Ali Uğur Aktepe: EU AI Act ve Biyometrik Güvenlik Sistemleri İşletmeleri Nasıl Etkileyecek?

EU AI Act ve biyometrik güvenlik sistemleri, 2026 itibarıyla Avrupa Birliği ile çalışan, Avrupa pazarına ürün sunan veya AB’de biyometrik tabanlı güvenlik çözümleri kullanan işletmeler için stratejik bir uyum başlığı haline geliyor. Benim değerlendirmeme göre bu düzenlemenin en önemli etkisi, yüz tanıma ve biyometrik analiz teknolojilerini tamamen ortadan kaldırmak değil; bu sistemlerin hangi amaçla, hangi risk seviyesinde ve hangi denetim mekanizmalarıyla kullanılacağını daha net hale getirmektir.

Avrupa Birliği Yapay Zeka Yasası, yapay zeka sistemlerini oluşturdukları riske göre sınıflandıran bir yaklaşım benimsiyor. Düzenleme 1 Ağustos 2024 tarihinde yürürlüğe girdi ve ana yükümlülüklerin önemli bölümü 2 Ağustos 2026 tarihinde uygulanabilir hale geliyor. Bazı yasaklı uygulamalar ve belirli yükümlülükler ise daha erken tarihlerde devreye girdi.

Biyometrik sistemler söz konusu olduğunda konu yalnızca yapay zeka mevzuatıyla sınırlı değildir. Bir kişinin benzersiz şekilde tanımlanması amacıyla işlenen biyometrik veriler, GDPR kapsamında özel nitelikli kişisel veri olarak değerlendirilir ve işlenmesi genel olarak yasaktır; ancak açık rıza veya mevzuatta tanımlanan diğer istisnai hukuki dayanaklar mevcutsa işleme yapılabilir.

EU AI Act Nedir?

EU AI Act, Avrupa Birliği içinde geliştirilen, piyasaya sunulan veya kullanılan yapay zeka sistemleri için risk temelli kurallar oluşturan düzenlemedir. Temel hedef, güvenilir yapay zeka kullanımını desteklerken insan sağlığını, güvenliğini ve temel hakları korumaktır.

Benim bakış açıma göre düzenlemenin işletmeler açısından en kritik tarafı, yalnızca yapay zeka geliştiricilerini değil; sistemi kullanan, dağıtan, ithal eden veya hizmet süreçlerine entegre eden kurumları da kapsayabilmesidir. Bu nedenle bir işletmenin “Biz yazılım üretmiyoruz, yalnızca kullanıyoruz” demesi her durumda sorumluluğu ortadan kaldırmaz.

Özellikle yüz tanıma, uzaktan biyometrik tanımlama, biyometrik sınıflandırma ve duygu tanıma gibi çözümler, kullanım amacına göre yasaklı, yüksek riskli veya şeffaflık yükümlülüğüne tabi kategoriler içinde değerlendirilebilir.

Biyometrik Güvenlik Sistemi Nedir?

Biyometrik güvenlik sistemleri, kişilerin fiziksel veya davranışsal özelliklerini kullanarak kimlik doğrulama, tanımlama veya erişim kontrolü gerçekleştiren teknolojilerdir. Yüz, parmak izi, iris, retina, damar izi, ses ve davranış kalıpları bu sistemlerde kullanılan biyometrik özellikler arasında yer alabilir.

İşletmeler biyometrik sistemleri personel giriş çıkışı, yüksek güvenlikli alanlara erişim, ziyaretçi yönetimi, cihaz doğrulama, kimlik kontrolü ve dolandırıcılık önleme gibi amaçlarla kullanabilir.

Ancak burada önemli bir ayrım vardır. Biyometrik doğrulama, kişinin iddia ettiği kimliğin bire bir karşılaştırmayla doğrulanmasıdır. Biyometrik tanımlama ise kişinin kim olduğunun bir veri tabanı içindeki çok sayıda kayıtla karşılaştırılarak belirlenmesidir. EU AI Act, biyometrik doğrulamayı otomatik bire bir kimlik kontrolü olarak ayrı şekilde tanımlar.

