← Tüm içgörüler
EU AI Act · Yüksek risk

EU AI Act yüksek riskli sistemler: nasıl sınıflandırılır ve 2027'de ne değişir

Risk sınıfını model değil, amaçlanan kullanım belirler. Sınıflandırma, kanıt ve güncel 2027/2028 takvimi.

LMXAI · Leiden, NL · Yayın · Güncelleme

Özet

EU AI Act kapsamında bir sistemin yüksek riskli olup olmadığına içindeki model değil, sistemin amaçlanan kullanımı karar verir. Bu makale güncel takvimi, üç adımlı bir sınıflandırma prosedürünü (kategori, istisnalar, kanıt) ve ardından gelen mühendislik işini verir. Prosedürü, Tüzük'ün risk kategorilerini somut bir değerlendirme yöntemi olmadan tanımladığını belirten akademik çalışmalarla ve uygunluk değerlendirmesi ile denetim üzerine çalışmalarla ilişkilendirir.

Anahtar kelimeler EU AI Act · yüksek riskli AI · Ek III · sınıflandırma · uygunluk değerlendirmesi · uyum kanıtı

İçindekiler

  1. Giriş
  2. Arka plan ve ilgili çalışmalar
  3. Güncel takvim
  4. Adım 1: sistemin yüksek risk kategorisine girip girmediğini kontrol edin
  5. Adım 2: bir istisnanın uygulanıp uygulanmadığını test edin
  6. Adım 3: uyum kanıtını mimariye yerleştirin
  7. Bir kurum şimdi ne yapmalı?
  8. İlgili okumalar
01

Giriş

EU AI Act her kurumsal AI sistemini yüksek riskli yapmaz. Sınıflandırma; sistemin amaçlanan kullanımına, kullanıldığı bağlama ve Tüzük'ün tanımladığı yüksek risk kategorilerine girip girmediğine bağlıdır.

Mühendislik ekipleri için bu ayrım önemlidir, çünkü yüksek risk statüsü tüm teslimat modelini değiştirir: risk yönetimi, veri yönetişimi, teknik dokümantasyon, kayıt tutma, insan gözetimi, doğruluk, sağlamlık, siber güvenlik, uygunluk değerlendirmesi ve piyasaya arz sonrası izleme sistemin yaşam döngüsünün bir parçası olur.

02

Arka plan ve ilgili çalışmalar

Tüzük yükümlülükleri risk sınıfına bağlar ve yüksek riskli sistemler için bir risk yönetim sistemi, veri yönetişimi, teknik dokümantasyon, otomatik kayıt tutma, şeffaflık, insan gözetimi ile doğruluk, sağlamlık ve siber güvenlik ister (Madde 9–15)[1]. Zor olan kısım sınıflandırmadır: Tüzük dört kategori tanımlar ancak somut durumlarda riski değerlendirmek için net bir metodolojiden yoksundur; bu boşluğu doldurmak için senaryo tabanlı, orantılı bir yöntem önerilmiştir[2].

Uygulama tarafı erkenden analiz edilmiştir. Uygunluk değerlendirmesi ve piyasaya arz sonrası izleme, öneri metnindeki iki temel mekanizma olarak tanımlanmış ve Avrupa çapında bir AI denetim ekosisteminin temeli olarak okunmuştur[3]. Eleştirel bir görüş, Tüzük'ün güvenilirliği riskin kabul edilebilirliği olarak ele aldığını ve gerçek güven ile dağıtılmış sistemlerin güvenilirliğinin birbirinden kopuk kalabileceğini savunur[4]. Ekipler için pratik araçlar içseldir: iç algoritmik denetim için uçtan uca bir çerçeve[5] ve mimariye yerleştirilmiş dokümantasyon.

03

Güncel takvim

Uygulama takvimi 2026'da değişti. Avrupa Komisyonu'nun güncel kılavuzuna göre (Eylül 2026), Ek III kullanım senaryolarına — biyometri, kritik altyapı, eğitim, istihdam, göç, iltica ve sınır kontrolü dahil — ilişkin yüksek risk kuralları 2 Aralık 2027'den itibaren uygulanır. Düzenlemeye tabi ürünlere gömülü yüksek riskli sistemlerin uygulama tarihi daha geçtir: 2 Ağustos 2028.

Bu, zaten 2 Ağustos 2026'dan itibaren uygulanan Madde 50 şeffaflık yükümlülüklerinden farklıdır.

Eski uyum yol haritalarını sürdüren kurumlar için bu ayrım önemlidir: AI Act birçok alanda zaten uygulanabilir durumdadır, ancak tam yüksek risk rejiminin bu kategoriler için uygulama tarihi daha sonradır.

04

Adım 1: sistemin yüksek risk kategorisine girip girmediğini kontrol edin

Yüksek riskli sistemler iki ana yoldan ortaya çıkabilir.

1. Düzenlemeye tabi bir ürünün güvenlik bileşeni olarak kullanılan AI

Örnekler arasında makinelere, tıbbi cihazlara veya zaten AB ürün güvenliği mevzuatı kapsamındaki diğer ürünlere entegre AI bulunur. Bu sistemler ürüne bağlı yüksek risk yolunu ve uzatılmış 2028 takvimini izler.

2. Hassas Ek III bağlamlarında kullanılan AI

Ek III, AI'nın sağlığı, güvenliği veya temel hakları önemli ölçüde etkileyebileceği belirli kullanım senaryolarını kapsar. Yaygın kurumsal örnekler:

  • işe alım, aday eleme ve çalışan değerlendirmesi;
  • eğitime kabul, ölçme-değerlendirme veya sınav gözetimi;
  • temel özel veya kamu hizmetlerine erişim;
  • biyometrik tanımlama veya sınıflandırma;
  • göç, iltica ve sınır kontrolü kararları;
  • bazı yargı ve demokratik süreç uygulamaları.

