AI Act ve İnsan Kaynakları İçin 30 Maddelik Yönetici Özeti

AI Act ve İnsan Kaynakları İçin 30 Maddelik Yönetici Özeti: kısa cevap

AI Act insan kaynaklarını yalnız “işe alımda yapay zekâ” başlığıyla etkilemiyor. İK departmanı; hangi AI araçlarının kullanıldığını envantere almak, kullanım amacını sınıflandırmak, yasak uygulamaları ayıklamak, yüksek riskli use-case’leri hazırlık planına almak, AI okuryazarlığı sağlamak ve tedarikçilerden denetlenebilir kanıt istemek zorunda kalabilecek bir yönetişim rolü üstleniyor.

Önce sistemin gerçekten AI Act kapsamına girip girmediği, şirketin provider mı deployer mı olduğu ve somut kullanımın karar etkisi belirlenmelidir. Aynı ürün farklı kullanım biçimlerinde farklı yükümlülük doğurabilir.

2026 itibarıyla AI Act takvimi: İK için hangi tarih ne anlama geliyor?

AI Act’in genel uygulama tarihi 2 Ağustos 2026 olsa da bütün yükümlülükler aynı gün başlamadı. AI Omnibus düzenlemesi 27 Temmuz 2026’da yürürlüğe girerek high-risk sistemler için takvimi değiştirdi. Annex III kapsamındaki istihdam, eğitim, biometrik ve benzeri yüksek risk alanlarında Chapter III Sections 1–3 yükümlülüklerinin uygulama tarihi 2 Aralık 2027 olarak düzenlendi. Bu, İK’nın 2026’da hiçbir şey yapmayacağı anlamına gelmez; tam tersine envanter, sınıflandırma, vendor sözleşmesi, test planı ve çalışan eğitimi için hazırlık penceresi yaratır.

Article 4 AI literacy ise 2 Şubat 2025’ten beri uygulanıyor ve 2026’dan itibaren ulusal piyasa gözetim mekanizmalarının enforcement rolü de devreye giriyor. Article 50 kapsamındaki belirli şeffaflık yükümlülükleri 2 Ağustos 2026’dan itibaren uygulanıyor. Yasak uygulamalar ise Article 5 takvimi kapsamında ayrı değerlendirilmelidir.

Bu kullanım senaryosu gerçekten AI Act kapsamına giriyor mu?

Genel müdür, İK direktörü, hukuk, BT ve bilgi güvenliği ekiplerinin bilmesi gereken temel AI Act kararlarını tek kontrol listesinde toplamak. İlk adım ürünün pazarlama isminden bağımsız olarak teknik ve işlevsel kullanımını tanımlamaktır. “Akıllı”, “otomatik”, “algoritmik” veya “AI destekli” ibaresi tek başına hukuki sınıflandırma değildir. Sistem machine-based yapıda girdilerden tahmin, öneri, içerik veya karar gibi çıktılar çıkarıyor mu; bu çıktılar fiziksel veya sanal ortamı etkiliyor mu soruları incelenir.

İkinci adım şirketin coğrafi ve operasyonel bağlantısıdır. Provider veya deployer AB’deyse kapsam bağlantısı daha açıktır; üçüncü ülkedeki provider/deployer için de sistem çıktısının AB’de kullanılması gibi bağlantılar önemlidir. Türkiye’de kullanılan her İK AI sistemi yalnız “AI Act çıktı” diye otomatik olarak AB hukukuna tabi kabul edilmemelidir.

Üçüncü adım amaçtır. Örneğin performans ve KPI kullanımında sistem yalnız bir belgeyi özetliyor mu, yoksa aday/çalışan hakkında sonucu etkileyen skor veya öneri mi üretiyor? Risk sınıfını asıl belirleyen bu gerçek kullanım etkisidir.

İK kullanımını risk sınıfına nasıl yerleştirirsiniz?

Annex III’de adı geçen her use-case’in otomatik olarak high-risk olduğu varsayımı da doğru değildir. Article 6(3), belirli koşullarda insan sağlığı, güvenliği veya temel haklara önemli zarar riski yaratmayan; dar prosedürel, önceki insan faaliyetinin sonucunu iyileştiren, insan karar patternlerini tespit eden veya hazırlayıcı görev yapan sistemler için istisna mekanizması öngörür. Ancak profiling yapan Annex III sistemleri bu istisnadan yararlanamaz.

İK’da en kritik Annex III maddeleri hangileri?

