürünü satın almak istediğinde şu soruları sorar:

“Yüklediğim belgeler sizin modelinizi eğitmek için kullanılacak mı? Yapay zekânın hazırladığı raporların telif hakları kime ait? Sistem yanlış bilgi üretirse kim sorumlu olacak? Model sağlayıcınız fiyatları artırırsa aboneliğim değişecek mi? Yapay zekâ hizmeti kapanırsa verilerimi geri alabilecek miyim?”

Bu soruların tamamı, yapay zekâ ürünlerinin ticari olarak sunulmasında sözleşmenin yalnızca fiyat ve abonelik süresinden ibaret olmadığını göstermektedir.

Yapay zekâ destekli bir ürünün müşteriye satılması veya lisanslanması; yazılım hizmetinin kapsamı, kişisel verilerin işlenmesi, fikri mülkiyet hakları, üçüncü taraf model bağımlılıkları, yapay zekâ çıktılarının güvenilirliği ve ortaya çıkabilecek zararların hangi koşullarda karşılanacağı gibi farklı hukuki meseleleri birlikte gündeme getirir.

Özellikle Türkiye'de faaliyet gösteren ve yabancı müşterilere AI SaaS sunan teknoloji şirketleri bakımından Türk Borçlar Kanunu, Fikir ve Sanat Eserleri Kanunu, Kişisel Verilerin Korunması Kanunu ve uygulanabildiği durumlarda Avrupa Birliği Yapay Zekâ Yasası (AI Act) önem taşır.

Ancak her yapay zekâ ürünü aynı hukuki kategoride değildir. Örneğin müşteri destek mesajlarına cevap veren bir chatbot ile işe alım kararlarını etkileyen bir algoritmik değerlendirme sistemi farklı risk ve yükümlülükler doğurabilir.

Bu rehberde AI SaaS sözleşmelerini, müşteri verilerinin model eğitiminde kullanılmasını, prompt ve output hak sahipliğini, yapay zekâ hatalarından doğan sorumluluğu, üçüncü taraf model API'lerini, agentic AI sistemlerini, KVKK ve GDPR yükümlülüklerini ve Kasım 2026 itibarıyla güncel Avrupa Birliği AI Act rejimini kapsamlı olarak inceliyorum.

1. Yapay Zekâ Sözleşmesi Nedir?

Yapay zekâ sözleşmesi, yapay zekâ teknolojilerinin geliştirilmesi, lisanslanması, hizmet olarak sunulması, entegrasyonu veya kullanılması kapsamında tarafların hak ve yükümlülüklerini düzenleyen sözleşmeler için kullanılan genel bir ifadedir.

Ancak Türk hukukunda bütün yapay zekâ ürünlerine uygulanacak tek tip ve bağımsız bir “Yapay Zekâ Sözleşmesi” kategorisinin bulunduğu söylenemez.

Sözleşmenin hukuki niteliği sunulan hizmete göre değişebilir.

Örneğin yapay zekâ şirketi:

• Müşteriye özel bir makine öğrenmesi sistemi geliştirebilir.

• Mevcut dil modelini API üzerinden erişilebilir hale getirebilir.

• Üçüncü taraf modele dayalı SaaS uygulaması sunabilir.

• Müşterinin kendi ortamında çalışacak bir model kurabilir.

• Model eğitimi veya fine-tuning hizmeti sağlayabilir.

• Yapay zekâ ajanlarıyla belirli iş süreçlerini otomatikleştirebilir.

Bu ilişkiler farklı sözleşmesel yükümlülükler doğurabilir.

Yapay zekâ sözleşmesi ile klasik SaaS sözleşmesi aynı mı?

Tamamen aynı değildir.

AI SaaS hizmeti geleneksel SaaS ilişkilerinde görülen abonelik, hizmet seviyesi, veri güvenliği ve fesih hükümlerini içerebilir.

Ancak yapay zekâ ürünlerinde ayrıca model davranışı, çıktı güvenilirliği, üçüncü taraf model lisansları, prompt ve çıktılar, model eğitimi, otomatik işlemler ve mevzuata ilişkin özel riskler bulunabilir.

Dolayısıyla geleneksel SaaS sözleşmesinin yalnızca başlığını değiştirerek yapay zekâ ürününe uygulanması her zaman yeterli olmayabilir.

2. AI SaaS, AI API, LLM ve AI Agent Arasındaki Fark Nedir?

Yapay zekâ ürünleri farklı teknik yapılarda sunulabilir.

Bu teknik farklar sözleşmesel sorumlulukların belirlenmesi açısından önemlidir.

AI SaaS nedir?

Yapay zekâ destekli yazılımın genellikle internet üzerinden, abonelik veya kullanıma bağlı ücretlendirme modeliyle sunulmasıdır.

Örneğin kurumsal müşterilere belge analizi hizmeti veren bir platform AI SaaS olarak değerlendirilebilir.

AI API nedir?

Başka uygulamaların belirli yapay zekâ modeline veya hizmetine programatik olarak erişmesini sağlayan arayüzdür.

Örneğin bir SaaS şirketi, belge özetleme işlevi için üçüncü taraf dil modeli API'sini kullanabilir.

LLM nedir?

Large Language Model (LLM), büyük dil modeli anlamına gelir. Metin üretme, sınıflandırma, özetleme veya belirli başka dil görevlerini gerçekleştirebilir.

Ancak bütün yapay zekâ sistemleri LLM değildir.

AI Agent nedir?

AI Agent, yani yapay zekâ ajanı, belirli hedeflere ulaşmak için çok adımlı işlemler yürütebilen ve uygun araçlara erişimi varsa belirli eylemleri başlatabilen sistemleri ifade etmek için kullanılan kavramdır.

Örneğin yapay zekâ ajanı müşterinin takvimine toplantı ekleyebilir, CRM kaydını güncelleyebilir veya bir destek talebi oluşturabilir.

Bu durumda sistem yalnızca bilgi üretmez; belirli dış sistemlerde işlem de gerçekleştirir.

Yalnızca rapor hazırlayan yapay zekâyla müşterinin verilerini değiştirebilen veya üçüncü kişilere mesaj gönderebilen yapay zekâ ajanının sözleşmesel riskleri aynı değildir.

3. Yapay Zekâ Ürünü Satan Şirketlerin En Önemli Hukuki Riski Nedir?

Tek bir riskin bütün yapay zekâ şirketleri açısından en önemli sorun olduğu söylenemez.

Ancak kurumsal AI SaaS ilişkilerinde özellikle şu alanlar birlikte değerlendirilmelidir:

1. Ürünün gerçekten hangi işlevleri yerine getirdiği.

2. Müşteri verilerinin hangi amaçlarla işlendiği.

3. Üçüncü taraf model sağlayıcılarının hangi yetkilere sahip olduğu.

4. Prompt ve çıktıların fikri mülkiyet durumu.

5. Yanlış veya eksik çıktılardan sorumluluk.

6. Model güncellemelerinin hizmete etkisi.

7. İnsan denetiminin gerekli olduğu işlemler.

8. Uluslararası yapay zekâ ve veri koruma mevzuatı.

9. Sözleşmenin sona ermesi ve verilerin akıbeti.

Örneğin yalnızca genel metin taslağı oluşturan bir sistemle kredi değerlendirme veya işe alım kararında kullanılan bir sistem arasında hukuki riskler farklı olabilir.

Bu nedenle yapay zekâ sözleşmesi hazırlanırken ürünün teknik özellikleriyle müşteriye verilen ticari taahhütlerin birbirini karşılaması gerekir.

4. AI SaaS Sözleşmesinde Hizmetin Kapsamı Nasıl Belirlenmelidir?

Yapay zekâ ürünlerinin önemli özelliklerinden biri, her sorguya aynı sonucu vermeyebilmeleri ve belirli koşullarda hatalı veya eksik çıktılar oluşturabilmeleridir.

Bu nedenle AI SaaS sözleşmesinde hizmetin kapsamı açıkça belirlenmelidir.

Örneğin:

“Yazılım bütün hukuki riskleri tespit eder.”

şeklindeki kesin bir ifade, ürünün gerçekte sağlayamadığı bir sonuca ilişkin ticari taahhüt olarak değerlendirilebilir.

Bunun yerine ürünün hangi belgeleri, hangi yöntemlerle ve hangi sınırlamalar içinde analiz ettiği açıklanabilir.

Intended Purpose nedir?

Intended Purpose, yani amaçlanan kullanım, yapay zekâ sisteminin hangi amaçla geliştirildiğini ve sunulduğunu ifade eder.

Örneğin bir sistem yalnızca sözleşmelerin özetlenmesi için tasarlanmış olabilir.

Ancak müşteri aynı sistemi mahkeme kararlarını tahmin etmek veya bağlayıcı hukuki görüş üretmek amacıyla kullanmak isteyebilir.

Bu durumda ürünün vaat edilen kapsamı ile müşterinin fiili kullanımı ayrıştırılmalıdır.

Yasaklanan kullanım alanları düzenlenebilir mi?

Evet.

Örneğin sistemin doğrudan insan denetimi olmaksızın belirli yüksek etkili kararların alınmasında kullanılmaması sözleşmede düzenlenebilir.

Ancak sözleşmeye kullanım yasağı konulması, sağlayıcının kanundan kaynaklanan bütün yükümlülüklerini kendiliğinden ortadan kaldırmaz.

5. Yapay Zekâya Girilen Prompt'lar Kime Aittir?

Prompt, kullanıcının yapay zekâ sistemine verdiği komut, soru, talimat veya bağlam bilgisidir.

Kurumsal AI SaaS hizmetlerinde prompt'lar:

• İş belgeleri,

• Müşteri bilgileri,

• Ticari sırlar,

• Yazılım kodları,

• Finansal veriler,

• Çalışan kayıtları,

• Üçüncü kişilere ait içerikler

içerebilir.

Ancak bütün prompt'ların otomatik olarak telif hakkıyla korunan eser olduğu söylenemez.

Prompt'un telif hakları olabilir mi?

Prompt'un içeriğinin Fikir ve Sanat Eserleri Kanunu bakımından eser niteliği taşıyıp taşımadığı, kanuni koruma şartlarına göre belirlenir.

