Yapay Zekâ Okuryazarlığı Yükümlülüğü: Madde 4'ün Güncel Metni ve Kurumsal Eğitim Müfredatı
EU AI Act Madde 4, 2026/1744 değişikliği ve çalışanlar için modül-modül müfredat iskeleti

Yapay Zekâ Okuryazarlığı Yükümlülüğü Nedir?

Yapay zeka okuryazarlığı yükümlülüğü, yapay zeka sistemlerini sağlayan (provider) veya işleten/kullanan (deployer) kuruluşların; bu sistemlerle çalışan personelinin ve adına iş gören kişilerin yapay zeka okuryazarlığını geliştirmeye yönelik tedbir almakla yükümlü tutulmasıdır. Buradaki okuryazarlık, teknik uzmanlık değil; bir çalışanın yapay zekanın nasıl çalıştığını, fırsat ve risklerini, verebileceği zararı ve çıktının nasıl doğrulanacağını anlayacak asgari yetkinliğidir. Yükümlülük teknoloji ekibiyle sınırlı değildir: müşteri temsilcisinden İK uzmanına, satış ekibinden hukuk birimine kadar YZ araçlarına dokunan herkesi kapsar.

Kısaca: bu bir araç yasağı değil, bir yetkinlik ödevidir. Kurum, çalışanına yapay zekayı elinden almak yerine, onu bilinçli ve güvenli kullanacak donanımı vermekle sorumludur. Bu rehber, bu yükümlülüğün hukuki temelini karışıklığa yer bırakmadan ayırır ve tüm çalışanlara uygulanabilir somut bir müfredat iskeleti verir. Güvenlik uzmanına yönelik kariyer yol haritası arıyorsanız, ayrı katmandaki AI güvenliği öğrenme rehberi yazımız o ihtiyaca odaklanır; burada odak, tüm çalışanların yasal okuryazarlığı ve müfredatıdır.

Hukuki Çapa: EU AI Act Madde 4 ve 2026 Değişikliği

Yükümlülüğün somut hukuki kaynağı Avrupa Birliği Yapay Zeka Yasası'nın (EU AI Act) 4. maddesidir. İlk metin, sağlayıcı ve uygulayıcılardan personelin yeterli düzeyde okuryazarlığını ellerinden geldiğince sağlamak için tedbir almasını istiyordu. (EU) 2026/1744 sayılı Tüzük bu metni değiştirdi. Yeni Madde 4'e göre sağlayıcılar ve uygulayıcılar, personelinin ve adlarına yapay zeka sistemlerini işleten kişilerin okuryazarlığını geliştirmeyi destekleyen tedbirler alır. Madde, herhangi bir kişi için belirli bir okuryazarlık düzeyini güvence altına alma zorunluluğu getirmediğini açıkça yazar. Tedbirler yine kişilerin teknik bilgisi, deneyimi, eğitimi ve sistemin kullanılacağı bağlam gözetilerek ölçeklenir. Komisyon ve üye devletler, başta KOBİ'ler olmak üzere kurumların bu çabasını destekler.

Takvim iki tarihe oturur ve tam da bu noktada saha yaygın bir hataya düşer:

• 2 Şubat 2025: Madde 4 uygulanmaya başladı. Okuryazarlık ödevi bu tarihten beri yürürlüktedir.
• 27 Temmuz 2026: (EU) 2026/1744 sayılı Tüzük yürürlüğe girdi ve Madde 4'ün yeni metni geçerli oldu. Ödev kaldırılmadı ve ertelenmedi; kapsamı yeniden tanımlandı.

2 Ağustos 2026 ise yasanın genel uygulama tarihidir; Madde 4 için ayrı bir denetim eşiği değildir. Yönetişim ve yaptırım bölümleri, GPAI para cezaları dışında, 2 Ağustos 2025'ten beri uygulanıyor. Üye devletler, Madde 99(1) uyarınca operatörlerin her ihlaline uygulanacak yaptırım kurallarını belirler. Madde 99'un 3–5. fıkralarındaki para cezası üst sınırları ise Madde 4'ü ayrıca saymaz.

Önemli düzeltme: Türkiye'de "1 Temmuz 2026" gibi ayrı ve bağımsız bir yapay zeka okuryazarlığı yükümlülüğü yoktur. Sahada dolaşan bu tarih hukuki bir dayanağa oturmaz. Doğru tarihler yukarıdaki iki AB tarihidir. Türk kuruluşları için yükümlülüğün nereden geldiğini bir sonraki bölümdeki tablo netleştirir.