Annex III 4(a) işe alım ve seçim alanına odaklanır: hedefli iş ilanı yerleştirme, iş başvurularını analiz ve filtreleme, adayları değerlendirme gibi sistemler burada sayılır. Bu nedenle ATS içinde AI skoru, CV eleme veya hedefli aday reklamcılığı yalnız verimlilik özelliği olarak görülmemelidir.

Annex III 4(b) mevcut çalışan ilişkilerine uzanır: çalışma ilişkisinin şartlarını etkileyen kararlar, terfi veya sözleşmenin sona ermesi, bireysel davranış veya kişisel özelliklere göre görev dağılımı ve iş ilişkisindeki kişilerin performans/davranışını izleme ve değerlendirme sistemleri bu alanda sayılır.

Pratikte İK’nın envanter formunda “işe alım mı, çalışan yönetimi mi?” sorusu tek başına yetmez. Her AI çıktısının hangi insan kararına girdiği ve o kararın aday/çalışan üzerindeki etkisi yazılmalıdır.

Yasak uygulamalar taraması neden en başta yapılmalı?

Bir use-case high-risk olarak yönetilebilir diye her AI uygulamasının kullanılabilir olduğu varsayılmamalıdır. Article 5 bazı pratikleri doğrudan yasaklar. İK açısından en görünür örnek, iş yerinde doğal kişilerin duygularını çıkaran AI sistemleridir; tıbbi veya güvenlik gerekçeli istisna dışında bu kullanım yasaklanmıştır.

Biometrik veriden ırk, siyasi görüş, sendika üyeliği, dini veya felsefi inanç, cinsel yaşam veya cinsel yönelim gibi hassas özellikleri çıkaran categorisation sistemleri de yasak alanlardadır. Ayrıca manipülatif veya aldatıcı tekniklerin kişilerin karar verme kabiliyetini bozarak önemli zarara yol açması gibi genel yasaklar İK sistemleri için de göz ardı edilmemelidir.

Human oversight yalnız son onay kutusu değildir

İnsan gözetiminin etkili olması için değerlendiricinin AI çıktısının sınırlamalarını anlaması, sistemi gereğinden fazla güvenilir görmemesi, belirli durumda çıktıyı görmezden gelebilmesi veya geçersiz kılabilmesi ve gerektiğinde sistemi durdurabilmesi gerekir. “AI önerdi, recruiter onayladı” ifadesi bu şartlar yoksa gerçek gözetim anlamına gelmez.

AI Act ve İnsan Kaynakları İçin 30 Maddelik Yönetici Özeti bağlamında insan onayı için minimum beş unsur tasarlanabilir: karar kriterlerine erişim, veri hatasını fark etme imkânı, yeterli değerlendirme süresi, override yetkisi ve gerekçe kaydı. Automation bias özellikle aday skoru, performans skoru ve çalışan risk skoru gibi sayısal sonuçlarda güçlü olabilir.

• AI çıktısı tek başına nihai sonuç olmasın.
• İnsan değerlendiren kişinin modelden bağımsız kanıtı görmesi sağlansın.
• Toplu karar öncesi örneklem kontrolü yapılsın.
• Override ve sistem durdurma yetkisi açıkça tanımlansın.
• İtiraz/şikâyet verileri risk izleme sistemine geri beslensin.

AI literacy: İK’nın 2026’da bugün yapması gereken yükümlülük

Article 4’ün uygulanması 2 Şubat 2025’te başladı. 2026 Omnibus değişiklikleri sonrasında provider ve deployer’ların personeli ve kendi adlarına AI sistemlerinin kullanımıyla ilgilenen diğer kişilerin AI literacy gelişimini destekleyecek önlemler alması yükümlülüğü devam ediyor. Mevzuat belirli tek bir sertifika veya herkese aynı eğitim saatini dayatmıyor; teknik bilgi, deneyim, eğitim ve sistemin kullanım bağlamı dikkate alınmalı.

Bu nedenle İK eğitim programını rol bazlı kurmak daha güçlüdür. Recruiter için aday skoru/bias/insan gözetimi; HRBP için çalışan kararları; yöneticiler için automation bias ve sorumluluk; BT/Procurement için vendor ve güvenlik; son kullanıcı için onaylı araç, veri paylaşımı ve shadow AI kontrolleri ayrı modüller olabilir.

Veri, KVKK/GDPR ve AI Act birlikte nasıl düşünülmeli?

AI Act, veri koruma mevzuatının yerine geçmez. Aday ve çalışan verisi üzerinde AI kullanırken hukuki sebep, şeffaflık, veri minimizasyonu, doğruluk, saklama, güvenlik ve haklar gibi veri koruma başlıkları ayrıca değerlendirilmelidir. Türkiye’de KVKK; AB bağlantılı süreçlerde GDPR; AI Act ise AI sisteminin risk ve ürün/operasyon yönetişimi açısından farklı katmanlar oluşturabilir.