Örneğin sıradan ve kısa bir komut ile özgün yaratıcı unsurlar barındıran kapsamlı bir metnin hukuki durumu aynı olmayabilir.

Prompt verisinin gizli olması için telif hakkı gerekir mi?

Hayır.

Bir prompt telif hakkıyla korunan eser niteliğinde olmasa bile kişisel veri veya ticari sır içerebilir.

Dolayısıyla prompt'ların korunması yalnızca fikri mülkiyet hukukuna indirgenmemelidir.

AI SaaS sağlayıcısı prompt'ları kendi amaçları için kullanabilir mi?

Bu sorunun yanıtı sözleşmesel yetkilere, verilerin niteliğine ve uygulanabilir veri koruma hükümlerine bağlıdır.

Özellikle müşterinin belgelerinin hizmet sunumu için işlenmesiyle bunların başka bir modelin eğitimi amacıyla kullanılması farklı işlemlerdir.

6. Yapay Zekâ Tarafından Oluşturulan Çıktıların Telif Hakları Kime Aittir?

AI SaaS sözleşmelerinde en önemli sorulardan biri, Output Ownership, yani çıktı üzerindeki hakların kime ait olduğudur.

Örneğin müşteri yapay zekâyla:

• Pazarlama metni,

• Görsel,

• Yazılım kodu,

• Sözleşme taslağı,

• Rapor,

• Ürün açıklaması

oluşturabilir.

Ancak sözleşmede “Bütün çıktılar müşterinin mülkiyetindedir.” yazılması, her çıktının mutlaka FSEK kapsamında eser niteliği taşıdığı anlamına gelmez.

AI çıktıları otomatik olarak eser midir?

Hayır.

Türk hukukunda bir fikri ürünün eser sayılabilmesi için FSEK'in ilgili koruma koşullarının gerçekleşmesi gerekir.

Özellikle insanın yaratıcı katkısı, çıktının niteliği ve eser sahipliğine ilişkin hükümler önemlidir.

Tamamen otomatik oluşturulmuş bütün AI çıktılarının kendiliğinden bir gerçek kişinin eser sahipliğine konu olduğu söylenemez.

Sözleşmeyle çıktının bütün hakları müşteriye verilebilir mi?

Taraflar, sağlayıcının sahip olduğu veya hukuken devretmeye ve lisanslamaya yetkili olduğu haklar bakımından belirli işlemler düzenleyebilir.

Ancak sağlayıcının mevcut olmayan veya sahip olmadığı bir hakkı yaratması ya da üçüncü kişilerin haklarını ortadan kaldırması yalnızca sözleşme hükmüyle mümkün değildir.

Başka müşteriye benzer çıktı verilirse telif ihlali oluşur mu?

Her durumda değil.

Benzer çıktılar üretilmesi, tek başına telif hakkı ihlali bulunduğunu göstermez.

İlgili çıktının koruma kapsamı, mevcut haklar ve somut kullanım değerlendirilmelidir.

Bu nedenle AI SaaS sözleşmelerinde münhasırlık ve benzersizlik taahhütleri verilmeden önce teknik imkanlar dikkate alınmalıdır.

7. Modelin Kendisi, Fine-Tuning Verileri ve AI Çıktıları Ayrı Mıdır?

Evet.

Yapay zekâ ürünlerinde birden fazla fikri ve teknik varlık bulunabilir.

Örneğin:

Fine-Tuning nedir?

Fine-tuning, mevcut modelin belirli veri ve yöntemlerle uyarlanmasını ifade eder.

Örneğin yapay zekâ şirketi, müşterisinin ürün kataloğunu kullanarak belirli görevlerde model davranışını özelleştirebilir.

Ancak müşterinin veri setini sağlaması, temel modelin bütün haklarının müşteriye geçtiği anlamına gelmez.

Müşteri kendi verisiyle eğittiği modelin sahibi olur mu?

Bu sorunun yanıtı kullanılan teknolojiye, hakların gerçekten kimde bulunduğuna ve sözleşmedeki düzenlemeye bağlıdır.

Özellikle temel model lisansı, fine-tuning sonucunda oluşan teknik bileşenler ve müşteriye verilen kullanım yetkileri ayrı belirlenmelidir.

8. Müşteri Verileri Yapay Zekâ Modelini Eğitmek İçin Kullanılabilir mi?

Kurumsal yapay zekâ hizmetlerinde en kritik sözleşme konularından biri, müşteri verilerinin Model Training veya Model Improvement amacıyla kullanılmasıdır.

Örneğin bir şirket AI SaaS platformuna müşteri sözleşmelerini yüklemiş olabilir.

Sağlayıcı bu belgeleri yalnızca talep edilen analizi gerçekleştirmek amacıyla işleyebilir.

Ancak aynı verileri başka müşterilerin de yararlanacağı genel modeli geliştirmek amacıyla kullanmak istemesi farklı hukuki sonuçlar doğurabilir.

Hizmet sunumu ile model eğitimi aynı amaç mı?

Her durumda değil.

Örneğin yüklenen belgenin özetini oluşturmak için geçici olarak işlenmesi ile aynı belgenin model eğitim veri setine dahil edilmesi farklı faaliyetlerdir.

Bu nedenle sözleşmede bunların birbirinden ayrılması önemlidir.

Sözleşmeye “Verileri eğitim için kullanabiliriz” yazılması yeterli mi?

Her durumda değil.

Özellikle kişisel veriler bakımından KVKK m.4 ve m.5 kapsamındaki işleme şartları ve ilkeler uygulanabilir.

Müşteriye ait ticari sırlar ve fikri mülkiyet hakları bakımından ise başka sınırlamalar bulunabilir.

Bu nedenle genel bir sözleşme hükmü, gerekli bütün hukuki sebepleri kendiliğinden sağlamaz.

AI şirketi verileri anonimleştirirse kullanabilir mi?

Gerçek anonimleştirme şartları sağlanıyorsa kişisel verilerin korunması bakımından farklı değerlendirme yapılabilir.

Ancak yalnızca isimlerin çıkarılması veya verilerin takma adlarla değiştirilmesi her durumda anonimleştirme anlamına gelmez.

Ayrıca anonimleştirme, müşterinin ticari sırlarına veya başka hukuki haklarına ilişkin yükümlülükleri otomatik olarak ortadan kaldırmaz.

9. RAG Kullanılması Model Eğitimi Yapıldığı Anlamına Gelir mi?

Retrieval-Augmented Generation (RAG), yapay zekâ sisteminin belirli bilgi kaynaklarından içerik getirerek bu içerikleri yanıt üretiminde kullanması için geliştirilen teknik yaklaşımdır.

Örneğin bir hukuk teknolojisi ürünü, müşterinin yüklediği belgeleri indeksleyerek ilgili bölümleri analiz sırasında dil modeline sunabilir.

Bu teknik yapı, klasik model eğitimi veya fine-tuning işlemleriyle aynı değildir.

Ancak RAG kullanılması, kişisel veri işlenmediği veya hiçbir üçüncü taraf veri aktarımı yapılmadığı anlamına gelmez.

RAG veri güvenliği açısından neden önemli?

RAG sistemlerinde:

• Kaynak belgeler,

• Embedding kayıtları,

• Arama indeksleri,

• Kullanıcı sorguları,

• Modelin eriştiği belge parçaları

kişisel veri veya ticari sır içerebilir.

Bu nedenle yalnızca temel modelin eğitimine veri gönderilmediğinin söylenmesi, bütün veri koruma yükümlülüklerinin karşılandığını göstermeyebilir.

Müşteri aboneliği bitince embedding kayıtları ne olur?

Embedding veya arama indeksi kayıtlarının hukuki niteliği somut içeriğe ve yeniden ilişkilendirilebilirliğe bağlıdır.

Sözleşme sona erdiğinde kaynak belgelerle birlikte bu türetilmiş kayıtların nasıl yönetileceği de açıklığa kavuşturulmalıdır.

10. KVKK Yapay Zekâ Ürünlerine Nasıl Uygulanır?

Türkiye'de yapay zekâ ürünlerinin kişisel veri işleme faaliyetleri bakımından temel düzenleme 6698 sayılı KVKK'dır.

Yapay zekâ ürünü sunulması, kişisel verilerin korunması yükümlülüklerinden genel bir muafiyet sağlamaz.

Örneğin AI SaaS şirketi:

• Müşteri belgelerini,

• Kullanıcı hesaplarını,

• Prompt kayıtlarını,

• Teknik kullanım bilgilerini,

• Analiz sonuçlarını,

• Destek kayıtlarını

işleyebilir.

Bu işlemler kapsamında kişisel veri bulunuyorsa uygun hukuki sebep ve diğer KVKK yükümlülükleri değerlendirilmelidir.

KVKK'nın yapay zekâya ilişkin rehberi var mı?

Evet.

Kişisel Verileri Koruma Kurumu, “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)” başlıklı rehber yayımlamıştır.

Rehber; üretken yapay zekânın yaşam döngüsü, veri işleme faaliyetleri ve ilgili riskleri KVKK çerçevesinde ele almaktadır.

Her AI SaaS müşterisinden açık rıza alınmalı mı?

Hayır, böyle genel bir kural bulunmamaktadır.

KVKK m.5'teki veri işleme şartları, somut faaliyete göre değerlendirilmelidir.

Örneğin hizmetin sunulması için gerekli verilerin işlenmesiyle müşterinin verilerinin başka amaçlarla model eğitimi için kullanılması aynı hukuki sebebe dayanmayabilir.

Resmî kaynak: KVKK – Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi

11. AI SaaS Şirketi Veri Sorumlusu mu, Veri İşleyen mi?

Bir AI SaaS sağlayıcısı, kurumsal müşterisinin belgelerini yalnızca müşterinin belirlediği amaçlarla işliyor olabilir.

Bu durumda somut işleme faaliyetinin veri sorumlusu–veri işleyen ayrımı ayrıca incelenmelidir.

Örneğin:

Bir şirket, çalışanlarına ait belgeleri analiz etmek için AI SaaS hizmeti satın almıştır.

Hangi belgelerin analiz edileceğine ve hangi amaçlarla kullanılacağına müşteri karar veriyor olabilir.

AI SaaS sağlayıcısı ise teknik işlem yapıyor olabilir.