Bir sistem yalnızca kullandığı modele göre sınıflandırılmamalıdır. Aynı temel model, düşük riskli bir iç özetleme aracını da yüksek riskli bir işe alım iş akışını da destekleyebilir. Belirleyici olan amaçlanan kullanım ve fiilî kullanımdır.

05

Adım 2: bir istisnanın uygulanıp uygulanmadığını test edin

Madde 6, bir Ek III sisteminin dar bir usul veya hazırlık görevi yerine getirdiğinde ve karar sonucunu önemli ölçüde etkilemediğinde yüksek riskli sayılmayabileceği durumları içerir. Örnekler arasında insan incelemesi için doküman indeksleme, çeviri, arama, sınıflandırma veya anomali tespiti sayılabilir.

Bu istisna varsayılmamalı, belgelenmelidir. Sistem gerçek kişilerin profilini çıkarıyorsa istisna çok daha dardır ve risk analizi özellikle dikkatle ele alınmalıdır.

06

Adım 3: uyum kanıtını mimariye yerleştirin

Yüksek riskli sistemlerde uyum yalnızca bir politika belgesi değildir. Sistemin kanıt üretmesi gerekir.

Bir üretim mimarisi şunları desteklemelidir:

  • risk yönetimi: öngörülebilir riskleri belirlemek ve azaltmak için tekrarlanabilir bir yaşam döngüsü süreci;
  • veri yönetişimi: ilgili veri setleri için köken, kalite kontrolleri ve yanlılık analizi;
  • teknik dokümantasyon: amaçlanan kullanımı, mimariyi, sınırlamaları ve testleri anlatan güncel bir teknik dosya;
  • otomatik kayıt tutma: sonradan inceleme için yeterli, izlenebilir sistem olayları;
  • insan gözetimi: anlamlı müdahale, yükseltme ve geçersiz kılma yolları;
  • doğruluk, sağlamlık ve siber güvenlik: ölçülebilir performans hedefleri, dayanıklılık testleri ve güvenlik kontrolleri;
  • piyasaya arz sonrası izleme: dağıtımdan sonra olayları, bozulmayı ve önemli değişiklikleri tespit eden mekanizmalar.

Pratik ders basittir: bu kontroller sistem zaten üretimdeyken eklenirse uyum çalışması pahalı ve parçalı hale gelir. Bunları platforma tasarlamak genellikle daha ucuz ve denetlemesi daha kolaydır.

07

Bir kurum şimdi ne yapmalı?

Yüksek risk uygulama tarihi henüz gelmemiş olsa bile kurumlar şimdiden bir AI envanteri tutmalı ve sistemleri amaçlanan kullanıma göre sınıflandırmalıdır. Yeni sistemler, kayıt tutma, değerlendirme, insan gözetimi ve dokümantasyon ayrı uyum projeleri değil platformun yerleşik yetenekleri olacak şekilde tasarlanmalıdır.

Kullanışlı bir asgari paket şudur:

  1. sistem envanteri ve sahibi;
  2. amaçlanan kullanım beyanı;
  3. ön risk sınıflandırması;
  4. mimari ve veri akışı diyagramı;
  5. değerlendirme ve red-team kanıtı;
  6. kayıt tutma ve iz saklama politikası;
  7. insan gözetimi tasarımı;
  8. değişiklik yönetimi ve yeniden sınıflandırma tetikleyicileri.

LMXAI bu kanıt katmanını üretim mühendisliğinin bir parçası olarak ele alır: mimari, gözlemlenebilirlik ve uyum aynı sistemi anlatmalıdır; birbirinden kopuk üç ayrı sürümünü değil.

Birincil kaynaklar

08

İlgili okumalar

Kaynakça

  1. European Parliament and Council of the European Union (2024). Regulation (EU) 2024/1689 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act). Official Journal of the European Union, L series, 12 July 2024. eur-lex.europa.eu/eli/reg/2024/1689/oj/eng
  2. Novelli, C., Casolari, F., Rotolo, A., Taddeo, M., & Floridi, L. (2024). AI risk assessment: A scenario-based, proportional methodology for the AI Act. Digital Society, 3(1). doi:10.1007/s44206-024-00095-1
  3. Mökander, J., Axente, M., Casolari, F., & Floridi, L. (2022). Conformity assessments and post-market monitoring: A guide to the role of auditing in the proposed European AI regulation. Minds and Machines, 32(2), 241–268. doi:10.1007/s11023-021-09577-4
  4. Laux, J., Wachter, S., & Mittelstadt, B. (2024). Trustworthy artificial intelligence and the European Union AI Act: On the conflation of trustworthiness and acceptability of risk. Regulation & Governance, 18(1), 3–32. doi:10.1111/rego.12512
  5. Raji, I. D., Smart, A., White, R. N., Mitchell, M., Gebru, T., et al. (2020). Closing the AI accountability gap: Defining an end-to-end framework for internal algorithmic auditing. Proceedings of the 2020 Conference on Fairness, Accountability, and Transparency (FAT* '20), 33–44. doi:10.1145/3351095.3372873

Her kaynak yayıncı, arXiv veya resmî kayıt üzerinden doğrulanmıştır.

Nasıl atıf yapılır

LMXAI. (2026). EU AI Act yüksek riskli sistemler: nasıl sınıflandırılır ve 2027'de ne değişir. LMXAI İçgörüler. https://lmxai.com/tr/insights/eu-ai-act-high-risk-systems.html