EU AI Act Biyometrik Sistemleri Tamamen Yasaklıyor mu?

EU AI Act, bütün biyometrik güvenlik sistemlerini tamamen yasaklamaz. Kullanım amacı, bağlam, etkilenen kişiler ve sistemin oluşturduğu risk seviyesi belirleyicidir.

Örneğin kişinin kendi cihazına giriş yapması veya yetkili personelin kontrollü alana erişiminin bire bir doğrulanması ile kamusal alandaki kişilerin uzaktan ve geniş ölçekte tanımlanması aynı risk seviyesinde değerlendirilmez.

Benim değerlendirmeme göre işletmelerin yapması gereken ilk çalışma, kullandıkları sistemin gerçekten ne yaptığını doğru tanımlamaktır. Sistem yüz doğrulama mı yapıyor, yüz tanıma mı gerçekleştiriyor, duygu analizi mi üretiyor, kişileri hassas özelliklerine göre sınıflandırıyor mu, yoksa yalnızca anonim yoğunluk analizi mi sağlıyor? Uyum sürecinin başlangıç noktası bu ayrımdır.

Hangi Biyometrik Uygulamalar Yasaklı Kabul Edilebilir?

EU AI Act kapsamında bazı yapay zeka uygulamaları kabul edilemez risk taşıdığı için yasaklanmıştır. Biyometrik teknolojiler açısından özellikle kişilerin hassas özelliklerine göre belirli biçimlerde sınıflandırılması, internetten veya kamera kayıtlarından ayrım gözetmeden yüz görüntüsü toplanarak yüz tanıma veri tabanı oluşturulması ve belirli şartlar dışında kamusal alanlarda gerçek zamanlı uzaktan biyometrik tanımlama kullanılması kritik başlıklar arasındadır.

İşletmelerin internetteki görselleri, sosyal medya içeriklerini veya güvenlik kamerası kayıtlarını kontrolsüz şekilde toplayarak yüz veri tabanı oluşturması ciddi hukuki risk doğurabilir. Aynı şekilde teknolojinin çalışanları veya müşterileri sürekli gözetleyen ve temel haklar üzerinde orantısız etki oluşturan bir yapıya dönüşmesi de uyum sorununa yol açabilir.

Benim bakış açıma göre burada temel ilke şudur: Teknolojik olarak yapılabilir olan her uygulama, hukuken ve etik olarak uygulanabilir değildir.

Yüksek Riskli Biyometrik Sistemler İşletmeleri Nasıl Etkileyecek?

Bazı biyometrik sistemler, kullanım amaçlarına göre yüksek riskli yapay zeka sistemi olarak sınıflandırılabilir. Yüksek riskli bir sistem kullanan işletme; sistemin talimatlara uygun kullanılması, insan gözetiminin sağlanması, giriş verilerinin uygunluğunun kontrol edilmesi, performansın izlenmesi ve olay kayıtlarının saklanması gibi sorumluluklarla karşılaşabilir.

Yüksek riskli sistemlerin kullanıcıları için insan gözetimi, izleme ve kayıt tutma yükümlülükleri önemli hale gelir. AI Act’in kullanıcı yükümlülüklerini düzenleyen hükümleri, sistemin talimatlara uygun çalıştırılmasını, yetkin kişiler tarafından gözetilmesini ve risk oluştuğunda gerekli taraflara bildirim yapılmasını öngörür.