Ancak aynı sağlayıcı müşteri verilerini bağımsız amaçlarla modelini geliştirmek için kullanıyorsa hukuki rollerin yeniden değerlendirilmesi gerekebilir.

Yapay zekâ sağlayıcısı her zaman veri işleyen midir?

Hayır.

Veri işleme faaliyetinin amaçlarını ve vasıtalarını kimin belirlediği önemlidir.

Aynı şirket farklı faaliyetlerinde farklı sıfatlarla hareket edebilir.

Üçüncü taraf model sağlayıcısının rolü ne olacak?

Bu sorunun yanıtı gerçek teknik ve sözleşmesel ilişkiye bağlıdır.

Üçüncü taraf model sağlayıcısı, ilgili işlemlerde veri işleyen veya koşullarına göre başka bir hukuki sıfatla hareket ediyor olabilir.

Dolayısıyla AI SaaS sözleşmesinde alt hizmet sağlayıcıların yalnızca isimlerinin yazılması yeterli olmayabilir.

DPA hazırlanmalı mı?

Veri işleme ilişkisine göre Data Processing Agreement (DPA) hazırlanması önem taşıyabilir.

Ancak KVKK'nın düzenleme yapısıyla GDPR m.28 kapsamındaki zorunlu veri işleme sözleşmesi rejimi birbirinden ayrılmalıdır.

Bu konuyu B2B SaaS Veri İşleme Anlaşması (DPA) Nasıl Hazırlanır? KVKK ve GDPR Rehberi başlıklı makalemde ayrıntılı olarak ele aldım.

12. Yapay Zekâya Aktarılan Müşteri Verileri Yurt Dışına Gönderiliyor mu?

Bir AI SaaS ürünü, müşterinin verdiği prompt veya belgeleri yurt dışında bulunan model sağlayıcısına aktarabilir.

Örneğin şirketin arayüz ve veri tabanı Türkiye'de olsa da yapay zekâ işlemleri başka ülkedeki API üzerinden gerçekleştiriliyor olabilir.

Bu durumda KVKK m.9 kapsamında yurt dışına aktarım değerlendirmesi gerekebilir.

Bulut altyapısının Türkiye'de olması yeterli mi?

Her durumda değil.

Üçüncü taraf model sağlayıcısına yapılan API çağrıları veya yabancı teknik personelin verilere erişimi önem taşıyabilir.

Bu nedenle veri akışı teknik olarak haritalanmalıdır.

Standart sözleşme mekanizması kullanılabilir mi?

KVKK m.9 kapsamında yeterlilik kararı, uygun güvenceler ve kanuni şartlarla istisnai aktarım halleri bulunmaktadır.

Standart sözleşme, uygun güvencelerden biri olabilir.

Ancak ilgili sözleşmenin doğru taraflar arasında, uygun veri aktarım kategorisi için hazırlanması ve kanuni bildirim koşullarının yerine getirilmesi gerekir.

“Verileriniz hiçbir şekilde yurt dışına çıkmaz” taahhüdü verilebilir mi?

Böyle bir taahhüt ancak gerçek sistem mimarisi ve kullanılan hizmet sağlayıcılar tarafından karşılanabiliyorsa verilmelidir.

Özellikle model API'si, destek sistemleri, loglama, hata izleme ve yedekleme süreçleri incelenmeden kesin veri yerelliği taahhüdü verilmesi uyuşmazlık yaratabilir.

13. Yapay Zekâ Hatalı Bilgi Üretirse Kim Sorumlu Olur?

Üretken yapay zekâ sistemleri, gerçek olmayan veya kaynaklarıyla desteklenmeyen bilgiler üretebilir.

Bu durum uygulamada AI Hallucination, yani yapay zekâ halüsinasyonu olarak adlandırılmaktadır.

Örneğin:

• Hukuki analiz sistemi gerçekte bulunmayan mahkeme kararı oluşturabilir.

• Finansal raporlama sistemi yanlış tutar hesaplayabilir.

• İnsan kaynakları sistemi aday bilgilerini hatalı yorumlayabilir.

• Müşteri destek sistemi şirkete ait olmayan bir iade taahhüdü verebilir.

Ancak her yapay zekâ hatasının otomatik olarak aynı hukuki sonucu doğurduğu söylenemez.

AI SaaS şirketi her yanlış çıktıdan sorumlu mudur?

Bu sorunun yanıtı somut sözleşme, ürünün vaat edilen işlevleri ve uygulanabilir hukuk hükümlerine bağlıdır.

Özellikle:

• Hizmetin kapsamı,

• Verilen doğruluk taahhütleri,

• Bilinen teknik sınırlamalar,

• Kullanım amacı,

• İnsan denetimi mekanizması,

• Zarar ve illiyet bağı,

• Sözleşmesel sorumluluk sınırlamaları

önemlidir.

Kullanıcı çıktıyı kontrol etmediyse bütün sorumluluk ona mı geçer?

Hayır.

Müşterinin belirli kontrol yükümlülükleri bulunabilir.

Ancak sözleşmede “Bütün çıktıları müşteri kontrol eder.” yazılması, sağlayıcının kanundan ve kendi sözleşmesel taahhütlerinden doğan bütün sorumluluğunu otomatik olarak ortadan kaldırmaz.

Hukuki veya tıbbi AI ürünlerinde durum farklı mı?

Bu tür ürünlerin kullanım amacı ve tabi olabilecekleri özel düzenlemeler daha kapsamlı değerlendirme gerektirebilir.

Örneğin yalnızca genel bilgi veren bir chatbot ile belirli profesyonel veya yüksek etkili kararları yönlendirmek üzere pazarlanan sistem aynı şekilde değerlendirilmeyebilir.

Bu nedenle yüksek riskli kullanım alanlarında sözleşmesel sorumluluk hükümlerinin ürünün gerçek işlevine uygun hazırlanması önemlidir.

14. AI SaaS Sözleşmesine “Yapay Zekâ Hata Yapabilir” Yazmak Yeterli mi?

Hayır.

Bir sözleşmede yalnızca:

“Yapay zekâ hata yapabilir. Şirket hiçbir zarardan sorumlu değildir.”

şeklindeki hükmün bulunması, sağlayıcının bütün hukuki sorumluluğunu her durumda ortadan kaldırmaz.

Özellikle Türk Borçlar Kanunu'nun borca aykırılık ve sorumsuzluk anlaşmalarına ilişkin hükümleri önemlidir.

TBK m.115 neden önemlidir?

TBK m.115, borçlunun sorumluluğunun önceden kaldırılması veya sınırlandırılması bakımından emredici sınırlar öngörmektedir.

Özellikle ağır kusurdan sorumsuzluk anlaşmalarının geçerliliği bakımından bu hüküm önemlidir.

TBK m.116 neyi düzenler?

Yardımcı kişilerin fiillerinden sorumluluk ve buna ilişkin sınırlamalar bakımından TBK m.116 uygulanabilir.

Ancak sözleşmenin ve faaliyetin niteliğine bağlı özel sınırlamalar da dikkate alınmalıdır.

Disclaimer of Warranties her durumda geçerli mi?

Anglo-Amerikan sözleşmelerinden alınan genel sorumsuzluk ifadelerinin Türk hukukunda aynı sonuçları doğuracağı varsayılamaz.

Ayrıca tüketici işlemlerinde özel koruyucu hükümler gündeme gelebilir.

Bu nedenle AI SaaS sözleşmelerinde garanti, hizmet seviyesi ve sorumluluk hükümleri somut ürünün risklerine uygun hazırlanmalıdır.

15. Yapay Zekâ Ürünlerinde SLA Nasıl Belirlenmelidir?

Service Level Agreement (SLA), hizmetin performans ve erişilebilirlik taahhütlerini düzenler.

AI SaaS ürünlerinde klasik SaaS ölçütlerine ek olarak yapay zekâ işlem kalitesine ilişkin teknik göstergeler bulunabilir.

Ancak uptime ile cevap doğruluğu aynı şey değildir.

Örneğin hizmet teknik olarak %99,9 erişilebilir olabilir; buna karşılık belirli belge analizlerinde yanlış sonuçlar üretilebilir.

AI SaaS SLA'sında hangi göstergeler olabilir?

Örneğin:

• Sistem erişilebilirliği,

• API yanıt süresi,

• İstek işleme kapasitesi,

• Teknik hata oranı,

• Destek ve müdahale süreleri,

• Belirli görevler için ölçülebilir performans kriterleri,

• Model güncellemesi bildirimleri,

• Planlı bakım süreleri.

Doğruluk oranı sözleşmeye yazılabilir mi?

Belirli test veri seti ve ölçüm yöntemi açıkça tanımlanmışsa teknik performans hedefleri düzenlenebilir.

Ancak “Sistem %99 doğru cevap verir.” şeklindeki bağlamsız bir taahhüt, hangi koşullarda doğruluk ölçüleceği belirsiz olduğundan uyuşmazlık yaratabilir.

Özellikle doğruluk, geri çağırma, kesinlik ve başka değerlendirme ölçütlerinin ne anlama geldiği teknik olarak belirlenmelidir.

Service Credit tazminatın yerine geçer mi?

Sözleşmede belirli SLA ihlalleri için hizmet kredisi veya ücret indirimi düzenlenebilir.

Ancak böyle bir mekanizmanın bütün zarar ve tazminat taleplerini her durumda ortadan kaldıracağı söylenemez.

16. Üçüncü Taraf AI Model Sağlayıcısı Hizmeti Durdurursa Kim Sorumlu?

Bir AI SaaS şirketi, kendi temel modelini geliştirmemiş olabilir.

Ürününü başka sağlayıcıdan aldığı API hizmeti üzerinde kurmuş olabilir.

Örneğin temel model sağlayıcısı:

• Model sürümünü kullanımdan kaldırabilir.

• API fiyatlandırmasını değiştirebilir.

• Kullanım kotalarını sınırlayabilir.

• Belirli özellikleri kaldırabilir.

• Hizmeti geçici olarak durdurabilir.

• Güvenlik veya kullanım politikalarını değiştirebilir.

Bu değişiklikler AI SaaS şirketinin müşterilerine sunduğu hizmeti etkileyebilir.