İK envanterine sistem adı dışında veri kategorileri, veri kaynağı, sağlayıcı/alt işleyen, veri merkezi, retention, model training kullanımı, loglar ve yurt dışı aktarım bilgisi de eklenmelidir. Özellikle üretken AI tabanlı İK uygulamalarında model sağlayıcıya gönderilen prompt içinde CV, performans notu, sağlık bilgisi veya disiplin bilgisi bulunup bulunmadığı görünür hale getirilmelidir.

Tedarikçiden hangi kanıtları istemelisiniz?

“Ürün AI Act uyumludur” cümlesi tek başına yeterli değildir. İşverenin kendi intended use’u vendor’ın tasarladığı kullanımdan farklıysa rol veya risk sınıfı değişebilir. Özelleştirme, model fine-tuning, yeniden markalama veya sistem amacını değiştirme gibi durumlarda provider/deployer rolleri ayrıca incelenmelidir.

90 günlük İK AI Act hazırlık planı

1. 1–15. gün: Tüm İK AI araçlarını, shadow AI kullanımını ve vendor özelliklerini envantere alın.
2. 16–30. gün: Yasak pratik taraması ve Annex III/Article 6 ön sınıflandırmasını tamamlayın.
3. 31–45. gün: Provider/deployer rolü, veri akışı, sözleşme ve dokümantasyon gap’lerini çıkarın.
4. 46–60. gün: AI literacy programını recruiter, yönetici ve teknik roller için başlatın.
5. 61–75. gün: Human oversight, logging, change management, incident ve vendor eskalasyon süreçlerini yazın.
6. 76–90. gün: Yüksek risk adayı sistemlerde test/validation roadmap’i ve 2 Aralık 2027’ye uzanan bütçe/takvimi yönetime sunun.

Bu planın amacı yalnız mevzuat dosyası üretmek değil, AI kullanımını gerçekten kontrol edilebilir hale getirmektir. Her aşamanın sahibi, bitiş tarihi ve kanıt dokümanı tanımlanırsa hazırlık ilerlemesi ölçülebilir.

Yönetim dashboard’unda hangi AI Act KPI’ları olmalı?

KPI’lar yalnız compliance yüzdesi olarak kullanılmamalıdır. Örneğin yüzde 100 eğitim tamamlaması, çalışanların automation bias’ı gerçekten fark ettiği anlamına gelmez. Vaka testi, denetim bulgusu, yanlış kullanım ve incident verisiyle birlikte okunmalıdır.

AI Act ve İnsan Kaynakları İçin 30 Maddelik Yönetici Özeti için uygulamalı denetim senaryosu

Denetimde önce tek bir gerçek karar zinciri seçin. Sistem hangi girdiyi aldı, hangi model veya kural setini kullandı, ne tür çıktı üretti, bu çıktı aday veya çalışan hakkında hangi kararı etkiledi? Ardından bu kullanımın vendor tarafından tanımlanan intended purpose ile aynı olup olmadığını kontrol edin. Farklıysa sınıflandırma ve sözleşme yeniden değerlendirilmelidir.

İkinci adım insan gözetimidir. Recruiter veya yönetici AI önerisine karşı çıkabiliyor mu? Karşı çıktığında gerekçe kaydı var mı? Sistem çok sayıda kişiyi aynı anda etkiliyorsa toplu karar öncesinde risk sinyalleri gösteriliyor mu? Kullanıcı yalnız “onayla” butonuna basıyorsa oversight kağıt üzerinde kalmış olabilir.

Üçüncü adım değişiklik yönetimidir. Model sağlayıcısı sürüm güncellediğinde sistem bunu logluyor mu; performans ve risk testi yeniden tetikleniyor mu? Dördüncü adım çalışan/adaya etkidir: yanlış veri veya hatalı sonuç nasıl düzeltilecek, itiraz nasıl eskale edilecek, yasak bir özellik yanlışlıkla açılırsa kim sistemi durduracak?

Son olarak kanıt paketini değerlendirin: AI envanter kaydı, sınıflandırma notu, vendor belgeleri, AI literacy kaydı, test sonuçları, human oversight prosedürü, incident planı ve değişiklik geçmişi. Bu belgeler birbirini destekliyorsa compliance daha olgun; yalnız politika PDF’si varsa operasyonel risk yüksektir.

Sık sorulan sorular