Bu durum özellikle aşağıdaki kullanım alanlarında işletmeleri etkileyebilir:

Personel seçimi ve çalışan değerlendirmesi: Yüz veya davranış analizinden çalışan performansı, uygunluk veya işe alım kararı üretilmesi.
Kritik altyapı güvenliği: Enerji, ulaşım, iletişim veya kamu hizmetlerinde biyometrik sistemlerin güvenlik kararları üzerinde etkili olması.
Uzaktan biyometrik tanımlama: Kamera görüntülerindeki kişilerin bir veri tabanıyla karşılaştırılarak kimliklendirilmesi.
Biyometrik sınıflandırma: Kişilerin biyometrik özelliklerinden belirli kategori veya hassas nitelikler çıkarılması.
Duygu tanıma: Çalışanların, öğrencilerin veya müşterilerin duygusal durumlarının otomatik şekilde tahmin edilmesi.

Yüz Tanıma ile Yüz Doğrulama Arasındaki Fark Neden Önemli?

Birçok işletme yüz tanıma ve yüz doğrulama ifadelerini aynı anlamda kullanıyor. Oysa bu iki yaklaşımın risk seviyesi farklı olabilir.

Yüz doğrulama, kişinin kimliğini önceden sunduğu biyometrik veriyle bire bir karşılaştırır. Örneğin çalışanın kartını okuttuktan sonra yüzüyle kimliğini doğrulaması bu modele örnek olabilir.

Yüz tanıma veya biyometrik tanımlama ise görüntüdeki kişinin kim olduğunu geniş bir veri tabanı içinden belirlemeye çalışır. Özellikle uzaktan, kişilerin aktif katılımı olmadan ve kalabalık alanlarda yapılan tanımlama işlemleri çok daha yüksek temel hak ve mahremiyet riski oluşturabilir.

Benim değerlendirmeme göre işletmeler, ürün satın alırken yalnızca “yüz tanıma özelliği var” ifadesine bakmamalıdır. Sistem mimarisi, karşılaştırma yöntemi, veri tabanının kapsamı, kullanım amacı ve karar sürecindeki etkisi mutlaka incelenmelidir.

GDPR ve EU AI Act Birlikte Nasıl Değerlendirilmelidir?

EU AI Act, GDPR’ın yerine geçmez. Bir biyometrik güvenlik sistemi hem yapay zeka mevzuatı hem de kişisel verilerin korunması mevzuatı kapsamında eş zamanlı olarak değerlendirilmelidir.

GDPR açısından işletme şu sorulara yanıt vermelidir:

Hukuki dayanak: Biyometrik veri hangi hukuki sebebe dayanılarak işleniyor?
Amaç sınırlaması: Veri yalnızca açıkça tanımlanmış güvenlik amacı için mi kullanılıyor?
Veri minimizasyonu: Gerekenden fazla biyometrik veri toplanıyor mu?
Saklama süresi: Biyometrik şablonlar ne kadar süreyle tutuluyor?
Bilgilendirme: Çalışanlar, ziyaretçiler ve müşteriler açık şekilde bilgilendiriliyor mu?
Güvenlik: Şablonlar şifreleniyor, ayrıştırılıyor ve erişimler sınırlandırılıyor mu?

Benim bakış açıma göre başarılı bir uyum çalışması, yalnızca kullanım sözleşmesine bir metin eklemekle tamamlanamaz. Veri akışı, sistem mimarisi, saklama politikası, erişim yetkileri ve yapay zeka karar mekanizması birlikte incelenmelidir.

İşletmeler İçin İnsan Gözetimi Neden Zorunlu Hale Geliyor?

Yapay zeka destekli biyometrik sistemler yanlış eşleşme, düşük kaliteli görüntü, ışık değişimi, yaşlanma, maske kullanımı, veri seti dengesizliği veya teknik hata nedeniyle yanlış sonuç üretebilir.

Bu nedenle sistemin ürettiği kararın insan tarafından değerlendirilebilmesi önemlidir. Özellikle bir çalışanın tesise alınmaması, ziyaretçinin riskli kabul edilmesi veya kişinin güvenlik prosedürüne tabi tutulması gibi ciddi sonuçlar yalnızca otomatik karar üzerinden uygulanmamalıdır.