AI API sağlayıcısının sorumluluğu müşteriye otomatik geçer mi?

Hayır.

AI SaaS şirketi ile model sağlayıcısı arasındaki sözleşme ile AI SaaS şirketinin kendi müşterisiyle imzaladığı sözleşme iki ayrı hukuki ilişkidir.

Model sağlayıcısının kendi sözleşmesine uygun biçimde hizmeti durdurması, AI SaaS şirketinin müşterisine verdiği bütün taahhütleri kendiliğinden ortadan kaldırmayabilir.

Model sürümü değiştiğinde müşteri bilgilendirilmeli mi?

Sözleşmenin kapsamına ve değişikliğin önemine göre değerlendirilir.

Örneğin model değişikliği nedeniyle çıktının formatı, doğruluğu, maliyeti veya veri işleme yöntemi önemli ölçüde değişiyorsa sözleşmede uygun bildirim ve değişiklik yönetimi mekanizması bulunması yararlı olabilir.

AI API maliyeti artarsa abonelik bedeli de otomatik artırılabilir mi?

Hayır, genel bir otomatik fiyat artırma hakkı bulunduğu söylenemez.

Tarafların kararlaştırdığı fiyat değişikliği hükümleri, genel işlem koşulları ve diğer uygulanabilir hükümler değerlendirilmelidir.

Üçüncü taraf API risklerini API Kullanım Sözleşmelerinde Hukuki Sorumluluk: Rate Limit, Kesinti ve API'nin Kapatılması başlıklı makalemde ayrıntılı olarak inceledim.

17. Model Değişikliği, Model Drift ve Hizmet Kalitesi Sözleşmede Nasıl Düzenlenir?

Yapay zekâ modellerinin güncellenmesi, belirli görevlerde performans değişikliklerine neden olabilir.

Örneğin eski sürümde başarılı sonuç veren belirli prompt, yeni sürümde farklı çıktı üretebilir.

Bunun yanında modelin kullanım koşullarının ve veri dağılımının değişmesi nedeniyle performans sorunları ortaya çıkabilir.

Model Drift nedir?

Model Drift, modelin performansını etkileyen veri veya ilişki değişimlerini ifade etmek için kullanılan teknik kavramdır.

Ancak her AI SaaS ürününde aynı drift türünün ve aynı izleme yükümlülüğünün bulunduğu söylenemez.

Müşteri model sürümünün sabit kalmasını isteyebilir mi?

Taraflar belirli sürüm veya performans koşulları kararlaştırabilir.

Ancak üçüncü taraf model sağlayıcısının sürüm yönetimi ve API koşulları bu taahhüdün teknik olarak yerine getirilip getirilemeyeceğini etkileyebilir.

Değişiklik yönetimi neden önemli?

Sözleşmede:

• Önemli model değişikliklerinin tanımı,

• Önceden bildirim,

• Test ve doğrulama,

• Geçiş süreleri,

• Hizmet seviyesine etkiler,

• Gerektiğinde fesih veya alternatif çözüm

mekanizmaları belirlenebilir.

Bu düzenlemelerin kapsamı somut ürünün kullanım amacına göre değişebilir.

18. AI Agent Müşteri Adına İşlem Yaparsa Kim Sorumlu Olur?

AI Agent sistemleri, yalnızca soru yanıtlamaktan farklı olarak belirli eylemler gerçekleştirebilir.

Örneğin yapay zekâ ajanı:

• Müşteri adına e-posta gönderebilir.

• CRM kaydını değiştirebilir.

• Toplantı oluşturabilir.

• Belirli ticari işlemleri başlatabilir.

• Başka sistemlerde işlem yapabilir.

• Önceden belirlenmiş koşullarda otomatik aksiyon alabilir.

Bu durumda AI SaaS sözleşmesinde Action Authorization, yani eylem yetkilendirmesi önem kazanır.

AI Agent'ın yaptığı işlem şirketi bağlar mı?

Bu sorunun yanıtı işlemin niteliğine, temsil yetkisine, sistemin nasıl yetkilendirildiğine ve uygulanabilir hukuka bağlıdır.

Yapay zekâ sisteminin teknik olarak bir işlem gerçekleştirebilmesi, her durumda hukuken geçerli temsil yetkisi bulunduğu anlamına gelmez.

İnsan onayı gerektiren işlemler nasıl belirlenmeli?

Sözleşme ve sistem tasarımında belirli işlemler insan onayına bağlanabilir.

Örneğin:

• Belirli tutarı aşan ödeme işlemleri,

• Sözleşme imzalama,

• Toplu veri silme,

• Dış müşterilere bağlayıcı teklif gönderme,

• Kritik hesap yetkilerini değiştirme

gibi işlemlerde ek kontrol mekanizmaları değerlendirilebilir.

Ancak bütün AI Agent sistemlerinde aynı kontrol modelinin zorunlu olduğu söylenemez.

Prompt Injection riski nedir?

Prompt Injection, yapay zekâ sisteminin dış kaynaklı veya kötü niyetli talimatlardan etkilenerek amaçlanmayan işlemler gerçekleştirmesi riskidir.

Örneğin bir belgeye yerleştirilmiş gizli komut, yapay zekâ ajanını yetkisiz veri paylaşımına yönlendirmeye çalışabilir.

Bu tür riskler yalnızca yazılım güvenliği meselesi değildir; sözleşmesel güvenlik taahhütleri ve kişisel veri koruma yükümlülükleriyle de bağlantılı olabilir.

19. AI SaaS Sözleşmesinde İnsan Denetimi (Human Oversight) Nasıl Düzenlenmeli?

Yapay zekâ sistemlerinin çıktılarının insanlar tarafından incelenmesi, belirli kullanım alanlarında risklerin azaltılmasına yardımcı olabilir.

Ancak Human Oversight ifadesinin sözleşmeye yazılması tek başına etkili bir insan denetimi mekanizması kurulduğu anlamına gelmez.

İnsan denetimi kim tarafından yapılır?

Ürünün niteliğine göre sağlayıcı ve müşteri farklı görevler üstlenebilir.

Örneğin AI SaaS sağlayıcısı sistemin teknik performansını izlerken müşteri, çıktıları kendi ticari kararlarında kullanmadan önce belirli doğrulamalar yapabilir.

Bu ayrım sözleşmede açıklanabilir.

İnsan onayı gereken kullanım alanları var mı?

Uygulanabilir özel düzenlemelere, sistemin kullanım amacına ve risklerine göre insan denetimi önem taşıyabilir.

Özellikle Avrupa Birliği AI Act kapsamındaki belirli yüksek riskli sistemler bakımından ilgili hükümler uygulandığında özel insan gözetimi gereklilikleri bulunmaktadır.

Ancak bu gerekliliklerin bütün AI SaaS ürünlerine aynı tarihte ve aynı kapsamda uygulandığı söylenemez.

İnsan denetimi yoksa sağlayıcı tamamen sorumlu mu?

Otomatik olarak değil.

Sözleşmedeki görev paylaşımı, ürünün vaat edilen kullanım amacı ve ilgili yükümlülükler dikkate alınmalıdır.

20. Avrupa Birliği Yapay Zekâ Yasası (AI Act) Nedir?

AI Act, Avrupa Birliği'nin 2024/1689 sayılı Yapay Zekâ Tüzüğü'dür.

Düzenleme, kapsamındaki yapay zekâ sistemleri ve genel amaçlı yapay zekâ modelleri için risk ve rol temelli yükümlülükler öngörmektedir.

Ancak her yapay zekâ ürününün aynı yükümlülüklere tabi olduğu söylenemez.

AI Act neden risk temelli düzenleme getiriyor?

Düzenleme, yapay zekâ sisteminin kullanım alanı ve doğurabileceği risklerle bağlantılı olarak farklı hukuki yükümlülükler öngörmektedir.

Örneğin:

• Yasaklanan belirli yapay zekâ uygulamaları,

• Yüksek riskli sistemler,

• Belirli şeffaflık yükümlülüklerine tabi sistemler,

• Genel amaçlı AI modelleri

farklı düzenleme alanlarıdır.

Bir chatbot otomatik olarak yüksek riskli mi?

Hayır.

Yalnızca chatbot veya üretken yapay zekâ işlevi bulunması, sistemin kendiliğinden yüksek riskli sınıfta olduğu anlamına gelmez.

Sistemin amaçlanan kullanım alanı ve AI Act'teki sınıflandırma ölçütleri değerlendirilmelidir.

İşe alım sistemlerinde durum farklı mı?

Evet.

AI Act Ek III kapsamında istihdam ve çalışan yönetimiyle ilgili belirli yapay zekâ sistemleri yüksek riskli kategoride bulunabilir.

Ancak her CV analiz uygulamasının bütün özellikleriyle otomatik aynı sonuca tabi olduğu varsayılamaz.

İşe alım sistemlerine ilişkin ayrı değerlendirmeleri İşe Alımda Yapay Zekâ Kullanımı Hukuka Uygun mu? CV Eleme, Ayrımcılık ve KVKK başlıklı makalemde ele aldım.

21. AI Act 2026 İtibarıyla Hangi Tarihlerde Uygulanıyor?

Avrupa Birliği Yapay Zekâ Yasası kademeli şekilde uygulanmaktadır.

2026 yılında yapılan değişiklikler nedeniyle özellikle yüksek riskli sistemler bakımından eski tarihlerin kullanılmaması önemlidir.

Güncel uygulama takvimi

Bu takvim, 2026 yılında kabul edilen AI Act değişiklikleri dikkate alınarak hazırlanmıştır.

Ağustos 2026 itibarıyla bütün yüksek riskli sistem hükümleri yürürlükte mi?

Hayır.

Ek III ve Ek I kapsamında belirtilen bazı yüksek riskli sistem yükümlülüklerinin uygulanması 2027 ve 2028 tarihlerine ertelenmiştir.

Buna karşılık bazı yasaklar, şeffaflık hükümleri ve genel amaçlı model sağlayıcısı yükümlülükleri daha önce uygulanmaya başlamıştır.

Eski AI Act tarihleriyle yazılmış sözleşmeler güncellenmeli mi?