Türkiye Perspektifi: EU AI Act ve Yerel Zemin Karşılaştırması

Türkiye'de EU AI Act Madde 4'ün bir kopyası olan doğrudan bir kanun bulunmuyor. Buna rağmen yükümlülük Türk kuruluşlarına üç ayrı kanaldan yansıyor: AB pazarına hizmet eden şirketlere ülke-dışı (extraterritorial) etkiyle, tüm kuruluşlara KVKK kaynaklı veri koruma ödevleriyle ve ulusal yapay zeka eğitim seferberliğinin yarattığı beklentiyle. Aşağıdaki tablo iki zemini yan yana koyar.

Türkiye tarafındaki hızlanmayı ulusal seferberlik besliyor: kamu tarafından açıklanan hedeflere göre iki yıl içinde yaklaşık 5 milyon kişiye yapay zeka eğitimi ve yaklaşık 100.000 uygulama profesyoneli yetiştirilmesi amaçlanıyor. Bu bir kanuni yükümlülük değil, bir kapasite ve farkındalık politikasıdır; ancak kurumsal beklenti çıtasını gözle görülür biçimde yükseltir. Regülasyon çerçevesinin bütünü için EU AI Act uyum rehberi ve Türkiye yapay zeka düzenlemeleri 2026 yazılarımıza bakabilirsiniz.

Kimi Kapsar ve Neden Şimdi?

Yükümlülüğün en sık yanlış anlaşılan yanı kapsamıdır. Okuryazarlık ödevi yazılım geliştiricileriyle sınırlı değildir; "yapay zeka sistemine dokunan herkes" ilkesiyle işler. Pratikte bu, üç geniş grubu içine alır:

• Doğrudan kullanıcılar: Kurumsal sohbet asistanları, kod yardımcıları veya RAG tabanlı arama araçlarını günlük işinde kullanan tüm personel.
• Karar sahipleri: Bir YZ çıktısına dayanarak müşteriye, çalışana veya sürece dair karar veren yöneticiler ve uzmanlar.
• Tedarik ve entegrasyon: Üçüncü taraf YZ hizmetlerini seçen, sözleşen veya sistemlerine bağlayan satın alma ve teknoloji ekipleri.

"Neden şimdi?" sorusunun cevabı hem hukuki hem operasyoneldir. Hukuki tarafta Madde 4 Şubat 2025'ten beri yürürlükte ve Temmuz 2026'daki yeni metin ödevin kapsamını netleştirdi. Operasyonel tarafta ise gölge-YZ (shadow AI) kullanımı kurumların çoğunda envanterin önüne geçti: çalışanlar araçları benimsedi, ancak güvenli kullanım bilgisi aynı hızda yayılmadı. Bu makas, veri sızıntısı ve manipülasyon riskinin en yoğun olduğu yerdir. Kurumsal yönetişimi bir komiteyle çerçevelemek isterseniz, AI yönetişim komitesi kurulması yazımız bu okuryazarlık programının sahibini tanımlamanıza yardımcı olur.

Kurumsal Eğitim Müfredatı İskeleti (Modül-Modül)

Gözlemimiz şu: yükümlülük yeni ve Türkçe'de modül-modül, uygulanabilir müfredat örnekleri henüz yaygın değil. Aşağıdaki iskelet, tüm çalışanlara uyarlanabilecek asgari bir çerçeve sunar. Üç kritik farkındalık ekseni değişmez omurgayı oluşturur: güvenli kullanım, KVKK ve prompt injection farkındalığı.

Üç omurga modülünün içeriğini biraz açalım:

• Güvenli kullanım (M1): Çalışan, bir dil modelinin kendinden emin ama yanlış (halüsinasyon) üretebileceğini bilir; ticari sır, müşteri verisi veya kimlik bilgisini kamuya açık araçlara girmez; çıktıyı ikinci bir kaynakla doğrulama refleksini kazanır.
• KVKK farkındalığı (M2): Kişisel verinin bir prompt'a girildiği anda işlenmiş sayılabileceğini kavrar; maskeleme ve en-az-veri ilkesini uygular. Derinlik için KVKK ve LLM güvenliği yazımız referans niteliğindedir.
• Prompt injection farkındalığı (M3): Bir belgeye, web sayfasına veya e-postaya gizlenmiş talimatların modeli kandırabileceğini anlar. Mekanizmayı en yalın haliyle anlatan prompt injection nedir yazımız bu modülün temel okumasıdır.

