Hukukta yapay zekâ 2026: ne değişti?

İki yıl önce "hukukta yapay zekâ" başlığı altında konuşulan şey büyük ölçüde bir merak ve bir endişeydi: Bu araçlar ne yapabilir, mesleği ne kadar değiştirir? 2026'da konuşma değişti. Artık soru "kullanmalı mıyız" değil, "hangi çerçevede, hangi güvencelerle kullanıyoruz". Bu yazı, Türkiye'de çalışan bir hukuk bürosunun ya da şirket hukuk departmanının 2026 itibarıyla bilmesi gereken düzenleyici ve mesleki gelişmeleri tek yerde toplamayı amaçlıyor.

Dört başlık altında ilerleyeceğiz: Avrupa Birliği Yapay Zekâ Tüzüğü, Türkiye'de kişisel verilerin korunması, ISO/IEC 42001 standardı ve baroların yayımladığı görüşler. Her başlığın sonunda pratikte ne anlama geldiğini kısaca not düşüyoruz.

AI Act: takvim işlemeye başladı

Avrupa Birliği Yapay Zekâ Tüzüğü (AI Act) 1 Ağustos 2024'te yürürlüğe girdi; yükümlülükler kademeli olarak uygulanıyor. Yasaklı uygulamalar Şubat 2025'te, genel amaçlı yapay zekâ modellerine ilişkin yükümlülükler Ağustos 2025'te devreye girdi. Yüksek riskli sistemlere ilişkin kuralların ana bölümü ise Ağustos 2026'da uygulanmaya başlıyor. Hukuk açısından kritik olan nokta, Tüzük'ün Ek III listesinde adaletin idaresi başlığının bulunması: bir yargı makamının olayları ve hukuku araştırmasına ve yorumlamasına yardımcı olmak üzere tasarlanan sistemler yüksek riskli sayılıyor.

Türkiye'deki bir büro için bunun iki sonucu var. Birincisi doğrudan: Avrupa'daki müvekkiller ya da AB'de kullanılacak çıktılar söz konusuysa Tüzük'ün ülke dışı etkisi devreye girebilir. İkincisi dolaylı ama daha yaygın: Tüzük, tedarikçi sözleşmelerinde ve müvekkil beklentilerinde bir standart hâline geliyor. "Kullandığınız yapay zekâ aracı AI Act'e uyumlu mu?" sorusu artık kurumsal müvekkillerin due diligence listelerinde.

KVKK: veri aktarımı ve yapay zekâ

Türkiye'de kişisel verilerin korunması alanındaki en önemli değişiklik, 6698 sayılı Kanun'un 7499 sayılı Kanun'la değiştirilen 6. ve 9. maddeleri oldu. Özel nitelikli kişisel verilerin işlenme şartları genişletildi; yurt dışına aktarım rejimi yeterlilik kararı, standart sözleşme ve bağlayıcı şirket kuralları üzerine kuruldu. Bu değişiklik, hukuk büroları için soyut bir uyum konusu değil: bulut tabanlı bir yapay zekâ aracına dava dosyası yüklediğinizde, o dosyadaki kişisel veriler nerede işleniyor sorusunun cevabı artık sözleşmeyle belgelenmek zorunda.

Kurul'un daha önce yayımladığı Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler ise 2026'da fiilen denetim ölçütü gibi okunuyor: veri minimizasyonu, amaçla sınırlılık, tasarımda gizlilik ve insan denetimi. TBMM'ye sunulan yapay zekâ kanun teklifi henüz yasalaşmadı; ancak teklifin şeffaflık ve hesap verebilirlik ilkeleri, mevcut KVKK uygulamasıyla büyük ölçüde örtüşüyor.

• Veri nerede işleniyor? Tedarikçinin sunucu konumu ve alt işleyenleri yazılı olarak belirlenmeli; yurt dışı aktarımı varsa m. 9 kapsamındaki dayanak belgelenmeli.
• Model eğitiminde kullanılıyor mu? Dosya verilerinin model eğitiminde kullanılmayacağı sözleşmeye açıkça yazılmalı.
• Silme ve saklama süreleri. Yüklenen belgelerin ne zaman ve nasıl silindiği, saklama politikasıyla uyumlu olmalı.