Sözleşmede düzenleyici uyum takvimi, yükümlülükler veya beyanlar bulunuyorsa güncel mevzuat dikkate alınarak değerlendirme yapılmalıdır.

Özellikle eski tarihleri esas alan otomatik uyum taahhütleri, uygulanabilir gerçek yükümlülüklerle uyumlu hale getirilmelidir.

Resmî kaynak: Avrupa Birliği – AI Act Güncel Metin

22. AI Act Türk Yapay Zekâ Şirketlerine Uygulanabilir mi?

Türkiye'de kurulu bir yapay zekâ şirketinin AB AI Act kapsamına girip girmediği, yalnızca şirketin merkezinin Türkiye'de bulunmasına göre belirlenmez.

AI Act m.2 kapsamında belirli durumlarda Avrupa Birliği dışında yerleşik sağlayıcılar ve kullanıcı kuruluşlar da düzenlemenin kapsamına girebilir.

Örneğin:

• AI sisteminin AB pazarına sunulması,

• Genel amaçlı AI modelinin AB pazarına sunulması,

• Belirli sistemlerin çıktılarının AB'de kullanılması

gibi durumlar önem taşıyabilir.

Türkiye'de geliştirilip Almanya'ya satılan AI SaaS ürünü AI Act kapsamına girebilir mi?

Evet, somut hizmetin AI Act'in kapsam koşullarını karşılaması halinde gündeme gelebilir.

Ancak ürünün niteliği, şirketin hukuki rolü ve ilgili hükümlerin uygulama tarihleri ayrı değerlendirilmelidir.

Türk şirketi yalnızca yabancı AI API'si kullanıyorsa AI Act yükümlüsü olur mu?

Bu soruya otomatik olarak hayır denilemez.

Şirket, temel modelin sağlayıcısı olmasa bile kendi markası altında sunduğu yapay zekâ sisteminin sağlayıcısı olarak değerlendirilebilir.

Ancak genel amaçlı AI modeli sağlayıcısı ile model üzerine ürün geliştiren AI sistemi sağlayıcısının yükümlülükleri farklıdır.

23. AI Act Kapsamında Provider, Deployer ve GPAI Provider Ne Demektir?

AI Act'in önemli özelliklerinden biri farklı aktörleri ayrı hukuki sıfatlarla düzenlemesidir.

Provider — Sağlayıcı

Kendi adı veya markası altında yapay zekâ sistemini geliştirip piyasaya sunan veya hizmete alan kişi veya kuruluş olabilir.

Deployer — Kullanıcı kuruluş

Yapay zekâ sistemini kendi yetkisi altında kullanan kişi veya kuruluşu ifade eder; kişisel ve mesleki olmayan kullanımlar bakımından özel ayrım bulunmaktadır.

GPAI Model Provider — Genel amaçlı model sağlayıcısı

Genel amaçlı yapay zekâ modelini geliştiren veya geliştirtip kendi adı altında piyasaya sunan tarafı ifade eder.

Downstream Provider — Alt sistem sağlayıcısı

Başka bir modelden yararlanarak belirli yapay zekâ sistemini geliştiren ve sunan şirket bu sıfatla değerlendirilebilir.

Örnek

Bir şirket yabancı dil modeli API'sini kullanarak insan kaynakları analiz platformu geliştiriyor olsun.

Bu durumda:

• Temel dil modelinin sağlayıcısı,

• Modeli entegre ederek AI SaaS ürünü geliştiren şirket,

• Sistemi işe alım sürecinde kullanan kurumsal müşteri

farklı hukuki rollere sahip olabilir.

Bu nedenle sözleşmede tarafların rollerinin yalnızca “yapay zekâ sağlayıcısı” ve “müşteri” şeklinde belirtilmesi, bütün mevzuat sorumluluklarını açıklamak için yeterli olmayabilir.

24. AI Act Şeffaflık Yükümlülükleri AI SaaS Sözleşmelerini Nasıl Etkiliyor?

AI Act m.50, belirli yapay zekâ sistemleri bakımından şeffaflık yükümlülükleri düzenlemektedir.

Bu hükümler genel olarak 2 Ağustos 2026 tarihinde uygulanmaya başlamıştır.

Chatbot kullanan kişiye AI ile konuştuğu söylenmeli mi?

AI Act m.50/1, gerçek kişilerle doğrudan etkileşime yönelik belirli AI sistemlerinde kişinin yapay zekâyla etkileşimde bulunduğunun anlaşılmasını sağlamaya yönelik yükümlülükler düzenlemektedir.

Ancak etkileşimin bağlamına ve ilgili istisnalara göre değerlendirme yapılmalıdır.

AI tarafından üretilen içerikler işaretlenmeli mi?

AI Act m.50/2 kapsamında sentetik ses, görüntü, video veya metin üreten belirli AI sistemleri için makine tarafından okunabilir işaretleme ve tespit edilebilirlik yükümlülükleri bulunmaktadır.

Ancak bu düzenlemenin istisnaları ve geçiş hükümleri önemlidir.

Özellikle 2 Ağustos 2026'dan önce piyasaya sunulmuş bazı sistemler için m.50/2 kapsamındaki geçiş tarihi 2 Aralık 2026'dır.

Deepfake içerikler bakımından durum nedir?

AI Act m.50/4 kapsamında belirli deepfake içeriklerin yapay zekâyla oluşturulduğunun veya değiştirildiğinin açıklanmasına ilişkin yükümlülükler bulunmaktadır.

Ancak ilgili istisnalar ve yaratıcı içeriklere ilişkin özel düzenlemeler dikkate alınmalıdır.

AI SaaS sözleşmesinde kimin sorumlu olduğu belirlenebilir mi?

Sağlayıcı ve kullanıcı kuruluşun teknik ve operasyonel görevleri sözleşmede açıklanabilir.

Ancak sözleşmesel görev dağılımı, taraflara doğrudan uygulanan kanuni yükümlülükleri kendiliğinden ortadan kaldırmaz.

25. AI Act Kapsamında Her AI Şirketi Genel Amaçlı Model Sağlayıcısı mıdır?

Hayır.

Bu ayrım özellikle AI SaaS girişimleri açısından önemlidir.

Bir startup, başkasının geliştirdiği genel amaçlı modeli API üzerinden kullanarak belirli ürün sunabilir.

Bu şirketin yapay zekâ sistemi sağlayıcısı sıfatıyla yükümlülükleri gündeme gelebilir.

Ancak bu durum her zaman temel GPAI modelinin sağlayıcısı olduğu anlamına gelmez.

GPAI sağlayıcılarının özel yükümlülükleri nelerdir?

AI Act m.53 kapsamında genel amaçlı model sağlayıcıları bakımından belirli:

• Teknik dokümantasyon,

• Alt sistem sağlayıcılarına bilgi sağlama,

• AB telif hukukuna uyum politikası,

• Model eğitiminde kullanılan içeriklerin yeterince ayrıntılı özeti

yükümlülükleri bulunmaktadır.

Sistemik risk taşıyan belirli modeller için ek yükümlülükler de söz konusu olabilir.

Sadece API kullanan küçük SaaS şirketi eğitim verilerinin tamamını yayımlamak zorunda mı?

Böyle genel bir sonuç doğru değildir.

Şirketin gerçek rolü, kendi modelini geliştirip geliştirmediği ve AI Act'in hangi hükümlerinin uygulanabildiği önemlidir.

Bu nedenle temel model sağlayıcılarına getirilen bütün özel yükümlülükleri doğrudan her AI API müşterisine uygulamak doğru değildir.

Fine-tuning yapan şirketin durumu değişebilir mi?

Somut model değişikliğinin niteliği ve AI Act kapsamındaki sağlayıcı tanımları önemlidir.

Her küçük uyarlama otomatik olarak yeni genel amaçlı model sağlayıcısı olunduğu anlamına gelmez.

26. Yapay Zekâ Çıktılarında Üçüncü Kişilerin Telif Hakları İhlal Edilebilir mi?

Yapay zekâ tarafından oluşturulan çıktıların üçüncü kişilerin fikri mülkiyet haklarını ihlal edip etmediği, somut çıktıya ve kullanım biçimine bağlıdır.

Örneğin yapay zekâ sistemi:

• Başka bir şirketin logo tasarımına çok benzeyen görsel,

• Telif koruması altındaki metnin belirli kısmı,

• Korunan yazılım koduna benzer kod,

• Başka bir markayı kullanan ticari içerik

oluşturabilir.

Ancak yalnızca benzerlik bulunması, her durumda fikri hak ihlali olduğunu göstermez.

AI sağlayıcısı müşteriye tam telif garantisi verebilir mi?

Böyle bir taahhüt verilmeden önce teknik imkanlar, model sağlayıcısının koşulları ve fikri hak riskleri değerlendirilmelidir.

Özellikle bütün çıktılar bakımından hiçbir üçüncü kişi hakkının hiçbir zaman ihlal edilmeyeceği şeklindeki sınırsız garanti, sağlayıcı bakımından önemli sözleşmesel risk yaratabilir.

IP Indemnity nedir?

IP Indemnity, belirli fikri mülkiyet iddiaları nedeniyle tarafların karşılaşabileceği zarar veya taleplerin sözleşmesel koşullarda nasıl karşılanacağını düzenleyen hükümlerdir.

Örneğin hangi hak iddialarının kapsandığı, hangi kullanım biçimlerinin hariç tutulduğu ve üçüncü kişi uyuşmazlığının nasıl yönetileceği belirlenebilir.

Ancak sözleşmedeki tazmin ve sorumluluk hükümlerinin geçerliliği uygulanabilir hukuk kurallarına bağlıdır.

AI çıktısını müşteri değiştirirse sonuç değişir mi?

Çıktının müşteri tarafından değiştirilmesi veya belirli amaçlarla kullanılması, somut hak ihlali ve sorumluluk değerlendirmesinde önem taşıyabilir.

Ancak her olayın sonucunu otomatik olarak belirlemez.

27. AI SaaS Şirketi Müşterinin Gizli Belgelerini Koruyabilir mi?

Kurumsal yapay zekâ hizmetlerinde müşteri tarafından yüklenen belgeler ticari sır veya gizli bilgi niteliği taşıyabilir.