Bu iskeleti sıfırdan içerik üretmeden hayata geçirmek isteyen kurumlar için AltaySec'in açık LLM Security Akademi müfredatı 14 modül ve 35 laboratuvarla bu üç ekseni uygulamalı olarak karşılar; iskeleti bir başlangıç noktası, akademiyi ise derinleşme katmanı olarak konumlandırabilirsiniz.

Uygulamaya Geçiş: Denetlenebilir Bir Program Kurmak

Yeni Madde 4 belirli bir sonucu değil, tedbir almayı ister; bir denetimde alınan tedbirleri kanıtlayabilmek gerekir. Dolayısıyla eğitim, tek seferlik bir sunumdan çok, izi tutulan bir program olarak tasarlanmalıdır. Pratik adımlar:

1. Rol-risk haritası çıkarın: Hangi rol hangi YZ aracına dokunuyor ve hangi veriye erişiyor? Müfredat yoğunluğunu bu haritaya göre ölçekleyin.
2. Asgari omurgayı herkese verin: M0-M3 tüm personel için zorunlu taban olsun; M4 role göre eklensin.
3. Katılım ve kavrayışı kaydedin: Tamamlama, tarih ve kısa bir değerlendirme; alınan tedbirin kanıtı budur.
4. Politikayla eşleyin: Kabul edilebilir kullanım politikası, gölge-YZ kuralları ve olay bildirim kanalı eğitimle aynı dili konuşsun.
5. Yıllık tazeleyin: Modeller ve tehditler değişir; müfredat canlı bir doküman olmalıdır.

Eğitim insan katmanını güçlendirir; ancak tek başına yeterli değildir. Farkındalık ile teknik kontrol birbirini tamamlar: çalışan prompt injection'ı tanısa bile, üretimdeki sistemleri bir çalışma-zamanı katmanıyla korumak gerekir. AltaySec'in Guardian LLM güvenlik duvarı, eğitimin kapatamayacağı otomasyon açıklarını (zararlı girdi, veri sızıntısı denemeleri) sistem düzeyinde ele almak için bu insan katmanının yanına yerleşir. İkisi birlikte savunulabilir bir uyum duruşu oluşturur.

Yaygın Hatalar ve Kapanış

Programı çürüten en sık hatalar üç başlıkta toplanır:

• Yanlış tarihe uyum kurmak: "1 Temmuz 2026" gibi dayanaksız eşiklere göre plan yapmak. Doğru çapa Madde 4'tür (2 Şubat 2025 yürürlük, 27 Temmuz 2026 yeni metin).
• Kapsamı BT'ye daraltmak: Okuryazarlığı yalnızca geliştiricilere vermek. Yükümlülük araca dokunan herkesi kapsar.
• Kanıtsız eğitim: İz bırakmayan tek seferlik sunumlar. Belgelenmeyen bir tedbiri denetimde göstermek zordur.

Özetle: yapay zeka okuryazarlığı yükümlülüğü, teknik bir seçkinin değil tüm iş gücünün ödevidir. Hukuki çapayı doğru koyan, üç omurga eksenini herkese ulaştıran ve aldığı tedbirleri kayıt altına alan kuruluş, olası bir denetimde savunulabilir bir kayıt sunar. Kurumunuza özel bir müfredat uyarlaması veya Guardian ile teknik katman değerlendirmesi için bizimle iletişime geçebilirsiniz.

Kaynaklar

• EU AI Act — Article 4: AI Literacy
• EUR-Lex: Regulation (EU) 2026/1744 (Digital Omnibus on AI), Madde 4'ün yeni metni
• European Commission — Regulatory framework on AI
• Türkiye Ulusal Yapay Zeka Stratejisi — CBDDO
• OWASP Top 10 for LLM Applications
• NIST AI Risk Management Framework
• AltaySec LLM Security Akademi

İlgili Yazılar

• EU AI Act Uyum Rehberi
• AI Güvenliği Öğrenme Rehberi
• Türkiye Yapay Zeka Düzenlemeleri 2026
• AI Yönetişim Komitesi Kurulması