ISO/IEC 42001: yapay zekâ yönetim sistemi

Aralık 2023'te yayımlanan ISO/IEC 42001, yapay zekâ için ilk yönetim sistemi standardı. ISO 27001'in bilgi güvenliği için yaptığını yapay zekâ için yapıyor: risk değerlendirmesi, etki analizi, yaşam döngüsü yönetimi, insan denetimi ve sürekli iyileştirme. 2026'da standardın önemi, tek başına bir sertifika olmasından değil, AI Act uyumunu göstermenin en pratik yolu hâline gelmesinden geliyor.

Hukuk büroları için standardın anlamı, tedarikçi seçiminde somut bir ölçüt kazanmak. Bir yapay zekâ aracının ISO/IEC 42001 belgesine sahip olması, en azından şu soruların kurumsal olarak cevaplandığını gösterir: Sistem hangi amaçla tasarlandı, hangi riskler değerlendirildi, yanlış çıktı üretirse ne olur, insan müdahalesi nerede devreye girer. Elchi olarak bu belgelendirme sürecini bu yüzden erken başlattık; ürünün yaptığı her işlemin kaynağa bağlı ve denetlenebilir olması standardın istediği şeyle örtüşüyor.

Baroların görüşleri ve meslek kuralları

Türkiye Barolar Birliği ve birçok baro, 2025 ve 2026'da avukatların yapay zekâ kullanımına ilişkin rehber ve görüşler yayımladı. Metinler farklı ama çekirdek aynı: yapay zekâ avukatın özen yükümlülüğünü (Avukatlık Kanunu m. 34) ve sır saklama yükümlülüğünü (m. 36) ortadan kaldırmaz. Bir dilekçedeki her atıftan, her hukuki değerlendirmeden avukat sorumludur; aracı kullanmış olması sorumluluğu paylaşmaz.

“Yapay zekâ avukatın yardımcısıdır, vekili değil. İmza avukatındır, sorumluluk da.

Rehberlerin ikinci ortak noktası, müvekkil verisinin üçüncü taraf araçlara aktarılmasında sır saklama yükümlülüğünün nasıl korunacağı. Uygulamada önerilen çözüm, kullanılan aracın veri işleme koşullarını müvekkil sözleşmesinde ya da aydınlatma metninde görünür kılmak. Üçüncü nokta ise uydurma atıf riski: bir yapay zekâ aracının var olmayan bir Yargıtay kararı üretmesi, avukat açısından disiplin sorumluluğu doğurabilir. Bu risk, yalnızca gerçek karar metnine dayanan ve her cümleyi kaynağıyla gösteren araçları tercih etmenin en somut gerekçesi.

Mahkemeler cephesinde de dil değişti. Yargı, yapay zekâ destekli taslakları yasaklamıyor; ancak dilekçedeki her atfın doğrulanmış olmasını, avukatın özen yükümlülüğünün olağan bir gereği sayıyor. Başka bir deyişle, aracın hatası avukatın hatasıdır ve mazeret olarak ileri sürülemez.

Pratikte ne değişti: üç alışkanlık

Düzenlemelerin ötesinde, 2026'da büroların çalışma biçiminde üç somut alışkanlık yerleşti.

• Yazılı yapay zekâ politikası. Hangi araçların hangi işlerde kullanılabileceği, kimin onay vereceği ve çıktının nasıl doğrulanacağı bir sayfalık bir politikada yazılı hâle geldi.
• Kaynak zorunluluğu. Araştırma çıktısı, atıf tam metne bağlanmadan dilekçeye girmiyor. "Kaynağı göster" bir tercih değil, iş akışının adımı.
• Denetim izi. Hangi belgeye kim, ne zaman, hangi araçla dokundu sorusu kayıt altında. Bu hem KVKK hem müvekkil güvencesi için gerekli.

Bu üç alışkanlığın ortak paydası, yapay zekâyı bir kısayol olarak değil, uçtan uca izlenebilir bir iş akışının parçası olarak görmek. Araç ne kadar iyi olursa olsun, doğrulama adımı olmayan bir süreç 2026'nın düzenleyici ortamında savunulabilir değil.