Örneğin:

• Yatırım sözleşmeleri,

• Finansal tablolar,

• Müşteri listeleri,

• Kaynak kod,

• Teknik geliştirme planları,

• İş stratejileri,

• Henüz yayımlanmamış ürün bilgileri

yapay zekâ sistemlerine yüklenebilir.

Bu nedenle gizlilik hükümleri AI SaaS sözleşmelerinde önemlidir.

NDA yeterli midir?

Non-Disclosure Agreement (NDA), yani gizlilik sözleşmesi belirli gizli bilgileri korumaya yönelik hükümler içerebilir.

Ancak yapay zekâ ürününün gerçek veri akışını ve üçüncü taraf model sağlayıcılarını düzenlemeden yalnızca genel gizlilik hükmü bulunması yeterli olmayabilir.

Third-Party Model Disclosure nedir?

Üçüncü taraf model sağlayıcılarının veri işleme ve hizmet sunumu bakımından rollerinin açıklanmasıdır.

Müşterinin hangi sağlayıcıların verilerine erişebileceğini bilmesi, sözleşmesel ve veri koruma değerlendirmeleri açısından önemli olabilir.

AI şirketi müşteri belgelerini çalışanlarının erişimine açabilir mi?

Hizmetin teknik gereklilikleri, sözleşme, kişisel veri işleme şartları ve güvenlik tedbirleri değerlendirilmelidir.

Destek veya hata çözümü amacıyla yapılan sınırlı erişim ile müşteri belgelerinin bağımsız amaçlarla kullanılması farklıdır.

28. AI SaaS Sözleşmesi Sona Erdiğinde Prompt ve Çıktılara Ne Olur?

Yapay zekâ ürünlerinde sözleşmenin sona ermesi, yalnızca kullanıcı hesabının kapatılmasıyla sınırlı değildir.

Sistemde:

• Prompt geçmişi,

• Kullanıcı tarafından yüklenen dosyalar,

• Model çıktıları,

• Sohbet geçmişi,

• Embedding kayıtları,

• RAG indeksleri,

• Fine-tuning veri setleri,

• Kullanım ve güvenlik logları

bulunabilir.

Müşteri verilerini geri isteyebilir mi?

Sözleşmedeki veri iadesi hükümleri ve uygulanabilir mevzuat kapsamında değerlendirilir.

Ancak müşteri verileri ile sağlayıcının kendi yazılımı ve model bileşenleri birbirinden ayrılmalıdır.

Prompt geçmişi silinmek zorunda mı?

Her durumda aynı sonuç doğmaz.

Kişisel verilerin işlenme şartları, sözleşmesel saklama yükümlülükleri ve uygulanabilir diğer hükümler incelenmelidir.

Fine-tuning sonucunda oluşturulan bileşenler müşteriye teslim edilmeli mi?

Sözleşmeye ve teknik yapıya bağlıdır.

Müşterinin veri setlerini sağlamış olması, temel modelin veya bütün uyarlanmış model bileşenlerinin otomatik sahibi olduğu anlamına gelmez.

Üçüncü taraf AI sağlayıcısındaki kayıtlar ne olacak?

AI SaaS şirketinin alt hizmet sağlayıcılarıyla yaptığı sözleşmeler ve gerçek teknik saklama süreçleri önemlidir.

Özellikle üçüncü tarafın log, yedekleme ve veri tutma uygulamaları değerlendirilmelidir.

SaaS hizmetinin sona ermesinde veri iadesini SaaS Sözleşmelerinde Veri İşleme Anlaşması (DPA) başlıklı yazımla birlikte değerlendirmek mümkündür.

29. Örnek Olay: Yapay Zekâ Destekli Sözleşme Analiz Platformu Yanlış Sonuç Üretiyor

Türkiye'de kurulu Atlas AI AŞ isimli şirketin kurumsal müşterilerine yapay zekâ destekli sözleşme analiz platformu sunduğunu düşünelim.

Atlas AI, kendi kullanıcı arayüzünü ve belge yönetim sistemini geliştirmiştir.

Ancak sözleşme analizlerini yabancı bir yapay zekâ API'si üzerinden gerçekleştirmektedir.

Atlas AI'ın kurumsal müşterisi Nova Teknoloji Ltd. Şti., yatırım sürecinde kullanılmak üzere 300 sözleşmeyi sisteme yükler.

Platform önemli hükümleri özetlemekte ve belirli riskleri işaretlemektedir.

Ancak yapay zekâ bazı sözleşmelerde önemli bir pay devri sınırlamasını tespit edemez.

Nova Teknoloji, hazırlanan rapora güvenerek işlem gerçekleştirir ve sonradan zarara uğradığını ileri sürer.

Ayrıca şirket, yüklediği belgelerin yabancı model sağlayıcısı tarafından eğitim amacıyla kullanılıp kullanılmadığını öğrenmek ister.

Bu olayda hangi hukuki sorunlar incelenmelidir?

Birinci mesele: Hizmetin amacı

Atlas AI'ın yalnızca yardımcı analiz aracı mı sunduğu, yoksa belirli hukuki riskleri eksiksiz tespit etme taahhüdü mü verdiği belirlenmelidir.

İkinci mesele: Sözleşmedeki doğruluk taahhütleri

Ürünün performansına ilişkin hangi beyanların verildiği incelenmelidir.

Üçüncü mesele: Teknik hata

Hatanın modelin davranışından, eksik veri aktarımından, yazılım entegrasyonundan veya başka sebepten kaynaklanıp kaynaklanmadığı belirlenmelidir.

Dördüncü mesele: İnsan denetimi

Sistemin kullanım amacı ve müşterinin karar sürecindeki rolü değerlendirilmelidir.

Beşinci mesele: Sorumluluk hükümleri

TBK m.112, m.115 ve m.116 ile ilgili sözleşmesel hükümler incelenmelidir.

Altıncı mesele: Zarar ve illiyet bağı

İleri sürülen zarar ile ilgili sözleşmesel ihlal arasındaki bağlantı değerlendirilmelidir.

Yedinci mesele: Müşteri verilerinin hukuki niteliği

Yüklenen sözleşmelerde kişisel veriler ve ticari sırlar bulunup bulunmadığı belirlenmelidir.

Sekizinci mesele: Veri sorumlusu ve veri işleyen rolleri

Atlas AI, Nova Teknoloji ve üçüncü taraf model sağlayıcısının somut veri işleme faaliyetlerindeki sıfatları belirlenmelidir.

Dokuzuncu mesele: Model eğitimi

Belgelerin hizmet sunumu dışındaki amaçlarla kullanılıp kullanılmadığı incelenmelidir.

Onuncu mesele: Yurt dışına aktarım

Üçüncü taraf model API'sine gönderilen kişisel veriler bakımından KVKK m.9 değerlendirilmesi yapılmalıdır.

On birinci mesele: Fikri mülkiyet hakları

Prompt, yüklenen belge ve üretilen raporların ayrı hukuki durumları değerlendirilmelidir.

On ikinci mesele: Model sağlayıcısının sözleşmesi

Atlas AI'ın kullandığı temel modelin lisans ve kullanım koşulları incelenmelidir.

On üçüncü mesele: AI Act

Sistemin AB pazarındaki faaliyetlerine, kullanım amacına ve tarafların rollerine göre AI Act uygulanabilirliği ayrıca değerlendirilmelidir.

On dördüncü mesele: Deliller

Prompt geçmişi, yüklenen belge sürümleri, model sürümü, API kayıtları, çıktı raporları ve müşteri yazışmaları hukuka uygun biçimde korunmalıdır.

On beşinci mesele: Önleyici sözleşme mekanizmaları

Kullanım sınırları, performans kriterleri, insan denetimi, üçüncü taraf model değişiklikleri ve veri işleme şartlarının önceden nasıl düzenlendiği incelenmelidir.

Bu örnekte Atlas AI'ın karşılaştığı uyuşmazlık, yapay zekânın yanlış çıktı üretmiş olmasından ibaret değildir. Ürünün hangi sonuca ilişkin taahhüt verdiği, müşterinin hangi verilerini işlediği, model sağlayıcısının rolü ve çıktının ticari kararda nasıl kullanıldığı birlikte değerlendirilmelidir.

30. AI SaaS Müşteri Sözleşmesinde Hangi Maddeler Bulunmalı?

Yapay zekâ ürünü satan şirketlerin müşteri sözleşmelerinde aşağıdaki konu başlıkları değerlendirilebilir.

1. Ürünün tanımı ve kullanım amacı

Yapay zekâ hizmetinin hangi işlevleri yerine getirdiği açıklanmalıdır.

2. Hizmet kapsamı ve kullanım sınırları

Hangi işlemler için tasarlandığı ve hangi kullanımların sözleşme dışında bırakıldığı belirlenebilir.

3. Temel model ve üçüncü taraf hizmetler

Kullanılan model API'leri ve hizmet sağlayıcılarına ilişkin hükümler düzenlenebilir.

4. Prompt ve müşteri verileri

Müşterinin sisteme yüklediği bilgi ve belgelerin hukuki statüsü belirlenmelidir.

5. Output kullanım hakları

Yapay zekâ çıktılarının kullanım yetkileri ve varsa ilgili fikri haklar değerlendirilmelidir.

6. Model eğitimi ve ürün geliştirme

Müşteri verilerinin model eğitimi veya hizmet geliştirme amacıyla kullanılıp kullanılmayacağı açıkça düzenlenmelidir.

7. Veri sorumlusu–veri işleyen ilişkisi

KVKK ve uygulanabildiği durumlarda GDPR hükümleri dikkate alınmalıdır.

8. Yurt dışına veri aktarımı

Gerçek veri akışı ve ilgili hukuki aktarım mekanizmaları belirlenmelidir.

9. Gizlilik ve veri güvenliği

Müşteri belgeleri, ticari sırlar ve teknik güvenlik yükümlülükleri düzenlenmelidir.

10. Model davranışı ve doğruluk sınırları

Hizmetin performans ve kullanım sınırları açıkça belirlenmelidir.

11. İnsan denetimi

Hangi işlemlerde kimin kontrol ve onay sorumluluğu bulunduğu açıklanabilir.

12. Model değişiklikleri

Sürüm değişikliği, fiyatlandırma ve önemli performans değişiklikleri için mekanizma kurulabilir.