İnsan gözetimi, sistemin körü körüne takip edilmesi anlamına gelmez. Yetkili personelin sistemin sınırlarını bilmesi, hatalı sonuçları fark edebilmesi, gerektiğinde kararı geçersiz kılabilmesi ve olayları kayıt altına alabilmesi gerekir.

Şeffaflık ve Bilgilendirme Yükümlülükleri

EU AI Act, bazı biyometrik sınıflandırma ve duygu tanıma sistemlerine maruz kalan kişilerin bilgilendirilmesini gerektiren şeffaflık hükümleri içerir. İlgili şeffaflık yükümlülüklerinin 2 Ağustos 2026 tarihinde uygulanması planlanmaktadır.

İşletmeler açısından bu durum; çalışan bilgilendirme metinleri, ziyaretçi prosedürleri, saha uyarıları, kullanıcı ekranları ve iç politika dokümanlarının yeniden değerlendirilmesi anlamına gelebilir.

Bilgilendirme yalnızca “kamera ile izleniyorsunuz” ifadesinden ibaret olmamalıdır. Yapay zeka analizi yapılıyorsa sistemin amacı, işlenen veri türü, temel çalışma şekli ve kişilerin hakları anlaşılır biçimde açıklanmalıdır.

Biyometrik Veri Nerede Saklanmalıdır?

Biyometrik güvenlik sistemlerinde en önemli tasarım kararlarından biri, biyometrik şablonların nerede ve nasıl saklanacağıdır. Merkezi veri tabanı kullanımı işletme açısından yönetim kolaylığı sağlayabilir; ancak veri ihlali durumunda riskin büyümesine neden olabilir.

Daha mahremiyet odaklı çözümlerde biyometrik şablon kullanıcının kartında, güvenli cihazında veya yerel doğrulama bileşeninde tutulabilir. Avrupa Veri Koruma Kurulu, biyometrik veriler üzerinde bireylerin mümkün olan en yüksek kontrolü koruması gerektiğini ve merkezi saklama mimarilerinin gereklilik ile orantılılık açısından dikkatle değerlendirilmesini vurgulamaktadır.

Benim değerlendirmeme göre işletmeler, biyometrik veriyi merkezi olarak saklamadan önce şu soruyu sormalıdır: Aynı güvenlik hedefi daha az veri toplayan veya veriyi kişinin kontrolünde bırakan bir yöntemle gerçekleştirilebilir mi?

İşletmelerin Tedarikçilerden Talep Etmesi Gereken Belgeler

EU AI Act uyumu yalnızca işletmenin iç süreçleriyle sınırlı değildir. Kullanılan sistemin sağlayıcısı ve üreticisi de teknik dokümantasyon ve güvenlik süreçleri açısından değerlendirilmelidir.

Sistemin risk sınıflandırması
Kullanım amacı ve yasaklanan kullanım senaryoları
Teknik dokümantasyon ve kullanım talimatları
Doğruluk, hata ve yanlış eşleşme performansı
Eğitim ve test verilerinin genel özellikleri
İnsan gözetimi mekanizmaları
Loglama ve olay kayıt yetenekleri
Siber güvenlik ve güncelleme politikası
Veri saklama ve silme seçenekleri
Uygunluk değerlendirmesi ve ilgili sertifikalar

Benim bakış açıma göre tedarikçinin “AI Act uyumludur” şeklindeki genel beyanı tek başına yeterli değildir. Sistem, işletmenin gerçek kullanım senaryosu ve risk profili üzerinden değerlendirilmelidir.

EU AI Act Uyum Süreci Nasıl Başlatılmalıdır?

İşletmelerin ilk adımı, mevcut biyometrik ve yapay zeka sistemlerinin envanterini oluşturmaktır. Kurum içinde kullanılan yüz tanıma, parmak izi, iris, ses, davranış analizi, ziyaretçi yönetimi ve çalışan takip sistemleri tek tek belirlenmelidir.

