Yapay zekâ sesinde ifşa dönemi bir pazar günü başladı

AB Yapay Zekâ Yasası’nın 50. maddesi, 2 Ağustos 2026 Pazar günü uygulanmaya başladı. AB pazarına ulaşan bir ses yapay zekâsı geliştiriyor ya da kullanıyorsanız üç yükümlülük artık yürürlükte: sesli bir ajan yapay zekâ olduğunu açıklamak, sentetik ses makine-okur bir işaret taşımak ve klonlanmış gerçek bir kişi öyle olduğu belirtilerek etiketlenmek zorunda. İhlalin bedeli 15 milyon euroya ya da küresel cironun %3’üne kadar çıkabiliyor. Komisyon önceki haftayı bunun kâğıt üzerinde bir tarih olmadığını netleştirmekle geçirdi: 31 Temmuz’da denetimin ayın 2’sinde başlayacağını duyurdu — genel amaçlı modeller için Yapay Zekâ Ofisi, gerisi için ulusal piyasa gözetim otoriteleri — ve bir şikâyet kanalı ile bir ihbar aracı açtı. Pazar günü de “Daha güvenli ve daha şeffaf yapay zekâ” başlıklı kısa bir not yayımladı. İfşa dönemi bir patlamayla gelmedi; bir hafta sonu, bir haber notuyla geldi.

Son tarih tam tasarlandığı gibi geldi

Bu tarihi haziranda yazdığımızda açık kalan tek soru şuydu: Yasa’nın yüksek riskli yükümlülüklerini erteleyen paket — Digital Omnibus — siyasi mutabakata sahipti ama hukuki metni yoktu ve ertelemeler ancak zamanında Resmî Gazete’ye yetişirse geçerli olacaktı. Yetişti; hem de altı gün payla. (AB) 2026/1744 sayılı Tüzük 8 Temmuz’da kabul edildi, 24 Temmuz’da yayımlandı, 27 Temmuz’da yürürlüğe girdi. Ertelemeler artık hukuk: Ek III kapsamındaki yüksek riskli sistemler 2 Aralık 2027’ye, düzenlenmiş ürünlere gömülü yapay zekâ 2 Ağustos 2028’e taşındı; soyundurma ve CSAM üreten sistemlere ilişkin yeni yasaklar 2 Aralık 2026’da geliyor. Ve ısrarla altını çizdiğimiz nokta doğrulandı: 2 Ağustos’un kendisi hiç oynamadı. Şeffaflık da, yokluğunu cezalandırma yetkisi de takvimindeydi.

İşaretleme “ertelemesini” dikkatli okuyun — göründüğünden dar

Haberlerin çoğu makine-okur işaretlemenin aralığa ertelendiğini yazıyor. Bu ancak çeyrek doğru. Omnibus’un Yasa’ya gerçekte yazdığı şey, eski sistemler için bir geçiş: 2 Ağustos 2026’dan önce piyasaya sürülmüş üretken sistemlere, 50(2)’deki işaretleme yükümlülüğüne uymak için dört ay — 2 Aralık 2026’ya kadar — tanınıyor. 2 Ağustos ve sonrasında piyasaya çıkan bir sistem, işareti ilk günden borçlu. Sesle ilgili öbür iki yükümlülük ise hiç ertelenmedi: 50(1)’deki ajan ifşası ve 50(4)’teki deepfake etiketi pazardan beri herkese uygulanıyor. Komisyon’un 20 Temmuz’da nihaileşen rehberi, ses için pratik ayrıntıyı da ekliyor: 2 Ağustos’tan önce üretilmiş hiçbir içeriğin yeniden etiketlenmesi gerekmiyor, çünkü üretim tarihi esas; yayına ortasından katılan dinleyicinin de yapay zekâ dinlediğini öğrenmesi gerekiyor, bu yüzden ifşa başta bir kez çalıp bitmemeli, tekrarlanmalı; ve bir yapay zekâ ajanı hem yapay olduğunu hem de kimin adına hareket ettiğini açıklamalı.

Temmuz, ilan edilmiş bir yarıştı

Tedarikçiler bunun geldiğini gördü ve neredeyse haftalık adımlarla ilerledi. 25 Haziran’da ElevenLabs, Google DeepMind’ın SynthID filigranını metinden sese çıktısına gömmeye başladı ve kendi sesleri için ücretsiz bir dedektör yayınladı. 8-9 Temmuz’da Komisyon ve Yapay Zekâ Kurulu, Yapay Zekâ Üretimi İçeriğin Şeffaflığı Uygulama Kuralları’nı uyum için yeterli bir araç olarak değerlendirdi; 31 Temmuz itibarıyla kuralların yaklaşık 190 imzacısı vardı — aralarında Anthropic, Google, Meta, Microsoft ve OpenAI, yanlarında Resemble ve Synthesia gibi ses şirketleri. 29 Temmuz’da Google, ürettiği her parçada SynthID taşıyan Lyria 3.5’i yayınladı. Ve 31 Temmuz’da, son tarihten iki gün önce, OpenAI SynthID filigranını GPT-Live ile üretilen ses çıktısına genişletti. Microsoft ise kişisel ses sentezini sınırlı erişim kapısının arkasında tutuyor: ses sahibinden kayıtlı bir rıza beyanı ve çıktıya otomatik filigran. Bütün bunların üretmediği tek şey, tek bir standart. 50(2) bilinçli olarak teknoloji-nötr; işaretleme katmanı hâlâ herkesin gözü önünde pazarlık edilen bir pazar — artık düzenleyicinin saatiyle.