13. SLA ve teknik destek

Erişilebilirlik ve diğer hizmet seviyesi göstergeleri belirlenmelidir.

14. Fikri mülkiyet ve üçüncü kişi talepleri

Sağlayıcının, müşterinin ve üçüncü kişilerin hakları ayrı düzenlenmelidir.

15. Sorumluluk ve tazminat

Türk Borçlar Kanunu'nun emredici sınırları dikkate alınmalıdır.

16. AI Agent yetkileri

Otomatik işlemler ve dış sistemlerde eylem gerçekleştirme yetkileri belirlenebilir.

17. Düzenleyici uyum

AI Act ve diğer uygulanabilir düzenlemelerde tarafların gerçek sıfatları ve görevleri esas alınmalıdır.

18. Fesih ve veri iadesi

Hizmet sona erdiğinde müşteri verileri, prompt'lar, çıktılar ve diğer kayıtların akıbeti belirlenmelidir.

19. Değişiklik ve güncelleme yönetimi

Teknik ve düzenleyici değişikliklerin sözleşmeye etkisi düzenlenebilir.

20. Uyuşmazlık çözümü

Uygulanacak hukuk, yetki veya tahkim hükümleri hukuki şartlarına uygun biçimde belirlenmelidir.

Bu maddelerin tamamı her AI SaaS ürünü bakımından aynı şekilde zorunlu değildir. Sözleşmenin kapsamı ürünün iş modeline, kullanım amacına ve uygulanabilir mevzuata göre belirlenmelidir.

31. Yapay Zekâ Sözleşmesinde Örnek Veri Kullanım Maddesi

AI SaaS sözleşmelerinde müşteri verilerinin hizmet sunumu ile model eğitimi amacıyla kullanılmasını ayırmak için aşağıdaki örnek yapı değerlendirilebilir:

Örnek hüküm — Müşteri Verilerinin Kullanım Amacı

“Hizmet Sağlayıcı, Müşteri tarafından Platforma aktarılan veri, belge ve diğer içerikleri, işbu Sözleşme kapsamında kararlaştırılan yapay zekâ hizmetlerinin sunulması, güvenliğinin sağlanması ve sözleşmesel yükümlülüklerin yerine getirilmesi amaçlarıyla, hukuken geçerli işleme şartları ve Sözleşme hükümleri çerçevesinde işler.

Müşteri Verilerinin, Hizmet Sağlayıcının veya üçüncü taraf model sağlayıcılarının genel amaçlı yapay zekâ modellerinin eğitimi ya da Müşteriye sunulan hizmet kapsamı dışındaki bağımsız amaçlarla kullanılması, ayrıca hukuken geçerli dayanak ve gerekli sözleşmesel yetkilendirme bulunmadıkça gerçekleştirilemez.

Hizmet Sağlayıcı, kişisel verilerin korunmasına ilişkin emredici mevzuat hükümlerine uygun davranmakla yükümlüdür. Üçüncü taraf hizmet sağlayıcılarla gerçekleştirilen veri işleme faaliyetlerinin kapsamı, ilgili sözleşme eklerinde belirlenir.”

Bu hüküm neden önemlidir?

Örneğin müşterinin “verilerim model eğitiminde kullanılmasın” talebiyle yalnızca ürünün çalışması için gerekli veri işleme faaliyetleri birbirinden ayrılabilir.

Ancak bu örnek hükmün bütün veri akışları ve iş modellerinde tek başına yeterli olduğu söylenemez.

Özellikle sağlayıcının kullandığı gerçek API koşullarıyla uyumlu olması gerekir.

32. Yapay Zekâ Sözleşmesinde Örnek Çıktı ve Sorumluluk Maddesi

Yapay zekâ çıktılarının kullanım yetkileri ile teknik sınırlamalarının düzenlenmesine yönelik örnek hüküm aşağıdaki şekilde yapılandırılabilir:

Örnek hüküm — Yapay Zekâ Çıktıları ve Kullanım Sınırları

“Platform kapsamında oluşturulan çıktılar, Hizmet Sağlayıcının hukuken sahip olduğu veya Müşteriye kullanım yetkisi tanımaya yetkili bulunduğu haklar ve işbu Sözleşmede belirtilen kapsam çerçevesinde Müşterinin kullanımına sunulur.

Taraflar, yapay zekâ tarafından üretilen her çıktının ilgili fikri mülkiyet mevzuatı kapsamında kendiliğinden eser niteliği taşıdığının veya münhasır fikri hak korumasına sahip olduğunun varsayılamayacağını kabul eder.

Platformun amaçlanan kullanımı, teknik performans kriterleri ve bilinen sınırlamaları Sözleşme ve ilgili teknik belgelerde belirtilir.

Hizmetin kullanımına ilişkin kontrol ve doğrulama yükümlülükleri, tarafların üstlendiği sözleşmesel görevler ve uygulanabilir emredici mevzuat hükümleri saklı kalmak kaydıyla belirlenir.

İşbu hüküm, tarafların kanundan doğan ve sözleşmeyle geçerli biçimde sınırlandırılamayan sorumluluklarını ortadan kaldırmaz.”

Bu metin yalnızca örnek sözleşme yaklaşımıdır.

Özellikle ürünün yüksek etkili veya düzenlemeye tabi kullanım alanlarında sunulması durumunda daha kapsamlı hükümler gerekebilir.

33. Yapay Zekâ Ürünü Satan Şirketler İçin Hukuki Kontrol Listesi

Ürün ve teknik yapı

• Yapay zekâ sisteminin amacı belirlenmiş mi?

• Kendi modeli mi kullanılıyor, üçüncü taraf modeli mi?

• Hangi API ve model sürümleri kullanılıyor?

• AI Agent dış sistemlerde işlem yapabiliyor mu?

• İnsan onayı gereken işlemler belirlenmiş mi?

Veri koruma

• Prompt ve müşteri verileri hangi amaçlarla işleniyor?

• Model eğitimi ayrı bir faaliyet olarak ele alınmış mı?

• Veri sorumlusu ve veri işleyen rolleri belirlenmiş mi?

• KVKK m.5 kapsamında hukuki işleme şartı mevcut mu?

• Yurt dışına aktarım değerlendirmesi yapılmış mı?

• RAG ve embedding kayıtlarının durumu belirlenmiş mi?

• Veri silme ve saklama süreçleri açık mı?

Fikri mülkiyet

• Müşteri girdilerinin hakları belirli mi?

• Output kullanım yetkileri açık mı?

• Temel model ve uygulama hakları ayrılmış mı?

• Fine-tuning ve veri seti hakları düzenlenmiş mi?

• Üçüncü kişi fikri hak iddialarına ilişkin mekanizma mevcut mu?

Sözleşmesel sorumluluk

• Ürünün amaçlanan kullanımı açık mı?

• Doğruluk taahhütleri teknik olarak ölçülebilir mi?

• Yanlış çıktılara ilişkin sorumluluk düzenlenmiş mi?

• İnsan denetimi görevleri belirli mi?

• SLA hükümleri mevcut mu?

• Üçüncü taraf model değişiklikleri yönetiliyor mu?

• Sorumluluk sınırları hukuken incelenmiş mi?

Uluslararası düzenlemeler

• AI Act ürün bakımından uygulanabilir mi?

• Şirket provider veya deployer sıfatıyla mı hareket ediyor?

• Genel amaçlı model sağlayıcısı mı?

• Sistem yüksek riskli kullanım alanına giriyor mu?

• Güncel yürürlük takvimi kontrol edilmiş mi?

• Şeffaflık yükümlülükleri değerlendirilmiş mi?

34. Yapay Zekâ Sözleşmelerinde Sık Yapılan Hatalar

Bütün AI ürünlerini aynı hukuki kategoriye yerleştirmek: Kullanım amacı ve şirketin rolü belirlenmelidir.

AI çıktısına koşulsuz telif hakkı devri taahhüt etmek: Her çıktının eser niteliği taşıdığı varsayılamaz.

Müşteri verilerini genel sözleşme hükmüyle model eğitimine açmak: KVKK ve diğer hukuki yetkiler ayrıca değerlendirilmelidir.

Yabancı AI API'sinin veri saklama koşullarını incelememek: Gerçek veri akışı önemlidir.

RAG kullanıldığında kişisel veri işlenmediğini düşünmek: Kaynak belgeler ve türetilmiş kayıtlar ayrıca incelenmelidir.

AI'nın hata yapabileceği uyarısını sınırsız sorumsuzluk saymak: TBK'nın emredici sınırları saklıdır.

AI Agent'a sınırsız sistem yetkisi vermek: Eylem sınırları ve kontrol mekanizmaları önemlidir.

Model değişikliklerinin hizmet üzerindeki etkisini düzenlememek: API bağımlılıkları sözleşmeyi etkileyebilir.

AI Act'in bütün hükümlerinin 2026'da bütün AI şirketlerine uygulandığını varsaymak: Hukuki rol ve güncel uygulama takvimi belirlenmelidir.

Temel model sağlayıcısı ile AI SaaS sistemi sağlayıcısını karıştırmak: GPAI model sağlayıcısına ilişkin özel yükümlülüklerin kapsamı farklıdır.

AI SaaS sözleşmesini klasik yazılım sözleşmesinin kopyası olarak hazırlamak: Ürünün özel teknik ve hukuki özellikleri değerlendirilmelidir.

35. Yapay Zekâ Hukuku ve AI SaaS Sözleşmeleri Hakkında Sık Sorulan Sorular

Yapay zekâ sözleşmesi nedir?

Yapay zekâ sistemlerinin geliştirilmesi, lisanslanması, hizmet olarak sunulması veya kullanılması kapsamında tarafların hak ve yükümlülüklerini düzenleyen sözleşmelere verilen genel addır.

AI SaaS sözleşmesi nedir?

Yapay zekâ destekli yazılımın belirli hizmet modeliyle müşteriye sunulmasına ilişkin sözleşmedir. SaaS hükümlerine ek olarak model davranışı, veri işleme ve AI çıktılarına ilişkin özel hükümler içerebilir.

Yapay zekâ çıktılarının telif hakkı kime ait?