Ardından her sistem için şu çalışma yapılmalıdır:

Kullanım amacı belirlenmeli: Sistem hangi güvenlik veya operasyon ihtiyacını karşılıyor?
AI Act kapsamı incelenmeli: Sistem yasaklı, yüksek riskli veya şeffaflık yükümlülüğüne tabi olabilir mi?
Veri akışı çıkarılmalı: Biyometrik veri nerede toplanıyor, işleniyor, saklanıyor ve aktarılıyor?
Hukuki dayanak kontrol edilmeli: GDPR ve ilgili ulusal mevzuat açısından geçerli dayanak mevcut mu?
Risk değerlendirmesi yapılmalı: Yanlış eşleşme, ayrımcılık, erişim ihlali ve siber saldırı riskleri analiz edilmeli.
İnsan gözetimi tanımlanmalı: Otomatik kararların kim tarafından ve nasıl kontrol edileceği belirlenmeli.
Tedarikçi sözleşmeleri güncellenmeli: Sorumluluk, güvenlik, güncelleme ve olay bildirim süreçleri netleştirilmeli.
Personel eğitimi yapılmalı: Sistemi kullanan personel teknoloji sınırları ve uyum yükümlülükleri konusunda eğitilmeli.

Türkiye’deki İşletmeler EU AI Act’ten Etkilenir mi?

Türkiye’de faaliyet gösteren her işletme otomatik olarak EU AI Act kapsamına girmez. Ancak AB pazarına biyometrik sistem sunan, AB’de hizmet veren, Avrupa’daki grup şirketleri için sistem kullanan veya sistem çıktılarının AB’deki kişileri etkilediği yapılarda düzenleme kapsamı gündeme gelebilir.

Ayrıca doğrudan yasal kapsam dışında kalan işletmeler için bile AI Act’in teknik dokümantasyon, insan gözetimi, risk yönetimi ve şeffaflık yaklaşımı önemli bir kurumsal standart haline gelebilir.

Benim değerlendirmeme göre Türkiye’de güvenlik teknolojisi geliştiren üreticiler, entegratörler ve yazılım şirketleri, Avrupa pazarında rekabet edebilmek için AI Act uyumunu ürün geliştirme sürecinin başından itibaren dikkate almalıdır.

Yüz Tanıma Sistemleri Kullanımdan Kaldırılmalı mı?

Her işletmenin bütün yüz tanıma sistemlerini hemen kaldırması gerektiğini söylemek doğru değildir. Öncelikle sistemin gerçek işlevi, hukuki dayanağı, risk sınıfı ve daha az müdahaleci bir alternatif bulunup bulunmadığı değerlendirilmelidir.

Düşük riskli ve bire bir doğrulama odaklı bir sistem ile kalabalık alanlarda geniş veri tabanına karşı uzaktan tanımlama yapan sistem aynı şekilde ele alınamaz.

İşletmeler için doğru yaklaşım, teknolojiyi tamamen reddetmek veya kontrolsüz kullanmak değildir. Amaçla sınırlı, ölçülü, güvenli, şeffaf ve denetlenebilir kullanım temel hedef olmalıdır.

2026 ve Sonrasında Biyometrik Güvenlik Sistemlerinin Geleceği

2026 ve sonrasında biyometrik güvenlik sistemlerinin daha mahremiyet odaklı ve daha dağıtık mimarilere yönelmesini bekliyorum. Biyometrik şablonların merkezi sistem yerine cihaz üzerinde veya kişinin kontrolündeki güvenli bileşende tutulduğu çözümler daha fazla önem kazanabilir.

Ayrıca işletmeler yalnızca doğruluk oranını değil; açıklanabilirlik, hata yönetimi, ayrımcılık riski, insan gözetimi, loglama ve veri silme kabiliyeti gibi özellikleri de değerlendirmek zorunda kalacaktır.