Filigran ne yapabilir, ne yapamaz

Sınırlar konusunda dürüst olmakta fayda var, çünkü yasa artık bu katmana yaslanıyor. Bugünün dedektörleri ekosistem-bazlı: ElevenLabs’ın aracı “bunu ElevenLabs mı yaptı?” sorusuna cevap veriyor, OpenAI’ın doğrulayıcısı OpenAI’ın sinyallerini arıyor. Dolayısıyla “sinyal bulunamadı”, klibin insan işi olduğu anlamına gelmiyor — başka bir üreticiden çıkmış ya da işaret yok edilmiş olabilir. C2PA İçerik Kimlik Bilgileri gibi köken üstverisi de tek başına yeniden kodlamadan ya da ekran kaydından sağ çıkmıyor; spesifikasyonun filigranları, soyulmuş kimlik bilgilerini yeniden iliştirebilen “yumuşak bağlar” olarak tanımlaması bu yüzden. Ve Haziran 2026’da araştırmacılar, ses kalitesini bozmadan filigran tespitini %10’un altına düşüren uyarlanabilir saldırılar gösterdi. Bunların hiçbiri işaretlemeyi anlamsız kılmıyor — onu ne ise o yapıyor: dürüst çoğunluk için bir şeffaflık katmanı, bir dolandırıcılık kalkanı değil. Dolandırıcılık rakamları bu ayrımda ısrarcı. FBI’ın nisanda yayımlanan 2025 internet suçları raporu, yapay zekâ destekli dolandırıcılığı ilk kez ayrı bir kategori olarak verdi — 22.364 şikâyet ve 893 milyon dolar bildirilen kayıp; CrowdStrike sesli oltalama saldırılarında 2024 boyunca %442 artış saydı, Pindrop çağrı merkezlerine gelen deepfake aramalarında %1.300’lük sıçrama kaydetti.

İfşa, rıza değildir

Pazarın kapatmadığı ikinci bir boşluk var. 50. madde “bu sentetik mi?” sorusunu cevaplıyor — “sesin sahibi buna razı mıydı?” diye sormuyor. O soru kişilik ve benzerlik hukukuna ait ve orası hâlâ yama işi: Tennessee’nin 2024 ortasından beri yürürlükteki ELVIS Yasası, bir kişinin sesini tanıtım hakkının kapsamına alan ilk kanundu; ABD’nin NO FAKES Yasası 18 Haziran 2026’da Senato Adalet Komisyonu’ndan geçti ama yasa değil; Danimarka’nın insanlara ses ve görüntülerinin dijital taklitleri üzerinde telif benzeri haklar veren tasarısı erken seçime takıldı, hâlâ beklemede. AB’nin kendisinde birlik çapında bir “kendi sesin üzerinde hak” yok — yalnızca kültür bakanlarının, vatandaşların “kişisel özelliklerinin rızasız dijital kopyalarına karşı korunması gerektiği” yönünde bir bildirisi. Başka bir deyişle: ifşa katmanı pazar günü geldi. Rıza katmanı hâlâ ülke ülke yazılıyor.

Blab nerede duruyor

Blab bizim ses stüdyomuz, şirket içi TTS ailemizin yüzeyi — saniye altı akış konuşma, film müziğini koruyan dublaj, 40’tan fazla dil ve altmış dört ses; üretim kullanımı için REST API, TypeScript SDK ve MCP’ye bağlı. Yeni kuralların cevapladığı soruda tavrımız basit: ifşa yükümlülükleri yükümlülüktür ve işaretleme katmanı, standartlar yarışı oturdukça evrilmeye devam edecek. Ama kuralların hâlâ cevaplamadığı soruda Blab yasama beklemedi: Blab’de bir sesi klonlamak, klonlanan kişinin rızasını gerektirir — her zaman gerektirdi. “Bu kadar gerçek sesler için rıza şart” bir uyum sloganı değil; sentez bunu talep edecek kadar iyileştiği için benimsenmiş, ürünün en eski kuralı. İşaret, dinleyiciye sesin ne olduğunu söyler. Rıza, en baştan neye dönüşmesine izin olduğunu belirler — ve bunu hiçbir filigran sonradan ekleyemez.

Etiket, “bu ses sentetik mi?” sorusunu cevaplar. Rıza, “bu kimin sesiydi?” sorusunu. Yasa artık ilkini zorunlu kılıyor. Biz ikincisiyle başladık.

Türkiye’deki ekipler için en keskin gerçek 2. madde: Yapay Zekâ Yasası Birlik sınırlarının ötesine uzanıyor; sesli ajanları, dublajlı içeriği ya da sentetik sesi AB kullanıcılarına ulaşan bir Türk şirketi pazardan beri 50. maddenin içinde — ifşa, işaretleme ve deepfake etiketi dahil, aynı ceza ölçeğiyle. KVKK tarafı yerinden oynamadı: gerçek bir kişinin sesi hafta sonundan önce de kişisel veriydi, sonrasında da öyle; birinin sesini habersiz klonlamanın iki rejimde de yeri zaten yoktu. Pratik duruş, hep döndüğümüz aynı duruş: ifşayı ürüne baştan kurun, neyi ne zaman ürettiğinizin kaydını tutun ve rızayı, hukukun henüz yetişemediği katman olarak ciddiye alın. Arpanet Bilişim A.Ş.’nin ürünü Blab, ilk satırından itibaren KVKK için tasarlandı. Bize ulaşın, birlikte kapsamını çıkaralım.