Çıktının hukuki niteliğine, insan katkısına, uygulanabilir fikri mülkiyet hukukuna ve ilgili sözleşmelere bağlıdır. Her AI çıktısının kendiliğinden korunan eser olduğu söylenemez.

Prompt'un sahibi kim?

Prompt'un niteliği, içeriği ve varsa fikri haklar değerlendirilmelidir. Prompt kişisel veri veya ticari sır da içerebilir.

AI SaaS şirketi müşteri verilerini model eğitiminde kullanabilir mi?

Gerekli hukuki işleme şartları, sözleşmesel yetkiler ve diğer yükümlülükler mevcutsa somut koşullarda değerlendirilebilir. Ancak hizmet sunumu ile model eğitimi aynı amaç değildir.

Yapay zekâ için KVKK uygulanır mı?

Kişisel veri işleme faaliyetleri bakımından uygulanabilir. Yapay zekâ kullanılması tek başına KVKK'dan muafiyet sağlamaz.

AI SaaS şirketi her zaman veri işleyen midir?

Hayır. Somut işleme faaliyetinin amaç ve vasıtalarını kimin belirlediğine göre veri sorumlusu veya veri işleyen sıfatı gündeme gelebilir.

ChatGPT veya başka AI API'si kullanmak KVKK'ya aykırı mı?

Tek başına böyle bir sonuç çıkarılamaz. Gerçek veri akışı, veri işleme amaçları ve yurt dışına aktarım şartları değerlendirilmelidir.

RAG kullanılırsa veriler model eğitimi için kullanılmış olur mu?

Her durumda değil. RAG ve fine-tuning farklı teknik yöntemlerdir. Ancak RAG kapsamında da kişisel veri işleme veya üçüncü taraf aktarım gerçekleşebilir.

AI hallucination nedir?

Yapay zekâ sisteminin gerçeğe uymayan veya yeterli dayanağı bulunmayan bilgiler üretmesi durumunu ifade etmek için kullanılan terimdir.

Yapay zekâ yanlış bilgi verirse kim sorumlu olur?

Sözleşmenin kapsamı, verilen taahhütler, kullanım amacı, zarar, kusur ve illiyet bağı gibi unsurlar somut olayda değerlendirilmelidir.

Sözleşmeye “Yapay zekâ hata yapabilir” yazmak yeterli mi?

Hayır. Böyle bir ifade sağlayıcının bütün kanuni ve sözleşmesel sorumluluğunu kendiliğinden ortadan kaldırmaz.

AI Agent müşteri adına işlem yapabilir mi?

Teknik olarak belirli işlemler gerçekleştirebilir. Ancak hukuki yetkilendirme, temsil ve işlem sınırları ayrıca değerlendirilmelidir.

AI Act Türk şirketlerine uygulanabilir mi?

Somut hizmetin AB pazarına sunulması veya AI Act m.2 kapsamındaki diğer şartların gerçekleşmesi halinde uygulanabilir.

AI Act 2026'da tamamen yürürlüğe girdi mi?

Düzenleme kademeli uygulanmaktadır. 2 Ağustos 2026'dan itibaren birçok hüküm uygulanmakla birlikte belirli yüksek riskli sistem yükümlülükleri 2027 ve 2028'e ertelenmiştir.

AI Act'te yüksek riskli sistemlerin tarihi nedir?

Güncel düzenleme kapsamında Ek III'e ilişkin belirli bağımsız yüksek riskli sistem hükümleri 2 Aralık 2027, Ek I kapsamındaki düzenlenmiş ürünlerle bağlantılı belirli hükümler 2 Ağustos 2028 tarihinde uygulanacaktır.

Her chatbot yüksek riskli mi?

Hayır. Sistemin amaçlanan kullanımı ve ilgili kanuni sınıflandırma değerlendirilmelidir.

AI chatbot kullananlara yapay zekâyla konuştuğu söylenmeli mi?

AI Act m.50/1 kapsamına giren sistemlerde, ilgili koşullarla kişinin AI sistemiyle etkileşimde olduğunun bildirilmesi gerekir.

Temel model sağlayıcısı ile AI SaaS şirketi aynı mı?

Her durumda değil. Başkasının modelini entegre ederek ürün sunan şirketin hukuki rolü, genel amaçlı AI model sağlayıcısından farklı olabilir.

AI SaaS sözleşmesinde SLA olmalı mı?

Hizmetin niteliğine göre SLA hazırlanabilir. Özellikle erişilebilirlik, gecikme ve teknik destek ölçütleri önemlidir.

AI çıktılarında üçüncü kişi telif hakkı ihlali olabilir mi?

Somut çıktı ve kullanım koşullarına göre olabilir. Ancak her benzer AI çıktısı otomatik olarak ihlal oluşturmaz.

AI SaaS sözleşmesi bitince müşteri verileri ne olur?

Sözleşmedeki veri iadesi, silme ve saklama hükümleri ile kişisel veri koruma yükümlülükleri uygulanır.

Model sağlayıcısı API'yi kapatırsa AI SaaS şirketi sorumlu olur mu?

SaaS şirketinin kendi müşterisine karşı üstlendiği yükümlülükler, model sağlayıcısıyla arasındaki ilişkiden ayrı değerlendirilmelidir.

Sonuç: Yapay Zekâ Ürünlerinin Ticari Başarısı Hukuki Sözleşme Mimarisine de Bağlıdır

Yapay zekâ teknolojilerinin ticari olarak sunulması, klasik yazılım sözleşmelerine yeni ve önemli hukuki konular eklemektedir.

Özellikle müşteri verilerinin model eğitiminde kullanılması, prompt ve çıktıların fikri hakları, üçüncü taraf model API'leri, yapay zekâ hatalarının ticari sonuçları ve AI Agent sistemlerinin otomatik işlemleri ayrı değerlendirme gerektirir.

Türkiye'de faaliyet gösteren şirketler bakımından Türk Borçlar Kanunu, Fikir ve Sanat Eserleri Kanunu ve KVKK önem taşımaya devam etmektedir.

Avrupa Birliği pazarına yönelik faaliyetlerde ise AI Act'in uygulanabilirliği, şirketin gerçek rolüne ve sistemin kullanım alanına göre değerlendirilmelidir.

Özellikle 2026 yılında AI Act'in uygulama takviminde yapılan değişiklikler, eski hukuki değerlendirmelerin ve sözleşme şablonlarının güncellenmesini önemli hale getirmiştir.

Ancak yapay zekâ hukuku bakımından temel mesele yalnızca mevzuattaki tarihleri takip etmek değildir.

Şirketlerin müşterilerine hangi sonucu vaat ettiğini, verileri hangi amaçla işlediğini, hangi üçüncü taraf sağlayıcılara bağımlı olduğunu ve sistemin hangi işlemleri otomatik gerçekleştirebildiğini sözleşmesel olarak açıklığa kavuşturması da önemlidir.

Yapay zekâ ürünü satan şirketler açısından hukuki güvenliğin temel unsuru, ürünün teknik kapasitesiyle müşteriye verilen ticari taahhütler arasında uyum kurulması; veri koruma, fikri mülkiyet ve sorumluluk hükümlerinin ürünün gerçek işleyişini yansıtacak şekilde hazırlanmasıdır.

Hukuki Dayanaklar ve Resmî Kaynaklar

Türk mevzuatı

• 6098 sayılı Türk Borçlar Kanunu; özellikle m.20–27, m.97, m.112, m.115–116 ve uygulanabilir diğer sözleşme hükümleri.

• 5846 sayılı Fikir ve Sanat Eserleri Kanunu; özellikle m.1/B, m.2, m.8, m.18, m.21–25 ve m.48–52.

• 6698 sayılı Kişisel Verilerin Korunması Kanunu; özellikle m.3–12.

• 6102 sayılı Türk Ticaret Kanunu.

• 6100 sayılı Hukuk Muhakemeleri Kanunu; özellikle m.199 ve ilgili delil hükümleri.

• Uygulanabildiği ölçüde 6502 sayılı Tüketicinin Korunması Hakkında Kanun ve ilgili özel düzenlemeler.

Avrupa Birliği düzenlemeleri

• Regulation (EU) 2024/1689 – Artificial Intelligence Act (AI Act), 2026 değişiklikleriyle güncel metin.

• AI Act m.2 – Kapsam.

• AI Act m.3 – Tanımlar.

• AI Act m.4 – AI okuryazarlığı.

• AI Act m.5 – Yasaklanan yapay zekâ uygulamaları.

• AI Act m.6 ve Ek III – Belirli yüksek riskli AI sistemleri.

• AI Act m.50 – Şeffaflık yükümlülükleri.

• AI Act m.53 – Genel amaçlı model sağlayıcılarının yükümlülükleri.

• AI Act m.111 ve m.113 – Geçiş hükümleri ve uygulanma tarihleri.

• GDPR (EU 2016/679), özellikle m.5, m.6, m.13–14, m.28, m.32 ve m.35.

Resmî kaynaklar

• KVKK – Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda)

• KVKK – Rehberler

• KVKK – Kişisel Verilerin Yurt Dışına Aktarımı

• Avrupa Birliği – AI Act Güncel Mevzuat

• Avrupa Komisyonu – AI Act Uygulama Takvimi

• Avrupa Komisyonu – AI Act m.50 Şeffaflık

• Avrupa Komisyonu – Genel Amaçlı AI Modellerine İlişkin Açıklamalar

• Avrupa Birliği – GDPR Resmî Metni

Yazar

Av. Şenay Yağmur Efe

Bilişim hukuku, yapay zekâ ve yazılım sözleşmeleri, SaaS iş modelleri, fikri mülkiyet hakları, kişisel verilerin korunması, startup hukuku ve teknoloji şirketlerinin ticari ilişkilerine ilişkin hukuki çalışmalar yürütmektedir.

Bu makale 5 Kasım 2026 itibarıyla genel hukuki bilgilendirme amacıyla hazırlanmıştır. Yapay zekâ ürünlerinin geliştirilmesi ve ticari olarak sunulması, müşteri verilerinin işlenmesi, fikri mülkiyet hakları ve sözleşmesel sorumluluk konuları; ürünün teknik özellikleri, tarafların hukuki sıfatları ve uygulanabilir mevzuat kapsamında ayrıca değerlendirilmelidir.