Benim bakış açıma göre geleceğin başarılı biyometrik güvenlik sistemi, yalnızca kişiyi hızlı tanıyan sistem olmayacaktır. En değerli sistem; kişiyi doğru tanıyan, veriyi minimum seviyede işleyen, kararları denetlenebilir kılan ve temel hakları koruyan sistem olacaktır.

Ali Uğur Aktepe’den Genel Değerlendirme

EU AI Act ve biyometrik güvenlik sistemleri, işletmeler için yalnızca hukuk veya bilgi işlem departmanının konusu değildir. Güvenlik, insan kaynakları, veri koruma, satın alma, üst yönetim ve operasyon ekipleri birlikte çalışmalıdır.

Benim değerlendirmeme göre işletmelerin yapması gereken ilk iş yeni sistem satın almak değil, mevcut sistemlerini doğru şekilde sınıflandırmaktır. Hangi yapay zeka özelliklerinin kullanıldığı, hangi biyometrik verinin işlendiği, kararların insan hayatını nasıl etkilediği ve daha az riskli alternatiflerin bulunup bulunmadığı açıkça ortaya konulmalıdır.

EU AI Act, biyometrik teknolojilerin kullanımını tamamen durdurmayı değil; daha güvenilir, ölçülü ve hesap verebilir hale getirmeyi hedefliyor. Bu dönüşümü erken yöneten işletmeler, yalnızca mevzuat riskini azaltmakla kalmayacak, çalışan ve müşteri güvenini de güçlendirecektir.

Sonuç olarak biyometrik güvenlik teknolojilerinin geleceği yalnızca daha güçlü algoritmalarda değil; güvenli veri mimarisi, insan gözetimi, şeffaf kullanım ve temel haklara saygılı tasarım yaklaşımında şekillenecektir.

Sıkça Sorulan Sorular

EU AI Act biyometrik sistemleri yasaklıyor mu?

Hayır. Bütün biyometrik sistemler yasaklanmamıştır. Kullanım amacı ve risk seviyesine göre bazı uygulamalar yasaklı, bazıları yüksek riskli, bazıları ise şeffaflık veya genel uyum yükümlülüklerine tabi olabilir.

Yüz doğrulama ile yüz tanıma aynı şey midir?

Hayır. Yüz doğrulama genellikle bire bir kimlik kontrolü yapar. Yüz tanıma veya biyometrik tanımlama ise kişinin kimliğini birden fazla kayıt içeren veri tabanı içinde belirlemeye çalışır.

Çalışan girişinde yüz tanıma kullanılabilir mi?

Kullanımın hukuki dayanağı, gerekliliği, orantılılığı, alternatif yöntemler, veri saklama modeli ve çalışan üzerindeki etkisi değerlendirilmelidir. Sadece operasyonel kolaylık her durumda yeterli gerekçe oluşturmayabilir.

Biyometrik veri GDPR kapsamında hassas veri midir?

Bir kişinin benzersiz şekilde tanımlanması amacıyla işlenen biyometrik veriler, GDPR kapsamında özel nitelikli kişisel veridir ve yalnızca uygun istisna ile hukuki dayanak mevcutsa işlenebilir.

İşletmeler AI Act uyumu için ilk olarak ne yapmalıdır?

Yapay zeka ve biyometrik sistem envanteri oluşturmalı, kullanım amaçlarını belirlemeli, risk sınıflandırması yapmalı, veri akışını incelemeli ve tedarikçi belgelerini değerlendirmelidir.

Türkiye’deki işletmeler EU AI Act kapsamına girebilir mi?

AB pazarına ürün veya hizmet sunan, Avrupa’da sistem kullanan veya sistem çıktıları AB’deki kişileri etkileyen Türkiye merkezli şirketler açısından EU AI Act kapsamı gündeme gelebilir.

Not: Bu içerik genel bilgilendirme amacı taşır. Uyum kararları, şirketin kullanım senaryosuna göre hukuk, veri koruma, bilgi güvenliği ve teknik ekiplerle birlikte değerlendirilmelidir.